El ingeniero y autor Phil Windley acaba de publicar 'Authorization in Action' (Manning), un libro que sostiene que la autenticación — saber quién es alguien — es un problema prácticamente cerrado gracias a tecnologías como las passkeys y FIDO, mientras que la autorización — decidir qué puede hacer esa persona, en qué condiciones, en nombre de quién y en qué contexto — sigue improvisándose, oculta en el código de cada aplicación y reinventada de forma deficiente por cada equipo. Esa brecha, argumenta, es la razón de ser del libro.
Windley fue CIO del Estado de Utah en 2001 y cofundador del Internet Identity Workshop (IIW), que lleva 42 ediciones reuniendo a la comunidad de identidad digital. Tras escribir 'Digital Identity', 'The Live Web' y 'Learning Digital Identity', afirma que la pregunta pendiente es qué puede hacer un usuario una vez identificado. A finales de 2022 se incorporó a AWS Identity, donde trabajó con los equipos de Amazon Verified Permissions y del lenguaje de políticas Cedar, lo que le permitió comprobar a escala que una autorización granular y externa al código no solo mejora la seguridad, sino también la usabilidad.
El detonante final del libro, explica, es la irrupción de los agentes de IA: cuando un software puede leer el calendario, gastar dinero o enviar correos en nombre de una persona, la pregunta '¿qué se le permite hacer y con qué autoridad?' pasa de ser secundaria a convertirse en el eje de la seguridad y la gobernanza. El libro recorre ese camino mediante una empresa ficticia, ACME, que pasa de un control de acceso enmarañado a una autorización basada en políticas con modelos de relaciones, roles, atributos y lenguajes formales.