Warum BrowserID das bessere OpenID ist

Letzten Freitag hat Mozilla mit BrowserID ein dezentrales Authentifizierungssystem vorgestellt. Die Frage, was BrowserID vom bekannten OpenID unterscheidet, ist berechtigt, denn beide verfolgen Sie die gleichen Ziele – dem Endanwender einen einfachen und sicheren Login bieten, ohne dass dieser sich überall verschiedene Zugangsdaten merken muss, für Webseitenbetreiber eine einfache Möglichkeit bereitstellen, eine Authentifizerung anzubieten, und schließlich soll das Ganze in allen modernen Browsern funktionieren. Allerdings möchte sich BrowserID durch folgende Punkte abheben:

• BrowserID nutzt die E-Mail-Adresse zur Identifizierung von Benutzern. Nach Ansicht von Mozilla verstehen die User eine E-Mail-Adresse wie eine Internet-Persönlichkeit – sie haben typischerweise eine E-Mail-Adresse für die Arbeit, eine für zuhause und vielleicht sogar noch mehr. Auch für die Entwickler-Seite ist die E-Mail-Adresse nützlich: Sie ist einzigartig und gibt dem Entwickler die Möglichkeit, den User zu kontaktieren, wenn es unbedingt sein muss. Das ist bei OpenID anders. Dort steht die E-Mail-Adresse möglicherweise zur Verfügung, möglicherweise aber auch nicht. Die E-Mail-Adresse ist dort nicht das Identitfizierungszeichen. Mozilla glaubt, dass die E-Mail-Adresse sowohl für Entwickler als auch für Endanwender der richtige Identifier ist.
• BrowserID respektiert die Privatsphäre. Die Identitätsprovider sind in den Loginprozess nicht involviert. Informationen über die besuchten Seiten werden zu keiner Zeit an die BrowserID-Server übertragen. Das ist bei OpenID leider nicht so.
• BrowserID kann in den Browser integriert werden. Webbasiertere Login-Systeme haben ein Problem gemeinsam – sie sind der Gefahr von Phishing-Attacken ausgesetzt. Daher plant Mozilla die direkte Integration des Services in den Browser, denn so kann diese Gefahr zumindest reduziert werden. Eine entsprechende Erweiterung ist bereits in Entwicklung, um zu erkunden, wie die Integration funktionieren kann. Aber auch andere Browserentwickler sind herzlich dazu eingeladen, BrowserID zu integrieren. OpenID wurde nicht unter diesem Aspekt entwickelt und lässt sich daher nicht ohne Weiteres in den Browser integrieren.
• BrowserID lässt den Identitätsprovider lediglich den Public Key wissen. Dies ist ein weiterer entscheidender Vorteil gegenüber OpenID. Der Private Key wird vereinfacht gesagt nur im Browser des Anwenders gespeichert, der Identitätsprovider kennt damit nur den öffentlichen Schlüssel und ist nicht in der Lage, als einer der Nutzer des Services zu agieren.