Myslím si, že tvůj protokol se víc blíží jinému profilu, a to Web Browser SSO. Ten má ovšem proti tvému jednu základní výhodu, a to že odpadá přímá komunikace mezi SP a IdP (proč je to dobře se dočteš třeba v těch zákonech identity).

Přijde mi, že jsi v podstatě ze SAML vykostil věci, které ti přijdou pro tvůj konkrétní scénář zbytečné. Což je nepochybně možné, protože SAML narozdíl od tebe představuje univerzální formát pro zcela jakékoliv použití.

Zásadní nevýhodou tvého systému (stejně jako OpenID) v mých očích je, že neřeší problém phishingu a v důsledku toho podvrženého identity providera. Což ovšem ze všech dostupných řešení pokud je mi známo řeší jenom Information Card, protože není čistě browser-based (což s sebou nese zase další záludnosti).

Jinými slovy: přijde mi, že tvoje řešení je jenom jinou implementací toho, co tady už je. Možná je jednodušší, nicméně nemyslím si, že komplikovanost implementace na straně SP/IdP je důvodem, proč se tyto systémy dosud nerozšířily.

Jde o to, že Laws of identity vznikly např. jako reakce na zbastlené OpenID - nijak nepolemizuju, že je hrozné. Podle mého názoru je lepší a bezpečnější třeba logika information cards, která má ovšem nevýhodu v malé portabilitě.

SAML a technlogie na něj navázané jsou způsobem, jak všechny tyhle technologie (OpenID, InfoCard, NTLM, třeba i tu tvoji) nějak rozumně propojit. Protože pro mne je třeba výrazně snazší použít podporu SAML vestavěnou v .NET Frameworku, resp. WIF, než bastlit nějaký jiný systém, byť jednoduchý.

Budí to ve mně dojem, že pod dojmem OpenID (které je dost hrozné, pravda), jsi vymyslel nějaké řešení, o kterém si myslíš, že je geniální, ovšem aniž bys věděl něco o současné situaci v oboru. Skutečně nelze vyloučit možnost, že jsi z jedné vody načisto vymyslel geniální postup, aniž bys předtím věděl něco o oboru, do kterého jsi vlezl, ale nepokládám ji za příliš pravděpodobnou.

Mimochodem: zákony identity a systémy na nich založené řeší i problémy, které zmiňuješ. O důvod víc, proč se zajímat o to, co dělají jiní.

Druhý a možná ještě podstatnější důvod je, že není zase až tak obtížné vymyslet autentizační protkol (např.), ale je obtížné přimět RP (relying party) a EU (end user, subject), aby to používali, protože jim to něco nového přinese. Už jenom z tohoto důvodu mi přijde rozumné nezačínat s jiným systémem od nuly, ale třeba se zapojit do vývoje jiného systému, který má větší šanci na úspěch.

The Laws of Identity

Jinak si myslím, že pokud něco současné IT nepotřebuje, tak je to ještě další přihlašovací protokol. Není nijak těžké je vymyslet, je těžké je prosadit, protože jejich uživatelé (jak RP tak EU) v nich zpravidla nevidí hodnotu.

Jde taky o to, jestli ti jde jenom o identifikaci, nebo i autentizaci a další...