MSDN で The Law of Identity という面白い記事を読んだ。幾つかの法則を見てみると .NET パスポートが何故 Single Sign-In の認証サービスとして失敗したかが見えてくる。

例えば第二の法則は「最低限の情報の開示」。例えばクレジットカード情報の必要ないサイトにはその情報を公開しない様にする仕組みが必要だ。パスポートにはそのような仕組みはなく、ユーザーがどの情報をどのサイトに対して公開するかは管理できない。

第三の法則は「不必要なサイトへの情報開示」、つまり個人情報の開示を必要最低限のサイトのみに限定するための仕組みだ。パスポートはマイクロソフト独自のテクノロジーであり MSN 外のサイトの殆どではマイクロソフトが関わる必要はないが、それを避けることはできない。

第五の法則は「複数のプロバイダー」。これはパスポートの様に中央化された一つの Identity システムに頼るのではなく、複数のプロバイダーが互換性のある Identity サービスを提供する Metasystem を提案している。

そして第六の法則はハッカーからユーザーを守る「明白なインターフェース」だ。現在のパスポートでは偽造があまりにも簡単すぎる。Identity システムは曖昧でない、明白なインターフェースをユーザーに提供する必要がある。