In der realen Welt können wir uns einfach und sicher identifizieren, aber in der virtuellen Welt noch immer nicht. Für die digitale Identifizierung gibt es inzwischen zwar mehrere Varianten, nicht immer zufriedenstellend. Nun scheint sich die Self-Sovereign-Identity durchzusetzen. Was sie den anderen Konzepten voraus hat, erläutert unser Autor, BFH-Forscher Gerhard Hassenstein.
Dezentrale Identitäten weisen gegenüber isolierten und zentralen Identitäten, wie im bereits erschienen Beitrag erläutert, hinsichtlich Flexibilität und Schutz der Privatsphäre viele Vorteile auf. Mit einer Self-Sovereign-ID (Selbstkontrollierten Identität) erhält der Benutzer die alleinige Kontrolle über seine Daten zurück, da keine zentrale Ablage von Identitätsdaten mehr notwendig ist. Dies reduziert auf der anderen Seite aber auch Datensicherheitsprobleme von zentralen Identitätslieferanten, welche sich zunehmend Angriffen ausgesetzt sehen. Dieser Artikel stellt die Grundbausteine von Self-Sovereign Identities vor und erklärt deren Konzept und Funktionsweise.
Der Ansatz einer selbst-kontrollierten und dezentral organisierten Identität ist nicht neu. Dieses Konzept wurde bereits in verschiedenen Formen (z.B. Idemix[1] und uProve[2]) vorgeschlagen. Neu bei Self-Sovereign Identity (SSI) ist, dass mit einem dezentralen öffentlichen Register gearbeitet wird. Dies ist ein Paradigmenwechsel.
Die Hauptbestandteile von SSI
Die Technologie hinter Self-Sovereign Identity ermöglicht es Personen, Organisationen oder auch Dingen ihre digitale Identität selbst zu kontrollieren, indem sie jederzeit auch bestimmen können, welche persönlichen Attribute bei einem Authentifizierungsvorgang übermittelt werden. Die Benutzer erhalten somit mehr Rechte aber auch Verantwortlichkeit hinsichtlich ihrer persönlichen Informationen.
Akteure
· Der Inhaber (Holder) kann eine oder mehrere Identitäten selbst erstellen, die je mit einer DID[3] (eine Art Identifikator) referenzierbar sind. Ein Inhaber behauptet zunächst etwas über sich selbst, z.B. wo er wohnt (Wohnort). Erst wenn ein Aussteller (z.B. die Post) dies beglaubigt hat, wird aus dieser Behauptung ein überprüfbarer Nachweis. Diesen Nachweis kann der Inhaber dann zusammen mit seiner Identität einem Dienstleister (Prüfer) präsentieren, welcher Informationen und Identität validieren kann.
· Der Aussteller (Issuer) beglaubigt Eigenschaften (Attribute) eines Inhabers in Form von überprüfbaren Nachweisen (sog. Verifiable Credentials), welche ein standardisiertes Format[4] haben. Die Beglaubigung legt der Aussteller idealerweise in einem öffentlichen Register ab, damit jedermann diese prüfen kann. Den Nachweis hingegen übergibt er dem Inhaber zur weiteren Verwendung. Aussteller sind autoritative Instanzen, wie Behörden, Unternehmen oder Bildungsinstitutionen.
· Ein Prüfer (Verifier) erhält einen Nachweis von einem Inhaber und kann diesen mit Hilfe des öffentlichen Registers überprüfen. Mit dem Nachweis kann er dann bei sich eine bestimmte Entscheidung treffen (z.B. bei der Zugriffskontrolle).
Abb. 1: SSI Komponenten
Elektronische Brieftasche (ID-Wallet)
Der Inhaber speichert DIDs, Schlüssel und Nachweise in einer Art elektronischer Brieftasche ab, wie er in der realen Welt seine ID, Fahrausweis, Kreditkarten, usw. in seiner physischen Brieftasche ablegt. Ein solcher ID-Wallet kann auf jedem Gerät installiert werden und erlaubt, die SSI-Daten von einem Gerät zum anderen zu übertragen.
Agenten und Vermittler (Agents und Hubs)
Um den Inhaber bei den Prozessen zum Erstellen einer DID, beim Anfordern eines Nachweises, beim Aufbau einer sicheren Kommunikation mit Ausstellern und Prüfern, usw. zu unterstützen, bietet die SSI-Infrastruktur digitale Agenten, welche die ID-Wallets «umhüllen» und schützen.
Abb. 2: Agenten nehmen dem Inhaber die Arbeit ab
Dezentrale öffentliche Datenregister
Die grundlegende Änderung bei SSI ist die Abkehr von einer zentralen Instanz, welche Identitäten kontrolliert und speichert. Dies bedingt aber eine dezentrale Ablage von Identitäten. Um dennoch eine zuverlässige Datenquelle bieten zu können, muss in Form eines öffentlich überprüfbaren Datenregisters eine manipulationssichere, verteilte Datenbank verwendet werden, die nicht von einer einzelnen Partei kontrolliert werden kann. Nebst anderen Lösungsansätzen bietet sich die «Blockchain-Technologie» dazu an, welche in anderer Form auch für Kryptowährungen verwendet wird.
Funktionsweise
Einfaches Vertrauen in eine Identität
Der kritische Punkt bei einer Überprüfung eines Nachweises ist das Vertrauen, welches man darin haben kann. Mit anderen Worten: vertraut ein Prüfer der Information im Nachweis, dem Aussteller und der Identität des Überbringers?
Die Vertrauensbeziehung zwischen Aussteller, Inhaber und Prüfer ist immens wichtig. Bei einer einfachen Vertrauensbeziehung vertraut ein Prüfer der Aussage, die ein Aussteller in Form eines Nachweises über die Identität eines Inhabers gemacht hat.
Abb. 3: Einfache Vertrauensbeziehung
In herkömmlichen Systemen wird ein Dienstleister nur auf seine Identität hin geprüft (z.B. durch ein Webserver-Zertifikat). Die Überprüfung einer «Identität» ist vielfach aber nicht ausreichend. In vielen Fällen wäre es wünschenswert, wenn ein Dienstleister auch einen Berechtigungsnachweis liefern könnte. Dies ist in herkömmlichen Modellen nur schwer umsetzbar. SSI jedoch unterstützt diese Form von gegenseitigem Vertrauen mit Hilfe von überprüfbaren Nachweisen. Ein Prüfer wird zum «Geprüften». Ein Inhaber könnte beispielsweise verlangen, dass ein Prüfer selbst einen Nachweis erbringt, welchen ihn als «Versicherung» ausweist. Solche Vertrauensbeziehungen sollten aber nicht nur auf technischer Ebene verifiziert werden können (z.B. durch Validieren von digitalen Signaturen). Es sollten zusätzlich auf rechtlicher und geschäftlicher Ebene Richtlinien geschaffen werden, welche die Vertrauenswürdigkeit in technische Nachweise erweitern.
Authentisieren (DID-Auth)
Ein Inhaber einer SSI muss gegenüber einem Aussteller oder Prüfer beweisen können, dass er diese kontrolliert bzw. in deren Besitz ist. Die Datenformate und Verfahren dazu werden unter dem Begriff DID-Auth[5] zusammengefasst. DID-Auth erlaubt eine einseitige bzw. gegenseitige Authentisierung und das Übertragen von «Verifiable Credentials» in einem sicheren Kanal.
Verlust der DID oder der «Verifiable Credentials»
Was passiert in einer dezentralen Identitätsarchitektur – wie SSI, wenn ein Inhaber die DID oder dazugehörige Nachweise auf seinem Gerät verliert oder dieses zerstört wird? Bei einer zentral administrierten und kontrollierten Identität ist dies im Normalfall kein Problem, man fragt den Verwalter der Identität, ob er diese wiederherstellen oder eine Neue ausstellen könne. Nach einem entsprechenden Überprüfungsverfahren sollte dies die zentrale Verwaltung einer Identität auch problemlos erledigen können. Nicht so bei dezentralen Identitäten, hier ist bei der Erstellung keine zentrale Instanz beteiligt. Dies verlagert die Verantwortung auf den Identitätsinhaber. Verfahren, wie «Distributed Key Management» helfen dem Inhaber seine Identitätsinformationen (Schlüsselmaterial und andere Informationen) auf vertrauenswürdige Treuhänder zu verteilen und im Notfall, seine Identität mit Hilfe dieser wiederherzustellen. Da die Treuhänder immer nur Teile der Identität besitzen, können sie diese nicht selbst nutzen oder missbrauchen.
Fazit
Auch wenn die Technologien zu den Self-Sovereign Identities noch nicht ganz ausgereift sind und noch einige Teile in Entwicklung stehen[6], so zeichnet sich ein Trend in Richtung selbst-kontrollierter Identitäten ab. Die heutige Gesellschaft ist in den Belangen «Schutz der Privatsphäre» jedes Einzelnen sensitiver geworden, und stellt diesbezüglich neue Anforderungen. Auch die Gesetzeslage (zumindest in Europa) hat sich mit der DatenSchutz-GrundVerOrdnung (DSGVO) verändert. Eine technisch sichere Lösung, welche den Schutz der Privatsphäre jedes Teilnehmers berücksichtigt und dennoch bedienerfreundlich ist, hat Zukunft.
Referenzen
[1] IBM Research: http://www.zurich.ibm.com/idemix
[2] Microsoft (vormals Credentica): http://research.microsoft.com/en-us/projects/u-prove/
[3] Decentralized IDentity
[4] Das Datenmodell für überprüfbare Berechtigungsnachweise wurde 2019 veröffentlicht: https://www.w3.org/TR/vc-data-model
[5] https://github.com/WebOfTrustInfo/rwot6-santabarbara/blob/master/final-documents/did-auth.md