Статья только в электронной версии журнала
ТЕХНИЧЕСКИЕ НАПРАВЛЕНИЯ
Liberty Alliance должен предоставить пользователям больше свободы
Вот было бы здорово, если бы всю поездку, включая билеты, гостиницу и машину, можно было заказать на одном-единственном сайте, не проходя вновь и вновь регистрацию на других! Такого же мнения придерживается и Liberty Alliance Project - консорциум производителей и потребителей ИТ, ставящий своей целью выработку единых стандартов управления идентификацией. Совсем недавно эта организация опубликовала вторую версию спецификации на инфраструктуру Web-сервисов Liberty Alliance Web Services Frameworks Phase 2, которая обещает сделать подобную идентификацию реальностью.
Такой возможности с нетерпением дожидаются очень многие производители, причем не только сторонники Liberty Alliance вроде Sun и VeriSign, но и компании, поддерживающие другие стандарты, например IBM и Microsoft. Единая регистрация и федеративное управление идентификаторами очень удобны для работы со множеством приложений и порталов в пределах одной крупной организации.
А как насчет единой регистрации для выхода на другие Web-сайты и Web-сервисы? Я имею в виду, что было бы неплохо переходить с одного такого сайта или сервиса к другому, связанному с ним, не регистрируясь заново. Правда, в моем списке пожеланий к комфортности Интернета это стоит далеко не на первом месте. Думаю, и другие пользователи согласятся на такое маленькое удобство лишь в том случае, если оно будет не в ущерб их конфиденциальности и безопасности.
Члены Liberty Alliance прекрасно сознают, что это - одно из главных препятствий на их пути. В свою вторую версию спецификации они включили руководство по передовому опыту в области конфиденциальности и безопасности, предназначив его тем компаниям, которые приступают к управлению идентификаторами на базе принципов альянса. Такой шаг можно было бы только приветствовать, если бы не проблема разнообразия стандартов и сложность претворения этого передового опыта в жизнь. Ознакомившись с предлагаемым руководством, сразу же отмечаешь, что здесь слишком часто встречается слово "следует" и почти нет слов "необходимо" или "обязательно".
| Слишком многие компании и владельцы Web-сайтов лишь декларируют свою приверженность конфиденциальности, а на деле хватаются за любую возможность, чтобы использовать получаемые личные данные в своих корыстных интересах. |
Вся история "Всемирной паутины" наглядно демонстрирует, что очень многие компании и владельцы Web-сайтов лишь декларируют свою приверженность конфиденциальности, а на деле хватаются за любую возможность, чтобы использовать получаемые личные данные в своих корыстных интересах. При входе на любой сервер вы обязательно увидите броское заявление о четкой политике конфиденциальности, но вслед за этим зачастую вам подсовывают браузерную лицензию, которая, стоит вам щелкнуть мышью на любой ссылке, начисто отметает все красивые слова о защите ваших данных.
Я вовсе не хочу сказать, что Liberty Alliance Web Services Framework не предлагает достойных механизмов обеспечения конфиденциальности и безопасности. Нет-нет, здесь предусмотрены хорошие средства для этого. Новая спецификация определяет надежные профили безопасности и функции совместного применения атрибутов на разрешительной основе, которые обеспечивают конфиденциальность пользователя и предоставляют ему полный контроль над тем, какая информация может быть передана в общее пользование.
Однако для четкой работы всех этих механизмов очень важно правильно реализовать их на сайте. Web-сервер или группа таких серверов и Web-сервисов, поддерживающих подобную функцию, позволяют выбирать, когда и где они могут совместно работать с данными, а также контролировать объем общих данных. Но может случиться и так, что пользователь лишь будет думать, что все у него под контролем, а на самом деле картина будет обратной.
У Liberty Alliance есть лучший путь. Чтобы пользователи чувствовали себя в безопасности при федеративной идентификации и единой регистрации в различных Web-сервисах и на сайтах, им следует предоставить больше свободы. Они должны сами решать все эти вопросы независимо от того, как реализованы правила конфиденциальности на сайтах и в сервисах.
Мне очень хотелось бы, чтобы Liberty Alliance добавил в свою спецификацию механизмы, позволяющие сторонним производителям создавать такой инструментарий, который обеспечил бы пользователям полный контроль своих данных. Хорошей моделью для этого могла бы послужить спецификация управления идентификацией Shibboleth, предложенная группой Internet2 для применения в научных учреждениях. Здесь предусмотрены специальные средства управления, и благодаря им окончательное слово насчет способа работы с данными остается за потребителем.
Как ни близка спецификация Liberty Alliance к этому, она все же чересчур полагается на готовность разработчиков сервиса или сайта сделать все правильно. Я знаю, насколько трудно консорциуму производителей и компаний ИТ вносить изменения, которые расширяют права пользователей, однако без таких усилий комфортной системы федеративной идентификации создать не удастся.
А комфорт здесь очень важен, ведь если пользователи не станут заглядывать на ваш сайт, то идентификаторами и управлять не придется.
С директором eWeek Labs Джимом Рапозой можно связаться по адресу: jim_raposa@ziffdavis.com.
