Zentrales und dezentrales Identitätsmanagement
 

Was ist zentrales Identitätsmanagement?

Das zentralisierte Identitätsmanagement basiert auf dem Erfassen und Speichern der Identitätsdaten von Nutzern. Mit einem zentralisierten Identitätsmanagement können Nutzer mit nur einem Satz von Anmeldedaten auf alle ihre Anwendungen, Websites oder andere Systeme zugreifen. Damit verbessert sich das Nutzererlebnis, da es ausreicht, einen Benutzernamen und ein Passwort einzugeben. Es kann aber auch zu einer gesteigerten Anfälligkeit führen, wenn die Anmeldedaten kompromittiert werden.

Wie funktioniert das?

Das zentrale Identitätsmanagement ist für alle Anwendungen einheitlich. Infolgedessen muss der Benutzer nur eine einzige Konsole aufrufen, wo er eine Vielzahl von Diensten und Infrastrukturen aktivieren kann. Wenn eine Single Sign-on (SSO)-Lösung eingerichtet ist, können die Benutzer auf die benötigten Tools zuzugreifen, ohne sich zuvor bei mehreren Konten anmelden zu müssen, weil eine Vertrauensbeziehung zwischen dem Benutzer, dem Unternehmen und den Partnerseiten besteht. Dies verringert Frustration, Hindernisse und Passwortmüdigkeit und erhöht gleichzeitig die Datensicherheit.

Wie kann ein zentrales Identitätsmanagements eingesetzt werden?

Das föderative Identitätsmanagement ist eine CIAM-Lösung, die das SSO für Anwendungen über mehrere Domänen oder Einheiten hinweg ermöglicht. Ein Unternehmen kann so seinen Mitarbeitern mit einem Klick Zugriff auf Anwendungen von Drittanbietern wie Salesforce oder Zoom geben. Wenn sich ein Mitarbeiter morgens anmeldet, braucht er weder mehrere Konten noch Passwörter, um seine täglichen Aufgaben zu erledigen und kann so produktiver arbeiten.

Das CIAM bietet den Kunden eine ähnliche Erfahrung. Beispielsweise kann eine Bank ihren Kunden einen nahtlosen Zugang zu Bankdienstleistungen bereitstellen, die extern verwaltet werden, wie beim Bestellen von Schecks, dem Versenden von Geld über eine Cash-App oder dem Beantragen eines Kredits. Wenn der Kunde seine Adresse in einer Anwendung aktualisiert, geschieht dies auch in allen anderen Anwendungen.

Was ist dezentrales Identitätsmanagement?

Bei der dezentralen Identitätsverwaltung wird der Zugriff auf mehrere Umgebungen verteilt. Dies bedeutet, dass die Nutzer für jede Anwendung, auf die sie zugreifen, verschiedene Anmeldedaten verwenden müssen. Mit dem dezentralen Identitätsmodell können Einzelpersonen identitätsbezogene Daten in einer digitalen Wallet auf ihrem eigenen mobilen Gerät speichern. In diesem Wallet wird ein Paar mit einem öffentlichen und einem privaten Schlüssel erstellt, über das der Nutzer ausschließlich die für eine Transaktion erforderlichen Informationen weitergibt. Die Informationen werden nur in der digitalen Brieftasche des Nutzers und nicht vom Unternehmen gespeichert, so dass der Nutzer jederzeit die Kontrolle behält und die Daten und die Präferenzen für ihre Freigabe auf dem neuesten Stand halten kann.
 

Wie funktioniert das dezentrale Identitätsmanagement?

Die Nutzer erhalten von verschiedenen Ausstellern (beispielsweise von Arbeitgebern und Behörden) Ausweisdokumente, die ihre Identität belegen, und speichern diese dann in ihrer digitalen Brieftasche ab. Die Benutzer können ein Paar aus einem privaten und einem öffentlichen Schlüssel in ihrer Identitätsbrieftasche erstellen und geben dann nur die wenigen Informationen weiter, die für die jeweilige Transaktion benötigt werden. Wenn ein Unternehmen einen oder mehrere Identitätsnachweise anfordert, kann die Person diese vorlegen, und ihre Gültigkeit wird anhand eines Blockchain-basierten Ledgers überprüft.

Herausgeber können offizielle Datenquellen sein, wie z. B. Universitäten, Kreditanstalten oder Apotheken, die verifizierte Daten über Personen bereitstellen. Nutzer können auf einen Link eines anderen Nutzers klicken oder einen QR-Code scannen, um verifizierte Daten in Form einer Karte zu ihrer digitalen Geldbörse hinzuzufügen.

Die Nutzer sind Individuen, wie beispielsweise mögliche Mitarbeiter oder Kunden, die Identitätsdaten (z. B. einen Personalausweis, einen Impfpass oder eine Abschrift) in einer digitalen Brieftasche speichern, in der unter Verwendung der Blockchain-Technologie sichergestellt ist, dass diese Informationen niemals geändert oder gelöscht werden. Da die personenbezogenen Informationen nur in der digitalen Brieftasche vom Nutzer selbst gespeichert werden, hat dieser sie immer unter Kontrolle.

Prüfer sind Unternehmen oder Einzelpersonen, die Aussagen über andere bestätigen müssen. Durch das Scannen eines QR-Codes können Benutzer aktuelle, verifizierte Daten über sich selbst mit Prüfern austauschen.

Wie unterscheidet sich dezentrales Identitätsmanagement von zentralem Identitätsmanagement?

Der grundlegendste Unterschied zwischen einem dezentralen und einem bereits vorhandenen Identitätsmanagement besteht in den Vertrauensbeziehungen. Heutzutage ist das Prinzip mit SAML und SAML und OAuth weit verbreitet. Es basiert auf dem bidirektionalen Vertrauen zweier Parteien, die sich gegenseitig kennen, und eine Form der Vereinbarung für die Herstellung einer Verbindung getroffen haben. Über diese Verbindung werden dann Informationen über den Benutzer wie beispielsweise Daten zur Authentifizierung, Identitätsattribute und zur Autorisierung weitergegeben.

Bei den meisten selbstkontrollierten und dezentralen Identitätssystemen ist das Vertrauensmodell grundsätzlich unidirektional, d. h. ein Prüfer vertraut dem Aussteller, aber der Aussteller kennt den Prüfer möglicherweise nicht. Nicht zuletzt spielt auch die Wallet eine entscheidende Rolle, damit dies sicher vonstatten gehen kann und der grundlegende Schutz der Privatsphäre in eine Richtung gewährleistet ist. Sie ist eine eigenständige Partei mit einer eigenen, unabhängigen Beziehung sowohl zum Aussteller als auch zum Prüfer und muss über starke kryptografische Fähigkeiten verfügen, um diese Funktion zu erfüllen.

Diese unidirektionalen Vertrauensbeziehungen können mit bestehenden Lösungen unterstützt werden. Es gibt zahlreiche unterstützte Mechanismen, die eine Annäherung an diese Art von Beziehungen mit den heutigen Plattformen möglich machen. Die Unterschiede werden merklicher, wenn im Rahmen der dezentralen Identität eine noch weiter fortgeschrittene Kryptographie verwendet wird, die dann selbst die Vertrauensgrenzen durch den Einsatz von Null-Wissen-Beweisen und anonymen Signaturtechniken garantiert. Neuere Anforderungen dieser noch in der Entwicklung befindlichen Sicherheitstechnologien haben subtile, aber maßgebliche Auswirkungen, die sich leichter einfügen, wenn man sie von Anfang an mitwachsen lässt.