Integreer DigiD met Facebook

Gisteren bereikte mij het bericht dat de Tweede Kamer niet meegaat in het advies van Cap Gemini om DigiD aan Facebook te koppelen. Het is niet zozeer schokkend dat de Tweede Kamer op ICT gebied een juist besluit neemt, maar dat een partij als Cap Gemini dit in de eerste plaats heeft geadviseerd is op zijn minst opmerkelijk te noemen.

Ik ben een groot voorstander om hetzelfde account te gebruiken om toegang te krijgen tot meerdere diensten. Ik gebruik mijn Google Account waar mogelijk om in te loggen bij clouddiensten als Cacoo. Sterker nog, tot op zekere hoogte moet een gebruiker vrij zijn zelf te bepalen welke account hij waarvoor gebruikt (ik schreef al eerder over Bring Your Own Account).

Wel denk ik dat het belangrijk is daarbij de verschillende identiteiten van een gebruiker te onderscheiden. Natuurlijk, ik ben Maurice Pasman. Maar soms handel ik vanuit mijn eigen naam, soms namens mijn werk. Welke account gebruik je waarvoor? Is het handig om een zakelijke account te gebruiken om in te loggen op Facebook? Niet echt, want als je van werkgever verandert heb je geen toegang meer tot je privenetwerk. En wanneer je bent ingeschreven bij een universiteit gebruik je je studentenaccount ook alleen maar als je wilt aantonen dat je student bent, niet om in  bij een webwinkel.

Terug naar het meesterwerk van Cap Gemini. Zij stellen voor om Facebook te gebruiken om in te loggen op DigiD diensten. Feitelijk, om je Facebook account te koppelen aan je DigiD. Facebook gebruikt OpenID, een laagdrempelig en dus gemakkelijk te implementeren protocol. Dat dat tot onveilige situaties kan leiden heeft Microsoft recent al aangetoond. En zoals tijdens afgelopen Lektober is gedemonstreerd is DigiD ook niet overal even waterdicht geïmplementeerd. Wat er gebeurt als je deze twee systemen koppelt laat zich raden.

Asociale media

Web 2.0 en user generated content hebben zo hun voordelen. Voordat je uit eten gaat even kijken welke tenten op Iens goed genoeg scoren, een review lezen op IMDB voordat je een film downloadkoopt, met mensen van gedachten wisselen op een forum, ik doe het allemaal. Ook heb ik een profiel op LinkedIn en hebhad ik Facebook en Google+. 

Waar ging het mis. Een jaar of tien geleden introduceerden chatprogramma's (MSN, ICQ, Gtalk, Skype) één voor één een apart statusveldje waar je je mening of stemming kon delen met je vrienden. Niet lang daarna werd Twitter gelanceerd, zodat je je status de wereld in kon schieten zonder dat je vrienden hoefde te hebben. Zie je een berichtje dat je aanspreekt, dan dien je dat te retweeten, de opvolger van de kettingbrief en de "stuur dit door naar al je contacten!!!1!one" mailtjes (waarvan mijn kennissen weten dat ze me die ook niet moeten doorsturen, maar dat terzijde).

Twitter zit me op zich niet in de weg, ik doe het gewoon niet. Waar het vervelender wordt is als mensen de verschillende sociale media gaan combineren (tot asociale media), waarna ik ineens op LinkedIn terugzie dat iemand 17e is geworden op het NK Kantklossen. Terwijl ik diegene eigenlijk volgde omdat hij doorgaans zo inzichtvol blogt.

Facebook dan. De gedachte erachter is leuk; in verbinding blijven met verre kennissen en oude vrienden. Waar ik afhaak is als mensen het gaan gebruiken als vervanging voor/in aanvulling op Twitter. Dat ik ineens een foto zie van de tosti die mijn achterneefje gaat eten. En dat tante Bep zegt: "nou jongen, dat is een lekkere tosti!". Gevolgd door Ome Joop likes this. En als ik niet vaak genoeg op die pagina kijk wat mijn familie heeft gegeten krijg ik na een paar dagen een waarschuwingsmail van Facebook wat ik de afgelopen dagen allemaal heb moeten missen. Ik realiseerde mij recentelijk dat ik dat helemaal niet gemist heb. Sterker, dat ik beter af ben zonder deze overload aan unformatie. 

Ja, maar je kunt dat toch uitzetten? Correct. Maar als ik alles uitzet wat me irriteert aan Facebook hou je niks meer over. Alleen dat ze bijhouden waar ik allemaal wel niet geweest ben, maar dat doen ze ook wel zonder dat ik daar een account heb. Google+ dan? Daar had ik inderdaad weinig last van. Maar dat komt voornamelijk omdat niemand daar nog gebruik van maakt, denk ik.

Een ander aspect van asociale media is dat bedrijven zich hierop moeten aanpassen. Als je vroeger een klacht had over een bedrijf dan klom je in de telefoon. Tegenwoordig klaag je via een tweet, of schrijf je je klacht op een willekeurig forum waar die keurig netjes wordt opgepakt door omgeschoolde helpdeskers die nu het internet afschuimen op zoek naar klachten; en die vervolgens ontzenuwen voor het overige publiek. Dat hadden we 10 jaar geleden niet durven dromen, dat je ergens "PTT SUCKS" op een muur schreef, en dat er dan 8 minuten later onder staat: "Bedankt voor je feedback. We doen er alles aan de dienstverlening verder te verbeteren! Met vriendelijke groet, het PTT WallCare team".

Machtigingenregisters en licentiehuizen

In mijn vorige bericht heb ik beschreven hoe het model van eHerkenning toegepast zou kunnen worden op de situatie in het onderwijs.

Binnen eHerkenning levert de herkenningsmakelaar maar twee gebruikerskenmerken (attributen) aan de dienst; te weten het KvK/vestigingsnummer van het bedrijf, en een unieke identifier. De overheidsdienstverlener weet dus niet met wie hij te maken heeft, wel dat hij te maken heeft met iemand van een bepaald bedrijf die namens het bedrijf mag handelen.

De Kennisnet Federatie werkt op een vergelijkbare manier. Er worden geen privacygevoelige gebruikerskenmerken verstrekt; wel weet de dienstverlener dat een gebruiker student is bij school X met brin Y. Voor veel dienstverleners is dit te weinig informatie; natuurlijk willen zij liefst zo veel mogelijk weten over hun gebruikers, maar ten minste genoeg informatie om vast te stellen of de gebruiker een licentie heeft voor de content die hij probeert te benaderen.

Binnen eHerkenning hebben we voor dit doel het machtigingenregister. Hierin wordt bijgehouden tot welke (onderdelen van) diensten een bepaalde gebruiker rechten heeft. In technische zin is het machtigingregister niets meer dan een database waarin zich extra gebruikerskenmerken bevinden.

Voor de onderwijsmarkt zou je je kunnen voorstellen dat de gebruikerslicenties worden bijgehouden in een machtigingenregister (in ECK2 terminologie een licentiehuis). Machtigingenregisters kunnen in principe overal staan, er hoeft niet één centraal machtigingenregister opgezet te worden. De leveranciers van educatieve content (grote of kleine uitgeverijen) kunnen ervoor kiezen zelf een machtigingenregister op te zetten, en de schoolboekhandels kunnen dit ook als onderdeel van hun dienstverlening aanbieden.

En doordat machtigingenregisters werken volgens industriestandaarden (SAML2, XACML) kunnen ze eenvoudig ook door andere netwerken (EduRoute, Basispoort, ...) geraadpleegd worden. In theorie kunnen ze zelfs direct door ELO's bevraagd worden - handig in verband met het klaarzetten van de content!