[InetBib] Schwächen zentraler Identifikatorensysteme

[Marcus Latour via InetBib <inetbib@xxxxxxxxxx>]

Lesenswerter Beitrag in o-bib Bd. 8 Nr. 4 (2021) 
<https://www.o-bib.de/bib/issue/view/324>: Dezentrale Identifikatoren 
(DIDs)https://www.o-bib.de/bib/article/view/5755/8591

Auszüge:

Das maßgebliche Problem ist, dass Identifikatoren wie DOI, Handle, ORCID oder 
ROR in einer zentralen Datenbank unter Verantwortung einer zentralen Autorität 
gespeichert werden.

Hier offenbart sich ein fundamentaler Denkfehler in dem Ansatz konventioneller 
PID-Dienste: Diese sind selbst nur per URL über das Web erreichbar. Würden die 
Domains doi.org, handle.net, orcid.org oder ror.org entweder durch einen 
Serverausfall oder im schlimmsten Fall durch böswilliges Domain-Hijacking32 
nicht mehr erreichbar sein, sind die damit verbundenen Identifikatoren 
unbrauchbar oder sogar schädlich. Das Konzept der zentralen 
Identifikatorensysteme ersetzt somit nur eine Abhängigkeit (sich verändernde 
URLs) mit einer neuen Abhängigkeit (zentralisierte web-basierte PID-Dienste).

Hinzu kommt noch die Problematik, dass jeder Anbieter eines 
Identifikatorensystems seine eigenen Sicherheits- und Datenschutzrichtlinien 
festlegt, denen die Nutzer*innen des Systems unterliegen. Entsprechend hat der 
Sitz der Organisation eine bedeutende Auswirkung darauf, ob die strikten 
Datenschutzvorgaben der europäischen Datenschutz-Grundverordnung (DSGVO) 
eingehalten werden oder nicht. Die International DOI Foundation beispielsweise 
sitzt in den USA33, genauso wie die ORCID Inc und ROR.

Keines der bisher behandelten Identifikatorensysteme stellt technisch sicher, 
dass die Integrität der dort gespeicherten (Meta-)Daten gewahrt bleibt. Es gibt 
keine öffentlich einsehbaren Änderungshistorien oder verifizierbare Prüfsummen 
der Datensätze.

Sobald Nutzer*innen also zentrale Identifikatorensysteme verwenden, legen sie 
die alleinige Gewährleistung über die Authentizität ihrer referenzierten Daten 
in die Hände des jeweiligen Anbieters.

Fünf Anforderungen zur Umsetzung von PIDs

1. Persistente Identifikatoren müssen von jedem, schnell und auch in Masse 
günstig anzulegen sein.
2. Persistente Identifikatoren müssen beständig einem Subjekt zu einem festen 
Zweck zugewiesen und unveränderbar sein.
3. Persistente Identifikatoren müssen dauerhaft resolvable sein, damit auf 
Langzeit mindestens die Metadaten abrufbar sind.
4. Persistente Identifikatoren müssen nachhaltig und unabhängig sein, indem sie 
nicht auf zentralen Registrierungsstellen, Identitätsprovidern oder anderen 
zwischengeschalteten Autoritäten basieren, die anfällig sind für Hacks, 
Manipulation und Datenleaks.
5. Persistente Identifikatoren müssen sicher sein. Eine Person oder 
Organisation muss im Stande sein, nachweisen zu können, dass sie über einen 
Identifikator verfügt oder eben nicht verfügt. Kryptografie ist für diesen 
Zweck die aktuell einzig verlässliche Technologie, ohne sich auf die 
Fehlbarkeit von Menschen verlassen zu müssen.