Vad är självbestämmande identitet?

Self-sovereign identity (SSI), även känt som självbestämmande identitet eller decentraliserad identitet, är en modell för hantering av digital identitet som betonar individuellt ägande, integritet och peer-to-peer-interaktioner.

SSI bygger på decentraliseringsprinciper och erbjuder ett säkert, användarkontrollerat alternativ till traditionella identitetssystem. SSI började få genomslag runt 2015 när diskussioner på Internet Identity Workshop belyste hur blockkedjeteknik kan förändra identitet och förtroende online, vilket ledde till ett bredare erkännande och antagande av detta nya tillvägagångssätt.

Nästan ett decennium senare är idéerna bakom SSI tätt integrerade i identitetsbranschen och driver på förändringar i hur organisationer och individer tänker kring förtroende, säkerhet och integritet i den digitala världen.

Förståelse av SSI

För att bättre förstå SSI är det bra att reflektera över hur vi hanterar identiteter offline.

Kärnan i SSI är konceptet med en digital plånbok: ett verktyg som du kontrollerar och som är fyllt med referenser som körkort, ID-kort, universitetsexamen och lojalitetskort. Det här är referenser som du äger och kan visa upp när det behövs, ungefär som de fysiska dokumenten i din plånbok. Kort sagt, SSI tar oss närmare en replikering av den verkliga identiteten i det digitala rummet.

Men dagens digitala identitet är fortfarande ganska annorlunda. Vi har onlinekonton som kontrolleras av tredje part, inte av oss själva. Detta beror på hur digital identitet ursprungligen introducerades på internet.

Ursprungligen byggdes internet utan ett identitetslager. Dess tidiga syfte var att underlätta interaktioner mellan maskiner, inte människor. TCP/IP-protokollet, som styr kommunikationen på internet, kopplar bara samman maskiner med hjälp av deras IP-adresser. Det ger ingen information om vilken person eller organisation som står bakom en viss enhet.

I takt med att internet utvecklades för att stödja fler mänskliga interaktioner blev det tydligt att vi behövde ett sätt att verifiera och hantera människors identiteter online. Inloggningar och lösenord blev de första mekanismerna för användare att bevisa vem de är.

Sedan dess har den digitala identiteten kommit en lång väg.

Tre modeller för digital identitet

Sedan internets barndom har digital identitet utvecklats genom tre huvudmodeller: centraliserad, federerad och decentraliserad. Var och en av dem erbjuder olika sätt att hantera förtroende, integritet och kontroll på nätet. Låt oss ta en närmare titt på var och en av dem.

1. Centraliserad identitetsmodell

Den centraliserade modellen är den äldsta och mest välkända. Den avser en form av digital identitet där användare registrerar konton hos enskilda organisationer, och dessa organisationer har full kontroll över användarnas konton.

Den här modellen har betydande nackdelar:

• Användarna måste hantera ett stort antal konton och lösenord.
• Identitetsdata kan inte överföras och kontrolleras helt och hållet av den utfärdande organisationen. Om Google till exempel skulle blockera åtkomsten till ditt e-postkonto, skulle du inte ha något sätt att komma åt det eller överföra det till en annan leverantör.
• Centraliserade databaser är attraktiva mål för hackare, vilket skapar en konstant risk för dataintrång.

2. Federerad identitetsmodell

Den federerade identitetsmodellen utvecklades för att hantera några av begränsningarna med centraliserad identitet. Sedan 2005 har tre generationer av protokoll för federerade identiteter introducerats: SAML, OAuth och OpenID Connect. Dessa protokoll används fortfarande idag.

Federerad identitet gör det möjligt för människor att använda samma identitet på flera webbplatser. Det fungerar genom att införa identitetsleverantörer (IDP:er) som mellanhänder mellan användaren och den webbplats som de vill komma åt. Med en IDP kan användare logga in på flera webbplatser med ett konto, till exempel via "Logga in med Google" eller "Logga in med Facebook". På så sätt behöver man inte skapa separata konton för varje webbplats.

Trots att det är bekvämt har federerad identitet sina begränsningar:

• Det finns ingen enskild IDP som fungerar för alla webbplatser, tjänster och appar. Därför behöver användarna fortfarande konton hos flera olika leverantörer.
• Många användare är obekväma med att ha en mellanhand som kan övervaka deras inloggningsaktivitet på flera olika webbplatser.
• IDP-konton är lika lite transportabla som centraliserade identitetskonton. Om du lämnar en IDP som Google eller Facebook förlorar du åtkomsten till alla konton som är kopplade till den.
• Stora IDP:er är primära mål för cyberbrottslighet.

3. Decentraliserad identitetsmodell

Den viktigaste egenskapen hos en decentraliserad identitetsmodell är att den inte längre är kontobaserad.

Istället bygger den på direkta peer-to-peer-relationer mellan individer och organisationer. Detta tillvägagångssätt innebär att en individs digitala identitet är portabel och kontrolleras direkt av användaren, som inte är låst till en enda leverantör.

Sedan starten har den decentraliserade identitetsmodellen utvecklats snabbt och omfattar utveckling inom kryptografi, distribuerade databaser och decentraliserade nätverk.

Den förlitar sig på:

• Verifierbara referenser (VC): Digitala versioner av traditionella referenser som lagras i digitala plånböcker.
• Decentraliserade identifierare (DID): Unika ID:n som möjliggör identifiering på ett sätt som är verifierbart, beständigt (så länge som DID-kontrollanten önskar) och som inte kräver användning av ett centraliserat register.
• Verifierbara dataregister: Distribuerade liggare, t.ex. blockkedjor, för registrering och verifiering av DID.
• Kryptografi med offentlig/privat nyckel: Matematiska algoritmer som skapar privata och säkra anslutningar mellan parterna.

I grund och botten speglar den decentraliserade identitetsmodellen identitetsprocesser i den verkliga världen, där individer delar med sig av sina referenser till betrodda parter vid behov. Den involverar tre viktiga deltagare:

• Innehavare: Den individ som lagrar och hanterar sina verifierbara referenser i en digital plånbok.
• Utfärdare: Den enhet som utfärdar verifierbara referenser.
• Verifierare: Den part som kontrollerar legitimationens giltighet.

När en verifierare begär information kan innehavaren välja att bevilja eller neka tillgång till sina uppgifter.

Genom att betona användarkontroll, transparens och portabilitet erbjuder decentraliserad identitet ett radikalt annorlunda tillvägagångssätt som stärker individer och minskar beroendet av centraliserade identitetshanteringssystem.

Hur SSI förändrade identitetsområdet: en mycket kort översikt

I början var det många inom identitetsområdet som såg på SSI med skepsis och tyckte att det var för ambitiöst eller idealistiskt. Men saker och ting har förändrats sedan dess. År 2020 erkändes datamodellen Verifiable Credentials (VC) som en W3C-standard. Decentraliserade identifierare (DID) följde efter och blev en standard 2022. Decentraliserad identitet är nu ett erkänt koncept. Dess principer utforskas aktivt och tillämpas på identitetssystem i olika branscher.

Både privata företag och regeringar utvecklar implementeringar av SSI i den verkliga världen. Till exempel har regeringen i den kanadensiska provinsen British Columbia varit i framkant när det gäller tidig SSI-användning och skapat flera lösningar för digitala referenser och en särskild smartphone-app för lagring och användning av digitala referenser. Och 2023 blev Bhutan det första landet i världen som införde ett nationellt identitetssystem för sina medborgare.

Ett annat exempel på SSI:s växande inflytande är EUDI Wallet (European Digital Identity), som integrerar verifierbara referenser för att ge individer större kontroll över sina data. Initiativet syftar till att erbjuda en säker och användarvänlig digital identitetslösning som kan användas i alla EU:s medlemsländer för att underlätta tillgången till ett stort antal offentliga och privata tjänster.

En mindre optimistisk ton är att vissa hävdar att SSI inte helt har levt upp till sin ursprungliga vision. Utmaningar kring införande, skalbarhet och standardisering har aldrig riktigt lösts.

I praktiken blandar många system i dag delar av SSI med mer centraliserade ramverk för att övervinna några av de tidiga begränsningarna. (Till exempel kommer EUDI Wallet att utnyttja OpenID för verifierbara referenser - genom att kombinera OpenID Connect med datamodellen för verifierbara referenser).

En sak är säker: det digitala identitetsutrymmet håller på att omvandlas. Vi rör oss mot en mer inkluderande, privat och användarcentrerad modell - även om framtiden fortfarande formas just i detta ögonblick. Även om utmaningar kvarstår har SSI utan tvekan spelat en nyckelroll i förändringen av hur vi hanterar våra onlineidentiteter.

För en omfattande översikt över SSI rekommenderar vi Self-Sovereign Identity av Alex Preukschat och Drummond Reed.