Explicamos el concepto de Self-Sovereign Identity (SSI) y por qué el cambio a sistemas de información descentralizados es clave para proteger la identidad
El término identidad digital autogestionada (“Self-Sovereign Identity o SSI”, en inglés) se refiere a un tipo de identidad digital donde el usuario es el propietario de sus datos personales y tiene, al mismo tiempo, el pleno control sobre ellos. Esto es lo primero que aparece en Google si introducimos el término de búsqueda directamente traducido del inglés “Identidad Digital Soberana”.
Para los entendidos en la materia, esta descripción parecerá obvia. Comprenderán de primeras la necesidad de una identidad autogestionada. Sin embargo, para ciudadanos de a pie, puede ser incluso sorprendente: ¡Ah! ¿Pero es que yo no tengo control sobre mi identidad? ¿Cómo que mis datos no son míos? ¿Cómo puede ser eso?
Detengámonos un breve momento a reflexionar sobre el concepto de identidad. Todo individuo tiene una identidad propia, que le define y le describe en exclusiva a lo largo de su vida. Para entenderlo mejor, hablemos de un amigo imaginario: Pepe.
En 1980, nuestro amigo Pepe tenía 7 años, era un niño rubio, de ojos verdes y complexión delgada. Vivía en un pueblo cercano a Madrid, en Getafe, e iba al colegio de Los Escolapios. Le encantaba jugar al fútbol y coleccionaba cromos de sus equipos favoritos. Estaba enamorado de Samantha, su compañera de clase, nunca se lo dijo, pero todos lo sabíamos.
Veintitantos años más tarde, a los 30, el mismo Pepe era un hombre con cabello castaño claro, aunque empezaban a vérsele entraditas, ojos grisáceos y complexión atlética. Residía en Bilbao con su novia Lina. Trabajaba como desarrollador de software y ya no jugaba al fútbol. Hacía jogging y fitness. Además había dejado de seguir los partidos del Atleti. Se interesaba por la informática y la gastronomía.
Este ejemplo evidencia que la identidad se forja a lo largo del tiempo, se va desarrollando con el individuo. Y es que la identidad hay que contemplarla como una idea global y abstracta vinculada al individuo y su vida. Se construye a través de un conjunto de componentes que van definiendo, identificando, describiendo, ubicando al individuo. Todos esos componentes que conforman la identidad se crean en el mundo físico, en el digital o en ambos a la vez. Siguiendo con el ejemplo de nuestro amigo…
Pepe es Pepe, a los 7 años, a los 30 y hoy. Su identidad, su ‘yo’, es único, aunque él cambie. Sin embargo, Pepe ha ido ‘manifestando’ su identidad de forma distinta dependiendo del contexto. Y aquí llegamos al concepto de Persona.
Cuando Pepe fue a inscribirse en el gimnasio de al lado de su casa allá por el 2000, expresó su identidad proporcionando unos datos distintos a los que trasladó recientemente para suscribirse a la newsletter de la revista Byte TI.
En el primer caso, le pidieron que rellenara una ficha con su DNI, nombre y apellidos, fecha de nacimiento, sexo, dirección y el número de cuenta donde cargar la mensualidad del gimnasio. Además, uno de los monitores, tras verificar los datos en su DNI físico, lo pesó y midió, y anotó los resultados en esa misma ficha. Para la suscripción a la newsletter de Byte TI, Pepe aportó en un formulario digital su dirección de email, su nombre, el nombre de la empresa en la que trabajaba, el cargo que ocupaba y su país de residencia.
Y esto que contamos de Pepe ha sido y es el pan nuestro de cada día. Tenemos una única Identidad pero, dependiendo de la situación, nos describimos e identificamos como Personas distintas. Y necesitamos identificarnos constantemente. Para apuntarnos al gimnasio, para recibir información, para ir al médico, para cambiar los datos del padrón...
Luego veremos que el concepto de Persona es crucial para los sistemas de gestión de identidad digital porque está estrechamente relacionado con la manera en que el individuo se autentifica. Y esto nos lleva a otros dos componentes claves de la identidad: Atributo e Identificador.
Seguimos con nuestro amigo imaginario Pepe. Al cumplimentar la ficha del gimnasio, facilitó datos referidos a atributos e identificadores de su identidad. Un atributo, por ejemplo, sería su peso, 90 Kg. Pero seguro que hay muchas personas que comparten ese rasgo. Un identificador es su DNI.
Los atributos son propiedades o rasgos de la Persona, pueden variar en el tiempo y no ser exclusivos de un solo individuo. Por su parte, el Identificador es único. Si el gimnasio de Pepe quisiera hacer un estudio de su clientela, calificaría y clasificaría a sus socios por atributos. Ello le permitiría saber, por ejemplo, si hay más hombres que mujeres, la media de edad, la concentración de la clientela por barrios, etc. El peso, aunque es un rasgo de Pepe, no sirve para identificarlo. Cuando va a su centro deportivo presenta el carné de socio que le dieron al cumplimentar la ficha. El número de ese carné de socio es su identificador para acceder al gimnasio.
Solo con estos simples procesos de la vida cotidiana, nos damos cuenta que la identidad no es algo que el individuo construya en solitario. Las personas, como seres sociales, construyen su identidad interactuando con otros. Por eso, es verdad que, si bien la identidad es nuestra, los elementos que la conforman no son solo nuestros.
Si Pepe no continuara yendo al gimnasio, quizás perdería su complexión atlética. Pero es que esa pasión por el fitness la desarrolló cuando conoció en la Universidad a su amigo Jorge. Y quién sabe… Si Samantha hubiera sabido de sus sentimientos de niño, igual hoy uno de sus ‘atributos’ sería el de ‘casado’, en lugar de ‘soltero’. La identidad se forja a través de relaciones que establecen las personas con otras personas, con empresas u organismos, e incluso con cosas.
En cuanto a los identificadores, el DNI es exclusivamente de Pepe y su número le acompañará solo a él y durante toda su vida. Ha sido un tercero (en España el Ministerio del Interior) quien se lo asignó para poder probar su identidad, y otro tercero (el gimnasio) decidió que ese era el mejor documento para verificar su identidad y lo dió por válido. El gimnasio también le proporcionó a Pepe un carné de socio, un identificador, aunque este solo tiene utilidad en ese cetro y para que le hagan descuento en el restaurante healthy food del barrio.
Este ejemplo del gimnasio nos haría preguntarnos ¿Bueno y qué? ¿Y dónde está el problema? Pepe quería ir al gimnasio, rellenó una ficha, proporcionó su documento de identidad para autentificar su identidad, etc, etc. Además, tras firmar en la inscripción, había un párrafo claro indicando que todo se registraría cumpliendo con la LOPD, y años más tarde se actualizó conforme al RGPD, en fin, Pepe no sintió que estuviera perdiendo el control de su identidad o de sus datos en ningún momento.
Pero es que el caso de Pepe y el gimnasio ha sido muy sencillito. Hemos situado a nuestro amigo en un mundo offline, donde es menos complejo un uso descentralizado de los datos. Pepe llevaba sus credenciales en su monedero, tenía el control de ellas, podía acceder a ellas y portarlas consigo mismo. Y decidir si las utilizaba o no. Igual que el gimnasio optaba por pedirle el DNI.
Con el mundo online la cosa se complica. Comienzan a multiplicarse las personas, los atributos y los identificadores porque las interacciones digitales aumentan exponencialmente…
Son muchos los atributos (datos sobre su identidad) que Pepe (y sus diferentes personas) ha ido compartiendo de forma digital en su vida. Sirvan solo tres ejemplos. No solo se suscribió a la revista Byte It, a la que proporcionó un correo electrónico e información sobre dónde trabaja y qué puesto ocupa. También se hizo una cuenta en Facebook, donde ha ido colgando fotos de sus vacaciones, hablando de sus intereses y, a veces, opinando de política (muestra atributos de su persona). Y en el 2020, su gimnasio fue adquirido por una franquicia y ahora es un centro fitness. Sus datos los guarda otra empresa que no conoce.
Todo se ha digitalizado en el fitness center de Pepe. Para acceder tiene un token. Cada vez que entra en una clase, se registra a través del token. Cada vez que hace un entreno con máquinas o cuando el monitor le establece una rutina, todo queda registrado. Se sabe cuántas veces va al centro, a qué hora participa en las clases grupales, si prefiere la zumba o el body combat, cuántos kilómetros recorre en cinta en una semana… Podríamos continuar con ejemplos de cómo Pepe, a través de sus interacciones cotidianas, va compartiendo datos de su identidad (informando sobre atributos de su persona).
¿Y a dónde van todos esos datos? Es verdad que ya no están en su monedero. Es verdad que en la práctica han dejado de ser suyos. ¿Cómo es que en el mundo digital hay tanta ‘gente’ que sabe de sus intereses? ¿Quién tiene sus datos? ¿Con quién se comparten sin que él lo sepa? Las conclusiones sobre el perfil de socio que podía sacar el gimnasio de Pepe distan mucho de todo lo que es capaz de saber, sumando las informaciones de todas sus bases de datos, la nueva franquicia de centros fitness.
Pepe, como muchos otros individuos, duda sobre la seguridad, el destino y la privacidad de su identidad. Y los ciudadanos como Pepe, comienzan a hablar de las preocupaciones que surgen con la identidad digital. En paralelo, fundaciones, organizaciones no gubernamentales y gubernamentales, grupos de tecnólogos y científicos empiezan a determinar esos problemas con exactitud y a plantear soluciones para el control y la gestión de la identidad digital.
De hecho, Pepe, ciudadano europeo, podrá disponer pronto por ley de un wallet de identidad digital con el que gestionar sus datos y actividades. Ya en junio de 2021 la Comisión Europea anunció su nueva propuesta para una identidad digital segura y de confianza. Así lo exponía Ursula von der Leyen, presidenta de la CE:
“Cada vez que una aplicación o un sitio web nos pide que creemos una nueva identidad digital o que nos conectemos fácilmente a través de una gran plataforma, en realidad no tenemos ni idea de lo que sucede con nuestros datos. Esta es la razón por la que la Comisión propondrá una identidad electrónica europea segura. Una identidad en la que confiemos y que cualquier ciudadano pueda utilizar en cualquier lugar de Europa para cualquier operación, desde el pago de sus impuestos hasta el alquiler de una bicicleta. Una tecnología con la que nosotros mismos podamos controlar qué datos se utilizan y cómo”.
Sovring identificó 5 cuestiones que generan la problemática de la identidad en Internet, las explica en su blog el presidente de la Fundación Sovrin, Ph.D. Phillip J. Windley.
La proximidad: no hay interacción física, sino a distancia.
Las posibilidades de fraude emergen. La forma tradicional de saber con quién estamos tratando no sirven en el mundo digital. Los esquemas de autenticación basados en nombre de usuario y contraseña son insuficientes para crear las bases de una interacción de confianza.
La escala (lo traducimos de scale): se refiere a que la identidad digital depende de los grandes centros de información e identidad. Nos servimos por ejemplo de Facebook o Google como proveedores de identidad. Estos ‘proveedores de identidad’ son pocos y de gran tamaño.
La flexibilidad: muchas de las soluciones de identidad digital actuales, se limitan a esquemas o conjuntos de atributos fijos. Los sistemas de identidad digital de hoy día son rígidos.
La privacidad: las soluciones de identidad digital actuales se basan en una colección de datos, que a menudo se recopilan sin conocimiento del usuario. Los datos se replican una y otra vez en diferentes sistemas. Las terceras partes emplean identificadores universales como el número de la seguridad social o el número de teléfono para correlacionar información de identidad sin el conocimiento del sujeto. Los identificadores compartidos por las cookies del navegador permiten que la información personal se acumule y se correlacione a nuestras espaldas. La información personal no está segura con sistemas centralizados de almacenamiento de datos.
El consentimiento: los datos contenidos en miles de bases de datos de identidad a menudo se comparten con otros sin consentimiento. Algunas veces se hace para proporcionar un servicio al sujeto. Pero también ocurre, y mucho, que el enfoque es el dar servicio a la organización que controla el silo de datos. Los sistemas de identificación se basan en identificadores universales como la dirección de email, los números de teléfono o incluso de la SS. Esto facilita a los terceros correlacionar comportamientos y guardar fichas de las personas sin su permiso.
Resumiendo, según palabras de Windley, en el mundo físico la mayoría de las transacciones de identidad son autosoberanas. Son “escalables, flexibles, privadas y suceden con el consentimiento del propietario de la identidad. Internet introdujo el problema de proximidad”. Son las limitaciones de las soluciones disponibles actualmente las que nos han conducido a la situación en la que nos encontramos ahora.
¿Cómo resolvemos esta problemática? El tránsito de los modelos centralizados a los descentralizados.
Sobre cómo hemos llegado a la situación actual habla Christopher Allen en The Path to Self-Sovereign Identity. Allen explica cómo la idea de identidad digital ha ido evolucionando en las últimas décadas: identidades centralizadas, identidades ‘federadas’ e identidades centradas en el usuario. El planteamiento en el que estamos hoy día es el de la identidad digital autogestionada, que devuelve al individuo el control y favorece que se relacione online y offline sin ‘sufrir’ los problemas descritos.
Para entender esa evolución de la identidad digital, también nos sirve un artículo de Alex Preukschat titulado “Self Sovereign Identity — a guide to privacy for your digital identity with Blockchain”. En este se explica que hay dos grupos de modelos de identidad centralizados, el escandinavo y el continental. En el primero, las compañías privadas (financieras y de telecomunicaciones) proporcionan los servicios de identidad digital centralizada para interactuar con el gobierno. En el modelo continental, los gobiernos proporcionan servicios de identidad digital a las compañías permitiendo la interacción con sus ciudadanos.
De cualquier manera, uno de los requerimientos básicos de la identidad funcional en los sistemas de esos modelos centralizados es el descubrimiento: si tú me das un identificador, yo necesito buscarlo. En el pasado esto siempre ha conducido a directorios centralizados y ello, a sistemas de identificación centralizados.
Sin embargo, el concepto de Identidad Auto-Soberana o Autogestionada ofrece un enfoque diferente al del modelo centralizado porque pone el foco no en ‘quiénes somos’ sino en ‘qué hacemos’.
Aunque no todos los expertos coinciden en una definición, sí ponen el acento en la necesidad de que el individuo recupere el control y la administración de su identidad digital, que libremente decida con quién comparte qué, que pueda ser en la práctica el dueño de sus identificadores y atributos de identidad.
Podemos resumir que la identidad digital autogestionada propone que las personas puedan administrar y presentar sus credenciales digitales utilizando monederos digitales (wallets) y que puedan compartirlos e intercambiarlos con garantías de seguridad y privacidad. En el artículo "Qué es un wallet de identidad digital autogestionada" explicamos la importante función que desempeñan los wallets para hacer realidad la autogestión de la identidad digital.
En definitiva, identidad digital autogestionada significa que son los individuos quienes deciden cómo administrar y entregar sus activos y credenciales digitales usando monederos digitales personales y portables.
El concepto de identidad digital autogestionada incluye otra cuestión importante: elimina la necesidad de que la entidad tercera a la que se le presente una credencial digital tenga que acudir directamente al emisor para verificar su veracidad o validez, pues puede hacerlo contra un registro descentralizado como son las redes blockchain.
Los sistemas de identidad digital autogestionada se sirven de blockchains -registros distribuidos – de manera que los identificadores descentralizados puedan buscarse sin recurrir a un directorio central. La tecnología en sí no resuelve el problema en torno a la identidad digital, pero sí proporciona el enlace que falta para podernos servir de la criptografía. De esta manera, las personas pueden autenticarse empleando credenciales fiables y descentralizadas, igual que lo hacen offline.
Volvamos al ejemplo de Pepe. Para inscribirse en el gimnasio le piden un eDNI. En el caso de España, el organismo emisor es el Ministerio del Interior, que otorga al portador esta credencial verificable. El Ministerio del Interior usa llaves vinculadas a su identificador descentralizado en la cadena de registros (blockchain) para firmar la credencial de forma que no pueda manipularse y todo el que lo reciba pueda corroborar que fue emitido por el organismo correspondiente. Pepe lleva en su wallet todas sus credenciales verificables. Cuando en el fitness center le piden su DNI, Pepe le otorga permiso para comprobar que efectivamente su eDNI está emitido por la autoridad correspondiente. Es Pepe quien autoriza al centro fitness a acceder al documento de su wallet y recuperar cualquier llave pública.
Con este cuadro, nos lo ilustra Phillip J. Windley, que pone como ejemplo la petición del carnet de conducir a la entrada de un bar para verificar la mayoría de edad:
Cualquier organización o persona podría emitir las credenciales verificables que desee y Pepe tendría que poder llevar todas las credenciales que quisiera en su wallet. Igualmente quienes actúan como verificadores (en el caso anterior, el gimnasio, y en el del gráfico, el bar) podrían escoger en qué credenciales confían para comprobar la identidad. Descentralizando todo se consigue que los sistemas de identidad digital autogestionada puedan usarse en cualquier situación.
De las credenciales verificables, otro concepto clave vinculado a la identidad digital autogestionada, encontraréis detalles en el artículo "Las credenciales verificables en proyectos de identidad digital".
Hemos puesto ejemplos cotidianos sencillos, pero imaginemos los beneficios de aplicar sistemas de identidad digital autogestionada en áreas clave, como el sector de la salud. Las personas, manteniendo el control y la privacidad de los datos personales, pueden portar en su wallet (por el ejemplo, el teléfono móvil) su historial médico, su cartilla de vacunación, información sobre alergias… Todo. Tenéis un ejemplo de caso de uso en "Identidad Digital Autogestionada y Blockchain en el sector de la salud".
De esta manera, si nuestro amigo Pepe enfermara estando de viaje y tuviera que acudir de urgencia a un centro médico que no es el habitual, podría compartir sus datos con ese centro para facilitar un mejor servicio y evitar la demora en el diagnóstico o la medicación por falta de una información inmediata. Sus credenciales y datos no se quedarían en el centro médico, si no que los retiraría, dejaría de compartirlos, y volverían a estar en su wallet.
A nivel europeo, la implantación de la identidad digital autogestionada será una realidad en breve y sectores claves, como el de la salud, tendrán que cumplir con la nueva regulación en materia de identificación electrónica eID enmarcada en el esquema regulatorio europeo eIDAS.
Para finales de 2023, principios de 2024, deberán proporcionar a los ciudadanos un wallet de identidad digital con el que podrán realizar diferentes acciones, entre ellas, el acceso o solicitud de un certificado médico o almacenar una receta médica que pueda utilizarse en cualquier lugar de Europa. De todo ello os hablamos en "Qué es un wallet de identidad digital autogestionada".
Vamos a profundizar en la operativa de los sistemas de Identidad Digital Autogestionada (SSI) para visualizar qué ocurre con los datos de Pepe.
Los sistemas SSI (Self Sovereign Identity o Identidad Autogestionada) emplean identificadores descentralizados (DIDs por sus siglas en inglés) para identificar a personas, organizaciones o cosas. Estos DIDs proporcionan la base criptográfica para el sistema y pueden usarse sin que un sistema administrativo central tenga que gestionar y controlar los DIDs. Intercambiando DIDs es como los participantes en sistemas SSI crean relaciones.
Los participantes del sistema SSI usan el intercambio de credenciales verificables para compartir información (atributos e identificadores) con otros para fortalecer o enriquecer esas relaciones.
Los sistemas SSI respaldan la autonomía de los participantes, lo que implica que los participantes interactúan como iguales.
Estos son los esquemas que expusimos desde Wealize en un proyecto de Cartilla de Vacunación para el Servicio Andaluz de Salud, realizado en colaboración con Alastria y Additum.
Para ser autogestionado, un sistema de identidad digital debe cumplir los siguientes requisitos que sirven para atajar la problemática en torno a la identidad digital. Cumpliendo con estos requisitos se resuelven las dificultades que exponíamos anteriormente.
En Wealize hemos trabajado en diferentes proyectos de identidad digital autogestionada empleando la tecnología blockchain y la biometría. Son cada vez más y más diversas las empresas y organizaciones que optan por los sistemas SSI: Salud, E-Commerce, Banca, ONGs…
Si quieres sumarte a ellas y que tu empresa y organización esté lista para implantar la identidad digital autogestionada, estamos deseando ayudarte.
La pieza clave para hacer realidad la autonomía y el control sobre nuestras credenciales y atributos de identidad con seguridad y privacidad
Explicamos por qué nos identificamos como un estudio que crea productos digitales y exponemos ejemplos de nuestras soluciones empleando IA y...
Inside ID es un proyecto basado en blockchain que le otorga identidad digital a personas víctimas de trata, devolviéndole el control sobre sus datos.