Įsivaizduokite scenarijų: skubate į oro uostą, bet prie patikros vartų suprantate, kad piniginę su asmens tapatybės kortele palikote namuose ant virtuvės stalo. Panika? Galbūt šiandien – taip. Tačiau jau labai artimoje ateityje ši situacija sukels tik menką atodūsį. Vietoj to, kad ieškotumėte kišenėse plastikinės kortelės, jūs tiesiog išsitrauksite savo išmanųjį telefoną, atidarysite specialią programėlę, nuskenuosite piršto atspaudą ir ekrane parodysite skaitmeninį tapatybės dokumentą. Vartai atsivers. Tai ne mokslinė fantastika – tai skaitmeninės tapatybės dokumentų era, kuri jau beldžiasi į mūsų duris.
Pastaruosius kelis dešimtmečius gyvenome „plastiko“ amžiuje. Asmens tapatybės kortelės, vairuotojo pažymėjimai, banko kortelės, lojalumo kortelės – mūsų piniginės plyšta nuo jų gausos. Tačiau pasauliui nepaliaujamai skaitmenizuojantis, fizinių dokumentų poreikis eksponentiškai mažėja. Mes jau dabar atsiskaitome telefonu, į lėktuvą sėdame su skaitmeniniu bilietu, o gydytojo receptą gauname el. paštu. Logiškas ir neišvengiamas kitas žingsnis – perkelti patį svarbiausią mūsų atributą, mūsų tapatybę, į skaitmeninę erdvę.
Tačiau kas iš tikrųjų yra tie „skaitmeninės tapatybės dokumentai“? Svarbu suprasti, kad tai nėra tiesiog telefone išsaugota asmens kortelės nuotrauka ar PDF failas. Tai – kur kas sudėtingesnė, saugesnė ir funkcionalesnė technologija. Tai yra kriptografiškai apsaugotas, valstybės išduotas ir tarptautiniu mastu pripažįstamas skaitmeninis liudijimas, patvirtinantis, kas jūs esate.
Šiame išsamiame straipsnyje mes panirsime į skaitmeninės tapatybės pasaulį. Išsiaiškinsime, kuo jis skiriasi nuo jau įprastų mums „Smart-ID“ ar „Mobiliojo parašo“, kokią revoliuciją Europoje ruošia naujoji ES skaitmeninės tapatybės piniginė (EUDIW) ir, svarbiausia, kokie iššūkiai bei galimybės mūsų laukia kelyje į visiškai skaitmenizuotą rytojų.
Ne tik „Smart-ID“: Kuo skiriasi autentifikavimas nuo skaitmeninės tapatybės?
Lietuvoje mes jau esame gerokai pažengę skaitmeninės atpažinties kelyje. „Mobilusis parašas“ ir „Smart-ID“ tapo kasdienybe jungiantis prie el. bankininkystės, valstybinių paslaugų portalo „Elektroniniai valdžios vartai“ ar pasirašant dokumentus. Tačiau svarbu atskirti du terminus: autentifikavimą ir tapatybės dokumentą.
„Smart-ID“ ir „Mobilusis parašas“ iš esmės yra autentifikavimo įrankiai. Jie skirti vienam tikslui: saugiai patvirtinti, kad jūs esate tas asmuo, kuris jungiasi prie tam tikros sistemos. Jie atsako į klausimą „Ar tai tikrai tu?“. Kai jungiatės prie banko, sistema nemato jūsų vardo, pavardės ar asmens kodo – ji tiesiog gauna patvirtinimą iš „Smart-ID“ (ar kito teikėjo), kad autentifikacija buvo sėkminga. Tai yra lyg skaitmeninis raktas.
Skaitmeninės tapatybės dokumentas yra kur kas daugiau. Tai – skaitmeninis atitikmuo jūsų fizinei asmens tapatybės kortelei ar pasui. Jis ne tik patvirtina, kas jūs esate, bet ir saugo jūsų tapatybės atributus: vardą, pavardę, gimimo datą, asmens kodą, nuotrauką, pilietybę ir t.t. Be to, į skaitmeninę tapatybės piniginę galės būti įtraukti ir kiti dokumentai – vairuotojo pažymėjimas, diplomai, profesinės kvalifikacijos pažymėjimai, medicininės kortelės duomenys ar net skaitmeniniai receptai.
Pagrindinis skirtumas yra tas, kad autentifikavimo įrankis tik atrakina duris, o skaitmeninis tapatybės dokumentas yra tai, ką parodote jau įėję pro tas duris, kad įrodytumėte, kas esate ir kokias teises (pvz., vairuoti automobilį ar pirkti alkoholį) turite.
Europos Sąjungos revoliucija: Ateina EUDI piniginė (eIDAS 2.0)
Didžiausias postūmis skaitmeninės tapatybės link Europoje šiuo metu yra naujasis eIDAS 2.0 reglamentas ir juo pristatoma ES skaitmeninės tapatybės piniginė (angl. EU Digital Identity Wallet, EUDIW).
Pripažinkime, iki šiol skaitmeninė atpažintis Europoje buvo fragmentuota. Lietuviškas „Mobilusis parašas“ puikiai veikia Lietuvoje, estiškas „Smart-ID“ – Baltijos šalyse, tačiau bandant prisijungti prie Vokietijos ar Prancūzijos valstybinių paslaugų portalo, šie įrankiai dažniausiai būna beverčiai. eIDAS 2.0 siekia tai pakeisti iš esmės.
Europos Komisijos vizija – kad kiekvienas ES pilietis (ir gyventojas), norintis to, galėtų gauti valstybės išduotą, visoje ES pripažįstamą skaitmeninę piniginę. Tai bus programėlė jūsų išmaniajame telefone.
Kaip veiks EUDI piniginė?
EUDI piniginė bus tarsi skaitmeninis seifas jūsų telefone, kuriame saugiai laikysite savo skaitmeninius dokumentus, vadinamuosius patvirtintus skaitmeninius liudijimus (angl. verifiable credentials).
- Išdavimas: Piniginę ir pagrindinį tapatybės dokumentą (atitinkantį asmens kortelę) išduos kiekviena ES valstybė narė (Lietuvoje tai tikriausiai darys Asmens dokumentų išrašymo centras ar panaši institucija).
- Pildymas: Į šią piniginę galėsite įsikelti ir kitus dokumentus. Pavyzdžiui, „Regitra“ galės išduoti skaitmeninį vairuotojo pažymėjimą, universitetas – skaitmeninį diplomą, o gydytojas – skaitmeninį receptą.
- Naudojimas: Prireikus paslaugos, jūs tiesiog pasirinksite, kokius duomenis norite atskleisti.
Didžiausias privalumas: Selektyvusis duomenų atskleidimas
Čia slypi viena didžiausių skaitmeninės tapatybės inovacijų – selektyvusis duomenų atskleidimas (angl. selective disclosure) ir nulinio žinojimo įrodymas (angl. zero-knowledge proof).
Pagalvokite: kai šiandien perkate alkoholį parduotuvėje ir parodote asmens tapatybės kortelę, kasininkas pamato absoliučiai viską: jūsų vardą, pavardę, asmens kodą, tikslią gimimo datą, o kartais net ir adresą. Tačiau jam tereikia žinoti vienintelį dalyką: ar jums yra daugiau nei 20 metų.
Su EUDI pinigine procesas atrodytų kitaip. Kasininkas paprašytų patvirtinti amžių. Jūs savo telefone esančioje piniginėje gautumėte užklausą: „Ar sutinkate patvirtinti parduotuvei X, kad esate vyresnis nei 20 metų?“. Jūs paspaustumėte „Taip“. Parduotuvė gautų kriptografiškai patvirtintą atsakymą: „TAIP, asmuo yra vyresnis nei 20 metų“. Viskas. Parduotuvė nesužinotų nei jūsų vardo, nei tikslios gimimo datos, nei asmens kodo. Jūs atskleistumėte tik minimalią būtiną informaciją.
Šis principas keičia žaidimo taisykles privatumo srityje. Jūs atgaunate visišką kontrolę, kokius duomenis ir kam atskleidžiate. Kiti pavyzdžiai:
- Nuomojantis automobilį: Vietoj to, kad siųstumėte vairuotojo pažymėjimo nuotrauką, jūs tiesiog skaitmeniniu būdu patvirtinsite, kad turite galiojantį B kategorijos vairuotojo pažymėjimą.
- Pradedant naują darbą: Užuot nešus popierinį diplomo originalą, jūs darbdaviui skaitmeniniu būdu nusiųsite patvirtintą skaitmeninį liudijimą apie įgytą išsilavinimą.
- Prisijungiant prie socialinių tinklų: Galėsite patvirtinti, kad esate realus asmuo (kovojant su botais), neatskleisdami savo tikrojo vardo.
Technologijos už kadro: Kas užtikrina saugumą?
Natūralu, kad mintis apie telefone laikomą pasą, vairuotojo pažymėjimą ir banko duomenis kelia nerimą. O kas, jei telefoną pavogs? O kas, jei programišiai įsilauš?
Skaitmeninių tapatybės dokumentų saugumas yra paremtas keliais technologiniais ramsčiais:
1. Kriptografija ir viešojo rakto infrastruktūra (PKI)
Panašiai kaip ir „Mobilusis parašas“, skaitmeniniai dokumentai yra apsaugoti sudėtingais kriptografiniais algoritmais. Kiekvienas liudijimas (dokumentas) yra „pasirašomas“ jį išdavusios institucijos (pvz., „Regitros“) skaitmeniniu parašu. Kai jūs pateikiate tą liudijimą, paslaugos teikėjas gali akimirksniu patikrinti jo autentiškumą ir įsitikinti, kad jis nebuvo suklastotas ir yra galiojantis.
2. Daugiafaktorinis autentifikavimas (MFA)
Pati piniginė jūsų telefone bus apsaugota keliais saugumo sluoksniais. Norint ją atidaryti ar panaudoti dokumentą, greičiausiai reikės mažiausiai dviejų iš trijų veiksnių:
- Kažkas, ką žinote (PIN kodas, slaptažodis).
- Kažkas, ką turite (pats išmanusis telefonas, kuriame yra saugumo lustas).
- Kažkas, kas jūs esate (biometriniai duomenys: piršto atspaudas ar veido atpažinimas).
Net jei kas nors pavogtų jūsų atrakintą telefoną, jam dar reikėtų įveikti pačios piniginės apsaugą. Be to, kaip ir banko kortelę, skaitmeninį dokumentą būtų galima akimirksniu užblokuoti nuotoliniu būdu.
3. Decentralizacija ir Savarankiška tapatybė (SSI)
Vienas iš moderniausių požiūrių, kurį (bent iš dalies) bando įgyvendinti ir ES, yra Savarankiškos tapatybės (angl. Self-Sovereign Identity, SSI) modelis. Ką tai reiškia?
Tradiciniame modelyje jūsų duomenys saugomi centralizuotai (pvz., Gyventojų registre). SSI modelyje pagrindiniu savo duomenų saugotoju ir valdytoju tampate jūs pats. Duomenys saugomi jūsų įrenginyje (piniginėje). Nėra vienos centrinės duomenų bazės, kurią nulaužus būtų pavogti visų piliečių duomenys. Tai kardinaliai padidina atsparumą kibernetinėms atakoms.
Tiesa, ES modelis bus labiau hibridinis – piniginė bus decentralizuota (jūsų telefone), tačiau patys dokumentai bus išduodami ir tvirtinami centralizuotų patikimų institucijų (valstybės įstaigų).
Privalumai akivaizdūs, bet kur slypi pavojai?
Kaip ir bet kuri transformacinė technologija, skaitmeninė tapatybė atneša ne tik milžinišką potencialą, bet ir rimtų iššūkių. Būtina juos įvertinti blaiviai.
Privalumai (Geroji pusė)
- Neprilygstamas patogumas: Visi svarbiausi dokumentai – viename įrenginyje, kurį ir taip nešiojamės visur. Nebereikia bijoti pamiršti piniginę.
- Padidintas saugumas: Suklastoti kriptografiškai apsaugotą skaitmeninį dokumentą yra tūkstančius kartų sunkiau nei padirbti fizinę plastikinę kortelę.
- Duomenų privatumo kontrolė: Minėtas selektyvusis atskleidimas grąžina galią vartotojui. Jūs sprendžiate, ką ir kam rodote.
- Efektyvumas ir biurokratijos mažinimas: Įsivaizduokite galimybę atidaryti banko sąskaitą bet kurioje ES šalyje per 5 minutes internetu, patvirtinant tapatybę savo EUDI pinigine. Procesai, trukę dienas, sutrumpės iki minučių.
- Naujų paslaugų galimybės: Atsivers kelias inovatyvioms paslaugoms, kurios reikalauja aukšto lygio tapatybės patvirtinimo.
Rizikos ir iššūkiai (Blogoji pusė)
- Skaitmeninė atskirtis: Ką daryti tiems, kurie neturi išmaniojo telefono? Arba vyresnio amžiaus žmonėms, kuriems sudėtinga naudotis naujomis technologijomis? ES reglamentas numato, kad naudojimasis pinigine bus savanoriškas, o fiziniai dokumentai niekur nedings. Tačiau privalome užtikrinti, kad nebūtų sukurta „dviejų greičių“ visuomenė.
- Vieno taško pažeidžiamumas: Jei visas mūsų skaitmeninis gyvenimas telpa telefone, ką daryti, jei jis sugenda, išsikrauna baterija ar jį pametame? Būtini aiškūs ir greiti atkūrimo mechanizmai.
- Kibernetinio saugumo grėsmės: Nors technologija saugi, programišiai niekada nemiega. Bus bandoma ieškoti spragų pačiose programėlėse, operacinėse sistemose ar bandant apgaulės būdu išvilioti prisijungimo duomenis (angl. phishing).
- Sekimo potencialas: Tai bene didžiausia filosofinė ir etinė baimė. Ar sistema, kuri žino kiekvieną mūsų žingsnį (kada ir kur naudojome savo tapatybę), negali tapti totalinio sekimo įrankiu? Būtent todėl EUDI piniginės architektūra kuriama taip, kad būtų orientuota į privatumą, o pati ES neturėtų centralizuotos duomenų bazės apie tai, kur piliečiai naudoja savo pinigines. Bet budrumas čia būtinas.
- Priklausomybė nuo technologijų: Esame vis labiau priklausomi nuo interneto ryšio ir elektros. Kas nutiks, jei dings ryšys? Tiesa, planuojama, kad daugelis funkcijų (pvz., amžiaus patvirtinimas) veiks ir be interneto ryšio (offline režimu).
Ateities vizija: Tapatybė kaip paslauga
Skaitmeninės tapatybės dokumentai yra tik pradžia. Žvelgiant į tolimesnę ateitį, mes judame link „tapatybės kaip paslaugos“ (angl. Identity as a Service, IDaaS) koncepcijos. Jūsų skaitmeninė tapatybė taps centriniu jūsų skaitmeninio gyvenimo ašimi.
Įsivaizduokite, kad jūsų skaitmeninė piniginė saugiai sąveikauja su daiktų internetu (IoT). Jūsų automobilis neužsives, kol neatpažins jūsų skaitmeninės tapatybės. Jūsų išmanieji namai automatiškai nustatys jums patinkančią temperatūrą ir muziką, kai tik įžengsite pro duris. Medicininiai įrenginiai galės automatiškai ir saugiai siųsti gyvybinius rodiklius jūsų gydytojui, susiejant juos su jūsų patvirtinta tapatybe.
Ilgainiui tai gali reikšti ir slaptažodžių eros pabaigą. Užuot kūrus dešimtis skirtingų slaptažodžių kiekvienai svetainei, ateityje galėsime tiesiog naudoti savo vieningą skaitmeninę tapatybę saugiam prisijungimui.
Išvados: Pasiruošimas neišvengiamam
Skaitmeninės tapatybės dokumentai nebėra klausimas „ar“, tai yra klausimas „kada“ ir „kaip“. Lietuvai, kaip vienai iš skaitmeninių lyderių Europoje, tenka svarbus vaidmuo ne tik sėkmingai įdiegti ES skaitmeninės tapatybės piniginę, bet ir užtikrinti, kad tai būtų padaryta teisingai.
Revoliucija tyliai vyksta mūsų kišenėse. Plastikinės kortelės era artėja prie pabaigos. Ją keičia kriptografija, biometrija ir vartotojo kontroliuojami duomenys. Mūsų užduotis – ne tik priimti šį patogumą, bet ir aktyviai domėtis, kaip yra saugomas mūsų privatumas, kaip užtikrinama skaitmeninė įtrauktis ir kaip kuriama sistema, kuri tarnauja žmogui, o ne jį kontroliuoja.
Ateitis jau čia. Ji telpa jūsų delne. Klausimas tik, ar esame pasirengę atsakingai ja naudotis.