Betrouwbaarheidsniveau's voor iedereen!

Het hergebruiken van identiteiten (authenticatie en attribuutlevering accepteren van vertrouwde partijen) staat al jarenlang in de warme belangstelling hier bij Novay. De standaarden die je daarvoor gebruikt maken het ook mogelijk om het betrouwbaarheidsniveau van authenticatie door te geven. Dit kan een belangrijke driver zijn om een op de authenticatieoplossing alvast op deze standaarden te baseren, zelfs als hergebruik nog lang niet in zicht is.

Voor de gemiddelde Internetgebruiker lijkt het misschien een idee dat pas recentelijk ingevoerd is:

• Social login (inloggen met je facebook / Google account / OpenId) wordt steeds gewoner
• DigiD wordt steeds meer gebruikt, ook op de webomgeving van zorgverzekeraar en pensioenfonds
• eHerkenning voor bedrijven staat erg in de belangstelling

Maar identiteitshergebruik, ook wel “federatie” van identiteiten genoemd, is al jarenlang verankerd in open standaarden zoals SAML. We lijken langszaam maar zeker te wennen aan het idee van identiteitshergebruik.

Standaardisatie is van wezenlijk belang bij "echte" federaties waar strict verschillende partijen met elkaar moeten communiceren; denk aan een hoger onderwijs federatie zoals de SURFfederatie. Maar we zien de federatiestandaarden (SAML 2.0 uit 2006(!) en OAuth2 (OpenId Connect) de veelbelovende "social" / "mobile" uitdager) steeds vaker terug komen, ook als het om authenticatie van de eigen klant gaat, zie bijvoorbeeld dit screenshot van de mijn-omgeving van ING.

Er kunnen allerlei beweegredenen zijn voor het invoeren van een standaard als SAML 2.0 in situaties waar het om authenticatie van de eigen gebruikers gaat. Het wordt namelijk in principe makkelijker om authenticatiemiddelen van derden te gaan gebruiken, en het wordt wordt makkelijker om de eigen authenticatiemiddelen voor derden open te stellen. Maar het kan ook een minder sexy doel dienen: het onder een noemer brengen van de interne identity infrastructuur omdat deze, wellicht door fusies en overnames, uit zeer verschillende componenten bestaat. De eigen interne identity infrastructuur kan op die manier wat wendbaarder worden en op die manier dienend worden voor allerlei business doelen. Wellicht moet daar in een volgende blog wat meer aandacht aan besteed worden.

Eén voordeel van federatieve standaarden wil ik hier alvast noemen. Nadat ge-externaliseerde authenticatie en attribuutlevering geregeld is, wordt het mogelijk om na te gaan denken over gestandaardiseerde uitwisseling van het niveau van authenticatie. In SAML is hier rekening mee gehouden: de standaard staat toe om aan te geven op welke manier authenticatie plaatsgevonden heeft, zowel technisch (wat voor soort authenticatiemiddel is gebruikt, hoe werkt het protocol) als procedureel (hoe is het middel uitgereikt, hoe gebruikt de gebruiker het middel). Dit onderdeel van de oorspronkelijke SAML 2.0 specificatie was niet altijd even makkelijk toe te passen in de praktijk: een concrete authenticatiecontext bestaat potentieel uit zeer veel verschillende keuzes op elk van de deelgebieden waaruit technisch en procedureel zelf weer opgebouwd zijn. In recente aanpassingen van de SAML authenticatiecontext wordt daarom gepleit voor het gebruik van de vier discrete betrouwbaarheidsniveau's zoals deze ook in EU context in het STORK project ingevoerd zijn. Door SAML-technisch alvast te regelen dat gebruikers op verschillend niveau geauthenticeerd kunnen zijn, wordt het ook makkelijker om straks de trade-off tussen beveiliging, gebruikersvriendelijkheid en kosten samen met de gebruiker te maken.

Novay organiseert op 11 oktober a.s. een mastercourse betrouwbaarheidsniveau's waarin het praktische toepassen van deze niveau's centraal zal staan.