Hoe creëer je online vertrouwen?

De Rijksdienst voor Identiteitsgegevens (RvIG) en ICTU verkennen vanuit Digicampus onder de noemer: ‘SSI nationaal spoor’ wat de mogelijkheden van Self-Sovereign Identity (SSI) zijn en wat de rol van de overheid daarbij is. Rowdy Chotkan deed in het kader van zijn Masterscriptie onderzoek naar SSI. In deze blog legt hij uit wat dit concept inhoudt en wat je er aan hebt. 

Digitaal vertrouwen

Het internet is ontworpen zonder een notie van vertrouwen. De technologie die wij het internet noemen, is op zeer kleine schaal begonnen zonder directe gedachten aan mogelijk misbruik. Dit heeft ertoe geleid dat iedere online service zijn eigen identificatie mechanismen kon ontwerpen. In de praktijk merk je dat aan de veelheid van inloggegevens die we moeten onthouden. Voor iedere online dienst waar je gebruik van wilt maken, heb je aparte inloggegevens nodig. Dit is voor gebruikers niet alleen vervelend, maar kan ook een grote impact op bijvoorbeeld je privacy hebben.

Online identificatie heeft al meerdere fases doorstaan. Op dit moment zitten wij, waarnaar de wetenschap refereert, in de derde fase van digitale identiteit. Deze derde fase wordt de gebruikersgerichte identiteit genoemd. De primaire elementen uit deze fase zijn: gebruikerstoestemming en interoperabiliteit. Gebruikerstoestemming houdt in dat de gebruiker zelf toestemming kan geven met wie zijn of haar gegevens worden gedeeld. Interoperabiliteit houdt in dat identificatiesystemen kunnen samenwerken met andere diensten. 

Hoewel zulke systemen bestaan, wordt een groot deel van de digitale identiteiten nog steeds door tech bedrijven gedomineerd. Denk hierbij aan de knop  “Sign in with Facebook” die je op veel websites tegenkomt. Aangezien zulke bedrijven  commercieel zijn, kan privacy een issue worden. Ook is het voor techbedrijven niet mogelijk om een digitale identiteit uit te geven.

Door de koppelingen met andere diensten, kunnen deze bedrijven nog meer over hun gebruikers te weten komen. Soms identificeren gebruikers zich zelfs met een kopie van hun paspoort. Dit brengt een fraude-risico met zich mee. Het grootste gevaar zit in het machtsverschil: doordat deze commerciële bedrijven jouw identiteit beheren voor talloze diensten, hebben ze de mogelijkheid om deze af te pakken. Het gevolg hiervan is dat je de toegang tot al deze diensten kwijtraakt, bijvoorbeeld doordat je iets tegen hun gebruiksvoorwaarden in doet.

De volgende stap

Met Self-Sovereign Identity (SSI) wat letterlijk vertaalt zelf-soevereine identiteit betekent, zou je deze knelpunten kunnen doorbreken. Het belangrijkste  principe achter SSI wordt duidelijk uit de naam: de zelf-soevereine aard van SSI plaatst de gebruiker in het midden van zijn of haar digitale identiteit. Dit houdt in dat geen centrale partij—oftewel autoriteit—jouw identiteit in handen heeft, maar dat je zelf de regie neemt. Over het algemeen worden de volgende tien principes aan SSI gelinkt:

• Bestaan: gebruikers bestaan los van elkaar. Een digitale identiteit is persoonsgebonden;
• Controle: gebruikers hebben controle over hun identiteit;
• Toegang: gebruikers hebben toegang tot hun informatie;
• Transparantie: systemen en algoritmes (speciale berekeningen over informatie) moeten open zijn. Dit houdt in dat het duidelijk is hoe zij werken;
• Volharding: identiteiten moeten langdurig zijn;
• Draagbaarheid: informatie over identiteiten moet draagbaar zijn. Dit houdt in dat zij nooit vaststaan bij een derde partij;
• Interoperabiliteit: identiteiten moeten met zoveel mogelijk systemen samen kunnen werken;
• Toestemming: gebruikers moeten toestemming geven hoe hun identiteit wordt gebruikt;
• Minimalisatie: er moet nooit meer informatie worden gedeeld dan nodig is. Dit met het oog op privacy;
• Beveiliging: de rechten van gebruikers moeten worden beschermd. Dit principe zorgt ervoor dat de gebruikers het belangrijkst zijn.

Uit deze principes blijkt dat een digitale identiteit persoonsgebonden is. De gebruiker beheert zelf zijn volledige identiteit en is een belangrijke schakel in het systeem. Ook moeten de technologieën zogenoemde open standaarden bevatten en kunnen communiceren met andere systemen. SSI richt zich  op de gebruiker en niet op de diensten waarmee je iemand kunt identificeren.

Attesten

Een attest is een schriftelijk bewijs, een officiële verklaring. Attesten dienen binnen SSI als verifieerbare claims. In een attest ondertekent een partij informatie met een wettige digitale handtekening. Dit is waardevol als deze partij autoriteit heeft over de betreffende informatie. Hierna kan iedereen verifiëren dat deze informatie juist is, omdat de desbetreffende autoriteit deze heeft ondertekend. Dit is zichtbaar in de onderstaande afbeelding. In dit geval is de autoriteit de RvIG. Met behulp van de Basis Registratie Personen kan de autoriteit (RvIG) gegevens over mensen verstrekken. Hierin kun je zien dat een Autoriteit digitaal ondertekent en dat Alice daadwerkelijk als Alice bekend staat. Hierna kan Alice deze ondertekende digitale informatie doorsturen naar Bob, die vervolgens de geattesteerde informatie verifieert. De verificatie wordt mogelijk gemaakt door speciale cryptografische berekeningen waardoor Bob zeker weet dat het ondertekend is door de Autoriteit.

Het hele systeem van SSI beheert het opslaan van deze attesten, het verifiëren ervan en de presentatie aan andere gebruikers. Dus om een SSI systeem te realiseren, zijn er kortweg twee bouwstenen nodig. Ten eerste, een manier van het opslaan van de attesten en ten tweede, een manier van communicatie tussen gebruikers.

Opslag & communicatie

Wat we nodig hebben is een digitale infrastructuur zonder centrale autoriteiten. Hiermee bedoelen we het opslaan van informatie en de benodigde servers—een dienstverlenende computer die bij deze partijen worden beheerd. In reeds gepresenteerde SSI systemen, wordt al veel gebruik gemaakt van zogeheten distributed ledger technologie. Distributed ledger technologie kan worden gezien als een groot opslag-mechanisme, waarbij meerdere servers het eens worden over wat voor informatie opgeslagen wordt. Hierna staat deze informatie op meerdere plekken opgeslagen. Een voorbeeld van distributed ledger technologie is blockchain technologie. Hierbij wordt informatie pas opgeslagen als de meerderheid van de computers het eens is over de informatie. Aangezien iedereen deel kan nemen aan zo’n netwerk, maakt dat distributed ledgers uitermate geschikt om SSI te realiseren.

Deze distributed ledgers kunnen dus zowel de attesten opslaan, als communicatie tussen gebruikers—bijvoorbeeld jijzelf—realiseren. Echter is het belangrijk om hierbij te benoemen dat distributed ledgers geen vereisten zijn. Attesten kunnen bijvoorbeeld ook op jouw smartphone worden opgeslagen en via HTTP protocollen (het protocol waarmee bijvoorbeeld Internet browsers communiceren) worden uitgewisseld. Distributed ledgers worden vaak gebruikt doordat er voordelen bij komen kijken—zoals een netwerk wat haast niet vatbaar is voor een DDoS aanval—en een infrastructuur die reeds ontwikkeld is.

De identiteit

We hebben een manier gevonden waarmee we zonder derde partijen informatie kunnen opslaan en verifiëren en waarmee we kunnen communiceren. Dit zijn de fundamenten van SSI. Als overheden en andere partijen jouw informatie digitaal ondertekenen, kun je zelf de baas blijven over jouw (digitale) identiteit. Immers staat het je vrij met wie je deze data deelt. Je hebt zelf de keuze om de data met Bob te delen of niet. Ook kan een autoriteit niet meer jouw identiteit gemakkelijk afpakken, aangezien deze staat opgeslagen op bijvoorbeeld een distributed ledger.

Use-cases

Nu we weten wat zelf-soevereine identiteit inhoudt, wordt het wellicht al duidelijk dat er veel meer mee kan worden gedaan dan het inloggen op een website. Het heeft de mogelijkheid om alle belangrijke informatie te digitaliseren en wereldwijd geldig te laten zijn. Jezelf inschrijven bij een buitenlandse universiteit is hier een voorbeeld van. Dit zou kunnen door een diploma te tonen die digitaal is ondertekend en aan de digitaal ondertekende identiteit is gekoppeld. Maar ook zaken als leningen aanvragen kunnen gemakkelijker. Zo kan bijvoorbeeld de waarde van je jaarlijkse inkomsten worden ondertekend door de belastingdienst inclusief de nog openstaande schulden. Hiermee kan iemand met schulden zelf aantonen wat de beslagvrije voet is. Bij actuele projecten zoals de digitale COVID-19 vaccinatie-paspoorten, worden al SSI-gerelateerde technieken ingezet. Deze zouden dan gelijk in heel Europa verifieerbaar zijn.

Een geheel andere use-case voor SSI is het gebruik in derdewereldlanden. SSI kan ook een introductie voor identiteit in derdewereldlanden zijn. Door het gemis van valide identiteiten worden inwoners van zulke landen uitgesloten van bepaalde diensten. Dit wordt ook wel het gemis van economische inclusie genoemd. SSI kan men in derdewereldlanden een valide identiteit verschaffen. Hierdoor hebben zij een grotere kans om hun leven te verbeteren.

Tot slot

De technologie is er, echter wordt het nog niet toegepast. Hoe komt dat? Dit komt vooral doordat SSI op grote schaal moet worden gebruikt voordat het een reëel alternatief wordt. Naar mijn mening kan dit alleen gerealiseerd worden door de introductie vanuit overheden. Immers moet er een verifieerbare link zijn tussen een persoon en zijn digitale identiteit. Aangezien de overheid dit reeds bijhoudt, is het een logische stap dat jouw digitale identiteit ook door hen wordt ondertekend. Het grote verschil, natuurlijk, is dan dat de overheid niet jouw identiteit beheert. De overheid zal deze alleen attesteren.

Rowdy Chotkan is Master student Computer Science aan de TU Delft. Voor zijn afstuderen doet hij onderzoek naar SSI bij de RvIG. In het bijzonder onderzoekt hij de mogelijkheden voor revocatie in een compleet decentraal SSI systeem, waarmee hij de fundamenten legt voor een digitale identiteit die wereldwijd werkzaam is.

Afbeelding header: Paul Payam Almasi