Oggi mi son fatto una serie di pipponi mentali su dei concetti che ancora non mi sono del tutto chiari.
Ma cos’è OpenId? Secondo il sottoscritto, è un sistema di identità leggera.
|
E qui casca il palco. Infatti, il solo fatto che un tizio chiamato Gigi Cogo si sia registrato su un provider OpenId e abbia ottenuto una url come questa: http://claimid.com/gigicogo non significa assolutamente che dietro ci sia effettivamente il Gigi Cogo della vita reale! Quel provider mi ha chiesto solamente un email per verificare che la richiesta di identità digitale partisse da qualcuno che possiede un account di email. Troppo poco amico mio!
|
Però, tornando al mio pippone mentale, potrei dire che tutto sommato, il fatto di entrare o no nel cerchio della fiducia dipende anche dalla reputazione. Mi spiego meglio.
Se la mia pagina (la mia url di OpenId) fosse squallidamente vuota, allora potrei anche pensare che dietro all’identità digitale ci sia il vuoto.
Ma il vuoto di quella pagina può essere colmato dalla reputazione. E la reputazione, in questo caso, è l’elenco di tutte le mie attività di abitante della rete.
La domanda sorge spontanea: “Bastano i miei 250 contatti su Linkedin per garantire reputazione e possibile fiducia? Bastano i miei 16 blog censiti su Technorati per garantire reputazione e possibile fiducia? Bastano le mie 4459 foto su Flickr e tutti i friends associati per garantire reputazione e possibile fiducia? E bastano…………………
Insomma, se la reputazione è quella di un abitante della rete, è bastante e qualificante per poter infondere fiducia a chi deve gestire un social network e permettermi di dialogare o proporre contributi?
Il pippone è generato infatti da questo dilemma? E da una convinzione. Non voglio imporre STRONG AUTHENTICATION per un attività di questo tipo, se pur di livello professionale. Inoltre, i costi per un autenticazione certificata, con canale sicuro, ecc. ecc. sarebbe costosissima.
OpenId sarà pure un autenticazione debole, sarà pure una fiducia tutta da costruire, ma è un qualcosa è l’inizio di un qualcosa che pone la reputazione come possibile elemento di fiducia.
Per approfondire: Il blog di Openid.it curato da Claudio
Un servizio beta per l’Id personale certificata, consigliatomi da Mushin
Ovviamente OpenId.Net
E un paio di video:
Ovviamente………non sono ancora convinto di nulla :-)
#1 di Caludio il 11 novembre 2008 - 23:39
Intanto ti ringrazio della citazione :) Continuo a capire poco il motivo per cui tu voglia spingere OpenID in un terreno che non gli compete. Il web of trust, di GPG-iana memoria, è una cosa così seria che, appunto, ha alla base una certificazione “forte” della persona (al momento dello scambio, fisico, delle chiavi è obbligatorio presentare un documento). Le complessità e le problematiche di un sistema di trust a più livelli (gli amici degli amici degli amici sono miei amici, ma non troppo) esula poi totalmente dagli scopi di openid.
I sistemi per calcolare la valenza in rete di una persona, la sua autorità, ne è piena la rete, lo sai… ma è una quesione di numeri (come tu ne fai nel testo, appunto). Una volta che $personaX ha 500 punti, il fatto di dimostrare che TU sia $personaX è un altro problema (e, appunto, OpenID non lo risolve). Di per sé.
#2 di Gigi Cogo il 11 novembre 2008 - 23:45
Claudio,
intanto grazie a te che hai contribuito a chiarire alcuni “fondamentali”.
Il mio problema (visto dalla mia prospettiva) è semplice: Non reputo conveniente per un sistema di rete sociale/professionale adottare un sistema di autenticazione forte che, fra l’altro, sarebbe uno sbarramento per i meno smart.
Quindi volevo giocare sulla “cultura digitale” come volano alla fiducia reciproca!
Taht’s all
#3 di Fabio Metitieri il 12 novembre 2008 - 02:34
In effetti, come dice Claudio, OpenId sembra solo un single signon (come hanno tentato di lanciarne tanti altri, da Passport di Microsoft in poi) e non ha nulla a che vedere con una verifica di identita’, neppure debole.
Vero e’ che in Rete esistono segni della tua presenza che possono essere considerati come deboli certificazioni, ma non vedo come questi possano essere rafforzati da OpenId.
Per essere ancora piu’ chiaro: la mia home page Web ha esattamente lo stesso valore, nel “provare” la mia identita’, della tua ClaimId page.
Anzi, dato che nella mia, se cerchi bene, trovi anche il mio numero di telefono fisso, che e’ in elenco telefonico Telecom proprio a mio nome, e che puoi chiamare per verifica, la mia home page e’ molto piu’ “certificante” della tua ClaimId. Ovunque, se vedi on line una mail con la mia firma e sotto il mio Url, puoi sempre darmi un colpo di telefono, a un telefono che risulta intestato a me, e chiedermi se sono proprio io.
Cosa semplificherebbe o cosa certificherebbe OpenID, a parte il fatto che – se diventasse ampiamente adottato, e ne dubito – potresti ricordarti una sola password per tutti i servizi on line che usi?
Ciao, Fabio.
http://xoomer.alice.it/fabio.metitieri
#4 di Marco Borasio il 12 novembre 2008 - 10:21
Nella mia limitata conoscenza di OpenID, mi sembra di capire che il modo più corretto di utilizzare OpenID non sia quello di utilizzare direttamente la URI di identità fornita dal proprio OpenID provider, ma piuttosto quello di linkarla alla propria homepage o blog e poi usare la propria URI come claim di identità in una sorta di delegation.
Si veda ad esempio http://www.intertwingly.net/blog/2007/01/03/OpenID-for-non-SuperUsers
Questo, oltre ad essere più “provante” dal punto di vista dell’identità digitale, permette tra l’altro di cambiare l’OpenID provider senza cambiare la propria identità. BTW, non ho una homepage o un blog :-)
Ciao,
Marco
#5 di Gigi Cogo il 12 novembre 2008 - 10:23
@fabio metitieri,
ti ringrazio del commento. In effetti il tema non è solo tecnologico, IMHO, ma anche culturale. Quanto vale la reputazione web? E come deve essre strutturata la reputazione web per poter provare (se mai lo farà?) un identità?
La tua indicazione sul numero di telefono è sicuramente utile perchè inserisce un tema importante e cioè: “oltre agli strumenti e servizi web che strutturano una reputazione serve un elemento tradizionale (n. di cellulare, codice fiscale, ecc.) per qualificare in modo più forte l’identità?
Ma come vedi, piano piano, stiamo andando verso la “strong authentication……dove un AUTORITA’ riconosciuta si fa da garante controllando a due vie il processo.
La discussione prosegua anche qui: su FF
#6 di Maurizio Goetz il 12 novembre 2008 - 11:29
Scusa Gigi, ma questa conversazione è incompleta se non si conosco gli obiettivi. Qual’è il tuo scopo, perché metti insieme le persone, per il loro ruolo, per le loro competenze o altro? Sei partito prendendo in considerazione uno strumento, ma a me non essendo chiari i presupposti, non è possibile dire se non ci siano altre valide soluzioni alternative
#7 di Gigi Cogo il 12 novembre 2008 - 12:24
@Marco
Grazie mille, mi buttò subìto sulla lettura
@Maurizio
E’ FF che spezza il meme, m’a lui c’è.
Il contesto che ho descritto su FF e’ quello del social network misto, che rileva le identita’ aziendali dal directory e quelle esterne dal circle or trust della rete.
Mannaggia a FF :-)
#8 di Fabio Metitieri il 12 novembre 2008 - 18:21
Gigi, questi sono discorsi vecchi.
C’e’ un terreno, e-commerce a parte, dove da sempre si riflette molot e molto seriamente – anche individualmente, intendo – su come verificare l’identita’ dell’altro on line.
Ed e’, semplicemente, quando on line cerchi “amicizie” (termine da declinare a piacere, partendo dal romance della piu’ mielosa tradizione statunitense e arrivando alla cruda scopata senza cerniera, anche solo virtuale).
Da anni, quindi, abbiamo parlato tutti di un processo di verifica a passi successivi e di quali mezzi, on line, sono considerati certificanti o no. E da anni questo meccanismo funziona: fai mente locale e prova a immaginare quanti incontri reali nascono da rapporti on line e quanti pochi incidenti (quasi nessuno, direi, non di serio) si sono verificati finora.
Insomma, non c’era mica bisogno di spremersi le meningi su OpenId, per dire che la certificazione non puo’ essere garantita da una cosa dle genere…
;-)
Ah… e iniziare un discorso qui e poi spostarlo altrove mi pare maladif. Scusa, ma io non ho cosi’ tanto tempo da perdere.
Ciao, Fabio.
http://xoomer.alice.it/fabio.metitieri
#9 di Gigi Cogo il 12 novembre 2008 - 19:15
@fabio,
per me una discussione utile è soprattutto “UTILE”. Se è vecchia o nuovo non ci faccio caso. Attualmente è utile per me e per qualcun’altro che qui o altrove ha dibattuto.
Su FF non c’è nessun obbligo, mancherebbe altro. Ognuno è libero di fare e seguire quello che vuole.
Buona giornata
#10 di Fabio Metitieri il 14 novembre 2008 - 16:47
Gigi, credo che non solo nel mondo della ricerca ma un po’ ovunque, se una discussione e’ vecchia (proprio nel senso di gia’ fatta da anni), invece di ricominciarla da capo (reiventare la ruota ogni volta, avrebbe detto mia nonna) si cerca la cosiddetta letteratura gia’ esistente in merito.
Se poi voi avete molto tempo e vi piace discutere, e pure saltando tra qui e Friendfeed, vabbe’, contenti voi…
Io ti volevo solo suggerire che il problema e’ gia’ stato affrontato, da vari punti di vista e da parecchi anni, sia se parliamo di single sign on, sia se parliamo di criteri soggettivi con cui ciascuno valuta l’attendibilita’ altrui, sia se parliamo di come una comunita’ on line puo’ controllare l’identita’ dei suoi iscritti.
Ciao, Fabio.
http://xoomer.alice.it/fabio.metitieri