Национальная стратегия доверенных идентичностей в киберпространстве

Разработка стратегии велась с участием представителей частного сектора, включая организации, представлявшие 18 бизнес-групп, 70 некоммерческих и федеральных консультативных объединений, а также с учётом общественных обсуждений и комментариев.

Были определены четыре руководящих принципа стратегии:^[4]

1. ориентированность на защиту приватности, добровольность участия;
2. безопасность и устойчивость;
3. межоперабельность;
4. экономическая эффективность и простота использования.

NSTIC описывалась как модель экосистемы, где индивидуумы, бизнес и иные организации получают большее доверие и безопасность при проведении чувствительных онлайн-транзакций. Технологии, политики и согласованные стандарты должны были надёжно поддерживать любые транзакции — от анонимных до полностью аутентифицированных и от малых до значительных по объёму.

Реализация стратегии включала три основных инициативы:

• Руководящая группа экосистемы идентичности (IDESG) — ведомая частным сектором организация по разработке рамочной структуры экосистемы идентичности^[5];
• Финансирование пилотных проектов, отвечающих ключевым принципам NSTIC^[6];
• Федеральная облачная система обмена учётными данными ( FCCX)^[7], — федеральный сервис, позволяющий госагентствам принимать учётные данные, выданные аккредитованными третьими сторонами по утверждённой схеме FICAM.

NSTIC была объявлена при президентстве Барака Обамы 15 апреля 2011 года, ближе к завершению его первого срока^[1]. По данным СМИ, стратегия предусматривала для граждан возможность безопасно подтверждать свою личность при совершении таких чувствительных операций, как банковские переводы или доступ к медицинским данным, а также анонимность для менее чувствительных задач, например при ведении блогов или обычном веб-сёрфинге^[8].

В январе 2011 года министерство торговли США создало Национальный программный офис (NPO), возглавляемый Национальным институтом стандартов и технологий — для поддержки внедрения NSTIC^[9]. Для координации действий федеральных ведомств NPO взаимодействовал с координатором по кибербезопасности Белого дома — изначально им был Ховард Шмидт^[3], в 2012 году на эту должность назначили Майкла Дэниела^[10].

NSTIC предусматривал создание руководящей группы, возглавляемой частным сектором, для организации разработки и внедрения соответствующего рамочного документа. Identity Ecosystem Steering Group (IDESG) провела встречу в Чикаго 15–16 августа 2012 года^[11]. На встрече присутствовали 195 участников очно и 315 — дистанционно. Позднее состоялись пленарные заседания в Финиксе (Аризона)^[12], Санта-Кларе (Калифорния)^[13] и Бостоне (Массачусетс). В период с 2012 по 2014 год административную поддержку группы осуществляла компания Trusted Federal Systems, Inc^[14].

Федеральное правительство инициировало и поддерживало пилотные программы. В 2012 году NSTIC выделила $9 млн на пилотные проекты в первый год. К примеру, Американская ассоциация администраторов автотранспортных средств в сотрудничестве с штатом Вирджиния разрабатывала пилот по коммерческой выдаче учётных данных для онлайн-идентификации через Департамент транспортных средств Вирджинии^[15]. Проект Internet2 получил грант около $1,8 млн для проведения исследований^[15]. Компания ID.me получила двухлетний грант в 2013 году^[16].

Дальнейшие исследования, финансируемые NIST, доступны на странице Trusted Identities Group^[17].

NSTIC предполагала, что федеральные агентства правительства США станут ранними пользователями экосистемы идентичности, заложенной в стратегии^[7]. Государственные учреждения сталкивались с трудностями при реализации — как во внутренних, так и во внешних сервисах. Технические, политические и финансовые барьеры осложняли приём идентификационных данных, выданных аккредитованными в рамках инициативы Федерального управления идентификацией, учётными записями и доступом (FICAM)^[18].

В ответ администрация США создала команду Federal Cloud Credential Exchange (FCCX), которую возглавили представители NSTIC и федеральной Администрации общих служб. В команду входили представители ведомств, чьи сервисы предоставляют доступ широкому кругу пользователей. В ноябре 2012 года Почтовая служба США была выбрана для управления пилотной версией FCCX, а контракт на её разработку был выдан компании SecureKey Technologies, входящей в альянс англ. FIDO Alliance. Контракт был продлён в мае 2015 года^[19][20].

Connect.gov был запущен в декабре 2014 года как результат данного пилотного проекта. Первые две компании, предоставившие услуги управления идентичностями, совместимые с Connect.gov для граждан США, — ID.me и Verizon^[21]. Ping Identity и Forgerock стали первыми платформами, поддержавшими удостоверения, соответствующие требованиям FICAM, обеспечив частному сектору безопасный доступ к госагентствам, что являлось одной из основных задач проекта^[22][23].

10 мая 2016 года команда 18F объявила в блоге о замене Connect.gov на новую систему^[24][25]. Новая система получила название Login.gov^[26] и была запущена в апреле 2017 года^[27].

Руководящая группа экосистемы идентичности (IDESG) получила стартовое финансирование от NIST в 2010 году и с тех пор выпустила ряд документов, опубликованных на их сайте^[28]. В 2016 году была представлена и публично доступна база для самооценки — Identity Ecosystem Framework (IDEF) Registry^[29].

С момента выпуска первого черновика в июне 2010 года предлагаемый проект подвергался критике^[3][30]. Основные вопросы затрагивали приватность.

Вскоре после публикации черновика Центр электронной приватности информации ( EPIC) совместно с другими организациями по защите прав потребителей и гражданских свобод направил комитету заявление с призывом создать более чёткий и полный план по обеспечению прав и приватности пользователей интернета^[31]. Руководитель EPIC Марк Ротенберг назвал NSTIC «историческим» шагом, однако отметил: «... онлайн-идентификация — сложная проблема, а риск кибер-кражи идентичности при консолидации механизма идентичности весьма реален. США предстоит сделать больше для защиты приватности в интернете»^[32].

NSTIC учёл часть подобных опасений, опубликовав в 2013 году документ по принципам надёжной обработки информации^[33]. В последующем вопросу приватности уделялось отдельное внимание; в IDESG работал специальный комитет с участием Американского союза гражданских свобод , Фонда электронных рубежей.