Microsoft Corporation
適用于：
安全性
Web 開(kāi)發(fā)
Web 服務(wù)
摘要：Identity Metasystem 是一個(gè)針對數字標識的互操作體系結構，它假設用戶(hù)具有若干個(gè)基于多項底層技術(shù)、實(shí)現和提供程序的數字身份。使用該方法，用戶(hù)將能夠繼續保留他們現有的標識基礎結構的利用價(jià)值，選擇最適合他們的標識技術(shù)，并能夠更輕松地從舊技術(shù)遷移至新技術(shù)，而不會(huì )影響與其他技術(shù)的互操作性。本文介紹“標識規則 (The Laws of Identity)”方法的基本原理，該方法提供一個(gè)用于生成元系統的開(kāi)放式、可互操作的體系結構，并描述 Microsoft 參與該標識元系統的計劃。
本頁(yè)內容
數字標識：一項挑戰什么是 Identity Metasystem？不同場(chǎng)合中的標識功能標識規則標識元系統中的角色標識元系統的組成部分標識元系統的優(yōu)勢標識元系統的體系結構：WS-* Web 服務(wù)Microsoft 的實(shí)現計劃Passport 給我們的啟示小結獲得更多信息數字標識：一項挑戰
Internet 對于用戶(hù)和業(yè)務(wù)等而言，其價(jià)值仍在持續增長(cháng)。越來(lái)越多的人在日常生活中需要使用網(wǎng)絡(luò )，從購物、辦理銀行業(yè)務(wù)、支付賬單到多媒體和娛樂(lè )消費。電子商務(wù)正在蓬勃發(fā)展，其中的業(yè)務(wù)可以通過(guò) Internet 提供更多的服務(wù)和內容，實(shí)現網(wǎng)上通信與協(xié)作并創(chuàng )造了多種互聯(lián)的新方式。
然而，隨著(zhù)網(wǎng)上操作的增值，Internet 自身已經(jīng)變得更為復雜、更容易受到攻擊并且更加危險。人們對在線(xiàn)身份的盜取、欺詐和隱私的關(guān)注程度不斷提高，這些都源自一些日漸復雜的實(shí)踐經(jīng)驗，例如，“phishing”— 網(wǎng)頁(yè)仿冒。用戶(hù)必須熟記多個(gè)帳戶(hù)和密碼以及在站點(diǎn)進(jìn)行身份驗證的眾多方法不僅讓用戶(hù)屢屢受挫（例如，“密碼匱乏”），而且會(huì )導致不安全的做法，例如，在多個(gè)站點(diǎn)重用相同的帳戶(hù)名和密碼。
這些問(wèn)題的根源在于，Internet 在設計上沒(méi)有體現出一個(gè)數字標識系統。為了彌補這一缺陷，便引入了許多數字標識系統，其中每個(gè)系統都有自己的優(yōu)缺點(diǎn)。但沒(méi)有一個(gè)系統能夠滿(mǎn)足每個(gè)數字標識方案的需要。即使能夠創(chuàng )建這樣一種系統，但實(shí)際情況是，目前人們還是使用著(zhù)許多不同的標識系統，并且還在不斷開(kāi)發(fā)更多的系統。結果，當前 Internet 上數字標識的狀態(tài)是一些特殊解決放案不協(xié)調的大雜燴，這成為了每個(gè) Web 站點(diǎn)上具有不同用戶(hù)體驗的用戶(hù)的負擔，它提供的系統非常脆弱，并且限制了電子商務(wù)更完整的實(shí)現。
返回頁(yè)首什么是 Identity Metasystem？
如果統一采用單個(gè)數字標識系統或技術(shù)永遠不可能實(shí)現，那么對于 Internet 而言，一個(gè)廣泛使用的、成功的標識解決方案需要一個(gè)不同的方法 — 它能夠將現有的和將來(lái)的標識系統連接為一個(gè) identity metasystem（標識元系統）。該元系統（或稱(chēng)為系統的系統）將利用其子標識系統的功能，提供它們之間的互操作性，并且為它們創(chuàng )建一個(gè)一致且直觀(guān)的用戶(hù)界面。這樣，在電腦空間方面的提升將使所有人受益，從而使 Internet 更安全，并能夠推進(jìn)電子商務(wù)的發(fā)展，抵抗 phishing 的攻擊，并解決其他數字標識問(wèn)題。
在互聯(lián)網(wǎng)以外的世界里，人們需要在錢(qián)包里攜帶多種身份標識，例如，駕駛證，或者由政府頒發(fā)的其他身份證件、信用卡或聯(lián)名信用卡（例如，飛行積分卡）。人們可以自己控制使用哪種卡，以及在任何特定的情況下顯示多少信息。
同樣，標識元系統使用戶(hù)能夠在訪(fǎng)問(wèn) Internet 資源時(shí)更加安全，并能夠進(jìn)行更好的控制。它允許用戶(hù)從他們的數字身份公文包中選擇標識，并在接受其選擇的 Internet 服務(wù)上使用它們。該元系統啟用由一個(gè)標識系統技術(shù)（該技術(shù)可用在基于不同技術(shù)的系統中）提供的標識，前提是存在一個(gè)中間媒介，它了解兩端的技術(shù)并且可以安全地進(jìn)行所需的轉換。
需要注意的是，該標識元系統不會(huì )與它所連接的標識系統沖突，也不會(huì )取代它們。另外，它所扮演的角色類(lèi)似于網(wǎng)際協(xié)議 (IP) 在網(wǎng)絡(luò )領(lǐng)域中的角色。在上世紀七十年代和八十年代初（當時(shí)還沒(méi)有發(fā)明 IP），分布式應用程序必須清楚地了解網(wǎng)絡(luò )連接，不論是 Ethernet、Token Ring、ArcNet、X.25 還是 Frame Relay。但是，IP 通過(guò)提供一個(gè)技術(shù)獨立的元系統改變了這種局面，該系統使應用程序脫離了復雜的單個(gè)網(wǎng)絡(luò )技術(shù)，從而提供了無(wú)縫的互連性，以及一個(gè)用于將未來(lái)的網(wǎng)絡(luò )（802.11 無(wú)線(xiàn)網(wǎng)絡(luò )）包含在該網(wǎng)絡(luò )元系統中的平臺。
同樣，標識元系統的目的是連接單個(gè)標識系統（從而允許在它們之間進(jìn)行無(wú)縫互操作），提供具有技術(shù)獨立的標識表示形式的應用程序，并為它們提供一個(gè)更好的、更一致的用戶(hù)體驗。該元系統永遠不會(huì )與它連接的標識系統發(fā)生沖突或者取代它們，相反，它要依賴(lài) 這些單個(gè)系統來(lái)為它工作！
返回頁(yè)首不同場(chǎng)合中的標識功能
人們在現實(shí)世界中持有的身份標識有各種形式，比較重要的有出生證、護照和駕駛證等，比較普通的有名片或咖啡積分卡等。人們在不同的場(chǎng)合中使用不同形式的身份標識。
標識必須在正確的場(chǎng)合中使用。不在相應的場(chǎng)合中使用正確的標識通常不會(huì )產(chǎn)生所需的結果。例如，試圖使用咖啡卡出境很顯然不適合。另一方面，在 ATM 上使用銀行卡，在邊境使用政府發(fā)行的 ID，在咖啡臺使用咖啡積分卡，以及在 MSN Hotmail 上使用 Passport Network（以前是 .NET Passport）帳戶(hù)顯然合情合理。
在某些情況下，區別不是很明顯。您的確可以在 ATM 上使用政府頒發(fā)的 ID 而不使用銀行卡，但這樣政府就會(huì )了解每一筆金融交易，很多人將會(huì )為此感到不舒服。您可以將社會(huì )保險號碼用作學(xué)生的 ID 編號，但是它有暴露隱私的傾向甚至會(huì )助長(cháng)身份竊取。而且您可以在一些非 Microsoft 站點(diǎn)使用 Passport 帳戶(hù)，但沒(méi)幾個(gè)站點(diǎn)選擇啟用它；即使有站點(diǎn)啟用它，也很少有用戶(hù)這樣做，因為他們覺(jué)得 Microsoft 不可能參與這些交互。
通過(guò)研究 Passport 體驗以及行業(yè)中的其他數字標識方案，可以使我們與大量行業(yè)專(zhuān)家聯(lián)合制定一些原則，我們相信這些原則對于一個(gè)成功的、得到廣泛應用且持久不衰的數字標識系統而言是十分重要的。我們稱(chēng)這些為原則為“標識規則”。
返回頁(yè)首標識規則
“標識規則”旨在制定一組基礎原則，任何廣泛應用的、可支持的標識體系結構都必須遵循這些原則。通過(guò)一個(gè)長(cháng)期運行、開(kāi)放式且持續的 Internet 會(huì )話(huà)，來(lái)提出這些“規則”并對它們進(jìn)行討論和完善?？偠灾?，這些“規則”可以定義標識元系統的體系結構。
這些規則包括：
1.
User Control and Consent：標識系統只能在爭得用戶(hù)同意的情況下顯示標識用戶(hù)身份的信息。
2.
Minimal Disclosure for a Constrained Use：標識系統必須盡可能少地公布標識信息，因為這是最穩妥的長(cháng)期解決方案。
3.
Justifiable Parties：標識系統的設計原則為：標識信息的顯示僅限于在給定標識關(guān)系中具有必需且正當身份的一方（或若干方）。
4.
Directed Identity：通用的標識系統必須既支持“全向”標識符以供公眾使用，又要支持“單向”標識符以供個(gè)人使用，從而可以更容易地發(fā)現不必要的隱私關(guān)系泄漏。
5.
Pluralism of Operators and Technologies：通用的標識系統解決方案必須啟用并使用多個(gè)標識提供程序運行的多種標識技術(shù)的互操作。
6.
Human Integration：標識系統必須將用戶(hù)定義為分布式系統的組件，該系統通過(guò)一些明確的人機通訊機制集成，這些機制能夠防止針對識別的攻擊。
7.
Consistent Experience Across Contexts：統一的標識元系統必須在通過(guò)多個(gè)操作方和技術(shù)啟用環(huán)境分離時(shí)，確保其用戶(hù)具有簡(jiǎn)單、一致的體驗。
有關(guān)更多信息，請參閱
標識規則白皮書(shū)。要加入有關(guān)“標識規則”的討論，請訪(fǎng)問(wèn)
www.identityblog.com。
返回頁(yè)首標識元系統中的角色
不同的人以不同的方式參與該元系統。元系統中的三個(gè)角色是：
?
Identity Providers（標識提供方），提供數據標識。例如，信用卡提供方可能提供啟用支付功能的標識，商家可能為顧客提供標識，政府可能為市民提供標識，而個(gè)人可能在某些情況下使用自己注冊的標識，例如登錄 Web 站點(diǎn)。
?
Relying Parties（依賴(lài)方），需要標識。例如，一個(gè)利用由其他方所提供標識的 Web 站點(diǎn)或在線(xiàn)服務(wù)。
?
Subjects（主體），對其做出聲明的個(gè)體和其他實(shí)體。例如，最終用戶(hù)、公司和組織。
?
在許多情況下，元系統中的參與方會(huì )扮演一個(gè)以上的角色，通常是三個(gè)角色兼具。
返回頁(yè)首標識元系統的組成部分
要生成一個(gè)標識元系統，需要具備以下五個(gè)要素：
1.
一種使用聲明表示標識的方式
2.
一個(gè)使標識提供方、依賴(lài)方和主體之間進(jìn)行協(xié)商的方法
3.
一個(gè)用于獲取聲明和要求的封裝協(xié)議
4.
一個(gè)使用聲明轉換為技術(shù)和組織邊界建立關(guān)系的方法
5.
一種跨多種環(huán)境、技術(shù)和操作方的一致的用戶(hù)體驗
基于聲明的標識
數字標識包含有關(guān)標識主體的聲明集，其中“聲明”是有關(guān)其發(fā)行方斷言為有效的主體的信息。這類(lèi)似于現實(shí)世界中使用的標識。例如，駕駛證上的聲明可能包括發(fā)行地區、駕駛證編號、姓名、地址、性別、出生日期、器官捐贈者狀況、簽名、照片、準駕車(chē)型以及關(guān)于駕駛權限的限制。發(fā)行地區斷言這些聲明是有效的。信用卡上的聲明可能包括發(fā)行方的標識、持卡人姓名、賬號、失效日期、驗證碼和簽名?？òl(fā)行方斷言這些聲明是有效的。自發(fā)行標識的聲明（其中標識提供方和主體是同一實(shí)體）可能包括主體的姓名、地址、電話(huà)號碼、電子郵件地址，或者僅為一個(gè)秘密一般描述。對于自發(fā)行標識，主體斷言這些聲明是有效的。
協(xié)商
協(xié)商使元系統中的參與方能夠就如何在元系統中互相連接達成所需的協(xié)定。協(xié)商用于確定可相互接受的技術(shù)、聲明和要求。例如，如果一方理解 SAML 和 X.509 聲明，而另一方理解 Kerberos 和 X.509 聲明，則雙方將進(jìn)行協(xié)商并確定在彼此之間使用 X.509 聲明。另一種類(lèi)型的協(xié)商確定依賴(lài)方所需的聲明是否可以由一個(gè)特定的標識提供。這兩種協(xié)商都是簡(jiǎn)單的匹配練習；它們將一方可以提供的內容與另一方需要的內容加以對比，以便確定它們是否匹配。
封裝協(xié)議
封裝協(xié)議提供一個(gè)技術(shù)中立的方式，以便在主體、標識提供方和依賴(lài)方之間交換聲明和要求。確定交換內容和交換含義的操作由參與方進(jìn)行，而不是由元系統進(jìn)行。例如，封裝協(xié)議將允許應用程序檢索 SAML 編碼的聲明，而不必了解或實(shí)現 SAML 協(xié)議。
聲明轉換程序
聲明轉換程序通過(guò)將一個(gè)系統了解的聲明轉換為另一個(gè)系統了解并信任的聲明，在為組織和技術(shù)邊界之間建立起聯(lián)系，從而使大量客戶(hù)端和服務(wù)器避免了聲明計算的復雜工作。聲明轉換程序也可能轉換或精煉聲明的語(yǔ)法。例如，一個(gè)聲明斷言“Is an employee”可能轉換為一個(gè)新的聲明“OK to purchase book”。聲明“Born on March 22, 1960”可以轉換為聲明“Age is over 21 years”，它有意提供較少的信息。聲明轉換程序也可能用于更改聲明格式。例如，以某些格式（例如，X.509、Kerberos、SAML 1.0、SAML 2.0、SXIP 等等）編寫(xiě)的聲明可以轉換為使用不同技術(shù)表達的聲明。聲明轉換程序提供當前所需的互操作性，還提供了合并新技術(shù)所需的靈活性。
一致的用戶(hù)體驗
許多標識攻擊之所以成功，就是因為用戶(hù)被屏幕上顯示的某些內容欺騙了，而不是由不安全的通訊技術(shù)造成的。例如，phishing 攻擊并不出現在 Web 服務(wù)器和瀏覽器之間的安全信道中（一個(gè)可能延伸數千英里的信道），而是出現在瀏覽器及其用戶(hù)之間的兩三英尺中。因此，標識元系統尋求使用戶(hù)能夠做出考慮周全且合理的標識決定，具體的措施是開(kāi)發(fā)一致的、易于理解的集成用戶(hù)界面，從而進(jìn)行這樣的選擇。
確保整個(gè)系統安全的一個(gè)要點(diǎn)是，呈現一個(gè)易于理解、可預測的用戶(hù)界面，該界面的外觀(guān)和工作方式始終保持一致，無(wú)論所使用的基礎標識技術(shù)是什么。另一個(gè)要點(diǎn)是使重要的信息顯而易見(jiàn) — 例如，以能夠使 spoofing 以顯而易見(jiàn)的方式顯示要進(jìn)行身份驗證的站點(diǎn)標識。必須通知用戶(hù)依賴(lài)方需要哪些個(gè)人信息及目的。這使用戶(hù)可以就是否公布該信息做出考慮周全的決定。最后，用戶(hù)界面為用戶(hù)提供一個(gè)同意公布操作的方法（如果他們同意這些條件）。
返回頁(yè)首標識元系統的優(yōu)勢
Microsoft 認識到，只有參與方在元系統中填充了所有角色以從中獲益時(shí)，該標識元系統才能得到廣泛應用。幸運的是，事實(shí)即如此。標識元系統的主要優(yōu)勢包括：
?
更強大的用戶(hù)控制和靈活性。用戶(hù)可以決定公布多少信息，公布給誰(shuí)，以及在什么情況下公布，因此可以更好地保護他們的隱私。標識提供方和依賴(lài)方之間強大的雙向身份驗證有助于解決 phishing 和其他騙術(shù)問(wèn)題。標識和相應的個(gè)人信息能夠以多種方式安全地存儲和管理，包括通過(guò)用戶(hù)選擇的聯(lián)機標識提供方服務(wù)，或者在用戶(hù)的 PC 上，或者在其他設備中，例如，安全的 USB keychain 存儲設備、智能卡、PDA 和手機
?
更安全，更易于理解的用戶(hù)體驗。標識元系統啟用一個(gè)跨多個(gè)標識系統的可預測且統一的用戶(hù)體驗。它擴展到用戶(hù)并與其集成，從而有助于確保人機信道的安全。
?
增加了與現有標識系統之間的“接觸”。該標識元系統不會(huì )與它所連接的標識系統發(fā)生沖突，也不會(huì )取代它們，而是保留用戶(hù)現有標識解決方案的利用價(jià)值并建立在其基礎之上。它為使用現有標識（例如，公司發(fā)行的標識和聯(lián)機業(yè)務(wù)發(fā)行的標識）提供了機會(huì )，使其可以在之前未用到的環(huán)境中使用。
?
促進(jìn)標識系統創(chuàng )新。該標識元系統使得新開(kāi)發(fā)的標識技術(shù)和系統更容易地得到快速、廣泛的采用。聲明轉換程序允許新系統參與其中，即使多數參與者不理解其本機聲明格式和協(xié)議也如此。
?
抵御攻擊。在黑客攻擊現有標識技術(shù)之前必需使用新技術(shù)。該元系統使新標識技術(shù)能夠在所需的情況下得到快速部署和應用。
?
開(kāi)拓新市場(chǎng)。該標識元系統可以啟用所有元系統組件的可互操作、獨立的實(shí)現，這意味著(zhù)市場(chǎng)前景會(huì )超出開(kāi)發(fā)人員的想象。許多人會(huì )選擇投入到標識提供商業(yè)務(wù)中。其他人將提供針對標識的認證服務(wù)。一些人將實(shí)現服務(wù)器軟件。其他人將實(shí)現客戶(hù)端軟件。設備制造商和手機運營(yíng)商可以在他們的平臺上保留標識。這會(huì )為標識經(jīng)紀人提供很多新的商業(yè)機會(huì )，其中受信任的媒介會(huì )將聲明從一個(gè)系統轉換到另一個(gè)系統。新的商業(yè)機會(huì )有很多。
當標識元系統進(jìn)行廣泛部署后，我們能得到一個(gè)更安全、更可信賴(lài)的 Internet。該元系統將提供 Net 十分需要的、廣為采用的標識解決方案。
該標識元系統可以包括任何人或者以任何方式使用、參與或依賴(lài)于標識的任何事物，但不僅限于現有的標識系統、企業(yè)標識、政府標識、Liberty 聯(lián)盟、操作系統、移動(dòng)設備、聯(lián)機服務(wù)和智能卡。此外，只有創(chuàng )新者的想象力能夠左右這些可能性。
返回頁(yè)首標識元系統的體系結構：WS-* Web 服務(wù)
在過(guò)去的幾年中，Microsoft 與經(jīng)一些業(yè)內伙伴聯(lián)合開(kāi)發(fā)了用于 Web 服務(wù)的可組裝、端對端的體系結構。該體系結構的規范集已由業(yè)界命名為
WS-* Web 服務(wù)體系結構。該體系結構支持標識元系統的需求。
用于聲明轉換的封裝協(xié)議是 WS-Trust。協(xié)商是使用 WS-MetadataExchange 和 WS-SecurityPolicy 管理的。這些協(xié)議用于生成一個(gè)技術(shù)中立的標識元系統，并形成該標識元系統的“背板”。與其他 Web 服務(wù)協(xié)議一樣，它們也允許新標識和技術(shù)在得到開(kāi)發(fā)并為業(yè)界所采用后，合并并利用這些新標識和技術(shù)。
為了促進(jìn)廣泛采用所需的互操作性，WS-* 規范出現了并且提供免費使用，它們已經(jīng)或將要提交給開(kāi)放標準組織并且允許在免版稅的情況下開(kāi)發(fā)實(shí)現。
通過(guò)實(shí)現針對上面三個(gè) WS-* 協(xié)議的支持，可以在元系統中利用現有標識技術(shù)的部署?？晒┰到y使用的技術(shù)包括 LDAP 聲明架構、X.509（用于智能卡）、Kerberos（用于 Active Directory 和 UNIX 環(huán)境），以及 SAML（在公司間聯(lián)盟方案中使用的一個(gè)標準）。
標識元系統體系結構關(guān)系圖
該圖顯示主體、標識提供方和依賴(lài)方之間的關(guān)系，展示用于該元系統和通過(guò)該元系統利用的特定系統的一些技術(shù)。
?
安全令牌服務(wù)器實(shí)現 WS-Trust 協(xié)議并提供對聲明轉換的支持。
?
依賴(lài)方提供要求的語(yǔ)句，這些語(yǔ)句根據 WS-SecurityPolicy 規范表示并通過(guò) WS-MetadataExchange 協(xié)議利用。
?
Identity Selector 實(shí)現一致的用戶(hù)體驗。在由應用程序調用后，它執行依賴(lài)方和標識提供方（一個(gè)或多個(gè)）之間的協(xié)商；為主體（例如，最終用戶(hù)）顯示“匹配的”標識提供方和依賴(lài)方的標識；獲取聲明；以及在主體的監督下將它們提供給該應用程序。
返回頁(yè)首Microsoft 的實(shí)現計劃
Microsoft 計劃生成在該標識元系統中填充所有角色的軟件（同時(shí)也鼓勵其他方生成填充有這些角色的軟件，包括非 Windows 平臺）。Microsoft 要實(shí)現以下參與該元系統的軟件組件：
?
“InfoCard”標識選擇程序：“InfoCard”是 WinFX 組件的代號，該組件提供標識元系統所需的一致用戶(hù)體驗。它針對 tampering 和 spoofing 進(jìn)行了特別的加強，以保護最終用戶(hù)的數字身份并維護最終用戶(hù)的控制?？蛻?hù)端用戶(hù)界面中的可視化“Information Card”呈現了由“InfoCard”管理的每個(gè)數字標識。用戶(hù)選擇由“InfoCard”呈現的標識來(lái)針對參與的服務(wù)進(jìn)行身份驗證。
?
“InfoCard”簡(jiǎn)單的自發(fā)行標識提供程序：“InfoCard”也包括一個(gè)簡(jiǎn)單的標識提供程序，它允許單個(gè) PC 用戶(hù)創(chuàng )建并利用自發(fā)行的標識，允許針對依賴(lài)方進(jìn)行無(wú)需密碼的強身份驗證。自發(fā)行的標識用于使用戶(hù)擔保他們自己提供的信息，這非常類(lèi)似于目前用戶(hù)在 Web 站點(diǎn)上進(jìn)行注冊的情況。我們要實(shí)現簡(jiǎn)單的自發(fā)行標識提供程序以幫助引導標識元系統；我們相信某些服務(wù)類(lèi)型仍將接受自發(fā)行的標識。簡(jiǎn)單的自發(fā)行標識提供程序中保留的標識不會(huì )包括或存儲敏感的個(gè)人信息，例如，Social Security 號（或所開(kāi)發(fā)的其他國家 ID 號）或信用卡號。自發(fā)行的標識并不旨在提供托管標識提供程序可以提供的所有功能 — 該市場(chǎng)主要面向為客戶(hù)提供托管標識解決方案的公司。
?
Active Directory 標識提供程序：這是一個(gè)與 Active Directory 集成的托管標識提供程序。它包括一個(gè)完整的策略控件集，用于管理標識元系統中 Active Directory 標識的使用。Active Directory Federation Services（Windows Server 2003 R2 提供的一個(gè)新 Active Directory 功能）是將 Active Directory 中的標識與標識元系統集成的第一步。
?
“Indigo”：代號為“Indigo”的 Web 服務(wù)運行時(shí)為開(kāi)發(fā)人員提供一個(gè)快速生成和部署分布式應用程序的方式，包括標識元系統中的依賴(lài)方服務(wù)。
標識元系統保留并充分利用現有標識解決方案（包括 Active Directory 和其他標識解決方案）的價(jià)值。Microsoft 的實(shí)現將通過(guò) WS-* 協(xié)議與其他標識選擇程序實(shí)現、依賴(lài)方實(shí)現和標識提供程序實(shí)現完全的互操作。
非 Microsoft 應用程序將能夠像 Microsoft 應用程序一樣使用“InfoCard”管理它們的標識。非 Windows 操作系統完全能夠參與我們針對本行業(yè)生成的標識元系統。其他人可以在無(wú)需任何 Microsoft 軟件，無(wú)需支付 Microsoft 或無(wú)需使用任何 Microsoft 聯(lián)機標識服務(wù)的情況下，生成元系統完整的端對端實(shí)現。
返回頁(yè)首Passport 給我們的啟示
Microsoft 有關(guān)標識最著(zhù)名的成果也許就是 Passport Network 了（以前稱(chēng)為 .NET Passport）。Microsoft 已經(jīng)生成了世界上最大的 Internet 身份驗證服務(wù)并從中學(xué)到了很多，并將這些來(lái)之不易的經(jīng)驗應用到標識規則、標識元系統和幾個(gè)產(chǎn)品的開(kāi)發(fā)之中。
Passport 最初旨在解決以下兩個(gè)問(wèn)題：成為用于 MSN 和 Microsoft 屬性的標識提供程序，并成為用于 Internet 的標識提供程序。對于第一個(gè)目標而言它是成功的，因為每天有超過(guò)兩億五千萬(wàn)個(gè)活動(dòng) Passport 帳戶(hù)和超過(guò)十億次身份驗證。對于第二個(gè)最初目標，通過(guò)與合作伙伴、客戶(hù)和行業(yè)不斷地接觸，我們清楚地了解到：在許多情況下，Microsoft 在某些事務(wù)（例如，公司及其客戶(hù)之間的事務(wù)）中扮演的角色并沒(méi)有意義。
除了在標識規則中向我們介紹的觀(guān)點(diǎn)之外，值得一提的是，運營(yíng)該 Passport 服務(wù)已經(jīng)幫助 Microsoft 深入了解了大型標識提供商所面臨的操作和技術(shù)方面的挑戰。這些經(jīng)驗有助于使我們的標識產(chǎn)品滿(mǎn)足大規模部署的需要。
該標識元系統與 Passport 的初始版本存在幾個(gè)根本差別。元系統不存儲個(gè)人信息，由單獨的標識提供方?jīng)Q定如何存儲該信息以及存在何處。該標識元系統不是針對 Internet 的聯(lián)機標識提供方；實(shí)際上，它為所有標識提供方提供了一個(gè)共存且彼此競爭的方式，它們在該元系統中是平等的。最后，雖然 Microsoft 針對使用 Passport 初始版本的服務(wù)收費，但是參與該標識元系統將是免費的。
Passport 系統本身也已經(jīng)隨之得到了發(fā)展。它不再存儲除用戶(hù)名/密碼憑證之外的個(gè)人信息。Passport 現在是一個(gè)身份驗證系統，它面向 Microsoft 站點(diǎn)以及那些親密的合作伙伴 — 它扮演了一個(gè)非常適合的角色，用戶(hù)和合作伙伴在使用它時(shí)會(huì )感到很舒服。Passport 和 MSN 計劃將對標識元系統的支持實(shí)現為 MSN 及其合作伙伴的聯(lián)機標識提供程序。Passport 用戶(hù)將獲得提高的安全性和易用性，而且 MSN Online 合作伙伴將能夠通過(guò)該標識元系統與 Passport 進(jìn)行互操作。
返回頁(yè)首小結
當今的許多 Internet 問(wèn)題（從 phishing 攻擊到不一致的用戶(hù)體驗）都是因為多個(gè)數字標識解決方案拼湊在一起所造成的，軟件開(kāi)發(fā)商在缺少統一的數字標識架構系統的情況下內置了這些解決方案。標識元系統（如標識規則中定義的一樣）將提供一個(gè)統一的數字標識結構，利用現有和將來(lái)的標識系統，提供和它們之間的互操作性，并能夠為它們創(chuàng )建一個(gè)一致且簡(jiǎn)單的用戶(hù)界面?；谠跇俗R規則方面的工作，Microsoft 正在與業(yè)內的其他公司聯(lián)合生成使用已公布的 WS-* 協(xié)議的標識元系統，該系統提供可以與這些公司生成的軟件完全互操作的 Microsoft 實(shí)現。
我們相信，目前在聯(lián)機體驗中存在的許多危險、復雜性、煩擾和不確定性將來(lái)都會(huì )得到解決。標識元系統的廣泛部署將能夠解決這些問(wèn)題中的大多數，通過(guò)使聯(lián)機世界更安全、更可信且易于使用，使人們從中受益并加速連接性的長(cháng)期增長(cháng)。Microsoft 正與業(yè)內的其他公司一起定義和部署該標識元系統。我們希望您也能參與進(jìn)來(lái)！
