Správce české národní domény CZ.NIC spustil minulý týden unikátní službu mojeID. Nazveme to třeba internetovou občankou, dokladem totožnosti na webu. Každý uživatel může mít pouze jednu online identitu, kterou se může přihlašovat na všechny stránky. To je zatím nedostižný cíl, ale minimálně na v českém rybníčku realizovatelný, pokud se mojeID uchytí.
Univerzální přihlašování už řeší OpenID, který má řadu registrátorů včetně např. Seznamu nebo Googlu. Jenže účtů OpenID si můžete založit, kolik chcete, a nikdo nezaručuje pravost údajů. To řeší až CZ.NIC, která OpenID rozšířil o možnosti verifikace uživatele.
Registrace, ověření a validace
Registrace je jednoduchá a bezplatná. Povinnými údaji je celé jméno, adresa a e-mail. Pokud zadáte i telefon, do e-mailové schránky a pomocí SMSky vám přijde PIN, který aktivujete základní účet mojeID. Ten ještě není ověřený, a pokud máte více e-mailů nebo SIM karet, není problém si zařídit více identit. V této fázi se tedy mojeID od OpenID neodlišuje.
Registrace probíhá dvojím způsobem. Buď zkopírováním údajů z registru, pokud vlastního českou doménu, nebo úplně od znovu. Druhý způsob je podle mě lepší, protože si můžete zvolit vlastní přihlašovací jméno, registr vám přidělí ošklivý vygenerovaný kód, který ihned zapomenete.
Druhou fází je ověření, které vám přijde poštou do vlastních rukou. Reakce CZ.NIC je rychlá, ráno jsem zaregistroval účet a druhý den jsem obdržel dopis s dalším PINem, který účtu přiřadil reálných „ksicht“. Tedy ten můj.
V tuto chvíli už jste identifikovaní, partneři CZ.NICu se mohou spolehnout, že zadané údaje jsou pravdivé a v případě objednávky zboží i závazné.
Ještě existuje třetí stupeň – validace. V profilu si stáhnete PDFko, které vytisknete a s úředně ověřeným podpisem odešlete na adresu registrátora. Případně jej vložíte jako přílohu v e-mailu s elektronickým podpisem, nebo s papírem a občankou zajdete do pražské pobočky CZ.NICu. V této fázi už máte zpřístupněny veškeré položky mojeID. Já tím prozatím neprošel, protože jsem líný a ve validaci prozatím nevidím výhodu. Provozovatelé však mohou zvolit, jestli pro přístup chtějí ověřený, nebo rovnou validovaný účet.
Zásada 3P: profil, přihlašování a problémy
Profil, nastavení a historie
Po přihlášení máte k dispozici pěti základních obrazovek.
- Účet: stav účtu a možnost ověření nebo validace
- Profil: editace osobních údajů
- Přihlašování: změna hesla a nastavení certifikátu
- Předávání: podrobné nastavení, které údaje si budou moci prohlížet stránky, na kterých se přihlašujete
- Historie: log událostí, které jste ve vašem účtu prováděli
V nastavení profilu máte nespočet volitelných položek, ale jejich vyplňování je opravdu nepovedené. Fotografii musíte vložit přesně v rozlišení 120 × 160 px v JPEGu nebo PNG. Chybí editor, který by sám zmenšil obrázek, případně by jej uživatel ještě oříznul. Nedělám si iluze, že Pepa z Horní Dolní bude umět obrázek na tyto parametry sám upravit.
Druhá chyba je opravdu na facku. Pokud vyplníte něco špatně, mojeID vás neupozorní na správné řešení. Já například udělal tu chybu, že jsem přeskočil autentizaci přes telefon a účet jsem aktivoval až PINem, který přišel poštou. Když jsem potom chtěl telefon vyplnit, nikde se nepíše, jaký je správný formát. Nebralo mi to devítimístné číslo, ani různé kombinace s mezinárodním prefixem. Výsledek je takový, že číslo zatím nemám.
Nejčastěji se zřejmě budete pohybovat na stránce „Předávání údajů“. Nastavení je skutečně podrobné, paranoici mohou v podstatě vše zakázat, partneři ale při přihlašování některé údaje vyžadují (viz dále). Historie zaznamenává veškeré změny v profilu, ale také adresy, kam se přihlašujete. Sám jsem byl rád, že se do logu zapsalo i špatně zadané heslo. To kdyby se vám někdo chtěl vloupat do účtu, poznáte jej podle více špatných hesel po sobě.
Přihlašování
S účtem mojeID se můžete přihlásit dvojím způsobem. Partneři CZ.NICu mají na stránkách speciální formulář, kde jen zadáte své přihlašovací jméno a heslo. Obvykle mají více požadavků, které chtějí o vás vědět. Také si provozovatelé za plný přístup (opt-out) platí 1000 Kč ročně (viz podmínky). Plný přistup a údaje budou vyžadovat především e-shopy, banky nebo weby státní správy.
Partneři mohou některé údaje vyžadovat (označeny hvězdičkou)
Druhou možností je omezený přístup. Uživatel předává své údaje formou opt-in (volitelně nastaví, co může provozovatel vidět). Tento způsob najde využití v diskuzních fórech, blozích apod. Zkrátka jako náhrada běžných registračních formulářů, kde není třeba tak dbát na pravost identity.
Na stejné úrovni je pak přihlašování v aplikacích s OpenID. To už musíte zadat plné jméno, v mém případě vaclavik.mojeid.cz a heslo.
Pomocí mojeID se můžete přihlašovat k webům Seznamu, stačí do účtu přidat další identitu OpenID.
Vlastně ani to heslo nepotřebujete, mojeID umí využít i digitální certifikáty PEM (některé weby to mohou přímo vyžadovat).
Konec anonymního internetu?
MojeID má před sebou ještě hodně dlouhou cestu, protože musí přesvědčit jednak provozovatele portálů, jednak uživatele. Zatím tomu chybí kampaň, a pokud o systému nenapíšou média sama, nikdo by o mojeID zřejmě ani nevěděl. Ale CZ.NIC se chlubí, že už třetí den měli přes 1000 registrací.
Webové stránky, které dnes umožnují přístup přes mojeID, jsou dnes pouze tři: e-shopy Malyobchod.cz, RZ Technik a registrátor domén a hostovací služba SvetHostingu.cz. Samozřejmě, můžete se připojit k dalším webům podporujícím OpenID, ale to už není zásluha CZ.NIC a ani je k tomu nepotřebujete.
MojeID má smysl tam, kde už je dnes potřeba vyšších forem ověření. Třeba Novinky.cz loni zavedly verifikaci přes poštu, protože byl v diskuzích „hroznej bordel“. Dokážu si představit jednotné přihlašování v e-shopech, ale klidně i v diskuzních fórech, pokud nebudou vyžadovat osobní údaje. Otázkou je, jestli by se v takových případech neosvědčilo raději ověřování přes OAuth Facebooku, který má u nás širokou uživatelskou základnu. Tímto způsobem už zavedla diskuze na svém webu Česká televize.
Velkou zodpovědnost si však na sebe CZ.NIC. Pokud chce spravovat rozsáhlý registr osobních údajů, nesmí podcenit bezpečnost. Krádež identity by v tomto případě znamenala přístup do všech používaných služeb. CZ.NIC jako nezisková společnost snad také nebude mít zájem nikomu předávat informace o tom, na jakých webech surfujeme. Sice se nedozví, jaké zboží kupujete, co do diskuzí píšete nebo jaký je stav vašeho bankovního účtu, ale když uvidí, že se přihlašujete na weby tykající se rybaření, jejich partner by vám mohl servírovat reklamu šitou na míru. To může být na jednu stranu užitečné, ale na tu druhou si zase nepřeju, aby NejlepšíUdice.cz věděla, že mám rád třeba nafukovací gumové panny (jen příklad).
Já osobně v úspěch služby příliš nevěřím, protože v tuto chvíli není zaměřena na masy lidí. Samotný koncept je mi ale sympatický, ale nejsem přesvědčen, že se řada lidí bude chtít vzdát své anonymity na síti. Nemusí jít přitom jen o piráta nebo crackera, ale třeba opatrného paranoika, který jen nechce být zapsán v dalším registru.
Co myslíte vy? Má mojeID šanci a vzdáte se soukromí ve prospěch jednoduššího přihlašování?
