Identity Mixer

IBM-Forscher packen neuartigen Datenschutz in die Cloud

Der von IBM Research in Zürich entwickelte "Identity Mixer" ist ab Frühjahr 2015 für Beta-Tests in der "Bluemix"-Cloud verfügbar.

Das kündigt IBM anlässlich des heutigen internationalen Datenschutztags an. Mit dem Identity Mixer, kurz Idemix, lassen sich persönliche Daten wie Geburtsdatum oder Kreditkarten-Informationen bei webbasierten und mobilen Transaktionen besser schützen. Kryptographischer Algorithmen sollen eine datenschutzfreundliche Authentisierung gegenüber Online-Dienstleistern ermöglichen, bei welcher der Nutzer so wenige Daten wie möglich offenlegt. Idemix wird laut IBM bereits in zwei Pilotprojekten mit dem Deutschen Roten Kreuz und der nationalen Wissenschaftsbehörde Australiens (CSIRO) praktisch erprobt.

Nutzer geben laut "Big Blue" gegenüber Dienstleistern im Netz häufig persönliche Daten preis, obwohl diese für das Erbringen der angefragten Leistung nicht erforderlich wären. "Mit dem Identity Mixer kann der Benutzer genau auszuwählen, welche Daten er mit wem teilen möchte", erläutert Christina Peters, Chief Privacy Officer bei IBM. " Die Technologie bietet auch für Online-Serviceanbieter Vorteile: Sie können ihr Risikoprofil verbessern und das Vertrauen der Kunden stärken." Mit der Cloud-Version sei die Technologie zudem künftig für Entwickler einfacher integrierbar.

Entwickelt haben den Identity Mixer Wissenschaftler am IBM Forschungszentrum in Rüschlikon bei Zürich. Der kryptographische Algorithmus erlaubt es dem Benutzer, gegenüber einem Online-Dienst jeweils nur ausgewählte Informationen offenzulegen. Möglich wird dies durch die Verschlüsselung und Zertifizierung einzelner sogenannter Identitätsattributen wie beispielsweise Alter oder Nationalität. Dafür werden attributbasierte Zertifikate ("attribute-based credentials") von einer vertrauenswürdigen Institution wie etwa einer Behörde ausgestellt. Der Herausgeber der Zertifikate erfährt dabei nicht, wie und wo diese anschließend genutzt werden.

Zu Demo-Zwecken hat IBM unter https://idemixdemo.mybluemix.net/ ein fiktives Video-Streaming-Portal aufgesetzt, das Filme mit Alters- und Regionsbeschränkung anbietet: Um ein FSK12-Video zu sehen, muss ein Nutzer üblicherweise durch Eingabe des Geburtsdatums und der Adresse beweisen, dass er über der ausgewiesenen Altersgrenze liegt und gegebenenfalls auch den Nachweis erbringen, dass er in einem bestimmten Land wohnt. Mit dem Identity Mixer geht das auch ohne das genaue Alter oder den Wohnort offenzulegen - der Anbieter erhält nur die Information, dass der Nutzer den Film anschauen darf.

Bei Kreditkarteninformationen würde der Streaming-Service nur erfahren, dass eine angegebene Kreditkarte gültig ist und er die Zahlung akzeptieren kann - die Kreditkartennummer und das Ablaufdatum würden nicht übermittelt. Damit bliebe die Privatsphäre des Nutzer selbst dann geschützt, wenn der Dienstleister später Opfer eines Hackerangriffs werden sollte. "Der Identity Mixer basiert auf über einem Jahrzehnt Forschung", kommentiert Jan Camenisch, leitender Kryptographie- und Datenschutzforscher bei IBM Research Zürich und IEEE Fellow. "Wir haben die Technologie entwickelt, um das Konzept der minimalen Preisgabe von identitätsbezogenen Daten zu verwirklichen. Jetzt steht sie für Transaktionen mit dem Computer auch für Mobilgeräte zur Verfügung."

Identity Mixer gab es bisher schon als Quellcode frei zum Download. Ab "Frühjahr 2015" werde die Technologie für Beta-Tests auf der Entwickler-Plattform Bluemix zur Verfügung stehen, so IBM. Über Auswahlmenüs des Cloud-Dienstes könnten Entwickler dann die Daten festlegen, die geschützt werden sollen. Bluemix liefere dann den Code zum Einfügen in die Anwendung. (cvi)