MyOpenID en controle over je online identiteit

Ik kreeg een mail van Larry Drebes van Janrain.com
Wie is dat? zul je zeggen. Nou het is het bedrijf achter MyOpenID. MyOpenID is/was een gratis dienst waarbij je een identiteit aan kon maken waarmee je dan (o.a.) op verschillende websites in kon loggen. Datzelfde als wat je nu met je Google-account, Twitter-account, Facebook-account ook kunt doen. Maar dan al wat eerder dan dat die bedrijven dat mogelijk maakten én met het voordeel dat het een relatief onafhankelijke partij was.

Maar Janrain gaat stoppen met myOpenID en per februari 2014 gaat de stekker er uit. Pech gehad. Het is niet dat ik mijn myOpenID identiteit heel erg vaak gebruikte. Alleen als ik moest inloggen op Wikispaces omdat die een tijdje lang alleen maar OpenID ondersteunden (toen het er op leek dat dat dé manier van inloggen zou gaan worden).
Nou begrijp ik dat het al wat langer bergafwaarts gaat met myOpenID, maar eigenlijk is het toch wel heel erg jammer dat dat concept het niet geworden is. Want jeetje, wat is het een zooitje op dit moment met al die inlog-accounts.

Zelfs SURFnet doet er aan mee. Ik kreeg deze week het bericht dat ik mijn SURFguest-account om moest zetten naar een account bij Onegini.me. En daarvoor hoefde ik dan geen nieuwe gebruikersnaam en/of wachtwoord te verzinnen. Nee, ik kon gewoon een van mijn bestaande accounts gebruiken (Facebook, Microsoft, Google+, LinkedIn, Twitter). Toch wel zo handig?

Nou nee, want ik gebruik een veelvoud van verschillende ‘bestaande’ accounts om op verschillende plaatsen in te loggen. Het komt namelijk regelmatig voor dat het gebruik van een bestaand account op een site, onwenselijke gevolgen heeft.

Neem bijvoorbeeld het weblog van Raymond Snijders. Absoluut niet iemand die ik wantrouw of zo, maar als ik Twitter wil gebruiken om in te loggen en een reactie te plaatsen op zijn weblog, dan krijg ik onderstaand scherm:
Waarom moet de plugin toestemming hebben om ook namens mij tweets te kunnen plaatsen? Dat wil ik helemaal niet. Ik wil een reactie bij Raymond kunnen plaatsen.
Dus heb ik maar een van de andere opties gekozen (gewoon mijn naam en mailadres invullen) zodat ik die toestemming niet hoeft te geven.

Nog een voorbeeld: SURFSpace.nl

Lekker veel opties om in te kunnen loggen. Maar welke had ik hier ook al weer gekozen om mijn profiel aan te maken? Want als ik de volgende keer een andere inlogprovider gebruik, dan ziet SURFSpace dit als een nieuw profiel/nieuwe gebruiker. Vreemd genoeg vroeg de site namelijk ook bij de inlogprovider die al aan mijn profiel gekoppeld was (het bleek in dit geval Twitter te zijn) bij het vandaag inloggen opnieuw om de authorisatie. Die was hij dan blijkbaar kwijt?

Kortom, een zooitje. Ik geloof absoluut niet dat iedereen goed in de gaten houdt welke rechten een site vraagt als ze met een Google / Facebook / Twitter – account inloggen.
Bij sites zoals SURFSpace kan het leiden tot tamelijke vervuiling van het geheel van gebruikersprofielen én het blijft altijd de vraag of de partij waarbij je met een bestaand account inlogt wel betrouwbaar is en niet stiekum een schermpje laat zien waarmee het lijkt alsof je inlogt op aanbieder X of Y terwijl zij in werkelijkheid het wachtwoord van je account afvangen.
Een paar betrouwbare, onafhankelijk ID-providers die ook alleen dat als taak hebben, zouden dan handig/wenselijk zijn.