태그 : reputation

OECD의 'ID 관리 및 평판' 성명서

2008년 6월 17-18일 양일에 걸쳐 OCED 장관급 회의가 서울에서 개최됩니다[1]. OECD ICCP 산하 작업반 주요 업무 내용은 아래와 같은데, 그 중에서 주목할 만한 부분은 '정보보호 작업반'입니다[2]. 프라이버시, 보안, 신뢰.. 이 블로그의 단골 주제입니다. 

  • 통신인프라 서비스정책 작업반(WPCISP) - 인프라 구축, 접속, 요금, 경쟁, 자유화, 규제 개혁 등 통신정책 전반에 대한 정책 개발 및 권고안 작성
  • 정보경제 작업반(WPIE) - 브로드밴드 모니터링, 디지털 콘텐트 정책, 공공정보 활성화, 전자상거래 등 디지털 경제 전반에 대한 분석 및 정책 개발
  • 정보보호 작업반(WPISP) - 핵심적 정보 인프라 보호, 개인정보보호 및 보안 등 온라인상의 신뢰 구축
  • 정보사회지표 작업반(WPIIS) - 사회의 정보화 수준을 비교 및 분석하기 위한 지표에 관한 자료 개발 및 수집
OECD 국가들은 디지털 세상에서 신뢰가 매우 중요한 문제라는 인식을 함께 하고 있습니다. 그리고 신뢰를 확보하기 위한 방안으로 ID 관리기술(Identity Management)와 평판(Reputation)을 들었습니다.


“디지털 세상의 창조(Creativity), 신뢰(Confidence), 융합(Convergence)을 위한 정책 마련”이라는 3Cs 슬로건 아래 인터넷 시대에 필요한 국제사회의 규범을 발견하고, 실천을 위한 서울선언문(Seoul Declaration)과 정책권고안(Policy Framework) 등의 산출물을 내놓을 예정이다

'Fueling Creativity, Ensuring Consumer and Privacy Protection, Building Confidence and Benefiting from Convergence, Recommendations and Contributions to the OECD' 라는 긴 제목의 보고서를 살펴보면 3.2 절과 3.4 절이 ID 관리와 연관있는 내용을 담고있습니다. [3][4]

3.2 프라이버시와 데이터 보호

모든 OECD 국가가 프라이버시 및 데이터 보호와 관련된 법안은 마련되어 있지만, 실제로 이를 적용한 단계는 낮고 보안 매커니즘 또한 약하다고 언급하였습니다. 또한 정부나 민간 영역에서 수집된 개인정보가 당사자의 동의나 인지 없이 무분별하게 전파되고 사용된다고 우려하였습니다. 그래서 다음 항목을 OECD 국가가 만족하기를 권고했습니다.

  • adopt comprehensive data protection laws covering both public and private sector use of citizen data, and covering all private and public sector organizations
  • ensure effective consumer control of personal data, through collection of personal data (including internet usage information and IP addresses) only when strictly necessary and in an open and transparent way, and wherever practicable and lawful, through free, informed and positive consent (opt-in)
3.4 ID 관리와 평판

최소한의 정보노출(Minimal Disclosure), 비연결성, 비추적성, 사용자 중심의 ID 관리, 정부가 발행한 ID 토큰 활용, 평판 및 평가 시스템의 제약성을 언급하였습니다. 그리고 다음 항목을 OECD 국가가 만족하기를 권고했습니다.

  • encourage the development and deployment of IDM systems that fully adhere to the principles of user control and user-centricity.
  • encourage research and knowledge transfer about these identity solutions.
  • enact legislation that offers reasonable, effective and inexpensive means of redress for individuals whose reputation is endangered by rating and reputation systems.
  • enact strict limits on private sector use of government identification numbers.
행사 바로 전날인 6월 16일에는 관련 업계의 전문가들이 모여 토론하는 행사가 예정되어 있습니다. 이미 등록절차가 마감되었기 때문에 아쉽지만, 다양한 매체에서 관련 정보를 얻으리라 기대합니다.



레퍼런스
[1] http://www.oecd.org/site/0,3407,en_21571361_38415463_1_1_1_1_1,00.html
[2] http://www.kisdi.re.kr/imagedata/pdf/10/1020080406.pdf
[3] http://thepublicvoice.org/events/seoul08/cs-paper.pdf
[4] http://bendrath.blogspot.com/2008/03/statement-on-identity-management-and.html

by S_H_Kim | 2008/06/12 23:53 | CardSpace | 트랙백

O'Reilly Rador 의 평판 이야기

평판은 현실 세계에서 일상적으로 쓰이고 있죠. 친구나 조직, 사회같이 어떤 그룹에 속해 있으면 자연스럽게 평판이 만들어집니다. 하지만 온라인에서는 이를 적용하기 어려웠는데, 그 이유는 온라인 사용자들이 익명(anonymity)을 선호하기 때문입니다. 그 때문에 타인의 신분을 도용하기도 하고, 현실과는 다른 인격으로 - 주로 안좋은 방향으로 - 온라인 생활을 즐기는 경우가 자주 있습니다.

최근 Web 2.0 시대를 맞아 사용자의 참여와 집단 지성이 주목받으면서, 사용자에 대한 신원 및 평판을 관리하기 위한 움직임이 더욱 활발해지고 있습니다. 이번 달 초에 참석한 IIW(Internet Identity Workshop) 2007에서도 평판 관리에 대한 논의가 많이 이루어졌습니다. 사용자 뿐만 아니라 사이트들의 평판을 관리하는 시스템이라든지, 한 사이트에 축적된 평판 정보를 다른 사이트로 이동하는 방법 등이 현재 논의되고 있는 주제입니다.

또한 며칠전부터 O'Reilly Rador에서 평판(Reputation)과 관련된 포스트가 시리즈로 공개되었습니다.  예일대학교의 Information Society Project 가 주관한 Symposium on Reputation Economies in Cyberspace 에서 논의된 이야기들을 정리한 자료들입니다.


간단히 읽어봐서 깊은 의미를 파악하기 어려웠지만, 포스트에서는 범용적인 평판은 어렵다는 느낌입니다. 그 이유는 이 글의 뒷부분에서 언급됩니다.

The goal of a universal reputation may be unachievable in both theory and practice. More to the point, it may be undesirable.

Rapleaf
의 Auren Hoffman는 평판의 3가지 목적을 언급하였습니다. 바로 접근성, 변경성, 이동성입니다.

1. 접근성

'접근성'은 본인이 자신의 평판을 알 수 있으며, 평판의 생성 절차에 대해 잘 아는 것을 의미합니다. 사용자 몰래 평판 정보를 서로 공유해서는 안된다는 것이죠.

You should know what your reputation is and what information it's based on. This calls for transparency on the part of the site maintaining the information. "Nobody should know more about you than you know about yourself."

하지만 현재의 온라인 사이트들은 평판에 대해 많은 것을 숨기고 있습니다. 우선은 조작 가능성에대한 우려 때문이겠죠. 현재 가장 거대하고 효과적인 평판 시스템은 구글의 페이지랭크라고 볼 수 있을텐데, 이 알고리즘 또한 초기에 노출되어 조작되었었죠. 지금은 여러 가지 장치를 추가해서 문제를 많이 해결했지만, 그 내용은 잘 알려져 있지 않습니다. 구글 입장에서도 알려줄 필요가 없죠. 다수가 납득하는 평가가 이루어진다면 굳이 평판 시스템을 투명하게 해야 할 필요성이 있을까요?

Can we ever design a transparent system that resists fraud and gaming? Ashish Goel, who does Operations Research at Stanford University, says no: "It's an intractable problem to detect collusion that inflates reputation." Yet he still supports transparent reputation systems

2. 변경성

'변경성'은 본인의 평판 정보에서 잘못된 것은 바로잡고, 공개를 원치않는 정보는 숨길 수 있는 기능을 말합니다. 시간이 지남에 따라 평판은 변화되기 마련이죠. 어떤 경우는 오해로 인해 평판이 나빠지기도 하고, 숨겼으면 하는 사생활이 드러나서 피해를 입기도 합니다. 익명을 악용한 비방, 해킹이나 환경 설정 실수로 인한 사생활 노출이 일어납니다. 현실과 마찬가지죠. 

You should be able to correct wrong information and remove personal information you don't want others to see.

그런데 잘못된 정보인지 아닌지는 어떻게 판단할 수 있을까요? 그리고 잘못된 정보로 신고된 항목을 우선 차단시킬 건가요? 아니면 잘못이 확인된 이후에 차단할 것인가요. 어떤 방법을 선택하느냐에 따라 많은 것들이 바뀌어집니다. 최선의 항목은 없죠.

3. 이동성

예전에는 평판을 이용하여 나쁜 사람을 차단하는 용도로 사용하면 좋을 것 같았는데, '나쁜 사람들이 자신에게 안좋은 평판을 왜 만들고 있을까..' 라는 생각이 들더군요. 대신, 이미 좋은 평판을 만든 사람이 다른 사이트로 이동한 경우 처음부터 시작하기 보다는 이전 평판을 사용할 수 있다면 상당히 편할 것 입니다.

You should be able to reuse the reputation stored by one service or social network on another.

서두에서 언급했듯이 전문가들은 어렵다는 의견이 많습니다. 평판은 특정 도메인이나 상황에 의존적입니다. 기술 사이트에서 전문가로 좋은 평판을 받은 사람이, 정치 사이트에서는 초보 취급을 받을 수 있습니다.

하지만 이 부분에서 저는 조금 다른 생각을 가지고 있습니다. 기본적인 인성이나 신뢰도 같은 항목은 일반적으로 사용할 수 있지 않을까요? 모두가 납득할 수 있는 방안이나 수치를 도출하는 것 또한 큰 이슈이긴 합니다만.. 그리고 ebay의 평판이 gmarket에서 쓰이는 것처럼, 같은 도메인에서의 이동성을 제공해주는 것만으로도 일단은 충분히 유용할 것입니다.
 
Michel Bauwens of the Foundation for P2P Alternatives saw little value to generalized, global reputation systems. If we collect ratings indiscriminately from everybody about everything, we come out with a lowest common denominator, taking no account of interesting diversity and personal taste

제 블로그에서도 자주 언급하고 있듯이 open social이나 open graph 같은 기술적인 접근이 논의되고 있습니다. 조만간에 유용한 평판 시스템이 나올 것으로 예상합니다.

A discussion of data sharing across social networks revealed that participants think attitudes are moving toward being more open, but that we haven't seen any change yet.

by S_H_Kim | 2007/12/17 13:33 | 기타 ID 동향 | 트랙백

IIW 2007b : Defraged Identity

Dick Hardt가 Defrag에서 발표했었던 'Defraged Identity'를 IIW에서도 발표하였습니다. 


왜 신뢰(Trust)가 중요할까요? 우리는 일상 생활의 대부분을 신뢰하면서 삽니다. 음식을 먹을 때는 요리사가 독을 넣지 않았다는 걸 신뢰하고, 모르는 사람과 대화를 할 때에도 사기꾼이 아니라고 믿으며, 연애를 할 때에도 마찬가지입니다. 운전을 할 때에도 그렇죠. 내 앞에, 내 옆에 있는 운전기사가 제대로 운전하리라 믿습니다. 신뢰가 없으면 아무 것도 할 수 없습니다.

신뢰는 과거의 경험으로 판단됩니다. 흰 가운을 보면 의사라고 생각하고, 빨간 수영복을 입은 아가씨는 구조요원이라고 생각합니다. 유니폼은 그 분야의 전문가를 의미하죠. 자격증을 보면서 그 사람이 유능하다고 판단하고, 명품 옷을 입은 사람을 보면 돈이 많다고 생각합니다.

신뢰는 거래(Transaction), 교류(Relation)의 빈도에 정비례합니다. 경험이나 과거 행동으로부터, 우리는 미래의 행동을 예측할 수 있습니다. 이것이 바로 신뢰, 신용(Credit)가 됩니다.

그러면 온라인에서 개인의 과거를 볼 수 있는 방법이 있나요? Dick Hardt는 Facebook이나 Ebay같은 서비스를 제시했습니다. 하지만 이들 사이트에서는 독자적으로 나의 Identity를 관리하죠. Identity가 Defrag되어 있습니다.

결론으로, 공통 식별자(Common Identifier)를 언급했습니다. OpenID나 XRI가 대안 기술이 될 수 있겠죠.

Q&A

  • bad guy가 자신의 past behaviour를 숨기려고 할 경우는?
    - 숨기는 경우는 어쩔 수 없음. 대신 좋은 행동을 드러내는 경우, advantage를 제공하라.
  • 어떤 사용자는 프라이버시를 우려해서 Identity를 통합하지 않을 것이다.
    - 사용자가 직접 연결하지 않으면 포함되지 않음
한 참석자가 평판관리(Reputation)은 너바나(Nirvana)라고 하더군요. 지금은 불가능한 것처럼 보이지만, 어쩔 수 없이 평판 관리가 필요합니다. Web 2.0에서 사용자의 참여가 활성화될 수록 말입니다. 단순히 무료 서비스를 이용하는 단계를 넘어서서, 정보를 생성하고 공유하는 주체로서 사용자에게는 평판 관리가 필요합니다. 신뢰는 바로 평판(Reputation)입니다. ID 관리에서 신뢰가 중요한 이유는 그 식별자(Identifier)가 정말 내 것인지, 내가 분명 그 식별자의 소유자(owner)인지를 증명할 수 있어야 하기 때문이죠.

또한 Identity를 묶는 것도 신뢰가 기반이 되어야 합니다. 이래저래 가장 중요한 이슈는 신뢰입니다.

by S_H_Kim | 2007/12/04 08:15 | 기타 ID 동향 | 트랙백

Gartner IAM 서밋



세계적인 시장 분석 기관인 Gartner는 2007년 11월 14일에서 16일까지 IAM 서밋을 미국 LA에서 개최하였습니다. Gartner는 매년 여름에 httpHype Cycle for Identity and Access Management Technologies 보고서를 배포하는 등, ID 관리 분야에 많은 관심을 기울이고 있습니다.

아젠다가 공개되어 있지만, 충분한 정보를 얻을 수 없습니다. 다행히 라이브 블로깅을 했던 몇몇 블로거들의 글을 읽으면서, 어떤 이슈가 논의되었는지 짐작할 수 있었습니다.

1. Reputation

He spoke about "reputation" but his biggest takeaway was "Reputation is useless in an anonymous world." I guess whistle-blowers aren't allowed in his reputation universe.
- http://vquill.com/2007/11/gartner-iam-conference.html

인터넷이 익명(anonymous)으로 남는다면 평판 관리(reputation)은 이루어질 수 없습니다. 신뢰할 수 있을만한 식별체계가 마련되어야만 평판 관리나 개인화 같은 서비스를 제공할 수 있습니다.

2. RBAC

"I've implemented RBAC...I'm done" - Neil says the root cause of this problem isn't too many roles, it's a lack of governance and automation (creation and destruction). Role management needs to be a part of provisioning solutions.
- http://jacksonshaw.blogspot.com/2007/11/everything-you-know-about-identity.html

RBAC의 문제라기 보다는,  정책(Rule) 설정의 번거로움이 문제입니다. 간단하고 자동화된 방식으로 정책을 관리할 수 있다면 상당수의 불편함이 해결됩니다. SPML(Service Provisioning Markup Language)를 통해 프로세스 별로 다루어야 할 정책과 동작이 정의된다면, 기업은 매우 간단하게 설정, 관리에 들어가는 비용을 절감할 수 있으며 관리자의 수작업으로 인한 오류를 피할 수 있습니다.

3. 상호운용성

Neil believes we are nearing a revolutionary change in identity management.
"Too many IAM vendors, too much complexity, too many products and you are paying too much." -- here here!!!
- http://jacksonshaw.blogspot.com/2007/11/everything-you-know-about-identity.html

IAM의 아이러니라고 할 수 있습니다. 도메인마다 관리하는 ID를 효과적으로 관리하기 위해서 IAM 솔루션을 도입했지만, 이들 IAM 솔루션이 사용하는 기술이 제각각이기 때문에 여전히 ID를 효과적으로 관리하지 못하게 됩니다. 2005년 SAML 표준이 발표되면서, SAML이 모든 IAM 솔루션의 표준이 될 줄 알았는데, 여전히 OpenID나 WS-* 표준이 시장을 양분하고 있습니다. OSIS(Open Source Identity System)이 InfoCard를 표준 스펙으로 정하고 사용자 중심의 ID 관리 솔루션을 위한 상호운용성 시험을 개최하는 이유는, 바로 IAM 솔루션 간의 연동을 제공하기 위해서입니다.

또한 같은 표준을 사용하더라도 구현상의 문제로 인해, 같은 표준을 적용한 다른 솔루션과 연동하지 못하는 경우도 있습니다. 이 때문에 상호운용성이 요구됩니다. SAML이나 Liberty 표준인 경우는 매년 상호운용성 시험을 수행합니다.

4. SoA로의 ID 관리

Neil focused on the vision of the service-oriented enterprise and how abstraction and de-coupling of identity services (provisioning, authorization, "security") is the way that we introduce fluidity to the enterprise.
- http://jacksonshaw.blogspot.com/2007/11/identity-as-application-infrastructure.html

오라클에서 SoA 전략을 발표 한 것과 같은 맥락입니다. 빠르게 변화하고 있는 IT 환경에서, 핵심 분야에 집중하고 다른 것들은 아웃소싱하는 전략이 가장 유효합니다.

레퍼런스
[1] http://h20325.www2.hp.com/blogs/reed/archive/2007/11/06/5013.html
[2] http://vquill.com/2007/11/gartner-iam-conference.html
[3] http://jacksonshaw.blogspot.com/

by S_H_Kim | 2007/11/26 11:06 | 기타 ID 동향 | 트랙백

소셜 네트워크 간의 정보 공유: Data Shring Summit

지난주, 9월 7-8일에 캘리포니아 리치몬드에서 Data Sharing Summit 이 개최되었습니다.

서밋의 목적은 소셜 네트워킹 서비스 간의 정보 공유, 상호운용성(interoperability)을 제공하기 위한 방안을 고민하기 위해서 입니다.[1]

The goal of the Data Sharing Summit is to get a number of the key players, developers and platforms in the social networking, blogging and associated 'social software' platforms togeher in one room and hash out a bunch of key issues:

- interop testing between disparate systems

- standardized schemas, protocols and APIs

- mapping to proprietary platforms

- on-going efforts, including worldwide meetings


Drummond Reed는 서밋에서 이슈가 될 만한 내용들을 정리했습니다. [3]

  • 보안: 스팸/피싱, 접근제어, 프라이버시
  • 스키마: 다양한 타입 포용, 매핑, 친구 관계를 표현하기 위한 방법
  • 라이센스
  • Regulation, 정치적 문제
  • Adoption, 국제화, 운영 방법
  • 프로토콜
  • 여러 id 관리
  • 검색, addressing
해결 방안으로 몇가지가 제안되었습니다.

  • Microformat + Simple Sharing Extension
  • XDI
  • openAPI: 업체에서 제공하는 API, 또는 직접 만든 API
  • 디렉토리 서비스(스키마 매핑)
  • Higgins
  • OpenID Attribute Service


그리고 몇 가지 서비스가 데모를 보여주었습니다.

소셜 네트워크 기업이 사용자 정보를 외부 업체에게 제공하면 어떤 이점이 있을까요? Facebook은 openAPI를 제공하여 사용자에게 더 나은 서비스를 제공해 줄 매쉬업을 개발하고 있습니다. 단순히 내 정보가 빠져나가지 않게 팔짱을 끼고 있기 보다는, 더 활성화시키려는 생각을 가지고 있나 봅니다. 하지만 저는 다른 소셜 네트워크의 진입장벽이 낮아진다는 점에서 비관적인 입장입니다.
이건 기술적 문제보다는 정책적인 문제가 큽니다.

The actual “move things around” protocols and schemas should be easy; it’s making sure the people are comfortable with it that’s the problem. As I’ve often said, the technology of identity management is easy; it’s the people (the politics, the business logic, etc.) that’s the hard part. [2]


개인 입장에서는 명백히 이익입니다. 다른 소셜 네트워크 서비스로 쉽게 이동할 수 있죠. 기본 프로파일 정보 뿐만 아니라 평판(reputation)까지 관리될 수 있다면 더욱 좋구요. 요즘도 블로깅을 열심히 하고 커뮤니티를 운영하는 사람이라면, 인터넷에서 좋은 평판을 쌓고 있는 것입니다. 소셜 네트워크 분야에서도 미리 평판을 쌓아두면 좋은 일이 있겠죠.. 한 번 세컨드 라이프를 해본 적 있는데, 평판이 있다면 좀 더 쉽게 적응하겠다는 생각이 들었습니다. 저는 평판이 없어서, 세컨드 라이프를 하지 않죠^^;

Reputation as a digital identity attribute will be built on social networks. If you don’t get involved now, you may be too late to shape its use later on. The Data Sharing Summit, next month in Richmond, Calif., might be where you should become involved. [2]


ps. 혹시 Data Sharing Summit에 참가하신 cyworld 관계자 분은 덧글 좀 달아주세요~

[1] http://blog.broadbandmechanics.com/2007/09/live-blogging-from-the-datasharingsummit
[2] http://www.networkworld.com/newsletters/dir/2007/0806id2.html
[3] http://www.equalsdrummond.name/?p=108

by S_H_Kim | 2007/09/11 18:21 | 기타 ID 동향 | 트랙백 | 핑백(2) | 덧글(5)

◀ 이전 페이지다음 페이지 ▶