OpenID fédère l'identification auprès des services

Frédéric Bordage

01 Informatique

le 04/05/2007 à 00h00

envoyer
par mail

imprimer
l'article

sommaire

Le web 2.0 bouleverse le marché du logiciel

Une plate-forme de développement planétaire

Une base de données mondiale

Des services combinés en temps réel

OpenID fédère l'identification auprès des services

Le navigateur, système d'exploitation du web 2.0?

Voir tout sommaire  

Il y a encore un an ou deux, l'architecture distribuée du web 2.0 se heurtait toujours au même problème fondamental. Pour accéder à plusieurs services issus de différents fournisseurs mais assemblés au sein d'une seule application (comme sur la page d'accueil personnalisée de Netvibes,), l'utilisateur devait d'abord s'identifier auprès de chaque service. L'internaute 2.0 passait donc son temps à cela. Las de ce petit jeu, Brad Fitzpatrick, de Sixapart, David Recordon, de Verisign, Josh Hoyt, de Janrain, et Dick Hardt, de Sxip, ont développé un système d'identification décentralisé grâce auquel les utilisateurs ne signeraient qu'une seule fois auprès de différents services. C'est ainsi qu'est né OpenID. Ce mécanisme ne permet pas d'authentifier fortement un utilisateur, mais il fournit un mécanisme d'identification unique (Single Sign on) bien pratique.

Au contraire des projets lancés précédemment pour régler cet épineux problème, OpenID n'est pas centralisé, et se positionne résolument en faveur de l'utilisateur final. Plutôt que de devoir enregistrer un identifiant et un mot de passe auprès d'un grand nombre de services (messagerie, blog, et, demain, les applications métier de l'entreprise), l'utilisateur crée une seule fois un couple identifiant-mot de passe. Ces informations sont stockées chez un fournisseur d'identités tiers - MyOpenID, Videntity.org, Typekey, etc. - ou directement sur le serveur OpenID de l'entreprise. Lorsque l'utilisateur tente d'accéder à un service utilisant OpenID, celui-ci contacte le fournisseur d'identités, qui interroge l'internaute pour lui demander son accord. Le fournisseur d'identités indique très clairement quelles sont les informations en sa possession qu'il va partager avec le service. Tant que l'utilisateur maintient sa session, il n'a plus besoin de signer. C'est là tout l'intérêt d'OpenID. Ce système aide à stocker une fois pour toutes son profil - identité, adresse, etc. - et de laisser le fournisseur d'identités et les services tiers régler entre eux les formalités. De plus, l'identification initiale s'effectuant à l'aide d'une simple URL, on peut s'identifier avec sa carte de visite virtuelle : adresse de son blog ou de son CV sur Linkedin, Ziki, ClaimID, etc.

Un système qui fait l'unanimité

Pour que ce système fonctionne correctement, chaque service distant doit accepter de dialoguer avec les fournisseurs d'identités OpenID. A défaut d'être ratifié par un organisme officiel, OpenID doit donc, pour devenir un standard de fait, s'imposer par une adoption massive. Un défi que l'équipe d'OpenID est en train de relever avec brio. Le nombre de fournisseurs d'identités OpenID a décuplé depuis un an, et les poids lourds du web s'y rallient. Souple et complètement décentralisée, cette architecture a d'abord séduit des éditeurs du web 2.0 comme Zooomr, Ma.gnolia, Technorati, Wikitravel, Livejournal, et Digg. Mais aujourd'hui, Wikipedia, Yahoo, Microsoft, AOL, et Mozilla ont annoncé qu'ils supporteront bientôt OpenID pour l'identification sur leurs services. Ainsi AOL vient-il d'indiquer que l'identifiant de ses 63 millions d'utilisateurs d'AOL AIM est “ http://openid.aol.com/screenname ”. Et Mozilla intégrera un support natif d'OpenID directement dans Firefox 3.0. Avec de tels alliés, OpenID pourrait donc réussir là où Passport (Microsoft) et Liberty Alliance (reste du monde) ont échoué.

Pour l'heure, la spécification actuelle se compose de deux volets : OpenID Authentication 1.1, et OpenID Simple Registration Extension 1.0. Mais l'ensemble des supporters d'OpenID prépare d'autres spécifications : une évolution, OpenID Authentication 2.0, et des extensions, comme OpenID Assertion Quality Extension et OpenID Simple Registration Extension.