Hva kunne SSI ha hjulpet med rundt Norkart datatyveriet

Tittelen er litt villedene for det er ikke så mye SSI(se terminologi) kunne gjort for selve datatyveriet i seg selv. Vi kommer ikke unna store mengder data som trengs å lagres for bygge mer innsikt og bedre tjenester. Men vi kan bevege oss mot et samfunn der borgeren(brukeren) står i sentrum av datautvkeslingen, og kunne dermed ha unngått dette kredittsjekk dillemaet. Vi skal diskutere en mulig løsning i denne artikkelen.

SSI er en filisofi, en teknisk arkitektur og en digital infrastruktur som må på plass. Det handler om a sette brukeren i sentrum av den digital spheren og la brukeren få bestemme over dataen sin. Bildet under forklarer det på en veldig god måte

Hadde vi hatt denne infrastrukturen på plass idag, så hadde vi kunne oppleve bedre kontrol over data, større innovasjons evne og mye smidigere identifisering på nett. Vi hadde også opplevd potensielt bedre bruker opplevelse om vi kommer sammen og gjør dette riktig.

Så hvordan kan denne nye modellen gjøre dillemaene som kom etter Norkart datatyveriet lettere å håndtere?

Første problemet vi har idag er at kredittsjekk byråene er ikke pålagt å spørre oss om å få utstede en kreditsjekk til selskaper og tjenester, og har kanskje ikke noen enkel måte å gjøre det på. De er pålagt å informere per post, altså fysisk brev, med mindre du har digipost eller lignende.

Andre problemet er at denne informasjonen som tyvene har fått tak i, kan man bruke hos andre aktører for å "identifisere" seg selv som en person. Legg merke til at det står med ", for det å bare oppgi noen tall(fødselsnummer), navn og adresse, bør ikke være nok informasjon for å kunne "identifisere" seg. Det er derfor ofte pass/førerkort og biometri(bildesammenligning) brukes for å passe på at riktig person oppgir dataen. En person som overleverer dataen må vise at de er rettmessig eier av den dataen som overleveres, og denne siste settningen er veldig viktig!

Idag har data en stor sjangs for å komme på aveie, og derfor er det veldig viktig å ha en digital infrastruktur som lar oss bevise at den dataen som utveksles kommer fra riktig person, fra den personen som har rett å kontrollere den. Man kan kreve å bevise at du var den rettmessig eier av fødselsnummer, navn og adresse, ved å få presentert et førerkort i fysisk format, eller, delvis via en sentralisert aktør som BankId. Da hadde vi sluppet unna endel av svindelforsøkene. Men her er det fortsatt store mangler når det kommer til fleksibilitet og enkelhet. Alle som tar imot data skal ikke være identitets vakter og kunne vite hvordan man sjekker et fører kort. Og BankID er ikke smidig nok til å bli brukt på denne måten.

Det er her SSI er laget for å skinne. SSI bygger på en del internasjonale standarder som gjør at vi kan slutte å bygge oss inn i siloer og la brukeren ta mer kontroll over sin egen data, samtidig som man legger på et verifiserbart lag som benytter seg av kryptografi uten sentraliserte avhengigheter. Vi skal ikke dykke ned i den siste biten, men det er en viktig del av kaka for å virkelig forstå dybden av SSI.

For å løse problemene vi står ovenfor, så er disse punktene viktig. Se også figur 2:

• Brukeren har en lommebok hvor de kan motta og dele den dataen de trenger. Vi har skrevet mye om dette temaet. Blant annet om at EU legger føringer for fremtiden, og andre wallet relaterte artikler her og her. Med denne lommeboken kan man enkelt signere, bevise sitt eierskap og dele data med de partene som ønsker å se data. I denne lommeboken vil en fersk utstedet kreditsjekk ligge. Eventuelt en eldre en som man får beskjed om å oppdatere når man får en forespørsel. Eller ingen, men den digitale lommeboken hjelper deg å forstå hvor du kan få tak i dataen.
• Kreditselskapene fungerer som en utsteder av data og utsteder en eller flere VCs til brukeren så de kan dele med de aktørene de trenger. Denne type software er ikke super kompleks, men har et behov for å følge standarder, slik at dataen som utstedes gir mening utenfor eget økosystem og vi kan skape interoperabilitet.

‍

Nå som kreditselskapet gir data til den rettmessige kontrollerer(brukeren), kontrolløren har denne dataen lagret kryptert og sikkert via lommebokstjenesten, dataen er på et standarisert format, så kan man gå over til å dele dataen. Det er her identitets tyveri og svindel fort blir stoppet. Den blir også stoppet i de første punktene, fordi man har vanskeligheter å bevise at man er den rettmessig kontrollerer av data og får dermed aldri utstedet dataen fra kredittselskapet.

Delingen av data skjer ved at tjensten, selskapet eller hva det måtte være, har en måte å kontakte den ønsket personen å spørre om kredittsjekkdata. Dette kan løses på mange forskjellige brukervennlige måter. Brukeren kan bli direkte kontaktet ved sin lommebok, som vil svare automatisk eller på bekreftelse fra deg, på kreditsjekk henvendelser, hvor du får en klar logg i historikken og en notifikasjon om at noen har bedt om data. Eller så har disse tjenesten, selskapene en enkel QR kode, NFC scanner, bluetooth kobling, som man knytter seg til og må passere forespørselen for å få lov til å legge inn en form for søknad basert på kredittsjekk. Som betyr at man stopper tyvene før det hele har begynt.

Dette løser mye av problemene vi står ovenfor idag med denne Norkart hendelsen.

Om tyvene hadde fått tak i denne dataen som er utvekslet til vår lommebok. Så må de også ha kontroll på våre kryptografiske nøkkler for å kunne signere at de eier denne dataen. For dataen i seg selv er ikke verifiserbar i den forstand at du beviser at du er rettmessig eier. Da må det gjøres en fersk signering for at det skal være gyldig. Kryptografiske nøkkler er mye av det som også ligger til grunne for BankID sin sikkerhet, men mye kompleksitet abstraheres for oss brukere og over på en SIM operasjon eller BankID brikke.

Men med SSI, betyr det at man ikke lenger kan gå inn i en database og hente ut dataen for å prøve å utgi seg for å være noen. Man må også kunne bevise at man kan kontrollere denne informasjonen. Dermed er vi kvitt deler av problemet at dataen er kommet på aveie fordi det signeres og bevises i en utvekslings prosess.

Denne siste biten er litt kompleks, men det handler om at data i seg selv bør ikke være gyldig, fordi det kommer fra en troverdig database. Dataen må gjøres verifiserbar, knyttes til en identifikator og tid, med en mulighet til å gjøre data ugyldig. Dataen må igjen utveksles med et nytt bevis om at den som holder dataen har rett til å fremvise den dataen.

Om du synes dette er interessante tanker, hold deg oppdatert på våre nyheter eller ta kontakt for å bidra