¿Es la Auto Identidad Soberana la mejor herramienta para cumplir con GDPR?

Ubicua.com
Nov 6, 2018 · 12 min read

Como señalamos en nuestro artículo de bienvenida, uno de nuestros objetivos es recoger y traducir al español aquellos artículos que consideramos de interés para el ecosistema Blockchain

Así que hoy traemos el primero de una serie de tres artículos escritos por Elizabeth M. Renieris donde realiza un interesante análisis del concepto de la Auto Identidad Soberana que proporciona Blockchain y su encaje con el Reglamento General de Protección de Datos o “GDPR” defendido por la Unión Europea.

Como señala la autora, “pocos temas son tan populares en este momento como la nueva ley de protección de datos de la Unión Europea y el Reglamento General de Protección de Datos (el “GDPR” o “Reglamento”) si exceptuamos, tal vez, conceptos como el de Auto Identidad Soberana (Self-Sovereign Identity — SSI) y Blockchain. Del mismo modo, pocos temas son tan mal entendidos o simplificados”. Así que para tratar de disipar parte de la mitología subyacente y fomentar un enfoque más matizado es estos temas, traduciremos los tres artículos de Renieris, para tratar de arrojar algo de luz al debate.

En este primer artículo, Renieris, plantea la pregunta con la que encabezamos el artículo y presenta los conceptos centrales de Auto Identidad Soberana (SSI) tomando como ejemplo específico lo que se está realizando desde Sovrin, una propuesta pública global para SSI. De ahí, la autora, proporciona una visión general del GDPR para establecer la compatibilidad entre sus objetivos clave y los de SSI. ¡Esperamos que os resulte interesante!

Conceptos fundamentales y objetivos clave

SSI es el más nuevo de los tres modelos de la identidad digital. En el modelo más antiguo, conocido como modelo tradicional o “aislado”, una organización centralizada emite u otorga una credencial digital a un individuo que quiere acceder a sus servicios. El individuo necesita un conjunto de credenciales únicas para cada entidad con la que interactúa, lo que resulta en una deficiente experiencia de usuario. Esta deficiencia llevó a la aparición de un segundo modelo conocido como “modelo federado”. En este modelo, un proveedor de identidad (IDP) proporciona al individuo las credenciales digitales para iniciar sesión a través de un botón “inicio de sesión único” o “inicio de sesión social”. IDP asocia luego este inicio de sesión a la entidad o al servicio en particular al que la persona intenta acceder (por ejemplo, “inicio de sesión con Facebook” o “inicio de sesión con Google”). Aunque este segundo enfoque resuelve algunos de los problemas de la experiencia del cliente asociados con el enfoque en silos, requiere la necesidad de confiar en el IDP como intermediario entre la persona y la organización a cuyos servicios está tratando de acceder.

El SSI se describe a menudo como la “tercera generación de la identidad digital”, lo que podría implicar que es simplemente una evolución de lo que existía antes. Sin embargo, el SSI no admite comparación con los modelos anteriores de identidad digital porque es cualitativamente diferente. En el modelo SSI, la persona se sitúa en el medio de su ecosistema de datos y ejerce un control soberano o individual sobre cada transacción o intercambio de datos personales relacionados. Además, en lugar de concentrar el control sobre los almacenes de datos y repositorios de algunas grandes corporaciones, aquí, la recogida, el almacenamiento y procesamiento de datos se descentraliza a través de un ecosistema de datos planos. Esto marca la diferencia con la jerarquía creada por los modelos de identidad agrupados o federados, donde el individuo depende de un intermediario (organización o IDP) para acceder a sus datos y participar en cualquier transacción relacionada con la identidad. Es decir, se trata de cualquier cosa menos control auto-soberano de los datos por parte del individuo.

SOVRIN

Aunque SSI es agnóstico, en el sentido de que no requiere ninguna empresa, tecnología o solución específica para implantarlo, hay un puñado de esfuerzos exhaustivos y concertados en marcha para hacer de SSI una realidad. Para los propósitos de este post, nos centraremos en la versión diseñada y adoptada por la Fundación Sovrin (“Sovrin”) que aborda la cuestión en forma de servicio público global para la identidad digital soberana. En el enfoque de Sovrin, las identidades digitales pueden crearse para una persona u organización individual (“Propietario de identidad”), así como para un animal, un objeto natural o un objeto digital (“Cosa”).

La arquitectura técnica que permite la versión Sovrin de SSI y la creación y el uso de estas identidades digitales se compone de tres capas de tecnología clave:

1. “Monederos” digitales que contienen credenciales (tal y como se define a continuación) y ciertos otros materiales criptográficos;

2. Un protocolo único de comunicaciones peer-to-peer facilitado por piezas de software llamadas “Agentes” que forman una “capa de agencia”; y

3. Un libro contable distribuido autorizado (“Libro de Sovrin”).

Cada Propietario de Identidad o Cosa (“Entidad Sovrin”) posee un Monedero que contiene credenciales firmadas digitalmente (“Credenciales”) con cierta información verificable. Por ejemplo, reclamos o atributos, acerca de esa Entidad Sovrin que ha sido emitida por un “Emisor” o auto-emitida por una Entidad Sovrin. La Entidad Sovrin que es el sujeto de una Credencial mantenida en su Cartera es conocida como el “Titular” de esa Credencial.

Una credencial contiene prueba criptográfica de:

1. Emisor, quien lo emitió;

2. Titular, a quien fue expedido;

3. Estado, si ha sido modificado o alterado;

4. Validez, si ha sido revocado desde que se emitió.

El Monedero también almacena claves privadas, secretos maestros y otro material criptográfico sensible y, potencialmente, otros datos privados relacionados con la Entidad Sovrin que controla el Monedero. El Monedero puede ejecutarse en un dispositivo local (“Edge Wallet”) o de forma remota en un servidor o servicio de alojamiento en la nube (“Cloud Wallet”).

En el espíritu de SSI, una entidad Sovrin se encuentra en el centro de su universo de datos e interactúa con otras entidades que la orbitan formando conexiones únicas, directas y cifradas peer-to-peer (“Conexión”) con otros propietarios de identidad y cosas. Todas las transacciones e interacciones relacionadas con la identidad se autorizan directamente mediante el uso de un programa de software conocido como “Agente”. Al igual que con los Monederos, un Agente se clasifica como “Agente perimetral” cuando se ejecuta localmente o como un “Agente Cloud” cuando se ejecuta de forma remota. Juntos, estos dos tipos de agentes forman la capa intermedia que permite a las entidades de Sovrin comunicarse e intercambiar credenciales de forma segura con otras entidades. Los agentes son proporcionados por “Agencias”: proveedores de servicios comerciales, sin fines de lucro o gubernamentales que crean el software que actúa en nombre de individuos y empresas (el software de la agencia también puede ser auto hospedado, al igual que los individuos pueden elegir recibir su propio correo electrónico o servidores web).

Para establecer una Conexión, cada par se autentica mutuamente a través de sus respectivos Agentes, intercambiando un par de claves únicas de los materiales criptográficos que se encuentran en sus respectivas Carteras o Monederos. En el momento en que se establece la conexión, se genera automáticamente un identificador descentralizado único (“DID”) en el agente perimetral de cada par, que se convertirá en la forma en que cada par se autentique mutuamente en el contexto de su conexión de par única. Los DID son un tipo de identificador diseñado para una identidad digital verificable que está totalmente bajo el control del Propietario de la identidad y no depende de un registro centralizado, IDP o una autoridad de certificación. Este método de generar DID (“Método DID”) es exclusivo de Sovrin y no requiere del uso de un libro contable público, lo que significa que la gran mayoría de los DID de Sovrin son privados o solo se pueden descubrir en el contexto de una relación de pareja específica (“DID privado”). Además, para cada conexión formada, se crea un “Microledger” para proporcionar un registro transparente de las Credenciales intercambiadas entre los pares a esa relación de pares. Este Microledger también es privado para la relación de pareja específica y no puede ser descubierto por otros.

La tercera y la última pieza de la arquitectura técnica habilitada para el SSI de Sovrin es el libro contable autorizado o libro Sovrin, libro público, gobernado por la Fundación Sovrin, y una red global de organizaciones que operan los nodos individuales que mantienen el libro contable (cada uno, un “administrador”).

El Sovrin Ledger es una capa delgada de tecnología utilizada con el fin, limitado, de almacenar cuatro cosas:

1. DID públicos (como se definen a continuación);

2. Los tipos de datos y formatos utilizados para completar las Credenciales (“Esquema”)

3. “Definiciones de credenciales” que hacen referencia al Esquema relevante, al Emisor que lo publicó y los tipos de firma utilizados; y

4. “Registros de revocación” (también como se define a continuación).

Los “DIDs públicos” son identificadores detectables que pertenecen a organizaciones o entidades (en lugar de individuos), y actúan como puntos de conexión primarios o iniciales para las Entidades de Sovrin no conectadas. Por ejemplo, una organización que quiera alentar a los clientes potenciales a conectarse utilizando Sovrin tendrá un DID público que podrá difundir abiertamente. Una vez que se establece una conexión con un posible cliente, la relación puede moverse a un par utilizando DIDs privados. Los “Registros de revocación” son números criptográficos mantenidos en el Libro Mayor de Sovrin por Emisores de Credenciales digitales revocables que usan criptografía de conocimiento cero para confirmar o negar si un DID dado está dentro o fuera de un conjunto de DID que ha sido revocado por un Emisor determinado. Esto permite a una parte que desea confiar en una Credencial (un “Verificador”) para determinar si la Credencial sigue siendo válida o ha sido revocada sin revelar ese estado a las partes sin necesidad de saberlo.

Además de las características técnicas descritas anteriormente y del robusto mercado global de credenciales digitales que se fomentará, Sovrin tiene una arquitectura legal única. El núcleo de esta arquitectura es un “Marco de confianza”: un cuerpo de acuerdos estandarizados sobre las políticas comerciales, legales y técnicas para emitir credenciales digitales en un ecosistema determinado (a menudo denominado “sándwich BLT”). En el modelo de Sovrin, hay un Marco de confianza base que es generalmente aplicable a todas las partes que interactúan con o utilizan el Libro mayor de Sovrin de una forma u otra (“Marco de confianza de Sovrin”), así como también el “nivel superior”. Marcos de confianza específicos del dominio que abordan las necesidades únicas de una industria, comunidad o dominio específico. Estos marcos de confianza ayudan a abordar algunos de los desafíos legales clave para adoptar SSI, incluso en relación con el GDPR.

El GDPR se ocupa de la protección de las personas físicas con respecto al procesamiento de datos personales donde “datos personales” significan “cualquier información relacionada con una persona física identificada o identificable”. Por lo tanto, el alcance del Reglamento se limita a los datos sobre individuos y no se extiende a datos sobre corporaciones, organizaciones u otras entidades o cosas. El alcance territorial del Reglamento es mucho más amplio y se aplica al procesamiento en el contexto de un “establecimiento” dentro del ámbito geográfico o territorial de la UE y sobre la base de “actividades” dirigidas a personas de la UE, incluida la oferta de bienes o servicios a personas en la UE (independientemente de si alguna vez se produce una transacción) y el monitoreo de su comportamiento (como en el contexto de la publicidad de comportamiento en línea). Este amplio alcance territorial es la razón por la cual el GDPR es lo más importante para las empresas y organizaciones de todo el mundo.

El Reglamento surgió hace años, y entonces contempla un mundo de modelos de datos tradicionales y centralizados y ciertamente no anticipó una innovación como SSI. El primer borrador del GDPR se remonta a 2012 y fue la primera revisión exhaustiva de las leyes de privacidad / protección de datos de la UE desde que su antecesor, la Directiva de protección de datos (la “Directiva”), adoptada en 1995. Aunque el panorama de Big Data cambió radicalmente el panorama, en esos siete años, los cambios han sido exponencialmente más dramáticos con el advenimiento de tecnologías como la realidad aumentada y virtual, asistentes virtuales como Alexa de Amazon, innumerables dispositivos inteligentes, blockchain y DLT, así como avances en computación y criptografía. Estos desarrollos tecnológicos, junto con los cambios en nuestras actitudes hacia los datos personales y la privacidad, significan que estamos en un mundo muy diferente del que está contemplado en el GDPR.

Modelos de datos en competencia

El GDPR asume un modelo de datos tripartito en el que cualquier transacción en datos personales tiene tres partes clave conocidas como:

1. sujeto de datos;

2. controlador;

3. procesador.

El “sujeto de datos” es una persona física identificada o identificable, sujeta a datos personales. El “controlador” es una “persona física o jurídica que, sola o conjuntamente con otros, determina los propósitos y medios del procesamiento de datos personales”. Un “procesador” es una “persona física o jurídica, autoridad pública, agencia u otro organismo que procesa los datos personales en nombre del controlador”. Una o más partes pueden actuar como co-controladores o co-procesadores con respecto a los mismos datos personales. Este modelo establece una jerarquía por la cual el controlador con el nombre adecuado tiene, de hecho, el mayor control sobre el uso de datos personales relacionados con el sujeto de los datos, así como sobre las actividades de los procesadores de datos que actúan en su nombre. El sujeto de los datos también recibe un nombre apropiado en este modelo porque, de hecho, está muy subyugada a las otras partes en este ecosistema de datos tripartito y, en ese sentido, es cualquier cosa menos auto-soberana.

Como se señaló anteriormente, SSI establece un modelo de datos fundamentalmente diferente que es plano, descentralizado y de igual a igual. En el caso de Sovrin, el propietario de la identidad se encuentra en medio de su ecosistema de datos e interactúa directamente con otras entidades de Sovrin como pares. Es fácil ver cómo esta configuración desafía los supuestos estructurales del modelo de datos tripartito de GDPR. Además, los roles en el contexto de SSI son dinámicos. Es decir, el sujeto de datos y el controlador no son roles fijos o predeterminados, sino que sólo pueden identificarse en el contexto de una única interacción o transacción relacionada con la identidad. Un análisis en profundidad de las funciones y relaciones del controlador-procesador en el contexto de la cadena de bloques o las características basadas en el libro mayor de SSI será el tema de una próxima publicación.

Para los fines de este post, asumimos un intercambio prototípico de Credenciales mediante el cual un Propietario de Identidad desea usar una Credencial que ha obtenido de un Emisor para acceder a un servicio proporcionado por un Verificador. Suponemos que el Propietario de la Identidad ya tiene la Credencial en su Cartera y que el Verificador ha realizado una solicitud de información del Propietario de la Identidad (una “Solicitud de Prueba”). Además, asumimos que el Propietario de la identidad que es el sujeto de la Credencial es el sujeto de los datos, el Verificador que lo solicita es el controlador, y todas las demás partes del intercambio son procesadores o sub-procesadores.

Compatibilidad en objetivos clave

Si bien el GDPR casi siempre se caracteriza por ser una ley dirigida a mejorar la privacidad individual, el GDPR es en realidad un Reglamento de doble propósito. Su primer objetivo es, de hecho, mejorar la protección de datos para las personas físicas y tiene como objetivo otorgar a las personas físicas un mayor control sobre sus propios datos personales. Pero su segundo objetivo, de igual importancia, es permitir la libre circulación de datos personales en toda la UE. Si bien este segundo objetivo a menudo se pierde en la conversación, proporciona una lente importante para ver el GDPR como una negociación económica o una herramienta habilitadora de comercio (el derecho a la portabilidad de datos es un buen ejemplo de esta negociación). Específicamente, el Reglamento se ocupa de estimular el crecimiento económico al crear la confianza que permitirá el desarrollo de la economía digital.

SSI, y el enfoque de Sovrin en particular, está perfectamente alineado con ambos objetivos. El propósito principal de SSI es dar a los individuos control sobre sus atributos de identidad y el ejercicio de los mismos. Desde el punto de vista de Sovrin, la primera prueba del verdadero SSI es la medida en que la identidad está, y siempre estará, bajo el control del Propietario de la Identidad. Un segundo e importante objetivo del enfoque de Sovrin es permitir y ampliar el intercambio de credenciales entre los Propietarios de Identidad y otras entidades en el ecosistema de datos, en gran parte, facilitando un alto grado de confianza. Los distintivos de este enfoque incluyen el Marco de Confianza de Sovrin y los Marcos de Confianza de Dominio Específicos. De esta manera, Sovrin refleja los propósitos duales de la GDPR. En la Parte 2, nos sumergiremos en un análisis de cada uno de los principios básicos de protección de datos en GDPR y explicaremos cómo los adelanta SSI.

Resumen

En este primer artículo, Elizabeth M. Renieris nos ha introducido los conceptos centrales de la auto identidad soberana (SSI) tomando la propuesta específica de Sovrin. En los siguientes artículos encontraremos una visión general del GDPR para analizar la compatibilidad de sus objetivos clave con los de SSI.

Written by

Una iniciativa para la innovación y herramienta para materializar proyectos empresariales o personales utilizando las tecnologías más idóneas

Welcome to a place where words matter. On Medium, smart voices and original ideas take center stage - with no ads in sight. Watch
Follow all the topics you care about, and we’ll deliver the best stories for you to your homepage and inbox. Explore
Get unlimited access to the best stories on Medium — and support writers while you’re at it. Just $5/month. Upgrade