OutOfCoffeeException

Ist es Zufall, ein Fall von “Murphys Law”, oder ist das CardSpace UI tatsächlich bei angeschlossenem Beamer viel langsamer als sonst?

Das Anmelden mit CardSpace an meinem Blog hat gerade mal wieder nur 2-3 Sekunden gedauert. So ziemlich jedes Mal, wenn ich den gleichen Vorgang während einer Präsentation zeige, dauert es furchtbar lange, bis endlich die CardSpace-Oberfläche erscheint. Jedes mal. Mindestens 10 Sekunden. Oft auch noch länger. Das hilft natürlich ungemein, das Publikum von CardSpace zu überzeugen…

Gestern fand in Paderborn zum 2. Mal ein Webmontag statt. Nachdem ich den ersten leider verpasst hatte war ich dieses Mal dabei, und habe mich auch mit einem kurzen Vortrag zu CardSpace beteiligt. Ich hatte mich erst vor ein paar Tagen im Wiki für den Vortrag eingetragen, Sonntag dann wieder ausgetragen, da mir die Zeit für eine Anständige Vorbereitung gefehlt hat, und dann habe ich ihn doch gehalten – das Thema hat einfach so wunderbar zum 1. Vortrag von Matthew zu OpenID gepasst.

Von den ersten zwei Vorträgen habe ich gar nicht soviel mitbekommen, da ich zu sehr damit beschäftigt war, meine ca. 2 1/2 stündige CardSpace Präsentation von meiner Train-the-trainer Session in Orlando so anzupassen, dass ich zumindest ein paar Folien davon für einen 15-minütigen Vortrag verwenden konnte.

Der Vortrag nach mir (es ging um Web Design) hat mir dafür aber super gefallen. Ich habe mich dann heute beim Erstellen eines Klassendiagramms auch gleich dabei ertappt, dass ich kurz davor war, beim Layout der Klassen den Goldenen Schnitt zu berücksichtigen ;).

Der Webmontag soll jetzt jedenfalls regelmäßig stattfinden, der nächste Termin ist für den 15.09.08 geplant.

Auch in diesem Jahr werde ich als Technical Learning Guide (TLG) auf der Microsoft TechEd in Orlando arbeiten. Ich werde dort wieder Teilnehmer in den Hands-on-labs unterstützen.

Zusätzlich werde ich ein Instructor Led Lab (ILL) präsentieren. ILLs sind Hands-on-labs, bei denen es zusätzlich vorher eine ca. 15 minütige Präsentation zum Thema gibt, und bei denen mehrere TLGs anwesend sind, die sich genau mit dem jeweiligen Lab auskennen. Mir wurde ein Lab zum Thema Windows Mobile User Interfaces zugewiesen – nicht gerade mein Erstwunsch, aber ich will mich auch nicht beschweren, schließlich ist eine Präsentation auf der TechEd immer eine tolle Chance, egal zu welchem Thema.

Am Samstag nach der TechEd werde ich wahrscheinlich auch noch eine Train-the-trainer Session zum Thema CardSpace halten. Das wird eine besondere Herausforderung, denn meine Zuhörer sind in diesem Fall Microsoft Trainer (MCTs) die zum größten Teil schon viel länger als Trainer arbeiten als ich selbst.

Letztes Jahr hat die Arbeit auf der TechEd sehr viel Spaß gemacht und ich habe dort viele interessante Leute kennen gelernt, von denen einige auch dieses Jahr wieder dabei sein werden. Vielleicht treffe ich ja auch wieder auf Teilnehmer aus Deutschland. Ich freue mich jedenfalls schon sehr darauf, dieses Jahr wieder dabei zu sein.

Ein Feature dass ich mir schon lange vom CardSpace Team gewünscht habe - CardSpace ohne SSL Zertifikate. Mit .NET 3.5 und Windows Vista SP1 wird es möglich sein, CardSpace auch auf Seiten ohne SSL Zertifikate zu nutzen. Damit wird CardSpace auch für die breite Masse von privaten Webseiten und Blogs nutzbar werden, und nicht nur für kommerzielle Seiten, für die die Kosten eines SSL Zertifikats unbedeutend sind.

Diese und weitere Neuerungen von CardSpace 3.5 wurden über das neue Blog des CardSpace Teams angekündigt.

Ich habe mir daraufhin direkt mal eine Beta des SP1 für Vista installiert und CardSpace Unterstützung in das Login zum Admin-Bereich der .NET Camp Web Seite eingebaut. Ich habe dabei wie bereits auch für mein Blog wieder die TokenProcessor.cs aus den CardSpace-Samples auf http://cardspace.netfx3.com verwendet. Dabei war eine kleine Anpassung erforderlich. Bei SSL-basiertem CardSpace wird das an die Web Seite übermittelte Token verschlüsselt, und muss somit von der TokenProcessor-Klasse wieder entschlüsselt werden. Die TokenProcessor-Klasse sucht deshalb nach Informationen über den verwendeten Verschlüsselungsalgorithmuss, und wirft eine Exception, wenn diese nicht vorhanden sind:

// Find the EncryptionMethod element, grab the Algorithm
if (!reader.ReadToDescendant(XmlEncryptionStrings.EncryptionMethod, XmlEncryptionStrings.Namespace))
    throw new ArgumentException("Cannot find token EncryptedMethod.");

An dieser Stelle kann man einfach die Entschlüsselung überspringen, und das (ja bereits unverschlüsselte) Token wieder zurück geben:

if (!reader.ReadToDescendant(XmlEncryptionStrings.EncryptionMethod, XmlEncryptionStrings.Namespace))
{
    return UnicodeEncoding.Default.GetBytes(xmlToken);
}

Da das SAML Token nicht verschlüsselt übertragen wird könnte ein Angreifer das Token aufzeichnen und erneut an die Seite senden. Inwiefern die SAMLSecurityTokenAuthenticator-Klasse, die von der TokenProcessor-Klasse zur Überprüfung des Tokens verwendet wird, so etwas überprüft, habe ich mir noch nicht angesehen. Vibro geht in seinem Blog kurz darauf ein - wenn die Gültigkeitsdauer des Tokens nicht zu lang gewählt wird scheint dies wohl kein großes Problem zu sein. Jedenfalls ist CardSpace auch ohne SSL noch deutlich sicherer als unverschlüsselt Übertragene Passwörter.

In der .NET Camp Web Seite funktioniert das CardSpace Login schon sehr gut, und ich muss mir ein Kennwort weniger merken :)

Windows LiveID unterstützt jetzt auch Windows CardSpace. Statt mit einem Passwort ist es nun möglich, eine CardSpace InfoCard für die Anmeldung bei Windows LiveID zu verwenden. Endlich!

Wie das genau funktioniert beschreibt Angus Logan in seinem Blog. Außerdem gibt es dazu einen Screencast auf Visitmix. Im LiveID Blog steht zwar noch nichts, aber auch dort sollte es bald weitere Informationen zu LiveID und CardSpace geben.

LiveID selbst wird im Moment für fast 1 Milliarde(!) Anmeldungen pro Tag verwendet, außerdem ist es möglich, LiveID auch in eigenen Web Seiten zu verwenden. Es gibt dazu auch Beispiele für PHP, Java und andere Sprachen.