Gebruikers herkenning ASID, voor mobiele sitebouwers

Wo 9 juli 2008 22:05, Chris Bannink, 3907

Je wilt snel de files weten op jou dagelijkse route. Kost een paar clicks via de mobiele site van ANWB, tenzij je herkent wordt en je direct naar je ingestelde route wordt geleid. Of je hebt een betaald abonnement op een mobiele website en je hebt geen zin elke keer in te loggen met username-password.

Gebruikersherkenning is hierbij van belang en nu beschikbaar voor het (open) mobiele internet. Het is Anonymous Subscriber IDentification (ASID) genoemd. Niet zomaar een cookie zoals we dat bij het gewone internet gewend zijn, maar een koppeling met de msisdn die versleuteld (encrypt) wordt door de operator, waardoor via de ASID de msisdn NIET herleid kan worden.

De ASID is gekoppeld aan de simkaart en niet aan het mobieltje. Hierdoor blijven je ‘instellingen’ bekend bij de mobiele portals indien je van mobieltje wisselt. Als je wisselt van operator (dus van simkaart) zal je wel eenmalig opnieuw moeten inloggen op je favoriete sites. Dit alles geheel binnen de geldende privacy wetgeving.

De grote drie (KPN, T-Mobile, Vodafone) hebben dit – met een proefperiode van een jaar- gratis beschikbaar gesteld aan de contentpartijen. Wel dient er door de content partijen een contract getekend te worden in verband met de gebruiksvoorwaarden.

Hiermee is een van de grote wensen -en zelfs een van de redenen van oprichting van Open Mobiel Internet Initiatief (OMI2)- vervuld. Tot nu toe was de gebruikersherkenning wel beschikbaar voor contentpartijen binnen de operatorportalen als i-mode en v-live. Maar sinds de kanteling naar het open mobiele internet steeds harder gaat was dit een punt van aandacht.

Operators hebben dit onder de OMI2 paraplu gezamenlijk voor elkaar gekregen. Met name onder de leiding van ASID workstreamvoorzitter Wim de Koning, CEO van Fenestrae en Alex Rutgers, CTO van Momac. Deze laatste heeft een ASID handleiding geschreven voor alle mobiele websitebouwers die ASID willen gaan gebruiken. Een zogenaamd cookbook met alle details dat voor een beetje techneut prima te lezen is.

Er zijn tijdens het proces door diverse OMI2 partijen extra wensen rondom de ASID geformuleerd, zoals een extra beveiligde versie waardoor het ook voor betaaldoeleinden gebruikt zou kunnen worden. Deze wensen zijn met deze ASID release nog niet ingelost, maar ook daar wordt op termijn aan gewerkt.

Voor de opkomst van advertenties op mobiel internet is de ASID ook een voorwaarde. Het is nu door ASID bijvoorbeeld mogelijk "delivery capping" in te voeren; een techniek waarbij je telkens een andere advertentie te zien krijgt als je op dezelfde webpagina terugkomt. Behalve gebruikersvoorbeelden zoals in de eerste alinea van deze posting, kunnen content partijen hun gebruikers (die volledig anoniem blijven) volgen, het aantal unieke bezoekers tellen, klikpaden in beeld brengen, etc. etc. Zaken waar we niet meer zonder kunnen bij het gewone internet, maar nu pas echt beschikbaar komen voor het mobiele internet, dat hiermee weer een stapje verder richting volwassenheid groeit.

Gerelateerde links:
Sterke groei mobiel internet
Live from Mobile Monday #6 deel 1
Themaweek: Ontdek internet op je mobiel
Open Mobiel Internet (OMI) boekt vooruitgang!
Toegankelijkheid Mobiel Internet moet beter
Content partijen willen OPEN mobiel internet

<Asus ZX1 Lamborghini is geannuleerd

BlackBerry Thunder loopt (nu...>

Reacties (2)

- Erwin van Lun [website]
- Vr 11 jul 2008, 18:02
Is dit dan een soort OpenID?

Ik snap het toch niet helemaal. Voor de aanbieder, de ANWB, bvb moet duidelijk zijn wie inlogt, bvb Jan Jansen met lid nr. Die heeft dan een database waarin een versleutelde MSIDN zit. Een bank herkent ook Jan Jansen, maar krijgt een andere sleutel, dus een andere MSIDN. Betekent dat dus dat elke aanbieder een account aanmaakt bij dit iniatief, onder water een sleutel krijgt toegewezen, en daarmee versleutelde gebruikers id's krijgt?

Omdat de aanbieder (het merk) niet kan terugsleutelen, kunnen bestanden niet worden gekoppeld.

Heb ik het zo goed begrepen?
- Bart van Bragt [website]
- Di 8 dec 2009, 22:29
Beste Erik,

Enigszins aan de late kant maar toch een reactie. Het lijkt erop dat je het verhaal niet helemaal goed begrepen hebt. Hier staat overigens wat meer uitleg:

http://www.openmobielinternet.com/downloads/

Als ik het goed begrepen heb werkt het als volgt:

- Je mobiele telefoon doet een HTTP request b.v. bij de ANWB
- Je provider voegt een 'X-ASID' header toe aan je HTTP request, deze ID is altijd hetzelfde voor jouw telefoon
- De ANWB weet inmiddels dat jij Erwin van Lun bent (dat heb je ze ooit verteld) en kan daarom de juiste file info geven.

Als je even later de bank bezoekt dan hoop ik dat de bank niets met je ASID doet. Als ze dat toch doen dan krijgen ze precies hetzelfde ASID te zien en kun jij ze de eerste keer vertellen dat je Erwin bent. Herleiden naar een MSIDN kan niet (en mag niet) vanuit de ASID.

Tot zover het goede nieuws. Het slechte nieuws is dat:
- De providers dit zonder aankondiging meesturen met iedere request.
- Er geen sprake is van een opt-in procedure.
- Vodafone en KPN zelfs geen opt-out hebben.
- Dit systeem erg grote privacy implicaties heeft.
- Iedereen (terecht) moord en brand zou schreeuwen als Internet Explorer iets vergelijkbaars zou doen.
- Dit systeem ongeloofelijk onveilig is bij gebruik voor meer dan een veredelde user agent header.

Er wordt gezegd dat het allemaal binnen de privacy wetgeving valt maar dit lijkt me alleen waar doordat de privacy wetgeving geen rekening houdt met dit scenario. De ASID is een soort uber-cookie en een soort super-IP adres. Er zijn maar weinig sites die mensen op basis van alleen het IP adres inloggen en dat terwijl het IP een heel stuk moeilijker te spoofen is dan een ASID header.

Bottomline; ASID is een erg slecht plan bedacht door mensen met een focus op marketing die voorbij zijn gegaan aan alle beveiligings en privacy overwegingen.