De toekomst van biometrische data-eigenaarschap: 'Self-Sovereign Identity'

Stel je voor: jij bent de baas over je eigen paspoort, je vingerafdruk en je gezichtsscans. Geen bedrijf dat ze opslaat, geen overheid die ze beheert. Jij.

Dat is precies wat self-sovereign identity (SSI) mogelijk maakt. Het is een nieuwe manier om je digitale identiteit te beheren, waarbij jij de controle houdt over je persoonlijke gegevens, inclusief biometrische data zoals vingerafdrukken en gezichtsherkenning.

In een wereld waar Nederland koploper is in datalekken met 20.000 meldingen per jaar, is die controle geen luxe, maar een noodzaak.

Self-sovereign identity: een nieuw principe in identity management

SSI is simpel gezegd een digitale portemonnee, een wallet, waarin jij je identiteitsbewijzen bewaart. Denk aan je rijbewijs, diploma’s of toegangspas voor de universiteit.

Het bijzondere is dat deze bewijzen niet op een centrale server staan, maar lokaal op je eigen apparaat. Jij beslist wie ze te zien krijgt. Bij traditionele systemen zoals Itsme – dat door 80% van de Belgische bevolking wordt gebruikt – bewaakt een organisatie je data. Handig, maar risicovol.

Bij SSI is er geen tussenpersoon die je gegevens kan misbruiken. Je toont alleen wat nodig is.

Bijvoorbeeld: je bewijst dat je ouder bent dan 18, zonder je volledige geboortedatum te delen. Biometrische data zijn hierbij een gevoelige pijler. Een vingerafdruk of gezichtsscan kun je niet wisselen als een wachtwoord. SSI zorgt ervoor dat deze data lokaal blijven en alleen worden gebruikt voor verificatie, niet voor opslag bij derden.

Europese wetgeving en HOSA-IAM sturen op SSI

Europa zet hard in op SSI. Met eIDAS 2.0 verplicht de EU alle lidstaten om digitale identiteitswallets aan te bieden aan burgers.

Dit betekent dat je straks één app hebt voor al je officiële documenten, van paspoort tot rijbewijs. In Nederland speelt HOSA-IAM, de Hoger Onderwijs Sector Architectuur, een sleutelrol.

Deze architectuur regelt identity- en accessmanagement voor universiteiten en hogescholen. HOSA-IAM sluit naadloos aan op SSI, zodat studenten en onderzoekers straks met één wallet toegang krijgen tot systemen zoals SURFconext. Apple loopt voorop met een eigen identity wallet, maar Europese wallets moeten voldoen aan strenge privacyregels. Hierdoor ontstaat een ecosysteem waarin verschillende wallets naast elkaar bestaan, maar wel samenwerken.

Wat zijn de gevolgen voor onderwijs en onderzoek van de opkomst van SSI?

Voor studenten en docenten verandert er veel. Stel je voor dat je je collegekaart, tentamenresultaten en subsidie-aanvragen allemaal in één wallet beheert.

Geen gedoe met losse inlogcodes of verloren pasjes. Onderzoekers profiteren ook. Bij samenwerkingen tussen universiteiten is het delen van data vaak complex.

Met SSI kunnen ze credentials veilig uitwisselen, zonder dat gevoelige informatie op servers van derden belandt.

Een praktisch voorbeeld: een promovendus die toegang nodig heeft tot een beveiligde dataset. Met SSI toont hij zijn status als onderzoeker, zonder zijn volledige identiteit prijs te geven. Dit beschermt niet alleen zijn privacy, maar ook die van de data-subjecten.

Welke concrete ontwikkelingen zie je op het vlak van self-sovereign identity?

Een van de meest veelbelovende ontwikkelingen is Yivi, een wallet ontwikkeld door de Radboud Universiteit. Yivi is open-source en gericht op privacy.

Het stelt gebruikers in staat om hun gegevens lokaal op te slaan en selectief te delen. Daarnaast werkt SURF aan een proof of concept wallet voor het onderwijs. Deze wallet test de eisen van studenten, docenten en onderzoekers in de praktijk.

Hoe werkt het bijvoorbeeld als je biometrische verificatie zoals je vingerafdruk gebruikt om in te loggen op een onderzoeksdatabase?

Apple’s identity wallet is al beschikbaar, maar focust zich vooral op de Amerikaanse markt. Europese wallets zoals Yivi en die van eIDAS 2.0 zullen meer aandacht besteden aan interoperabiliteit en privacy.

Wat doet SURF zelf op het gebied van SSI?

SURF, de coöperatie voor onderwijs en onderzoek in Nederland, volgt SSI-ontwikkelingen op de voet. Ze onderzoeken hoe SSI-wallets kunnen worden geïntegreerd met bestaande systemen zoals SURFconext.

Een praktische aanpak is het combineren van SSI-wallets met SURFconext voor de overgangsperiode.

Dit zorgt ervoor dat onderwijsinstellingen niet meteen hun hele infrastructuur hoeven aan te passen. SURF waarschuwt ook voor risico’s. Zo is social engineering via identity wallets een groeiend probleem.

In 2024 was er al een Itsme-case waarbij fraudeurs probeerden om wallets te misbruiken. SURF adviseert om altijd dubbel te controleren wie om je gegevens vraagt.

Economische en maatschappelijke waarde

Volgens McKinsey kan digitale identiteit 3-13% van het BBP vrijspelen. Dit komt doordat SSI de efficiëntie van online transacties verhoogt en fraude vermindert, terwijl het ook onze juridische definitie van identiteit fundamenteel verandert.

Daarnaast biedt SSI oplossingen voor de 1,7 miljard mensen zonder toegang tot financiële diensten. Met een digitale wallet kunnen ze zich identificeren en toegang krijgen tot bankdiensten, zonder dat ze een fysiek paspoort nodig hebben.

Voor bedrijven betekent SSI lagere kosten voor identiteitsbeheer. Geen dure databases meer, maar een gestandaardiseerd systeem waarbij de gebruiker de controle houdt.

Nieuwe kansen, nieuwe risico's

SSI biedt kansen, maar brengt ook nieuwe risico’s met zich mee. Zoals gezegd is social engineering een reëel gevaar.

Fraudeurs proberen wallets te misbruiken door zich voor te doen als vertrouwde partijen. Een ander risico is het verlies van je wallet. Als je je telefoon kwijtraakt, ben je ook je identiteitsbewijzen kwijt.

Daarom is het belangrijk om back-ups te maken en je wallet te beveiligen met bijvoorbeeld een vingerafdruk of gezichtsherkenning.

Tegelijkertijd zorgt SSI voor meer veiligheid. Omdat gegevens lokaal worden opgeslagen, zijn ze minder kwetsbaar voor hacks. Een datalek bij een bedrijf betekent niet langer dat al je persoonlijke gegevens op straat liggen.

TNO's drie pijlers voor veiligere digitale identiteit

TNO, het Nederlandse onderzoeksinstituut, identificeert drie pijlers voor een veiligere digitale identiteit: Deze pijlers vormen de basis voor een SSI-systeem dat zowel veilig als praktisch is.

1. Technische veiligheid: Gebruik van sterke encryptie en biometrische authenticatie.
2. Gebruikersvriendelijkheid: Wallets moeten intuïtief zijn, zodat iedereen ze kan gebruiken.
3. Interoperabiliteit: Wallets moeten samenwerken met bestaande systemen zoals SURFconext en Itsme.

Een veelbelovende ontwikkeling zijn passkeys, een alternatief voor wachtwoorden. Passkeys gebruiken biometrische data zoals vingerafdrukken of gezichtsherkenning om in te loggen.

Passkeys tegen phising

Ze zijn veiliger dan wachtwoorden omdat ze niet kunnen worden gestolen via phishing-aanvallen. Met SSI-wallets kunnen passkeys worden geïntegreerd in je digitale identiteit. Bijvoorbeeld: je gebruikt je vingerafdruk om in te loggen op je bank, terwijl je wallet je identiteit bewijst zonder dat je extra gegevens hoeft in te vullen.

Self-Sovereign Identity: Jouw identiteit, jouw controle

SSI is geen verre toekomst, maar een realiteit die nu al vorm krijgt. Met eIDAS 2.0, HOSA-IAM en initiatieven zoals Yivi en SURFconext, staat Nederland aan de frontlijn van deze ontwikkeling.

Wil je zelf aan de slag? Begin met het verkennen van wallets zoals Yivi. Combineer ze met bestaande systemen en wees alert op fraude.

Onthoud: jij bent de baas over je data. Geen organisatie, geen overheid, maar jij.

De toekomst van biometrische data-eigenaarschap is helder: veilig, transparant en onder jouw controle, mede dankzij de rol van blockchain bij het beveiligen van biometrische identiteiten. En dat is iets om naar uit te kijken.