SSI: Identita pod vašou kontrolou

Self-sovereign identity: definícia, princípy a dôvody vzniku

Self-sovereign identity (SSI) je model digitálnej identity, v ktorom jednotlivci alebo organizácie vlastnia a kontrolujú svoje identifikátory a atribúty bez nutnosti permanentného sprostredkovateľa. SSI umožňuje selektívne zdieľanie údajov, minimálnu koreláciu naprieč službami a kryptograficky overiteľné tvrdenia (Verifiable Credentials). Cieľom je znížiť závislosť od centralizovaných identitných poskytovateľov, minimalizovať úniky údajov a vytvoriť prenosný, interoperabilný rámec identity naprieč doménami a štátmi.

Kontrast identitných modelov

Model	Vlastníctvo identifikátora	Ochrana súkromia	Interoperabilita	Riziká
Centralizovaný (username/password)	Poskytovateľ služby	Nízka (silná korelácia dát)	Nízka	Single point of failure, zraniteľnosť voči únikom
Federovaný (SAML/OIDC s IdP)	IdP (napr. BigTech, univerzita)	Stredná (IdP vidí transakcie)	Stredná až vysoká	Metadátové sledovanie, závislosť na IdP
SSI (DID + VC)	Používateľ/organizácia	Vysoká (pairwise DID, selektívne zverejnenie)	Vysoká (štandardy W3C/DIF/OIDF)	Správa kľúčov, UX, fragmentácia štandardov

Hlavné stavebné bloky SSI

• DID (Decentralized Identifiers): globálne jedinečné identifikátory vo forme did:method:…, ktorých DID dokument publikuje verejné kľúče a služby. DID môžu byť na reťazci (ledger), v DNS/HTTP (did:web) alebo úplne lokálne (did:key).
• Verifiable Credentials (VC): kryptograficky podpísané tvrdenia (napr. občianske meno, rok narodenia, osvedčenie), ktoré vydáva issuer a drží holder vo svojej peňaženke; predkladá verifierovi.
• Wallet/Agent: softvér (mobil/desktop/edge), ktorý spravuje kľúče, prijíma a prezentuje VC a komunikuje cez protokoly (napr. DIDComm, OIDC4VC).
• Trust registries/Governance: katalógy a schémy riadenia dôvery (kto môže vydávať ktoré VC, podľa akých pravidiel a auditov).

Princípy SSI (skrátená verzia)

1. Kontrola a vlastníctvo: identifikátory a tvrdenia sú pod kontrolou držiteľa (neznamená to vždy fyzické vlastníctvo hardvéru, ale kontrolu nad použitím).
2. Prenositeľnosť: identita nie je viazaná na jedného poskytovateľa.
3. Minimálne zverejnenie a selektívne odhalenie: zdieľam len to, čo je potrebné (napr. >=18 namiesto dátumu narodenia).
4. Ochrana pred koreláciou: párové DID a anonymizačné techniky redukujú možnosť sledovania naprieč službami.
5. Interoperabilita a otvorené štandardy: nezávislosť od jedného vendor lock-in.
6. Existencia mimo povolenia: možnosť vytvárať identifikátory bez centrálneho monopolu (pri zachovaní governance pre dôveru).

Štandardy a formáty: prehľad ekosystému

Vrstva	Štandardy/Prístupy	Poznámka
Identifikátory	W3C DID (did:key, did:web, did:ion, did:indy, did:pkh)	Rozdiely v resolúcii, závislosti na reťazci a cene operácií
Credential model	W3C VC Data Model 2.0, ISO mDL (18013-5/-7), IETF SD-JWT VC	Rôzne podpisy, transporty a podpora ZKP
Podpisy/Zverejnenie	BBS+ (ZK-selektívne odhalenie), AnonCreds, JSON-LD/LD-Proofs, JWS	Trade-off medzi kompatibilitou a súkromím
Protokoly	DIDComm v2, OIDC for Verifiable Credential Issuance (OIDC4VCI), SIOP v2/OIDC	Federácia vs. peer-to-peer komunikácia
Revokácia/status	Status List 2021/VC Status List, AnonCreds revocation registries	Kompaktné bity/bitmapy, ochrana pred koreláciou
Governance	Trust over IP (ToIP), EUDI rámce, schemy a katalógy	Definujú úlohy, politiky a dohľad

Architektúra dôvery: issuer–holder–verifier a domény použitia

SSI operuje v trojuholníku: issuer vydá podpísané VC, holder ich uloží vo wallet a pri žiadosti prezentuje verifierovi. Dôveru v tvrdenie tvorí:

• Autenticita: kryptografický podpis vydavateľa.
• Integrita a status: kontrola revokácie/pozastavenia.
• Autorita: governance: či issuer je oprávnený vydávať daný typ VC (napr. univerzita diplomy).

Kryptografia a selektívne zverejnenie

• BBS+ podpisy: umožňujú dokázať tvrdenia z viac-atribútového VC bez odhalenia všetkých polí (ZK dôkazy).
• AnonCreds: schémy s dôkazmi rozsahu a členstva, tradične na DIDs s ledger podporou.
• SD-JWT: selektívne odhalenie v JWT ekosystéme pomocou odhaľovacích tokenov a záväzkov (hash).
• Pairwise DIDs: pre každý vzťah unikátny identifikátor → minimalizácia korelácie.

Peňaženky, kľúče a obnova

• Non-custodial vs. custodial: používateľské vlastníctvo kľúčov (Secure Enclave/TPM/HSM) vs. spravované kľúče (vyššie UX, iné riziká).
• Key management: rotácia kľúčov, viacfaktorové podpisy (MPC), sociálna obnova/guardianship pre zraniteľné skupiny.
• Backup a prenositeľnosť: šifrované zálohy, export/import VC, interoperabilné formáty.
• Biometria: len ako lokálny odomykací faktor, nie ako prenosný identifikátor.

Životný cyklus verifikovateľných poverení

1. Vydanie (issuance): autentizácia držiteľa, prenesenie VC do walletu, zápis statusu (voliteľne) na registry.
2. Uchovanie: bezpečné uloženie, prípadne tokenizácia pre offline použitie.
3. Prezentácia (presentation): generovanie dôkazov podľa požiadavky verifikátora (výzva/nonce), selektívne zverejnenie.
4. Overenie (verification): validácia podpisu, schéma a status, kontrola autority cez governance registry.
5. Revokácia/expirácia: aktualizácia status listu, notifikácie držiteľovi.

Súkromie, bezpečnosť a minimalizácia rizík

• Anti-korelačné praktiky: párové DID, unikátne service endpoints, blinding identifikátorov v protokoloch.
• Minimalizmus dát: používajte dôkazy rozsahu (>=18), členstva (je príslušníkom), nie celé hodnoty.
• Metadata hygiene: obmedzte IP/telemetriu, použite privátne relaye, connection-less prezentácie.
• Hrozby: krádež zariadenia, SIM-swap, phishing prezentácií, supply-chain útoky na wallet → mitigácie: FIDO2, attestation, bezpečné aktualizácie.

Regulácie a súlad (compliance)

• GDPR: data minimization, purpose limitation, právo na prenositeľnosť; SSI prirodzene podporuje privacy by design.
• eIDAS/eIDAS 2.0 a EUDI peňaženky: európske rámce pre kvalifikované elektronické pečate/podpisy, dôveryhodné zoznamy a európsku digitálnu identitnú peňaženku.
• Sektorové normy: KYC/AML (financie), HIPAA/HL7 (zdravie), ISO/IEC pre bezpečnostné požiadavky.

Interoperabilita a prenik medzi svetmi

Ekosystém sa konverguje k možnosti vydávať a prezentovať VC cez protokoly OIDC (komfort federácie) aj cez DIDComm (peer-to-peer, offline). Dôležitá je schopnosť walletov pracovať s viac formátmi (VC-JWT, VC-LD, SD-JWT, mDL) a viac DID metódami.

Use-cases a doménové vzory

• eGovernment: digitálne doklady (občiansky preukaz, vodičský), proaktívne služby so selektívnym zverejnením.
• Vzdelávanie a práca: diplomy, mikrocertifikácie, overiteľné pracovné preukazy; okamžitá verifikácia bez volania registratúry.
• Finančné služby: KYC/KYB poverenia, re-usable identita medzi inštitúciami, zníženie opakovaných onboardov.
• Zdravotníctvo: poistné a klinické tvrdenia s jemnozrnnými súhlasmi; preukázanie očkovania bez zverejnenia detailov.
• IoT/industry: identity zariadení (DID pre stroje), overiteľné servisné zásahy a pôvod komponentov.
• Vekové brány a prístup: dôkaz dosiahnutia veku alebo členstva bez zdieľania mena/adresy.

Výkonnosť, škálovanie a prevádzka

• Offline-first prezentácie: QR/NFC výmeny s neskoršou online kontrolou statusu.
• Cache a status listy: kompaktné bitmapy pre hromadnú kontrolu revokácie (ochrana pred koreláciou cez segmentáciu).
• Observabilita: dôkaz o doručení a výkone bez narušenia súkromia (anonymizované metriky, privacy-preserving telemetry).

Governance a ekosystém dôvery

• Schémy poverení: štandardizácia dátových štruktúr (napr. PersonIdentificationData, StudentID), URI slovníky a verzovanie.
• Registry dôvery: podpisované zoznamy autorizovaných issuerov, pravidlá onboardingu/offboardingu.
• Audit a dohľad: nezávislé testy interoperability, certifikačné programy pre peňaženky a verifikátory.

UX a inklúzia

• Priehľadné požiadavky: zrozumiteľné obrazovky čo zdieľate a prečo s alternatívami.
• Human fallback: podpora pre tých, ktorí nedokážu spravovať kľúče (opatrovníctvo, delegovanie s limity).
• Bezpečné výzvy: anti-phishing vizuálne väzby a podpisované presentation requesty.

Antipatterny a riziká

• Blockchain na všetko: publikačné registre ≠ ukladanie osobných údajov na reťazec; vyhnite sa nezmazateľným osobným dátam.
• Globálne identifikátory: používanie jedného DID naprieč službami → vysoká korelácia.
• Premotivovaná telemetria: sledovanie používateľov walletu; porušenie princípov SSI.
• Vendor lock-in: proprietárne formáty VC a neštandardné rozšírenia bez mapovania na W3C/OIDF.

Checklist pre návrh SSI riešenia

• Je zvolená DID metóda primeraná dostupnosti, cene a nezávislosti (did:web vs. did:ion/did:key)?
• Podporuje wallet selektívne zverejnenie (BBS+/SD-JWT) pre dané use-cases?
• Existuje governance (schémy, registry, onboarding issuerov) a revokácia bez korelácie?
• Sú vyriešené kľúče (rotácia, záloha, obnova) a MFA s hardvérovou podporou?
• Spĺňa riešenie GDPR/eIDAS a sektorové požiadavky? Máte DPIA?
• Interoperabilita: OIDC4VCI, SIOP v2 a/alebo DIDComm? Testy s referenčnými implementáciami?
• UX: zrozumiteľné súhlasy, fallback pre bezsmartfónových, dostupnosť (WCAG 2.1+)?

Roadmapa adopcie (orientačná)

1. Fáza 1: pilot v limitovanom ekosystéme (napr. univerzita–študent–zamestnávateľ), test interoperabilných VC.
2. Fáza 2: zavedenie governance, registry issuerov, revokácie a integrácia s OIDC svetom.
3. Fáza 3: rozšírenie na eGov a cezhraničné scenáre, certifikácia peňaženiek, škálovanie status listov.

digitálna identita pod kontrolou používateľa

Self-sovereign identity posúva digitálnu identitu z modelu požičiavam si identitu k modelu vlastním a kontrolujem. Kombinácia DID, verifikovateľných poverení, selektívneho zverejnenia a jasnej správy dôvery umožňuje budovať bezpečné, interoperabilné a privacy-preserving služby v štáte, biznise aj občianskej spoločnosti. Skutočný úspech však závisí od kvalitného governance, špičkového UX a prísneho rešpektu k princípom minimalizácie a proti-korelácie – iba tak SSI naplní sľub suverénnej identity bez toho, aby bola suverenita len marketingovým sloganom.