Bezpieczna kwantowo suwerenna tożsamość cyfrowa (SSI) zapewniająca długoterminową ochronę danych osobowych i prywatności użytkownika to jedno z najbardziej kluczowych wyzwań dla przyszłej gospodarki i czwartej rewolucji przemysłowej. Cyberbezpieczeństwo kryptosystemów cyfrowej tożsamości opartych o technologię blockchain musi zapewnić przyszłościowo cechę odporności kwantowej w obliczu zbliżających się przełomów naukowych w tej dziedzinie. Zagrożenia dla blockchainów przetrzymujących ID użytkownika wynikają z tzw. deszyfrowania retrospektywnego. Obecnie wielkie centra danych agencji rządowych różnych krajów mogą rejestrować interesujący zaszyfrowany ruch w internecie, który jest separowany i zapisywany głównie w pobliżu transoceanicznych i transkontynentalnych konektorów. Przy użyciu wydajnego komputera kwantowego o wystarczającej złożoności będzie można dokonać w przyszłości odszyfrowania tych danych z klucza publicznego. Dlatego już dziś trzeba uznać klasyczną kryptografię za zagrożoną, a jeśli przyjmiemy do tego użycie zaawansowanej SI to ryzyka drastycznie rosną. Aby zabezpieczyć najbardziej newralgiczny ruch z mocą wsteczną dane muszą zostać zaszyfrowane alternatywnie już teraz z użyciem tzw. post kwantowych kryptosystemów (nakładki na klasyczny kryptosystem uwzględniającej odporność post kwantową przeciwko atakom z wykorzystaniem już znanych algorytmów Shora i Glovera). Ponadto podpisy cyfrowe odgrywające fundamentalne znaczenie w klasycznych zabezpieczeniach systemów transakcyjnych pełniące niebagatelną rolę w ochronie nowoczesnych uaktualnień systemów operacyjnych we wszystkich urządzeniach na świecie również mogą być zagrożone. Każda zaszyfrowana komunikacja przechwycona dzisiaj może zostać odszyfrowana przez atakującego, gdy tylko uzyska dostęp do dużego komputera kwantowego, czy za 5, 10 czy 20 lat od teraz może być zagrożona. Międzynarodowi eksperci szacują, że już 2025 może grozić nam globalny blackout telekomunikacyjny związany z pierwszym atakiem SI wykorzystującym komputery kwantowe. Sztuczna inteligencja mogłaby przejąć dowolne urządzenie poprzez wgranie aktualizacji zawierającej luki systemowe umożliwiające śledzenie użytkownika i kradzież jego tożsamości oraz zasobów.

 

Na całym świecie coraz więcej organizacji - z sektora publicznego i prywatnego - rozwija systemy, które ustanawiają i weryfikują tożsamość cyfrową ludzi, urządzeń i innych podmiotów. Operatorzy obecnych systemów tożsamości cyfrowej przyzwyczajeni do pełnego kontrolowania przepływu danych staną wkrótce przed alternatywnymi rozwiązaniami technologicznymi. Ochrona danych, prywatności i innych konstytucyjnych praw wymaga stworzenia systemu tożsamości, który będzie posiadał cechę interoperacyjności. Musi działać wydajnie i w sposób możliwie najlepszy chronić dane wrażliwe użytkownika, przy niewielkich kosztach i wysokiej efektywności. Dla klientów indywidualnych system musi skutecznie adoptować i wykorzystywać tożsamości cyfrowe (DI) - zwłaszcza w miarę przyspieszania tendencji do samozarządzania nimi. Rozumie się przez to również nieskrępowany wybór technologii SSI oraz platformy czy też rozwiązania technologicznego w każdym czasie. Użytkownicy nie mogą być zmuszani do utrzymywania swoich cyfrowych tożsamości wyłącznie w ramach rozwiązań korporacyjnych czy rządowych. Interoperacyjność wymusza swobodną migrację i przepływ między różnymi systemami i rozwiązaniami z łatwym i skutecznym wnioskiem o zapomnienie danych. W przyszłości użytkownicy będą potrzebować zarówno dostępu do technologii, jak i wysokiego poziomu umiejętności cyfrowych, aby sami mogli odpowiadać za ochronę swoich danych, które nie będą przetrzymywane na serwerach zewnętrznych administratorów danych czy w chmurze, ale zaszyfrowane na ich własnych urządzeniach. 

 

Kluczową cechą systemów DI musi być ich długoterminowe cyberbezpieczeństwo również w nadchodzącej erze post kwantowej. Rezultatem projektu nad którym pracujemy (CyberID) ma być stworzenie bezpiecznej kwantowo suwerennej tożsamości (SSI), dzięki której można tworzyć profile użytkowników w dowolnej usłudze w Internecie za pomocą czterech kroków w mniej niż 45 sekund. Dzięki technologii blockchain zbudowanie innowacyjnego produktu do zarządzania tożsamością, dzięki której możliwe będzie bezpieczne podpisywanie dowolnej transakcji. Ramy tożsamości cyfrowej zostaną oparte na koncepcji zdecentralizowanych identyfikatorów (DID). Wygenerowane w ten sposób konta użytkowników oraz informacje o przekazanych danych będą możliwe do zarządzania dla użytkownika np. przeglądanie treści danych udostępnionych serwisom, likwidacja tych kont i cyfrowe wnioski o zapomnienie do zewnętrznych baz danych w różnych serwisach. Użytkownicy będą kontrolować prywatność dzięki implementacji odpornego kwantowo szyfrowania. Z badań wynika, że średni użytkownik w roku 2021 posiadał ok. 200 różnych kont i profili w różnych usługach i serwisach. Teraz możliwe będzie spięcie ich w jedną cyfrową, zarządzalną, suwerenną tożsamość.

 

SSI powstaje organicznie w wyniku wykorzystywania danych osobowych w sieci oraz z ukrytych danych utworzonych w wyniku działań danej osoby w internecie. SSI może być anonimowym pseudo profilem powiązanym z adresem IP urządzenia, na przykład losowo wygenerowanym unikalnym identyfikatorem. Punkty danych, które mogą pomóc w tworzeniu tożsamości cyfrowej, obejmują nazwy użytkownika i hasła, numer prawa jazdy (inne numery ID np. nr paszportu), historię zakupów online, datę urodzenia, wyszukiwania online, historię medyczną, biometrię, behawioralną, biograficzną, a wszystko to może się składać na tożsamość cyfrową osoby.

 

Proces rejestracji za pomocą narzędzia CyberID, które projektujemy ma utworzyć i zarejestrować DID. Podczas tego procesu użytkownik tworzy parę kluczy prywatnych i publicznych. Klucze publiczne skojarzone z DID mogą być przechowywane w łańcuchu na wypadek naruszenia bezpieczeństwa kluczy lub ich rotacji ze względów bezpieczeństwa. Dodatkowe dane związane z DID, takie jak poświadczenia, mogą być zakotwiczone w łańcuchu, ale same pełne dane nie powinny być przechowywane w łańcuchu, aby zachować skalowalność i zgodność z przepisami dotyczącymi prywatności.

 

Zdecentralizowany identyfikator (DID) to pseudoanonimowy identyfikator osoby, firmy, obiektu, smart urządzenia, co jest innowacją produktową na polskim rynku (obsługa IoT w technologiach Smart City), ale na świecie trwają już nad takimi rozwiązaniami zaawansowane prace. Każdy DID jest zabezpieczony kluczem prywatnym. Tylko właściciel klucza prywatnego może udowodnić, że jest właścicielem lub kontroluje swoją tożsamość. Jedna osoba może mieć wiele DID, co ogranicza zakres, w jakim można je śledzić w ramach wielu czynności w jej życiu.

 

Każdy DID jest często powiązany z serią poświadczeń (weryfikowalnych poświadczeń) wydanych przez inne DID będące CA (certyfikowanymi autentyfikatoramia - banki, notariusze, systemy NFC, biometria, systemy rządowe np. ePUAP), które potwierdzają szczególne cechy tego DID (np. lokalizacja, wiek, nr ID, dyplomy, odcinki wypłat, adres, prawo głosu). Te dane uwierzytelniające są podpisywane kryptograficznie przez ich wystawców, co pozwala właścicielom DID na przechowywanie tych danych uwierzytelniających samodzielnie, zamiast polegać na jednym dostawcy profilu (np. Google, Facebook). To kolejna innowacja produktowa - dane do weryfikacji lub skany dokumentów nie są wysyłane na zewnętrzne serwery tylko zaszyfrowane w storage aplikacji na urządzeniu użytkownika lub mogą być przechowywane w systemach zaufanego zarządzania dokumentami (TDM) w rozproszonej formie odwołać do dokumentów (skrótów haszowych, a nie kompletnych dokumentów). Ponadto niepoświadczone dane, takie jak historia przeglądania lub posty w mediach społecznościowych, mogą być również powiązane z DID przez właściciela lub kontrolerów tych danych, w zależności od kontekstu i zamierzonego zastosowania. Nową cechą i funkcjonalnością będzie możliwość odpłatnego dzielenia się tymi danymi np. z narzędziami typu AI czy ML (koniec darmowego zbierania metadanych o użytkownikach). Użytkownik powinien czerpać korzyści z danych generowanych przez siebie, niezależne tożsamości oparte na łańcuchu bloków i zdecentralizowane modele dają użytkownikom kontrolę i wytyczając ścieżkę do monetyzacji danych, co jest kluczową luką rynkową obecnie dostępnych systemów. Inkluzywny charakter CyberID dla użytkownika przynosi wymierną korzyść i może stymulować aktywność gospodarczą w przyszłości. Osoby fizyczne mogą zarabiać na swoich danych wynajmując je algorytmom szkoleniowym sztucznej inteligencji lub zdecydować się na sprzedaż swoich danych reklamodawcom lub całkowicie je ukrywać i chronić przed korporacjami i rządowymi agencjami.

 

Kluczowym elementem zabezpieczania zdecentralizowanych tożsamości jest kryptografia. W kryptografii klucze prywatne są znane tylko właścicielowi, podczas gdy klucze publiczne są szeroko rozpowszechniane. To parowanie spełnia dwie funkcje. Pierwszym jest uwierzytelnianie, w którym klucz publiczny sprawdza, czy posiadacz sparowanego klucza prywatnego wysłał wiadomość. Drugi to szyfrowanie, w którym tylko sparowany posiadacz klucza prywatnego może odszyfrować wiadomość zaszyfrowaną kluczem publicznym. Po sparowaniu ze zdecentralizowaną tożsamością użytkownicy mogą przedstawić zweryfikowany identyfikator w postaci kodu QR, aby potwierdzić swoją tożsamość i uzyskać dostęp do niektórych usług. Kod QR wyświetlany w smartfonie może być przedstawiany dosłownie wszędzie gdzie chcemy pokazać kim jesteśmy - na lotniskach, w sklepie, przy kontroli policyjnej, wszędzie tam gdzie do tej pory pokazywaliśmy dowód osobisty. Przy czym w tym kodzie QR można zaszyć dostępność do wielu innych danych i dokumentów, ale za każdym razem kontrolować z poziomu użytkownika co komu pokazujemy. Usługodawca weryfikuje tożsamość poprzez weryfikację dowodu kontroli lub własności przedstawionego certyfikatu - poświadczenie zostało skojarzone z DID, a użytkownik podpisuje transakcję kluczem prywatnym należącym do tego DID. Jeśli są zgodne, przyznawany jest dostęp do danych.

 

Tożsamość suwerenna (SSI) to koncepcja, zgodnie z którą ludzie i firmy mogą przechowywać własne dane tożsamości na swoich urządzeniach; wybór informacji do udostępnienia walidatorom bez polegania na centralnym repozytorium danych tożsamości. Tożsamości te mogą być tworzone niezależnie od państw narodowych, korporacji czy organizacji globalnych. Artykuł 20 Ogólnego rozporządzenia o ochronie danych Unii Europejskiej (RODO UE) przyznaje użytkownikom prawo do przenoszenia danych, od jednego administratora do drugiego, o ile jest to technicznie wykonalne. Prawo to może zwiększyć wygodę użytkowników, ograniczając konieczność ponownego zweryfikowania ich tożsamości w różnych usługach i platformach. Dzięki identyfikatorom DID i weryfikowalnym poświadczeniom możliwa jest łatwa migracja tożsamości zakotwiczonych w jednym systemie docelowym do drugiego. Przenoszenie danych zmniejsza tarcia dla użytkownika, jednocześnie upraszczając proces rejestracji, co zwiększa adaptację użytkownika. Przenoszenie danych DID pozwala również na wielokrotne użycie poświadczeń, w przypadku których użytkownik może szybko zweryfikować się ponownie, spełniając wymagania regulacyjne Know Your Customer (KYC) lub AML (Anty Money Laudering). Jest to szczególnie przydatne, aby skrócić czas wdrożenia profilu klienta w dowolnej usłudze w Internecie, co pozwala uniknąć wskaźników rezygnacji i obniżyć koszty w sektorze finansowym, pomijając uciążliwy proces weryfikacji tożsamości, w którym zwykle trzeba dostarczyć i sprawdzić wiele dokumentów. Nowością rezultatu i innowacją naszego produktu będzie zakładanie konta w zintegrowanych platformach na tzw trzy kroki (trzy kliknięcia) - 1 - kliknij CyberID lub zczytaj KOD QR generacji profilu, 2 - wyraź zgodę na zapytanie o przekazanie danych od platformy - sprawdź jakie dane platforma chce pozyskać, 3 - przeczytaj i wyraź zgodę na regulamin i gotowe. Docelowo opracujemy możliwość zakładania profilii w dowolnej usłudze z użyciem tożsamości cyfrowej CyberID za pomocą paszportu lub dowodu osobistego tylko przez jego zbliżenie do smartfona z funkcją NFC lub zczytanie kodu QR. Rozwiązanie dla leniwych, którzy nie lubią stukać w klawiaturę. 

 

Zdecentralizowana infrastruktura klucza publicznego (DPKI) jest rdzeniem zdecentralizowanej tożsamości CyberID. Blockchain umożliwia DPKI poprzez stworzenie odpornego na manipulacje i zaufanego medium do dystrybucji asymetrycznych kluczy weryfikacji i szyfrowania posiadaczy tożsamości. DPKI umożliwia każdemu tworzenie lub zakotwiczanie kluczy kryptograficznych w łańcuchu blokowym w sposób chroniony przed manipulacją i uporządkowany chronologicznie. Te klucze są używane, aby umożliwić innym weryfikację podpisów cyfrowych lub szyfrowanie danych do odpowiedniego posiadacza tożsamości. Nowością DPKI jest to, że dotąd każdy musiał kupować lub uzyskiwać certyfikaty cyfrowe fizycznie od tradycyjnych urzędów certyfikacji (CA) np. pendrive z certyfikatem podpisu kwalifikowanego. Dzięki technologii Blockchain nie ma już potrzeby posiadania fizycznego CA (USB z kluczem). Z kolei DPKI umożliwia wiele zastosowań, a mianowicie weryfikowalne poświadczenia wirtualne (VC). Wiele osób używa dziś terminu weryfikowalne poświadczenia (VC) w odniesieniu do cyfrowych poświadczeń, które są dostarczane z takimi dowodami kryptograficznymi (patrz bank HSBC, który wprowadził również poświadczenie na podstawie analizy głosowej przez telefon).

 

Tożsamości zakotwiczone w łańcuchach bloków są z natury bezpieczniejsze niż tożsamości przechowywane na scentralizowanych serwerach. Korzystając z kryptograficznie bezpiecznego łańcucha bloków, w połączeniu z rozproszonymi systemami przechowywania danych, możliwe jest odłączenie istniejących scentralizowanych systemów przechowywania danych przy jednoczesnym zachowaniu zaufania i integralności danych. Zdecentralizowane rozwiązania pamięci masowej, które z założenia są odporne na manipulacje, ograniczają zdolność podmiotu do uzyskania nieautoryzowanego dostępu do danych w celu wykorzystania lub spieniężenia poufnych informacji danej osoby. Hakerzy musieliby atakować pojedyncze cele (nasze urządzenia - jedno włamanie dane jednej osoby) i uzyskaliby dane pojedynczej osoby, a nie masowe dane z dużych baz danych, które potem spieniężają w dark necie (jedno włamanie dużo danych - duże pieniądze).

 

Zdecentralizowana pamięć masowa jest jednym z podstawowych elementów bezpiecznego zarządzania danymi dotyczącymi tożsamości. W zdecentralizowanej strukturze dane logowania są zwykle przechowywane bezpośrednio na urządzeniu użytkownika (np. smartfonie, laptopie) lub bezpiecznie przechowywane na serwerze operatora tożsamości. Takie prywatne magazyny tożsamości są nazywane centrami tożsamości, znajdują się one pod wyłączną kontrolą użytkownika i są uważane za suwerenne. To z kolei oznacza, że ​​użytkownik może w pełni kontrolować dostęp do danych bez martwienia się o odebranie dostępu. Dane pozostające pod kontrolą użytkownika sprawiają, że informacje są bardziej interoperacyjne, umożliwiając użytkownikowi wykorzystanie danych na wielu platformach, wykorzystanie informacji do różnych celów i ochronę użytkownika przed zablokowaniem na jednej platformie. To kluczowa cecha innowacyjna produktu. W scentralizowanych systemach tożsamości podmiot zapewniający tożsamość jest ogólnie odpowiedzialny za bezpieczeństwo danych dotyczących tożsamości. W zdecentralizowanej strukturze tożsamości bezpieczeństwo staje się obowiązkiem użytkownika, który może zdecydować się na wdrożenie własnych środków bezpieczeństwa lub zlecenie zadania jakiejś usłudze, takiej jak cyfrowy skarbiec tożsamości zarządzany przez operatora tożsamości lub zaszyfrować dane w aplikacji zarządzającej hasłami. Znaczącą zmianą względem konkurencyjnych rozwiązań jest zmiana perspektywy ataków, SSI tego typu zmuszają hakerów do atakowania pojedynczych magazynów danych, co jest kosztowne i generalnie nieopłacalne.

 

Oczekuje się, że rynek zarządzania tożsamością i dostępem wzrośnie z 8,09 mld USD w 2016 r. do 14,82 mld USD do 2021 r., Co stanowi 12,9% CAGR. Monetyzacja danych oznacza wykorzystywanie danych osobowych do wymiernych korzyści ekonomicznych i stworzy zupełnie nowy rynek w gospodarce przyszłości. Dane same w sobie mają wartość, ale wnioski pochodzące z danych umożliwiających identyfikację osób znacznie zwiększają wartość danych bazowych. Każdego dnia powstaje kwintylion bajtów danych przez 4,39 miliarda internautów. Oczekuje się, że do 2022 r. ponad 60% światowego PKB zostanie zdigitalizowane, co oznacza, że ​​wartość danych osobowych będzie nadal rosła.

Obecnie generowane przez nas dane online są niematerialne, niewidoczne i złożone. Atrybucja ma kluczowe znaczenie w procesach własności, a SSI umożliwia przypisanie danych online do Twojego DID. Oczekuje się, że identyfikacja cyfrowa w znacznym stopniu przyczyni się do wzrostu gospodarczego na całym świecie w ciągu najbliższych 10 lat i jest uważana za inkluzywną, ponieważ w dużej mierze przynosi korzyści osobom fizycznym, jednocześnie stymulując aktywność gospodarczą na rynku globalnym. Na przykład badanie McKinsey ujawnia, że ​​dotarcie do populacji bez banków w ASEAN może zwiększyć wkład gospodarczy regionu z 17 miliardów dolarów do 52 miliardów dolarów do 2030 roku.

Ponadto szacuje się, że raportowana wartość przypisywana tożsamościom cyfrowym będzie rosła o 22% rocznie, przy czym korzyści gospodarcze dla europejskich przedsiębiorstw i rządów do 2020 r. wyniosły blisko 330 mld euro, a dla konsumentów - 670 mld euro. 

Koszty uwierzytelniania tożsamości i odszkodowania za oszustwa mają osiągnąć 28 miliardów dolarów według przewidywań na rok 2023. Organizacje, które nie dotrzymują kroku za zmieniającymi się oczekiwaniami i tylko przyczynia się do gromadzenia nadmiarowych informacje o tożsamości cyfrowej bez ich odpowiedniego zabezpieczenia mogą zwiększyć systemowe ryzyko oszustw wielokrotnie. Pomimo przepisów regulacyjnych i wysiłków przedsiębiorstw zmierzających do zwiększenia cyberbezpieczeństwa. 2,8 miliarda rekordów danych konsumentów zostało narażonych na szacunkowy koszt ponad 654 miliarda dolarów w USA tylko w 2018 roku. Kary nakładane na przedsiębiorstwa zgodnie z przepisami RODO za wycieki danych sięgają 4% przychodów rocznych. A gdyby tak delegować odpowiedzialność za dane osobowe na użytkownika? Gdyby nie trzeba było utrzymywać kosztowych w zabezpieczeniach baz danych klientów? Gdyby można było odwrócić proces przy jednoczesnym wykorzystaniu zaufanych systemów potwierdzania tożsamości i trzymać w bazie wyłącznie identyfikator klienta, który ma zapisane wszystkie cechy tożsamości cyfrowej? Takie rozwiązanie w zasadzie eliminuje większość ryzyk dla przedsiębiorstw związanych z administrowanie bazami danych użytkowników.

Na rynek tożsamości cyfrowych wchodzą duże firmy technologiczne, zacierając granice branż i wykluczając klientów z tradycyjnych procesów w relacji z usługami cyfrowymi. Te firmy są dobrze przygotowane do napędzania wartości od cyfrowej tożsamości i kontroli użytkownika przez komfortowe doświadczenia związane z jej obsługą. Aby odnieść sukces w tej rywalizacji, tradycyjne firmy i startupy na całym świecie z wielu branż muszą pokazać długoterminowe korzyści wynikające z bezpieczeństwa cyfrowych tożsamości oraz możliwość taniego, szybkiego jej wdrożenia np. do zwykłej strony internetowej sklepu detalicznego z użyciem nieskomplikowanego i taniego do wdrożenia na stronę lub do aplikacji API cyfrowej tożsamości typu SSI. Usługa ta musi być dostępna, łatwa w obsłudze, wygodna, interoperacyjna, wydajna i przenośna. Dlatego w wyniku prac B+R projektu iVoting zidentyfikowaliśmy potrzebę stworzenia takiej SSI również w systemie do głosowania. Nasza suwerenna tożsamość nazywana CyberID będzie wkrótce wydzielonym projektem badawczym w ramach nowego grantu, który planujemy pozyskać w niedalekiej przyszłości. Rozwiązanie jest na tyle rewolucyjne, że zapewne bardzo szybko przyciągnie dużych i małych (rozproszonych) inwestorów, ponieważ skalowalność tego projektu jest globalna, a potrzeby rynkowe w zakresie kwantowego, długoterminowego bezpieczeństwa danych to luka rynkowa również dla wielkich korporacji, banków i całego łańcucha dostaw, branży turystycznej, a zwłaszcza lotniczej, nie wspominając o "zielonych paszportach" świadczących o odporności na COVID19 związanych z pandemią. Największym jednak potencjałem mogą się okazać mali inwestorzy, którzy dostrzegają potrzebę ochrony swoich danych w Internecie. Perspektywy dla nowego startupy, który planujemy rozwijać są nielimitowane w zakresie odpowiedzi na coraz bardziej palącą potrzebę suwerenności w Internecie, a jeśli przy okazji na swoich danych użytkownik może zarobić, monetaryzując je to będzie tylko wartość dodana projektu.