Llegint enviaments antics d’OSNews veig que Microsoft va obrir fa poc sota l’Open Specification Promise la seua tecnologia U-Prove, alliberant‐ne l’entorn de treball sota llicència BSD. U-Prove és un sistema de gestió d’identitat digital descentralitzat basat en proveïdors d’identitat, similar a OpenID o PKI, però que en resol algunes limitacions.
Açò és el que trobe més interessant de U-Prove:
- A diferència d’OpenID, Facebook Connect i similars, evita que el proveïdor d’identitat conega els llocs que estem visitant i puga així construir un perfil de la nostra navegació. Els testimonis d’autenticitat signats pel proveïdor d’identitat són independents de la transacció concreta i poden ser emmagatzemats per l’usuari per a utilitzar‐los a diferents llocs (fent també el sistema resistent a caigudes del proveïdor d’autenticitat).
- L’usuari pot autenticar‐se escollint quins atributs vol mostrar i quins no, en lloc d’oferir‐los tots. Així, per a pagar amb targeta només haurà d’oferir‐ne el número, i per a entrar a un lloc per a adults només la data de naixement. D’aquesta forma, l’usuari només revela la informació imprescindible per a la transacció.
El sistema fa un ús realment enginyós de diferents tècniques criptogràfiques i va ser desenvolupat per Stefan Brands al MIT, un altre exemple de com es donen aquestes idees innovadores a l’acadèmia i al món hacker en general. El propi Brands descriu la maquinària de U-Prove a un vídeo (duret però apassionant si vos pica la cripto) i un llibre disponibles per a la descàrrega. Brands fundà l’empresa Credentica per a desenvolupar aquest sistema, que va ser comprat per Microsoft a 2008. Amb l’alliberament de la tecnologia, es tanca el cercle.
Però no tot són avantatges en aquest sistema. Per a començar, com comenta l’article d’Ars Technica, és un sistema nou que ha de véncer molta resistència i inèrcia. Microsoft ha fet bé d’alliberar la tecnologia per a facilitar la seua adopció, però hi ha dubtes seriosos sobre la protecció que la Open Specification Promise ofereix als desenvolupadors contra la litigació sobre patents, per exemple en el cas de programari sota la GPL. A banda, U-Prove continua emprant un esquema descentralitzat similar a PKI que no permet la gestió distribuïda d’identitats (com fa OpenPGP), però supose que casar açò amb l’anonimat parcial que busca U-Prove és difícil. Finalment, cal anar amb compte perquè U-Prove fa possible l’emissió i ús d’identitats on l’usuari no coneix algun dels seus atributs, cosa que obri les portes a l’ús de targetes d’identificació, però també a esquemes de computació traïdora com TPM i DRM.
En general, el sistema està molt ben parit i podria ser atractiu per a que la gent poguera (entre d’altres coses) realitzar compres privades a Internet. Tanmateix, no crec que tinga èxit per un motiu fonamental: les empreses que comercien a Internet volen saber més sobre els seus clients per a millorar el seu màrqueting. Així que una de dues: o U-Prove no tindrà una adopció majoritària (el més probable), o bé els llocs web exigiran tants atributs identificatius per a funcionar que es desvirtuarà part de la privadesa. Ja vorem per on van els tirs…