ユーザ名とパスワードを使う流行のシステムは長続きしないでしょう: ユーザが利用するすべてのサイトとサービスでは、ユーザが新しく複雑なパスワードを作成して記憶しておくことが求められ、すべてのサイトはパスワードを安全に保持することが求められます。しかしながら、最近のセキュリティ侵害は、優れた企業でさえもユーザの情報を危険にさらし、パスワードの保護に躓くことを証明しています。
Persona は、オープンで分散型の、サイトごとのパスワード認証を置き換える Web スケールの認証システムです。Persona は、Facebook Connect のような中央集権型のシステムに頼らずに、ユーザビリティとプライバシーに関係する OpenID のようなシステムの短所の克服に取り組みました。
Persona はサイトごとのパスワード認証を廃止します
Persona を利用すると、サイトごとに異なるパスワードを入力する代わりに、各サイトの認証を単純な一回だけのプロセスを完了した後に 2 回クリックするだけでサイトにログインできます。これは、安全に保護された公開鍵による暗号化の上に構築されています。パスワードを入力する代わりに、ユーザのブラウザが暗号化された「ID アサーション」を生成します。これは、数分後に期限切れになり、一つのサイトでのみ検証されます。サイト固有のパスワードが無いため、Web サイトは、パスワードを安全に保持することやパスワードのデータベースが失われる可能性を気にせずに Persona を使えます。
このクイックサインインのプロセスは、ユーザが新しいサイトを訪れた時の不和も軽減します。
Persona の ID はメールアドレス
Persona は、ユーザが決めるユーザ名ではなく、ユーザのメールアドレスを認証に使用します。これには、ユーザと開発者の両方に利点があります:
メールアドレスを使うことのユーザの利点
- ユーザはすでに自分のメールアドレスを知っており、OpenID で混乱する可能性のある新しい URL を憶える必要はありません。
- メールアドレスは、
someone@some-contextの概念を適切にとらえており、ユーザによる@workや@home、@schoolなどの ID の区別を簡単にします。これは、Facebook や Google+ のようなソーシャルネットワーク上の実名やシングルアカウントのポリシーを通じた ID を統合する傾向とは異なります。 - メールアドレスは、自身でホストすることも、ユーザの ID のコントロールを他のプロバイダに委ねて代理を頼むこともできます。
メールアドレスを使うことの開発者の利点
- メールアドレスは、ユーザと直接連絡をとる手段を開発者に与えます。
- ほとんどのサイトはユーザのメールアドレスの入手を望んでいます。Persona は、ユーザがログインした時に、サイトにユーザのメールアドレスを提供し、サインアップフォームの後に追加の情報を入力する必要をなくします。
- 多くのログインシステムは、すでにメールアドレスをユニークキーとして扱っています。これは、Persona によるロックインではなく、同時に既存のログインシステムを配備できることを意味しています。
言うまでもなく、メールアドレスは、既に数え切れないほど多くのプロバイダにわたって数十億のアカウントに完全に分散化したシステムです。
Persona は他のシングルサインオンのプロバイダとどう違いますか？
Persona は、安全で安心、簡単です。Persona は、他のプロバイダがしない、またはできない方法でユーザのプライバシーとコントロール、選択肢を護ります:
Facebook や Google+ のような多くのソーシャルネットワークでは、ユーザに実名を使うことが要求され、一つのアカウントに制限されています。Persona は、メールアドレスの上に構築されることにより、ユーザが職場や家庭、学校、他の場所での ID を分けておくことができます。
Persona はオープンで分散型です: メールアドレスを持つ人は誰でも Persona を使ってサイトにサインインできます。おまけに、誰でも独自の ID プロバイダをホストしたりメールアドレスのように他の機関に代理を頼んだりできます。これは、単一のアカウントを必要とし、中央集権化されたソーシャルなログインサービスとは対照的です。
Persona は、ユーザのブラウザを認証プロセスの中に置くことによる新しいアプローチでユーザのプライバシーを護ります: ブラウザはユーザのメールプロバイダから信用情報を取得し、その信用情報を Web サイトに提供します。メールプロバイダはユーザを追跡できませんが、Web サイトは、信用情報を暗号化された状態で検証することにより、ユーザの ID を信用することができます。多くの他のシステムでは、OpenID のような分散型でさえも、ユーザにログインを許可する前に、サイトとの「確認手続き」(phone home) を必要とします。