Облака диктуют новые «заповеди» идентификации

По мнению Симмондса, нынешние системы аутентификации рассчитаны на компьютеры, а не на людей. Фото: www.opengroup.org

Jericho Forum, международная организация, разрабатывающая и пропагандирующая концепции депериметризации — избавления сетей организаций от внешней границы путем переноса защиты данных на различные уровни внутренней инфраструктуры, опубликовала перечень рекомендаций, призванных помочь организациям и ИТ-отрасли в разработке систем и процессов управления идентификацией, основанных на оптимальных методах. Как отмечают в Jericho, потребность в изменении правил проектирования идентификационных систем обусловлена массовым переходом на облачные вычисления.

Документ получил название Identity, Entitlement and Access Management (IdEA). Он призывает к применению открытых и интероперабельных стандартов, на основе которых можно было бы строить процессы управления идентификацией в глобальных, депериметризованных инфраструктурах.

Основной тезис документа в том, что новые, контролируемые пользователем или ресурсно-ориентированные процессы управления идентификацией и доступом обходятся дешевле и являются более защищенными, чем традиционные механизмы, ориентированные на приложения или системы.

«'Заповеди' IdEA разработаны в качестве эталона для оценки концепций, решений, стандартов и систем идентификации, обоснования права и управления доступом», — говорится в документе.

По мнению Пола Симмондса, президента Jericho Forum, технологии облачных вычислений являются самым экстремальным образцом депериметризации и служат одной из главных движущих сил, заставляющих организации следовать новым правилам управления идентификацией.

Согласно документу Jericho Forum, один из ключевых принципов — это обеспечение защиты и целостности корневых идентификационных сведений (core identities), то есть основных данных, удостоверяющих личность людей. Идентификационным сведениям необходим такой уровень защиты, чтобы полностью их вообще не требовалось раскрывать. Например, человек может лишь указать, что ему больше 18, но не раскрывать при этом своей полной даты рождения.

Качественное решение для управления идентификацией позволит людям или организациям заводить по нескольку разных «персон», имеющих свои уникальные идентификаторы. Пользователи также должны иметь возможность заменять активную персону на другую с полным сохранением взаимосвязей прежней. Однако есть исключения. В некоторых обстоятельствах допустимо использование только одной цельной персоны, например, у человека может быть всего один голос при голосованиях.

Сам владелец персоны должен решать задачи хранения сведений о себе (своих атрибутов), а также их обновления и раскрытия лишь в такой степени, чтобы по ним невозможно было выяснить корневой набор сведений.

Однако это не означает, что атрибуты должны быть чрезмерно сложными. Как считают в Jericho Forum, атрибуты должны быть простыми и удостоверяемыми. Специалисты форума полагают, что решения для управления идентификацией должны допускать делегирование задачи верификации, поскольку это отвечает традиционным особенностям работы и взаимодействия друг с другом компаний и других организаций.

«Облако — это самый экстремальный пример депериметризованной инфраструктуры, поэтому облачные вычисления можно назвать главной движущей силой новых 'заповедей' идентификации, — уверен Симмондс. — Если ваша идентификационная система окажется применимой для облака, то в любых других инфраструктурах она сможет работать автоматически».

Ресурсно-ориентированное управление идентификацией и доступом обходится дешевле и является более масштабируемым, чем традиционные механизмы, ориентированные на приложения или системы, убеждены в Jericho Forum.

«Пароли морально устарели, — полагает Симмондс. — Чтобы корневыми идентификаторами можно было пользоваться в век Интернета, они должны быть под контролем самого пользователя. А чтобы дать ему такой контроль, необходимы системы управления доступом к идентификационным сведениям и активами идентификации. На сегодня эти два механизма реализованы абсолютно неверно, причем такой неверный подход применяется уже очень давно».

По мнению Симмондса, все существующие технологии идентификации представляют собой не более чем временные решения, неприменимые в глобальной депериметризованной, совместно используемой среде.

Корень проблемы в том, полагает Симмондс, что нынешние системы аутентификации рассчитаны на компьютеры, а не на людей, и что федерирование существующих систем управления доступом к идентификационным данным не дает необходимого масштабирования: «Из-за того что старые механизмы управления идентификацией неработоспособны, сейчас множество разработчиков предлагают решения-паллиативы».

Симмондс также убежден, что попытки предоставить человеку «суперперсону», например, посредством выдачи национальной идентификационной карточки сопряжены с определенной опасностью: «Проблема в том, что такая суперперсона становится вашим псевдокорневым набором идентификаторов, которым вы лично не можете управлять, а это никуда не годится».