Las redes sociales y el OpenID

19.12.08 | 10:30. Archivado en Conectados, Blogosfera, Tecnología

A lo largo del presente artículo de opinión, Víctor Pizarro y Antonio Martínez de Altran Technologies, hacen referencia al estado del arte actual referente a los fenómenos en la Red. En él destacan las características principales de las nuevas herramientas que brinda Internet y son puestas al alcance del usuario para desarrollar todo un entramado sociológico. Hacen una mención especial a los sistemas blandos de autenticación desarrollados así como un repaso de su metodología, ventajas y propuesta de futuro.

OpenID: una apuesta de futuro

Uno de los puntos más destacados en la Web en los últimos años es el término Web 2.0. Varias han sido las interpretaciones y acepciones que se han dado a este vocablo y a sus sucesores: Web 3.0 y Web Semántica. Independientemente de la definición que se escoja, lo que parece claro es la enorme trascendencia que esta evolución de la WWW ha tenido sobre el manejo de Internet por parte de los usuarios, que han pasado a ser los responsables tanto de la generación como de la clasificación de la información disponible en la red.

Hoy en día, y debido a este fenómeno, la convergencia entre los elementos de la Tecnología de la Información y los elementos sociológicos, se unen para crear tras de sí las redes sociales, redes que albergan millones de usuarios y que comparten un fin/meta/objetivo/ocio común. Términos como folcsonomía1 u ontología2 comienzan a ser cada vez más escuchados cuando se habla de este tipo de redes. No hay que ir muy lejos para encontrar ejemplos de éstas (facebook, tuenti, hi5, linkedin…), donde están experimentando un crecimiento exponencial y una expansión que nadie antes imaginó.

Las redes sociales son elementos compuestos por nodos y enlaces y que crean a su alrededor pequeños micromundos llenos de una inmensa variedad de características. El desarrollo en OpenSource ha provocado una rápida acción en cadena, donde la implicación de los usuarios ha conducido a una sinergia sin igual, haciendo que la resolución de problemas o la aparición de mejoras sea en un tiempo realmente record.
Uno de los problemas que se abre paso ante esta nueva situación, donde todo usuario medio pertenece al menos a dos o tres de estas redes, reside en los mecanismos de autenticación soportados. Pesados y molestos sistemas de autenticación instan al usuario a introducir una y otra vez (por cada uno de los sistemas en que quiera autenticarse) los mismos datos y claves, lo que en multitud de ocasiones o bien genera un agujero de seguridad debido a la reutilización de la misma clave, o bien crea una lista de contraseñas demasiado extensa como para recordarla. Muchos usuarios son reacios a estos sistemas arcaicos y fue la propia comunidad OpenSource la que diseñó una posible solución.
La solución de facto al problema presente, pasaría por el desarrollo de un nuevo sistema blando de identidad que facilitara las labores de autenticación al usuario. La idea era la de una única autenticación y que fuese el propio sistema el encargado de realizar las posteriores autenticaciones con las futuras aplicaciones/redes que lo solicitasen. Nacen de esta idea los nuevos sistemas blandos de identidad, unos sistemas encargados de redimensionar los actuales (de identidad distribuida) y capaces de intentar un abordaje en el difícil mercado de las Tecnologías de la Información. Nombres como OpenID, Oauth, SAML o el sistema Higgins emergen para consolidarse en el nuevo modelo como referentes técnicos de sistemas de identidad para intentar solventar el problema de la autenticación.
Todos tienen grandes características, sin embargo será uno sólo quien se lleve nuestra atención por varias características que lo diferencian del resto: OpenID.

OpenID se diferencia del resto por la rápida y amplia acogida que ha tenido en el sector, tanto por una extensa comunidad OpenSource como por la aceptación y el apoyo de grandes empresas en su implantación.

Gigantes como Flickr, Youtube, Yahoo o Microsoft, no sólo han mostrado gran interés en la idea de OpenID sino que han decidido volcarse e invertir en ella, provocando un efecto dominó que causó que ninguna empresa competitiva del mercado actual quisiera quedarse fuera, anunciando acto seguido su implantación

OpenID es un sistema de identificación basado en URLs, tratándolas como elementos de identidad. Estas URLs pueden ser la URL de una web propia o una generada por un Proveedor de Identidad3 (creado para tal fin). Su modo de funcionamiento es tan sencillo cómo introducir nuestra URL en el sitio habilitado de la web/aplicación que precise de autenticación y que esté adaptado para soportar este protocolo. Una vez introducida la URL, seremos redireccionados al Proveedor de Identidad que nos facilitó la URL para autenticarnos y una vez introducida nuestra clave, configuramos los niveles de seguridad que aplicaremos al sitio donde queremos autenticarnos para futuros usos.
El éxito de OpenID no implica que todo sean ventajas. Las debilidades de este protocolo pronto fueron atacadas por sus principales detractores. En uno de los grandes congresos (Black Hat) se destaparon grandes problemas de seguridad, los cuales iban ligados a la suplantación de identidad con todas sus posibles consecuencias. En Black Hat, demostraron como un simple ataque de phishing vulneraba la seguridad de OpenID dejando este sistema en entredicho. A su vez, más usuarios añadieron otra serie de inconvenientes como tiempos cortos de autenticación, sistemas lentos o problemas por el escaso número de proveedores de identidad.

La comunidad OpenSource se puso manos a la obra y a mediados del presente año sacaron la versión 2.0 de OpenID, centrada en resolver los problemas de seguridad y confianza, la cual incluiría las siguientes características principales:

Nuevo Sistema de Autenticación 2.0: incluyendo mayores tiempos de Request/Response. Aceptación de los nuevos XRI (duplas de i-numbers con i-names)4
Nuevo Sistema de Intercambio de Datos 1.1. Donde el usuario comienza a poseer un dominio total de sus datos y se crean posibilidades de intercambio, sacando a OpenID de un simple SSO.
Solución de bugs (phising)

Por poner algunas cifras de negocio a este producto, se pueden nombrar los siguientes datos referidos al año 2008:

>10.000 sitios web con soporte OpenID (2.500 más que en 2007)
~350 millones de URLs habilitadas (250 millones más que en 2007)
Adopción por parte de todas las grandes compañías
Nuevos servicios emergentes
Despliegue OpenID 2.0

Queremos denotar la importancia de este sistema y anticiparnos a un posible uso en el entorno corporativo, haciendo de éste una evolución natural de la propia herramienta. El manejo de datos e información de forma no lucrativa o su aplicación en redes sociales pudo ser el primer paso. Quizás la convergencia existente en la Web 2.0 para dar paso a las denominadas Empresas 2.05 precise de nuevos sistemas de identidad y tal vez tengamos ante nosotros un anticipo de la solución (o la propia). Los nuevos entornos corporativos de colaboración son entornos bastantes complejos donde su arquitectura está formada por una mezcla de aplicaciones interconectadas unas con otras (normalmente OpenSource). Como es obvio, los sistemas de autenticación para todas y cada una de ellas harían de este proceso una acción tan latente y tediosa que nadie querría trabajar con ella. Es por ello que existe una necesidad imperante de desarrollo y/o inserción de un sistema que los pueda autenticar a todos sin necesidad de “estorbar” al usuario.
Como hemos dicho, OpenID puede ser una solución de facto, pero el gran problema de ésta reside en la confianza. Tampoco es tan descabellado porque, imaginemos, en una red donde pudiéramos realizar transacciones bancarias, compras on-line, y otras muchas más acciones… todos seríamos bastante reacios en confiar nuestras credenciales a terceros que ni siquiera conocemos (el caso de Proveedores de Identidad) sin poner en entredicho la posibilidad del mal-hacer de éstos. Sin embargo, rompiendo una lanza en favor de OpenID, es justo decir que en la definición de este protocolo se deja bien claro que la confianza o seguridad, como se quiera entender, se delega en el Proveedor de Identidad. Un usuario se sentirá mucho más confiado ante un proveedor que solicita un certificado digital expedido por una entidad de confianza, que ante uno que simplemente necesita un usuario y contraseña. El uso de mecanismos de autenticación con mayor nivel de seguridad por parte de los Proveedores de Identidad, impulsará una mayor aceptación de OpenID, haciendo que el usuario se sienta más seguro y confiado a la hora de realizar operaciones comprometidas. Quizá la progresiva implantación del DNIe (una vez se limen algunos aspectos) sea un nuevo acicate para estrechar la confianza mutua entre proveedores y usuarios.
La solución está en proceso de búsqueda y captura, pero como conclusión podemos afirmar que OpenID ha iniciado la andadura hacia una posible redirección y nuevo planteamiento de los actuales sistemas de identidad distribuida. Deberemos estar muy atentos a cuáles serán sus avances e intentar, entre todos, lograr que Internet sea un entorno mucho más accesible y cómodo.