Omówienie interfejsu sfederowanego interfejsu Credential Management API

Internetowy interfejs API do federacji tożsamości chroniącej prywatność.

Co to jest FedCM?

FedCM (Federated Credential Management) to usługa, która zapewnia ochronę prywatności w przypadku usług tożsamości sfederowanej (takich jak „Zaloguj się przez...”), użytkownicy mogą logować się do witryn bez udostępniania swoich danych osobowych usłudze tożsamości lub witrynie.

Stan implementacji

W przyszłości planujemy wprowadzić szereg nowych funkcji opartych na na podstawie opinii otrzymanych od dostawców tożsamości i podmiotów uzależnionych i dostawców przeglądarek. Liczymy, że dostawcy tożsamości wdrożyją FedCM. że FedCM to interfejs API, który wciąż jest rozwijany.

Aby zminimalizować wyzwania związane z wdrażaniem niezgodnych wstecznie zmian, mamy 2 zalecenia dla dostawców tożsamości:

  • Zasubskrybuj newsletter, będzie przysyłać aktualizacje w miarę rozwoju interfejsu API.
  • Zachęcamy dostawców tożsamości do rozpowszechniania interfejsu FedCM API za pomocą pakietów SDK JavaScript, Interfejs API jest w fazie rozwoju i zniechęcamy do korzystania z pakietów SDK do samodzielnego hostingu. Dzięki temu dostawcy tożsamości mogą wprowadzać zmiany wraz z rozwojem interfejsu API bez konieczności pytania lub stronom uzależnionym do ponownego wdrożenia.

Dlaczego potrzebujemy FedCM?

W ciągu ostatniej dekady federacja tożsamości odegrała główną rolę poprzeczkę uwierzytelniania w internecie pod względem wiarygodności, łatwości użytkowania (np. logowanie jednokrotne bez hasła) i bezpieczeństwo (np. ulepszone odporność na phishing i ataki preparujące danych logowania) w porównaniu z poszczególnymi witrynami nazw użytkownika i haseł.

W przypadku federacji tożsamości RP (strona uzależniona) opiera się na dostawcy tożsamości (tożsamości) dostawcy), aby umożliwić użytkownikowi dostęp do konta bez konieczności podawania nowej nazwy użytkownika i hasło.

Niestety mechanizmy, na których opiera się federacja tożsamości (elementy iframe, przekierowania i pliki cookie) są aktywnie wykorzystywane do śledzenia użytkowników w sieci. Ponieważ klient użytkownika nie potrafi rozróżnić federacji tożsamości od śledzenia, łagodzenie skutków różnych rodzajów nadużyć federacja tożsamości jest trudniejsze.

Interfejs Federated Credential Management API (FedCM) udostępnia funkcje zależne od konkretnego przypadku użycia, abstrakcja przepływów tożsamości sfederowanej w internecie przez ujawnienie przeglądarki okno zapośredniczone, które umożliwia użytkownikom wybieranie kont od dostawców tożsamości, na których będą mogli się zalogować witryn.

FedCM to wieloetapowa podróż, która ma na celu poprawę tożsamości w internecie. W Najpierw skupimy się na ograniczeniu wpływu ograniczeń związanych z plikami cookie innych firm tożsamości sfederowanej (więcej kroków znajdziesz w sekcji Plan dalej).

Użytkownik loguje się w grupie objętej ograniczeniami przy użyciu FedCM

Na co według nas wpłynie ta zmiana?

Przez społeczność wysiłek Dzięki badaniom odkryliśmy, że istnieje kilka federacji tożsamości, integracje, na które mają wpływ ograniczenia dotyczące plików cookie innych firm:

Pierwszym celem FedCM jest zmniejszenie wpływu ograniczeń dotyczących plików cookie innych firm na Tożsamość użytkowników i obejmują te obszary. Jeśli są inne przypadki użycia, których nie ma na liście, możesz je zaangażować i przekazać opinię.

Kto powinien korzystać z FedCM?

Usługa FedCM będzie przydatna tylko wtedy, gdy są spełnione wszystkie te warunki:

  1. Jesteś dostawcą tożsamości.
  2. na Twoje konto mają wpływ ograniczenia dotyczące plików cookie innych firm;
  3. Twoje RP to witryny innych firm. Jeśli Twoje RP są w większym stopniu powiązane ze sobą, możesz otrzymywać lepsze reklamy autor: Related Website Zestawy.

Jesteś dostawcą tożsamości

FedCM wymaga pomocy dostawcy tożsamości. Strona uzależniona nie może używać FedCM niezależnie. Jeśli korzystasz z RP, możesz poprosić dostawcę tożsamości o podanie tych informacji. za instrukcje.

masz wpływ na korzystanie z plików cookie innych firm;

Usługi FedCM należy używać tylko wtedy, gdy na obecną integrację ma wpływ ograniczenia plików cookie innych firm.

Jeśli nie masz pewności, czy federacja tożsamości będzie działać a pliki cookie innych firm są niedostępne, możesz przetestować efekt w witrynie przez blokowanie plików cookie innych firm w Chrome.

Jeśli nie ma widocznego wpływu na federację tożsamości bez plików cookie innych firm, możesz nadal korzystać z bieżącej integracji bez FedCM.

Jeśli nie wiesz, co sprawdzić, przeczytaj artykuł o znanych w których powinny obowiązywać ograniczenia dotyczące plików cookie innych firm.

Twoje RP są prowadzone przez inne firmy

Jeśli jesteś dostawcą tożsamości, którego strony objęte ograniczeniami są powiązane z dostawcą tożsamości, oczekujemy zestawów powiązanych witryn może być lepszą opcją. Zestawy powiązanych witryn (RWS) to sposób na deklarowanie przez organizację relacji między witrynami. Dzięki temu przeglądarki pozwalają na ograniczony dostęp do plików cookie innych firm w określonych celach. Dzięki temu pliki cookie innych firm mogą działać w zestawach odpowiednio powiązanych witryn, nawet jeśli pliki cookie innych firm są w inny sposób ograniczone.

W jaki sposób użytkownicy będą korzystać z FedCM?

FedCM koncentruje się przede wszystkim na ograniczeniu wpływu plików cookie innych firm. ograniczeń. Użytkownicy mogą włączać i wyłączać FedCM w ustawieniach użytkownika Chrome ustawieniach.

Usługa FedCM została zaprojektowana tak, aby była niezależna od protokołu i oferowała: funkcje związane z uwierzytelnianiem.

Zobacz naszą prezentację, aby zobaczyć, jak to działa.

Zaloguj się do jednostki uzależnionej

Użytkownik loguje się w grupie objętej ograniczeniami przy użyciu FedCM

Gdy użytkownik otworzy stronę podmiotu uzależnionego, wyświetli się okno logowania w FedCM. będzie wyświetlana, jeśli użytkownik zaloguje się u dostawcy tożsamości.

Jeśli użytkownik nie ma konta w RPA u dostawcy tożsamości, pojawi się okno rejestracji. pojawia się z dodatkowym tekstem, takim jak warunki korzystania z usługi RP, polityki prywatności, jeśli zostaną udostępnione.

Użytkownik może dokończyć logowanie, klikając Kontynuuj jako.... Jeśli operacja się uda, przeglądarka zapisuje fakt, że użytkownik utworzył sfederowane konto w grupie objętej ograniczeniami; z dostawcą tożsamości.

Reguły RP powinny działać w przeglądarkach, które nie obsługują FedCM. Użytkownicy powinni być używać istniejącego procesu logowania innego niż FedCM. Dowiedz się, jak to zrobić w FedCM.

Ustawienia włączania i wyłączania FedCM

Użytkownicy mogą włączać i wyłączać FedCM w ustawieniach Chrome na urządzeniach z Androidem. Otwórz Ustawienia > Ustawienia witryny > Logowanie przez usługę zewnętrzną, a potem zmień przełącz.

Włącz FedCM w ustawieniach Chrome na urządzeniu mobilnym, włączając opcję Logowanie przez usługę zewnętrzną

W Chrome na komputerze można zrobić to samo. W tym celu otwórz chrome://settings/content/federatedIdentityApi

Włącz FedCM w ustawieniach Chrome na komputerze, włączając opcję Logowanie przez usługę zewnętrzną

Plan działań

Pracujemy nad wprowadzeniem szeregu zmian w FedCM. Zobacz Aktualizacje.

  • Dziennik zmian: aktualizacje interfejsu Federated Credential Management API.

Wiemy, że trzeba jeszcze zrobić kilka rzeczy, w tym o których usłyszeli dostawcy tożsamości, RP i dostawcy przeglądarek. Uważamy, że wiemy, jak rozwiąż te problemy:

  • Obsługa elementów iframe z innych domen: dostawcy tożsamości mogą wywoływać FedCM z poziomu element iframe z innych domen (aktualizacja).
  • Przycisk spersonalizowany: dostawcy tożsamości mogą wyświetlać tożsamość powracającego użytkownika w przycisku logowania w elemencie iframe z innej domeny należącego do dostawcy tożsamości (aktualizacja).
  • Punkt końcowy wskaźników: udostępnia dostawcom tożsamości dane dotyczące wydajności.

Poza tym aktualnie badamy nierozwiązane problemy, w tym: konkretne propozycje, które oceniamy lub tworzymy prototypy:

Na koniec, na podstawie opinii użytkowników, uważamy, że należy jeszcze podjąć pewne działania. od Mozilla Apple i TAG . Staramy się ocenić najlepsze rozwiązania tych pytań otwartych:

  • Poprawianie zrozumienia treści przez użytkowników i dopasowania intencji: Mozilla wspomniano, Chcemy nadal badać różne formuły i obszary UX, oraz kryteria doprowadzania do publikacji.
  • Atrybuty tożsamości i selektywne ujawnianie informacji: jako weryfikatorzy TAGU wspomniano, chcemy udostępnić mechanizm selektywnego udostępniania większej lub mniejszej tożsamości atrybutów (takich jak adresy e-mail, przedziały wiekowe, numery telefonów itd.).
  • Promowanie w zakresie ochrony prywatności: zgodnie z sugestią Mozilli w swoim standardowym miejscu, Chcielibyśmy rozwinąć mechanizmy zapewniające lepszą ochronę prywatności, i gwarantowanie, np. ślepotę dostawcy tożsamości czy ukierunkowanie identyfikatorów.
  • Relacja z WebAuthn: zgodnie z sugestią Apple z niecierpliwością czekamy na Twoje postępy kluczy dostępu oraz nad zapewnieniem im spójności Spójność narzędzi FedCM, Passwords, WebAuthn i WebOTP.
  • Stan logowania: zgodnie z zaleceniami firmy Apple w ramach stanu logowania w panelu dotyczącymi prywatności w panelu prywatności Google. API, podzieliliśmy się z nami intuicją, stan logowania użytkownika to przydatne informacje, które mogą pomóc przeglądarkom podejmowanie świadomych decyzji. Z niecierpliwością czekamy na dostępne możliwości. z tego skorzystać. (zaktualizuj)
  • Firmy i edukacja z wykorzystaniem narzędzi dla szkół i uczelni: jak jasne jest w grupie CG FedID, nadal występują problemy wiele zastosowań przypadków które nie są odpowiednio obsługiwane przez FedCM, nad którymi chcemy popracować. wylogowywanie z kanału frontowego (możliwość wysłania przez dostawcę tożsamości sygnału do żądań RP wylogowania się) i obsługę SAML.
  • Relacja z mDL, VC itp. – staraj się zrozumieć, jak pasują do FedCM, na przykład żądanie dokumentu mobilnego API.

Używanie interfejsu FedCM API

Aby korzystać z FedCM, potrzebujesz bezpiecznego kontekstu (HTTPS lub lokalnego hosta) u dostawcy tożsamości i RP w Chrome.

Aby przeprowadzić integrację z FedCM, musisz utworzyć dobrze znany plik, plik konfiguracyjny i punkty końcowe dla listy kont, wystawiania asercji i (opcjonalnie) metadanych klienta. Później FedCM udostępnia interfejsy API JavaScript, których dostawcy tożsamości mogą używać do logowania się przy użyciu dostawcy tożsamości.

Aby dowiedzieć się, jak używać interfejsu FedCM API, zapoznaj się z przewodnikiem dla programistów FedCM.

Angażuj odbiorców i dziel się opiniami

Zgodność z przepisami o prywatności i łączności elektronicznej

Korzystanie z FedCM jako dostawcy tożsamości lub RP wiąże się z przechowywaniem informacji na urządzeń końcowych użytkownika lub dostępu do zapisanych w nim informacji; w związku z tym działalność podlegająca przepisom o prywatności i łączności elektronicznej w Europejskim Obszarze Gospodarczym (EOG) i Wielkiej Brytanii wymagają zazwyczaj zgody użytkownika. Odpowiedzialność za określić, czy korzystanie z usługi FedCM jest absolutnie konieczne, aby zapewnić usługi online wyraźnie zażądanej przez użytkownika, więc jest ona zwolniona z wymóg uzyskania zgody użytkownika. Więcej informacji znajdziesz w naszej Polityce prywatności Zgodność z zasadami ochrony prywatności w piaskownicy Najczęstsze pytania.