Blockchain-basierte Authentifizierung Die Zukunft des Identitätsmanagements

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Thoughtworks Deutschland GmbH

Persönliche Daten sind wertvoll – Behörden und Unternehmen wollen möglichst uneingeschränkten Zugang zu unseren persönlichen Informationen, um ein personalisiertes Kundenerlebnis zu schaffen. Informationen zu Bewegungsmustern, Einkäufen, Online-Recherchen, Schlafgewohnheiten und Kontakten stehen all denen zur Verfügung, die persönliche Daten kaufen oder stehlen möchten.

Ich prognostiziere in diesem Zusammenhang immer noch mehr Devices, wachsende Datenmengen und eine größere globale Verbreitung. Zutreffend ist, dass durch die Verbreitung von Devices im globalen Süden mehr Menschen über Online-Dienste Zugang zu Bildung und medizinischer Gesundheitsdiagnostik haben. Aber so werden sie auch zur Zielscheibe verschiedener Akteure, die sie manipulieren können. Deshalb wollen wir alle geeignete Wege finden, unsere digitalen Identitäten zu schützen. Eine selbstbestimmte Identität (SSI, self-sovereign identity) bietet eine leistungsfähige Lösung für das immerwährende Problem, die eigene Identität zu bestätigen.

Eine selbstbestimmte Identität ist ein Ansatz zur Verwaltung digitaler Identitäten. Hierbei hat eine Einzelperson oder ein Unternehmen das alleinige Eigentum an und die alleinige Kontrolle über die persönlichen Daten, in welcher Form auch immer. Personen mit selbstbestimmter Identität können ihre Daten auf ihren Geräten speichern und für Überprüfungen sowie Transaktionen zur Verfügung stellen, ohne dass sie sich auf einen zentralen Datenspeicher verlassen müssen. Das Hauptziel besteht darin, den Usern die vollständige Kontrolle darüber zu ermöglichen, wie ihre persönlichen Daten aufbewahrt und verwendet werden.

Blockchain-basierte Authentifizierung

Eine digitale Identität erfordert eine Möglichkeit, sich zu identifizieren. Derzeitige Ansätze verwenden in der Regel einen Dienst zur Authentifizierung eines Users und die Rückgabe eines verschlüsselten Tokens, welches als Schlüssel für den Zugang zu Systemen verwendet werden kann. So wird sichergestellt, dass der User der- oder diejenige ist, für den er oder sie sich ausgibt. Umgekehrt wird bei SSI-Designs kein Vermittler benötigt. Das bedeutet, dass die selbstbestimmte Identität eines Users für einen Anspruch registriert werden kann, z.B. für einen Block auf einer Blockchain. Die Person kann dann diese Identifizierungsdaten bei einer Transaktion mit einem Zahlungsdienst oder mit Behörden teilen. Darüber hinaus kann der User durch die Rückgabe der Zugriffskontrolle genau kontrollieren, welche Daten mit wem und wie lange geteilt werden.

Die wenigsten Menschen wollen, dass alle ihre persönlichen Daten für die ganze Welt einsehbar sind. Dennoch könnten wir ein Verifizierungssystem verwenden, um diese Informationen anderen zugänglich zu machen, ohne dass diese wissen, um welche Informationen es sich dabei handelt. Hier kann die Technologie "Zero-Knowledge Proof" (ZKP) eine Lösung bieten. Dabei stellen wir unsere Informationen nur den Behörden zur Verfügung, wo sie kryptographisch auf einer Blockchain unter Verwendung einer Hash-Funktion gesichert werden. Bei diesem Ansatz steht der Hashwert denjenigen zur Verfügung, mit denen User ihn teilen möchten. Diese können dann die Identität anhand dieses Hashwertes verifizieren – ohne jedoch die persönlichen Daten zu sehen.

Dieser Vorgang lässt sich als ein System mit der Bezeichnung ‚Self-Sovereign Identity with Zero-Knowledge Proof’ ("Selbstbestimmte Identität mit Null-Kenntnis-Beweis") implementieren. Einzelpersonen erhalten auf diese Weise die vollständige Kontrolle über ihre persönlichen Informationen. Obwohl die Gesetze den Nachweis der Staatsbürgerschaft und der persönlichen Identität vorschreiben, müssen diese nicht mit jeder Firma oder Einzelbehörde, die dies verlangt, geteilt werden.

Aktuell ist es so, dass persönliche Informationen wahllos geteilt werden. Der oder die Einzelne hat weder Kontrolle darüber, wo die Daten auf Servern gespeichert werden, noch eine Vorstellung davon, wie sicher diese Datenspeicherung ist. Es ist dann nur noch ein einziger Angriff von Hackern nötig, um an diese Informationen zu gelangen.

Zero-Knowledge-Proof: Identitätsnachweis ohne Preisgabe von Daten

Der Zero-Knowledge Proof beruht auf zwei Rollen: ein Individuum, das über den Beweis seiner oder ihrer Identität verfügt, und eine Person, welche diese Identität prüfen möchte. Dazu braucht das Individuum der prüfenden Person nur einen Wert X zu nennen, ohne die eigentliche Information zu zeigen.

Dieser Wert X muss so beschaffen sein, dass er die Identität des Individuums nachweist. X ist hier eine Art des digitalen Fingerabdrucks. Die Gültigkeit dieses Fingerabdrucks beruht auf der Verwendung einer kryptographischen Hashfunktion. Unterschiedliche persönliche Daten ergeben einen jeweils anderen Wert X. Auf diesem Umstand beruht die Verifizierung, denn eine Manipulation dieses Wertes erfordert extreme Rechenleistung (oder Glück) und ist damit höchst unwahrscheinlich. Die persönlichen Daten selbst können nicht ohne weiteres aus dem Wert X berechnet werden.

Im Falle der selbstbestimmten Identität können die persönlichen Daten der oder des Einzelnen in einer privaten Datenbank gespeichert werden, die sogar von den Behörden zentralisiert werden kann. Die Informationen werden dann jedoch gehasht und der Wert X wird in einer separaten Datenbank gespeichert, die öffentlich ist und eine Blockchain verwendet.

Die Verwendung einer Blockchain bietet eine transparente, unveränderliche, zuverlässige und überprüfbare Möglichkeit, die öffentlichen Informationen zu teilen. Dadurch kann ein ZKP-Protokoll implementiert werden, das es den Individuen ermöglicht, einen Hashwert an die prüfenden Instanzen (Kreditunternehmen, Banken, Krankenhäuser usw.) zu übermitteln, um eine Identifizierung zu ermöglichen. Die prüfenden Instanzen wissen so, dass er korrekt ist, ohne ihn tatsächlich sehen zu müssen. Dabei speichert die öffentliche Datenbank den Hashwert in einem verteilten dezentralisierten Netzwerk von Knotenpunkten, die die Informationen durch einen Konsensmechanismus validiert haben. Dies ist erforderlich, um die Richtigkeit festzustellen. Die Verifizierer vergleichen dann den Hashwert der Prüferin oder des Prüfers mit dem in der öffentlichen Blockchain gespeicherten Hashwert.

Es ließe sich an dieser Stelle argumentieren, dass es einfach ist, an die persönlichen Informationen einer Person zu gelangen oder sogar an ihre Sozialversicherungsnummer. Um die Informationen weiter zu sichern, ist daher die Verwendung eines digitalen privaten Schlüssels erforderlich, den nur diese einzelne Person besitzen kann. Dieser ist dann erforderlich, um die Informationen "freizuschalten", und so der prüfenden Instanz gegenüber den Nachweis der Identität zu erbringen. Der private Schlüssel wird ebenfalls zusammen mit den persönlichen Informationen gehasht. Der Ausgabewert sollte dabei immer eindeutig sein.

Mit einem System, das die Identität verifiziert, ohne die tatsächlichen Informationen preiszugeben, ergeben sich für Online-Transaktionen zahlreiche Vorteile. Einzelpersonen werden sich weniger Sorgen darüber machen müssen, dass ihre digitale Identität gestohlen wird, wenn sie Geschäfte im Internet abwickeln. Wenn Einzelpersonen ihre eigenen Informationen verwalten, dezentralisiert dieses System, wer sie kontrolliert und wo sie gespeichert sind. Es ergeben sich weniger Kontrollen und weniger Fehlerquellen, wenn Einzelpersonen die Kontrolle über ihre eigene digitale Identität übernehmen dürfen. Ein weiterer Vorteil der Verwendung eines Identitätssystems besteht darin, dass es mit anderen Systemen interagieren kann, um die Identität einer Person zu überprüfen. Der Überprüfungsprozess wäre so schneller und würde zu weniger Problemen und Dateneingaben in Computersystemen führen. Mit digitalen Identifizierungssystemen kann der Verifizierungsprozess innerhalb von Sekunden abgeschlossen werden.

Über den Autor: Dave Elliman ist Head of Technology bei der globalen IT-Beratung ThoughtWorks. Er hat 30 Jahre Erfahrung in der Technologiebranche, hauptsächlich in den Bereichen Banken und Medien. Im Vordergrund seiner Tätigkeit steht die Entwicklung von maßgeschneiderter Software für seine Kunden und die dazugehörige Beratung.

(ID:46990389)