À propos des cartes d'informations et de l'identité numérique

L'Internet est de plus en plus précieux et pourtant il doit encore faire face à d'importants défis. Le vol d'identité, la fraude et des questions liées à la confidentialité en ligne augmentent. Les utilisateurs doivent faire le suivi d'un nombre croissant de comptes et de mots de passe. Cette contrainte provoque la "fatigue du mot de passe" et entraîne des pratiques dangereuses, telles que la réutilisation des mêmes noms de compte et mots de passe sur de nombreux sites.

CardSpace correspond à l'implémentation de Microsoft d'un métasystème d'identités qui permet aux utilisateurs de choisir à partir d'un portefeuille d'identités qui leur appartient et de les utiliser dans les contextes où elles sont acceptées, indépendamment des systèmes d'identité sous-jacents d'où les identités proviennent et où elles sont utilisées. Cette rubrique explique le problème et la solution CardSpace plus en détail et indique comment les utilisateurs Windows Communication Foundation (WCF) peuvent employer CardSpace. Bon nombre de ces problèmes proviennent de l'absence d'une solution d'identité adoptée largement sur Internet.

Possibilités et défis

Pour les utilisateurs et les entreprises, l'Internet continue à être de plus en plus précieux. Les gens sont de plus en plus nombreux à utiliser le Web pour des tâches ordinaires, que ce soit pour faire des courses, des opérations bancaires et payer des factures. L'e-commerce grandit, avec des entreprises offrant toujours plus de services et de contenu sur Internet, communiquant et collaborant en ligne et inventant des nouvelles manières de se connecter les uns aux autres.

Mais tout comme la valeur des activités des gens en ligne a augmenté, l'Internet lui-même est devenu plus complexe et dangereux. Le vol d'identité, la fraude et des questions liées à la confidentialité en ligne augmentent. Et des pratiques de plus en plus sophistiquées telles que l'"hameçonnage" sont inventées. En réponse, une multitude de systèmes conçus pour protéger l'identité ont été imaginés. La diversité entraîne la "fatigue du mot de passe" mentionnée précédemment et des pratiques potentiellement dangereuses.

À l'origine, l'Internet n'a pas été conçu avec un système d'identité numérique. Dans un effort pour combler ce manque, de nombreux systèmes d'identité numériques ont été introduits, chacun avec ses propres forces et faiblesses. Mais aucun système unique ne satisfait les spécifications de chaque scénario d'identité numérique. En réalité, de nombreux systèmes d'identité différents sont aujourd'hui en cours d'utilisation, et beaucoup d'autres sont sur le point d'être inventés. Le résultat est un patchwork incohérent de solutions improvisées pour chaque site Web, fragilisant l'ensemble du système et limitant une réalisation plus complète de l'e-commerce tant attendu.

Métasystème d'identités ouvert

Étant donné que l'adoption universelle d'un système ou d'une technologie d'identité numérique unique ne se produira probablement jamais, une solution d'identité pour l'Internet réussie et largement employée requiert une approche différente : une solution ayant la capacité de connecter des systèmes d'identités existants et à venir dans un métasystème d'identités (ou « système de systèmes »). Ce métasystème tire parti des forces des systèmes d'identités le constituant, fournit leur interopérabilité et active la création d'une interface utilisateur cohérente et simple pour tous. Les améliorations apportées au cyberespace profitent à tous, afin de faire de l'Internet un lieu plus sûr avec la possibilité de faire progresser l'e-commerce, de combattre l'hameçonnage et de résoudre d'autres défis liés à l'identité numérique.

Maintenir la diversité de systèmes

Dans le monde réel, les gens possèdent plusieurs types d'identification dans leurs portefeuilles, tels que des permis de conduire ou d'autres cartes d'identité émises par le gouvernement, des cartes de crédit et des cartes de grands voyageurs. Les gens contrôlent quelle carte utiliser et quelles informations révéler selon les situations.

De la même manière, le métasystème d'identités simplifie la sécurité des utilisateurs, ainsi que leur contrôle lorsqu'ils accèdent aux ressources sur Internet. Il laisse les utilisateurs sélectionner une identité parmi un portefeuille d'identités numériques et les utiliser dans le cadre de services Internet de leur choix où elles sont acceptées. Le métasystème active des identités fournies par une technologie de système d'identités à utiliser dans des systèmes basés sur différentes technologies, à condition qu'il existe un intermédiaire comprenant les deux types de technologies et disposé à faire les traductions requises pour lesquelles il aura été approuvé.

Il est important de noter que le métasystème d'identités ne rivalise pas avec les systèmes d'identité qu'il connecte, ni ne les remplace. Au contraire, l'objectif du métasystème d'identités est de connecter des systèmes d'identités individuels, en autorisant l'interopérabilité déportée entre eux, afin de fournir aux applications une représentation indépendante du type de technologie d'identités et d'offrir une expérience plus cohérente à l'utilisateur avec elles. Le métasystème compte sur les systèmes individuels pour fonctionner.

Identités dans le contexte

Les identités détenues par une personne dans le monde réel peuvent varier des plus significatives, telles que les certificats de naissance, passeports et permis de conduire, aux plus simples, comme les cartes de visite ou les cartes de fidélité. Les gens utilisent leurs différents types d'identification selon les contextes où ils sont acceptés.

Les identités peuvent dépendre ou non du contexte. Les identités utilisées hors contexte n'apportent pas le résultat désiré en général. Par exemple, essayer d'utiliser une carte de fidélité pour traverser une frontière est clairement hors contexte. En revanche, une carte bancaire à un GAB, une pièce d'identité émise par un gouvernement à une frontière, une carte de fidélité dans un commerce et un compte Passport Network (autrefois .NET Passport) sur MSN Hotmail sont clairement des utilisations correspondant au contexte.

Dans certains cas, la distinction est moins claire. Vous pouvez utiliser une pièce d'identité émise par le gouvernement à un GAB au lieu d'une carte bancaire, mais si cela avait pour conséquence d'informer le gouvernement de chaque transaction financière, certaines personnes n'apprécieraient pas. Vous pouvez utiliser un numéro de sécurité sociale comme numéro d'étudiant, mais cela facilite le vol d'identité. Et vous pouvez utiliser des comptes Passport sur quelques sites n'appartenant pas à Microsoft, mais peu de sites ont choisi de les activer. Même lorsque ça a été le cas, peu d'utilisateurs en ont fait l'usage car ils ont pensé que la participation de Microsoft dans ces interactions était hors contexte.

L'expérience du Passport et d'autres initiatives d'identité numériques dans l'ensemble de l'industrie a mené à travailler avec une grande variété d'experts du secteur pour définir un ensemble de principes fondamentaux pour un système d'identité numérique sur Internet réussi, largement adopté et résistant. La section suivante décrit ces principes.

Principes ("lois d'identité")

Le métasystème d'identités ouvert est conçu pour suivre un ensemble de principes (également appelé les "lois d'identité") qui ont été développés avec les commentaires et informations continus d'une vaste communauté de personnes actives au sein de la communauté d'identité numérique.

Les principes qu'un système d'identités doit suivre sont les suivants.

• Contrôle et consentement de l'utilisateur
  Les systèmes d'identités révèlent des informations qui identifient un utilisateur uniquement avec son consentement.

• Divulgation minime pour une période limitée
  La solution d'un système d'identités qui divulgue le moins d'informations d'identification est la solution la plus stable à long terme.

• Parties justifiables
  Les systèmes d'identités divulguent uniquement des données d'identification aux parties qui ont une place nécessaire et justifiable dans une relation d'identité donnée.

• Identité dirigée
  Les systèmes d'identité prennent en charge à la fois les identificateurs "omnidirectionnels" à des fins d'utilisation par les entités publiques et les identificateurs "unidirectionnels" à des fins d'utilisation par les entités privées, par conséquent, en vue de faciliter la découverte tout en empêchant l'émission inutile de handles de corrélation.

• Pluralisme d'opérateurs et de technologies
  Les systèmes d'identités canalisent et activent les mécanismes internes de plusieurs technologies d'identité exécutés par plusieurs fournisseurs d'identité.

• Intégration humaine
  Les systèmes d'identités définissent l'utilisateur humain pour qu'il soit un composant du système distribué, intégré à l'aide de mécanismes de communications ordinateur-humain non équivoques qui offrent la protection contre des attaques d'identité.

• Expérience cohérente à travers les contextes
  Les systèmes d'identités facilitent la négociation entre une partie de confiance et l'utilisateur d'une identité spécifique. Cela a pour résultat une interface harmonieuse humaine et technique tout en autorisant l'autonomie d'identité dans différents contextes.

Architecture du métasystème d'identités ouvert

Cette section présente l'architecture générale d'un métasystème d'identités ouvert.

Rôles

Les différentes parties participent de différentes manières au métasystème. Les rôles suivants au sein du métasystème sont :

• Les fournisseurs d'identité émettent des identités. Par exemple, les fournisseurs de cartes de crédit peuvent émettre des identités qui activent le paiement, les entreprises peuvent émettre des identités pour leurs clients, les gouvernements peuvent émettre des identités pour les citoyens et les individus peuvent utiliser des identités auto-publiées dans des contextes comme la signature sur des sites Web.

• Les parties de confiance requièrent des identités. Par exemple, un site Web ou service en ligne qui utilise des identités offertes par d'autres parties.

• Les sujets sont les individus et d'autres entités à propos desquels les revendications sont faites. Les exemples incluent des utilisateurs finaux, des sociétés et des organisations.

Chaque personne et chaque entité qui participent à un métasystème d'identités peuvent jouer tous les rôles, et chaque personne et chaque entité peuvent jouer plusieurs rôles à la fois. Il arrive souvent qu'une personne ou une entité joue ces trois rôles simultanément.

Composants

Cette section décrit les composants et concepts clés du métasystème.

Le métasystème est composé de cinq composants clés :

1. Une méthode pour représenter des identités à l'aide de revendications.

2. Un moyen de négocier pour les fournisseurs d'identité, les parties de confiance et les sujets.

3. Un protocole d'encapsulation pour obtenir des revendications et des spécifications.

4. Un moyen de lier la technologie et les limites organisationnelles à l'aide de la transformation de revendications.

5. Une expérience utilisateur cohérente à travers plusieurs contextes, technologies et opérateurs.

Identités basées sur les revendications

Les identités se composent de jeux de revendications affirmées à propos du sujet de l'identité. Par exemple, les revendications sur un permis de conduire peuvent inclure l'état émetteur, le numéro du permis de conduire, un nom, une adresse, un sexe, une date de naissance, les types de véhicules que l'utilisateur du permis est autorisé à conduire, et ainsi de suite. L'état émetteur affirme que ces revendications sont valides.

Les revendications sur une carte de crédit peuvent inclure l'identité de l'émetteur de la carte, le nom du titulaire de la carte, le numéro de compte, la date d'expiration, le code de validation et la signature du titulaire. L'émetteur de la carte affirme que ces revendications sont valides.

Les revendications sur une identité auto-publiée (telle qu'une carte de visite) peuvent inclure vos nom, adresse et numéro de téléphone. Pour les identités auto-publiées, vous affirmez que ces revendications sont valides.

Négociation

La négociation permet aux participants du métasystème de passer des accords leur permettant de se connecter les uns aux autres dans le métasystème. La négociation est utilisée pour déterminer des technologies, des revendications et des spécifications mutuellement acceptables. Par exemple, si un correspondant comprend les revendications SAML et X.509 et qu'un autre comprend les revendications Kerberos et X.509, les parties négocient et conviennent d'utiliser entre elles des revendications X.509. Un autre type de négociation détermine si les revendications requises par une partie de confiance peuvent être fournies par une identité particulière. Les deux types de négociation sont des exercices de correspondance simples ; ils comparent ce qu'une partie peut fournir en fonction de ce dont l'autre partie a besoin pour déterminer s'il peut y avoir correspondance.

Protocole d'encapsulation

Le protocole d'encapsulation offre un moyen technologique neutre permettant d'échanger des revendications et des spécifications entre les sujets, les fournisseurs d'identité et les parties de confiance. Les participants déterminent le contenu et la signification de ce qui est échangé, pas le métasystème. Par exemple, le protocole d'encapsulation pourrait permettre à une application de récupérer des revendications codées par SAML sans devoir comprendre ou implémenter le protocole SAML.

Transformateurs de revendications

Les transformateurs de revendications lient les limites organisationnelles et techniques en traduisant des revendications comprises dans un système en revendications comprises et validées par un autre système, en séparant ainsi la masse de clients et de serveurs des complexités de l'évaluation de revendication. Les transformateurs de revendications peuvent également transformer ou affiner la sémantique des revendications. Par exemple, une revendication affirmant, "Est un employé" peut être transformée en une nouvelle revendication, "OK pour acheter le livre". La revendication "Né(e) le 22 mars 1960" pourrait être transformée en "L'âge est supérieur à 21 ans", qui fournit intentionnellement moins d'informations. Les transformateurs de revendications peuvent également être utilisés pour modifier les formats des revendications. Par exemple, des revendications faites dans des formats tels que X.509, Kerberos, SAML 1.0, SAML 2.0, SXIP et autres, pourraient être transformées en revendications exprimées à l'aide de technologies différentes. Les transformateurs de revendications fournissent l'interopérabilité requise aujourd'hui, ainsi que la souplesse nécessaire pour intégrer de nouvelles technologies.

Expérience utilisateur cohérente

De nombreuses attaques d'identité réussissent parce que l'utilisateur a été trompé par un élément présent à l'écran, pas à cause de technologies de communication potentiellement dangereuses. Par exemple, les attaques d'hameçonnage ne se produisent pas dans le canal sécurisé entre les serveurs et les explorateurs Web, qui peuvent s'étendre sur des milliers de kilomètres, mais entre les quelques centimètres qui séparent le navigateur et l'être humain qui l'utilise. Le métasystème d'identités, par conséquent, cherche à autoriser des utilisateurs à prendre des décisions d'identité informées et raisonnables en activant le développement d'une interface utilisateur cohérente, compréhensible et intégrée permettant de faire ces choix.

Une clé permettant la sécurisation du système entier consiste à présenter une interface utilisateur facile à apprendre et prévisible dont l'apparence et le fonctionnement sont similaires, peu importe les technologies d'identité sous-jacentes employées. Une autre clé consiste à rendre les informations évidentes. Par exemple, l'affichage de l'identité du site auprès duquel vous vous authentifiez, d'une manière qui fait apparaître les tentatives d'usurpation d'adresse. L'utilisateur doit être informé des éléments d'informations personnelles que les parties de confiance demandent et dans quel but. Cela permet aux utilisateurs de faire le choix informé de divulguer ou non ces informations. Enfin, l'interface utilisateur offre à l'utilisateur un moyen de fournir son consentement actif concernant la divulgation, s'il accepte les conditions.

Spécifications WS-*

Comme d'autres fonctionnalités de WCF, la technologie CardSpace repose sur un jeu de caractéristiques ouvertes, l'architecture de Services Web WS-*. Le protocole d'encapsulation utilisé pour la transformation de revendications est WS-Trust. Les négociations sont menées à l'aide de WS-MetadataExchange et WS-SecurityPolicy. Ces protocoles activent la génération d'un métasystème d'identités de technologie neutre et forment l'"infrastructure d'intégration (backplane)" du métasystème d'identités. Comme d'autres protocoles de services Web, ils autorisent également de nouveaux types d'identités et de technologies à incorporer et à utiliser au fur et à mesure qu'ils sont développés et adoptés par le secteur.

Pour stimuler l'interopérabilité nécessaire en vue d'une adoption générale, les caractéristiques de WS-* sont publiées et disponibles pour tous, ont été et continuent d'être soumises aux organismes de normalisation ouverts et permettent que des implémentations soient développées libres de droits.

Scénarios de bout en bout

L'illustration suivante présente les processus de bout en bout qui se produisent lorsque vous utilisez CardSpace pour accéder à un site qui requiert la validation de l'utilisateur.

Conclusion

La plupart des problèmes rencontrés sur Internet aujourd'hui, depuis les attaques d'hameçonnage aux expériences d'utilisateurs incohérentes, viennent de la nature en patchwork des solutions d'identité numériques que les concepteurs de logiciels ont conçues sans système unifié et architecturé d'identité numérique. Un métasystème d'identités, tel que défini par les lois d'identité, fournit une structure unifiée d'identités numériques, utilise des systèmes d'identité existants et à venir, fournit l'interopérabilité entre eux et active la création d'une interface d'utilisateur cohérente et simple pour tous. En basant ses efforts sur les lois d'identité, Microsoft collabore avec le reste du secteur en vue de concevoir le métasystème d'identités à l'aide de protocoles WS-* publiés qui rendent les implémentations de Microsoft complètement interopérables avec celles produites par d'autres. L'implémentation par Microsoft de composants du métasystème d'identités correspond au système CardSpace.

Grâce à CardSpace, de nombreux dangers, complications, contrariétés et incertitudes liés aux expériences en ligne d'aujourd'hui peuvent disparaître. Le déploiement répandu du métasystème d'identités a le potentiel pour résoudre bon nombre de ces problèmes, en profitant à tout le monde et en accélérant la croissance de la connectivité à long terme en rendant le monde en ligne plus sûr, plus digne de confiance et plus facile à utiliser. Microsoft collabore avec le reste du secteur pour définir et déployer le métasystème d'identités.

Envoyer des commentaires sur cette rubrique à Microsoft.

Copyright ©2007 par Microsoft Corporation. Tous droits réservés.