La nuova frontiera dei dati personali? La Self-sovereign identity, che coniuga facilità d’uso e privacy

La rappresentazione dell’identità si fa multipla, decentralizzata e “discreta” con la SSI, la Self-sovereign identity; si tratta di una nuova modalità non solo di trasmettere, ma anzitutto di concepire l’identità dell’individuo che parte da una rinnovata sensibilità sulla sicurezza, sulla conservazione e trasmissione dei dati.

Alla base della SSI, infatti, c’è l’idea che ogni individuo debba essere proprietario e debba poter controllare la propria identità senza l’ingerenza di identity provider terzi. La SSI, infatti, consente alle persone di interagire nel mondo digitale in autonomia, grazie a un sistema di autenticazione decentralizzato basato sulla tecnologia blockchain.

Ne abbiamo parlato con Daniele Citterio, CTO di Infocert, leader del mercato italiano nei servizi di digitalizzazione e dematerializzazione nonché una delle principali Certification Authority a livello europeo per i servizi di Posta Elettronica Certificata, Firma Digitale e Conservazione digitale dei documenti (Conservatore Accreditato AgID).

Cos’è la Self-sovereign identity e perché è così importante?

Per comprendere cosa sia l’identità (digitale) self sovereing partiamo da un esempio che tutti conosciamo: il portafoglio fisico ed i documenti che vi si trovano dentro. Il wallet della SSI è il corrispettivo digitale del nostro portafoglio nel quale invece che documenti e carte custodiamo credenziali digitali.

Nel mondo fisico il nostro comune (issuer) ci rilascia la carta di identità e noi la presentiamo in Posta (verifier) per ritirare una raccomandata. L’addetto postale accetta la carta di identità come mezzo di riconoscimento, ipotizza con un buon grado di certezza che la carta non sia falsificata e mi consegna la raccomandate senza dovere telefonare al comune per verificare che io sia effettivamente al persona descritta dal documento di identità.

Nel mondo SSI, un issuer firma e rilascia una credenziale digitale che attesta un “fatto” relativo alla mia persona e la invia al mio wallet digitale. Per accedere ad un servizio online il verifier richiede la verifica di uno o più “fatti” che io conservo nel mio wallet. Presento le credenziali al verifier che verificandone l’autenticità attraverso il controllo della firma mi concede l’accesso al servizio.

Questa modalità di accettazione di credenziali emesse da terzi, scontata nel mondo reale, non esisteva nel mondo digitale perchè non c’era uno standard con cui rappresentare in maniera uniforme le credenziali. I sistemi utilizzati fin’ora sono stati due: l’identità a validità limitata e l’identità federata.

Nel primo caso ogni service provider internet definisce e gestisce le proprie modalità di registrazione e identificazione: per questo motivo noi abbiamo migliaia di credenziali, una per ogni sito a cui accediamo; ciascuna, però, è messa in pericolo da eventuali attacchi di hacker, che si moltiplicano ogni giorno di più.

La seconda modalità è il meccanismo dell’identità federata, ovvero l’accesso attraverso Facebook, Google o altri intermediari per accedere a un sito terzo. Questo comporta una facilitazione per l’utente -meno password da ricordare-, ma è una complicazione peggiorativa per la privacy. Oltre a dire all’e-commerce dove acquisto un prodotto, ad esempio, chi sono e cosa faccio, trasmetto a Facebook o Google anche preziose informazioni relative ai miei comportamenti, ovvero distribuisco informazioni aggiuntive che possono poi essere utilizzate per vari scopi che non avevo previsto all’origine.

Con la SSI si supera questo modello, definendo uno standard per cui ciascuno può descrivere credenziali del mondo digitale in maniera univoca e certificata e soprattutto trasferendo solo la parte delle informazioni necessarie in base alla richiesta dell’interlocutore, secondo la modalità di interrogazione dei dati zero knowledge.

Come funziona questa modalità di interrogazione dei dati?

L’interrogazione sui “fatti” può avvenire in 2 modalità: full disclosure, quando rilascio una credenziale con tutti gli attributi, come nel caso della carta di identità, che assomma tante informazioni che cedo tutte insieme. Oppure in modalità zero knowledge: io ti faccio una domanda e tu mi rispondi con le informazioni utili solo per l’informazione richiesta. Con l’attuale sistema posso usare solo la prima, mentre con la SSI uso le due modalità in base a quello che serve, minimizzando la divulgazione delle informazioni.

Grazie alle verifible credential, il corrispettivo elettronico delle credenziali verificabili del mondo analogico, è possibile definire la semantica e la sintassi per descrivere una credenziale, ovvero un “fatto” che mi riguarda; non si tratta solo delle caratteristiche dell’identità, ma di qualunque “fatto” che riguarda la mia persona. A seconda della relazione o del servizio a cui accedo mi presento con un profilo di informazione differente. Per esempio, se devo andare al supermercato e voglio sottoscrivere la carta loyalty, basterà rilasciare dal mio wallet digitale solo una porzione di informazione utile per quello che serve. Se devo comprare un divano e richiedo un finanziamento ad un provider di credito al consumo, non ci sarà bisogno di consegnare tutto il modello unico, ma attraverso la SSI trasmetterò solo il rigo interessante per dimostrare la mia retribuzione ed ottenere il finanziamento; idem per altre operazioni. Non c’è bisogno che sia l’utente a scegliere le informazioni da trasferire, ma automaticamente l’interrogazione dei dati richiederà solo quelle strettamente necessarie e queste riceverà.

È interessante constatare come i10 principi della SSI, enunciati per la prima volta da Christoper Allen nel 2016 riprendono le più importanti prescrizioni del regolamento GDPR buona parte . La SSI implementa by design dal punto di vista del cittadino le logiche che l’azienda deve implementare con il GDPR per azienda.

In questo modo il cittadino diventa governatore dei propri fatti e identità e può decidere di minimizzare il numero di informazioni che cede.

Ci spiega meglio come avviene lo scambio delle informazioni tra il wallet di cui si dota il cittadino e il verifier?

Per scambiare credenziali digitali in maniera privata e sicura un “peer” – Mario, ad esempio- deve stabilire una connessione diretta e crittografata con un altro “peer” – un servizio di car-sharing di fantasia che chiamiamo GreenCar -. Il livello di “trust” fra gli attori è paritetico (peer-to-peer), in quanto sia Mario che GreenCar utilizzano la connessione sicura per scambiare direttamente le proprie credenziali e possono verificare l’autenticità delle credenziali stesse validandone la firma sulla blockchain che svolge il ruolo di notaio. In questo modo Mario è certo di avere a che fare proprio con GreenCar (no-phishing) e GreenCar è in grado di richiedere a Mario tutte le informazioni per l’accesso al servizio in modalità sicura e verificabile (identità, patente di guida, foto e così via).

Grazie al trust crittografico certificato dalla blockchain, GreenCar può accertarsi che l’informazione sia valida, non scaduta, alterata o revocata.

Ovviamente questa certificazione non riguarda la sfera della “reputazione”: la Blockchain attesta le informazioni consegnate, non quanto esse siano corrispondenti nella realtà. Per esempio, il pacchetto relativo alle informazioni del profilo dell’istruzione, attesterà che sono laureato presso l’Università di Torino o di Tirana. Questo non attesta la validità “reale” che hanno quelle lauree in termini di skill, ma che effettivamente ho frequentato e sostenuto l’esame di laurea presso quella Università. Non bisogna quindi confondere il sistema della certificazione blockchain con quello relativo alla reputazione, che invece si basa sulla convenzione d “human trust”.

Chi certifica questo processo e perchè la blockchain è l’elemento indispensabile?

La blockchain è il fattore abilitante necessario per la realizzazione della visione SSI. Le tecnologie blockchain mettono a disposizione un registro distribuito, immutabile e sempre disponibile ideale per censire in modo trasparente ed affidabili gli attori della filiera (isser e verifier) e per tracciare lo stato delle credenziali e dei certificati. Inoltre offrono  anche le componenti tecnologiche necessarie alla creazione di identificativi personali basati su crittografia asimmetrica e generabili direttamente dall’utente (via wallet personale)

L’identità digitale scade?