Geen zakelijke internet transacties en web services zonder identity management

Identity management - de naam zegt het al - draait om het beheer van identiteiten. In de practijk gaat het dan vooral om gebruikersaccounts op systemen. Dat zijn er inmiddels onhandelbaar veel geworden. Een particulier heeft er verschillende voor bijvoorbeeld Amazon, eBay, Alex en Yahoo!. Een werknemer heeft die voor toegang tot het VPN, voor het intranet en voor allerlei specifieke bedrijfsapplicaties.

Voor gebruikers zijn al die verschillende logins, paswoorden en tokens in eerste instantie vooral lastig. Wanneer zij er om die reden niet meer zorgvuldig mee om gaan, komt daarmee echter ook de veiligheid in het geding. Deze problematiek is de afgelopen jaren wel een stuk minder geworden omdat - zij het vooral om beheerstechnische redenen - het gebruikersbeheer steeds meer wordt gecentraliseerd. Op LDAP (Lightweight Directory Access Protocol) gebaseerde directory servers als Novell NDS/eDirectory, Microsoft Active Directory en Netscape Directory Server hebben daarbij een belangrijke rol gespeeld.

Betalingsverkeer

Aanbieders van producten en diensten op Internet hebben op hun eigen manier met ditzelfde probleem te maken. Zij zouden graag de omzetten van hun e-business en e-commerce sites stimuleren door het gebruik ervan te vergemakkelijken. Zij hebben daartoe echter geen eenvoudige mogelijkheden beschikbaar, zonder daarbij ook concessies te doen aan de veiligheid van het bijbehorende betalingsverkeer.

Om het beginnende vertrouwen in deze moderne manier van zaken doen en winkelen niet te schaden, moeten klanten op dit moment gek genoeg op elke web site waar men iets aan wil schaffen steeds een compleet nieuw account aanmaken. Daarbij moeten regelmatig ook de creditcard gegevens worden achtergelaten. Behalve dat kopers hun persoonlijke gegevens, en zeker hun creditcard nummers, niet overal op Internet willen hebben "rondslingeren", zijn al die verschillende accounts voor hen niet meer te overzien. Er zijn wel oplossingen specifiek gericht op het doen van veilige betalingen op Internet gebaseerd op een centraal systeem - denk aan betalingsintermediairs als Bibit, PayPal en Secoin - maar ook die lossen maar een heel specifiek gedeelte van de problemen op.

Gedistribueerde applicaties

Niet alleen mensen maar ook software applicaties hebben identiteiten. Agents, die namens hun eigenaar (en dus gebruikmakend van zijn identiteiten) allerlei elektronische taken kunnen uitvoeren, kennen we al langer. Nieuw zijn de gedistribueerde applicaties die veilige toegang moeten krijgen tot web services op andere systemen, en steeds vaker op systemen van hele andere organisaties.

Met name die web services hebben identity management een enorme impuls gegeven. Enerzijds doordat het gebruik van gedistribueerde web services een goede infrastructuur voor identificatie, authenticatie en autorisatie vereist. Anderzijds doordat web services als technologie een dergelijke infrastructuur ineens veel dichterbij hebben gebracht.

Identity Management

Federated Identity Management (FIM) biedt gebruikers een centrale ingang voor het beheer en de opslag van hun identificatie en authenticatie informatie. Daarmee wordt het voor particuliere en zakelijke gebruikers gemakkelijker en veiliger om op of via Internet zakelijke relaties aan te gaan en transacties uit te voeren. Bovendien hebben de eigenaren nu zelf de mogelijkheid hun eigen identiteiten te beheren (self-service). Zij zijn daarmee niet alleen verantwoordelijk voor de inhoud, maar bepalen ook wie precies toegang kan krijgen tot welke informatie.

Internet ondernemers verliezen daarmee weliswaar gedeeltelijk de directe controle over de persoonlijke gegevens van hun relaties, maar blijven hun eigen resources - bijvoorbeeld klantinformatie - en identificatie en authorisatie informatie gewoon zelf beheren. Een onderneming wil en moet immers bepaalde zaken van zijn relaties weten om zijn producten en diensten te kunnen leveren.

De voordelen voor beide partijen zijn evident. Het beheer van de persoonlijke gegevens zit daar waar die thuishoort: bij de eigenaar. Ondernemingen zijn af van het moeizame vergaren van persoonlijke identiteitsgegevens, dat het opbouwen van elektronische relaties met klanten en partners meer kwaad dan goed doen. Andere plussen zijn de grotere veiligheid, de interoperabiliteit van diensten voor zowel systemen (aan elkaar geknoopte web services) als voor mensen (producten en diensten voor particuliere en zakelijke gebruikers), de snellere ontwikkeling van nieuwe toepassingen, en lagere kosten (door centraal beheer en verregaande automatisering). Maar het belangrijkste is dat zo de elektronische relaties met klanten en andere bedrijven versoepeld kunnen worden. En dat is iets wat men direct in de omzet terug zal kunnen zien.

Vertrouwen

Een centrale ingang voor het beheer en de opslag van identificatie en authenticatie informatie biedt enorme voordelen voor zowel afnemers als aanbieders van elektronische diensten, of het nu gaat om particuliere of zakelijke gebruikers, of om op web services gebaseerde gedistribueerde software systemen. FIM faciliteert in feite een elektronische evenknie van een marktevenwicht in identificatie en authenticatie informatie die er in de fysieke wereld al lang is.

Het belang daarvan en de behoefte daaraan mogen duidelijk worden als we bezien hoe weinig vertrouwen er is in elektronische ondernemingen. De manier waarop we met aanmeldingen bij web sites omgaan, spreekt wat dat betreft boekdelen. Veel mensen gebruiken bijvoorbeeld meerdere fake e-mail adressen van bijvoorbeeld Yahoo! of Hotmail om te communiceren met de bedrijven waar ze producten of diensten afnemen. Bedrijven kunnen het immers niet laten om hun klanten daarna elektronisch (en dus in eerste instantie spotgoedkoop) te benaderen met hun "aanbiedingen" en "diensten". Laat je te vaak je echte e-mail adres op dit soort sites achter, dan komt dat gegarandeerd in allerlei spamlijsten terecht, en kun je - als je je dat kunt veroorloven - weer een nieuw e-mail adres aanmaken en naar alle vrienden, bekenden en relaties sturen.

Iets soortgelijks doen we als op een site verplicht zijn ook velden als telefoonnummers, inkomen, wat we doen en in welke sector, en het aantal werknemers van ons bedrijf in te vullen. Alle verplichte velden worden zonder kijken op zomaar iets ingesteld, zodat we zo snel mogelijk weer verder kunnen klikken naar waar we echt naar op zoek waren. Dat een dermate sterk vervuilde database niets waard is, komt bij deze bedrijven niet op. Sterker nog, er zijn op Internet zelfs "serieuze" bedrijven te vinden waar je zonder een account te openen, van alles in te moeten vullen en vervolgens in te loggen, niet eens meer verder komt dan die kale home page met alleen dat aanmeldingsformulier en een login knop.