IBM doneert privacytool aan opensourcegemeenschap

IBM heeft zijn Identity Mixer-software aan het Higgins-opensourceproject gedoneerd. Het bedrijf hoopt op deze manier de verdere ontwikkeling van de identiteitsmanagementsoftware te steunen. Higgins wordt gesteund door onder meer Novell en IBM zelf.

Het idee achter Identity Mixer is dat gebruikers in plaats van persoons- of creditcardgegevens een setje geëncrypteerde digitale accountgegevens overhandigen bij online transacties. De verkopende partij kan deze gegevens vervolgens laten verifiëren bij de bank of de overheid, die op hun beurt ook de goedgekeurde transacties uitvoeren. Het grote voordeel hiervan, aldus de IBM-onderzoekers, is dat de retailer op geen enkel moment persoons- of bankgegevens van zijn klanten in handen zal hebben. Hiermee kan dus bijvoorbeeld voorkomen worden dat bij een digitale inbraak bij een winkel ook persoons- en bankgegevens op straat komen te liggen. De setjes versleutelde gegevens kunnen eenmaal gebruikt worden. IBM is ervan overtuigd dat dit soort software kan helpen om het vertrouwen in de veiligheid op internet te vergroten. De reden dat de broncode van de Identity Mixer-software aan het Higgins-project is gedoneerd, is dat men daar al werkte aan programmatuur voor identiteitsmanagement. Het is de bedoeling dat later dit jaar een eerste officiële versie van Higgins zal worden vrijgegeven, aldus een van de betrokken projectleiders.

Reacties (10)

[egeltje]

Ik hoop dat het kunnen overleggen van certificaten aan de verkoper genoeg is voor authenticatie. Als die verkoper vervolgens iedere keer nog eens bij de uitgever van die certificaten (overheid, bank) gaat verifieren, dan blijf je nog steeds een centrale plek houden waar al je handelingen te controleren zijn.

Ik wil graag een digitaal 'rijbewijs' dat door iedereen als authenticatie wordt geaccepteerd, maar waarvan de validiteit niet telkens centraal hoeft te worden gecontroleerd. De ontvanger vertrouwt de uitgevende instantie (overheid) en daarmee impliciet de gegevens op het rijbewijs. Het bezit van het rijbewijs en het lijken op de foto (of het hebben van het juiste wachtwoord) is voldoende om in de echte wereld aan te tonen dat jij inderdaad jij bent. Dat wil ik ook online kunnen.

[overhyped]

Maar wat als jouw "rijbewijs" "compromised" wordt? wanneer iemand jouw key jat? wanneer je om wat voor reden dan ook niet meer te vertrouwen bent? Dan is er een zwarte lijst erg prettig om te kunnen controlleren of dat "rijbewijs" nog geldig is of niet.

Dit kan trouwens zonder iedere transactie bij een centrale organisatie te valideren: door periodiek een zwarte lijst uit te geven kan dit met een zekere regelmaat gedaan worden, de periode is dan weer afhankelijk van hoe secure je alles wil heen.

PS. vervang rijbewijs door certificaat, zwarte lijst door CRL en we hebben in eens een pki omschrijving Maar daar ging deze post niet (alleen) over

[Blokker_1999]

Als jouw certificaat gestolen word heb jij geen enkele methode meer om het te blokkeren als het automatisch overal aanvaard word. Daarom dat je altijd via een centrale controle dient te gaan.

Gebruik je een credit of debit card in een winkel dan word ook altijd nagegaan of deze nog geldig is.

[McChouffe]

Is dat net niet het hele concept van de digitale identiteitskaart? In een kaartlezer proppen, pin-code ingeven en men is zeker dat jij het bent (tenzij iem je pin en ID gepikt heeft natuurlijk).

[Stefanic]

Moet zeggen dat het hele idee wel verdacht veel lijkt op het verhaal van Microsoft CardSpace.

Toevallig onderzoek naar gedaan en daar werk je ook met Identity Providers die je gegevens controleren op waarheid.
Enigste verschil is dat degene die de gegevens wil hebben ze daadwerkelijk wel krijgt.

[BRAINLESS01]

Dan is dit idee toch een stuk beter, het idee van microsoft lijkt wel erg veel op hoe credit cards nu werken en is dus totaal niet vernieuwend.

[Pieter...]

iDeal heeft in principe ook dezelfde eigenschappen: geen klantgegevens overdragen aan de online winkel, alleen geld.

[Titulanix]

Het grote voordeel hiervan, aldus de IBM-onderzoekers, is dat de retailer op geen enkel moment persoons- of bankgegevens van zijn klanten in handen zal hebben.

En als de winkelier mijn naam en adres niet heeft, hoe gaat hij het gekochte artikel dan versturen? Dan moet TNT zeker ook nog meedoen in de secure transactie, zodat die wel mijn adres krijgen, maar niet weten wat ik heb gekocht en bij wie.

[Goof2000]

Hoe wou TNT mij een mp3 song bezorgen?
Wat dacht je van die key voor het softwarepakket.
Je hebt natuurlijk wel een punt, maar je kunt altijd nog een aflever adres invullen wat dan wel bij de handelaar bekend is.

[Blokker_1999]

Facuratie adres en leverings adres zijn niet altijd gelijk, en niet alle online aankopen moeten ook geleverd worden.