W ramach przeglądu rozporządzenia UE w sprawie wspólnych ram tożsamości, znanego również jako eIDAS 2.0, wszystkie państwa członkowskie UE wdrożą nową wspólną strukturę poświadczeń elektronicznych opartą na portfelach tożsamości cyfrowej. Nowelizacja ma wejść w życie w całej UE między 2025 a 2026 rokiem. Ponad 250 prywatnych firm i organów rządowych z 25 państw członkowskich UE oraz Norwegii, Islandii i Ukrainy uczestniczy w czterech zakrojonych na szeroką skalę programach pilotażowych, których celem jest opracowanie podstawowej technologii i przetestowanie rzeczywistych przypadków użycia w całej UE.
W przeciwieństwie do powszechnego stosowania tożsamości federacyjnych, w których dostawcy tożsamości cyfrowej w chmurze są centralnymi punktami dostępu użytkowników do dowolnej liczby usług online, portfel EU Digital Identity (EUDI) ma na celu zaoferowanie nowego podejścia, w którym użytkownik ma kontrolę nad tym, kiedy i gdzie jego dane osobowe są udostępniane i komu. Poświadczenia i dane użytkownika będą obejmować takie rzeczy jak prawa jazdy, karty ubezpieczeniowe, wizy pracownicze i studenckie, dokumenty podróżne, dane kart kredytowych, poświadczenia edukacyjne, cyfrowe recepty lekarskie itp.
Yubico zostało zaproszone do przyłączenia się jako partner stowarzyszony do EWC, jednego z czterech pilotów EUDI na dużą skalę, i sformalizuje członkostwo jeszcze w tym roku. Projekt EWC został współtworzony przez szwedzkie agencje rządowe.
Znaczenie FIDO w zabezpieczaniu portfeli cyfrowych
FIDO to globalny otwarty standard uwierzytelniania użytkowników obsługiwany przez wszystkie główne przeglądarki internetowe na platformach stacjonarnych i mobilnych, z bezpłatnym oprogramowaniem open source – wspierającym konkurencję i innowacje. Łączy w sobie lepsze wrażenia użytkownika z wysokim poziomem bezpieczeństwa, praktycznie eliminując zagrożenia cyberbezpieczeństwa, takie jak phishing i fałszowanie danych uwierzytelniających. Krytyczne operacje kryptograficzne mogą być delegowane do dedykowanego sprzętu w postaci kluczy bezpieczeństwa FIDO, dostępnych u wielu dostawców, w tym Yubico. Użytkownicy nie potrzebują czytnika Smart Card do korzystania z kluczy bezpieczeństwa FIDO, a do ich używania nie jest wymagana żadna aplikacja kliencka, poza przeglądarką internetową.
Oprócz uwierzytelniania użytkowników, klucze bezpieczeństwa FIDO mogą odgrywać kluczową rolę w zabezpieczaniu portfeli tożsamości. Zawartość portfela może być szyfrowana i odszyfrowywana przy użyciu kluczy kryptograficznych pochodzących z sekretów powiązanych z bezpiecznym sprzętem klucza bezpieczeństwa FIDO. Dodatkowe klucze bezpieczeństwa można dodać w celu ochrony indywidualnego portfela jako kopii zapasowej lub użytkownicy współdzielący portfel organizacyjny mogą użyć własnego klucza bezpieczeństwa FIDO, aby uzyskać dostęp do tego portfela.
Przekazując jak najwięcej zaufanemu urządzeniu zewnętrznemu, portfel można zaimplementować jako aplikację internetową, która uniezależnia go od platformy mobilnej. Oznacza to, że obywatele mają prawdziwą kontrolę nad własną tożsamością, bez żadnych zależności od polityki sklepu z aplikacjami lub blokad dostawców, co jest zgodne z projektem Komisji Europejskiej.
Ponadto, w przeciwieństwie do tradycyjnych kart inteligentnych i tokenów uwierzytelniających opartych na OTP dla bankowości, klucze bezpieczeństwa FIDO współpracują również z setkami innych wiodących usług i aplikacji internetowych dla konsumentów i przedsiębiorstw, bez udostępniania jakichkolwiek danych użytkownika między usługami. Do tej pory niektóre usługi rządowe, w tym w Stanach Zjednoczonych i Wielkiej Brytanii, umożliwiły logowanie FIDO do swoich usług. Miliony użytkowników konsumenckich i biznesowych na całym świecie już przyjęły tę technologię i noszą te klucze w swoich pękach kluczy, które będą automatycznie współpracować z dowolnym portfelem internetowym EUDI.
Początkowym celem działań Yubico będzie pomoc EWC w stworzeniu portfela, który może być wykorzystywany w przypadkach wymagających wspólnej kontroli nad portfelem – np. dla firm i innych podmiotów prawnych. Jest to czasami określane jako „portfel organizacyjny” lub portfel osoby prawnej. Celem jest następnie opracowanie większej liczby przypadków użycia w usługach rządowych i komercyjnych, w których użytkownicy nie mogą lub nie chcą polegać na platformie mobilnej. Do 2026 r. Komisja Europejska postawiła sobie za cel umożliwienie wszystkim obywatelom UE korzystania z portfeli EUDI, hostowanych i interoperacyjnych z dowolną liczbą usług rządowych, finansowych i innych usług komercyjnych.
Działające demo znajduje się pod adresem https://demo.wwwallet.org, a źródło jest publikowane na licencji BSD-2 pod adresem https://github.com/wwWallet/wallet-frontend. Początkowy przypadek użycia przedstawiony w wersji demonstracyjnej i na poniższym filmie opiera się na danych uwierzytelniających wykształcenie, które są objęte innym z poniższych projektów.
Działające demo można obejrzeć na poniższej stronie:
Co dalej:
W ciągu kilku miesięcy planujemy wydać wersję alfa oprogramowania wwWallet zgodną z najnowszą wersją Architecture Reference Framework (ARF) portfela UE i będziemy w stanie obsłużyć co najmniej jeden z następujących przypadków użycia:
- Karta ubezpieczenia społecznego UE
- Aplikacje bankowe wymagające kontroli wielu użytkowników
- Przypadki użycia obejmujące pełnomocnictwo
- Poświadczenia edukacyjne
Jako pionier klucza bezpieczeństwa FIDO i wiodący współtwórca standardów uwierzytelniania FIDO, zespół Yubico jest podekscytowany i zaszczycony, że może teraz pomóc w kształtowaniu bezpiecznego, zapewniającego wysoki poziom prywatności i łatwego w użyciu rozwiązania tożsamości opartego na portfelu nowej generacji. Po pomyślnym udowodnieniu skali dla obywateli Europy, architektura może zostać przyjęta przez dowolny kraj na świecie, wspierając naszą misję uczynienia Internetu bezpieczniejszym dla wszystkich.
Cały dokument został przetłumaczony z bloga naszego partnera, firmy Yubico.