Hallo, wie einige vielleicht mitbekommen haben, hat Mozilla ein neues Loginverfahren veröffentlicht (siehe Heise.de News). Das ganze ist noch experimentell und befindet sich in der Entwicklung. Ziel des ganzen ist es, ein einheitliches Loginverfahren zu entwickeln das Seitenübergreifend keine Registrierung erfordert.

Zur Anmeldung benötigt man dann lediglich eine für BrowserID aktivierte E-Mail Adresse. Da ich das ganze recht interessant finde, habe ich das ZFB mal BrowserID-Ready gemacht, allerdings nur was den Login angeht. Es können derzeit via BrowserID keine neuen Accounts direkt im Forum registriert werden. Es erleichtert also lediglich den Login um die Passworteingabe. Wie das ganze funktioniert ist auf der Seite von BrowserID.Org mit einem Video beschrieben.

Wer also bereits im Forum registriert ist, kann einfach unten auf den Sign-In Button klicken. Bei der ersten Nutzung muss auf BrowserID.org ein Account angelegt werden. Dies wird vermutlich später nicht mehr nötig sein falls die großen Mail-Anbieter wie gmail und co. auf das System anspringen. Ab dann ist nämlich jede E-Mail Adresse der teilnehmenden Anbieter BrowserID-Ready

Darüber hinaus hat Mozilla vor in einer der kommenden Versionen BrowserID direkt in den Firefox zu integrieren. Dadurch würde das Sign-In Fenster wegfallen und direkt der Login über Firefox stattfinden.

Da das ganze derzeit noch in Entwicklung ist und es sicher noch einige Sicherheitsaspekte zu diskutieren gibt bis das System als stabil gilt, habe ich die Login-Option standardmäßig für alle deaktiviert. Wer also über BrowserID sich anmelden möchte muss zudem erst während er eingeloggt ist in den Profil-Einstellungen die Option Login über BrowserID erlauben? auf Ja stellen. Somit ist sichergestellt dass mit der Einführung von BrowserID während der Testphase keine Accounts unnötig gefährdet sind.

Ich habe das ganze deshalb implementiert, da ich der Ansicht bin dass es sicherer als OpenID ist und was Datenschutzbedenken angeht die Login-Varianten von Facebook Connect und Konsorten bei weitem in den Schatten stellt (vorallem wenn sich die E-Mail Anbieter dazu entscheiden sollten BrowserID zu unterstützen). Ich persönlich hoffe dass sich das ganze durchsetzen kann, da vorallem der Aufwand das ganze zu implementieren sich auf eine knappe Stunde beschränkt hat (inkl. Proof of Concept Tests). Das sollte es für Entwickler attraktiv machen und sollte es den Integration in die Browser erhalten sehe ich durchaus potential dahinter. Der Sicherheitsaspekt dass man einen Account für alle Dienste hält sich meiner Ansicht nach in Grenzen, da die meisten Benutzer auch jetzt schon überall die selbe Email/den selben Usernamen sowie das gleiche Passwort verwenden.

Mich würde daher auch interessieren was ihr von dem neuen System haltet. Ihr seid herzlich eingeladen hier eure Meinung zu dem Konzept, der Zukunft von BrowserID sowie der Integration ins ZFB zu diskutieren.

Ja retr0, das basiert auf Public-Key-Verfahren. Der Mail-Dienstleister kann den Nutzer bestätigen in dem er bei einem Login in sein Mail Konto im lokalen Speicher des Browsers der mit HTML5 kam einen Key hinterlegt und diesen Digital unterschreibt. Dadurch kann die Echtheit des Schlüssels geprüft werden. Den Verifikator kann ebenfalls jeder selbst implementieren, es gehört lediglich ein wenig Kryptologie Arbeit dazu um die schlüsselverifikation zu machen.

Da die Madienstleister da aktuell noch nicht mit machen erledigt BrowserID.Org die Arbeit mit dem signieren. Hierbei dient BrowserID.Org als thrusted Authority. Sie verifizieren, da sie selbst ja die Echtheit des Users nicht wie der Mail Dienstleister im eigenen Angebot prüfen können regulär über ne bestätigungsmail.

Die Antwort die man vom Verifikator erhält unterscheidet sich zwischen Thrusted Authorities (Secondaries gennant) und einer vom einem Mail-Anbieter (Primary genannt) geprüften Adresse. Bei Secondaries ist der key nicht Digital signiert sondern es steht die URL des Secondaries drin anhand derer man dann sagen kann ob man ihm als Thrusted Authority vertraut oder nicht. Dadurch sind Secondaries weniger vertrauenswürdig als primaries was ich einen guten Ansatz finde.

Was ich die Tage noch prüfen will ist wie die Verifikation arbeitet und ob es quasi möglich wäre über einen eigenen dienst sich beliebige Mails als verifiziert anzulegen. Prinzipiell glaube ich dass dies möglich sein müsste wodurch man nur issuers trauen sollte denen man wirklich vertraut, whitelist eben.

Da es wohl technisch nicht jedem so zugänglich ist nochmal eine untechnische Erklärung des Prinzips: es wird zum Login auf beliebigen Seiten keine eigene Registrierung mit Benutzernamen und Passwort benötigt sondern nur noch eine Mailadresse mit Benutzername und Passwort. Auf allen anderen Seiten des Internets (natürlich nur soweit sie es auch unterstützen) könntest du dich dann ganz einfach über einen Mausklick anmelden oder registrieren ohne neue Benutzerdaten zu benöigen. Das ganze verhindert Phishing, da das einzige Passwort das existiert und man benötigt der eigene Mailaccount ist. Man muss also nicht mehr auf vielen verschiedene Seiten aufpassen seine Daten zu schützen und überall ein anderes Kennwort nutzen sondern nur aufpassen dass einem der Mailaccount nicht geklaut wird. Falls doch besteht die Möglichkeit diesen sperren zu lassen wodurch auch die Logins zu allen anderen Seiten gesperrt werden. Das ganze ist also wesentlich sicherer und Datenpannen wie bei Sony wo Benutzerdaten (Kennwörter) entwendet werden, werden unwahrscheinlicher. Nicht falls verstehen Personendaten wie Anschrift werden dann nach wie vor einfach mit der E-Mail verknüpft aber man kriegt kein Kennwort mit dem man auf anderen Seiten weit kommt. Das vertrauen liegt daher allein in den Maildienstleistern dass diese auf Daten besser aufpassen können als Sony

Gute Adressen mit Infos:
How BrowserID differs from OpenID
How BrowserID Works