Преимущества децентрализованного идентификатора (DID) по сравнению с федеративным идентификатором
Стандарт децентрализованной идентификации (DID) в настоящее время разрабатывается W3C (см. Здесь). Каковы преимущества и недостатки этого нового стандарта по сравнению с существующими механизмами федеративной идентификации, такими как OpenID и SAML? Почему консорциум организаций выбирает DID вместо традиционных федеративных подходов к идентификации?
1 ответ
Отличный вопрос!
Реализации традиционных фреймворков аутентификации (например, провайдеры OAuth/OpenID) в настоящее время (без необходимых расширений) основаны на фундаментальном предположении, что идентификаторы, с которыми пользователи совершают транзакции (например, имена пользователей и адреса электронной почты), принадлежат централизованному провайдеру и по существу предоставлены вам. Они также обычно предполагают, что ваши личные данные и данные приложений находятся под контролем провайдера, который может получить к ним доступ в любое время.
Децентрализованная идентификация, с другой стороны, представляет собой совершенно другой набор функций и моделей, которые почти на 180 градусов отличаются от существующих традиционных схем идентификации - вот два наиболее важных компонента:
Децентрализованные идентификаторы (DID) - это спецификация, которая описывает стандартный формат данных и структуру для использования децентрализованных систем, чтобы дать пользователям возможность создавать и контролировать свои собственные идентификаторы независимо от централизованного объекта. Это очень мощно. Это означает, что ваш идентификатор теперь 1) действительно ваш, 2) не может быть взят у вас произвольно и 3) что он (+ поддерживающие его криптографические ключи) может использоваться для подписи удостоверений личности. Это означает, что вас нельзя деплатформировать, вы не можете потерять свой идентификатор при закрытии бизнеса или подвергнуться воздействию организаций, утверждающих, что они с чем-то не согласны (с помощью подтверждающих документов, которые вы можете создать).
Организации с открытым исходным кодом и стандартами (например, Decentralized Identity Foundation - https://identity.foundation/) также работают над другим ключевым компонентом децентрализованной идентификации: зашифрованными личными хранилищами данных. Этот компонент децентрализованного стека удостоверений представляет собой еще один важный сдвиг в пользовательской модели: вместо того, чтобы крупные компании и поставщики платформ хранили все ваши данные в хранилище, к которым они могут получить доступ на досуге, которые подвергались злоупотреблениям и нарушениям, ваши данные живут в личные хранилища данных, которые зашифрованы ключами, связанными с вашими децентрализованными идентификаторами. Это означает, что вы управляете своими данными и тем, с кем вы обмениваетесь ими - в этой модели даже поставщик инфраструктуры экземпляра личного хранилища данных не может получить к ним доступ.
Технологии / стандарты децентрализованной идентификации предоставят пользователям уровень контроля, конфиденциальности и безопасности, которого никогда не было в нашем цифровом мире, и по этой причине я искренне рад тому, что нас ждет!
ОБНОВЛЕНИЕ: из-за неточностей, представленных другим комментатором в отношении использования децентрализованных идентификаторов в потоках OIDC, я должен указать, что, хотя OIDC является очень разрешительной структурой, в настоящее время нет ратифицированного профиля OIDC для выполнения децентрализованного обмена идентификаторами официальным и надежным способом. Есть несколько групп (наша команда в Microsoft и различные участники в Decentralized Identity Foundation), которые работают над прохождением официального профиля OIDC для децентрализованных идентификаторов. Вот библиотека, которую вы можете использовать для обмена аутентификацией DID, совместимого с OIDC, которая отражает предстоящий профиль OIDC для DID (который мы обновим для отслеживания спецификации, если это необходимо): https://github.com/decentralized-identity/did-auth-jose/blob/master/docs/OIDCAuthentication.md