Авторизация на доверии

Это текст моего выступления на 404fest 26 сентября. Слайдов у меня было мало, и по ним одним понять ничего нельзя. Поэтому я решил взять текст (благо всё равно он уже написан) и сделать из него нормальный пост. Также я сделал его немного более техническим и менее ознакомительным.

Предметная область

Несмотря на то, что технология OpenID появилась уже несколько лет назад (2005 год, кажется), она до сих пор страдает от недопонимания того, чем она собственно является по сути. Люди считают, что это средство быстрой регистрации без заполнения форм. Или что это защита от спама или, наоборот, опасная штука, которая даёт спамерам больше свободы. Или вообще чуть ли не технология слежения за людьми.

Я хочу поговорить об этом на довольно высоком — философском — уровне. Пожалуй я даже возьму на себя смелость утверждать, что то, о чём я буду говорить, является самым важным в этой технологии, её сутью. И я считаю, что понимание этого необходимо всем тем, кто хочет этой технологией заниматься.

Гарантии протокола

Технически OpenID предназначен для того, чтобы подтвердить, что некий юзер, представившийся URL'ом, действительно контролирует этот URL.

В процессе участвуют:

• юзер
• консумер (или RP — Relying Party) — сайт, на который юзер пришёл авторизовываться
• сервер (или IP — Identity Provider) — сервер, который подтверждает личность пользователя для консумера

Подтверждение считается факт того, что пользователь может авторизоваться средствами своего сервера на нём же. Интересно посмотреть на этот процесс со стороны консумера и понять, какие гарантии он получает в итоге.

Вообще говоря, не так уж и много:

• Нет гарантии, что сервер способен подтвердить личность пользователя. Возможно на нём используется какая-нибудь слабая система аутентификации, которую легко обойти. Протокол OpenID оставляет способ авторизации целиком на совести сервера.

• Нет гарантии, что сервер хочет подтвердить личность пользователя. Это элементарно может быть спамерский сервер, написанный специально для того, чтобы отвечать "да, это мой пользователь" на любой запрос.

• Нет гарантии, что юзер тупо не раздал свой пароль друзьям.

Получается, что консумеру предлагается принимать у себя пользователей, про которых на самом деле ничего не гарантируется. В общем-то, именно поэтому часто OpenID-пользователи трактуются как второсортные и "опасные" (встречали наверное ЖЖшные дневники, где по OpenID комментировать запрещено?).

Технологии подтверждения

Здесь надо сделать небольшое лирическое отступление.

Современные браузеры стали красиво показывать подтверждение о том, что сайт, на который вы пришли действительно тот самый сайт, за который он себя выдаёт. Это гарантия безопасности, которая очень важна на сайтах с реальными персональными данными, банковскими счетами и т.п.

Как это работает? В браузере лежит некая пачка Сертификатов, заверенных Авторитетами Сертификатов, которые проверяют данные, которые пересылает сайт по Защищённому протоколу, на предмет их соответствия другим Сертификатам, выданным Авторитетами сайтам. Это всё прозрачно и тривиально...

Ну да... Знаете, я никогда не мог заставить себя разобраться со всем этим стеком технологий обеспечения безопасности. Нет, честно, я сам не понимаю, что тут выше написал. И не ошибусь, наверное, в предположении, что конечные пользователи за браузерами тоже этого не понимают. Так почему же мы этому доверяем?

Доверие

Ну скорее всего потому, что мы верим, что производители браузеров не хотят нас обмануть, и как-то научили браузер делать Правильную Вещь™. И для нас, конечных пользователей, гораздо важнее наличия Авторитетных Сертификатов то, что эта зелёненькая хреновина находится в панельке браузера, а не на странице сайта.

Давайте копнём глубже. Здесь кроме производителей браузеров мы на самом деле доверяем ещё и компаниям, которые работают на рынке подтверждения сертификатов. И хоть мы не очень задумываемся над тем, как именно сайты регистрируют эти сертификаты (в конечном счёте — за деньги), и как именно проверяется достоверность сведений о компании (подозреваю, что плохо), мы всё равно продолжаем пользоваться интернетом и доверять этому бэджику. Почему? Потому что помимо доверия производителям браузеров мы ещё видим, что много людей вокруг нас пользуются тем же самым и для них это работает.

Выйдем теперь ещё и в реальный мир. Когда мы летим куда-то на самолёте, знаем ли мы, в каком точно техническом состоянии находится самолёт? Нет. Но мы доверяем службам аэропорта: штату механиков, контролёров и ответственных лиц, а также мастерству пилота, что нас доставят из Москвы в Самару. Целиком. Фактически мы доверяем свою жизнь нескольким десяткам абсолютно незнакомых нам людей. Не странно ли?

Возможно. Однако если посмотреть в корень любого процесса или технологии обеспечения безопасности, то становится очевидным, что не процессы и не технологии её обеспечивают. В конечном счёте всё строится на доверии одних людей другим.

Доверие — это социальный механизм обеспечения безопасности, который общество выработало на протяжении своей эволюции. И другого у нас нет.

Откуда берётся доверие

Это та штука, над которой я думал довольно долго. В итоге пришёл к тому, что всё сводится к трём путям:

• Доверие авторитету. Мы можем доверять в каком-то вопросе одному авторитетному источнику.

• Доверие толпе. Мы можем доверять мнению неавторитетных источников, если в этом мнении их сходится достаточно много.

• Доверие себе. Мы можем составить мнение о чём-то самостоятельно, основываясь на предыдущем опыте взаимодействия с ним.

Первые два способа дают нам — людям, живущим в реальном обществе — практичный способ принимать решения о доверии быстро. Но это только способы передачи информации о доверии от других источников. Третий способ более медленный, но он как раз завершает картину, показывая, откуда берётся доверие, когда его нет.

Кстати интересно, что берётся оно в итоге буквально из ничего! Меня этот факт очень впечатляет :-)

И ещё стоит заметить эти три способа получения доверия универсальны: мы ими пользуемся для всего, независимо от области применения.

Доверие пользователям: один недостающий ингредиент

Вернёмся обратно в интернет.

Чуть раньше я показал, что протокол OpenID не даёт надёжных гарантий относительно доверия новому пользователю на сайте. Но ведь это ничем не отличается от того, как мы регистрируем пользователей сейчас. Когда новый пользователь приходит на сайт, и сайту интересно узнать, можно ли этому человеку доверять, он это может делать только в рамках третьего способа получения доверия: самостоятельного построения. Показывание CAPTCHA, пересылка подтверждающих писем, регистрационные формы, накопление кармы — это всё попытки сайта самостоятельно убедиться в надёжности пользователя.

Чем дотошней проверка, тем дольше и неудобно это для пользователя. Поэтому сайты не могут этим особенно злоупотреблять — иначе юзеры от них просто уйдут. Поэтому эти проверки надёжны только до определённой степени. Но что хуже, они не работают в отношении к юзерам, про которых сайт решает, что они "плохие": юзера можно забанить, но он пойдёт, перерегистрируется и продолжит творить свои тёмные дела дальше.

Выходит так, что сейчас сайты не могут пользоваться двумя первыми способами получения доверия, принимая его от других участников сети, и не могут пользоваться третьим продолжительное время? Причина этому достаточно очевидна: мы не знаем людей, которые к нам приходят. Да, мы даём им собственные nickname'ы. Но "username" на ЖЖ и "username" на Ли.Ру — это разные люди. И в то же время robot1, robot2 и robot120, зарегистрированные на нашем сайте в разное время, могут быть одним и тем же человеком.

По сути, нам не хватает одного важного параметра, чтобы пользоваться при авторизации пользователей теми же механизмами, которыми пользуется человеческое общество:

• спрашивать авторитета надо про кого-то конкретного
• спрашивать толпу надо про кого-то конкретного
• строить собственное доверие надо к кому-то конкретному

То есть для этого нам не хватает некой системы, в которой у каждого пользователя был бы идентификатор, и этот идентификатор был бы глобальным. Причём глобальным в пространстве и времени: не менялся бы от сайта к сайту и от регистрации к регистрации.

Подходит ли OpenID

Собственно, OpenID — это как раз и есть глобальный идентификатор. И хотя мы разобрались, что этот протокол не обесечивает проверки идентичности пользователя в случаях, когда пользователь активно хочет вас обмануть, но зато он позволяет это пользователям, которые хотят. А вот с этим уже можно жить. Смотрите как.

Сайтам, принимающим пользователя по глобальному идентификатору, нужно принять довольно очевидную политику построения доверия. Пользователям, про которых никто ничего не знает, выдаются ограниченные права и ограниченная функциональность. С течением времени, когда пользователь "хорошо себя ведёт", кредит доверия к нему увеличивается, и прав ему можно выдавать больше.

Это накопленное доверие привязывается к идентификатору, и чем дольше это происходит, тем ценнее он становится для пользователя, потому что у доверия есть ещё одно свойство, которое мы выяснили за свою историю: построить его долго и тяжело, а потерять просто и легко.

Над этим стоит немного подумать. Получается, что нам достаточно протокола подтверждения идентификатора, работающего только при наличии пользователей, которые хотят следить за своей "кредитной историей". Просто потому что остальные пользователи (боты и спамеры) нам по умолчанию не интересны, и мы не даём им особенной свободы.

Вот это и есть — главный смысл OpenID. Это не какая-то магическая технология, позволяющая без всякого процесса регистрации на вашем сайте создавать у вас абсолютно надёжных пользователей. Она предоставляет глобальный идентификатор, на который можно завязывать систему построения и передачи доверия.

Практическое применение в Cicero

Я хочу привести один конкретный пример того, как это может работать, потому что слова вроде "политика построения доверия" довольно абстрактны.

Вот как я пользуюсь этим у себя на форуме.

• Постить в форум может кто угодно. Изначально неважно, подписался он "Вася" или "http://username.ya.ru", текст поста прогоняется через антиспамный конвейер и может быть приостановлен в карантин. Это то самое "недоверие по умолчанию".

• Если пользователь подписывается неким OpenID, то ему даются права редактировать свой пост. Я это разрешаю несмотря на то, что новый OpenID не имеет кредита доверия. Просто потому, что этим самым потенциально злонамеренный пользователь не может никому навредить, кроме себя :-)

• Когда пользователь достаточно примелькался, и мне лично кажется, что он не спамер, я заношу его специальной кнопкой в белый список. С этого момента его посты перестают гонять через антиспамный конвейер.

• Список OpenID, которым я доверяю постить на форуме, открыт. Его могут читать другие сайты и, например, доверять таким пользователям у себя. Это то самое "доверие авторитету". Или они могут не доверять только мне, а читать такие списки ещё с пары других сайтов и автоматически доверять юзеру, только если он хорошо засветился на 2-3 других сайтах — это "доверие толпе".

  Насколько я знаю, сейчас читает мой whitelist только http://webnewage.org/.

Бонус: фишки глобальной идентификации

Кроме передачи и построения доверия у глобальной идентификации есть и другие применения. Вот пара моих мыслей на эту тему.

• Самая очевидная фишка, которая следует из глобального идентификатора, и которая уже местами используется — это предзаполнение полей профиля при регистрации. Человек приходит на новый сайт, сообщает свой OpenID, и форма регистрации для него заполняется его именем, email'ом, никнеймом... Частенько бывает, что этих данных достаточно, и тогда пользователя можно вообще не гонять через форму регистрации. (Последнее — это как раз то, что многие ошибочно считают сутью OpenID.)

• Следующий шаг, который, правда, уже далеко не так часто используется — автообновление данных профиля. Поскольку OpenID чаще всего является HTTP-адресом, на него ваш сайт может периодически заглядывать и подновлять данные пользователя. Я, например, свою аватарку с фотографией обычно меняю раз в год, чтобы она отражала реальность. Было бы приятно, если бы мне не надо было это делать на каждом сайте, где я её оставляю.

• Пользователи смогут банально узнавать интернет-знаменитостей именно по OpenID. Человек, подписавшийся в форуме "tema" — это кто угодно. А человек, с проверенным OpenID "tema.livejournal.com" — это вполне конкретный Тёма.

• Большинство социальных сервисов заинтересовано в большом количестве пользователей, и не всегда для них имеет значение, что они там делают. Поэтому бывает, что вас кто-то активно зовёт туда в друзья, вы регистрируетесь, дружитесь, а потом бросаете это дело.

  Один мой коллега во внутренней сети Яндекса сделал социальный сервис, доведя эту идею до экстрима: люди участвуют в нём вообще без своего согласия, и могут об этом даже не знать :-). Сервис называется "100 фактов", и там у каждого яндексоида есть своя страничка, и вы можете прийти на неё и написать что-то про него. А он в свою очередь может, написать своё веское согласие или несогласие. Но штука в том, что это не обязательно, его аккаунт с фактами живёт и так. Работает это, очевидно, потому что каждый яндексоид имеет свой логин, и только он может с ним логиниться. Так вот, OpenID даёт возможность реализовать такую штуку в масштабе интернета. Вы можете зайти на такой сервис, написать, что "username.ya.ru любит жёлтые шнурки", и только username.ya.ru сможет зайти туда и от своего имени сказать: "неправда, я не шизофреник!".

• Ещё одно применение такого неявного участия. Например какой-нибудь магазин, где вы можете оставить подарок человеку до того, как он там вообще зарегистрируется.

• Ещё одна идея, хотя тут я уже, возможно, лезу не в свою область: это использование идентификации для таргетной рекламы. Если человек входит на сайт по OpenID, то сайт может с разрешения человека передавать его рекламной сети, когда она показывает банеры на странице сайта. Рекламная сеть может, таким образом, собирать статистику о предпочтениях человека на разных сайтах. Это происходит и сейчас с помощью cookies, но это не так надёжно и не так всеобъемлюще.

• Кроме рекламных сетей, информацией о предпочтениях клиентов может быть интересно обмениваться интернет-магазинам. Возможно, создавать партнёрские программы, учитывающие скидочные накопления клиентов на разных сайтах. Всё это работает на одном простом условии, что вы можете сопоставить человека там и человека здесь.

Что дальше

Нетрудно заметить, что всей этой красоты в живом интернете почти нет. Причин тому много. Технология ещё довольно молодая, поэтому менеджеры и маркетинг не очень представляют, как её использовать, программисты не очень представляют, как правильно писать библиотеки, юзабилисты ещё не отточили интерфейсы, а архитекторы ещё не допридумывали достаточно протоколов.

В частности, нам нужны протоколы передачи доверия. Я упомянул в примере whitelist, который реализует передачу доверия, но он на самом деле довольно слаб. Никакой большой сайт не сможет им воспользоваться, потому что публиковать список из десятков или сотен тысяч пользователей очевидно непрактично. Вместо этого можно подумать вот над чем:

• Расширение OpenID, когда вместе с подтверждением "да, это мой юзер", сервер может присылать циферку или флажок о том, что "и кстати, он хороший".

• Отдельный протокол, по которому можно сунуться в любой сайт и спросить "знаешь ли ты что-нибудь про этот OpenID-адрес".

Вот этими вещами мне хочется позаниматься в ближайшее время. А вы что думаете?