211service.com
Una chiave di parcheggio per la tua identità
Man mano che i servizi online che utilizzano i dati personali si moltiplicano, sta diventando più comune per gli utenti dover passare i dati da un servizio all'altro. Ciò richiede spesso agli utenti di consegnare nomi utente e password, nonostante gli ovvi rischi per la sicurezza coinvolti. Un nuovo progetto open source chiamato OAuth , rilasciato all'inizio di questo mese, ha lo scopo di risolvere questo problema consentendo agli utenti di fornire ai servizi una chiave valet per le loro identità, anziché l'accesso completo.
Accesso tramite token: I servizi Web possono utilizzare OAuth per condividere dati sensibili senza obbligare un utente a concedere pieno accesso alla propria identità. Il diagramma sopra mappa il flusso delle richieste man mano che i servizi richiedono dati e autorizzazioni l'uno dall'altro.
Chris Messina , che ha contribuito a organizzare la produzione di OAuth, afferma che il sistema consentirà alle persone di controllare il modo in cui gestiscono i propri dati tramite i servizi Web e le aiuterà anche a essere un po' più sicure. Il sistema consente a un utente di ottenere un token attraverso un sito e passarlo a un altro. Il token determina quindi a cosa può accedere il secondo sito e in che modo. Per raggiungere questo obiettivo, il protocollo deve definire modi standard per i siti di identificare i dati e specificare cosa ne faranno. Per funzionare, OAuth richiede che entrambi i siti abbiano implementato il protocollo. L'utente non deve esserne a conoscenza.
Insieme a Messina, Blaine Cook of Twitter e Larry Halff di Ma.gnolia lavorato per avviare il progetto.
La consegna di nomi utente e password è una caratteristica sempre più comune dei siti di social network, inclusi siti noti come Facebook e LinkedIn . Nella fase di registrazione iniziale, un sito chiede all'utente di inserire le credenziali per i suoi account di posta elettronica in modo che possa cercare persone che potrebbe conoscere. È anche tipico che i siti offrano agli utenti l'opportunità di invitare anche i loro contatti esistenti a unirsi alla rete. Ma Messina dice che c'è un altro risultato non intenzionale della pratica: sta addestrando l'utente a passare nomi utente e password come coriandoli, dice.
Multimedia
Scopri come funziona OAuth.
Erano Hammer-Lahav , che è stato l'editor per la specifica OAuth di base, afferma che un avvertimento è arrivato all'inizio di quest'anno quando un sito di social network ha chiamato Quechup utilizzava il suo accesso agli account di posta elettronica tramite questa funzione per inviare inviti a ogni singola persona nell'elenco dei contatti di un nuovo utente. Peggio ancora, per molte persone le e-mail sembravano provenire dall'utente, piuttosto che dall'azienda. Hammer-Lahav afferma che l'avvertimento è diretto meno a un sito particolare che a un sistema che necessita di miglioramenti. Il nucleo è davvero quello che chiamiamo triangolo amoroso, dice. Il triangolo amoroso, spiega, è il rapporto tra l'utente ei due servizi Web che hanno bisogno di condividere i dati.
Aggiunge che ora sta diventando comune per i siti di gestione finanziaria come Come per richiedere password al fine di aggregare informazioni per gli utenti. Oltre a rappresentare un rischio per la sicurezza, afferma Hammer-Lahav, in realtà non è il modo migliore per i siti di condividere informazioni. I siti di aggregazione devono spesso eliminare le informazioni finanziarie dalle pagine bancarie addestrando il loro software a cercare determinati indizi nella fonte della pagina che segnalano i dati chiave. Il problema, dice, è che se la banca ridisegna l'aspetto di una pagina, quegli indizi potrebbero cambiare, rendendo l'aggregatore incapace di leggere le informazioni. Un sistema come OAuth, afferma Hammer-Lahav, consente ai siti di condividere direttamente le informazioni.
L'idea di questo tipo di sistema non è nuova, dice Terrell Russell , cofondatore del sistema di gestione dell'identità online ID reclamo . Google , ad esempio, dispone di un protocollo proprietario esistente con funzionalità simili a quelle di OAuth. Tuttavia, dice Russell, la mancanza di un unico standard ostacola gli sviluppatori e li incoraggia a chiedere nomi utente e password. Russell afferma che risolvere il problema di consentire ai servizi Web di condividere i dati in modo sicuro diventerà solo più importante man mano che più dati verranno migrati sul Web.
OAuth viene implementato da Twitter e Ma.gnolia e parti dello standard vengono visualizzate in Google's OpenSocial piattaforma. Sebbene la versione iniziale sia un protocollo di base contenente le basi dello scambio di token tra siti, Hammer-Lahav afferma che le versioni successive daranno agli utenti un controllo più preciso su come concedere l'accesso ai propri dati.