Self-sovereign identity: definícia, princípy a dôvody vzniku
Self-sovereign identity (SSI) predstavuje inovatívny model digitálnej identity, v ktorom jednotlivci alebo organizácie plne vlastnia a kontrolujú svoje identifikátory a atribúty bez potreby trvalého sprostredkovateľa. Tento model umožňuje selektívne zdieľanie informácií a minimalizuje koreláciu dát medzi rozličnými službami, pričom využíva kryptograficky overiteľné tvrdenia (Verifiable Credentials). SSI vzniklo ako reakcia na potrebu zníženia závislosti od centralizovaných poskytovateľov identity, minimalizácie rizika dátových únikov a umožnenia prenosnej a interoperabilnej identity naprieč rôznymi doménami a štátmi.
Porovnanie identitných modelov
| Model | Vlastníctvo identifikátora | Ochrana súkromia | Interoperabilita | Hlavné riziká |
|---|---|---|---|---|
| Centralizovaný (username/password) | Poskytovateľ služby | Nízka (silná korelácia údajov) | Nízka | Single point of failure, zraniteľnosť voči únikom údajov |
| Federovaný (SAML/OIDC s IdP) | Identitný poskytovateľ (napr. BigTech, univerzita) | Stredná (IdP vidí transakcie) | Stredná až vysoká | Metadátové sledovanie, závislosť na IdP |
| SSI (DID + VC) | Používateľ alebo organizácia | Vysoká (pairwise DID, selektívne odhalenie údajov) | Vysoká (podpora štandardov W3C, DIF, OIDF) | Komplexná správa kľúčov, používateľská skúsenosť, fragmentácia štandardov |
Hlavné komponenty architektúry SSI
- DID (Decentralized Identifiers): Jedinečné globálne identifikátory v tvare
did:method:..., s priloženým DID dokumentom publikujúcim verejné kľúče a služby. DID môžu byť udržiavané na blockchainových ledgeroch, v DNS/HTTP (napr.did:web) alebo lokálne akodid:key. - Verifiable Credentials (VC): Kryptograficky podpísané tvrdenia (napr. meno, dátum narodenia, certifikáty), ktoré vydáva issuer a uchováva holder vo svojej digitálnej peňaženke, pričom ich prezentuje verifierovi.
- Wallet/Agent: Softvérové nástroje (mobilné, desktopové, edge) na správu kľúčov, prijímanie, uchovávanie a prezentovanie VC, komunikujúce cez protokoly ako DIDComm a OIDC4VC.
- Trust registries a governance: Systémy riadenia dôvery, ktoré definujú, kto je oprávnený vydávať určité VC, aké pravidlá platia a ako prebieha audit a dohľad.
Princípy self-sovereign identity
- Kontrola a vlastníctvo identity: Identifikátory a tvrdenia sú vždy pod plnou kontrolou držiteľa – neznamená to len fyzické vlastníctvo hardvéru, ale predovšetkým kontrolu nad ich využitím.
- Prenositeľnosť identity medzi rôznymi službami: Identita nie je viazaná na jedného poskytovateľa ani platformu.
- Minimalizácia zverejnených údajov: Zverejňuje sa len to, čo je nevyhnutné – napríklad potvrdenie, že používateľ je starší než 18 rokov namiesto zverejnenia presného dátumu narodenia.
- Ochrana pred koreláciou údajov: Použitie párových DID a anonymizačných metód zabraňuje dohľadu a sledovaniu používateľa naprieč službami.
- Interoperabilita a dodržiavanie otvorených štandardov: Nezávislosť od vendor lock-in a široká kompatibilita rôznych systémov.
- Existujúca možnosť bez centrálneho riadenia (permissionless): Identifikátory môžu byť vytvorené bez centrálneho monopolu za predpokladu zachovania governance pre dôveru.
Prehľad štandardov a formátov v ekosystéme SSI
| Vrstva | Štandardy a prístupy | Poznámka |
|---|---|---|
| Identifikátory | W3C DID (napr. did:key, did:web, did:ion, did:indy, did:pkh) | Rôzne aspekty resolúcie, závislosť na blockchaine a náklady na operácie |
| Model poverení (credential model) | W3C VC Data Model 2.0, ISO Mobile Driving Licence (18013-5/-7), IETF SD-JWT VC | Podpora rôznych podpisov, formátov transportu a techník zero-knowledge proof (ZKP) |
| Podpisové schémy a techniky zverejnenia | BBS+ (podpora selektívneho zverejnenia údajov pomocou ZKP), AnonCreds, JSON-LD/LD-Proofs, JWS | Balansovanie medzi kompatibilitou a ochranou súkromia používateľa |
| Komunikačné protokoly | DIDComm v2, OIDC for Verifiable Credential Issuance (OIDC4VCI), SIOP v2/OIDC | Rôzne modely komunikácie: federácia versus peer-to-peer |
| Revokácia a status poverení | Status List 2021/VC Status List, revokačné registre AnonCreds | Kompaktné dátové štruktúry (bitmapy), ochrana súkromia pri verifikácii |
| Governance a riadenie dôvery | Trust over IP (ToIP), rámce EUDI, schémy a katalógy dôveryhodných entít | Definovanie zodpovedností, politík a dohľadu nad systémom |
Architektúra dôvery v modelu issuer–holder–verifier
SSI funguje na princípe trojuholníka dôvery:
- Issuer vydáva digitálne, kryptograficky podpísané verifikovateľné poverenia (VC).
- Holder ich bezpečne uchováva vo svojej digitálnej peňaženke (wallet), ktorú spravuje aplikačný agent.
- Verifier na základe požiadavky overuje pravosť a platnosť predstavených poverení.
Dôvera vo verifikované údaje sa zakladá na:
- Autenticite vydavateľa: overenie kryptografického podpisu issuer-a.
- Integrite a validite údajov: kontrola stavu revokácie alebo expirácie VC.
- Autorite vydavateľa: dôsledné riadenie governance, ktoré určuje oprávnenia issuer-a (napríklad univerzita vydávajúca diplomy).
Kryptografia a techniky selektívneho zverejnenia údajov
- BBS+ podpisy: umožňujú dokázať platnosť vybraných tvrdení v rámci viacatribútového VC bez odhalenia všetkých údajov, využívajúc zero-knowledge dôkazy.
- AnonCreds: pokročilé schémy na preukázanie členstva a intervalových tvrdení, často založené na decentralizovaných identifikátoroch s podporou decentralizovaných ledgerov.
- SD-JWT: umožňuje selektívne zverejňovanie obsahu v rámci štandardu JSON Web Token pomocou odhaľovacích tokenov a cryptografických záväzkov.
- Pairwise DIDs: vytvárajú unikátne DID pre každý vzťah, čím významne redukujú možnosť korelácie medzi službami.
Správa peňaženiek, kľúčov a mechanizmy obnovy
- Non-custodial kontra custodial peňaženky: Non-custodial znamená, že používateľ má plnú kontrolu nad súkromnými kľúčmi (napr. prostredníctvom Secure Enclave, TPM či HSM), zatiaľ čo custodial peňaženky spravujú kľúče za používateľa, čo zlepšuje UX, ale prináša iné bezpečnostné riziká.
- Správa kľúčov: pravidelná rotácia kľúčov, využitie viacfaktorových podpisov (MPC) a mechanizmy sociálnej obnovy alebo guardianship pre používateľov s rizikom straty prístupu.
- Zálohovanie a prenosnosť: zabezpečené, šifrované zálohy, export a import VC v interoperabilných formátoch zabezpečujú kontinuitu identity.
- Biometrické metódy: slúžia predovšetkým ako lokálny odomykací faktor zariadenia a nemajú byť používané ako základný prenosný identifikátor.
Životný cyklus verifikovateľných poverení
- Vydanie (issuance): autentifikácia držiteľa a bezpečné prenesenie VC do jeho peňaženky; voliteľný zápis statusu do revokačného registra.
- Uchovávanie: bezpečné uloženie poverenia s možnosťou tokenizácie pre offline využitie.
- Prezentácia (presentation): generovanie dôkazov podľa požiadaviek verifikátora, vrátane selektívneho zverejnenia a reakcie na nonce alebo výzvu.
- Overenie (verification): kontrola kryptografického podpisu, integrity a statusu poverenia a autority vydavateľa prostredníctvom governance registries.
- Revokácia a expirácia: aktualizácia revokačných zoznamov a upozornenia držiteľa na zmenu stavu poverenia.
Ochrana súkromia, bezpečnosť a minimalizácia rizík
- Protikorlekačné opatrenia: implementácia párových DID, jedinečných service endpoints a techník na zamaskovanie identifikátorov v komunikačných protokoloch.
- Minimalizácia zdieľaných údajov: používanie dôkazov o rozsahu (napr. vek >=18) a potvrdenia členstva namiesto úplných hodnôt, aby sa chránila súkromná sféra používateľa.
- Silná autentifikácia: využívanie viacfaktorovej autentifikácie a hardvérových bezpečnostných prvkov na ochranu peňaženiek a súkromných kľúčov.
- Regulačné súlad: zabezpečenie kompatibility s právnymi predpismi, ako je GDPR, a podpora transparentnosti v nakladaní s osobnými údajmi.
- Incident response: zavedenie procesov na detekciu a rýchlu reakciu na bezpečnostné incidenty vrátane straty alebo kompromitácie kľúčov.
SSI predstavuje revolučný prístup k digitálnej identite, ktorý kladie dôraz na kontrolu používateľa, bezpečnosť a dôveru v interoperabilných ekosystémoch. Vývoj a adopcia otvorených štandardov a protokolov umožňuje vytvorenie dôveryhodných digitálnych vzťahov naprieč rôznymi odvetviami a doménami. Pre organizácie a jednotlivcov je preto dôležité oboznámiť sa s touto technológiou a aktívne sa zapojiť do budovania decentralizovaného digitálneho sveta.
