“Anmelden mit Xing”:
Xing wagt den Schritt zum Identitätsanbieter
Xing hat die Testphase einer Funktion eingeleitet, mit der externe Websites Besuchern eine Login-Möglichkeit über ihre Xing-Benutzerdaten anbieten können. Das Geschäftsnetzwerk folgt damit den Spuren von Facebook, Twitter und LinkedIn.
Ich kann mich noch nicht entscheiden, ob die gestern im Entwicklerblog des Unternehmens angekündigte Neuerung überraschend kommt oder nicht. Aber in jedem Fall haben die Xing-Mitarbeiter Christopher Blum, Lennart Koopmann und Nenad Nikolic dort die erste Version der von ihnen anscheinend als Nebenprojekt entwickelten “Anmelden mit Xing”-Funktionalität vorgestellt, die praktischerweise “Xing Connect” genannt wird.
Analog zu Facebooks, Twitters und LinkdedIns Login-Mechanismus können Betreiber von externen Websites so Besuchern die Möglichkeit einräumen, sich mit ihren Xing-Zugangsdaten einzuloggen, statt ein neues Benutzerkonto zu registrieren. User werden daraufhin zu einer bei Xing gehosten Seite weitergeleitet, auf der sie die Verwendung dex Xing-Kontos für den Anmeldeprozess autorisieren müssen.
An die jeweilige das Feature einsetzende Website übergeben werden anschließend der Vor- und Nachname, das Profilfoto sowie die URL zum Xing-Profil. Die Autorisierung geschieht dabei nicht über den verbreiteten OAuth-Standard sondern über HTML5 Cross-Document Messaging. Weitere technischen Details werden im Blogpost beschrieben.
Die Funktion befindet sich momentan im Teststadium und steht in dieser Phase lediglich auf Anfrage per E-Mail zur Verfügung. Der Blogbeitrag ruft Interessenten ausdrücklich dazu auf, sich bei Xing zu melden, um das Feature einem Stresstest zu unterziehen, bevor es offiziell verfügbar gemacht wird. Einen konkreten Zeitpunkt dafür konnte das Unternehmen auf Anfrage noch nicht nennen.
Wer will, kann Xing Connect auch gleich im Developer-Blog des Business Networks ausprobieren.
Update: Marcel Weiss sieht ein Strategieversagen des Xing-Managments darin, dass die Neuerung von den verantwortlichen Entwicklern in Eigenregie in ihrer für Experimente zur Verfügung stehenden Arbeitszeit gebaut werden musste, statt ein offizielles, von der Firmenleitung priorisiertes Projekt zu sein.
Artikel per Feed
Artikel per E-Mail
Artikel bei Twitter
Facebook-Seite
Wie schon getweetet: ein bisschen spät kommen sie damit. Ok: was wäre die Alternative dazu (außer den ganzen Laden schnell an Linkedin zu verticken)?
Bei der technischen Umsetzung gibt es aber durchaus eine Alternative: OAuth verwenden. Denn sonst müssen Sites, die bereits Login über andere relevante Plattformen (Facebook, Linkedin, Twitter, …) zulassen, einen zusätzlichen Mechanismus (nämlich Xings) implementieren. Xing sollte es diesen Sites doch möglichst einfach machen, Login über Xing zu integrieren, indem vorhandene, wohlverstandene Mechanismen bedient werden.
Hallo Gerrit,
der Mechanismus hinter XING Connect benötigt (in seiner einfachsten Variante) keine serverseitigen Anpassungen.
H.
Ohne die Xing-Technik jetzt im Detail analysiert zu haben: Kann man ohne serverseitige Komponenten überhaupt “interessante” Anwendungen hinbekommen, bzw. ist es nicht ein Sicherheitsproblem, wenn sozusagen nur der Browser weiß, dass man angemeldet ist?
Diese HTML5 Technology die Xing da nutzt, hört sich echt interessant an. Stelle mir aber wirklich die Frage, ob Xing in der Situation ist, bei “Connect”-Features eine neue Technology ins Spiel zu bringen. VIl. sollte man sich da eher an den Großen orientieren?
Grundsätzlich kann ich mir aber sehr gut vorstellen, dass daraus was schönes wächst. Wenn man geschäftlich online kommentieren will usw. will vil. nicht jeder dafür seine Facebook-Identität nutzen, sondern lieber seine saubere “Business-Identität”…
Ich finde das ist ein sehr nützliches Feature. Endlich gibt es das auch bei Xing. Bin schon gespannt wann es offiziell für alle zur Verfügung steht.
Naa, das wurde ja auch langsam Zeit! Ich hoffe, dem Test folgt eine entsprechende Umsetzung…
Muss man allem folgen, was FB, Twitter & Co. vormachen? Aus Sicherheitsgründen lehne ich diese Neuerungen kategorisch ab.
Wo genau hast du denn da Sicherheitsbedenken?
Sicherheitsbedenken: Ich kann mir vorstellen, dass, wenn ich als Nutzer mit einem fehlerhaften Browser unterwegs bin, dieser Broser dann z.B. Messages von beliebigen Sites annimmt, ohne sie auf den zulässigen ‘origin’ zu prüfen. Dann kann die böswillige Site z.B. dem devblog-Formular suggerieren, dass ich Simon Michaelis bin, und dann poste ich in Deinem Namen irgendwelches Zeug.
Dadurch, dass bei OAuth m.W. die Tokens zwischen den Servern ausgetauscht werden, sind fehlerhafte Browser da weniger ein Sicherheitsproblem, d.h., der Website-Betreiber hat die Sicherheit (zumindest an der Stelle) selbst unter Kontrolle.
Disclaimer: hab mich bisher nicht eingehend mit diesen Technologien befasst. Es kann natürlich bei beiden Technologien noch alle möglichen anderen Sicherheitslöcher geben, die möglicherweise erst nach Jahren aufpoppen.
Auf eine breit eingesetzte Technologie wie OAuth 1.0a oder 2.0 zu setzen, bietet jedoch den pauschal behaupteten Sicherheitsvorteil, dass schon viel mehr Leute viel länger nach Löchern gesucht haben.
Klingt plausibel, dass OAuth da mehr Sicherheit bietet. Meine Frage hat auch eher in Richtung Facebook Connect usw. gezielt. Hier sehe ich im Moment eher nicht DAS immense Sicherheitsrisiko…
Ein Schritt in die richtige Richtung von XING, auch wenn es leider lange gedauert hat. Bin gespannt auf die Umsetzung.