Towards User-Centric Identity Federations

RNDr. Michal Procházka, Ph.D.

Doctoral thesis

Abstract:

Disertační práce shrnuje výzkum z oblasti autentizace/autorizace a správy identit, který byl prezentován v 19 recenzovaných článcích. Články jsou odkazovány v disertační práci a pět vybraných článků je přímo její součástí. Disertační práce se zabývá problematikou zpracování \textit{digitální identity} při použití jako autentizačního a autorizačního mechanismu s přímým zapojením uživatele. Během našeho výzkumu jsme identifikovali konceptuální, technické i legislativní problémy současných přístupů. Disertační práce se zaměřuje na zcela nový přístup jak pracovat s digitální identitou, abychom překonali zjištěné problémy. V práci je představen koncept federace identit zaměřené na uživatele, který redefinuje postup jak zacházet s digitální identitou a s informacemi, které jsou k ní přidruženy. V běžném životě musejí uživatelé prokazovat svoji identitu pokud chtějí přistupovat ke službám, které jsou chráněny a nebo jsou personalizované jako například služby poskytované státem pro konkrétní občany, zdravotnické záznamy občana a nebo všechny personalizované komerční služby. V mnoha případech jsou uživatelé nuceni poskytnout dodatečné osobní informace (např. datum narození), které jsou potvrzeny nezávislou třetí stranou, aby mohli službu využívat. Tento proces je většinou proveden osobně pomocí občanského nebo jiného průkazu, kde má uživatel plnou kontrolu nad informacemi, které o sobě vydává. V digitálním světě je situace jiná, protože data o uživatelích jsou spravovány různými informačními systémy, které nejsou propojeny. Navíc jsou data v digitální podobě, která je pro běžného občana nečitelná. Část dat, které popisují uživatele, musí být potvrzena důvěryhodnou třetí stranou stejně jako je to v případě občanských či cestovních pasů, kde správnost dat uvedená na dokladu byla potvrzena státní institucí. Koncepty, které řeší výše zmíněnou problematiku se obecně nazývají federace identit. Na základě našeho výzkumu z oblasti počítačové bezpečnosti a počítačových sítí spolu se zkušenostmi z provozu vysoce distribuovaných systémů jsme byli schopni identifikovat hlavní problémy současných konceptů federací identit. Obecně federace identit neposkytují uživatelům dostatečnou kontrolu nad informacemi, které jsou o nich vydávány službám. Díky tomu se někteří poskytovatelé služeb nemohou zapojit do federace identit, protože zde existují technické a legislativní omezeními. V této práci jsou popsány a porovnány dnes nejvíce používané koncepty a implementace a jsou u nich identifikovány koncepční, technické a legislativní problémy. Hlavním přínosem práce je návrh nového konceptu, který pomocí striktně uživatelského přístupu řeší identifikované problémy. Hlavní myšlenka za konceptem je přenesení veškerých pravomocí pro manipulaci s uživatelskými daty do rukou uživatele při zachování jejich důvěryhodnosti -- uživatel musí mít plnou kontrolu nad svými osobními daty. Navržený koncept musí brát v potaz již existující infrastruktury a uživatelskou přívětivost. Závěrečná část disertační práce je věnována návrhu systému Aditi, který je postaven nad konceptem federace identit zaměřené na uživatele. Aditi je koncipováno tak, aby mohlo být integrováno do infrastruktur, které jsou rozšířeny, konkrétně se jedná o akademické federace identit využívající protokol SAML2. Veškerý výzkum, který by realizován v oblasti federované identity byl publikován v recenzovaných článcích, které jsou v práci citovány. Hlavní oblasti výzkumu relevantní k práci jsou: studium konceptu federace identit, autentizace a autorizace v distribuovaných systémech, správa důvěry založená na reputaci a používání

Abstract:

peer-to-peer sítí pro distribuci těchto informací.

Abstract:

This thesis summarizes our research in authentication/authorization and identity management field presented in 19 reviewed papers referenced in the thesis text. Their selection is attached directly to the thesis. This thesis focuses on the problem of \emph{Digital Identity} and a transfer from its maintainer to its consumer by directly involving the user. We have identified a number of problems, which are related to the processing of the Digital Identity. The thesis introduces a \emph{User-Centric Identity Federation} concept that defines new approach how to work with user's Digital Identity and associated information which enriches it. Like in the real world, users have to prove their identity if they want to use some kind of protected or personalized services, such as governmental, medical or commercial ones. In most cases they are forced to provide additional information about themselves in order to get the service and this information has to be approved by trusted third party. The process is usually done in person and the users have full control over the information released about themselves. In the digital world the situation is different because the data about the user is maintained by different information providers and stored and transferred in a digital form which is not directly understandable by humans. The piece of digital data describing the user has to be approved by a trusted party, in a way similar to a passport approved by a governmental authority. Currently used concepts implementing such a scenario are generally called identity federations. Based on our research we have conducted in various fields of computer security and networking, together with experience from real deployments of highly distributed environments, we are able to identify the main problems of current identity federation concepts. Generally identity federations do not provide enough control to the user over the information released to the consuming party, therefore the functionality of provided services are limited due to legal and technical consequences. This thesis provides description and comparison of todays approaches with evaluation what kind of problems must be addressed in order to have a system that is acceptable from technical and legal point of view. The main contribution of the thesis is definition of a new concept which overcomes such limitations, using strict user-centric approach. The core idea behind the concept is moving all the decisions about the users' information into their hands, while still preserving trustworthiness of the data. Users must be in a full control of the information released about them. The new concept has to take into account existing identity federation infrastructures, legal restrictions, as well as user friendliness aspects. One part of this thesis is dedicated to description of a system that implements the concept and shows how the new approach can fit into the current digital identity world, particularly into the SAML-based academic identity federations. The system fully supports the proposed strict user-centric identity federation concept and add additional parts which eliminate current problems with trust management in the identity federation. All the research results achieved around the concept of federated identity have been published in reviewed papers referenced in the thesis. The main areas of research, that are relevant to the thesis, are identity federation concept, authentication and authorization in distributed environments, trust management based on reputation and use of peer-to-peer concepts to distribute the information.

Keywords

digital identity, federated identity, identity federation, PKI, eduroam, eduGAIN, authentication, authorization, OAuth, OpenID, OpenID Connect, Aditi, CardSpace, card selector, user-centric, attribute aggregation

Language used: English

Date on which the thesis was submitted / produced: 15. 5. 2015

Thesis defence

• Date of defence: 31. 8. 2015
• Supervisor: prof. RNDr. Luděk Matyska, CSc.
• Reader: doc. Ing. Jaroslav Dočkal, CSc., Diego R. Lopez, Ph.D.

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Computer Systems and Technologies