Ausgehend von einem Blogbeitrag von Mathias Pfefferle vom Notizblog zum Thema microid habe ich mir mal Gedanken über eine einigermaßen sichere User-Authentifizierung gemacht.
Problemstellung
In einem Blog kann ja prinzipiell Jeder kommentieren. Usernamen sind frei wählbar, und eine anzugebende e-mail Adresse kann gefälscht sein oder eine Wegwerfadresse sein. Durch rechtlich bedenkliche Inhalte in solchen Kommentaren können Blog- oder Forenbetreiber in ziemliche Schwierigkeiten kommen.
Manche Blog- oder Forenbetreiber verlangen daher von ihren Usern, sich zu registrieren, bevor ein Kommentar verfasst werden kann. Dabei werden umfangreiche persönliche Daten abgefragt. Aus Datenschutztechnischen Gründen nicht gerade ideal.
Passwort
Der Ansatz mit dem Passwort zum Login ist andererseits notwendig, um einen User auch tatsächlich zu identifizieren. Denn nur, wenn eine Person ein nur ihr bekanntes Passwort eingibt, kann der Servicebetreiber sicher sein, dass auch tatsächlich eben diese Person den Beitrag verfasst. Ansonsten könnte ja Jeder unter einem fremden Namen einen Beitrag verfassen. Identitätsdiebstal ist durchaus ein Problem.
Jeder für sich
Der Lösungsansatz besteht nun darin, das Loginverfahren mit Usernamen und Passwort prinzipiell beizubehalten, die Nutzerdaten aber nicht beim Service Provider zu speichern. Stattdessen speichert Jeder seine Nutzerdaten in verschlüsselter Form auf seinem eigenen Webspace, und der Blog- oder Forenserver ruft die Daten dort ab.
Ausgehend von der microid Spezifikation habe ich daher mal eine eigene Spezifikation angefangen. Noch ist das in Entwicklung, aber der Grundgedanke dahinter sollte schon mal deutlich werden. Das Verfahren hätte durchaus Vorteile.
