Hva er selvstendig identitet?

Self-sovereign identity (SSI), også kjent som desentralisert identitet, er en modell for håndtering av digital identitet som legger vekt på individuelt eierskap, personvern og peer-to-peer-interaksjoner.

SSI bygger på desentraliseringsprinsipper og tilbyr et sikkert, brukerstyrt alternativ til tradisjonelle identitetssystemer. SSI begynte å få vind i seilene rundt 2015, da diskusjonene på Internet Identity Workshop satte søkelyset på hvordan blokkjedeteknologi kan endre identitet og tillit på nettet, noe som førte til en bredere anerkjennelse og adopsjon av denne nye tilnærmingen.

Nesten et tiår senere er ideene bak SSI tett integrert i identitetsbransjen, og har ført til endringer i hvordan organisasjoner og enkeltpersoner tenker om tillit, sikkerhet og personvern i den digitale verden.

Forståelse av SSI

For å forstå SSI bedre, er det nyttig å reflektere over hvordan vi håndterer identitet offline.

Kjernen i SSI er konseptet med en digital lommebok: et verktøy du kontrollerer, fylt med legitimasjon som førerkort, ID-kort, universitetsdiplom og lojalitetskort. Dette er legitimasjon du eier og kan vise frem ved behov, på samme måte som de fysiske dokumentene i lommeboken din. Kort sagt bringer SSI oss nærmere en kopi av den virkelige identiteten i det digitale rommet.

Men dagens digitale identitet er fortsatt ganske annerledes. Vi har nettkontoer som kontrolleres av tredjeparter, ikke av oss selv. Dette skyldes hvordan digital identitet opprinnelig ble introdusert på internett.

Opprinnelig ble internett bygget uten et identitetslag. Dets tidlige formål var å legge til rette for interaksjon mellom maskiner, ikke mennesker. TCP/IP-protokollen, som styrer internettkommunikasjonen, kobler bare sammen maskiner ved hjelp av IP-adressene deres. Den gir ingen informasjon om personen eller organisasjonen bak en bestemt enhet.

Etter hvert som Internett utviklet seg til å støtte mer menneskelig interaksjon, ble det klart at vi trengte en måte å verifisere og administrere folks identiteter på nettet. Innlogging og passord ble de første mekanismene som gjorde det mulig for brukerne å bevise hvem de var.

Siden den gang har digital identitet utviklet seg mye.

Tre modeller for digital identitet

Siden internettets spede begynnelse har digital identitet utviklet seg gjennom tre hovedmodeller: sentralisert, sammenkoblet og desentralisert. Hver av dem tilbyr ulike måter å håndtere tillit, personvern og kontroll på nettet på. La oss se nærmere på hver av dem.

1. Sentralisert identitetsmodell

Den sentraliserte modellen er den eldste og mest kjente. Den refererer til en form for digital identitet der brukerne registrerer kontoer hos individuelle organisasjoner, og disse organisasjonene har full kontroll over brukernes kontoer.

Denne modellen har betydelige ulemper:

• Brukerne må administrere mange kontoer og passord.
• Identitetsdata kan ikke overføres og kontrolleres fullt ut av den utstedende organisasjonen. Hvis Google for eksempel blokkerer tilgangen til e-postkontoen din, har du ingen mulighet til å få tilgang til den eller overføre den til en annen leverandør.
• Sentraliserte databaser er attraktive mål for hackere, noe som skaper en konstant risiko for datainnbrudd.

2. Sammenkoblet  identitetsmodell

Den sammenkoblede identitetsmodellen ble utviklet for å løse noen av begrensningene ved sentralisert identitet. Siden 2005 har tre generasjoner av sammenkoblede identitetsprotokoller blitt introdusert: SAML, OAuth og OpenID Connect. Disse protokollene er fortsatt i bruk i dag.

Med sammenkoblet identitet kan folk bruke samme identitet på tvers av flere nettsteder. Det fungerer ved å introdusere identitetsleverandører (IDP-er) som mellomledd mellom brukeren og nettstedet de ønsker tilgang til. Med en IDP kan brukerne logge inn på flere nettsteder med én konto, for eksempel via "Logg inn med Google" eller "Logg inn med Facebook". Dermed slipper man å opprette separate kontoer for hvert nettsted.

Til tross for at det er praktisk, har sammenkoblet identitet sine begrensninger:

• Ingen enkelt IDP fungerer for alle nettsteder, tjenester og apper. Brukerne trenger derfor fortsatt kontoer hos flere leverandører.
• Mange brukere er ukomfortable med å ha et mellomledd som kan overvåke påloggingsaktiviteten deres på tvers av flere nettsteder.
• IDP-kontoer er like lite transportable som sentraliserte identitetskontoer. Hvis du forlater en IDP som Google eller Facebook, mister du tilgangen til alle kontoene som er knyttet til den.
• Store IDP-er er hovedmål for datakriminalitet.

3. Desentralisert identitetsmodell

Det viktigste kjennetegnet ved en desentralisert identitetsmodell er at den ikke lenger er kontobasert.

I stedet bygger den på direkte, likeverdige relasjoner mellom enkeltpersoner og organisasjoner. Denne tilnærmingen betyr at en persons digitale identitet er bærbar og kontrolleres direkte av brukeren, som ikke er låst til én enkelt leverandør.

Siden oppstarten har den desentraliserte identitetsmodellen utviklet seg raskt, og den har tatt i bruk nyvinninger innen kryptografi, distribuerte databaser og desentraliserte nettverk.

Den baserer seg på

• Verifiserbar legitimasjon (VC): Digitale versjoner av tradisjonell legitimasjon lagret i digitale lommebøker.
• Desentraliserte identifikatorer (DID-er): Unike ID-er som muliggjør identifikasjon på en måte som er verifiserbar, vedvarende (så lenge DID-kontrolløren ønsker det), og som ikke krever bruk av et sentralisert register.
• Verifiserbare dataregistre: Distribuerte hovedbøker, for eksempel blokkjeder, for registrering og verifisering av DID-er.
• Kryptografi med offentlig/privat nøkkel: Matematiske algoritmer som skaper private og sikre forbindelser mellom partene.

I bunn og grunn gjenspeiler den desentraliserte identitetsmodellen identitetsprosesser i den virkelige verden, der enkeltpersoner deler legitimasjon med betrodde parter når det er nødvendig. Den involverer tre viktige deltakere:

• Innehaveren: Personen som lagrer og administrerer sin verifiserbare legitimasjon i en digital lommebok.
• Utsteder: Enheten som utsteder verifiserbar legitimasjon.
• Verifikator: Den som kontrollerer gyldigheten av legitimasjonen.

Når en kontrollør ber om informasjon, kan innehaveren velge å gi eller nekte tilgang til dataene sine.

Desentralisert identitet legger vekt på brukerkontroll, åpenhet og portabilitet, og tilbyr dermed en radikalt annerledes tilnærming som styrker enkeltpersoner og reduserer avhengigheten av sentraliserte identitetsstyringssystemer.

Hvordan SSI endret identitetsområdet: en veldig kort oversikt

I begynnelsen var det mange innen identitetsfeltet som så på SSI med skepsis og mente at det var for ambisiøst eller idealistisk. Men ting har endret seg siden den gang. I 2020 ble datamodellen Verifiable Credentials (VC) anerkjent som en W3C-standard. Desentraliserte identifikatorer (DID) fulgte etter og ble en standard i 2022. Desentralisert identitet er nå et anerkjent konsept. Prinsippene utforskes og brukes aktivt i identitetssystemer i ulike bransjer.

Både private selskaper og offentlige myndigheter utvikler implementeringer av SSI i den virkelige verden. For eksempel har myndighetene i den kanadiske provinsen British Columbia vært tidlig ute med å ta i bruk SSI, og har utviklet flere digitale legitimasjonsløsninger og en egen smarttelefonapp for lagring og bruk av digital legitimasjon. Og i 2023 ble kongedømmet Bhutan det første landet i verden som implementerte et selvstendig nasjonalt identitetssystem for sine innbyggere.

Et annet eksempel på SSIs økende innflytelse er European Digital Identity (EUDI) Wallet, som integrerer verifiserbar legitimasjon for å gi enkeltpersoner større kontroll over dataene sine. Målet med dette initiativet er å tilby en sikker og brukervennlig digital identitetsløsning som kan brukes i alle EUs medlemsland for å lette tilgangen til et stort antall offentlige og private tjenester.

Noen er mindre optimistiske og hevder at SSI ikke helt har levd opp til den opprinnelige visjonen. Utfordringene knyttet til adopsjon, skalerbarhet og standardisering har aldri blitt løst.

I praksis blander mange systemer i dag elementer fra SSI med mer sentraliserte rammeverk for å overvinne noen av de tidlige begrensningene. (For eksempel vil EUDI Wallet utnytte OpenID for Verifiable Credentials - en kombinasjon av OpenID Connect og datamodellen for Verifiable Credentials).

Én ting er sikkert: Det digitale identitetsområdet er i endring. Vi beveger oss mot en mer inkluderende, privat og brukersentrert modell - selv om fremtiden fortsatt formes akkurat nå. Selv om det fortsatt finnes utfordringer, har SSI utvilsomt spilt en nøkkelrolle i å forandre hvordan vi håndterer identitetene våre på nettet.

For en omfattende oversikt over SSI anbefaler vi Self-Sovereign Identity av Alex Preukschat og Drummond Reed.