OpenID: Ein Login für jede Website

Offenes und dezentrales Identitätssystem von LiveJournal-Gründer Fitzpatrick

Mit OpenID hat Brad Fitzpatrick, Gründer des Blog-Anbieters LiveJournal.com, ein offenes und dezentrales Identitätssystem ins Leben gerufen. Nutzer sollen sich so auf unterschiedlichen Webseiten einloggen können, ohne dort einen eigenen Account anlegen zu müssen, z.B. um einen Kommentar in einem fremden Blog zu hinterlassen.

Die dazu eingesetzte OpenID ist letztendlich nur eine URL, so dass einzelne Nutzer leicht mehre Identitäten haben können. Passwörter oder E-Mail-Adressen werden dabei nicht durch die Gegend gesandt.

Das offene System soll es jeder Website erlauben, OpenID einzusetzen oder selbst einen OpenID-Server zu betreiben, ohne dass dafür Lizenzgebühren oder Ähnliches anfallen, laut Fitzpatrick ein wesentlicher Vorteil gegenüber anderen Systemen. Welcher OpenID-Server genutzt werden soll, legt jeder OpenID-Nutzer selbst fest, so dass das System nicht von einem Betreiber oder einem Unternehmen abhängt.

Statt sich normal auf einer anderen Website einzuloggen, wird auf einer fremden, OpenID unterstützenden Website nur die OpenID angegeben - beispielsweise die URL des eigenen Blogs, in dem man in der Regel eingeloggt ist. Die externe Website ruft dann die entsprechende URL auf und findet darüber den passenden OpenID-Server.

Die fremde Webseite wendet sich anschließend wieder an den Browser und teilt diesem den gefundenen OpenID-Server mit, so dass der Browser diesen kontaktieren kann. Wurde diese fremde Seite bereits früher einmal als vertrauenswürdig eingestuft, findet automatisch ein Login statt. Der gesamte Vorgang kann dabei komplett im AJAX-Stil ablaufen, so dass der Nutzer davon nichts mitbekommt. Wird dann ein Kommentar auf einem fremden Blog hinterlassen, kann dieses so die Identität überprüfen.

Das System ist aber auf diese Funktion beschränkt, es handelt sich weder um ein Trust-System noch um einen Spam-Schutz, so Fitzpatrick. Spammer können selbst einen OpenID-Server betreiben, diese Server auszuschließen sollen andere Mechanismen übernehmen. Das System verhindert aber, dass ein Spammer unter einer fremden, OpenID-unterstützenden URL Kommentare hinterlässt.

Dies bedeutet aber nicht, dass künftige Versionen der Spezifikation OpenID nicht um weitere Funktionen erweitern könnten, beispielsweise die Möglichkeit zu überprüfen, ob ein Kommentar womöglich verändert wurde.

Für Fitzpatrick ist eines dabei von zentraler Bedeutung: Niemand ist Eigentümer des Systems oder verdient damit Geld. Er selbst will alle Teile von OpenID unter einer möglichst liberalen Lizenz veröffentlichen. Auf der Blog-Community LiveJournal, die mittlerweile zu Six Apart gehört, ist OpenID bereits implementiert und auch öffentliche OpenID-Server laufen bereits, ganz fertig ist OpenID aber noch nicht.