Korean Identity Management(KIM)

플릭커(Flickr)가 OpenID를 지원하고, Yahoo가 OpenID 2.0을 지원하는 오픈아이디 프로바이더(OP)를 만들 예정이라고 합니다. ReadWriteWeb에 따르면 CES 2008에서 Yahoo의 OpenID 지원 여부에 대한 소문이 돌았습니다.

Rumors abound that Yahoo! will make a major announcement about OpenID today at CES. It looks like at the very least you'll be able to use your Flickr user page URL to log in anywhere that supports OpenID login. The code is live, view source of any user page and search for OpenID and you'll find it. [3]

Simon Willison이 Flickr의 사용자 페이지 소스를 살펴본 결과 OpenID 2.0에서 사용하는 rel 태그를 발견했습니다. 이제 Flickr의 URL을 OpenID로 사용할 수 있다는 것이죠. 이 방식은 이글루스의 OpenID 지원 과도 동일합니다. 하지만 약간 아쉽게도 Flickr의 OpenID를 사용하기 위해서는 Yahoo에 가입해야 합니다. Yahoo가 OP로 설정되어 있거든요.

<link rel="openid2.provider" href="https://open.login.yahooapis.com/openid/op/auth" /> [2]

기존에는 OpenID를 쓰고, 해당 OP로 이동한 뒤에 인증 절차를 수행하였죠. 하지만 그 방식은 사용자의 OpenID가 매번 노출되기 때문에 프라이버시가 우려된다는 주장이 있었습니다. 따라서 OpenID 2.0 스펙에서는 OpenID를 기입하는 폼에 OP 이름만 쓰고, 해당 OP로 이동한 이후에 OpenID를 기입하고 패스워드를 쓰는 식으로도 동작 가능합니다. 바로 그 기능을 위해서  https://me.yahoo.com 가 사용될 것 같습니다. 추가로 일회용(One-Time) OpenID를 만들 수도 있다고 합니다.

you’ll be able to enter “me.yahoo.com” in to an OpenID field on a site and have Yahoo! pick an obfuscated, unique OpenID for your interactions with that site. This protects your privacy by preventing anyone from outside of Yahoo! from correlating your behaviour across multiple OpenID-enabled services, similar to how Yahoo!’s current BBAuth API provides applications with an opaque hash rather than a user’s Yahoo! screen name [2]

방금 확인해보니 아직 OP가 동작하지 않았습니다. 며칠 이내에 동작하리라 예상합니다.

OP의 역할은 사용자의 신원을 증명해 주는 것입니다. 얼마나 신뢰있게 제공해 주는지에 따라서, 그에 적합한 보안 수준을 요구하는 RP(Relying Party)가 서비스를 제공해 줄 수 있습니다. 지금까지의 OP는 사용자의 신원을 제대로 확인하지 않기 때문에 블로고스피어에서 사용되는 수준에 그칠 수 밖에 없었습니다.

여러 OP들이 단순한 인증을 넘어서 신원을 증명할 수 있는 서비스를 제공해 주려고 합니다. 일례로, IDTail 의 경우, OP로 시작하여 지금은 인맥을 관리하는 소셜 네트워크로 변화하고 있습니다. IDTail의 OpenID를 사용하는 사람은 자신의 정보와 평판을 쉽게 타인에게 보여줄 수 있습니다. 반면에 Flickr는 사진을 공유하는 소셜 네트워크로 시작하여 지금은 OpenID로 변화합니다. Flickr의 OpenID를 사용하는 사람은 자신의 신원을 '사진'과 '친구'들로 증명할 수 있습니다.

하지만 개인적으로는 우려가 됩니다. 만일 제가 IDTail에 등록하여 타인의 신원 정보와 사진을 올려두고, 그 사람인 것처럼 행사한다면 어떤 문제가 발생할까요? Flickr도 마찬가지입니다. 타인의 사진을 퍼와서 올리고 그 사람인양 행세한다면 어떤 문제가 발생할까요? 이런 우려에 대해서는 아무런 언급도 없습니다. 싸이월드에서 연예인을 사칭하는 경우는 자주 발생했지만, 해당 홈페이지에서만 문제가 생길 뿐입니다. 하지만 OpenID를 사용할 경우, 전세계적으로 개인의 명성을 악용할 수 있습니다.

추가1. 만일 사용자의 ID 정보가 조작되어 타인이 악용한다면, 사용자의 정보를 노출시키는 실수를 저지른 IDP가 처벌을 받아야 한다는 주장이 있네요.

If a user's identity information was compromised, and was used in a malicious manner, the identity provider could most certainly be punishable by the fullest extent of the data by contributing to the possible defamation of the victim's virtual identity. [5]

레퍼런스
[1] http://blog.k1v1n.com/2008/01/yahoo-to-embrace-openid.html
[2] http://simonwillison.net/2008/Jan/7/projection/
[3] http://www.readwriteweb.com/archives/flickr_to_authenticate_openid.php
[4] http://blog.wired.com/monkeybites/2008/01/is-yahoo-gearin.html
[5] http://akale.livejournal.com/154003.html