미국 정부. Gov 2.0에 OpenID와 Information Card(aka. CardSpace) 채택

현재 문제

현재 미국 정부는 500개가 넘는 웹 사이트를 운영중이며, 그 중에 1/3은 독자적인 id/pw 체계를 가지고 있습니다. 즉, 미국 정부의 웹사이트를 제대로 이용하려면 약 170개 이상의 id/pw를 만들어야 한다는 것이죠. 또한 똑같은 개인정보가 흩어져 있지만, 이를 누가 제대로 관리하는지는 아무도 모릅니다. 우리나라의 사례를 살펴봐도 웹사이트의 보안성 평가를 수행할 때마다 정부기관의 웹사이트가 가장 취약하다는 결론을 매번 보게 됩니다. 우리나라도 미국과 별반 차이가 없죠.

Today there are over 500 government websites and about 1/3 of them require a user name and password. Users need to be able to register and save information and preferences on government websites the same way they do today with their favorite consumer sites, but without revealing any personally identifiable information to the government.[3]

가능한 해결책

이는 전통적인 id 관리 문제입니다. id/pw를 독자적으로 유지하는 기존의 silo 방식은 centralized, federated, user-centric 방식으로 대체될 수 있습니다. centralized는 간단하고 신뢰있지만 SPF(Single Point of Failer)문제가 있고, federated 방식은 기관간의 agreement 및 확장 문제, user-centric은 신뢰/보안 문제가 있습니다. 용도에 따라 각각의 장단점이 있기 때문에 어느 방식이 가장 좋다고는 말할 수 없습니다.

The challenge is that supporting this kind of citizen interaction with government via the web means that identity needs to be solved. On the one hand you can’t just ask citizens to get a new user-name and password for all the websites across dozens of agencies that they log into. On the other you also can’t have one universal ID that the government issues to you and works across all government sites.Citizens need a way to interact with their government pseudononymously& in the future in verified ways.[6]

미국 정부의 user-centric 모델 선택

미국 정부는 user-centric 모델을 사용하기로 했습니다. 이번주에 열린 Gov 2.0 Summit에서 미국 정부 웹사이트는 OpenID와 InfoCard를 지원하는 파일럿 프로그램을 시작한다고 발표하였습니다. 예전에 오바마 대통령이 당선되자 마자, 인수위원회 사이트에 OpenID를 지원한 사례[7]가 있었지만, 이렇게 정부 차원에서 지원할 줄은 몰랐습니다. 이는 오바마 대통령이 주장한 Open Government를 실현하는 매우 중요한 첫걸음입니다.

Later this morning at the Gov 2.0 Summit, Federal Government CIO Vivek Kundrawill talk about data.gov and other governmental transparency initiatives, and will also be making an announcement regarding the launch of a open identity initiative featuring the use of both OpenIDand InfoCards in a special pilot program.[1]

사전 작업: 백서

OpenID와 InfoCard 측은 몇 달전부터 이 작업에 매달리고 있었습니다. 이들이 지난 달에 공개한 백서에서는 Open Government에서 신뢰 프레임워크를 구축하기 위한 방안으로 OpenID와 InfoCard를 사용하는 내용을 담고 있었습니다. 저는 단순히 OpenID와 InfoCard가 자신들의 기술이 이런 식으로 활용될 수 있다는 가능성을 정부에게 어필하기 위한 용도라고 생각했는데, 실제로 이루어졌습니다.

The OpenID Foundation has recently published a letter from executive director Don Thibeau as well as a fairly detailed white paper(PDF) on the subject of open frameworks for open governments that youmight want to read for background. While the ‘Participating Providersin the U.S. Government Pilot Program’ section on the OpenIDFoundation’s website hasn’t gone live yet, the Information Card Foundation provides more details about the pilot program on its blog.[1]

해당 백서에는 TFPAP(Trust Framework Provider Adoption Process)라고 하여 ID 프로바이더가 정부 웹사이트에 신뢰받기 위한 절차를 언급하고 있습니다. 즉, 새로 신뢰 프레임워크를 구성하고 정부 기관에서 사용할 ID 프로바이더를 만드는 대신, 외부의 OpeniD/InfoCard 프로바이더는 누구나 제시된 기준만 만족하면 정부 기관에서 신뢰하겠다는 의미입니다. 정부는 ID 관리 부담을 덜게 되고, 사용자는 id를 재사용할 수 있으며, ID 프로바이더는 많은 사용자와 웹사이트를 확보하게 됩니다.

The government is looking to leverage industry based credentials that citizens already have to provide a scalable model for identity assurance across a broad range of citizen and business needs – doing this requires a trust framework to assess the trustworthiness of the electronic credentials. see    Trust Framework Provider Adoption Process (TFPAP).  A Trust Framework Provider is an organization that defines or adopts an online identity trust model involving one or more identity schemes,has it approved by an government or community such as ICAM,and certifies identity providers as compliant with that model. The OIDF and ICF will jointly serve as a TFP operating an Open Trust Framework as defined in their joint white paper, Open Trust Frameworks for Open Government.[3]

프로그램 내용

이번에 수행할 프로그램의 내용은 외부의 OpenID/InfoCard 프로바이더를 'Assurance Level 1'의 기준으로 평가하고 해당 보증 레벨을 부여하는 것입니다. 자세한 내용은 다음 문서("Trust Framework Provider Adoption Process for Levels of Assurance 1, 2, and non-PKI 3")를 참고하시기 바랍니다.

The draft process for selecting approved Trust Framework Providers that will then certify individual identity providers is titled "Trust Framework Provider Adoption Process for Levels of Assurance 1, 2, and non-PKI 3" and is available for download as a PDF.

That draft includes requirements that OpenID or related Info Card identities not be used to authenticate people who are physically present (it's just for remote online access), that they not be used to transmit activity data or anything else beyond what is specificallyrequested by a government agency and that there be measures taken tocontinue protecting personal information if the identity provider goesout of business.


이번 시범서비스에 참여하는 10개의 ID 프로바이더는 Google, Yahoo, PayPal, AOL, VeriSign, Citi, Equifax, Acxiom, Privo, Wave Systems입니다. Microsoft가 없는게 의야하네요. 이전 포스트에서 언급했듯이, Microsoft가 아직 정식으로 OpenID 프로바이더가 되지 않았기 때문인 것 같습니다. Microsoft는 InfoCard 프로바이더도 없죠.

Google, Yahoo, PayPal, AOL, VeriSign, Citi, Equifax, Acxiom, Privo and Wave Systems will be the ten organizations to act as digital identity providers using OpenID and Information Card technologies in the first pilot programs designed for the American public to engage in open government. Representatives from the companies had met with governmen tIT officials early August to engage in talks about the initiative,which ReadWriteWeb caught wind of at the time.[1]

해당 프로그램이 현재 적용된 사이트는 NIH(National Institute of Health, http://www.nih.gov)입니다. 보증 레벨 1 수준으로 NIH 내의 사이트에 SSO 서비스를 제공하며, 베타테스트 기간입니다. 완전한 기능은 몇 주 지나야 합니다. 흥미로운 점은 NIH에서 사용하는 OpenID 토큰으로 InCommon의 것을 사용할 예정이라는 것입니다. InCommon은 Shibboleth 프로젝트로 잘 알려진 교육용 ID 관리 Federation 사이트입니다.

Dr. Jack Jones, NIH CIO and Acting Director, CIT, notes, “As a world leader in science and research, NIH is pleased to participate in this next step for promoting collaboration among Assurance Level 1applications. Initially, the NIH Single Sign-on service will accept credentials as part of an “Open For Testing” phase, with full production expected within the next several weeks. At that time, OpenID credentials will join those currently in use from InCommon, the higher education identity management federation, as external credentials trusted by NIH.”[1]

User Interface

UI는 기존의 OpenID와 유사할 것 같습니다. RPX처럼 웹사이트가 지원하는 여러 ID 프로바이더의 로고가 출력되고, 이를 클릭한 뒤에 해당 사이트의 id/pw를 입력하는 것이죠. 관련 기사를 통틀어서 언급은 안되었지만, InfoCard는 조금 다른 방식으로 제공됩니다. InfoCard 구동 버튼을 누르거나, 혹은 html tag를 이용하여 자동으로 identity selector를 구동시키겠죠.

Most likely users will be presented with an array of logos to click on,launching a new window to communicate just with the identity provider. Once a user proves who they are to the identity provider, that companywill then vouch for the user to the government site.[2]

보안/프라이버시 문제

가장 많이 걱정되는 건 보안 문제입니다. 외부 기관, 그것도 일반 상용사이트의 안전성을 어떻게 신뢰할 수 있을까요? 더구나 상용 사이트의 인증 정보를 정부 기관에 사용하는 건 더 큰 신뢰를 요구하는 일입니다. 만일 사이트가 해킹당하거나 악의적인 내부자의 소행으로 계정정보가 노출된다면 그 피해는 상상을 초월할 것입니다.

OpenID/InfoCard 측에서도 보안과 프라이버시를 가장 중요한 항목으로 두고 이번 작업을 진행한다고 합니다. 보증 레벨을 1로 설정하고, 인증 토큰을 제외한 개인정보는 이번 단계에서는 주고 받지 않습니다. 향후에 안전성이 보장되면, 개인 정보를 주고 받게 될 것입니다.

OpenID board member and Facebook employee David Recordon explainedto ustonight that participating government sites are not allowed to passpersonal information about users from one site to another, even thoughwe'll be logging in with the same accounts. Instead, when weauthenticate ourselves with Google, Yahoo, Verisign or whoeverourIdentity Provider of choice is, that website will pass adifferent,unique URL to the government site we're logging in to.[2]

Don't worry, your doctor will not store your medical records underyourTwitter handle yet. The pilot program is stepping first into aphase of public discussion, it is participated in only by IdentityProviders that have undergone extensive scrutiny (Twitter's notincluded) and participants say that individual privacy is being treatedwith the utmost regard. If they can pull it off, these organizationscould makeusing the .gov web easier and more effective than it's everbeen before.[2]

또한 정부 기관의 보안인력은 거의 없기 때문에, 차라리 ID 관리를 위탁하는 이 방식이 좀 더 안전할 지도 모릅니다. 물론 인력을 확충하는게 최선이지만, 그게 아니라면 제대로 진행되는지 감시하는 역할에 충실해야겠죠.

ID 프로바이더의 역할이 더욱 중요해지고 공격 대상이 될 것입니다. 왜냐하면 ID 프로바이더에는 해커들이 좋아할 정보가 모두 들어가있고, 이를 이용하여 다른 사이트를 쉽게 공격할 수 있기 때문입니다. 또한 ID 프로바이더는 사용자가 해당 계정으로 어느 웹사이트를 언제/어떻게/왜 방문했는지의 정보를 기록하기 때문에 사용자의 행동 패턴이 그대로 노출될 수 있습니다. 이 또한 내부자에게 악용될 소지가 큽니다. 따라서 ID 프로바이더는 해당 정보의 관리에도 내/외부 모두 철저해야 할 것입니다.

The identity providers will keep track of all the unique URLs used toidentify us to different government sites and we'll just need toremember one log-in. That means you'll need to trust your identityprovider to keep your private information separated between agencies-it won't be up to the government sites themselves to do so.[2]

그래도 여전히 걱정되는 부분이 있습니다.[5] 이 부분은 별도로 정리해서 포스팅하겠습니다.

마무리

우선, OpenID와 InfoCard가 드디어 주류에 편입하게 되어서 기쁩니다. 특히 InfoCard는 제대로 된 대규모 적용 사례가 없었는데, 첫 사례가 대박이네요. OpenID 또한 더욱 급속도로 계속 확산될 전망입니다.

그리고 이번 사례로 정부 웹사이트가 단순히 브로셔 수준에서 벗어나 사용자와 적극적인 상호작용을 할 수 있다는 점을 보여주게 되었습니다. 업계 주도로 이루어지는 '데이터 이동성' 작업에도 정부가 주도할 수 있는 계기가 되었구요. 팀 오라일리가 Gov 2.0이 새로운 플랫폼이 되라고 주장했는데, 신뢰 프레임워크를 확보함으로써 아주 많은 것을 이루었습니다.[4] 팀 오라일리가 언급한 내용은 차니 님께서 번역하셨으니 참고 바랍니다.[8]

레퍼런스

[1] http://www.techcrunch.com/2009/09/09/us-government-to-embrace-openid-courtesy-of-google-yahoo-paypal-et-al/
[2] http://www.readwriteweb.com/archives/openid_going_mainstream_us_gov_announces_pilot_pro.php
[3] http://www.identitywoman.net/open-identity-for-open-government-explained
[4] http://www.techcrunch.com/2009/09/04/gov-20-its-all-about-the-platform/
[5] http://radar.oreilly.com/2009/08/privacy-and-open-government-co.html
[6] http://netmesh.info/jernst/big_picture/openid-and-government
[7] http://ayo79.egloos.com/3995095
[8] http://blog.creation.net/393

by S_H_Kim | 2009/09/10 23:58 | 트랙백 | 덧글(2)

트랙백 주소 : http://ayo79.egloos.com/tb/4231595
☞ 내 이글루에 이 글과 관련된 글 쓰기 (트랙백 보내기) [도움말]
Commented by SK_Jang at 2009/09/11 23:14
누구랑 비교되네요...
Commented by S_H_Kim at 2009/09/18 09:10
그러게

:         :

:

비공개 덧글

◀ 이전 페이지다음 페이지 ▶