پیش‌نویس:استراتژی ملی برای هویت‌های مورد اعتماد در فضای مجازی

از ویکی‌پدیا، دانشنامۀ آزاد

استراتژی ملی برای هویت‌های مورداعتماد در فضای سایبری (NSTIC) یک تدبیر دولتی ایالات متحده است که در آوریل ۲۰۱۱ اعلام شد. هدف این ابتکار بهبود حریم خصوصی، امنیت و سهولت در تراکنش‌های حساس آنلاین از طریق تلاش‌های مشارکتی با بخش خصوصی، گروه‌های مدافعه‌گر، نهادهای دولتی و سایر سازمان‌ها است.[۱]

این راهبرد محیطی آنلاین را تصور می‌کرد که در آن افراد و سازمان‌ها می‌توانند به یکدیگر اعتماد کنند، زیرا هویت‌های دیجیتال خود و همچنین هویت‌های دیجیتال سازمان‌ها و دستگاه‌ها را شناسایی و احراز هویت می‌کنند.[۲] این راهبرد جهت ارائه شناسایی و احراز هویت قوی‌تر ترویج داده می‌شود، اما الزامی نیست و همزمان با محدود کردن میزان اطلاعاتی که افراد باید افشا کنند، از حریم خصوصی محافظت می‌نماید.[۳]

توضیحات
این راهبرد با مشارکت و دریافت نظرات لابی‌گران بخش خصوصی تدوین شد؛ از جمله سازمان‌هایی که نمایندگی ۱۸ گروه تجاری، ۷۰ گروه غیرانتفاعی و مشورتی فدرال را بر عهده داشتند، و همچنین با استفاده از نظرات و گفت‌وگوهای عمومی مردم.

این راهبرد بر چهار اصل راهنما استوار است:

1. حفظ و تقویت حریم خصوصی و مبتنی بر مشارکت داوطلبانه
2. امن و تاب‌آور (مقاوم در برابر تهدیدها و اختلالات)
3. قابلیت تعامل‌پذیری
4. مقرون‌به‌صرفه و آسان برای استفاده

NSTIC چشم‌اندازی را ترسیم می‌کرد که در آن یک «اکوسیستم هویت دیجیتال» ایجاد شده است؛ اکوسیستمی که در آن افراد، کسب‌وکارها و سایر سازمان‌ها هنگام انجام تراکنش‌های حساس در فضای آنلاین، از سطح بالاتری از اعتماد و امنیت برخوردار هستند.

در این دنیای فرضی، فناوری‌ها، سیاست‌ها و استانداردهای مورد توافق به‌گونه‌ای طراحی شده‌اند که انواع مختلفی از تراکنش‌ها را به‌صورت امن پشتیبانی کنند؛ از تراکنش‌های ناشناس تا کاملاً احراز هویت‌شده، و از تراکنش‌های کم‌ارزش تا پُرارزش و حساس.

اجرای این چشم‌انداز شامل سه ابتکار (initiative) بود:
1.گروه راهبری اکوسیستم هویت (IDESG)، سازمانی به رهبری بخش خصوصی بود که مسئول توسعه و تدوین چارچوب اکوسیستم هویت (Identity Ecosystem Framework) بود؛

2.تأمین مالی پروژه‌های آزمایشی (Pilot Projects) که به گفته NSTIC اصول راهنمای این راهبرد را به کار گرفته و در جهت پیشبرد آن‌ها عمل می‌کردند؛

3.سامانه تبادل اعتبارنامه ابری فدرال (FCCX)، سرویسی متعلق به دولت فدرال ایالات متحده که به سازمان‌ها و نهادهای دولتی اجازه می‌داد اعتبارنامه‌ها (Credentials) و هویت‌های دیجیتالی صادرشده توسط اشخاص ثالث را، در صورتی که تحت چارچوب FICAM تأیید شده باشند، بپذیرند.

NSTIC در دوران ریاست‌جمهوری Barack Obama و در اواخر نخستین دوره ریاست‌جمهوری او، در ۱۵ آوریل ۲۰۱۱ معرفی شد.
یک مقالهٔ مجله توضیح می‌داد که افراد می‌توانند برای انجام تراکنش‌های حساس، مانند خدمات بانکی یا مشاهده سوابق سلامت، هویت خود را به‌صورت امن تأیید کنند و در عین حال، در فعالیت‌هایی که نیازی به شناسایی هویت ندارند، مانند وبلاگ‌نویسی یا مرور وب، ناشناس باقی بمانند.
در ژانویه ۲۰۱۱، United States Department of Commerce یک دفتر برنامه ملی (NPO) تأسیس کرد که تحت هدایت National Institute of Standards and Technology قرار داشت و وظیفه آن کمک به اجرای NSTIC بود.
برای هماهنگ کردن فعالیت‌های اجرایی سازمان‌ها و نهادهای فدرال، این دفتر با هماهنگ‌کننده امنیت سایبری کاخ سفید همکاری می‌کرد. این سمت ابتدا بر عهده Howard Schmidt بود و پس از سال ۲۰۱۲ به Michael Daniel واگذار شد.

گروه فرمان
NSTIC خواستار تشکیل یک گروه راهبری به رهبری بخش خصوصی شد تا مسئولیت مدیریت توسعه و پذیرش چارچوب اکوسیستم هویت را بر عهده داشته باشد. این گروه که گروه راهبری اکوسیستم هویت (Identity Ecosystem Steering Group - IDESG) نام داشت، در تاریخ ۱۵ و ۱۶ اوت ۲۰۱۲ جلسه‌ای در Chicago برگزار کرد. [11]
این نشست، ۱۹۵ عضو به‌صورت حضوری و ۳۱۵ عضو به‌صورت غیرحضوری (از راه دور) را گرد هم آورد.
نشست‌های عمومی (Plenary Meetings) دیگری نیز در Phoenix، ایالت Arizona [12]، Santa Clara، ایالت California [13]، و Boston، ایالت Massachusetts برگزار شد.
بر اساس یک کمک‌هزینه (Grant) که از سال ۲۰۱۲ تا ۲۰۱۴ برقرار بود، Trusted Federal Systems, Inc. به‌عنوان نهاد اداری و اجرایی این گروه فعالیت می‌کرد. [14]

آزمایشی
دولت فدرال ایالات متحده برنامه‌های پایلوت (آزمایشی) را آغاز کرده و از آن‌ها حمایت کرد.
در سال ۲۰۱۲، NSTIC در نخستین سال اجرای خود ۹ میلیون دلار به پروژه‌های آزمایشی اختصاص داد.
برای مثال، American Association of Motor Vehicle Administrators در حال توسعه یک نمونه نمایشی (Demonstration) از اعتبارنامه‌های ارائه‌دهندگان هویت تجاری برای دولت ایالت Virginia بود. این پروژه شامل امکان تأیید امن هویت افراد به‌صورت آنلاین با همکاری Virginia Department of Motor Vehicles می‌شد. [15] همچنین، Internet2 حدود ۱٫۸ میلیون دلار برای انجام تحقیقات دریافت کرد. [15] شرکت ID.me نیز در سال ۲۰۱۳ یک کمک‌هزینه (Grant) دو ساله دریافت کرد. [16]
اطلاعات مربوط به سایر فعالیت‌ها و پروژه‌هایی که توسط NIST تأمین مالی شده‌اند، در صفحه وب گروه هویت‌های مورد اعتماد (Trusted Identities Group) این مؤسسه قابل مشاهده است. [17]

تبادل اعتبارنامه‌های ابری فدرال
NSTIC از سازمان‌ها و نهادهای دولت فدرال ایالات متحده خواست تا از نخستین پذیرندگان (Early Adopters) اکوسیستم هویتی باشند که در این راهبرد ترسیم شده بود. [7] با این حال، این سازمان‌ها در پیاده‌سازی این اکوسیستم برای خدماتی که به‌صورت داخلی و خارجی ارائه می‌کردند، با مشکلاتی مواجه شدند. موانع فنی، سیاستی و مالی باعث می‌شد پذیرش ارائه‌دهندگان شخص ثالثِ اعتبارنامه‌های هویتی که توسط ابتکار مدیریت هویت، اعتبارنامه و دسترسی فدرال (FICAM) تأیید شده بودند، دشوار باشد. [18]
در پاسخ به این چالش‌ها، The White House تیمی با عنوان تبادل اعتبارنامه ابری فدرال (Federal Cloud Credential Exchange - FCCX) ایجاد کرد که ریاست مشترک آن بر عهده NSTIC و General Services Administration بود. این تیم از نمایندگان سازمان‌هایی تشکیل شده بود که سامانه‌ها و برنامه‌های کاربردی آن‌ها توسط جمعیت بزرگی از کاربران و مشتریان خارجی مورد استفاده قرار می‌گرفت. در نوامبر سال ۲۰۱۲، United States Postal Service برای مدیریت نسخه آزمایشی FCCX انتخاب شد و قرارداد توسعه این سامانه را به SecureKey Technologies واگذار کرد. این شرکت یکی از اعضای FIDO Alliance بود.
این قرارداد در ماه مه ۲۰۱۵ تمدید شد. [19][20]

Connect.gov

Connect.gov در دسامبر ۲۰۱۴ راه‌اندازی شد و در واقع نتیجه و تجلی عملی این پروژه آزمایشی (Pilot) بود. نخستین دو شرکتی که خدمات مدیریت هویت (Identity Management) سازگار با Connect.gov را برای شهروندان آمریکایی ارائه کردند، ID.me و Verizon بودند. [21] همچنین، Ping Identity و ForgeRock نخستین پلتفرم‌های نرم‌افزاری بودند که اعتبارنامه‌های منطبق با استانداردهای FICAM را ارائه کردند. این پلتفرم‌ها امکان برقراری ارتباط امن میان سازمان‌های بخش خصوصی و سازمان‌های دولتی را فراهم می‌کردند که یکی از اهداف اصلی این پروژه به شمار می‌رفت. [22][23]

Login.gov

مقاله اصلی:
Login.gov
در ۱۰ مه ۲۰۱۶، 18F در یک نوشته وبلاگی اعلام کرد که سامانه Connect.gov جایگزین خواهد شد. [24][25] سامانه جایگزین با نام Login.gov شناخته می‌شد [26] و در آوریل ۲۰۱۷ راه‌اندازی شد. [27]

گروه راهبری اکوسیستم هویت
گروه راهبری اکوسیستم هویت (IDESG) از سال ۲۰۱۰ بودجه اولیه (Start-up Funding) خود را از National Institute of Standards and Technology دریافت کرد و از آن زمان تاکنون مجموعه‌ای از اسناد و مستندات را تهیه و منتشر کرده است که در وب‌سایت این گروه در دسترس هستند. [28] این گروه در سال ۲۰۱۶، ثبت‌ نامۀ چارچوب اکوسیستم هویت (Identity Ecosystem Framework Registry - IDEF Registry) را برای خودارزیابی (Self-Assessment) معرفی کرد. [29]

انتقادات
این پیشنهاد از همان زمانی که در ژوئن ۲۰۱۰ به‌صورت پیش‌نویس منتشر شد، با انتقادهایی روبه‌رو گردید. [3][30] بخش عمده این انتقادها بر پیامدها و نگرانی‌های مربوط به حریم خصوصی متمرکز بود.
مدت کوتاهی پس از انتشار پیش‌ نویس، Electronic Privacy Information Center به همراه چندین سازمان مدافع حقوق مصرف‌کنندگان و آزادی‌های مدنی، بیانیه‌ای در واکنش به پیش‌نویس سیاست NSTIC به کمیته مربوطه ارسال کردند. در این بیانیه، آن‌ها خواستار ارائه برنامه‌ای شفاف‌تر و کامل‌تر برای ایجاد و حفاظت از حقوق و حریم خصوصی کاربران اینترنت شدند. [31] در حالی که Marc Rotenberg، رئیس EPIC، NSTIC را «تاریخی» توصیف کرد، هشدار داد که: "هویت آنلاین مسئله‌ای پیچیده است و خطر "سرقت هویت سایبری" در سیستم‌های متمرکز هویت کاملاً واقعی است. ایالات متحده باید اقدامات بیشتری برای حفاظت از حریم خصوصی آنلاین انجام دهد." [32]

 "Administration Releases Strategy to Protect Online Consumers and Support Innovation and Fact Sheet on National Strategy for Trusted Identities in Cyberspace". Press release. Office of the White House. April 15, 2011. Retrieved November 9, 2013.
 "National Strategy for Trusted Identities in Cyberspace" (PDF). April 14, 2011. Retrieved September 9, 2017.
 Howard A. Schmidt (June 25, 2010). "The National Strategy for Trusted Identities in Cyberspace". whitehouse.gov. Retrieved September 5, 2023 – via National Archives.
 "Adherence to the NSTIC Guiding Principles | Identity Ecosystem Steering Group". Archived from the original on 2013-08-15. Retrieved 2013-08-16.
"Identity Ecosystem Framework | Identity Ecosystem Steering Group". Archived from the original on 2013-06-29. Retrieved 2013-08-16.
Boeckl, Kaitlin (29 April 2016). "Pilot projects & partners". nist.gov. Archived from the original on 2016-07-07.
"Putting the Fed in Federation: The U.S. Government as Early Adopter of the Identity Ecosystem - I Think, Therefore IAM".
 Mat Honan (November 15, 2012). "Kill the Password - Why a String of Characters Can't Protect Us Anymore". Wired Gadget Lab. Retrieved November 9, 2013.
"National Program Office Planned for Online Trusted Identity Strategy". Press release. NIST. January 19, 2011. Retrieved November 10, 2013.
 "Michael Daniel: Special Assistant to the President and Cybersecurity Coordinator". whitehouse.gov. Retrieved November 9, 2013 – via National Archives.
"Identity Ecosystem Steering Group | Created to administer the development of policy, standards, and accreditation processes for the Identity Ecosystem Framework". Archived from the original on 2013-11-09. Retrieved 2013-08-16.
"February 2013 Plenary | Identity Ecosystem Steering Group". Archived from the original on 2013-08-10. Retrieved 2013-08-16.
 "May 2013 Plenary | Identity Ecosystem Steering Group". Archived from the original on 2013-08-08. Retrieved 2013-08-16.
 "NSTIC Welcomes Trusted Federal Systems as Secretariat of the Identity Ecosystem Steering Group". NSTIC blog. July 12, 2012. Retrieved November 9, 2013.
 "Five Pilot Projects Receive Grants to Promote Online Security and Privacy". Press release. NIST. September 20, 2012. Retrieved November 10, 2013.
 "NSTIC, ID.me, Inc". www.nist.gov. National Institute of Standards and Technology. Retrieved 21 February 2015.
 "Trusted Identities Group". NIST.
"FICAM Roadmap and Implementation Guidance | IDManagement.gov". Archived from the original on 2013-08-19. Retrieved 2013-08-16.
 "SecureKey Technologies Wins Contract with U.S. Postal Service to Implement Federal Cloud Credential Exchange - SecureKey".
Fontana, John. "Connect.Gov solidifies, expands ID credential plan for federal agencies - ZDNet". ZDNet. Archived from the original on May 2, 2015.
"Connect.gov is latest attempt to get buy-in to online ID management". 22 December 2014.
 Fontana, John (April 30, 2015). "Connect.Gov solidifies, expands ID credential plan for federal agencies". ZD Net. Archived from the original on May 2, 2015. Retrieved May 6, 2015.
Miller, Jason (December 22, 2014). "Connect.gov is latest attempt to get buy-in to online ID management". Federal News Radio. Retrieved May 6, 2015.
 "18F: Digital service delivery | Building a modern shared authentication platform". 10 May 2016. Archived from the original on September 24, 2016. Retrieved 2017-07-02.
 "Feds scrap Connect.Gov - SecureIDNews". SecureIDNews. Retrieved 2017-07-02.
"Feds scrap Connect.Gov - SecureIDNews". SecureIDNews. Retrieved 2017-07-02.
 "Login.Gov replacing Connect.Gov - SecureIDNews". SecureIDNews. Retrieved 2017-07-02.
"18F: Digital service delivery | Government launches login.gov to simplify access to public services". 18f.gsa.gov. Retrieved 2018-02-16.
"The Identity Ecosystem Steering Group".
Identity Ecosystem Framework (IDEF) Registry".
 Lance Whitney (June 28, 2010). "White House drafting plan for cyberspace safety". CNet news. Retrieved November 9, 2013.
 Lillie Coney; et al. (September 23, 2010). "Statement on the National Strategy for Trusted Identities in Cybersecurity Creating Options for Enhanced Online Security and Privacy" (PDF). Privacy International and Electronic Privacy Information Center. Retrieved November 9, 2013.
Center. "EPIC - National Strategy for Trusted Identities in Cyberspace (NSTIC)". epic.org.
 "Appendix A – Fair Information Practice Principles" (PDF). NSTIC. April 4, 2013.