Welkom allemaal.
Ik ga jullie wat vertellen over self-sovereign identity.
En hoe dat in een netwerk kan leiden tot een betrouwbare identiteitsvaststelling,
voor burgers en bedrijven.
Mijn naam is Jacob Boersma.
Ik ben een adviseur op het gebied van Identity voor Digicampus...
en voor de Dutch Blockchain Coalition.
Ik ben al eigenlijk mijn hele carrière bezig met digitale identiteit...
en hoe dat op te zetten.
En ik adviseer daar ook diverse overheden en bedrijven over.
Wat is identiteit?
Laten we daar eens mee beginnen.
Ik heb natuurlijk net mezelf voorgesteld.
Dat is mijn verklaring van mijn eigen identiteit.
Maar als je echt wil vaststellen wie iemand is, dan in de fysieke wereld...
vraag je over het algemeen naar een identiteitsbewijs.
En dat identiteitsbewijs is negen van de tien keer uitgegeven...
bijvoorbeeld door de overheid.
Dus een rijbewijs, een paspoort of een andere pas...
die in een bepaalde context bijvoorbeeld geldt...
zoals je zorgpas.
Of iets dergelijks.
Daarmee kunnen we dus iemands identiteit vaststellen.
Maar hoe doen we dat als we die persoon niet zien, als die op een afstand is?
Dus als hij bijvoorbeeld via het internet een dienst wil afnemen.
Nou, traditioneel en daarvoor zien jullie ook de cartoon aan de rechterkant...
was het verhaal altijd: On the internet, nobody knows you're a dog.
Je kunt op een afstand eigenlijk je voordoen als wie je maar wil.
En dat is heel lastig,
dus daar zijn allerlei identiteits systemen omheen gebouwd,
waarbij je jezelf kunt identificeren met een username en password bijvoorbeeld.
Of op allerlei andere manieren.
En inmiddels is het eigenlijk helemaal omgeslagen.
Als je op internet iets doet, dan wordt er zoveel over jou vastgelegd,
dat je eigenlijk bijna niet meer anoniem kunt zijn.
Zelfs niet op momenten dat je dat eigenlijk wel zou willen zijn.
En er wordt heel veel meer identiteits informatie eigenlijk over jou gedeeld,
zonder dat je daar zelf controle over hebt.
Nou, dat is iets waar we een oplossing voor willen vinden.
Om nog een stap verder te gaan over hoe je identiteit dan moet zien.
Ten eerste: wie ben je?
Dat is dus heel vaak gereduceerd tot een een identificatienummer.
Je BSN natuurlijk, of afgeleiden daarvan.
Voor bedrijven het Kamer van Koophandel nummer.
Maar eigenlijk zegt dat nummertje niet zoveel.
Ten eerste, wil je ook nog zeker stellen dat iemand is wie hij zegt te zijn.
Dus niet alleen: Wat is je BSN?
Maar bewijs dat dat bij jou hoort.
Die stap noemen we authenticatie.
Dat is heel belangrijk, want anders heb je nog steeds niks aan die identiteitsgegevens.
heb je nog steeds niks aan die aan die identiteitsgegevens.
Maar eigenlijk nog het belangrijkste is: Wat mag je dan vervolgens?
En bijna altijd is de reden dat we ergens inloggen,
of dat we onze identiteit ergens bewijzen,
dat we ook iets willen laten zien...
dat we ergens toegang tot hebben,
dat we ergens toegang toe hebben.
dat we bepaalde kenmerken hebben,
bijvoorbeeld boven een bepaalde leeftijd zijn, ergens verzekerd zijn...
recht hebben op bepaalde subsidies, et cetera.
En eigenlijk die claims...
dus ik claim dat ik toegangsrechten heb,
zijn veel belangrijker dan een betekenisloos nummer.
Het liefst zou je eigenlijk alleen die claim willen doen,
zonder dat je dat nummer mee stuurt.
Want juist zo'n BSN bijvoorbeeld is heel privacy-onvriendelijk.
Als iemand eenmaal dat BSN heeft, dan kan hij heel veel andere dingen...
over jou opzoeken.
Niet alleen de dingen die jij wil bewijzen.
Dus hoe gaan we daar naartoe?
Naar zo'n systeem waarbij je eigenlijk alleen maar hoeft te bewijzen...
wat je mag, zonder dat je die eerdere stappen expliciet hoeft te doen?
Als we kijken naar identiteit in een netwerk perspectief,
dan heeft dat heel erg parallellen met hoe computernetwerken zich...
in zijn algemeenheid hebben ontwikkeld.
In het begin, en voor heel veel toepassingen nog steeds,
worden netwerken centraal opgebouwd.
Er is dus één centrale partij met één centrale server...
waar alle informatie overheen loopt.
En die heeft alle informatie en alle kennis en ook alle rechten...
om iemand wel of geen toegang te geven.
Dat is bijvoorbeeld hoe ook een systeem als de Belastingdienst werkt.
Er is maar één server van de Belastingdienst waar je in kunt loggen...
om je belastingaangifte te doen.
Als die eruit ligt of gehackt wordt,
dan kan niemand daar meer gebruik van maken.
In een decentrale wereld is dat al robuuster.
Dit is bijvoorbeeld hoe het bankensysteem werkt.
Iedere bank heeft zijn eigen servers.
Als er een storing is bij de ING,
dan kun je nog steeds wel inloggen bij de Rabobank als je daar klant van bent.
En toch kunnen al die systemen onderling wel communiceren.
Maar nog steeds zijn er dus wel hotspots waar alle informatie langsgaat.
En nog steeds ben je wel afhankelijk van die hubs...
om toegang te krijgen.
In een ideaal gedistribueerde wereld, zoals het internet werkt,
maar zo ook zoals bijvoorbeeld blockchain systemen werken,
zijn er eigenlijk geen centrale partijen.
Iedereen is gelijk en iedereen kan informatie over en weer naar elkaar toesturen,
peer to peer zoals dat heet.
Zonder dat er ergens iemand is die dat tegen kan houden.
En in identiteitsnetwerken heb je eigenlijk iets vergelijkbaars.
Dus in een centraal identiteitssysteem,
is er één centrale partij die bepaalt wie jij bent en die...
ook daar uitspraken over doet.
En die ook alle informatie heeft.
In een meer federated systeem, een federatie...
zijn er wel op meerdere plekken,
kun jij je registreren en wordt er namens jou eigenlijk jouw...
...identiteit verklaard naar iemand anders toe.
Maar nog steeds gaat het namens jou...
niet direct via jou.
Self sovereign identity, de naam self sovereign zegt het al een beetje,
daar ben jij zelf in controle.
Een voorbeeld van een centraal systeem is DigiD.
Heel duidelijk iets dat alleen door de overheid gerund kan worden...
en waar ook het BSN een centrale rol speelt.
Bij gefedereerde systemen moet je denken aan bijvoorbeeld...
het inloggen met Facebook en Google.
Daarmee kun je dus op heel veel plekken inloggen,
gebruik makend van één en dezelfde dienst.
Maar ja, daar heb je dus wel weer dat die dienst, die tech gigant uit Amerika,
eigenlijk heel veel informatie over jou verzamelt.
eHerkenning is een Nederlands systeem voor bedrijven om zich te identificeren.
Het is al decentraler, maar er blijven nog steeds...
van die hotspots van informatie ontstaan.
En self sovereign identity, daar willen we dus naartoe.
Dat betekent dat je echt als gebruiker de macht hebt over je...
eigen gegevens en zelf bepaalt hoe die gedeeld worden.
Waarom willen we dat?
Waarom willen we naar zo'n extreem ver gedecentraliseerde identiteitswereld toe?
Nou, ten eerste strookt het heel erg met de wens van de overheid om...
de gebruiker meer controle te geven over zijn eigen gegevens.
De regie op gegevens is een ambitie die de overheid heeft.
Het voorkomt ook allerlei datalekken.
Want er is niet meer één centrale database waar al je gegevens in staan.
Denk aan de recent gepubliceerde bijna datalekken van de GGD.
Het is ook in het belang van bedrijven bijvoorbeeld,
om niet te veel informatie over hun klanten meer te verzamelen,
omdat de AVG, de nieuwe privacywetgeving,
ook hele hoge boetes oplegt als er zo'n datalek ontstaat.
Dus liever wil je eigenlijk zo min mogelijk data opslaan,
maar dan moet je dus wel op een andere manier betrouwbare informatie krijgen over je klanten.
In de toekomst gaan ook miljarden apparaten,
het zogenaamde Internet of Things, behoefte hebben om ook een identiteit te krijgen.
Denk aan slimme auto's, slimme koelkasten.
Al die apparaten die een internet aansluiting krijgen...
...en die ook op een of andere manier geïdentificeerd moeten worden...
...en vooral waarvan moet worden vastgesteld wat ze wel en niet mogen.
Als je wil begrijpen wat self sovereign identity is,
dan moet je eigenlijk de analogie nemen van de heel simpele analoge portemonnee.
Daar zitten allemaal pasjes in. Al die pasjes, die verklaren iets over jouw identiteit.
Dat je bij een bepaalde bank zit, dat je een auto mag besturen, dat je lid bent van een sportclub.
En jij bepaalt welk pasje je er op welk moment uithaalt om aan wie te laten zien.
Dat is eigenlijk wat we nu in digitale vorm vangen.
Dus in plaats van die wallet die je in je binnenzak hebt,
staat hij op je telefoon en die zit in je binnenzak.
En alleen als jij iets wil verklaren aan een andere partij,
dan gebruik je die wallet om dus die claim naar die andere partij te sturen.
Dat heeft dus dezelfde kenmerken als een pasje in je normale portemonnee,
zoals dus dat jij het zelf in controle hebt en dat de uitgever van dat pasje of van die claim,
dus niet weet en niet bepaalt aan wie jij het kunt laten zien.
Maar er zijn nog meer voordelen als je het digitaal maakt,
namelijk je kunt alleen maar stukjes laten zien.
Ik kan alleen maar bewijzen dat ik boven de 18 ben,
bijvoorbeeld als ik online alcohol wil kopen.
Of ik kan alleen maar bewijzen wat mijn adres is en niet wat mijn naam is,
Als ik iets wil bestellen online.
Dat is iets wat met een pasje niet kan, want daar moet je het hele pasje nog steeds laten zien.
Het is ook wederzijds.
Dus in plaats van te zeggen van: nou, ik laat mijn gegevens aan jou zien beste organisatie,
kan ik ook vragen: geef mij ook maar informatie over jou op een bewijsbare manier,
dus die credentials kunnen beide kanten op.
Hoe werkt dat dan in de praktijk?
Een van de toepassingen die we nu al aan het uittesten zijn,
is in het gebruik rondom evenementen van de Field Labs, om die corona proef te organiseren.
Daarbij komen heel veel mensen bij elkaar op één plek om bijvoorbeeld...
een congres te bezoeken of een theatervoorstelling.
En daarvan wil je kunnen vaststellen, op een privacy vriendelijke manier,
dat die mensen niet besmettelijk zijn.
Dus zijn ze recent negatief getest of zijn ze bijvoorbeeld al gevaccineerd?
Nou, dat hebben we opgezet op een SSI manier,
dus al die deelnemers aan zo'n field lab hebben een applicatie op hun telefoon,
een self sovereign identity wallet,
die op het moment dat ze zich hebben laten testen en daar een negatieve testuitslag van hebben,
hebben ze die gekregen als een verifiable credential op diezelfde wallet.
Daar zitten ook identiteitsgegevens bij om te verifiëren dat het inderdaad aan jou gekoppeld is,
en dat je niet zomaar iemand anders testbewijs gebruikt.
Op het moment dat je naar zo'n evenement gaat, kun je dus met die wallet bewijzen:
Ik mag toegang krijgen, zonder dat je heel veel andere privacygevoelige gegevens hoeft te tonen.
Dus je hoeft niet meer je paspoort te laten zien.
Je hoeft niet je rijbewijs te laten zien.
Je hoeft alleen maar te bewijzen: Ik ben niet besmettelijk.
Voor degene die jou controleert hoeft het niet eens zichtbaar te zijn...
...of dat komt omdat jij negatief getest bent, of omdat je gevaccineerd bent,
bijvoorbeeld in de toekomst.
Er is geen centrale database die gehackt kan worden en bovendien...
op dit protocol kun je heel veel andere oplossingen ook gaan bouwen.
Dus het is niet een one use only toepassing voor corona,
maar je kunt straks veel uitgebreidere informatie hier op gaan zetten,
bijvoorbeeld rondom allerlei andere zorgprocessen.
En omdat je dus alleen maar de data vrijgeeft die je zelf vrij wil geven,
is het ook in die zin helemaal in lijn met regie op je eigen gegevens.
Die toepassing zijn we dus al aan het uittesten,
maar er zijn nog heel veel andere onderzoeksvragen die wel nog beantwoord moeten worden.
En dat doen we dus onder andere ook bij digicampus.
Dus dat zit hem op het vlak van de technologie.
Hoe ontwikkelen deze technologieën zich en hoe kun je die steeds privacy vriendelijker maken?
Hoe zorg je dat het ook zo moeilijk mogelijk te kraken is,
bijvoorbeeld de encryptie die hierbij gemoeid is?
Maar hoe zorg je dat het tegelijkertijd ook schaalbaar is,
zodat het voor miljoenen mensen straks bruikbaar is?
Maar ook op niet-technologische vlakken van hoe wil een burger hiermee omgaan?
En hoe leg je uit dat dit een veel privacy-vriendelijkere manier is...
om met je gegevens om te gaan, dan om alles maar bij Facebook of Google neer te zetten?
Hoe zorg je dat iedereen dit begrijpt en niet alleen mensen die heel erg diep in die technologie zitten?
Daarnaast zitten er ook organisatorische aspecten aan,
zoals hoe realiseren we dit in een publiek-private context?
Want je hebt de overheid hier natuurlijk keihard bij nodig,
omdat die de uitgever zijn van je betrouwbare basis identiteit.
Nu doen ze dat in de vorm van paspoorten, rijbewijzen en identiteitskaarten,
maar straks wil je dat dus op een digitale manier doen.
Je hebt tegelijkertijd het bedrijfsleven nodig.
Niet alleen omdat die een groot deel van de technologie ontwikkelen,
maar ook omdat die vaak aanvullende identiteitsgegevens kunnen leveren...
en vaak ook de vertrouwde partijen willen zijn die die credentials controleren.
En tenslotte, hoe sluiten we dit aan op de netwerken die we al hebben?
Dus hoe verhoudt zich dit tot een DigiD of een Landelijk Schakelpunt?
Of andere bestaande infrastructuren waar natuurlijk veel in is geïnvesteerd...
en waar je wel interoperabiliteit mee wil realiseren?
Met al dit soort vraagstukken zijn we bezig,
in parallel aan het daadwerkelijk in de praktijk brengen, met bijvoorbeeld zo'n corona paspoort.
Uiteindelijk is de conclusie: als je iets bouwt dat voor de eenentwintigste eeuw geschikt is,
dan moet je dat op een manier doen die respect heeft voor de privacy en de soevereiniteit van het individu,
en waarbij dus mensen zelf kunnen beschikken over hun eigen identiteitsgegevens.
Kortom, iedere eenentwintigste-eeuwse applicatie zou gebruik moeten maken...
van self souvereign identity.
Dank u wel.