OpenID bietet mir nun also einen Ausweg aus dem Passwort-WirrWarr und damit eine schicke Lösung, mich auch ohne Nutzername und Passwort bei Services einzuloggen.

Leute, die sich häufiger im Internet bewegen kennen aber noch ein weiteres, zum Teil sehr nerviges Problem: Bei jeder Plattform oder Community, bei der man sich neu anmeldet, muss man immer wieder die selben Daten neu eintippen, obwohl diese sich in den seltensten Fällen ändern und ein Import von einer zentralen Stelle eine Supersache wäre. Auch hier lautet die Lösung des Problems OpenID und eine damit verbundene Registrierung.

Dafür ist es nötig, dass der OpenID-Client eine Registrierung mit OpenID unterstützt. Der User trägt dann bei der Registrierung seine OpenID ein und klickt ‘verifizieren’. Wie beim Login wird der Nutzer auf den OpenID-Provider umgeleitet und muss mit seinem Passwort seine Identität bestätigen. Beim normalen OpenID-Login ist damit alles getan und man ist schon fertig. Bei einer OpenID-Registrierung werde ich als User aber noch um einen weiteren Schritt gebeten, nämlich die Auswahl der gewünschten Daten, die ich an den OpenID-Client weitergeben möchtet.

Um dies zu vereinfachen kann ich bei einigen OpenId-Providern, wie z.B. bei myopenid.com, gleich mehrere Identitäten angeben, die sogenannten Personas. So besitze ich z.B. gleich drei Personas dort: Eine Private, eine Geschäftliche und eine Fiktive, die alle unterschiedliche Emailadressen, Profilfotos oder auch Namen enthalten.

Möchte ich mich jetzt bei einem Service per OpenID-Registrierung neu anmelden, wähle ich bei der Verifizierung eine der drei Personas aus, und die dazugehörigen Daten werden bei der Umleitung zurück zum OpenID-Client und dem damit verbundenen Server-Gespräch (siehe OpenWatt? OpenID! (Teil 2)) gleich mitgesendet. Nun sind bereits alle (oder zumindest die meisten) Registrierungsfelder vorausgefüllt. Wenn ich Glück habe und der OpenID-Client ein guter Service ist, dann wurden sämtliche Daten, die mein Provider mitgeschickt hat nach Abschluss des Registrierungsprozesses bereits meinem Profil hinzugefügt und ich spare mir das Ausfüllen. Zudem kann ich mich ab sofort immer wie gewohnt mit meiner bei der Registrierung angegebenen OpenID einloggen.

Damit das ganze reibungslos und gut funktioniert, reicht es allerdings leider nicht aus, dass der OpenID-Client blos ein OpenID-Feld in seinem Registrierungsformular hinzufügt. Beide Seiten müssen hierfür ihre OpenId-Implementierung entweder um das sogenannte sReg (Simple Registration) oder um AX (Attribute Exchange) erweitern.

Bei diesen beiden OpenID-Erweiterungen handelt es sich um Standarts, die vorgeben, wie genau der Austausch der Daten stattzufinden hat und vor allem, wie genau die einzelnen Daten bezeichnet und abgelegt sein müssen, denn ein Datenaustausch kann nur stattfinden, wenn die am Austausch beteiligten Partner die gleiche Sprache sprechen. Das heißt in unserem Fall (dem Austausch von Profilinformationen), dass der Client zum Beispiel das Email-Adress-Feld nur vorausfüllen kann, wenn er auch weiss welches von den Daten, die der Provider geschickt hat die Emailadresse ist. Ein Austausch ist demnach nur erfolgreich, wenn beide Seiten die gleiche Sprache sprechen, der Client also Simple Registration versteht, wenn der Provider Simple Registration unterstützt. Analog dazu funktioniert das mit Attribute Exchange: Beide Partner müssen Attribute Exchange unterstützen, wenn sie Daten untereinander austauschen wollen.

Das Ganze funktioniert also prinzipiell wie ein normales ‘Tauschgeschäft’ in einem Laden: Möchte ich als Kunde (Client) die gewünschte Ware mit nach Hause nehmen, dann ist es sehr förderlich, wenn ich das Zahlungsmittel (Standart) dabei habe, was der Verkäufer (Provider) auch akzeptiert. Besonders gut klappt der Kauf dann noch, wenn der Verkäufer Euro möchte, ich ihm auch Euro geben kann, denn sonst wird er Probleme haben zu wissen, was das, was ich ihm gegeben habe wert ist (->Client und Provider haben entweder beide sReg oder AX implementiert und haben damit keine Probleme, zu wissen, was der andere geschickt hat).

Gott sei dank kann ich an dieser Stelle beruhigend sagen: Auch dies sind wieder alles Dinge die im Hintergrund passieren und von denen der normale User nichts mitbekommt, sondern lediglich davon profitiert, ohne irgendetwas davon verstanden haben zu müssen.

Allgemein kann man noch sagen, dass Simple Registration die eher abgespecktere Variante der beiden ist, es werden also nicht soviele Daten ausgetauscht. Deswegen hat man irgendwann Attribute Exchange entwickelt, welches den Austausch von weitaus mehr Informationen unterstützt. Möchte jemand wissen, welche Daten von welchem Standart unterstützt werden können, findet er hier einen Überblick.

Der Vollständigkeit halber möchte ich an dieser Stelle noch die dritte Möglichkeit erwähnen, in deren Format man bei einer OpenID-Registrierung Profildaten austauschen kann: OpenID mit hcard. Auf Microformate und hcard möchte ich allerdings an dieser Stelle nicht weiter eingehen, kommt bestimmt später noch. Aber wen es interessiert, der sollte unbedingt hier (deutsch) und hier (englisch) weiterlesen. Der Ablauf insgesamt ist zudem auch gleich wie oben beschrieben.

Beim nächsten mal werde ich ein paar OpenID-Provider vorstellen und eine kleine Liste mit Services zusammenstellen, bei denen man sich mit OpenID einloggen oder sogar registrieren kann.

PS: Leider habe ich es immernoch nicht geschafft, meinen eigenen OpenID-Login ans laufen zu bekommen. Schätzungsweise ist auch 1und1 Schuld und ich werde ihnen im neuen Jahr mal schreiben um nachzufragen, was da los ist. Deswegen verzeihen mir bitte die tausend und abertausend Leute, die hier kommentieren den Mißstand

Möchte man OpenID mit etwas aus dem realen Leben vergleichen fällt mir spontan das Geldabheben mit einer Kredit- oder EC-Karte ein, womit ich bei jedem erdenklichen Geldautomaten mit immer den gleichen Zugangsdaten auf mein Konto und damit auf mein Geld zugreifen kann.

Es wäre ziemlich dämlich, wenn ich für jeden Geldautomaten dieser Erde eine extra Kreditkarte mit einem Benutzernamen und einer PIN bekommen würde. Dies würde ziemlich schnell ziemlich unpraktikabel, denn spontan wäre hier gar nichts mit Geld abheben und ich müßte mir verdammt viele PINs merken, damit ich nicht an jedem Ort ausserhalb meines Zuhauses völlig mittellos dastehe. Um sowas zu umgehen, bekomme ich von meinem Bank- oder Kreditkarteninstitut eine Karte mit einer PIN, also quasi eine Identität, die es mir ermöglicht, mich an so gut wie jedem Geldautomaten als IchSelbst auszuweisen und an mein Geld zu kommen.

Während dies im realen Leben wunderbar funktioniert scheint dies im virtuellen Internetleben noch nicht ganz so gut zu gehn. Bei jedem erdenklichen Dienst wird von mir ein möglichst immer unterschiedliches Passwort mit einem Benutzername verlangt, um mich als IchSelbst auszuweisen. Da man Passwörter möglichst nicht notieren soll, bin ich eine potentielle Kanditatin dafür, ständig irgendwelche Passwort-vergessen-Funktionen zu klicken oder gar ganz fatal, immer das gleiche Passwort zu benutzen. Gott sei dank halte nicht nur ich dies für einen untragbaren Zustand und schlaue Leute haben sich einen Mechanismus ausgedacht, der das Passwort-Wirrwarr in Zukunft überflüssig macht: die OpenID.

Wie beim Kreditkarteninstitut erhält hierbei der User eine einzigartige URL als Internetidentität. Um diese zu bekommen muss er sich lediglich bei einem sogenannten OpenID-Provider, wie z.B. www.myopenid.com registrieren. Ratsam ist, für diesen Provider ein möglichst sicheres Passwort zu finden, was ich ok finde, denn ich muss mir in Zukunft ja nur noch dieses merken. Das Passwort wäre dann zu vergleichen mit meinem Karten-PIN. Nach meiner Registrierung also erhalte ich automatisch meine neue und schicke OpenID. Bei myopenID lautet diese immer: http://BENUTZERNAME.myopenid.com.

Möchte ich mich nun bei einem Service (der Geldautomat) einloggen, muss ich hierfür einfach meine OpenID in das dafür vorgesehene Login-Feld eingeben. Eine Plattform wo dies gut funktioniert ist z.B. Ma.gnolia.com. Die Services, die einen OpenID-Login ermöglichen nennt man OpenID-Client, OpenID-Consumer oder auch OpenID-Relaying-Party.

Nachdem ich nun also meine OpenID eingetragen habe und den absenden-Button geklickt habe beginnen im Beispielfall Ma.gnolia als OpenID-Client und MyOpenID als OpenID-Provider im Hintergrund eine Diskussion:
Magnolia: “Hallo myopenid, ich bins magnolia. Ich bin ein Openid-Client und hier möchte sich jemand mit einer myopenid-openid bei mir einloggen. Die ist zwar bei mir hinterlegt, aber kann ich dem User vertrauen?”
myopenid: “Hallo magnolia, ich sehe, du bist in der Tat ein OpenID-Client. Dann lass doch mal schauen, wer sich da bei dir einloggen möchte und ob es auch der ist, der die OpenID bei dir hinterlegt hat. Lass mal die OpenID sehn.”
Von dieser Konversation bekommt der User natürlich zunächst nichts mit, denn das ist das nötige Handshake der Server, um einen Reibungslosen Login zu gewährleisten. Nachdem also der myopenid-server dem magnolia-server sein ok gegeben hat, wird der User auf die myopenid-login-Seite umgeleitet. Hier gebe ich nun mein Myopenid-Passwort ein und bestätige damit, dass ich der zugehörige Nutzer zur von Magnolia gesendeten OpenID bin, magnolia vertraue und mich gerne dort einloggen will. Nun führen die Server ihre Unterhaltung fort:
myopenid: “He magnolia, die snirgel hat die OpenID mit ihrem Passwort bestätigt. Die hat gemeint, sie ist es wirklich und das sie sich gerne bei dir einloggen will. Kannst also reinlassen”
magnolia: “Super, weiß ich bescheid, ist eingeloggt.”
Nach diesem Gespräch, wovon ich natürlich wiederum nichts mitbekommen habe, werde ich wieder zurück zu magnolia geleitet, wo ich dann eingeloggt bin.

Kritiker könnten jetzt meinen, dass das ja nicht wirklich was gebracht hat, denn ich mußte mich ja trotzdem irgendwo einloggen und ein Passwort eintragen. Was ist denn daran jetzt so toll.
Richtig einloggen mußte ich mich tatsächlich, doch habe ich erstens bei Magnolia selbst nie ein Passwort angegeben, sondern lediglich einmal meine OpenID hinterlegt. Klar hier hinkt das Beispiel mit dem Geldautomaten und man muss tatsächlich beim OpenID-Client immer seine OpenID angeben, denn der Client muss beim Login der OpenId ja auch einem Nutzer zuordnen können. Zweitens läuft dieser Prozess mit jedem OpenID-Client gleich ab und ich muss mir also nur EIN Passwort merken, und zwar das meines OpenID-Providers.
Ich beweise also nicht mehr mit einer Nutzername/Passwort – Kombination, wer ich bin, sondern der OpenID-Provider übernimmt dies für mich, denn ich habe ihm ja bestätigt, dass ich es tatsächlich bin, die zur angefragen OpenID gehört und er dies auch dem Client bestätigen kann.

Insgesamt hört sich das alles noch sehr kompliziert an, allerdings gibt es zusammenfassend gibt es zu sagen, dass man als User nur genau 2 Schritte von einem schön einfachen OpenID-Login entfernt ist:
1. Einmaliges Anlegen eines OpenID-Account bei einem OpenID-Provider
2. OpenID beim gewünschten und natürlich auch teilnehmenden Service hinterlegen

Ob Ihr Euch bei einem Service mit einer OpenID einloggen könnt erkennt Ihr an diesem Icon:

In OpenWatt? OpenID! (Teil 2) werde ich etwas näher auf den Unterschied zwischen OpenID-Provider und OpenID-Client eingehen und ein paar Services dazu vorstellen.

P.S.: Ich bitte zu verzeihen, dass der OpenID-Login bei meinen Blogkommentaren gerade noch nicht geht. Ich arbeite dran und reiche das in den nächsten Tagen nach. Ich weiss, peinlich, peinlich.

Genau das ist es eben nicht und aus diesem Grund bin ich zu der Entscheidung gekommen, die Sachen, die mir in meinem Web-Geek-Developer-Alltag so begegnen an diese Stelle auch für normal Sterbliche begreifbar zu machen. In den letzten Monaten bin ich mit vielen Dingen konfrontiert worden, bei denen ich dankbar gewesen wäre, es hätte jemanden gegeben, der es mir auf einer Abstraktionsebene erklärt hätte, die man auch verstehen kann, ohne sich tage- und wochenlang damit zu beschäftigen. Aber so war es nicht Ständig verbrachte ich viel Zeit damit schön langeweilige und trockene und vor allem stets englische Dokumentationen zu lesen. Aber muß ich tatsächlich erst das Manual lesen, um zu wissen, was eine OpenID ist, wofür OAuth da ist und wat genau wir und vor allem der User jetzt mit den ganzen schönen Dingen anfangen können. Klar, von mir als Entwicklerin ist es natürlich nicht zu viel verlangt, mich in diese technischen Dinge einzuarbeiten, dass sehe ich auch durchaus ein. Allerdings ist es glaub ich auch nicht zu viel verlangt, einen ersten, vollkommen simplen Einstieg in die Materie zu bekommen.

Aber Ihr wißt ja, wies is: Wenn man nicht alles selbst macht. Und deswegen werd ichs wohl selbst machen

Beginnen werde ich in den nächsten Tagen zunächst mit der Mutter des offenen Webs: Der OpenID. Ist den meisten warscheinlich schonmal begegnet und bestimmt wissen auch einige, was es ist, und was man damit machen kann. Aber ohne OpenID geht gar nix…also..packen wirs an…

Nach meinen erlebten Erlebnissen und zugegeben auch Enttäuschungen hat mir heute dieser Comic aus

der Seele gesprochen:

Heute wurde meine Welt von einem skandalösen Erkenntnis erschüttert, die ihres Gleichen sucht: Das Krümelmonster darf schon seit einiger Zeit keine Kekse mehr fressen. Einige von Euch haben diese Ungeheuerlichkeit vielleicht schon mitbekommen, doch mir war das komplett neu. In den USA ernährt sich das Krümelmonster schon seit 2005 (in Deutschland dann ca. 2 Jahre später) von  Kohlrabi und Äpfeln und darf allenfalls mal einen Vollkornkeks zu sich nehmen. Begründung: die Kinder der heutigen Zeit werden zu dick und sollen eine gesunde Ernährung vorgelebt bekommen. Haalloooooo….das Krümelmonster…..??? Allein der Name wird mit dieser Aktion schon ad absurdum geführt.

Dies ist schon der dritte und auch wirklich schlimmste Anschlag auf meine Welt und ich protestierte hiermit aufs heftigste.

Ok, dass man mir mein Sandmänchen einfach gegen eine anderes austauscht kann ich ja vielleicht noch einsehen, denn auch die Ostdeutschen Kindheitserinnerungen haben ihre Daseinsberechnung.
Überraschungseier verbieten war dann eine Schnappsidee, die ein komischer Bayer (wer auch sonst) dieses Jahr hatte (ist aber inzwischen vom Tisch, die Eier bleiben).
Aber das Krümelmonster schlägt dem Faß den Boden aus.

Ist eigentlich niemand mehr in der Lage, sein Kind ohne fremde Hilfe zu erziehen? Ohne dass es sich verschluckt, zu dick wird oder gar vollkommen aggresiv durch die Gegend läuft, weil es mal wieder zu viel von äusseren (Medien)Reizen beeinflusst wurde?

Man mag sich gar nicht ausmalen, was als nächstes kommt. In was für einer Welt leben wir eigentlich?

Quelle: Wikipedia

Diese Woche findet in Frankfurt in der ccp-print-gallery in der Sophienstraße die Ausstellung Frankfurt I statt. Einer der drei Künstler, deren Werke dort ausgestellt werden, ist ein Freund von mir und bei der Entstehung einiger der ausgestellten Bilder konnte ich sogar persönlich mit Anwesenheit und (natürlich sinnvollen und guten) Ratschlägen glänzen . Wer sich also für schöne Fotos oder die etwas andere Perspektive von Frankfurt interessiert, sollte sich unbedingt dort hinbegeben. Auch bei Desinteresse lohnt es sich, denn laut Website wartet gekühlter Prosecco….

Natürlich nochmal schnell die Links:

Oliver Fluck – Photographie
CCPrint

Endlich haben wir es schriftlich und schwarz auf weiß: Gewalt in Medien, speziell in Computerspielen und Horrorfilmen macht auch im realen Leben aggresiv. Da sich Kinder schon sehr früh mit aggresiven virtuellen Situationen auseinandersetzen werden sie regelrecht darauf konditioniert, auch in realen Konfliktsituationen gewalttätig zu handeln. Diese Erkenntnis verdanken wir der Uni Tübingen, die diese Woche den zweiten Teil der Studie

Gewalt in Medien und jugendliche Gewaltbereitschaft

herausbrachte. Damit wurde widerlegt, dass virtuelle Gewalt- und Aggressionssituationen die der realen Welt kompensieren.

Es war damit zu rechnen, dass nun ein Aufschrei durch die Nation geht und die ewige Wir-müssen-alle-Computerspiele-verbieten-und-uns-vom-Staat-vor-uns-selbst-schützen-lassen-Diskussion neu entfacht wird. Doch dem ist diesmal nicht ganz so. Diesmal geraten auch die Eltern und das soziale Umfeld der Kinder und Jugendlichen unter Verdacht, nicht ganz unschuldig an der Gewaltbereitschaft ihres Nachwuches zu sein.

Womit wir auch schon beim Thema der zweiten Studie, der (N)Onliner-Atlas, sind. Diese von Microsoft in Auftrag gegebene Studie zur Nutzung und Nicht-Nutzung des Internets hat zwar nicht direkt was mit Gewalt in Medien zu tun, zeigt aber auch ziemlich deutlich, dass viele Eltern einfach nicht wissen, was ihre Kinder den ganzen Tag so treiben. So kontrollieren nur 60% der befragten Eltern was ihr Kind vor dem Computer und im Internet eigentlich macht. Und sogar nur 33% geben zeitliche Regeln vor, wie lange ihr Kind vorm Rechner hängen darf. Damit wird wohl ziemlich deutlich, dass Kinder mit dargebotenen Inhalten schlichtweg alleine gelassen werden und das wirkt auf mich fast grob fahrlässig.

Dank den Diskussionen um diese beiden Studien scheinen mir endlich einige Bretter gesprengt und der Blick auf die Wirkung von Medien an Objektivität gewonnen zu haben. Wenn ein Kind ein stabiles soziales Umfeld hat und Eltern, die sich dafür interessieren was es tut und dazu noch in der Lage sind, klare Regeln zum Medienkonsum aufstellen, wird es auch in realen Konfliktsituationen vermutlich nicht direkt eine Knarre ziehen oder zuschlagen. Zudem kann es auf diese Art und Weise auch gleichzeitig vor Belästigungen und Gewalt von aussen geschützt werden, denn der Onkel Pädophil hat direkt weniger Chancen an mein Kind heranzukommen, wenn ich auch in der virtuellen Welt auf es aufpassen.

Natürlich ist diese Meinung sehr schwarz-weiss-malerisch, aber ich denke diese Sicht der Dinge bietet immernoch einen besseren Ansatz, als darauf zu warten, dass eine höhere Macht kommt und die Dinge in die Hand nimmt.

Auswahl Artikel zur Tübingen-Studie:
http://www.taz.de/1/zukunft/wissen/artikel/1/virtuelle-aggression-bewirkt-reale/
http://www.konsumo.de/news/2442-Studie:-Killerspiele-sind-nicht-generell-sch%C3%A4dlich

(N)Onliner:
http://www.initiatived21.de/News-Detailansicht.181.0.html?&tx_ttnews[tt_news]=1775&tx_ttnews[backPid]=132cHash=f50553ccae

…”Song”, der, wie schon erwähnt, 70200 andere Musikstücke beinhaltet. Hier hab ich nun auch den Link zum Download gefunden:

Johannes Kreidler – product placements

Zugegeben etwas gewöhnungsbedürftig, aber in diesem Fall heiligt der Zweck die Mittel in jedem Fall

…und bedankt sich dafür bei boerseVZ. Danke, dass jemand dieser Albernheit von studiVZ entgegentritt und endlich ein paar Steuergelder für die wirklich wichtigen Dinge mißbraucht. Endlich ist studivz an den richtigen geraten, der Zeit und Muse hat sich diesem dämlichen Streit um das VZ zu widmen.

Hier die aktuellsten Infos bzgl. des Streits: studivz Abmahnung

….Johannes Kreidler zu seiner Aktion: Ich packe 70200 andere Musikstücke in ein 33 Sekunden Sample und melde es dann alles bei der Gema an. Fantastische Aktion gegen das bestehende Urheberrecht. Er plant am 12.9.08 mit einem LKW bei der GEMA vorzufahren und die 70200 Antrags-Formulare abzugeben. Ich bin begeistert. Hier das Video:

Und hier noch der Artikel bei Nerdcore: Johannes Kreidlers Song aus 70200 Samples, den er bei der GEMA anmelden will