Acerca de las tarjetas de información y la identidad digital

Internet es un instrumento cada vez más valioso y, sin embargo, se enfrenta a retos significativos. Cada vez son más los casos de robo de identidad en línea, fraude y los problemas de confidencialidad. Usuarios utilizan un número creciente de cuentas y contraseñas. Esta carga produce la "fatiga de la contraseña" y da lugar a prácticas poco seguras, como el uso del mismo nombre de cuenta y contraseña en muchos sitios.

CardSpace es la implementación de Microsoft de un metasistema de identidad que permite a los usuarios elegir una de una serie de identidades que les pertenecen, y utilizarla en contextos en que son aceptadas, independientemente de los sistemas de identidad subyacentes donde las identidades se originan y utilizan. En este tema se explican el problema y la solución de CardSpace en detalle, y se describe cómo pueden usar CardSpace los usuarios de CardSpace. Muchos de estos problemas tienen su origen en la falta de una solución de identidad globalmente aceptada en Internet.

Oportunidades y desafíos

Tanto para los usuarios como para los negocios, Internet es un instrumento cada vez más valioso. Más y más usuarios utilizan Internet para realizar tareas cotidianas, por ejemplo hacer sus compras, llevar a cabo sus transacciones bancarias, pagar las facturas, y comprar todo tipo de artículos de ocio y entretenimiento. El comercio electrónico está creciendo, con empresas que ofrecen a través de Internet más servicios y contenido, se comunican y colaboran en línea, e inventan nuevas maneras de ponerse en contacto unas con otras.

Por otro lado, de la misma forma que ha aumentado el valor de lo que las personas pueden hacer en línea, Internet se ha convertido en un instrumento más complejo y peligroso. El robo de identidad en línea, el fraude y los problemas de privacidad van en aumento. También se inventan prácticas sofisticadas y negativas como la suplantación de identidad (phishing). Para responder a estos retos, se han desarrollado multitud de sistemas diseñados para proteger la identidad. La diversidad tiene como consecuencia la fatiga de la contraseña y los ejercicios no seguros ya mencionadas.

La raíz de estos problemas es que Internet se diseñó sin un tener en cuenta un sistema de identidad digital. En un esfuerzo por hacer frente a esta deficiencia, se han introducido numerosos sistemas de identidad digital, cada uno con sus virtudes y defectos. No hay ningún sistema que satisfaga los requisitos de todos los escenarios de identidad digital. La realidad es que en la actualidad se utilizan muchos sistemas de identidad diferentes, y cada día se inventan otros nuevos. Como consecuencia, existe un mosaico incoherente de soluciones improvisadas en cada sitio web, lo que convierte el sistema en un todo débil y restringe la posibilidad de realizar todas las posibilidades del comercio electrónico.

Metasistema de identidad abierto

Puesto que es muy improbable que algún día se adopte de forma universal un sistema o tecnología de identidad digital únicos, una solución de identidad satisfactoria y ampliamente utilizada para Internet requiere un enfoque distinto, que tenga la capacidad de conectar los sistemas de identidad existentes y futuros en un metasistema de identidad, o "sistema de sistemas". Este metasistema aprovecha las virtudes de los sistemas de identidad que lo forman, proporciona la interoperabilidad entre ellos y posibilita la creación de una interfaz de usuario coherente y sencilla para todos. Las mejoras que se consiguen benefician a todos los usuarios, convirtiendo Internet en un lugar más seguro, con potencial para hacer crecer el comercio electrónico, hacer frente a la suplantación de identidad y resolver otros problemas de la identidad digital.

Mantener la diversidad de sistemas

En el mundo físico, las personas usan diversas formas de identificación, como permisos de conducir, pasaportes, tarjetas de crédito y otros tipos de tarjetas como las tarjetas de fidelización de las compañías aéreas. Las personas deciden qué tarjeta utilizar y cuánta información revelar en una situación determinada.

De igual forma, el metasistema de identidad permite a los usuarios mantener sus seguridad y tener el control cuando tienen acceso a los recursos de Internet. Permite a los usuarios seleccionar una identidad de entre una serie de identidades digitales y utilizarla en los servicios de Internet que deseen y en los que se acepten. El metasistema permite utilizar las identidades proporcionadas por la tecnología de un sistema de identidad en sistemas basados en otras tecnologías, siempre que exista un intermediario que conozca las dos tecnologías, esté dispuesto a realizar las transacciones necesarias y sea de confianza.

Es importante hacer notar que el metasistema de identidad no entra en competencia con los sistemas de identidad que pone en conexión, no los sustituye. En lugar de ello, los objetivos del metasistema de identidad son los de conectar los sistemas de identidad individuales, permitir la interoperabilidad sin problemas entre ellos, proporcionar a las aplicaciones una representación independiente de la tecnología de las identidades, y proporcionar una experiencia del usuario mejor y más coherente con todos ellos. El metasistema depende de cada uno de los sistemas independientes para hacer su trabajo.

Identidades en contexto

Las identidades de las que disponen las personas en el mundo físico pueden ser muy importantes, como partidas de nacimiento, pasaportes y permisos de conducir, o bastante triviales, como tarjetas de visita o tarjetas de establecimientos comerciales. Los usuarios utilizan distintas formas de identificación en los contextos diferentes donde se aceptan.

Las identidades pueden estar en contexto o fuera de contexto. Las identidades utilizadas fuera del contexto no suelen proporcionar el resultado deseado. Por ejemplo, intentar utilizar la tarjeta de un supermercado para cruzar una frontera está claramente fuera de contexto. Por otro lado, utilizar una tarjeta bancaria en un cajero automático, un carné de identidad emitido por un gobierno en una frontera, una tarjeta de supermercado en el supermercado, y una cuenta de Passport Network (anteriormente .NET Passport) en MSN Hotmail está todo en contexto.

En algunos casos, la distinción es menos claro. Se podría usar un carné de identidad emitido por gobierno en un cajero automático, en lugar de una tarjeta emitida por el banco, pero si esto tuviera como resultado que el gobierno conociera todas las transacciones financieras, algunos ciudadanos se sentirían incómodos. Puede utilizar un número de la seguridad social como número del carné de estudiante, pero esto facilita el robo de la identidad. También se podrían usar cuentas de Passport en algunos sitios que no son de Microsoft, pero pocos sitios lo permiten. Incluso en los lugares en que se permite, pocos usuarios deciden hacerlo, porque sienten que la participación de Microsoft en estas transacciones está fuera de contexto.

El análisis de la experiencia de Passport y de otras iniciativas de identidad digital en el sector, condujo a trabajar con gran número de expertos del sector para obtener un conjunto de principios fundamentales para un sistema de identidad digital en Internet correcto, de adopción generalizada y resistente. En la sección siguiente se describen estos principios.

Principios ("leyes de identidad")

El metasistema de identidad abierto está diseñado para seguir un conjunto de principios (también llamados "Leyes de Identidad") que se han desarrollado con los comentarios continuados y las sugerencias de una gran comunidad de usuarios de la comunidad de identidad digital.

Los principios que un sistema de identidad debería seguir son lo siguientes.

• Control y consentimiento por parte del usuario
  Los sistemas de identidad revelan información que identifica a un usuario sólo con su propio consentimiento.

• Divulgación mínima en un tiempo limitado
  La solución de sistema de identidad que divulga la menor cantidad de información de identificación es la solución más estable y para largo plazo.

• Partes justificables
  Los sistemas de identidad sólo divulgan información de identificación a las partes que ocupan un lugar necesario y justificable en una relación de identidad determinada.

• Identidad dirigida
  Los sistemas de identidad admiten identificadores "multidireccionales" para el uso por parte de entidades públicas, e identificadores "unidireccionales" para el uso por parte de entidades privadas, facilitando así la detección a la vez que se evita la liberación innecesaria de los identificadores de correlación.

• Pluralidad de operadores y tecnologías
  Los sistemas de identidad canalizan y habilitan los mecanismos internos de varias tecnologías de identidad ejecutados por diversos proveedores de identidad.

• Integración humana
  Los sistemas de identidad definen al usuario humano para que sea un componente del sistema distribuido, integrado a través de mecanismos de comunicaciones entre los equipos y las personas, en los que no hay ambigüedad, que proporcionan protección contra los ataques de identidad.

• Experiencia coherente en todos los contextos
  Los sistemas de identidad posibilitan la negociación entre una parte que confía y un usuario de una identidad concreta. Esto representa una interfaz armoniosa técnica y humana, que permite la autonomía de identidad en contextos diferentes.

Arquitectura del metasistema de identidad abierto

En esta sección se describe la arquitectura general de un metasistema de identidad abierto.

Funciones

Distintas partes participan en el metasistema de maneras diferentes. Las funciones de un metasistema son:

• Los proveedores de identidad emiten las identidades. Por ejemplo, los proveedores de tarjetas de crédito podrían emitir identidades que habilitan el pago, las empresas podrían emitir identidades para sus clientes, los gobiernos podrían emitir identidades para los ciudadanos, y los individuos podrían utilizar las identidades de emisión personal en contextos como iniciar sesión en a los sitios web.

• Las partes que confían exigen identidades. Por ejemplo, un sitio web o servicio en línea que utiliza las identidades proporcionadas por terceros.

• Los sujetos son los individuos y otras entidades a los que se refieren las notificaciones. Como ejemplos se pueden citar los usuarios finales, las empresas y las organizaciones.

Cada persona y entidad que participa en un metasistema de identidad puede representar todos las funciones, y cada persona y entidad puede representar más de una función en un momento determinado. A menudo, una persona o entidad representa simultáneamente las tres funciones.

Componentes

En esta sección se describen los componentes clave y los conceptos del metasistema.

El metasistema se compone de cinco componentes clave:

1. Una forma de representar identidades mediante notificaciones.

2. Un medio de negociación para los proveedores de identidad, las partes que confían y los sujetos.

3. Un protocolo de encapsulación para obtener notificaciones y requisitos.

4. Un medio para conectar la tecnología y los límites de la organización mediante la transformación de las notificaciones.

5. Una experiencia del usuario coherente en varios contextos, tecnologías y operadores.

Identidades basadas en notificaciones

Las identidades constan de conjuntos de notificaciones que se afirman sobre el sujeto de la identidad. Por ejemplo, las notificaciones de un permiso de conducir podrían incluir el estado emisor, el número del permiso, un nombre, dirección, el sexo, la fecha de nacimiento, los tipos de vehículos que puede conducir el titular, etc. El estado emisor afirma que estas notificaciones son válidas.

Las notificaciones de una tarjeta de crédito podrían incluir la identidad del emisor de la tarjeta, el nombre del titular de la tarjeta, el número de cuenta, la fecha de caducidad, el código de validación y la firma del titular. El emisor de la tarjeta afirma que estas notificaciones son válidas.

Las notificaciones de una identidad de emisión personal (como una tarjeta de presentación) podrían incluir un nombre, dirección y número de teléfono. En las identidades de emisión personal, el usuario afirma que estas notificaciones son válidas.

Negociación

La negociación permite a los participantes del metasistema realizar acuerdos que son exigidos para ponerse en contacto entre ellos dentro del metasistema. La negociación se utiliza para determinar tecnologías, notificaciones y requisitos aceptables para todos. Por ejemplo, si una parte entiende notificaciones SAML y X.509 y otra entiende notificaciones Kerberos y X.509, las partes negocian y deciden utilizar las notificaciones X.509 para comunicarse. Otro tipo de negociación determina si una identidad concreta puede proporcionar las notificaciones exigidas por la parte que confía. Ambos tipos de negociación son simplemente ejercicios de coincidencia, en los que se compara lo que una parte puede proporcionar con lo que otra puede proporcionar, y se determina si hay una coincidencia.

Protocolo de encapsulación

El protocolo de encapsulación proporciona una manera independiente de la tecnología para el intercambio de notificaciones y requisitos entre los sujetos, los proveedores de identidad y las partes que confían. Los participantes, y no el metasistema, determinan el contenido y el significando de lo que se intercambia. Por ejemplo, el protocolo de encapsulación permitiría a una aplicación recuperar las notificaciones con codificación SAML sin tener que entender o implementar el protocolo SAML.

Transformadores de notificaciones

Los transformadores de notificaciones salvan los límites técnicos y de las organizaciones transformando las notificaciones comprensibles para un sistema en notificaciones comprensibles y de confianza para otro sistema, evitando así que un gran número de clientes y servidores tengan que evaluar las notificaciones. Los transformadores de notificaciones pueden transformar o refinar también la semántica de las notificaciones. Por ejemplo, una notificación que afirme "Es un empleado" se podría transformar en la notificación "Autorizado a comprar el libro". La notificación "Fecha de nacimiento: 22 de marzo de 1960" se podría transformar en "Mayor de 21 años" que, deliberadamente, proporcionan menos información. Los transformadores de notificaciones también se pueden utilizar para cambiar el formato de las notificaciones. Por ejemplo, las notificaciones realizadas en formatos como X.509, Kerberos, SAML 1.0, SAML 2.0, SXIP, etc., se podrían transformar en notificaciones expresadas mediante otras tecnologías. Los transformadores de notificaciones proporcionan la interoperabilidad necesaria en la actualidad, así como la flexibilidad exigida para incorporar nuevas tecnologías.

Experiencia del usuario coherente

Muchos ataques de identidad tienen éxito porque se engaña al usuario con algo que se presenta en la pantalla, no debido a la falta de seguridad de las tecnologías de comunicación. Por ejemplo, los ataques de suplantación de identidad no tienen lugar en el canal seguro entre los servidores web y los exploradores, que podría abarcar miles de kilómetros, si no en la pequeña distancia que hay entre el explorador y el usuario. Por consiguiente, el metasistema de identidad trata de dar a los usuarios la posibilidad de tomar decisiones de identidad informadas y razonables, habilitando el desarrollo de una interfaz de usuario coherente, comprensible e integrada para tomar esas decisiones.

Un aspecto clave para proteger todo el sistema es presentar una interfaz de usuario fácil de utilizar y previsible, que tenga el mismo aspecto y funcionamiento independientemente de las tecnologías de identidad subyacentes que se utilicen. Otro aspecto importante es hacer que la información importante resulte obvia, por ejemplo mostrando la identidad del sitio en que el usuario se está autenticando de manera que los intentos de suplantación sean evidentes. Se debe informar al usuario sobre qué elementos de información personal solicitan las partes que confían, y con que finalidad. Esto les permite a los usuarios tomar las decisiones adecuadas y decidir si divulgar o no esta información. Finalmente, la interfaz de usuario proporciona un medio para que el usuario consienta activamente a la divulgación de la información, si acepta las condiciones.

Especificaciones de WS-*

Como sucede con otras características de WCF, la tecnología de CardSpace parte de un conjunto de especificaciones abiertas, la arquitectura de servicio web WS-*. El protocolo de encapsulación utilizado para la transformación de las notificaciones es WS-Trust. Las negociaciones se realizan utilizando WS-MetadataExchange y WS-SecurityPolicy. Estos protocolos permiten generar un metasistema de identidad independiente de la tecnología y forman el "telón de fondo" del metasistema de identidad. Como otros protocolos de servicios web, también permiten incorporar nuevos tipos de identidades y tecnologías, y utilizarlos tal y como se desarrollan y adoptan por la industria.

Para proporcionar la interoperabilidad necesaria para la generalización, las característica técnicas de WS-* se publican y están a disposición de todos los usuarios, se envían a las instituciones de estándares abiertos, y permiten desarrollar implementaciones sin tener que pagar derechos de autor.

Escenario global

La figura siguiente muestra los procesos de un extremo a otro que se producen al utilizar CardSpace para tener acceso a un sitio que requiere la validación del usuario.

Conclusión

Muchos de los problemas actuales de Internet, como los ataques de suplantación de identidad (phishing) y la diversidad en la experiencia del usuario, derivan del gran número de soluciones de identidad digital creadas por los fabricantes de software, al no existir un sistema de identidad digital unificado. Un metasistema de identidad, como se define en las Leyes de identidad, proporciona un tejido unificador de identidad digital, utiliza sistemas de identidad existentes y futuros, proporciona la interoperabilidad entre ellos, y permite la creación de una interfaz de usuario coherente y sencilla para todos ellos. Basando nuestros esfuerzos en las Leyes de identidad, Microsoft está trabajando con otros miembros del sector para generar un metasistema de identidad publicado mediante protocolos de WS-*, que hacen que las implementaciones de Microsoft sean totalmente interoperables con las de terceros. La implementación de Microsoft de los componentes del metasistema de identidad es el sistema CardSpace.

Con CardSpace, muchos de los riesgos, complicaciones, molestias e incertidumbres de las experiencia en línea pueden pasar a ser una cosa del pasado. La implementación generalizada del metasistema de identidad tiene el potencial para resolver muchos de estos problemas, beneficiando a todos los usuarios y acelerando el crecimiento a largo plazo de la conectividad, haciendo el mundo de Internet más seguro, confiable y utilizable. Microsoft trabaja con otros miembros del sector para definir e implementar el metasistema de identidad.

Enviar comentarios sobre este tema a Microsoft.

Copyright © 2007 Microsoft Corporation. Reservados todos los derechos.