自己主権的アイデンティティ

自己主権型アイデンティティ（SSI）は、ウェブ上のウェブサイト、サービス、アプリケーションに対して自分が誰であるかを証明するために使用する情報を個人が制御できるようにするデジタルアイデンティティへのアプローチです。SSIがなければ、インターネット上で永続的なアカウント（アイデンティティ）を持つ個人は、自分のアイデンティティに関連付けられた情報を制御しているFacebook（Facebook Connect）やGoogle（Google Sign-In）などの多数の大手アイデンティティプロバイダーに頼らなければなりません。 ^{[2] [3] [4]}ユーザーが大手アイデンティティプロバイダーを使用しないことを選択した場合、各サービスプロバイダーで新しいアカウントを作成する必要があり、ウェブエクスペリエンスが断片化されます。自己主権型アイデンティティは、これら2つの望ましくない代替手段を回避する方法を提供します。自己主権型アイデンティティシステムでは、ユーザーは自分のアイデンティティに関連付けられた情報を制御しながら、合理的かつ安全な方法でサービスにアクセスします。^{[5] [6]}

TCP /IP プロトコルはマシンの識別子を提供しますが、マシンを操作する人や組織の識別子は提供しません。このため、インターネット上のネットワーク レベルの識別子は、次のようないくつかの理由から、情報や通信に信頼して頼ることが困難です。1) ハッカーはコンピューターのハードウェアや IP アドレスを簡単に変更できます。2) サービスはネットワークではなくユーザーの識別子を提供します。信頼できる識別子がないことは、インターネット上でのサイバー犯罪、詐欺、プライバシーへの脅威の主な原因の 1 つです。^[7]

ブロックチェーン技術の出現により、2015年に分散型アイデンティティの新しいモデルが登場しました。^[8] FIDOアライアンスは、アカウントベースではなく、公開鍵/秘密鍵暗号化によって保護された直接のプライベートなピアツーピア接続を通じて人々を識別するアイデンティティモデルを提案しました。自己主権型アイデンティティ（SSI）は、分散型アイデンティティモデルのすべてのコンポーネント、つまりデジタルウォレット、デジタル資格情報、デジタル接続を要約したものです。^[3]

SSI は、やりとりにおいて信頼を確立することの難しさに対処します。信頼されるためには、やりとりの当事者の 1 人が他の当事者に資格情報を提示し、その当事者を信頼する人は、資格情報が信頼する発行者からのものであることを検証できます。このようにして、検証者の発行者に対する信頼が資格情報の所有者に転送されます。^[9] 3 人の参加者による SSI のこの基本構造は、「信頼の三角形」と呼ばれることもあります。^[3]

アイデンティティシステムが自己主権的であるためには、ユーザーが保有する検証可能な資格情報を管理し、その資格情報を使用するにはユーザーの同意が必要であることが一般的に認識されています。^[10]これにより、ユーザーの個人データの意図しない共有が削減されます。これは、アイデンティティが外部のエンティティによって提供される集中型アイデンティティパラダイムとは対照的です。 ^[11]

SSIシステムでは、保有者は分散識別子と呼ばれる固有の識別子を生成し、管理します。ほとんどのSSIシステムは分散化されており、資格情報は暗号ウォレットを使用して管理され、分散型台帳に固定された公開鍵暗号を使用して検証されます。^[12]資格情報には、発行者のデータベース、ソーシャルメディアアカウント、電子商取引サイトでの取引履歴、または友人や同僚からの証明からのデータが含まれる場合があります。

欧州連合は、国際信頼できるブロックチェーンアプリケーション協会（INATBA）、EUブロックチェーンオブザーバトリー＆フォーラム、欧州SSIフレームワークなど、いくつかのイニシアチブを通じて分散型デジタルアイデンティティを模索しています。2019年に、EUはeIDAS互換の欧州自己主権アイデンティティフレームワーク（ESSIF）を作成しました。ESSIFは、分散型識別子（DID）と欧州ブロックチェーンサービスインフラストラクチャ（EBSI）を活用しています。 ^{[13] [14]}

韓国政府は、分散型アイデンティティに特化した官民コンソーシアムを設立した。^[15]

ドイツと欧州の法領域では、このテーマにとって特に重要な規制が 2 つあります。その 1 つが eIDAS 規制です。これは EU における電子 ID の信頼の最も重要な枠組みを形成し、デジタル単一市場の基本的な構成要素となっています。欧州ブロックチェーン サービス インフラストラクチャ (EBSI) ^[16]は、SSI eIDAS ブリッジ^[17]を、実質的なレベルの信頼を可能にする技術的実装として提供しています。^[18] eIDAS SSI 法務レポートでは、SSI が必要な規制条件を満たす方法についてのいくつかのシナリオも説明しています。

さらに、一般データ保護規則（GDPR）は個人データの取り扱いに関する法的根拠を形成しています。EBSI GDPR法務レポートにはこれに関する詳しい情報が記載されています。^[19]

SSIは価値を伴った技術であり、その技術的な運用方法は様々である（技術的側面を参照）。^[20]そのため、その実装は大きく異なる可能性があり、技術自体に異なる目標、課題、意図が組み込まれる可能性がある。^[21]

「自己主権型アイデンティティ」という用語は、個人が物理的な所有物と同様にデジタルアイデンティティに対して絶対的な制御と所有権を持っているという期待を生み出す可能性があります。しかし、実際には、SSIには複雑な技術インフラストラクチャ、アイデンティティ発行者および検証者とのやり取り、法的枠組みへの準拠が伴います。現実は、この用語によって生み出された認識と一致しない可能性があり、意味の混乱につながります。^[22]

批評家は、SSIは社会的不平等を悪化させ、技術やデジタルリテラシーへのアクセスが限られている人々を排除する可能性があると主張している。^{[21] [23]} SSIは、信頼性の高いインターネット接続、互換性のあるデバイスへのアクセス、デジタルシステムの操作能力を前提としている。その結果、高齢者、発展途上地域の個人、技術的リソースが限られている人々などの疎外された人々は、SSIの恩恵から排除され、アクセスが制限される可能性がある。^[24]

• 分散識別子
• 分散型ウェブ
• デジタル自己決定