Identidad basada en reclamaciones

La identidad basada en reclamaciones es una forma común para que las aplicaciones adquieran la información de identidad que necesitan sobre los usuarios dentro de su organización, en otras organizaciones y en Internet. ^{[ 1 ]} También proporciona un enfoque coherente para las aplicaciones que se ejecutan localmente o en la nube . La identidad basada en reclamaciones abstrae los elementos individuales de identidad y control de acceso en dos partes: una noción de reclamaciones y el concepto de emisor o autoridad. ^{[ 2 ]}

Una afirmación es una declaración que un sujeto, como una persona u organización, hace sobre sí mismo o sobre otro sujeto. Por ejemplo, la declaración puede referirse a un nombre, grupo, preferencia de compra, etnia , privilegio, asociación o capacidad. El sujeto que realiza la afirmación o afirmaciones es el proveedor. Las afirmaciones se empaquetan en uno o más tokens que luego son emitidos por un emisor (proveedor), comúnmente conocido como servicio de tokens de seguridad (STS). ^{[ 2 ]}

El término «identidad basada en reclamaciones» puede resultar confuso al principio, ya que parece un nombre inapropiado . Al vincular el concepto de reclamaciones con el de identidad, da la impresión de que se combina la autenticación (determinación de la identidad) con la autorización (lo que el sujeto identificado puede y no puede hacer). Sin embargo, un análisis más detallado revela que no es así. Las reclamaciones no se refieren a lo que el sujeto puede o no puede hacer, sino a lo que es o no es. Corresponde a la aplicación que recibe la reclamación entrante relacionar las reclamaciones de ser/no ser con las reglas de poder/no poder de la aplicación. En los sistemas tradicionales, suele haber confusión sobre las diferencias y similitudes entre lo que un usuario es/no es y lo que puede/no puede hacer. La identidad basada en reclamaciones aclara esta distinción.

Una vez aclarada la distinción entre lo que el usuario es/no es y lo que puede/no puede hacer, es posible que la autenticación de lo que el usuario es/no es (las afirmaciones) pueda ser gestionada por un tercero. Este tercero se denomina servicio de token de seguridad. Para comprender mejor el concepto de servicio de token de seguridad, consideremos la analogía de una discoteca con un portero. El portero quiere impedir la entrada a menores de edad. Para ello, solicita al cliente que presente un permiso de conducir, una tarjeta sanitaria u otra identificación (el token) emitida por un tercero de confianza (el servicio de token de seguridad), como el departamento de licencias de vehículos provincial o estatal, el departamento de salud o la compañía de seguros. De este modo, la discoteca queda exenta de la responsabilidad de determinar la edad del cliente. Solo tiene que confiar en la autoridad emisora ​​(y, por supuesto, juzgar por sí misma la autenticidad del token presentado). Con estos dos pasos completados, la discoteca ha autenticado con éxito al cliente en lo que respecta a la afirmación de que tiene la edad legal para consumir alcohol.

Siguiendo con la analogía, la discoteca podría tener un sistema de membresía, donde algunos miembros serían regulares o VIP. El portero podría solicitar otro elemento, la tarjeta de membresía, que podría indicar que el miembro es VIP. En este caso, la autoridad emisora ​​de confianza del elemento probablemente sería la propia discoteca. Si la tarjeta de membresía indica que el cliente es VIP, la discoteca puede actuar en consecuencia, traduciendo la autenticación de la membresía VIP en un permiso, como permitirle sentarse en la zona exclusiva y recibir bebidas gratis. Cabe señalar que no todos los usos del término "autenticación" incluyen la adquisición de credenciales. ^{[ 3 ]} La única diferencia es que la autenticación se limita a vincular al usuario con la información contenida sobre él en el sitio web de destino, ya que no se requieren datos de atributos (credencia) para completarla. A medida que la privacidad cobra mayor importancia, la capacidad de las entidades digitales para autenticar a los usuarios sin acceso a sus atributos personales se vuelve cada vez más crucial.

La identidad basada en reclamaciones tiene el potencial de simplificar la lógica de autenticación para aplicaciones de software individuales, ya que estas no necesitan proporcionar mecanismos para la creación de cuentas, contraseñas, restablecimientos, etc. Además, permite que las aplicaciones conozcan ciertos datos del usuario sin tener que interrogarlo para obtenerlos. Estos datos, o reclamaciones, se transmiten en un "sobre" denominado token seguro.

La identidad basada en reclamaciones simplifica enormemente el proceso de autenticación, ya que el usuario no tiene que iniciar sesión varias veces en múltiples aplicaciones. Un único inicio de sesión genera un token que se utiliza para autenticarse en diversas aplicaciones o sitios web. Además, dado que ciertos datos (reclamaciones) se incluyen en el token, el usuario no tiene que proporcionarlos repetidamente a cada aplicación, por ejemplo, respondiendo preguntas similares o completando formularios parecidos.

• Servicio de control de acceso
• Gestión de identidades
• token de seguridad
• token de acceso
• JSON Web Token