Netz-Verantwortung ist ein großes Thema mit noch vielen Fragezeichen. Was kann die Informatik dazu beitragen?
Verantwortung im Netz ist ein hohes Ziel, das mit fein justiertem Identitymanagement gefördert werden kann.
Wikipedia on Identitätsmanagement (IdM):“Als Identitätsmanagement (IdM) wird der zielgerichtete und bewusste Umgang mit Identität, Anonymität und Pseudoanonymität bezeichnet.“
Ein übergreifendes Lernziel aller eLearning-Kurse im Studium (und auch Schule und Beruf) ist das Lernen von Verantwortung, d.h. Verantwortung zu übernehmen für alle seine Äußerungen, Handlungen und Meinungen.
Gutes Identitymanagement im eLearning (ebenso wie in vielen anderen Softwaresystemen) sollte heute daher alle Ebenen anbieten:
- Anonymität: In der Anonymität wird offener, ehrlicher, manchmal aber auch unsolider, waghalsiger, emotionaler kommuniziert als mit Klarnamen. Evaluation ist z.B. häufig anonym, damit jeder Teilnehmer ehrlich seine Meinung sagen kann, ohne Konsequenzen erwarten zu müssen. Gleichzeitig wird damit die Möglichkeit zu Frustkommentaren, Unsachlichkeit und Unverantwortlichkeit, Beleidigungen und Mobbing eröffnet. Volle Anonymität bedeutet aber auch, dass man nicht mehr kontrollieren kann, ob jemand seine Stimme mehrfach abgibt. Um das zu verhindern, muss vorher eine Authentifizierung erfolgen. Danach ist es jedoch nur noch eine Sache des Vertrauens, ob die Abspeicherung der Stimme systemseitig anonym erfolgt oder nicht. Voll anonym kann die Speicherung ja nicht sein, sonst könnte man die mehrfache Stimmangabe nicht feststellen. Daher ist es üblich, einen Hashwert (z.B. MD5 oder SHA1) der Identität abzuspeichern. Also arbeiten die Systeme mit gehashter Identität, nicht mit voller Anonymität. Hashfunktionen sind Einwegfunktionen, deren Sicherheit davon abhängt, wie schwer sich die Umkehrfunktion berechnen lässt. MD5 wurde 1991 entwickelt, als die Rechner noch viel schwächer waren als heute. Schon 2009 konnte man den MD5-Code in 35 Minuten knacken, besonders durch Hinzunahme der hohen Leistungsfähigkeit moderner Grafikprozessoren. Dazu Wikipedia: „Ein 2009 durchgeführter Test des Computermagazins c’t unter Verwendung von GPGPU ermöglicht es einem etwa ein Jahr alten Highend-Spiele-PC mit zwei Nvidia GeForce 9800 GX2 (insgesamt vier Grafikprozessoren), in knapp 35 Minuten eine Kollision zu finden.[7]„. Daher hat sich die übliche Methode der Abspeicherung der gehashten Identität weiter entwickelt: Heute verwendet man zusätzlich einen Salt-Wert, der zur Identität hinzu gefügt wird. Dieser erschwert zumindest die Angriffsmethode mit der Regenbogentabelle. Alle diese Diskussionen vergessen jedoch, dass ein System, dessen Programm-Quelltext man nicht kennt, neben dem Hashwert im Prinzip auch den Klartext abspeichern kann. Dass das System diesen nicht speichert, ist nur eine Sache des Vertrauens. Wenn nicht der Klartext gespeichert wird, so doch meistens die IP-Adresse, die wiederum bei Bedarf Rückschlüsse auf die beteiligten Rechner und womöglich Personen zulässt. Daher kann man auch die grundsätzliche Frage stellen: „Gibt es überhaupt echte Anonymität im Internet?“, oder handelt es sich hierbei lediglich um „gefühlte Anonymität„, siehe auch Anonymität im Internet.
- Identität: Jede Äußerung im Netz wird mit einem Gesicht verbunden. Mit Identität steht hinter jeder Äußerung eine reale Person mit ihrem Namen und guten Ruf gerade. Das hat viel von Verantwortlichkeit und Aufrichtigkeit.
- Pseudonymität ist ein Zwischending zwischen Anonymität und Identität. Zu unterscheiden ist zwischen selbstgewähltem Pseudonym, das ein gewisses Maß an Anonymität bewahrt, und systembestimmtem Pseudonym. Das systembestimmte Pseudonym führt zu mehr Verantwortlichkeit als das selbstgewählte.
- Multiple Pseudonyme: Für unterschiedliche Zwecke werden unterschiedliche Pseudonyme eingesetzt, so dass der Grad der Anonymität bzw. Identifizierbarkeit bedarfsgerecht gewählt werden kann.
Diese Wahl ist jedoch nicht immer logisch, wie der Bericht von Beckedahl zeigt: „Beckedahl berichtete über ein Forum, dass man auf Facebook-Accounts umgestellt und damit implizit Klarnamen eingeführt habe, jedoch ohne Effekt: Die Leute schreiben ihre Frustkommentare auch dann, wenn ihr echter Name damit verbunden wird, auch dann wenn sie bei der Google-Suche noch Jahre später unter dem entsprechenden Stichwort mit genau diesem Frustkommentar erscheinen.“
Zur systemseitigen Implementierung von Identitätsmanagement in einem eLearning-System stehen heute zahlreiche Mechanismen zur Verfügung:
- eigene Registrierung mit Double Opt-In
- hauseigener LDAP-Account
- DFN-AAI vom Deutschen Forschungsnetz, dem DFN-Verein, und damit für alle deutschen Hochschulen und Forschungseinrichtungen
- eduroam : „education roaming is the secure, world-wide roaming access service developed for the international research and education community.“
- Facebook-Account
- Twitter-Account
- Google-Account
- OpenId
In der Präsentation von Dick Hardt zum Thema “Identity 2.0″ wird der Wandel weg von „die Plattform kennt die Identität“ hin zu „ich weise mich der Plattform gegenüber aus“ dargestellt.
Ein gutes System bietet Alternativen an, so dass Systemnutzer die Wahl haben.
Zur Implementierung von Identitätsmanagement gehören Authentizierung und Autorisierung: Wikipedia on Authentication and Authorization Infrastructure (AAI): „Authentication and Authorization Infrastructure (AAI) bezeichnet einen Service und ein Verfahren, Angehörigen unterschiedlicher Institutionen Zugriff auf geschützte Informationsangebote zu ermöglichen, die verteilt auf unterschiedlichen Webservern liegen.“
In Ruby on Rails gibt es in der Ruby Toolbox folgende Gems zur Implementierung von Authentizierung:
In Ruby on Rails gibt es in der Ruby Toolbox folgende Gems zur Implementierung von Autorisierung:
- Cancan
- Declarative authorization