Towards User Centric Identity Federations

Mgr. Michal Procházka, Ph.D.

Advanced ('rigorózní') thesis

Abstract:

Teze disertační práce se věnují problematice federací identit. Federace identit představují nový přístup v předávání autentizačních a autorizačních informací uživatelů ke službám. Federace se skládají z poskytovatelů služeb a poskytovatelů identit, kteří si navzájem věří. Poskytovatele služeb vyžadují identifikace uživatele, zatím co poskytovatelé identit jsou schopni své uživatele ověřit a navíc poskytnout o uživateli doplňkové údaje. Součástí procedury přihlášení uživatele k poskytovateli služeb je ověření u poskytovatele identit, proto uživatel není nucen udržovat seznam přihlašovacích údajů ke každé službě zvlášť, ale využívá existující přihlašovací údaje, které má ustaveny s informačním systémem své domácí organizace (poskytovatel identit). Poskytovatel identit k potvrzení o úspěšném ověření uživatele může přidat doplňující informace o něm, např. jméno a email, tyto údaje pak poskytovatel služeb využívá k autorizačnímu rozhodnutí. Současné implementace využívají různý přístup ke konceptu federací. V práci popisuji nejvýznamnější z nich a identifikuji jejich problémy. Mezi nejvýznamnější problémy patří minimální schopnost uživatele ovlivňovat data, která o něm poskytovatel identity vydává poskytovateli služby, dále nemožnost kombinovat data od různých poskytovatelů identit, poslední problém spočívá v omezené škálovatelnosti současných řešení. Abychom mohli tyto problémy vyřešit a zároveň zachovat původní vlastnosti konceptu federací je nutné tento koncept upravit. V tezích navrhuji model uživatelem řízené federace identit. Na základě navrženého modelu v práci popisuji systém, který řeší výše zmíněné problémy a přidává další funkcionalitu. Nezbytnou součástí navrženého systému je také síť důvěry, která poskytuje všem entitám v uživatelem řízené federaci možnost získat informace o ostatních entitách a na základě těchto informací vyhodnotit úroveň důvěry entity. Cílem práce je formálně specifikovat a verifikovat navržený model uživatelem řízené federace identit. Dále přesně specifikovat navržený systém, dle modelu a vytvořit jeho prototyp. Podcílem práce bude vytvoření prototypu sítě důvěry a návrh algoritmu pro výpočet reputace využívaný k výpočtu úrovně důvěry.

Abstract:

The thesis is focused on the problems of an identity federations. The identity federations introducing a new approach in exchanging the user's authentication and authorization information to the services. The identity federations consist of an identity providers and service providers, which trust each other. The service providers require an identification of the users, while the identity providers are able to authenticate their users and also provide some additional information about them. Before the user can access a content provided by the service provider, she needs to authenticate with her identity provider, therefore the user do not need to manage a set of the credentials per service provider, but she utilizes its existing credentials used for accessing the information system of her home institution (identity provider). A response sent from the identity provider to the service provide can contain beside the confirmation of successful authentication, an additional information about the user, e.g. name and email, that can be used by the service provider to make additional authorization decision. Current implementations use different approach in realizing the identity federation concept. In the thesis proposal, the most known implementations are described and their problems are discussed. The most critical problems are minimal user control over the data sent form an identity provider to a service provider, impossibility to combine information from various identity providers and limited scalability of today's solutions. In order to solve these issues and keep the original properties of the identity federation concept, it is required to change the current concept. In the thesis proposal, the new user centric identity federation model is proposed. Also the design of the system based on the user centric identity federation model that solves mentioned problems and adds an additional functionality is described. Essential part of the proposed system is a trust network, which provides information about entities that can be used to evaluate the trust level of the entities. The aim of the thesis is a formal specification and verification of the proposed user centric identity federation model, more precise specification of the proposed system and its prototype. The sub-goal is a design of the trust network, its prototype and the design of the algorithm using reputation techniques to compute the trust level.

Keywords

identity federation, user centric, authentication, authorization

Language used: English

Date on which the thesis was submitted / produced: 10. 3. 2010

Thesis defence

• Date of defence: 27. 5. 2010
• Reader: doc. Ing. Jaroslav Dočkal, CSc., prof. RNDr. Václav Matyáš, M.Sc.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Applied Informatics / Applied Informatics