neunetz.com

Zur Zeit geht wieder ein Dienst durch die Webgeekszene, bei dem ich nur mit dem Kopf schütteln kann. Socialthing! ist ein Lifestream-Dienst ähnlich Friendfeed (und dutzende andere). Man kann also seine fragmentierte Onlinepersönlichkeit hier zusammenführen.

Der Twist: Im Gegensatz zu Friendfeed das ausschließlich auf APIs und RSS-Feeds setzt, muss man bei Socialthing! seine Logindaten der aggregierten Dienste eingeben.

!

Hallo? Noch ganz knusper?

Ich finde die Unart, mit Passwörter abzufragen ziemlich, na, bedenklich. Es ist erstaunlich, dass dieser Vorgang mittlerweile als “üblich” angesehen wird.

Zum Glück wurde mit diesen Passwörtern, die man an dritte Webdienste weitergibt wenigstens noch nie Missbrauch getrieben. Oh, Moment. Da war doch eben erst am Wochenende etwas:

Your Email Password: A True Horror Story About Why We Need Authentication Standards - ReadWriteWeb

Dustin Brooks is a reader of Atwood’s excellent blog Coding Horror and sent Atwood the story of his sleuthing around the app, called G-Archiver.

“It didn’t really have the functionality I was looking for,” Brooks wrote, “but being a programmer myself I used Reflector to take a peek at the source code. What I came across was quite shocking. John Terry, the apparent creator, hard coded his username and password to his gmail account in source code. All right, not the smartest thing in the world to do, but then I noticed that every time a user adds their account to the program to back up their data, it sends and email with their username and password to his personal email box! Having just entered my own information I became concerned.

“I opened up a browser and logged in to gmail using his account information. It still worked.

“Upon getting to the inbox I was greeted with 1,777 emails with account information for everyone who had ever used the software and right at the top was mine. I decided to go ahead and blast every email to the deleted folder and then empty it. I may have accidentally changed the password and security question to something I don’t remember as well, whoops, my bad. I also contacted google to erase this account as I didn’t see a way to delete it myself.”

Die Ironie, dass der Launch von Socialthing und diese Horrorgeschichte quasi fast zusammenfielen, ist auch einem Kommentator auf TC, das die obige Story auch vorher behandelt hatte, nicht entgangen:

I love that this story comes immediately after this:

“These users should have known better than to type their email credentials into a third party service, so sympathy levels are at a minimum.”

I’ll just hop on over to SocialThing! now and enter my credentials (I wouldn’t anyway, but it was just funny).

Besonders bei GMail, an dem ja noch der ganze Rest an Google-Webdiensten hängt, sollte man besonders vorsichtig sein.

Das dürfte auch einer der Hauptgründe gewesen sein, warum Google als erste eine Oauth-ähnliche API veröffentlicht haben.

Dienste, die umfassenden Zugriff auf meine Accounts auf anderen Seiten benötigen, werde ich auch erst nutzen oder ausprobieren, wenn Oauth oder etwas Vergleichbares die Verzahnung zwischen den Seiten auf ein vernünftige Basis stellen. Alles andere ist einfach nur leichtsinnig.

Denn weder vertraue ich jedem dahergelaufenen Webdienst mit pastellfarbenen abgerundeten Ecken, noch will ich den anscheinend sich mittlerweile einbürgernden leichtfertigen Umgang mit Zugangsdaten unterstützen.

also known as die proprietäre Googlealternative, bis OAuth endlich nutzbar wird

Namentlich geht es darum, dass beispielsweise ein Kontaktabgleich zwischen Mail (hier Gmail) und einem Socialirgendwas-Dienst bezüglich sozialer Kontakte nicht über die Herausgabe von Loginname und Passwort läuft sondern über eine Authentifikation über die API.

Was man als Entwickler mit der Contacts Data API machen kann:

# Import a user’s Google contacts into their web or desktop application
# Export their application’s contact list to Google
# Write sync applications for mobile devices or popular, desktop-based contact management applications

Wie das funktioniert:

Instead of the 3rd party application itself asking for the username and password, it asks Google to retrieve that data. Google then uses the AuthSub mechanism to ask the user themselves to login if they aren’t already logged in and asks afterwards if it’s ok for that 3rd party application to access this data.

Das ist soweit schon mal toll und auf jeden Fall wesentlich besser, als die Unart, Logindaten zu fordern und auch einzugeben. Aber eine langfristige Lösung ist das auch nicht, denn:

Wenn OAuth nicht bald aus den Puschen kommt und jeder Dienst (beispielsweise etwa Yahoo und Windows Live Hotmail, beide wesentlich größere Emailanbieter und damit Kontaktdatensilos) folglich anfängt, Google folgend sein eigenes API-Süppchen zu kochen, kann man sich als Entwickler auch gleich einbuddeln.

Mehr zur Contacts Data API:

• auf Programmable Web
• und auf ReadWriteWeb

OpenID scheint dieses Jahr langsam im (Web-)Mainstream anzukommen. Die Meldungen dieses Jahr über große Unternehmen die (zugegeben oft erst einmal halbherzig) OpenID anfangen zu unterstützen, brechen nicht ab. Wenn auch die meisten großen Seiten OpenID nur als Provider nicht als Consumer zunächst unterstützen (heißt man kann sich mit ihren Accountdaten anderenorts einloggen nur bei ihnen anmelden mit einer OpenID geht nicht, siehe hier zur näheren Erklärung).

Markus hat nun vor ein paar Tagen einen interessanten Text über OpenID geschrieben und ist dort besonders auf Probleme eingegangen:

Leider ist openID aber wie eine Kreditkarte bei der man dann auch nicht mehr mit Bargeld bezahlen kann, wenn man in einem Geschäft einmal mit ihr bezahlt hat, und leider kann man den Kreditkartenbetreiber dann auch nicht mehr wechseln.

Er erwähnt dann Delegation als Lösung dieses Problems (Zu Delegation siehe diesen Artikel von Carsten hier auf neunetz.com, außerdem wird im Agenturblog die Bedeutung von Delegation nochmal unterstrichen).

Ein weiterer Punkt, der sich durchsetzen wird mMn, ist, dass sowohl auf Consumer als auch auf Providerbasis unabhängige Emailadressen hinterlegt werden können. Mit diesen lässt sich dann im Notfall der Account sperren, wiederherstellen, whatever.

Markus:

Das Problem mit openID ist nicht, dass es zu Problemen kommen kann, sondern dass die Konsequenzen der Probleme unangenehmer sind als man sie sonst so antrifft.

Das Problem gibt es auch heute schon. Wenn man nämlich zum Beispiel einen Googleaccount hat und alles von Email über Feeds, Bookmarks, Fotos, SocialNetwork (Orkut) und Onlineoffice über Googledienste abwickelt. Deshalb gibt es seit geraumer Zeit die Möglichkeit in den Settings des Googleaccounts weitere Emailadressen neben der Gmail-Adresse zu hinterlegen. Im Falle des Passwortklaus kann man dieses ja nicht zurücksetzen und an Gmail senden lassen..

Außerdem wird es sich beim Großteil der Webdienste einbürgern, dass neben OpenID (oder welches webglobale Loginsystem sich auch durchsetzen mag) immer auch ein seitenexklusives Login angeboten wird, das sich wahlweise nachträglich zum Account hinzufügen lässt. Heißt, man wird die Wahl haben, ob man auf die Seite immer nur via OpenID zugreift oder aus Sicherheitsgründen oder warum auch immer einen separaten Zugang einrichtet. Das würde dann zB auf die sich aus jahrelangem Gebrauch herauskristallisierenden Lieblingsseiten zutreffen. (Ja, die Ironie ist mir durchaus bewusst.)

Oder aber es kommt ganz anders und eine Seite wie Facebook -oder Facebook selbst *gasp*- wird sich zum Rückgrat für das soziale Web entwickeln und mit der Öffnung in alle Richtungen in ein globales Loginsystem mutieren (evolutionieren?). [Das mag noch leicht lächerlich klingen, die Wahrscheinlichkeit dafür ist aber gar nicht so gering.]

Denn ehrlich gesagt: Vor ziemlich genau einem Jahr war ich sehr optimistisch, was OpenID anging. Der große Durchbruch, den ich für 2007 phantasierte, scheint nun dieses Jahr zu kommen. Aber ich sehe keine Lösungen für immer noch bestehende schwerwiegende Probleme:

Nachwievor ist die Usability nicht sonderlich gut -freundlich ausgedrückt. Alles ist viel zu kompliziert und schwer zu durchschauen für Normalnutzer. Datenschutz bleibt ein Problemfeld. Und auch die Securityprobleme sind nicht zu unterschätzen:

The problem(s) with OpenID « The Identity Corner

Dieser Artikel ist mit Vorsicht zu geniessen, da der Verfasser an einem konkurrierenden System zu OpenID arbeitet. Nichtsdestotrotz ist die Fülle an Problemen nicht gerade gering. Inwiefern einige der angesprochenen Probleme mit dem neuen OpenID2.0 behoben sind, kann ich nicht beurteilen. Zumindest kommt OpenID2.0 mit Verschlüsselung. (siehe zu OpenID2.0 auch diesen Artikel auf centernetworks vom November ‘07)

Wie auch immer OpenID sich entwickelt, an einem seitenübergreifenden Identifikationsmechanismus für die Nutzer geht kein Weg vorbei. Die Anzahl nützlicher und damit regelmäßig genutzter Webdienste wird eher noch zu- denn abnehmen. Von nur temporär genutzten bzw. ausgetesteten Seiten ganz zu schweigen. Auch deswegen wird die Webevolution an einem weit verbreiteten Single-SignOn nicht vorbeikommen: Neue Dienste können leichter User akquirieren, wenn sie ihnen den Login so einfach wie möglich machen. Diese Mikrointeressen führen zwangsläufig zu einem Makrozustand der weitgehenden Flächenabdeckung.

Ich hoffe nur, wir implementieren hier nicht einen Standard, der uns in der Zukunft irgendwann aufgrund unzureichend beachteter Probleme in die Knie zwingt; und dann zum Bücken. Das reicht schon in Sachen in Email.

Wer sich für OpenID interessiert, dem sei nochmal die neunetz.com-Artikelserie von Carsten Pötter über OpenID vom letzten Jahr ans Herz gelegt. Carsten betreibt mit Thomas Huhn zusammen die Infoseite Spread OpenID. Thomas Huhn ist unter Anderem bekannt vom deutschen OpenID-Blog OpenID Blog Germany, vom OpenIDDirectory und dem OpenID-Provider meinguter.name.

(Link out like your life depends on it - that’s my motto :))

Tja, der Monat Juli neigt sich unerbittlich seinem regnerischen Ende und ich habe es nicht fertig gebracht hier etwas über OpenID zu schreiben; ist mir etwas peinlich. Also dann mal direkt rein ins Geschehen und wenigstens die letzten zwei Wochen Revue passieren lassen, was sich so in der OpenID Community getan hat.

OpenID Bounty

Mit der I Want My OpenID Bounty wurde vor einem Jahr von Sponsoren wie Sxip, VeriSign, JanRain, NetMesh, Six Apart,… eine Aktion gestartet, die Open Source Projekte prämieren möchte, die OpenID entweder als Relying Party (RP) oder als Identity Provider (IdP) integrieren. Insgesamt können zehn Projekte eine Prämie in Höhe von je $5000 bekommen. Auf der diesjährigen O’Reilly Open Source Konferenz wurden die ersten drei Projekte prämiert: Drupal, Plone und DotNetNuke.

Wo ich gerade bei dieser Konferenz bin: David Recordon, Mitarbeiter bei VeriSign und Vize der OpenID Foundation wurde als Best Strategist für seine Arbeit an OpenID ausgezeichnet. Glückwunsch, nicht schlecht für einen Zwanzigjährigen.

Stromausfall in San Francisco

Teile San Franciscos waren am 24. Juli von einem Stromausfall betroffen; darunter befand sich auch ein großes Datacenter, wo u.a. Sites wie Six Apart, Craigslist und Technorati ihre Server haben. Mal davon abgesehen, dass dort so etwas wie Notstromaggregate eigentlich ihren Dienst verrichten sollten, hat dieser Stromausfall auch eine kleine Schwachstelle von OpenID aufgezeigt. Ein IdP wie LiveJournal (gehört bekanntlich zu Six Apart) war plötzlich nicht mehr erreichbar und Benutzer konnten somit keine Webseiten mit OpenID mehr benutzen. Dumm gelaufen.

RP’s haben allerdings die Möglichkeit mehrere OpenID’s für einen Account zuzulassen; leider machen davon die wenigsten Gebrauch. Vielleicht wachen jetzt ein paar von denen auf und ermöglichen ihren Nutzern das.

OpenID Non-Assertion Covenants

Bislang haben drei der führenden Unternehmen der OpenID Community sogenannte Non-Assertion Covenants veröffentlicht: JanRain, Sun und VeriSign. Damit versprechen diese Unternehmen, dass sie keine Forderungen irgendwelcher Art (Lizenzen, Gebühren,…) gegenüber Entwicklern geltend machen, die OpenID einsetzen möchten und dabei Patente dieser Unternehmen nutzen. Nicht ganz unwichtige Entscheidungen, wenn sich OpenID weiter verbreiten und entwickeln soll. Sxip hingegen haben eine solche Erklärung bislang noch nicht abgegeben, beteuern aber ihre Patente nur defensiv einzusetzen. Dafür müssen sie allerdings auch Kritik einstecken; sie halten sich hoffentlich an die Aussage.

OpenID Directory listet mehr als 300 Seiten

Das OpenID Directory führt mittlerweile mehr als 300 RP’s auf. Das sind selbstverständlich nicht alle Seiten mit OpenID Unterstützung, aber trotzdem nicht schlecht; 300 Seiten schön übersichtlich geordnet.

Ein paar neue Vertreter: Online Adressbuch Plaxo, Wikihoster Wikispaces und Taskmanager Toodledo. Meiner Meinung nach drei richtig gute Seiten.

Es gibt so Tage, da denke ich mir, dass OpenID nicht so richtig vom Fleck kommt. Diese Vorstellung prägt sich größtenteils durch das Lesen der OpenID Mailingliste. Versteht mich nicht falsch: die Diskussionen dort sind wichtig, aber hin und wieder kommt der Gedanke auf, dass man das doch schon alles mal vor Wochen geklärt haben konnte. Naja, wird wohl bei vielen anderen Projekten ähnlich sein.

Anderen Leuten widerum schreitet die Entwicklung viel zu schnell voran, und sie sehen schon überall im Netz das OpenID Logo blinken; gezwungen OpenID zu nutzen, sofern sie sich überhaupt noch im Netz bewegen möchten. Soweit sind wir aber noch lange nicht. Da fehlen einfach noch ein paar tausend wichtige Seiten, die dann stolz OpenID enabled auf der Registrierungseite verkünden können.

Aber was tun, wenn es doch geschieht? Was sollen dann die Trolle der Netzwelt, die Spammer dieser Erde, die Anonymen Kommentierer und weiteres Gesindel tun, um den Rest der Welt zu belästigen? Ist eine OpenID nicht so etwas wie ein Ausweis? Lässt sich dann nicht jeder Kommentar einer bestimmten Person zuordnen? Aus und vorbei mit dem Trollen? Wird das Netz sauber und gut? Leute, keine Panik! Alles bleibt wie es ist.

Wir bleiben anonym

Erst einmal ist eine OpenID natürlich kein Ausweis. OpenID verifiziert von Hause aus nicht, ob mein Name nun Carsten Pötter oder doch eher Marcel Weiß ist. Grundsätzlich kann man nur davon ausgehen, dass hinter einer OpenID - einer URI, also eindeutig - immer die gleiche Person steht. Sieht man also auf Blog ABC einen Kommentar von def.openidprovider.com und bei dem Social Netwerk Tolle Freunde einen Nutzer mit eben jener OpenID, sollte dahinter jeweils die gleiche Person stehen.
Möchte ich jetzt nun weiterhin durch das Netz trollen, kann ich mir natürlich einfach OpenID’s bei unterschiedlichen Providern besorgen; bei Provider A bin ich der seriöse Carsten Pötter (OK, kleiner Scherz am Rande) und die OpenID von Provider B nutze ich zum Trollen. Ist das jetzt anonym? Vielleicht noch nicht so richtig.

Gehen wir also einen Schritt weiter. Weiter oben habe ich die Wörter grundsätzlich und sollte benutzt, was durchaus seinen Grund hat. Es gibt nämlich einen komplett anonymen OpenID Server: www.jkg.in/openid.
Bereits beim Aufruf der Seite wird einem eine automatisch generierte OpenID angeboten; gefällt die einem nicht, kann man auch seine Wunsch OpenID nehmen, jkg.in/openid/tollerhecht oder so etwas. Loggt man sich damit bei einer Seite mit OpenID Unterstützung ein, erfolgt keine Weiterleitung zurück an den Server, um dort ein Passwort einzugeben, ein Browserzertifikat abzufragen oder sonstige Authentifizierungsmaßnahmen, die bekannte OpenID Provider nutzen. Man ist eingeloggt, einfach so. Und weil mich niemand authentifiziert, kann diese OpenID auch jeder andere nutzen. Hinter jkg.in/openid/tollerhecht verbirgt sich vielleicht einmal Marcel und einmal ich. Ich hoffe mal, dass das anonym genug ist. Wie gesagt, alles bleibt wie es ist und grundsätzlich sollte man mal von gar nichts ausgehen.

Fazit

Wie man an dem Beispiel sieht, kann man einer OpenID ohne weitere Verifizierung nicht trauen. Es stellt sich natürlich auch die Frage, ob ein solcher OpenID Server überhaupt lange genug bestehen bleiben wird bzw. ob alle OpenID Consumer ein Login von diesem Server akzeptieren werden. Die Möglichkeiten des Missbrauchs sind doch als weitaus größer einzuschätzen als evtl. Nutzen, denke ich mal. Aber Ihr seht, dass OpenID auch völlig anonym funktionieren kann. Gut? Schlecht? Egal?

Im ersten Artikel zu der kleinen OpenID Serie hier auf Neunetz wurde ja bereits das Thema OpenID Provider und auch OpenID Consumer angesprochen. Ich habe dabei zwar ein paar Beispiele für Consumer gegeben und auch auf das OpenID Directory zur weiteren Recherche verwiesen, aber ich wurde gerade letztens wieder von einem Arbeitskollegen gefragt, wo man denn nun eine OpenID einsetzen kann. Also hier mal eine kleine Auswahl an Diensten, die man (fast) täglich gebrauchen könnte.

1. Ma.gnolia: Ma.gnolia ist ein Social Bookmarking Dienst, der meines Erachtens ein paar sehr schöne Features aufweist, die ihn von anderen unterscheiden. Zum einen gibt es dort ein Unmenge an Gruppen zu den unterschiedlichsten Themen; das macht es besonders einfach, lesenswerte Artikel zu finden. Um auf dem laufenden zu bleiben, kann man natürlich den Feed der Gruppe abonnieren. Total liebenswert ist Give Thanks. Einfach anderen danken, dass sie bereits eine gute Seite gefunden und sich die Mühe gemacht haben, diese zu beschreiben und mit Tags zu versehen. Ich stehe auf so kleine, fast unscheinbare Features.
2. Zooomr: Digitalkameras, Handys mit Kamerafunktion,… immer mehr Leute schießen schon fast minütlich Fotos und die Bilder müssen irgendwohin; Flickr fällt wahrscheinlich jedem sofort ein. Zooomr ist ein ähnlicher Dienst, der für sein neues Release, Mark III, mit einer ganzen Reihe neuer Features aufwartet; naja, besser aufwarten wird. Momentan haben die Jungs eine Pechsträhne mit der Hardware. Läuft aber hoffentlich bald wieder.
3. Pibb: Pibb ist ein kleines Kommunikationswerkzeug von JanRain, den Leuten hinter myOpenID.com. Pibb funktioniert sowohl als Instant Messenger als auch als eine Art IRC Ersatz. Es gibt verschiedene Kanäle mit einzelnen Threads; Unterhaltungen können sowohl öffentlich als auch privat geführt werden.
4. Social Networks: Natürlich gibt es Social Networks mit OpenID Anmeldung. Jyte ist ein weiteres Produkt von JanRain, was einfach ziemlich viel Spaß macht. Man stellt eine Behauptung auf, die entweder ganz allgemein gehalten sein kann, aber auch über andere Jyte Mitglieder oder über sich selbst. Jedes Mitglied kann nun seine Meinung und Zustimmung (oder Ablehnung) dazu abgeben; User können auch getaggt werden. Hört sich vielleicht nicht spannend an, ist aber ganz lustig.
   Ex.plode.us ist ein britischer Dienst,den man vielleicht am ehesten mit MyBlogLog vergleichen kann; vergleichbare Widgets gibt es auch. Zudem durchsuct Ex.plode.us eine ganze Reihe von Social Networks (Flickr, Twitter, Vox, Tribe,…) nach Freunden und Bekannten. Gefällt mir insgesamt zimelich gut.
5. Buxfer: Mit Buxfer kann man seine Finanzen in den Griff bekommen. Na gut, es ersetzt wahrscheinlich nicht StarMoney oder Quicken, aber dafür kann man wunderbar sehen, wem man noch Geld schuldet bzw. wer einem selbst noch den ein oder anderen Schein bislang schuldig geblieben ist. Buxfer sollte man sich mal näher ansehen, wenn man z.B. in einer WG lebt.
6. Wikitravel: Wie der Name schon vermuten lässt handelt es sich hier um eine Wiki basierte Seite für Reiseempfehlungen. Ganz brauchbar, wenn man sich schnell über ein Reiseziel informieren möchte, ohne gleich einen Reiseführer zu kaufen.
7. Netscape: Zu Netscape muss ich wahrscheinlich nicht mehr viel schreiben. Es ist eine wirklich gut gemachte Social News Seite, die ihren Platz irgendwo zwischen Digg und Reddit gefunden hat.

Es gibt natürlich noch weit mehr Seiten, die OpenID unterstützen, aber diese hier sollen erst einmal als kleine Auswahl reichen. Einfach mal anschauen.

Wie den Älteren unter Euch bekannt sein dürfte, schreibt Carsten Pötter seit Anfang April diesen Jahres auf neunetz.com regelmäßig über Themen rund um OpenID.

Zeit für eine erste, kleine Übersicht:

• OpenID Provider und Consumer: In diesem Artikel werden die aktuelle Situation und die Grundbegriffe von OpenID erläutert.
• OpenID und der gläserne Surfer: Die Datenschutzproblematik bei OpenID wird angesprochen. Mit der Delegation wird eine Möglichkeit vorgestellt, wie man OpenID nutzen kann ohne sich von einem OpenID-Provider abhängig zu machen.
• Zwei deutsche OpenID Provider: Xlogon und meinguter.name werden vorgestellt.
• OpenID Provider und Datenschutz: Teil 1, Teil 2: Die Datenschutzbestimmungen von deutschen und amerikanischen Providern werden ein wenig näher betrachtet.
• Eigener OpenIDserver in 2 Minuten: Sofern man php-fähigen Webspace besitzt, kann man schnell und einfach seinen eigenen OpenID-Server aufsetzen. Wie, erkläre ich in diesem Artikel. (der Artikel stammt von mir)

Ich denke, das ergibt schon mal eine nette Anlaufstelle, um sich über OpenID zu informieren. An dieser Stelle noch einmal Danke an Carsten! Freu mich schon auf weitere Artikel über dieses Themengebiet.

Nachdem Euch Marcel letzte Woche erklärt hat, wie man einen eigenen OpenID installiert, fasse ich diese Woche mal die Nachrichten der vergangenen zwei Wochen zusammen; ob das chronologisch wird, mal sehen.

Sun mit eigenem OpenID Server

IT Riese Sun Microsystems hat für seine 34.000 Beschäftigten einen eigenen OpenID Server eingerichtet.

Damit wird zum ersten Mal OpenID in einer unternehmensweiten Arbeitsumgebung eingesetzt; aufgrund der großen Anzahl von Mitarbeitern bei Sun kann somit getestet weden, ob sich OpenID in einer solchen Umgebung bewähren wird, wie es genutzt wird und welche Risiken für ein Unternhemen evtl. entstehen könnten. Sollte dieses Experiment erfolgreich verlaufen, dürften sicherlich andere (große) Unternehmen zumindestens darüber nachdenken, ob OpenID zu ihnen passt und ob sie davon profitieren können.

Mit einer OpenID von Sun kann sich jeder als Sun Mitarbeiter zu erkennen geben und evtl. auch auf spezielle Angebote anderer Anbieter, die ausschließlich für Sun Mitarbeiter gedacht sind, zurück greifen. Aus der Pressemitteilung:

People using Sun based OpenID identifiers at an OpenID-accepting website can convey in this simple and secure manner that they are indeed Sun employees, a piece of information that can enable access to employee discounts and unlock other special services all across the web. Sun will work with partners to
extend special services on this basis.

OpenID in der deutschen Presse

In der Frankfurter Rundschau ist am Freitag ein Artikel zu OpenID erschienen, der meiner Meinung nach recht objektiv ist.

Bereits am 25. April hatte Janko Röttgers im Focus bereits einen Artikel mit ähnlichem Grundtenor veröffentlicht. Die Kommentare gehen aber eindeutig in eine negative Richtung; Aufklärung und Diskussion ist mal wieder angesagt.

MyBlogLog wird OpenID unterstützen

Und diese Geschichte ist mal wieder etwas seltsam. MyBlogLog möchte zukünftig OpenID unterstützen. Hört sich doch gut an, warum also seltsam?

MyBlogLog gehört zu Yahoo, ebenso wie Flickr und Upcoming. Nun hat Yahoo schon eine Weile ein eigenes Single Sign-On System mit der Yahoo ID, welches man kürzlich sowohl den Flickr als auch den Upcoming Usern aufs Auge gedrückt hat. Die waren nicht sonderlich begeistert und Yahoo hat dafür eine Menge Prügel einstecken müssen.

Warum will MyBlogLog jetzt ausgerechnet OpenID einsetzten? Haben die das mit irgendjemanden bei Yahoo abgesprochen? Nein, dann haben sie ein Problem. Ja, was auch wahrscheinlicher ist, dann verstehe ich Yahoo nicht mehr. Mal abwarten, was da passiert.

Ralf Bendrath, der sich auch hier in den Kommentaren schon einmal kritisch zu OpenID geäußert hat, spricht beim Elektrischen Reporter (<- sehenswert!) unter Anderem über die datenschutztechnischen Gefahren von OpenID und versucht, das Argument ‘halt eigenen OpenID Server anlegen’ mit der Aussage zu entkräften, dass ja auch niemand sich seinen eigenen Emailserver anlegt. Stimmt, ich hab mir bis dato keinen eigenen Emailserver angelegt und plane das auch nicht. Vor wenigen Minuten habe ich mir aber meinen eigenen OpenID-Server installiert.

Ben Dodson hat ein Skript online gestellt, mit dem man kinderleicht innerhalb von 2 Minuten seinen eigenen OpenID-Server installieren kann. Hier geht’s zu phpmyopenid. Es handelt sich dabei um eine mit einem einfachen Installer versehene Version von phpMyID.

Ich hab es installiert und es war in der Tat sehr einfach. (In fact: ich habe spasseshalber mit der Uhr mitgestoppt und habe knapp 7 Minuten gebraucht, aber nur weil ich auf meiner Festplatte meine index.php erst suchen musste.)

Wer Webspace mit php sein Eigen nennt, weiß wie man Nutzungsberechtigungen von Dateien mit seinem FTP-Programm einstellt und weiß wie man die index.php oder index.html der eigenen Seite verändert, der besitzt die Fähigkeiten, seinen eigenen OpenID-Server zu installieren.

Um es kurz zu machen: Wer erfolgreich wordpress installieren kann, kann auch erfolgreich seinen eigenen OpenID-Server installieren. Mit dem gleichen zeitlichen Aufwand.

Die Installation in 7 kurzen Schritten:

• phpmyopenid hier runterladen
• entpacken
• den entpackten Ordner in Rootordner des webspace hochladen
• Zugriffsberechtigungen des phpmyopenid-Ordner mit ftp-Programm zu CHMOD 777 ändern
• http://www.eigeneseite.com/phpmyopenid/install.php aufrufen, Nutzernamen und Passwort eingeben und abspeichern
• anschließend angegebene Metatags in den <head> Bereich von index.html der eigenen Seite eintragen
• install.php löschen und die Zugriffsberechtigungen des Ordners auf CHMOD 755 ändern (damit niemand die OpenID ändern kann)
• Fertig!

Inwiefern solche selbst aufgesetzten OpenIDs aufgrund ihrer Spamanfälligkeit in ein paar Jahren noch von anderen Seiten neu akzeptiert werden, steht allerdings auf einem anderen Blatt. Schließlich können auch Spammer sich so schnell ihre eigenen OpenIDs einrichten. Da wird es noch eine Lösung für brauchen.

Was meint denn unser hiesige OpenID-Experte zum eigenen OpenIDserver? Ich weiß ja, dass Sie sich das auch schon mal angeschaut haben. Herr Pötter, übernehmen Sie.

Tags:[tag]OpenID[/tag]

Nachdem wir uns letzte Woche die beiden deutschen OpenID Provider Xlogon und Meinguter.name in Bezug auf Datenschutz etwas näher angesehen haben, sind heute die beiden US Provider myOpenID und claimID an der Reihe.

Achtung! Wer den Artikel von letzter Woche nur in seinem Feed Reader gelesen hat, sollte noch einmal einen Blick darauf werfen. Mir ist da ein peinlicher Fehler unterlaufen und ich habe den Artikel deshalb noch einmal ergänzt bzw. zusammen gestrichen. Ich hoffe mal, dass ich diesen Artikel heute ohne Fehler schaffen werde.

myOpenID

Die Nutzungsbedingungen von myOpenID entsprechen in vielen Punkten denen von Xlogon. Das betrifft sowohl die Änderung der Nutzungsbedingungen (inkl. Benachrichtigung der Nutzer bei erheblichen Änderungen) als auch der Sorgfaltspflicht der Nutzer (unter Nutzernamen und OpenID verbreitete Inhalte gehen zu Lasten der Nutzer). myOpenID weist zwar darauf hin, welche Inhalte man nicht haben möchte, stellt aber klar, dass diese selbst nicht kontrolliert werden und man evtl. auch auf anstößige Inhalte stoßen kann.

Die Weitergabe von Namen und Kontaktinformationen an Dritte wird ausgeschlossen. Es erfolgt ebenso keine Überwachung und Weitergabe von Inhalten (Ausnahme wie eigentlich überall: Strafverfolgungsbehörden).

Bei Xlogon bin ich ja bereits auf die Beendigung des Nutzungsverhältnisses eingegangen. Bei myOpenID werden ebenfalls die Inhalte gelöscht; der Nutzername bleibt jedoch bestehen. Die Begründung ist auch sehr einleuchtend: Man will vermeiden, dass jemand anderes den gleichen Nutzernamen verwenden kann, den ich bei meinem alten myOpenID Account benutzt habe. Für andere Personen ist nämlich nicht erkennbar, dass ich selbst nicht mehr hinter dieser OpenID stehe, was unter Umständen zu bösen Überraschungen führen könnte.

claimID

claimID verfährt bei Änderung der Nutzungsbedingungen genauso wie Xlogon und myOpenID. Im Gegensatz zu allen anderen bislang genannten Providern darf claimID nur privat genutzt werden. Nutzer dürfen keine Services an Dritte aufgrund von mit claimID erstellter Daten verkaufen; Spam wird ausdrücklich verboten.

claimID verkauft oder verleiht keine persönlichen Daten der Nutzer an Dritte. Ausnahmen werden bei einer Übernahme der Firma und bei Strafverfolgungsbehörden gemacht. Desweiteren behält man sich vor, im Rahmen von Studien bei claimID selbst (die Betreiber haben Informationswissenschaften studiert) anonymisierte Daten von Nutzern zu verwenden. Alle von Nutzern eingestellte Daten unterliegen einer Creative Commons Attribution Share-Alike Lizenz.

Bei Beendigung des Nutzungsverhältnisses werden die Accounts gelöscht.

Fazit

Anhand der Nutzungsbedingungen lassen sich keine wirklich gravierenden Unterschiede zwischen deutschen und amerikanischen Providern festmachen. Meinguter.name fällt da sogar etwas aus dem Rahmen. Eins sollte auch klar sein: Strafverfolgungsbehörden haben in beiden Ländern Zugriff auf die Daten.

Ein wesentlicher Unterschied zwischen den USA und Deutschland besteht darin, dass es in den USA kein bundesweites Datenschutzgesetz gibt. Es gibt in den einzelnen Bundesstaaten aber wohl verschiedene Ansätze in dieser Richtung. Interessant scheint mir auch, dass es ausgerechnet aus der Wirtschaft Bestrebungen gibt, einen einheitlichen Datenschutz zu schaffen. Microsoft ist hier sogar Vorreiter. Auch haben sich viele US Firmen verpflichtet, die strengeren Datenschutzbestimmungen der EU zu beachten; solche Firmen sind in der Safe Harbor List des US Handelsministeriums aufgeführt.

Ruft man sich jetzt Stichworte wie Vorratsdatenspeicherung und Bundestrojaner ins Gedächtnis zurück, bin ich mir nicht sicher, ob es noch wesentliche Unterschiede zwischen beiden Ländern gibt. Also immer schön die Nutzungsbedingungen lesen.