neunetz.com

Wirtschaft im digitalen Zeitalter.

You are here: Home / Archives for Openid

Openid

OpenID & Co.: The Next Web und die Sache mit den korrekten Informationen

by Leave a Comment

Von Carsten Pötter

Gestern veröffentlichte das Techblog The Next Web einen Artikel von Brad McCarty über Facebook Connect, OAuth und OpenID. Selbstbewusst wählte er die Überschrift Facebook Connect, OAuth and OpenID: The differences and the future. Da erwartet der geneigte Leser so etwas wie eine Analyse oder zumindest gut recherchierte Hintergrundinformationen. Was McCarty dann aber zu sagen hat, ist mehr als dürftig. Teils sind die Informationen falsch oder im Fall von Facebook Connect und OAuth schlicht nicht mehr aktuell. Wäre der Artikel vor zwei Jahren erschienen, wäre das alles vielleicht noch OK gewesen sein. Heute jedenfalls nicht mehr.

Zu OpenID schreibt er:

There’s also the problem that it requires more than one handshake (introduction) in order to get data stored on a server. In fact, OpenID cannot, at this point, acquire that information on its own. It has to send a second request for OAuth to handle the information transfer.

Es wird nicht klar, welche Daten er meint. Grundsätzlich benötigt OpenID aber nicht OAuth, um Profildaten zu übertragen. Die Extensions Simple Registration (nur wenige Daten, zugegeben) und Attribute Exchange erledigen das ohne OAuth. Und:

Rumors are swirling that OpenID is working on a new standard called OpenID Connect that will be built on top of OAuth.

Naja, das sind nicht mehr nur Gerüchte. McCarty verlinkt doch explizit auf die Seite.

Über Facebook Connect weiß McCarty zu berichten:

With Facebook Connect, what we see are elements of both OpenID and OAuth. Facebook Connect can verify that you are who you say you are, and it can then provide access to your data once you’ve given it permission to do so.

Seit Facebook groß seine Open Graph API ankündigte, benutzt man dort OAuth 2: Facebook Platform uses the OAuth 2.0 protocol for authentication and authorization

OAuth 2 ist momentan allerdings noch ein Draft.

Leider ist McCarty nicht der einzige, der auf großen Techblogs bei diesen Themen versagt. In der Regel bringen solche Blogs inzwischen nur noch News; Analysen oder tiefer gehende Informationen kommen da zu kurz. Jedes Blog möchte eine „wichtige“ Nachricht von Apple, Twitter oder Facebook als erstes bringen. Da zählt nur noch der Faktor Zeit. Andererseits ist die Open Web Community – um es vorsichtig auszudrücken – sehr zurückhaltend, auf diesen Blogs zu kommentieren und falsche Informationen zu berichtigen.

Deshalb ist es zu begrüßen, dass die OpenID Foundation den Blogger Jesse Stay angeheuert hat, um zukünftig über die Entwicklungen dort zu berichten.

Der kleine OpenID Rückblick

by Leave a Comment

Tja, der Monat Juli neigt sich unerbittlich seinem regnerischen Ende und ich habe es nicht fertig gebracht hier etwas über OpenID zu schreiben; ist mir etwas peinlich. Also dann mal direkt rein ins Geschehen und wenigstens die letzten zwei Wochen Revue passieren lassen, was sich so in der OpenID Community getan hat.

OpenID Bounty

Mit der I Want My OpenID Bounty wurde vor einem Jahr von Sponsoren wie Sxip, VeriSign, JanRain, NetMesh, Six Apart,… eine Aktion gestartet, die Open Source Projekte prämieren möchte, die OpenID entweder als Relying Party (RP) oder als Identity Provider (IdP) integrieren. Insgesamt können zehn Projekte eine Prämie in Höhe von je $5000 bekommen. Auf der diesjährigen O’Reilly Open Source Konferenz wurden die ersten drei Projekte prämiert: Drupal, Plone und DotNetNuke.

Wo ich gerade bei dieser Konferenz bin: David Recordon, Mitarbeiter bei VeriSign und Vize der OpenID Foundation wurde als Best Strategist für seine Arbeit an OpenID ausgezeichnet. Glückwunsch, nicht schlecht für einen Zwanzigjährigen.

Stromausfall in San Francisco

Teile San Franciscos waren am 24. Juli von einem Stromausfall betroffen; darunter befand sich auch ein großes Datacenter, wo u.a. Sites wie Six Apart, Craigslist und Technorati ihre Server haben. Mal davon abgesehen, dass dort so etwas wie Notstromaggregate eigentlich ihren Dienst verrichten sollten, hat dieser Stromausfall auch eine kleine Schwachstelle von OpenID aufgezeigt. Ein IdP wie LiveJournal (gehört bekanntlich zu Six Apart) war plötzlich nicht mehr erreichbar und Benutzer konnten somit keine Webseiten mit OpenID mehr benutzen. Dumm gelaufen.

RP’s haben allerdings die Möglichkeit mehrere OpenID’s für einen Account zuzulassen; leider machen davon die wenigsten Gebrauch. Vielleicht wachen jetzt ein paar von denen auf und ermöglichen ihren Nutzern das.

OpenID Non-Assertion Covenants

Bislang haben drei der führenden Unternehmen der OpenID Community sogenannte Non-Assertion Covenants veröffentlicht: JanRain, Sun und VeriSign. Damit versprechen diese Unternehmen, dass sie keine Forderungen irgendwelcher Art (Lizenzen, Gebühren,…) gegenüber Entwicklern geltend machen, die OpenID einsetzen möchten und dabei Patente dieser Unternehmen nutzen. Nicht ganz unwichtige Entscheidungen, wenn sich OpenID weiter verbreiten und entwickeln soll. Sxip hingegen haben eine solche Erklärung bislang noch nicht abgegeben, beteuern aber ihre Patente nur defensiv einzusetzen. Dafür müssen sie allerdings auch Kritik einstecken; sie halten sich hoffentlich an die Aussage.

OpenID Directory listet mehr als 300 Seiten

Das OpenID Directory führt mittlerweile mehr als 300 RP’s auf. Das sind selbstverständlich nicht alle Seiten mit OpenID Unterstützung, aber trotzdem nicht schlecht; 300 Seiten schön übersichtlich geordnet.

Ein paar neue Vertreter: Online Adressbuch Plaxo, Wikihoster Wikispaces und Taskmanager Toodledo. Meiner Meinung nach drei richtig gute Seiten.

Gibt es eine anonyme OpenID?

by 4 Comments

Es gibt so Tage, da denke ich mir, dass OpenID nicht so richtig vom Fleck kommt. Diese Vorstellung prägt sich größtenteils durch das Lesen der OpenID Mailingliste. Versteht mich nicht falsch: die Diskussionen dort sind wichtig, aber hin und wieder kommt der Gedanke auf, dass man das doch schon alles mal vor Wochen geklärt haben konnte. Naja, wird wohl bei vielen anderen Projekten ähnlich sein.

Anderen Leuten widerum schreitet die Entwicklung viel zu schnell voran, und sie sehen schon überall im Netz das OpenID Logo blinken; gezwungen OpenID zu nutzen, sofern sie sich überhaupt noch im Netz bewegen möchten. Soweit sind wir aber noch lange nicht. Da fehlen einfach noch ein paar tausend wichtige Seiten, die dann stolz OpenID enabled auf der Registrierungseite verkünden können.

Aber was tun, wenn es doch geschieht? Was sollen dann die Trolle der Netzwelt, die Spammer dieser Erde, die Anonymen Kommentierer und weiteres Gesindel tun, um den Rest der Welt zu belästigen? Ist eine OpenID nicht so etwas wie ein Ausweis? Lässt sich dann nicht jeder Kommentar einer bestimmten Person zuordnen? Aus und vorbei mit dem Trollen? Wird das Netz sauber und gut? Leute, keine Panik! Alles bleibt wie es ist.

Wir bleiben anonym

Erst einmal ist eine OpenID natürlich kein Ausweis. OpenID verifiziert von Hause aus nicht, ob mein Name nun Carsten Pötter oder doch eher Marcel Weiß ist. Grundsätzlich kann man nur davon ausgehen, dass hinter einer OpenID – einer URI, also eindeutig – immer die gleiche Person steht. Sieht man also auf Blog ABC einen Kommentar von def.openidprovider.com und bei dem Social Netwerk Tolle Freunde einen Nutzer mit eben jener OpenID, sollte dahinter jeweils die gleiche Person stehen.
Möchte ich jetzt nun weiterhin durch das Netz trollen, kann ich mir natürlich einfach OpenID’s bei unterschiedlichen Providern besorgen; bei Provider A bin ich der seriöse Carsten Pötter (OK, kleiner Scherz am Rande) und die OpenID von Provider B nutze ich zum Trollen. Ist das jetzt anonym? Vielleicht noch nicht so richtig.

Gehen wir also einen Schritt weiter. Weiter oben habe ich die Wörter grundsätzlich und sollte benutzt, was durchaus seinen Grund hat. Es gibt nämlich einen komplett anonymen OpenID Server: www.jkg.in/openid.
Bereits beim Aufruf der Seite wird einem eine automatisch generierte OpenID angeboten; gefällt die einem nicht, kann man auch seine Wunsch OpenID nehmen, jkg.in/openid/tollerhecht oder so etwas. Loggt man sich damit bei einer Seite mit OpenID Unterstützung ein, erfolgt keine Weiterleitung zurück an den Server, um dort ein Passwort einzugeben, ein Browserzertifikat abzufragen oder sonstige Authentifizierungsmaßnahmen, die bekannte OpenID Provider nutzen. Man ist eingeloggt, einfach so. Und weil mich niemand authentifiziert, kann diese OpenID auch jeder andere nutzen. Hinter jkg.in/openid/tollerhecht verbirgt sich vielleicht einmal Marcel und einmal ich. Ich hoffe mal, dass das anonym genug ist. Wie gesagt, alles bleibt wie es ist und grundsätzlich sollte man mal von gar nichts ausgehen. ;)

Fazit

Wie man an dem Beispiel sieht, kann man einer OpenID ohne weitere Verifizierung nicht trauen. Es stellt sich natürlich auch die Frage, ob ein solcher OpenID Server überhaupt lange genug bestehen bleiben wird bzw. ob alle OpenID Consumer ein Login von diesem Server akzeptieren werden. Die Möglichkeiten des Missbrauchs sind doch als weitaus größer einzuschätzen als evtl. Nutzen, denke ich mal. Aber Ihr seht, dass OpenID auch völlig anonym funktionieren kann. Gut? Schlecht? Egal?

Wo kann ich meine OpenID nutzen?

by 8 Comments

Im ersten Artikel zu der kleinen OpenID Serie hier auf Neunetz wurde ja bereits das Thema OpenID Provider und auch OpenID Consumer angesprochen. Ich habe dabei zwar ein paar Beispiele für Consumer gegeben und auch auf das OpenID Directory zur weiteren Recherche verwiesen, aber ich wurde gerade letztens wieder von einem Arbeitskollegen gefragt, wo man denn nun eine OpenID einsetzen kann. Also hier mal eine kleine Auswahl an Diensten, die man (fast) täglich gebrauchen könnte.

  1. Ma.gnolia: Ma.gnolia ist ein Social Bookmarking Dienst, der meines Erachtens ein paar sehr schöne Features aufweist, die ihn von anderen unterscheiden. Zum einen gibt es dort ein Unmenge an Gruppen zu den unterschiedlichsten Themen; das macht es besonders einfach, lesenswerte Artikel zu finden. Um auf dem laufenden zu bleiben, kann man natürlich den Feed der Gruppe abonnieren. Total liebenswert ist Give Thanks. Einfach anderen danken, dass sie bereits eine gute Seite gefunden und sich die Mühe gemacht haben, diese zu beschreiben und mit Tags zu versehen. Ich stehe auf so kleine, fast unscheinbare Features.
  2. Zooomr: Digitalkameras, Handys mit Kamerafunktion,… immer mehr Leute schießen schon fast minütlich Fotos und die Bilder müssen irgendwohin; Flickr fällt wahrscheinlich jedem sofort ein. Zooomr ist ein ähnlicher Dienst, der für sein neues Release, Mark III, mit einer ganzen Reihe neuer Features aufwartet; naja, besser aufwarten wird. Momentan haben die Jungs eine Pechsträhne mit der Hardware. Läuft aber hoffentlich bald wieder.
  3. Pibb: Pibb ist ein kleines Kommunikationswerkzeug von JanRain, den Leuten hinter myOpenID.com. Pibb funktioniert sowohl als Instant Messenger als auch als eine Art IRC Ersatz. Es gibt verschiedene Kanäle mit einzelnen Threads; Unterhaltungen können sowohl öffentlich als auch privat geführt werden.
  4. Social Networks: Natürlich gibt es Social Networks mit OpenID Anmeldung. Jyte ist ein weiteres Produkt von JanRain, was einfach ziemlich viel Spaß macht. Man stellt eine Behauptung auf, die entweder ganz allgemein gehalten sein kann, aber auch über andere Jyte Mitglieder oder über sich selbst. Jedes Mitglied kann nun seine Meinung und Zustimmung (oder Ablehnung) dazu abgeben; User können auch getaggt werden. Hört sich vielleicht nicht spannend an, ist aber ganz lustig.
    Ex.plode.us ist ein britischer Dienst,den man vielleicht am ehesten mit MyBlogLog vergleichen kann; vergleichbare Widgets gibt es auch. Zudem durchsuct Ex.plode.us eine ganze Reihe von Social Networks (Flickr, Twitter, Vox, Tribe,…) nach Freunden und Bekannten. Gefällt mir insgesamt zimelich gut.
  5. Buxfer: Mit Buxfer kann man seine Finanzen in den Griff bekommen. Na gut, es ersetzt wahrscheinlich nicht StarMoney oder Quicken, aber dafür kann man wunderbar sehen, wem man noch Geld schuldet bzw. wer einem selbst noch den ein oder anderen Schein bislang schuldig geblieben ist. Buxfer sollte man sich mal näher ansehen, wenn man z.B. in einer WG lebt.
  6. Wikitravel: Wie der Name schon vermuten lässt handelt es sich hier um eine Wiki basierte Seite für Reiseempfehlungen. Ganz brauchbar, wenn man sich schnell über ein Reiseziel informieren möchte, ohne gleich einen Reiseführer zu kaufen.
  7. Netscape: Zu Netscape muss ich wahrscheinlich nicht mehr viel schreiben. Es ist eine wirklich gut gemachte Social News Seite, die ihren Platz irgendwo zwischen Digg und Reddit gefunden hat.

Es gibt natürlich noch weit mehr Seiten, die OpenID unterstützen, aber diese hier sollen erst einmal als kleine Auswahl reichen. Einfach mal anschauen. :)

Sun, MyBlogLog und die deutsche Presse

by 11 Comments

Nachdem Euch Marcel letzte Woche erklärt hat, wie man einen eigenen OpenID installiert, fasse ich diese Woche mal die Nachrichten der vergangenen zwei Wochen zusammen; ob das chronologisch wird, mal sehen. ;)

Sun mit eigenem OpenID Server

IT Riese Sun Microsystems hat für seine 34.000 Beschäftigten einen eigenen OpenID Server eingerichtet.

Damit wird zum ersten Mal OpenID in einer unternehmensweiten Arbeitsumgebung eingesetzt; aufgrund der großen Anzahl von Mitarbeitern bei Sun kann somit getestet weden, ob sich OpenID in einer solchen Umgebung bewähren wird, wie es genutzt wird und welche Risiken für ein Unternhemen evtl. entstehen könnten. Sollte dieses Experiment erfolgreich verlaufen, dürften sicherlich andere (große) Unternehmen zumindestens darüber nachdenken, ob OpenID zu ihnen passt und ob sie davon profitieren können.

Mit einer OpenID von Sun kann sich jeder als Sun Mitarbeiter zu erkennen geben und evtl. auch auf spezielle Angebote anderer Anbieter, die ausschließlich für Sun Mitarbeiter gedacht sind, zurück greifen. Aus der Pressemitteilung:

People using Sun based OpenID identifiers at an OpenID-accepting website can convey in this simple and secure manner that they are indeed Sun employees, a piece of information that can enable access to employee discounts and unlock other special services all across the web. Sun will work with partners to
extend special services on this basis.

OpenID in der deutschen Presse

In der Frankfurter Rundschau ist am Freitag ein Artikel zu OpenID erschienen, der meiner Meinung nach recht objektiv ist.

Bereits am 25. April hatte Janko Röttgers im Focus bereits einen Artikel mit ähnlichem Grundtenor veröffentlicht. Die Kommentare gehen aber eindeutig in eine negative Richtung; Aufklärung und Diskussion ist mal wieder angesagt.

MyBlogLog wird OpenID unterstützen

Und diese Geschichte ist mal wieder etwas seltsam. MyBlogLog möchte zukünftig OpenID unterstützen. Hört sich doch gut an, warum also seltsam?

MyBlogLog gehört zu Yahoo, ebenso wie Flickr und Upcoming. Nun hat Yahoo schon eine Weile ein eigenes Single Sign-On System mit der Yahoo ID, welches man kürzlich sowohl den Flickr als auch den Upcoming Usern aufs Auge gedrückt hat. Die waren nicht sonderlich begeistert und Yahoo hat dafür eine Menge Prügel einstecken müssen.

Warum will MyBlogLog jetzt ausgerechnet OpenID einsetzten? Haben die das mit irgendjemanden bei Yahoo abgesprochen? Nein, dann haben sie ein Problem. Ja, was auch wahrscheinlicher ist, dann verstehe ich Yahoo nicht mehr. Mal abwarten, was da passiert.

Eigener OpenIDserver in 2 Minuten

by 12 Comments

Ralf Bendrath, der sich auch hier in den Kommentaren schon einmal kritisch zu OpenID geäußert hat, spricht beim Elektrischen Reporter (<- sehenswert!) unter Anderem über die datenschutztechnischen Gefahren von OpenID und versucht, das Argument ‚halt eigenen OpenID Server anlegen‘ mit der Aussage zu entkräften, dass ja auch niemand sich seinen eigenen Emailserver anlegt. Stimmt, ich hab mir bis dato keinen eigenen Emailserver angelegt und plane das auch nicht. Vor wenigen Minuten habe ich mir aber meinen eigenen OpenID-Server installiert.

Ben Dodson hat ein Skript online gestellt, mit dem man kinderleicht innerhalb von 2 Minuten seinen eigenen OpenID-Server installieren kann. Hier geht’s zu phpmyopenid. Es handelt sich dabei um eine mit einem einfachen Installer versehene Version von phpMyID.

Ich hab es installiert und es war in der Tat sehr einfach. (In fact: ich habe spasseshalber mit der Uhr mitgestoppt und habe knapp 7 Minuten gebraucht, aber nur weil ich auf meiner Festplatte meine index.php erst suchen musste.)

Wer Webspace mit php sein Eigen nennt, weiß wie man Nutzungsberechtigungen von Dateien mit seinem FTP-Programm einstellt und weiß wie man die index.php oder index.html der eigenen Seite verändert, der besitzt die Fähigkeiten, seinen eigenen OpenID-Server zu installieren.

Um es kurz zu machen: Wer erfolgreich wordpress installieren kann, kann auch erfolgreich seinen eigenen OpenID-Server installieren. Mit dem gleichen zeitlichen Aufwand.

Die Installation in 7 kurzen Schritten:

  • phpmyopenid hier runterladen
  • entpacken
  • den entpackten Ordner in Rootordner des webspace hochladen
  • Zugriffsberechtigungen des phpmyopenid-Ordner mit ftp-Programm zu CHMOD 777 ändern
  • http://www.eigeneseite.com/phpmyopenid/install.php aufrufen, Nutzernamen und Passwort eingeben und abspeichern
  • anschließend angegebene Metatags in den <head> Bereich von index.html der eigenen Seite eintragen
  • install.php löschen und die Zugriffsberechtigungen des Ordners auf CHMOD 755 ändern (damit niemand die OpenID ändern kann)
  • Fertig!

 

Inwiefern solche selbst aufgesetzten OpenIDs aufgrund ihrer Spamanfälligkeit in ein paar Jahren noch von anderen Seiten neu akzeptiert werden, steht allerdings auf einem anderen Blatt. Schließlich können auch Spammer sich so schnell ihre eigenen OpenIDs einrichten. Da wird es noch eine Lösung für brauchen.

 

Was meint denn unser hiesige OpenID-Experte zum eigenen OpenIDserver? Ich weiß ja, dass Sie sich das auch schon mal angeschaut haben. Herr Pötter, übernehmen Sie.

Tags:[tag]OpenID[/tag]

OpenID Provider und Datenschutz: Teil 2

by 5 Comments

Nachdem wir uns letzte Woche die beiden deutschen OpenID Provider Xlogon und Meinguter.name in Bezug auf Datenschutz etwas näher angesehen haben, sind heute die beiden US Provider myOpenID und claimID an der Reihe.

Achtung! Wer den Artikel von letzter Woche nur in seinem Feed Reader gelesen hat, sollte noch einmal einen Blick darauf werfen. Mir ist da ein peinlicher Fehler unterlaufen und ich habe den Artikel deshalb noch einmal ergänzt bzw. zusammen gestrichen. Ich hoffe mal, dass ich diesen Artikel heute ohne Fehler schaffen werde.

myOpenID

Die Nutzungsbedingungen von myOpenID entsprechen in vielen Punkten denen von Xlogon. Das betrifft sowohl die Änderung der Nutzungsbedingungen (inkl. Benachrichtigung der Nutzer bei erheblichen Änderungen) als auch der Sorgfaltspflicht der Nutzer (unter Nutzernamen und OpenID verbreitete Inhalte gehen zu Lasten der Nutzer). myOpenID weist zwar darauf hin, welche Inhalte man nicht haben möchte, stellt aber klar, dass diese selbst nicht kontrolliert werden und man evtl. auch auf anstößige Inhalte stoßen kann.

Die Weitergabe von Namen und Kontaktinformationen an Dritte wird ausgeschlossen. Es erfolgt ebenso keine Überwachung und Weitergabe von Inhalten (Ausnahme wie eigentlich überall: Strafverfolgungsbehörden).

Bei Xlogon bin ich ja bereits auf die Beendigung des Nutzungsverhältnisses eingegangen. Bei myOpenID werden ebenfalls die Inhalte gelöscht; der Nutzername bleibt jedoch bestehen. Die Begründung ist auch sehr einleuchtend: Man will vermeiden, dass jemand anderes den gleichen Nutzernamen verwenden kann, den ich bei meinem alten myOpenID Account benutzt habe. Für andere Personen ist nämlich nicht erkennbar, dass ich selbst nicht mehr hinter dieser OpenID stehe, was unter Umständen zu bösen Überraschungen führen könnte.

claimID

claimID verfährt bei Änderung der Nutzungsbedingungen genauso wie Xlogon und myOpenID. Im Gegensatz zu allen anderen bislang genannten Providern darf claimID nur privat genutzt werden. Nutzer dürfen keine Services an Dritte aufgrund von mit claimID erstellter Daten verkaufen; Spam wird ausdrücklich verboten.

claimID verkauft oder verleiht keine persönlichen Daten der Nutzer an Dritte. Ausnahmen werden bei einer Übernahme der Firma und bei Strafverfolgungsbehörden gemacht. Desweiteren behält man sich vor, im Rahmen von Studien bei claimID selbst (die Betreiber haben Informationswissenschaften studiert) anonymisierte Daten von Nutzern zu verwenden. Alle von Nutzern eingestellte Daten unterliegen einer Creative Commons Attribution Share-Alike Lizenz.

Bei Beendigung des Nutzungsverhältnisses werden die Accounts gelöscht.

Fazit

Anhand der Nutzungsbedingungen lassen sich keine wirklich gravierenden Unterschiede zwischen deutschen und amerikanischen Providern festmachen. Meinguter.name fällt da sogar etwas aus dem Rahmen. Eins sollte auch klar sein: Strafverfolgungsbehörden haben in beiden Ländern Zugriff auf die Daten.

Ein wesentlicher Unterschied zwischen den USA und Deutschland besteht darin, dass es in den USA kein bundesweites Datenschutzgesetz gibt. Es gibt in den einzelnen Bundesstaaten aber wohl verschiedene Ansätze in dieser Richtung. Interessant scheint mir auch, dass es ausgerechnet aus der Wirtschaft Bestrebungen gibt, einen einheitlichen Datenschutz zu schaffen. Microsoft ist hier sogar Vorreiter. Auch haben sich viele US Firmen verpflichtet, die strengeren Datenschutzbestimmungen der EU zu beachten; solche Firmen sind in der Safe Harbor List des US Handelsministeriums aufgeführt.

Ruft man sich jetzt Stichworte wie Vorratsdatenspeicherung und Bundestrojaner ins Gedächtnis zurück, bin ich mir nicht sicher, ob es noch wesentliche Unterschiede zwischen beiden Ländern gibt. Also immer schön die Nutzungsbedingungen lesen.

OpenID Provider und Datenschutz: Teil 1

by 11 Comments

OpenID und Datenschutz, ein Thema, das scheinbar irgendwie zusammen gehört. Ansonsten lässt sich kaum erklären, warum wir in den vergangenen Beiträgen doch auch immer mal wieder auf das Thema zu sprechen gekommen sind; und sei es auch nur in den Kommentaren. Marcel fand meine Aussage, dass man hinsichtlich des Datenschutzes mit einem europäischen bzw. deutschen Provider in der Regel besser fahren würde als mit einem US Provider, zu allgemein. Tja, irgendwie liegt er damit auch nicht wirklich falsch.

Ich habe mir deshalb mal die Nutzungsbedingungen und, sofern vorhanden, die Datenschutzerklärungen von vier OpenID Providern angesehen: Xlogon (DE), Meinguter.name (DE), myOpenID (US) und claimID (US). Auf Provider wie AOL, WordPress.com, etc. werde ich nicht eingehen, weil 1) es sonst einfach zu viele würden, 2) ich sowieso kein Jurist bin und 3) diese nicht reine OpenID Provider sind. Heute werden wir uns erst einmal die beiden deutschen Provider ansehen und wahrscheinlich nächste Woche die beiden amerikanischen.

Xlogon

Update 25.04.2007: Da ich diesen Artikel und den am Sonntag folgenden über mehrere Tage hinweg geschrieben habe, habe ich wohl die Nutzungsbedingungen für den IdP und die für das Blog von Xlogon teilweise gemixt. So etwas darf nicht vorkommen. Ich möchte mich ausdrücklich für den Hinweis von Boris Erdmann (Xlogon) bedanken und gleichzeitig um Entschuldigung bitten.

Die Nutzungsbedingungen von Xlogon sind sehr umfangreich und detailiert. Sie können jedoch, von erheblichen Änderungen abgesehen, geändert oder ergänzt werden, ohne dass die Nutzer darüber informiert werden müssen. Das ist eine Klausel, die man bei den unterschiedlichsten Firmen und Dienstleistungen finden kann und auch nicht wirklich zu beanstanden ist. Ich stelle mir nur immer die Frage, wann eine Änderung erheblich ist. Ich denke mal, dass man das im Zweifelsfall von einem Gericht klären lassen kann.

Angaben des Nutzers erfolgen auf rein freiwilliger Basis und die Nutzerdaten dienen nur zur Bereitstellung des Angebots. Prinzipiell muss ich nicht eine einzige private Angabe machen, um Xlogon nutzen zu können. Eigentlich ganz praktisch. Sollte die Firma jedoch auf die Idee kommen, die Daten in anderer Form nutzen zu wollen, erfordert das die vorherige Zustimmung der Nutzer. Xlogon wird bei Beendigung des Nutzerverhältnisses alle personenbezogenen Daten löschen, was eigentlich sehr zu begrüßen ist. Es stellt sich mir jedoch die Frage, ob auch der Nutzername der OpenID gelöscht wird. Warum das interessant sein könnte, erfahrt Ihr, wenn wir uns myOpenID anschauen. Update: s. Kommentar von Boris Erdmann

Cookies werden nur während einer kontinuierlichen Anmeldung bei Xlogon pseudonymisiert gespeichert; loggt man sich aus, werden diese gelöscht. Finde ich sehr gut. Ansonsten gibt es die üblichen Klauseln, dass Nutzernamen, Nutzerbild und Inhalte (= Fotos, Videos, Texte,…) nicht gegen geltendes Recht, Rechte Dritter, gute Sitten, usw verstoßen dürfen. In diesem Zusammenhang ist vielleicht ganz interessant zu wissen, dass auch Codes – also Abkürzungen und Begriffe -, an denen sich Mitglieder extremistischer Szenen erkennen, ebenfalls verboten sind. Das habe ich in der Form noch nirgendwo sonst gelesen.
Standard ist die Klausel, dass alle unter dem Nutzernamen und der OpenID verbreiteten Inhalte zu Lasten des Nutzers gehen.

Inhalte selbst werden Xlogon zeitlich und räumlich unbeschränkt, jedoch nicht exklusiv, zur Verfügung gestellt und können auch öffentlich zugänglich und auf Abruf bereit gestellt werden. Das gilt auch für Strafverfolgungsbehörden.
Update: Daten werden ausdrücklich nicht an Dritte weiter gegeben; eine Ausnhame besteht nur bei Strafverfolgungsbehörden (s. § 14 Telemediengesetz) und um Schaden vom Betreiber selbst abzuwenden.

Meinguter.name

Die Nutzungsbedingungen bei Meinguter.name fallen dagegen recht übersichtlich aus. Zudem sind sie im Wesentlichen von E-Recht 24 übernommen worden.

Es wird die Haftung von Inhalten und Links geklärt und auf das Urheberrecht eingegangen; interessant ist lediglich der Absatz zum Datenschutz. Personenbezogene Daten werden (soweit möglich) nur auf freiwilliger Basis erhoben und der Dienst selbst soll auch möglichst ohne diese Daten erfolgen können. Diese Daten werden von Meinguter.name nicht an Dritte weiter gegeben. Wer seine E-Mail Adresse angibt, willigt allerdings ein, dass er E-Mails sowohl von Meinguter.name erhält als auch von anderen Diensten des gleichen Betreibers, also Solution Media.

Insgesamt würde ich mir hier durchaus weitere und vor allem genauere Angaben wünschen. Meinguter.name hängt meiner Meinung nach doch zu sehr an der Mustervorlage von E-Recht 24.

Beim nächsten Mal sind dann die Amis an der Reihe.

Zwei deutsche OpenID Provider

by 13 Comments

Nachdem wir in den vergangenen zwei Wochen geklärt haben, was OpenID Provider sind, wie Delegation funktioniert und dass es evtl. datenschutzrechtliche Probleme geben könnte, beschäftigen wir uns heute mal etwas näher mit zwei deutschen Providern. Beide sind erst in den letzten paar Wochen an den Start gegangen und bieten den Usern doch sehr differenzierte Konzepte an. Es gibt noch einen dritten deutschen OpenID Provider – Regged von Sebastian Egbers -, der jedoch eher privater Natur ist.

Meinguter.name

Meinguter.name ist ein OpenID Provider, der von der Firma Solution Media aus Kaiserslautern bereit gestellt wird. Solution Media beschäftigt sich mit verschiedenen Projekten aus den Bereichen Web 2.0 und Semantic Web. Die Firma steht auch hinter dem OpenID Directory und dem OpenID Blog Deutschland. OpenID kennen sie also. Die OpenID’s sind wie folgt aufgebaut:username.meinguter.name.

Zusätzlich bietet Meinguter.name auch einen interessanten Ansatz in Richtung Onlineidentität. Es wird regelmäßig das Netz nach dem eigenen Namen durchsucht und man braucht dann nur noch zu entscheiden, ob ein Beitrag einen selbst betrifft oder eben einen Namensvetter. Keine Vorstellung wie das aussehen soll? Mein Profil findet sich hier.
Datenschützer werden vermutlich Amok laufen, aber für den ein oder anderen kann es durchaus sinnvoll sein, das eigene Profil öffentlich zugänglich zu machen: zukünftige Arbeitgeber können sich schnell einen Überblick verschaffen, Bekannte finden einen wieder, Selbstdarstellung, Profilneurose. Alles ist möglich; entscheiden muss wieder mal jeder für sich selbst.

Xlogon

Xlogon wurde von der Firma 4commerce Technologies aus Hamburg gegründet, die sich auf Softwarelösungen im Bereich CRM und Informationsprozesse konzentriert.

Das Konzept ist hier ein anderes als bei Meinguter.name. Xlogon bietet seinen Nutzern die Möglichkeit, verschiedene Profile, sogenannte Personas, anzulegen. Dahinter steckt die Idee, dass ich nicht allen Webseiten, bei denen ich mich mit meiner OpenID anmelde, die gleichen Nutzerdaten übermitteln möchte. Beispielsweise kann es sinnvoll sein, für nicht regelmäßig genutzte Seiten und Dienste eine Persona anzulegen, die nur das nötigste enthält: einen Nutzernamen. Für Business Netzwerke hingegen können es dann schon mehr und detailiertere Angaben sein. So kann ich bei Xlogon also von Fall zu Fall entscheiden, welche Daten eine Seite zu sehen bekommt. Die OpenID ist in der Form xlogon.net/username aufgebaut.

Zu Xlogon siehe auch den Kommentar von Boris Erdmann zu dem Artikel von letzter Woche und den Artikel zu Personas im Xlogon Blog.

Schluss

Wie Ihr seht, verfolgen beide Provider doch sehr unterschiedliche Konzepte. Welches Konzept einem selbst am ehesten zusagt ist Geschmackssache. Zudem glaube ich nicht, dass die beiden die einzigen professionellen Provider in Deutschland bleiben werden, so dass die Auswahlmöglichkeiten in absehbarer Zeit weiter zunehmen dürften. Einfach mal die Augen offen halten und dann entscheiden.

OpenID und der gläserne Surfer

by 12 Comments

Diese Woche hat OpenID von deutscher Seite etwas Gegenwind bekommen. Ralf Bendrath, Politikwissenschaftler und Aktivist im Arbeitskreis Vorratsspeicherung, hat sich OpenID angesehen und kommt zu dem Schluss, dass es schlicht nichts taugt. Ein weiterer Blogger hat sogar eine Kampagne gegen OpenID gestartet – OpenID, Nein Danke.

Profiling

Beide sehen das größte Problem von OpenID darin, dass die Provider ohne Probleme Nutzerprofile anlegen könnten. Jede Website, die ich mit OpenID nutzen möchte, muss bei meinem OpenID Provider anklopfen, damit dieser mich authentifiziert. Somit kennt mein Provider jedes Blog und jedes Social Network, das ich mit meiner OpenID nutze. Im Zweifelsfall kennt er mein Surfverhalten besser als ich selbst.

Ich gebe zu, dass das ein Problem darstellt und mir ist nicht bekannt, dass es hier eine zufriedenstellende Lösung gäbe. Momentan kann man sich als User nur auf die Datenschutzbestimmungen des Providers und die des Landes, in dem dieser seinen Sitz hat, verlassen. In der Regel ist man bei einem europäischen Provider in dieser Beziehung besser dran als bei einem in den USA ansässigen. Halt, es gibt doch noch eine weitere Möglichkeit: Man wird selbst OpenID Provider und nutzt dazu das eigene Blog oder die eigene Website.

Wird ein OpenID Provider aber überhaupt zu solchen Mitteln greifen? OpenID Provider dürften sicherlich die längste Zeit User gehabt haben, wenn bekannt werden sollte, dass mit den persönlichen Daten der User nicht sorgfältig umgegangen wird oder diese gar weiter gegeben werden. Die Reputation eines Providers wird auch im Hinblick auf die Gefahren durch Phishing sehr davon abhängen wie er es mit Datensicherheit und Datenschutz hält. Dieser Punkt dürfte bei weiterer Verbreitung von OpenID zu einem wesentlichen Kriterium der Wahl des Providers werden. Die Provider sollten also aus gewissem Eigeninteresse heraus eben nicht fröhlich Profile anlegen. Wunschdenken? Ok, kann auch sein.

Delegation

Was soll ich als User aber unternehmen, wenn ich meinem Provider nicht mehr traue? Eventuell habe ich mich bereits bei mehreren Sites mit einer OpenID von nichtvertrauenswuerdig.com angemeldet. Zwar kann ich zu einem anderen Provider wechseln, aber ich verliere dann z.B. meine Einstellungen und Freunde bei Social Networks. Die Lösung heißt Delegation.

Delegation bedeutet, dass ich z.B. die URI meines Blogs als OpenID nutze (in meinem Fall notsorelevant.com) und mich mit dieser bei OpenID unterstützenden Sites einlogge. Dazu muss ich aber nicht selbst OpenID Provider sein. In den Kopfbereich (Head) meines Blogs füge ich lediglich zwei bzw. drei Zeilen Code ein, der der anfragenden Site mitteilt, wer mein Provider ist und sie an diesen weiter leitet. Konkret? Ok, bei myopenid.com sieht das dann z.B. wie folgt aus:

<link rel="openid.server" href="http://www.myopenid.com/server" />
<link rel="openid.delegate" href="http://username.myopenid.com/" />
<meta http-equiv="X-XRDS-Location" content="http://username.myopenid.com/xrds" />

Da ich nichtvertrauenswuerdig.com kein Vertrauen mehr entgegen bringe, ersetze ich den Code dieses Providers z.B. durch den von myopenid.com. Fertig. Für mich ändert sich dadurch gar nichts; ich kann weiterhin notsorelevant.com als OpenID nutzen. Ganz einfach.

Schlussbemerkung

Wer OpenID nutzen möchte sollte sich informieren wie das funktioniert und welche Gefahren evtl. bestehen. Das gilt aber nicht nur für OpenID, sondern grundsätzlich immer, wenn ich mich im Netz bewegen möchte. Ich vertraue dem Admin meines Mailproviders, dass er meine Mails nicht liest, meinem ISP, den Betreibern der zahlreichen Social Networks, und, und, und. Ohne ein gewisses Maß an Vertrauen kann ich mich nicht im Netz bewegen.

Man mag jetzt einwenden, dass ich mit OpenID nicht unnötig noch einem weiteren Anbieter vertrauen muss. Aber ist die Alternative wirklich besser? Soll ich mich im Zweifelsfall bei hunderten von Sites mit meiner E-Mail Adresse und Passwort anmelden? Hunderte von Möglichkeiten, dass meine E-Mail Adresse an Spammer weiter gegeben wird.

Mein OpenID Provider kennt die Social Networks und Blogs, die ich besuche und bei denen ich Kommentare hinterlasse. Aber wer Profile zu welchem Zweck auch immer anlegen will, kann das bereits ohne Probleme tun. Google kennt die Daten auch alle (und noch ein paar mehr).

Also informieren, Chancen/Risiken abwägen, entscheiden.

Risiken OpenID:

OpenID Security Considerations
OpenID Phishing Brainstorm
Sicherheitsprobleme bei OpenID