Verifiserbar informasjon: Et EU-initiativ for å øke tilliten og redusere kostnadene

I en tid med hyperskalering av kunstig intelligens er balansen mellom kapital og arbeid mer skjev enn noen gang før. Og kapitalen - som enhver marxist eller moderne økonom vil fortelle deg - er konsentrert på færre og færre hender.

Vår tids kapitalister skyter opp raketter, jakter på tekno-utopier og ber om lønnspakker på billioner av dollar. Samtidig kan vanlige sykdommer her på jorden komme ut av kontroll, og klimaet fortsetter å forverres.

Til slutt har teknologimilliardærer kontroll over store sosiale medieplattformer og kraftige AI-systemer, noe som gir dem betydelig innflytelse over hvordan informasjon distribueres og gjøres tilgjengelig.

Dette er bakteppet som unge mennesker må navigere i den digitale verdenen mot. Dette er vår kollektive utfordring. Og dette er ikke på noen måte en utfordring for én person eller ett selskap. Det kan det ikke være, og det bør det heller ikke være.

Denne utfordringen krever at vi alle bidrar etter beste evne. Som det visstnok heter hos AP Møller-Mærsk: "Den der har evnen har pligten." På engelsk: "Den som har evnen, har plikten til å bruke den."

Et helt spesielt sett med ferdigheter

Og i likhet med Liam Neeson har noen av oss et helt spesielt sett med ferdigheter. Vi vet hvordan digital identitet kan skape tillit i en verden full av støy.

Vi kan ikke på egen hånd regulere AI. Vi kan ikke tvinge plattformene til å ta ansvar. Men vi vet hvordan vi kan bygge infrastruktur for tillit, som i stor grad er uavhengig av den underliggende teknologien.

Dette er infrastruktur som gjør det mulig for mennesker og systemer å vite hvem de har med å gjøre, hva de kan stole på, og hvor informasjonen kommer fra.

En tid med informasjon vi kan stole på

Det grunnleggende laget er digital identitet og det vi liker å kalle verifiserbar informasjon.

Den nye, lett identifiserbare komponenten er den digitale lommeboken, som inneholder disse nye delene av verifiserbar informasjon. Teknisk sett kalles elementene i lommeboken for verifiserbar legitimasjon.

Det er verken et overvåkingsverktøy eller et byråkratisk mareritt. Det er en ny infrastruktur som gir mennesker, bedrifter og institusjoner nye muligheter. Og for en gangs skyld har Europa ikke bare noe å si, vi har et forsprang.

I Norden vet vi hvordan tillit i samfunnet føles og ser ut. Vi vet hvilke fordeler det gir oss å kunne stole på myndighetene og private organisasjoner. Denne tilliten, og mer til - er nå også tilgjengelig på nettet, etter hvert som de nye lommeboksentrerte infrastrukturskinnene rulles ut. For å høste fordelene må vi selvsagt holde oss unna juridiske og tekniske problemer og finne den rette balansen mellom bekvemmelighet og sikkerhet.

La oss derfor se nærmere på hva dette faktisk handler om.

Kjernen ligger i den nye infrastrukturen for deling av informasjon som nå bygges opp av en rekke myndigheter og private selskaper.

Den nye infrastrukturen rundt lommeboken har et utrolig potensial, ikke bare for identifikasjon med høy tillit, men også for bredere tillitsbasert informasjonsdeling.

Men først, for å gjøre ting mer praktisk, la oss se på den nåværende eID-informasjonsflyten.

Dataflyten i en identitetsmodell på tvers av systemer

Diagrammet nedenfor viser hvordan ulike systemer utveksler data i bakgrunnen når du bruker din digitale identitet, for eksempel MitID eller BankID.

Du besøker en tjenesteleverandør (for eksempel en bank eller nettbutikk) og blir omdirigert til eID-leverandøren din for å autentisere deg. Etter at du har bekreftet identiteten din, blir du sendt tilbake til tjenesteleverandøren, som mottar bevis på autentiseringen.

For å illustrere hvordan denne dataflyten fungerer i praksis, kan du tenke deg at du er ute i København og går fra bar til bar. Du går opp til den første baren, og dørvakten ber om å få se ID-en din. Du gir ham passet eller førerkortet ditt, han sjekker opplysningene dine og ringer deretter politiet for å rapportere at han slipper inn en person med ditt navn og personnummer. Politiet skriver det pliktoppfyllende ned i loggen sin, og fører en oversikt over alle som nyter utelivet den kvelden.

Vi ville selvsagt aldri akseptert en slik overvåking i den virkelige verden. Men det er nettopp slik det fungerer på nettet.

Heldigvis er dette i ferd med å endre seg. Den nye dataflyten rundt digitale lommebøker gjør det mulig å utveksle verifiserbar informasjon asynkront mellom utstedere og verifikatorer. Det er den digitale lommeboken som gjør dette mulig.

Den lommeboksentrerte dataflyten

I en dataflyt basert på digitale lommebøker utsteder en aktør, for eksempel en offentlig etat, et forsikringsselskap eller et treningssenter, en legitimasjon til din digitale lommebok. Du kan vise legitimasjonen til en hvilken som helst kontrollør som godtar den. Utstederen og kontrolløren kommuniserer aldri med hverandre. Det er du som har kontrollen og bestemmer nøyaktig hvilken informasjon som skal deles og med hvem.

Det er slik det vil fungere når vi alle bruker våre digitale lommebøker, i hvert fall i teorien. Vi vil ikke lenger ha noen sentral overvåking av hvem vi deler identiteten vår og andre digitale bevis med, noe som fører til større faktisk personvern.

Infrastrukturen rundt digitale lommebøker er mer robust, fordi ingen sentral tjeneste er involvert i hver transaksjon, slik tilfellet er i dagens eID-løsninger.

Med det nye «issue-hold-present»-paradigmet får vi et nytt sett med generiske mekanismer for deling av informasjon som maskiner kan verifisere. Det er viktig. På grunn av datastrukturenes og dataflytens kryptografiske natur flyttes hele verifiseringsansvaret over til maskinene.

Hver legitimasjon er digitalt signert av utstederen, noe som gjør at lommeboken din, og enhver verifiserer, kan sjekke autentisiteten uten å kontakte utstederen direkte. Tilliten kommer ikke fra en sentral autoritet som konstant validerer transaksjoner; den kommer fra kryptografiens matematikk. Verifikatorer kan uavhengig av hverandre bekrefte at legitimasjonen ikke har blitt tuklet med, at den ble utstedt av en pålitelig kilde og at den fortsatt er gyldig. Med andre ord går tillit fra å stole på mellommenn til å stole på kryptografiske garantier.

Det er dette den oppdaterte eIDAS 2 handler om. eIDAS 2 snevrer inn kravene for å delta i disse datastrømmene i myndighetsrelaterte sammenhenger, samtidig som den samarbeider tett med for eksempel betalingssektoren for å sikre bred privat oppbakking og anvendelighet.

Hvis myndighetene regulerer ditt spesifikke bruksområde, kan det hende at du må overholde eIDAS-kravene eksplisitt. Men hvis du ikke er bundet av formelle krav, kanskje fordi virksomheten din er mer hverdagslig, vil du likevel kunne dra nytte av det nye paradigmet. I dette tilfellet trenger du ikke å bevise deg overfor et sertifiseringsorgan, og du vil ikke være begrenset til utstedere, lommebøker og verifikatorer som er formelt godkjent i EU eIDAS-sammenheng.

Verifiserbar informasjon

Vi har sett hvordan kryptografisk tillit blir en del av infrastrukturen i denne nye æraen med verifiserbar informasjon. Dataenes opprinnelse, dataintegritet, hvem dataene gjelder og hvem som er innehaveren av dataene, beviset på alt dette er innebygd i infrastrukturen og i den kryptografiske måten informasjonen er pakket på.

Dette er en ny måte å håndtere informasjon på.

Tidligere stolte vi på informasjonen bare fordi vi stolte på kanalen den kom gjennom. Kanalene var skreddersydde og forskjellige fra utsteder til utsteder: Hver kilde hadde sin egen måte å få tilgang til og hente ut data på.

Ta for eksempel det danske motorvognregisteret, DMR. Danske forsikringsselskaper har en direkte API-integrasjon som lar dem hente ut kjøretøydata på dine vegne. Denne typen informasjonsutveksling gjøres enkelt ved å utstede en såkalt legitimasjon til kjøretøyets eier, som oppbevarer den i sin digitale lommebok. Kjøretøyets legitimasjon kan deretter,  etter eget ønske og med fullt samtykke, deles med alle interesserte parter, for eksempel forsikringsselskapet.

Denne utvekslingen skjer over infrastrukturskinnene i lommeboken. Denne tilnærmingen har alle de kryptografiske kvalitetene vi har diskutert: Den beviser at utstederen er den han eller hun utgir seg for å være, at informasjonen er intakt, og at det faktisk er bileieren som presenterer legitimasjonen. Og ikke minst skjer informasjonsdelingen med eierens fulle samtykke.

Etter denne gjennomgangen av dataflyt og digitale lommebøker kan vi derfor spørre: Hva betyr dette i praksis?

Fordelene med tillitsinfrastruktur

Som vi så tidligere, danner den nye datamodellen en tillitsinfrastruktur som bedrifter og organisasjoner kan bygge videre på.

Hvis bedriften din er en troverdig eller autoritativ kilde til informasjon, kan du utstede disse dataene som verifiserbar informasjon som andre kan bruke. Kanskje du ønsker å utstede en forsikringspolise, et lojalitetsprogram eller et medlemskort.

Lavere kostnader for verifisererne

Når en bruker senere presenterer denne informasjonen for et nettsted, skjer verifiseringen automatisk og uten menneskelig medvirkning. Dette senker kostnadene direkte for verifisøren som ser forsikringspolisen, adressebeviset, bankkontodetaljene eller andre data. For verifisøren er fordelen der, og kostnadsbesparelsene kan deles med kunden.

For utstederen varierer fordelen med bruksområdet. Ta for eksempel et medlemskap på et treningssenter, der senteret både utsteder og verifiserer legitimasjonen. Fordelen er at man ikke trenger å utvikle nye metoder for verifisering. Medlemskortet er kryptografisk knyttet til den faktiske brukeren.

Noen ganger kan det være brukeren selv som betaler for en legitimasjon i lommeboken, for eksempel et adgangskort til VIP-loungen på en flyplass.

Risikoreduksjon for alle

En annen konkret fordel med økt tillit er den iboende reduksjon av risiko.

Bedrifter som tar i bruk denne nye infrastrukturen, kan dra stor nytte av den lavere risikoen som er forbundet med utstedelse, presentasjon og verifisering av verifiserbar informasjon.

Det faktum at maskiner kan utføre en fullstendig verifisering ved hjelp av smarte kombinasjoner av lett tilgjengelig kryptografi og protokoller, har en betydelig innvirkning. En maskin kan verifisere at en opplysning stammer fra en pålitelig kilde (utstederen), gjelder en bestemt person og faktisk er presentert av denne personen.

Bankansatte trenger ikke lenger å verifisere at jeg faktisk bor der jeg påstår at jeg bor, eller at jeg har det telefonnummeret jeg påstår at jeg har. Bilutleiefirmaet trenger ikke lenger å sende eller laste opp et bilde av førerkortet ditt, som kan være ekte eller ikke. Disse og mange flere scenarier er nå gjenstand for automatisk verifisering med høy tillit.

Samlet sett reduserer dette risikoen i samfunnet, samtidig som det kan senke kostnader og priser for virksomhetene. Etter hvert vil dette også få betydning langt utover rene transaksjoner.

Kameraprodusenter og Adobe jobber for eksempel med å utstede bilder som verifiserbar legitimasjon. På denne måten kan nettleseren din kryptografisk verifisere at et bilde på Internett stammer fra et spesifikt Nikon-kamera og er retusjert i Adobe Photoshop av BBC.

Mens vi venter på at hele Eurostack skal materialisere seg, bygges det allerede et grunnleggende lag av tillit oppå teknologien du bruker i dag.

I internettets barndom het det: «På internett er det ingen som vet at du er en hund.» I fremtiden vil ingen tro at du er en hund. Og forhåpentligvis vil ingen lenger forveksle russisk propaganda med et gyldig bidrag til den demokratiske debatten.

Så med det, begynn å tenke på hvordan du kan øke tilliten og senke risikotemperaturen i ditt hjørne av vår felles verden.