Die Federated Credential Management API wird veröffentlicht

Die Federated Credential Management API (FedCM) wird in Chrome 108 veröffentlicht (derzeit in der Betaversion). Bei der Auslieferung in der stabilen Chrome-Version Ende November 2022 funktioniert die FedCM API in Chrome ohne Flag oder Token eines Ursprungstests.

FedCM ist eine Privacy Sandbox API, die eine anwendungsfallspezifische Abstraktion für föderierte Identitätsflüsse im Web bietet. FedCM zeigt browsergestützte Dialogfelder, über die Nutzer Konten von Identitätsanbietern auswählen können, um sich auf Websites anzumelden.

Sehen Sie sich die aktuellen API-Änderungen auf der Seite mit den zusammengefassten Updates an.

Wir planen die Einführung einer Reihe neuer Funktionen basierend auf dem Feedback, das wir von Identitätsanbietern (IdP), vertrauenden Parteien (RP) und Browseranbietern erhalten haben. Wir hoffen, dass Identitätsanbieter FedCM einführen, aber beachten Sie bitte, dass FedCM noch eine API ist, die noch aktiv weiterentwickelt wird, und dass abwärtsinkompatible Änderungen bis zum 4. Quartal 2023 erwartet werden.

Um die Herausforderungen bei der Bereitstellung abwärtsinkompatibler Änderungen zu minimieren, haben wir derzeit zwei Empfehlungen für Identitätsanbieter:

  • Abonnieren Sie unseren Newsletter, um über die Weiterentwicklung der API auf dem Laufenden zu bleiben.
  • Wir empfehlen IdPs dringend, die FedCM API über JavaScript SDKs zu verteilen, während die API reif ist, und RPs von selbst gehosteten SDKs abzuhalten. Dadurch wird sichergestellt, dass IdPs während der Weiterentwicklung der API Änderungen vornehmen können, ohne alle ihre vertrauenden Parteien um eine erneute Bereitstellung bitten zu müssen.

Hintergrund

In den letzten zehn Jahren hat die Identitätsföderation eine zentrale Rolle dabei gespielt, die Messlatte für die Authentifizierung im Web im Hinblick auf Vertrauenswürdigkeit, Nutzerfreundlichkeit (z. B. passwortlose Einmalanmeldung) und Sicherheit (z. B. bessere Widerstandsfähigkeit gegen Phishing- und Credential Stuffing-Angriffe) im Vergleich zu Nutzernamen und Passwörtern pro Website zu erhöhen.

Leider werden die Mechanismen, auf die sich die Identitätsföderation stützt (iFrames, Weiterleitungen und Cookies), aktiv missbraucht, um Nutzer im Web zu verfolgen. Da der User-Agent nicht zwischen Identitätsföderation und Tracking unterscheiden kann, erschweren die Schutzmaßnahmen für die verschiedenen Arten von Missbrauch die Bereitstellung der Identitätsföderation.

FedCM umfasst mehrere Schritte, um die Identität im Web zu verbessern. Im ersten Schritt konzentrieren wir uns darauf, die Auswirkungen der Einstellung von Drittanbieter-Cookies auf die föderierte Identität zu reduzieren (weitere Informationen).

Ein Nutzer unterschreibt sich mit FedCM bei einem RP

Chrome experimentiert seit Chrome 101 mit FedCM.

Das Team von Google Identity Services nahm am Ursprungstest teil und zeigte, dass der Wechsel zu einem privater und sichereren Anmeldeprozess ohne Drittanbieter-Cookies transparent durch abwärtskompatible Aktualisierungen der vorhandenen Bibliothek erfolgen kann. Sie ermöglichten FedCM für 20 verschiedene vertrauende Seiten und mehr als 300.000 Nutzer, die sich während Ursprungstests bei ihnen angemeldet hatten. Hier finden Sie weitere Informationen dazu, wie sie ihre Abhängigkeit von Drittanbieter-Cookies beseitigen möchten.

Wir freuen uns darauf, eine Menge Gemeinsamkeiten mit Mozilla zu finden, der sich aktiv an Designdiskussionen beteiligt und mit dem Prototyping von FedCM in Firefox begonnen hat. Apple hat angegeben, dass er die Spezifikation allgemein unterstützt, und nimmt jetzt an Diskussionen bei der FedID CG teil.

Nächste Schritte

Wir arbeiten an einer Reihe von Änderungen für FedCM.

Es gibt einige Dinge, die uns bekannt sind und die noch erledigt werden müssen, darunter Probleme, von denen wir von IdPs, RPs und Browseranbietern gehört haben. Wir glauben, dass wir wissen, wie wir diese Probleme lösen können:

  • Unterstützung für ursprungsübergreifende iFrames: IdPs können FedCM von einem ursprungsübergreifenden iFrame aus aufrufen.
  • Personalisierte Schaltfläche: IdPs können die Identität eines wiederkehrenden Nutzers auf der Anmeldeschaltfläche innerhalb eines ursprungsübergreifenden iFrames anzeigen lassen.
  • Messwertendpunkt: Stellt Leistungsmesswerte für IdPs bereit.

Darüber hinaus gibt es ungelöste Probleme, die wir aktiv untersuchen, einschließlich bestimmter Angebote, die wir evaluieren oder Prototypen erstellen:

Schließlich gibt es noch einige Dinge, die unserer Meinung nach aufgrund des Feedbacks von Mozilla, Apple und TAG-Prüfern noch erledigt werden müssen. Wir arbeiten daran, die beste Lösung für diese offenen Fragen zu finden:

  • Verständnis für Nutzer und Zuordnungsabsicht verbessern: Wie Mozilla angemerkt hat, möchten wir gerne weitere UX-Formulierungen und Oberflächen sowie Triggerkriterien untersuchen.
  • Identitätsattribute und selektive Offenlegung: Wie unsere TAG-Prüfer bereits angemerkt haben, möchten wir einen Mechanismus anbieten, mit dem selektiv mehr oder weniger Identitätsattribute wie E-Mail-Adressen, Altersgruppen, Telefonnummern usw. geteilt werden können.
  • Anheben der Datenschutzeigenschaften: Wie Mozilla hier vorgeschlagen, möchten wir weiter an Mechanismen für bessere Datenschutzgarantien arbeiten, wie IdP-Blindheit und gerichtete Kennungen.
  • Beziehung zu WebAuthn: Wie von Apple vorgeschlagen, freuen wir uns sehr über die Fortschritte bei Passkeys und die Arbeit an einer kohärenten und zusammenhängenden Erfahrung zwischen FedCM, Passwords, WebAuthn und WebOTP.
  • Anmeldestatus: Wie Apple in der Login Status API der Datenschutz-Community vorgeschlagen hat, sind wir der Meinung, dass der Anmeldestatus des Nutzers eine nützliche Information ist, die Browsern helfen kann, fundierte Entscheidungen zu treffen. Wir sind gespannt, welche Möglichkeiten sich daraus ergeben.
  • Unternehmen und Bildungseinrichtungen: Wie aus der FedID CG deutlich wird, gibt es immer noch viele Anwendungsfälle, die von FedCM nicht gut bearbeitet werden könnten, wie etwa die Front-Channel-Abmeldung (die Fähigkeit eines IdP, ein Signal an RPs zu senden, um sich abzumelden) und die Unterstützung für SAML.
  • Beziehung zu mDLs, VCs und anderen: Informieren Sie sich weiter, wie diese in FedCM passen, z. B. mit der Mobile Document Request API.

Ressourcen