Relying Party, OpenID Providerの評価と責任
=natさんのReputation Service構想から思った事を書いてみます。
最も気になるのは、
評価基準はばらばらでしょう。少なくとも最初からあると思われるのは、OPやRPの運用品質についての監査評点と、運用者の会社としての財務評点だとおもいます。
の下りです。
追記(2008-02-02T19:38:14+09:00)
コメント欄に=natさんによる噛み砕いた説明があるので、そちらも合わせてみて下さい。
RPへの監査は現実的な運用が出来るのか
これはそもそも、Reputation Serviceが複数あり尚且つOP, RP, End Userそれぞれが互いに評価する枠組みの中で、真っ先にその評価の種となるのはどこなんだろうと言う僕の質問に対する回答で、概ね同意出来るんですが、OPでは無くRPの方に関しては現実的に運用出来るのかなと思いました。
現在もまたこれからもそうでしょうが、どう考えてもサービスの数で言えば、RP > OPと言う関係が成り立つと思うんですよね。
現状メールアドレスをIdentityとしてログインさせているサービスに対して監査があるようなイメージでしょうか。
全てのRPが対象だとすると現実的では無いのかなと思います。
相当本来の目的からすると形骸化するかもしれませんが、既にプライバシーマークを取得してるとかISMSとかが一定のポイントになると言った事でもしないといけないのかなと思います。
監査は本当に平等な枠組みになるのか
監査は当然コストが掛かる訳ですから、Reputation ServiceがOPないしはRPの監査を行いそれを表明するまでが当然ビジネスになると思うんですが、そうなると敷居が高くなると思うんですよね。
それがコミュニティ型で評価する枠組みだから思想として誰でもなれるとしても、個人ないしは準個人のような組織が立ち上げたRPはReputation Serviceの恩恵を受けれないなんて事にならないかが心配＞＜
定量的ではありませんが、こういうのはどうでしょう。
前提としてReputation Serviceの評価基準が監査や財務状況をベースにしていない物があって、尚且つフィードバック主体の物があっても良いとします。
そのReputation Serviceは主にOP, RPの使い勝手やら利用側から見た運用状況などのフィードバックを集計した物とする。
こうしたReputation Serviceも複数のReputation Serviceに含まれているとしてさらに、監査や財務状況主体のReputation Serviceでスコアが無いRPの扱いに厳しくしすぎない評価値の算出をするといった事があるといいかなと思ったりします。
また運用面での監査が機械的に済む物が多くなれば、だいぶこうした危惧が無くなっていいんだけどなと思います。
使いどころがあってこそのIdentity
前々から主張してる訳ですが、現時点で最も大事にすべきなのはEnd Userが実際に自分達のIdentifierを使う事が出来るRPだと思うんですよね。
今となってはOpenIDのIdentifierを決して少なくないユーザーが実の所、持っていると言う時代になりつつある中で、かくいう自分も頻繁にOpenIDのIdentifierでRPのサービスを使っていると言えば、そこまで頻繁じゃない。
RPやOPは当然相応の責任を負うべきなんだけど、そこは技術で可能な限り解決しつつ、さらにそうした努力の結果、これだけ安全ですよと言う点も正しく評価される枠組みだといいなと思います。
(これは自分がエンジニアの端くれだからそう思うと言う事から多少差し引いて考えていただければｗ)
一方で、法定基準(あればだけど)だとか一定の財務状況をクリアしてるかなども一般の方は使うサービスの質によっては気になるだろうし、明日つぶれたら困ると言うリスクはある訳なので、それが評価値になるのも当然だと思います。
ちなみにそうした様々な側面の総合点として評価値が出されるとすると、サービスの新規参入の弊害にもなるのかもしれないですね。
内訳を提示すれば済む問題のように思えます。
