Identity 2.0 { Windows CardSpace }

1. Identity 2.0{Windows CardSpace} Mathias Raacke Senior Student Partner Microsoft Deutschland GmbH

2. Identity 2.0: Windows CardSpace “Identity 2.0, also called digital identity, is the anticipated revolution of identity verification on the internet using emerging user-centric technologies such as Information Cards or OpenID. Identity 2.0 stems from the Web 2.0 theory of the world wide web transition. Its emphasis is a simple and open method of identity transactions similar to those in the physical world, such as driver's license.” (Quelle: Wikipedia, http://en.wikipedia.org/wiki/Identity_2.0)

3. Zu viele Kennwörter ????? ?????

4. Berichteüber Phishing-AngriffeMai ‘05 – Mai ‘06 Im Moment werden jede Woche 1 Million Angriffe durch den Internet Explorer 7 Phishing-Filter blockiert. Quelle: Internet Explorer Blog, http://blogs.msdn.com/ie Quelle: http://www.antiphishing.org

5. Beteiligte ParteienBenutzername + Kennwort Benutzername + Kennwort z.B. PostIdent

6. Identitäten in der „Offlinewelt“

7. Authentifizierung: Wer bin ich? • Die Antwort hängt vom Kontext ab:

8. Beteiligte Parteien„Offlinewelt“ – Beispiel Bank EC Karte Personalausweis

9. Identitätsverwaltung mit Windows CardSpace™ .NET 3.0

10. {CardSpace aus Endanwendersicht} demo

11. Die CardSpace Umgebung

12. Ab Firefox 3.0 direkt in Firefox integriert Plattformunabhängig und Interoperabel

13. {CardSpace und Firefox} demo

14. Kartentypen

15. Beteiligte ParteienWindows CardSpace

16. Scenario 1: Anmeldung mit selbstausgestellter Karte(„Visitenkarte“) Benutzer ruft Webseite auf Server sendet HTML Seite mit CardSpace <object> Tag Benutzer wählt selbsterstellte Karte Verschlüsseltes Token mit Benutzerdaten wird an Server übermittelt

17. Scenario 2: Anmeldung mit verwalteter Karte („Ausweis“) Benutzer ruft Webseite auf Server sendet HTML Seite mit CardSpace <object> Tag Benutzer wählt verwaltete Karte CardSpace fordert Sicherheitstoken von Identitätsanbieter an Identitätsanbieter antwortet mit signiertem und verschlüsseltem Token CardSpace sendet Token an den Server

18. Authentifizierung beim Identitätsanbieter • Authentifizierung beim Identitätsanbieter mit • Benutzername + Kennwort • Selbstausgestellter Karte • X.509 • Kerberos

19. CardSpace in eigenen Webseiten verwenden

20. …muss man aber nicht  ASP.NET Token Klasse aus den CardSpace Samples von Microsoft Viele fertige Steuerelemente Bibliotheken für PHP Kim Cameronhttp://www.identityblog.com Rob Richardshttp://www.cdatazone.org Auch für Java und andere Plattformen gibt es CardSpace Bibliotheken Das kann man alles selbst machen…

21. {CardSpace in Webseiten integrieren} demo

22. Login und Registrierungsseiten <asp:ButtonID="AnmeldeButton" runat="server" Text="Anmeldung mit Windows CardSpace" /> <object type="application/x-informationcard" name="xmlToken"> <paramname="tokenType" value="urn:oasis:names:tc:SAML:1.0:assertion"/> <paramname="issuer" value="http://.../identity/issuer/self"/> <paramname="requiredClaims" value="http://.../claims/givenname http://.../claims/surname http://.../claims/emailaddress http://.../claims/privatepersonalidentifier"/> </object>

23. CardSpace Claims für selbstausgestellte Karten Aussteller URI: http://schemas.xmlsoap.org/ws/2005/05/identity/issuer/self

24. Der Private Personal Identifier • Eindeutiger Wert berechnet aus Karte undRelying Party • Jede Kombination hat unterschiedliche PPID • Wird berechnet aus • Relying Party SSL Zertifikat falls vorhanden,ansonsten DNS Hostname / IP • Wert aus der Karte • „Ersetzt“ das Kennwort, es geht aber noch sicherer: UniqueID (= PPID + Public Key) • Siehe Token.cs Beispiel auf netfx3.com

25. {Claims auslesen} demo

26. Das Security-Token auslesen protected void Page_Load(object sender, EventArgs e) { stringxmlToken = Convert.ToString(Request["XmlToken"]); Token token = newToken(xmlToken); // Benutzername mit dieser InfoCard finden stringusername = MembershipHelper.GetUser(token.UniqueID); // Diesen Benutzer anmelden

27. Anpassen der Datenbank CREATE PROCEDURE aspnet_CardSpace_lookup (@cardnvarchar(50) ) AS SELECTUserNameFROMaspnet_Users WHEREUniqueHash = @card CREATE PROCEDUREaspnet_CardSpace_associate (@UserIDnvarchar(256), @card nvarchar(50) ) AS UPDATEaspnet_UsersSETUniqueHash = @card WHEREUserName = @UserID

28. Windows CardSpace unter .NET 3.0 funktioniert nur mit gültigem SSL-Zertifikat, ab 3.5 optional Selfssl.exe aus Internet Information Services (IIS) 6.0 Resource Kit Tools Findprivatekey.exe aus „Introduction … with IE7“ Sample IIS Account benötigt Leserechte auf die Keydatei Testzertifikat erstellen selfssl.exe /N:CN=www.adventureworks-cinema.de /T /V:365 findprivatekey.exe My Localmachine -n CN=www.adventureworks-cinema.de

29. CardSpace und OpenID • OpenID ist anfällig für Phishing • CardSpace als Login beim OpenID Identity Provider löst dieses Problem • Beispiel: myOpenID.com • Jede OpenID Seite unterstützt (indirekt) auch CardSpace!

30. {CardSpace und OpenID} demo

31. CardSpace in der Praxis • Otto Store • LiveID (Beta) • myOpenID.com • funcommunications GmbH: WebCardLoaylty • Virtuelle Kundenkarte • Vorstellung auf der CeBit, Halle 6, Stand E12 • http://www.fun.de/deutsch/Solutions/CardSpace.asp

32. {CardSpace in der Praxis } partner Christian Arnold ATE Software

33. CardSpace – neues in .NET 3.5 • Kein SSL Zertifikat mehr erforderlich • Verbesserte Benutzeroberfläche • Funktioniert auch auf FAT Partitionen • Identity Provider können eigene Fehlermeldungen anzeigen • Unterstützung für aktuelle OASIS Web Service Security Exchange Standards (WS-SX)

34. {CardSpace für WCF Clients} demo

35. Portabilität von InfoCards CardSpace v2? Novell und andere Anbieter Bekanntheit SSL - nicht für „billige“ Shared Hosting Angebote geeignet  .NET 3.5 Offene Probleme

36. Zusammenfassung

37. i-maraac@microsoft.com mathias@raacke.info http://www.outofcoffeeexception.de http://www.identityblog.com (Kim Cameron) http://www.windowscardspace.de (Christian Arnold) http://www.leastprivilege.com (Dominik Baier) http://staff.newtelligence.de/michaelw (Michael Willers) http://blogs.msdn.com/card (CardSpace Team) Fragen?

38. Visual Studio 2008weitere Angebote • Visual Studio Team System Information Day • Regelmäßige ganztägige Informationsveranstaltung von Microsoft • Praxisnahe Demos & viel Raum für Diskussionen • Details & Anmeldung: www.event-team.com/events/visualstudio • TeamConf 2008 – Die Visual Studio Team System Konferenz • VSTS in der Praxis - 22.-24. April 2008 in München • Anwenderberichte (Siemens, ABB, Commerzbank, Datev, Münchener Rück,..) • Fach- und Technologievorträge • Vortragsprogramm und Anmeldung: www.teamconf.de • Visual Studio Launch Promotion • Tauschen Sie Ihre Visual Studio Standard in eine höherwertige Visual Studio Edition Ihrer Wahl • Anrechnung in Höhe von 299 € beim Kauf eines anderen VS Produktes • vom 19. Februar bis zum 30. April 2008 • Nur bei den Partnern: PC Ware, SoftExpress, SOS und Zoschke(befinden sich alle in der Ausstellerhalle)

39. AsktheExperts Wir freuen uns auf Ihre Fragen: Technische Experten stehen Ihnen während der gesamten Veranstaltung in der Haupthalle zur Verfügung.

40. © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.