Das hätte ich gern schriftlich.
"Aus Ratskreisen erfuhr heise online nun, dass die Idee des eindeutigen und dauerhaften Identifikationsmerkmals im sogenannten Trilog auch mit der Kommission am Mittwochabend "nicht beibehalten" worden sei."
Und wüsste auch gern, was der Haken daran ist und gegen was das ggf. eingetauscht wurde.
@AxelNennker @anneroth
Analog beim Shibboleth/SAML-Authentifizierungsverfahren:
SAML Pairwise Subject Identifier:
https://docs.oasis-open.org/security/saml-subject-id-attr/v1.0/cs01/saml-subject-id-attr-v1.0-cs01.html#_Toc536097230
Vergleich der unterschiedlichen Name Identifier:
https://shibboleth.atlassian.net/wiki/spaces/CONCEPT/pages/928645231
@anneroth @AxelNennker
Begründete Vermutung:
Das Konzept einer Pairwise ID wird im Rahmen der EUid schon länger als datensparsame Alternative zur Subject ID diskutiert:
https://en.epicenter.works/content/analysis-of-5th-eidas-compromise-from-czech-council-presidency
https://dfn.de/wp-content/uploads/2022/06/DFN_Mitteilungen_101_download.pdf (Seite 21ff.)
Nun merkt man wohl allmählich, dass es auch ohne Subject ID geht.
Im Hochschulkontext gibt es die eduPersonTargetedID (als Vorläufer der Pairwise ID) schon seit mindestens 2006, vgl. eduPerson-Schema:
Summary The trend of the Czech Presidency that first became apparent with the third compromise text continues. Industry interests are ranked above fundamental rights concerns of citizens. We see a further eroding of safeguards previously introduced by the Commission and French Presidency. This will make trilogue more difficult, as we observe the opposite trend in the ongoing negotiations of the lead ITRE committee where data protection safeguards have been strengthened in the last compromise texts by the rapporteur.
@AxelNennker @anneroth
Du wirst Dich wundern... SAML (mit Shibboleth als Referenz-Implementierung) ist bei Hochschulen weltweit seit 20 Jahren zum Login an Verlagsangeboten im Dauereinsatz. Es verdrängt dort zunehmend die Authentifizierung per IP-Adresse / VPN.
Parallel dazu hat sich OpenID Connect (OIDC) am Markt etabliert und kommt allmählich auch bei den Hochschulen an.
Funktionsumfang ist vergleichbar: Das Nutzerkonto Bund baut primär auf SAML, die Schulportale der Länder können beides.
@AxelNennker Oh, ich verneige mich! Hab vor 10-12 Jahren öfter mal in die Spezifikationen geschaut & die ein oder andere Shibboleth-IdP-Erweiterung selbst programmiert.
Wie gesagt, im Hochschulkontext ist Shibboleth/SAML weiterhin Gang und Gäbe, es wird auch zunehmend zum hochschulübergreifenden Login genutzt.
Problematisch wird es eigentlich erst, wenn Service Provider alternative SAML-Implementierungen (außer Shibboleth) nutzen, die nicht den vollständigen Funktionsumfang abdecken. 🤷
@manelu_de Hilfe, ich fürchte wir betreten nun die alte, weiße Männer erzählen vom Krieg Phase. 🙂 Anyway
Bin ganz froh, dass ich opensaml nur indirekt wegen des Governikus Autent SDK "nutze".
Im Bereich "government issued identity" würde ich lieber dem italienischen OpenID Federation Beispiel folgen als irgendwas mit SAML <hust>Stork</hust>
https://indico.geant.org/event/1/contributions/14/attachments/15/94/OIDCfed_TNC22-2-combined.pdf
Anne Roth
Manuel
Axel Nennker