Esse artigo faz parte de uma série sobre identidade descentralizada (ou SSI).
Confira abaixo outros artigos sobre o assunto:
Self-Sovereign Identity - Principais Componentes
Self-Sovereign Identity - Onde Buscar Informações
Antes de entrar em conceitos de SSI, precisamos criar um entendimento (um framework comum) sobre o que define uma identidade. O que é uma identidade? Por que devemos nos preocupar sobre como utilizamos a identidade no mundo digital? Quais são os riscos?
Daniel Hardman, um dos evangelistas dos conceitos de SSI propôs uma definição, onde a identidade é definida por três aspectos: atributos, relacionamentos e agentes.
Essa representação, chamada de "Aspectos da Identidade", pode ser vista na figura abaixo:
O aspecto mais "óbvio" da identidade é o conjunto de Atributos. Atributos consistem de todos os identificadores, registros, cadastros, documentos, diplomas, certificações, certidões, etc que qualificam ou descrevem uma Pessoa. E assim como todos os aspectos da identidade, o aspecto de Atributos não envolve somente aqueles atributos que possuímos no momento atual (vigentes ou válidos), mas também aqueles que coletamos a longo de todo o tempo da nossa vida (ou seja, abrange todo o histórico).
Relacionamentos representam nossas relações com outras pessoas, entidades, empresas ou governos. Relacionamentos podem ser agrupados em Personas: manifestações de uma identidade dentro dos diversos contextos sócio-econômicos. Somos Personas diferentes dentro dos relacionamentos com Família, amigos, vizinhos, hobbies, colegas de trabalho, ambiente corporativo, interações com governo. Durante nossos relacionamentos, muitas vezes recebemos e apresentamos a outros nossos atributos, ou recebemos atributos de terceiros para uma verificação ou validação. Assim como Atributos, a identidade é composta do histórico de todos os relacionamentos ao longo do tempo, sobre os quais possa ou não existir um registro.
Por fim temos os Agentes, que são representantes contratados ou estabelecidos por uma relação de confiança mútua, a quais delegamos o poder de exercer alguma atividade em nosso nome. Agentes são nossos médicos, advogados, contadores, corretores, etc; e que possuem uma qualificação necessária na qual confiamos para estabelecer essa relação de confiança, dentro da qual eles são autorizados a nos representar em alguns dos relacionamentos específicos que exigem esse tipo de qualificação. Para essa atividade, compartilhamos com Agentes alguns dos nossos Atributos e Relacionamentos. A Identidade detém todo o histórico de quais agentes já nos representam ou já nos representaram; e em quais relacionamentos, ao longo do tempo.
Observação: apesar de intuitivamente pensamos em Pessoas quando falamos sobre a identidade, os mesmos conceitos se aplicam a empresas, dispositivos, equipamentos conectados (smart home), devices IOT, veículos, cabeças de gado (pecuária); e também pessoas ou animais sobre qual temos relação de guardianship.
A intersecção entre os Aspectos da Identidade formam os Planos de Conhecimento. Os planos de conhecimento definem o valor da informação que pode ser extraído combinando os aspectos da identidade.
A figura abaixo ilustra os planos de conhecimento resultantes da interseção desses aspectos.
Com base nas perguntas que podem ser respondidas pelos planos de conhecimento, vemos a importância de que o Controle sobre essas informações permaneça com a Pessoa detentora desses aspectos.
Simples vazamento dessas informações as is ou um cruzamento mal intencionado representam perigo para nossa privacidade, controle, e principalmente soberania sobre nossos aspectos da identidade. Você está no Controle de todas essas informações?
Hoje a cada interação com algum sistema (por exemplo, site de e-commerce), fornecemos alguns atributos da nossa identidade a terceiros (nome, cpf, endereço, envio de copia dos documentos, etc). Não temos garantia de como esses dados serão armazenados, tratados ou utilizados. Tampouco conhecemos as boas práticas de segurança dessas empresas. Falando em outros termos, empresas exigem que provemos diversas informações sobre a nossa identidade dentro dos processos de KYC (know your customer) e/ou AML (Anti-money laundering), porém não há hoje a contrapartida de "KYE" - Know Your Enterprise.
Quando somos clientes das empresas de tecnologia (como Facebook, Twitter ou Google), além dos nossos atributos, permitimos que identifiquem e rastreiam nossos relacionamentos, construindo um plano de conhecimento sobre nossas vidas, quem somos, com quem interagimos.
Da mesma maneira, dependendo de quais dados, quando e em qual contexto compartilhamos com nossos agentes, permitimos que os mesmos constroem outros planos de conhecimento (ex. buereaus de crédito construindo nosso score de crédito)
E uma informação valiosa assim (e centralizada em grandes empresas) não só é um atrativo para hackers, como também pode ser utilizada para monetização, venda, advertising, compartilhamento e outros fins que possam não ser de interesse imediato de quem Controla a identidade.
O portal site Information is Beautiful (World's Biggest Data Breaches & Hacks) mantém um infográfico sobre maiores vazamentos dos últimos anos e mostra claramente que estamos perdendo a soberania sobre nossos aspectos da identidade: além de não estarem sob nosso controle (estão em posse de terceiros) não possuem garantia de que sejam tratados e armazenados da maneira correta.
De acordo com 4iQ Identity Breach Report de 2020, 18.7 bilhões de registros relacionados a dados de identidade estão circulando em dark web e outras comunidades do submundo da internet.
Os idealizadores da SSI afirmam que uma das causas que potencializa o risco de vazamento dessas informações é o fato que a internet foi criada sem uma camada de identidade nativa ao protocolo (o que pode ser ilustrado pelo famosa charge publicada pelo Peter Steiner em julho de 1993:
https://en.wikipedia.org/wiki/File:Internet_dog.jpg
Dessa maneira, a partir da necessidade das empresas de identificar uma pessoa na internet, e validar as informações por ela providas com o objetivo de estabelecer uma relação sócio-econômica, surgiu a necessidade de criação dos sistemas de cadastro e validação dos dados. Esses sistemas armazenam informações internamente e possibilitam que o usuário seja identificado nas próximas visitas.
Esse paradigma ainda é muito utilizado hoje em dia (cadastros onde você precisa prover algumas informações sobre a sua identidade, inclusive uma copia da sua identidade fundamental emitida pelo governo, aos sistemas de terceiros).
A figura abaixo ilustra esse paradigma de centralização:
Mais recentemente com o surgimento dos protocolos como OAuth2 e OpenID, as Big Tech se posicionaram como intermediários entre uma pessoa e o restante do ecossistema, com o famoso social login. Por trazer uma melhor experiência ao usuário, que agora não precisa mais criar uma conta em cada sistema, mas pode autorizar ao sistema a utilizar atributos da sua identidade que agora estão sob controle do IDP (Identity Providers).
Ao delegar esse controle aos IDP, permitimos a essas empresas enriquecer o plano de conhecimento formado por intersecção entre atributos e relacionamentos da nossa identidade. Por ter acesso a essa informação valiosa, as Big Tech nos brindam com diversos serviços "gratuitos", mas por quais você está pagando indiretamente de acordo com o valor da informação que essas empresas coletam.
Alguns pesquisadores do SSI chamam esse paradigma de Surveillance Capitalism.
Para construir um contraponto conceitual a esses paradigmas, o Cristopher Allen publicou em 2016 um artigo chamado "The Path to Self-Sovereign Identity", onde elaborou os 10 Princípios da Identidade Auto-Soberana. Esse artigo é considerado pilar base que motivou o desenvolvimento do SSI.
Com esses princípios, espera-se que principais problemas do dia/dia relacionados com a identidade na internet possam ser resolvidos ou minimizados.
Alguns exemplos de cenários onde SSI poderia mudar a balança do Controle para o lado do detentor das informações:
Plataformas forçam "social contract" para que usuário forneça os aspectos da sua identidade, sem a possibilidade de renegociar os termos de controle sobre os dados.
Usuário e senha inseguros, armazenadas da maneira insegura
Coleta indevida, desnecessária das informações (disclosure maior que o necessário), o que aumenta o impacto de vazamento das informações e risco de multa por violação da LGPD.
Venda, compartilhamento, utilização abusiva de dados pessoais sem conhecimento / autorização do controlador
Descontinuidade - serviços que detém nossos dados podem sair do ar, serem vendidos, banidos, ou perderem reputação
Utilização dos identificadores que não são da propriedade do Controlador (email pode ser revogado, número de telefone pode ser perdido, DNS são controlados pelo ICANN, CPF pode ser cancelado pelo governo)
Observação: Importante notar que SSI não vai resolver “problemas do passado”. Dados relativos aos aspectos da identidades previamente coletados, vendidos ou roubados não vão retornar ao Controle do Peer após adoção do SSI.
A filosofia que fundamenta o SSI considera o Controle sobre os aspectos da identidade de uma pessoa como parte dos direitos naturais de uma pessoa (com base em human rights). Interessante notar que a semântica correta da relação entre uma Pessoa e Aspectos da sua Identidade é Controle e não Propriedade. Diferentemente da propriedade, a Identidade (que pode ser visto como uma conjugação tridimensional dos 3 aspectos e dos planos de conhecimento por eles construídos) é indivisível, universal e inseparável.
Os planos de conhecimento agora fazem parte do Sovereign Domain, sobre o qual você tem o controle, independentemente das relações ou interações dos outros participantes do ecossistema (sendo eles pessoas, organizações ou objetos).
A soberania vem da premissa de sempre preservar os direitos e a liberdade do indivíduo, possibilitando livre associação e desassociação para qualquer engajamento sócio-econômico do qual esse indivíduo venha a participar.
No próximo artigo vou abordar principais componentes que fazem parte do stack das tecnologias do SSI.
A imagem do artigo foi criada pela IA com base na frase “self-sovereign cryptographic identity“
Pode ser vista em:
https://creator.nightcafe.studio/creation/VNcr4TZVTZw2HpWpPD4A