OpenID-Connect-Spezifikationen als ISO-Standard veröffentlicht

ISO-Standardisierung der OpenID-Connect-Spezifikationen

• Die OpenID-Connect-Spezifikationen wurden als ISO/IEC-Standard veröffentlicht

  • ISO/IEC 26131:2024 — OpenID Connect Core 1.0
  • ISO/IEC 26132:2024 — OpenID Connect Discovery 1.0
  • ISO/IEC 26133:2024 — OpenID Connect Dynamic Client Registration 1.0
  • ISO/IEC 26134:2024 — OpenID Connect RP-initiated Logout 1.0
  • ISO/IEC 26135:2024 — OpenID Connect Session Management 1.0
  • ISO/IEC 26136:2024 — OpenID Connect Front-Channel Logout 1.0
  • ISO/IEC 26137:2024 — OpenID Connect Back-Channel Logout 1.0
  • ISO/IEC 26138:2024 — OAuth 2.0 Multiple Response Type Encoding Practices
  • ISO/IEC 26139:2024 — OAuth 2.0 Form Post Response Mode

• Die OpenID-Connect-Spezifikationen wurden im Dezember 2023 als Publicly Available Specifications (PAS) bei der ISO eingereicht

  • Nach der ISO-Abstimmung zur Genehmigung wurden sie offiziell veröffentlicht
  • Es wird erwartet, dass dies die Einführung von OpenID Connect in Rechtsräumen weltweit fördert, in denen es rechtliche Anforderungen gibt, Spezifikationen von Standardisierungsorganisationen zu verwenden, die durch internationale Abkommen anerkannt sind

• Die OpenID-Connect-Arbeitsgruppe hat die Errata der Spezifikationen gründlich überarbeitet, um alle bekannten Fehlerkorrekturen in die ISO-Versionen aufzunehmen

• Nach dem erfolgreichen Abschluss des ISO-PAS-Einreichungsprozesses plant die OpenID Foundation, weitere Spezifikationen bei der ISO einzureichen, darunter die FAPI-1.0-Spezifikation, die eKYC-IDA-Spezifikation und die FAPI-2.0-Spezifikation

• Allen, die zum Erreichen dieses wichtigen Meilensteins beigetragen haben, wird gedankt

[GN⁺]

Hacker-News-Kommentare

• OpenID Connect hat mit dem ursprünglichen Konzept von OpenID fast nichts zu tun und ist eher eine Weiterentwicklung von OAuth
  • OpenID war ein System, mit dem man seine Identität über eine URL nachweisen konnte
• Es ist nicht gut, für den Zugang zu einem Standard bezahlen zu müssen
  • Es sollte mehr Aufwand in Standards und Implementierungsdesigns fließen, die weniger Zeit kosten
• Mike Jones ist Mitglied der OIDC-Arbeitsgruppe, gratuliert zur Veröffentlichung von OIDC als Publicly Available Specification (PAS) und hat der Vollständigkeit halber Fehlerkorrekturen aufgenommen
• ISO hilft dem Software-Ökosystem nicht; ISO 8601 ist komplex und wird meist nicht korrekt implementiert
  • Zum Beispiel löst sie nicht das Problem von Zeitzonenänderungen bei zukünftigen Datumsangaben
• Große Standardisierungsorganisationen wie ISO verlangen Geld dafür, Standards einsehen zu können
  • In manchen Branchen werden „echte“ Standards verlangt statt Open-Source-Gremien wie der IETF
• Kostenpflichtige Standards wie die der ISO behindern den Fortschritt der Menschheit
• OpenID Connect ist ein vergleichsweise einfaches Protokoll, das man größtenteils an einem Tag verstehen konnte
  • Es wurde ein Tutorial zum Implementieren eines Clients mit Python geschrieben; der komplizierte Teil ist das Dekodieren und Validieren von JWT-Tokens
  • Dieser Client wird in einem realen Projekt eingesetzt und funktioniert gut
  • Auf der Website gibt es viele Werbeanzeigen, daher wird ein Adblocker empfohlen
• Es stellt sich die Frage, ob es noch unabhängige OIDC-Issuer gibt
  • Man wollte bei Tailscale ein Konto erstellen, ohne ein Github-Konto zu verwenden, aber das war nicht möglich
  • openid.net und Ubuntu One boten diesen Dienst früher an, haben ihn aber eingestellt
• PAS hat eine Lebensdauer von bis zu sechs Jahren; danach kann es in einen internationalen Standard überführt oder zurückgezogen werden
  • Es stellt sich die Frage, ob der PAS-Antrag gewählt wurde, um das Standardisierungsgremium schneller zu durchlaufen
• Könnte ein guter Weg sein, das Jahresendbudget aufzubrauchen