Korean Identity Management(KIM)

Identity Metasystem에 대한 OASIS 표준이 정식으로 승인되었습니다.[2] OASIS에 IMI(Identity Metasystem Interoperability) TC[1]가 생긴 일자가 2008년 8월인데, 1년도 안지난 2009년 7월 1일자로 1.0 버전 문서가 통과되었습니다.[4]

Identity Metasystem은 Microsoft의 Kim Cameron이 제안한 개념으로, Geneva 프레임워크와 CardSpace의 근간을 이룹니다. Microsoft 뿐만 아니라 OSIS(Open Source Identity System) 등의 ID 관리 기술 단체, Higgins, Bandit 등의 ID 관리 기술이 이 스펙을 따르고 있습니다.[3]

이번 표준 승인으로 인해, 실제 도입 및 활용에 탄력을 받을 것 같습니다. ID 관리 기술도 은근히 다양한 표준들이 많기 때문에, 상호호환성을 위한 표준의 도입이 필요합니다. 저도 올해 하반기에는 이쪽 작업을 할 예정이라 기대하고 있습니다. :)

레퍼런스
[1] http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=imi
[2] http://self-issued.info/?p=163
[3] http://self-issued.info/?p=80
[4] http://lists.oasis-open.org/archives/imi/200907/msg00000.html

• Sense Making for Internet Identity
• Making Sense of Digital Identity

Gabe Wachob은 OpenID, OAuth, XRI/i-Names에 경험있는 사람인데, 웹 세미나를 통해 인터넷 스케일의 ID 관리 기술을 소개한다고 합니다. 무료는 아니고 4백달러의 Sensemaking Serise라는 세미나 시리즈를 등록해야 합니다.

• Public Review of Identity Metasystem Interoperability Version 1.0
• Information Card Specification Public Review

OASIS의 IMI(Identity Metasystem Interoperability)에서 작성한 1.0 버전 문서가 공개되었습니다. 이 문서는 CardSpace와의 상호호환성을 제공하기 위한 스펙을 제공합니다. OSIS의 상호운영성 시험 문서(Identity Selector Interoperability Profile V1.5 (ISIP 1.5))와 거의 동일합니다. PDF와 HTML 버전이 제공됩니다. 제가 꼭 읽어봐야 하는 문서입니다.

• German Handelsblatt on OpenID. Fail!

독일에서도 OpenID 소개 기사가 났는데, 완전히 소설을 썻군요. 덕분에 The password anti-pattern 라는 글을 발견해서, 나중에 읽기로 했습니다.

title; sstc-saml-loa-authncontext-profile-draft-01.pdf Details
link; http://www.oasis-open.org/committees/document.php?document_id=28706&wg_abbrev=security


2008년 7월 1일, OASIS에서 새로운 SAML 관련 드래프트 문서 를 공개했습니다. LOA(Level-Of-Assurance) AuthnContext 프로파일로, SAML을 도입한 환경에서 사용자를 인증하는 방법에 따라 보증(assurance) 수준을 결정합니다.

SAML은 매우 다양한 인증 수준(Authentication Context)를 지원하는데, 이번 스펙에서는 기존의 full AC를 축소하여 간단하게 인증 방법의 LOA를 표현할 수 있도록 합니다. 보증 수준은 NIST 800-63를 따랐습니다. LOA는 AuthnRequest 메시지에 표현되고 다음과 같은 스키마를 가집니다.

- AuthnContextDeclarationBaseType
○ Identification
○ TechnicalProtection
○ OperationProtection
○ AuthnMethod
○ GoverningAgreements

SAML은 왜 기존의 AC를 축소하는 프로파일을 제시했을까요? NIST의 보증 수준을 따르면 SAML의 e-Authentication 솔루션에 적용하기 쉬워지기 때문이라고 추측할 수 있습니다. 드래프트는 50%정도 완성된 상태고 지금은 스키마 정도가 표현된 상태입니다. 때문에 스펙의 내용보다는, SAML의 시장 확대 전략을 오히려 눈여겨 보아야 할 것 같습니다.

RSA 2008에서 OSIS 뿐만 아니라 다른 표준 단체의 상호운용성 시험이 이루어졌습니다. 바로 OASIS의 XACML 표준[1] 입니다. XACML은 접근 제어와 관련된 기능/프로토콜을 XML 형식으로 표현한 것입니다.

XACML is a language focused solely on Access Control. All it does is Access Control and nothing else [2] 

2번째로 열린 이번 상호운용성 시험에는 IBM, Sun, 시스코, Redhat 등의 기업이 참가했습니다. 특이한 점은 미국의 국가보훈처(Department of Veteran Affairs)가 참여했다는 사실입니다.

BEA, IBM, Sun, Axiomatics, Cisco, and the US Department of Veteran Affairs, [correction: and Redhat/JBoss too!].[2]

시험 내용을 살펴보면 의아했던 점이 풀립니다. 국가보훈처는 환자들의 프라이버시를 보호하는 의료 시나리오를 시연했거든요. 환자의 의료 정보에는 HL7 신뢰 등급[3] 이 할당되어 있다고 합니다. 좀 더 자료를 찾아보니, HL7은 의료정보를 교환하기 위한 표준규약이라고 합니다.

HL7은 다양한 의료정보시스템간 정보의 교환을 위하여 미국국립표준연구소(ANSI)가 인증한 의료정보 교환 표준규약으로서 13개 회원국(호주,캐나다,핀란드,독일,인도,네덜란드,뉴질랜드,남아프리카 10개국 연합,영국,일본,중국,대만,한국)에 지부를 두고있다. 
HL7을 이용하면, 병원간에 입원(Admissions), 퇴원(Discharges) 및 전원(Transfer) 등의 ADT 메시지를 손쉽게 교환할 수 있다. 그러나, 의사처방(Order Entry)이나 간호기록(Nursing Records), 검사결과(Results) 등과 같이 다양한 의학용어의 정의나 각 명세 항목에 대한 표준화가 80% 수준에 머물고 있으며, 이를 한글화한 정확한 표현이 없는 것이 큰 문제점으로 지적할 수 있겠다. [4] 

의료 시나리오 시연은 다음 3가지로 이루어졌습니다.
1. 싫어하는 의사에게 의료 기록을 제공하지 않도록 설정
2. 환자가 사전에 의료 기록을 공유하도록 설정하지 않은 경우, 응급 상황에서 'emergency override'를 발동하여 의료 기록에 접근할 수 있음
3. 환자가 특정 대상에게는 자신의 의료 기록 일부를 보이지 않도록 설정함

특이할만한 점은, 환자가 자신의 의료 정보에 대한 접근 권한을 직접 설정할 수 있다는 것입니다. 특정 정보를 특정 의사에게만 공개/비공개 할 수도 있고, 비상시(가령 환자가 사고를 당한 경우)에는 어떻게 정보를 공개할지 설정할 수도 있습니다.

Actually, demo app doesn't begin to do it justice - the application showed how a patient could set policy to control access to medical records, down through controls on individual physicians seeing your records to physician + resource (e.g. Dr Bob isn't allowed to see my radiography results) and more. There was even an emergency 'break glass' override included to allow a physician (duly authenticated, of course) to get access to any of your notes via a specific affirmation that an emergency is in progress.[5]

Liberty Alliance의 IGF(Identtiy Governance Framework)는 XACML을 이용한 AAPML(Attribute Authority Policy Markup Language)라는 프로토콜을 사용하여 ID 정보를 관리하는데, 이번 XACML 시연이 AAPML의 기본 조건을 만족한다고 합니다.

For me, the really cool thing was when Rich showed me how a patient could block access to a specific doctor, or conversely, a doctor in an emergency room situation could be granted access to patient records. This particular scenario has been one of the primary examples put forward by many government organizations I have spoken with. It was also talked widely by participants of the business requirements review of IGF at Project Liberty

Now, with web policy demonstrating these requirements in an application context at an open interop, it makes the Rich's initial recommendation of basing Attribute Authority Policy Markup Language (AAPML) as a profile of XACML to be right on target! [6]

접근 제어 기술은 모든 시스템에 적용될 수 있습니다. 상호운용성 시험을 통해 다양한 시나리오를 보여주었기 때문에 조만간 여러 시스템의 XACML 적용 사례를 전해들을 수 있겠네요. Liberty Alliance의 IGF 또한 주목을 받을 것입니다.

ps. 요즘 ID 관리 분야에서 의료 정보 공유에 대한 포스팅이 자주 나오고 있습니다. 시간이 생기면 모두 정리해서 올리겠습니다.

레퍼런스
[1] http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml  
[2] http://anil-identity.blogspot.com/2008/04/summary-review-oasis-xacml.html 
[3] http://schadow.us/~gunther/oldhtml/tables.html  
[4] http://entry.jongkok4.net/HL7Health-Level-7-%EC%9D%98%EB%A3%8C%EC%A0%95%EB%B3%B4-%EA%B5%90%ED%99%98-%ED%91%9C%EC%A4%80%EA%B7%9C%EC%95%BD
[5] http://superpat blogs.sun.com/entry/rsa_conference_interoperability_roundup_osis
[6] http://independentidentity.blogspot.com/2008/04/oasis-xacml-interop-at-rsa.html

title; OASIS Public Review of Five (old) SAML Specification
link; http://blog.sweetxml.org/2007/12/oasis-public-review-of-five-old-saml.html

2007년 12월 10일에 OASIS SAML TC에서 5개 스펙에 대한 공개 리뷰를 시작한다고 공지하였습니다. 기술적으로 크게 변화한 부분은 없습니다. Post 바인딩에서 openID와 유사한 스타일로 메시지를 보내는 방법이나, IdP를 발견하는 방법을 스펙으로 명확화 시킨 정도입니다. 포스팅을 한 Brian Nielsen씨도 이전 드래프트 버전과 비교해 볼 때 기술적으로는 차이가 없다고 이야기합니다. 관심있으신 분은 참고 바랍니다.

SAMLv2.0 HTTP POST "SimpleSign" Binding [HTML]

This specification defines a SAML HTTP protocol binding, specifically using the HTTP POST method, and not using XML Digital Signature for SAML message data origination authentication. Rather, a “sign the BLOB” technique is employed wherein a conveyed SAML message is treated as a simple octet string if it is signed. Conveyed SAML assertions may be individually signed using XMLdsig. Security is optional in this binding.

Identity Provider Discovery Service Protocol and Profile [HTML]

Defines a generic browser-based protocol by which a centralized discovery service implemented independently of a given service provider can provide a requesting service provider with the unique identifier of an identity provider that can authenticate a principal.

SAML V2.0 Attribute Sharing Profile for X.509 Authentication-Based Systems [HTML]

This deployment profile specifies the use of SAML V2.0 attribute queries and assertions to support distributed authorization in support of X.509-based authentication.

SAML V2.0 Deployment Profiles for X.509 Subjects [HTML]

This related set of SAML V2.0 deployment profiles specifies how a principal who has been issued an X.509 identity certificate is represented as a SAML Subject, how an assertion regarding such a principal is produced and consumed, and finally how two entities exchange attributes about such a principal.

SAML V2.0 LDAP/X.500 Attribute Profile [HTML]

This profile is a replacement for the X.500/LDAP Attribute Profile found in the original SAML 2.0 Profiles specification [SAML2Prof]. The original profile results in well-formed but schema-invalid XML and cannot be corrected without a normative change.