Fragen? Antworten! Siehe auch: Alternativlos
Das ganze funktioniert über Zero-Knowledge-Proofs, die gerade ein riesiger Hype sind, der besonders in der Blockchain-Szene gezeigt hat, dass man damit ganz hervorragend Investorengelder oder Forschungsmittel einwerben kann.
Ich bin mir ja ehrlich gesagt schon auf fundamentaler Ebene nicht sicher, wieso ich das haben wollen würde. Eines meiner Hauptprobleme mit digitaler Souveränität im Moment ist, dass ich keinen Google-Account aufmachen kann, weil Google eine Telefonnummer verlangt, die ich nicht bereit bin, ihnen zu geben. Das ist ein Problem für mich, weil Trolle auf Youtube Videos zensieren können, indem sie klicken, dass da nicht jugendfreie Dinge drin sind, und dann verlangt Google zum Angucken, dass man einen Account hat. Ich würde jetzt gerne derart zensierte Videos gucken können, aber nicht zu dem Preis, dass Google meine Telefonnummer sehen kann.
Wie hilft mir denn jetzt SSI dabei, meine Identität privat zu halten? Gar nicht!
OK, denken wir mal weiter. Google macht im Moment Milliarden damit, unbelegte Daten über uns alle zu verkaufen. Die Daten sind schon ohne Echtheitsbeweis Milliarden wert. Wenn Google per SSI Details über mich sieht, können sie an ihre Daten "validiert!" dranschreiben. Dann sind die noch mehr wert. Völlig wurscht, ob Google das Dritten gegenüber beweisen kann oder nicht.
Ich glaube daher, dass SSI in erster Linie eine akademische Masturbationsübung ist. Kann sein, dass es ein Problem löst. Aber das wäre dann keines, das mich betrifft.
Daher hab ich SSI bisher großflächig ignoriert. Rückblickend hätte ich das vielleicht nicht tun sollen, denn jetzt gibt es halt einen Wust aus mehr oder weniger unseriösen Instituten und Startups, die Lobbyarbeit bei der Regierung und in der Verwaltung betrieben haben, und da gibt es jetzt Pilotprojekte, die ich als verstörend empfinde. Eines gibt syrischen Flüchtlingen in Italien SSI-"Belege" für ihre Ausbildung in Syrien (nicht dass die Italiener das wirklich überprüfen könnten), und die werden dann angeblich an einzelnen deutschen Hochschulen anerkannt. Win-Win-Win!!1!
Schlimmer noch: Das Ökosystem entpuppt sich als U-Boot für die Umgehung des DSGVO-Datenhandelverbotes. Und die Pilot-App, die uns vom Konzept überzeugen wollte, war sicherheitstechnisch eine Katastrophe und ein Rohrkrepierer. Dass da überhaupt eine Blockchain beteiligt ist, ist ein Treppenwitz, denn die trägt überhaupt nichts zur Erfüllung des Konzeptes oder der Sicherheitsversprechen bei. Die ist bloß Trust Anchor und Speicher für Zertifikate (weil man sich das Aufsetzen einer gemeinsamen CA nicht vorstellen konnte) und soll Revocations regeln. Inhaltlich ein non-sequitur und ein Clusterfuck. Ist meines Erachtens nur drin, weil Fraunhofer beteiligt war, und die sammeln halt mit heißer Blockchain-Luft erfolgreich Kohle ein, also musste da Blockchain draufstehen.
Woher ich das weiß? Nun, nachdem Fluepke und Lilith einen Proof of Concept für das grundlegendste Konzeptproblem (du weißt gar nicht, wem du da eigentlich gerade deinen Ausweis zeigst!) veröffentlicht hat, gibt es jetzt ein Mythbusting-Paper von Fraunhofer. Nein, wirklich. Die nennen das selbst Mythbusting. Wer versucht ist, schon auf der Titelseite das Browsertab zuzumachen, weil da Projektgruppe Wirtschaftsinformatik steht: Haltet durch! Ihr verpasst das beste! Die Autoren sind nämlich zwei Professoren, einmal Uni Bayreuth, einmal Fachhochschule Frankfurt. Der eine "Professor für Wirtschaftsinformatik und Digitales Energiemanagement", der andere "Professor für Wirtschaftsinformatik, Digital Business und Mobilität". Beides ohne Überlappungspunkte mit den vorgeblichen Zielen von SSI. Wartet, wird noch besser. Beide sind auch:
Projektgruppe Wirtschaftsinformatik des Fraunhofer FIT, Leiter des Fraunhofer Blockchain LaborsAch. Ach was. Nicht nur die Blockchain ist verteilt, auch die Führung von deren "Fraunhofer Blockchain Labors" (nur echt mit Deppenleerzeichen!)? Also wenn ich mich unabhängig über Blockchain-Technologie informieren will, dann frage ich auch zuerst einen Blockchain-Lobbyisten und -Verkäufer eines "Blockchain Labors" (nur echt mit Deppenleerzeichen!), die auf Forschungsmittel für Blockchain-Blablah angewiesen sind. Wer sonst könnte uns neutral und unabhängig sagen, dass die Blockchain die Zukunft ist und absolut essentiell für Identitätsnachweise!1!!
Wartet, wird noch besser. Die haben ein Kapitel: "Mythos 4: Das SSI-Konzept weist technische Sicherheitslücken auf". Ab Seite 22. Und da steht:
Wie bei jeder öffentlichen Softwarearchitektur muss auch bei einem SSI-basierten System jederzeit mit böswilligen Akteuren gerechnet werden. Somit müssen vor dem Start ausführliche Penetrationstests durchgeführt werden, um Angriffspunkte auszuschließen.Ja, äh, danke. Keine weiteren Fragen. Wer Penetrationstests für ein Mittel zur Sicherstellung von Qualitätsstandards hält, mit dem muss man sich gar nicht weiter unterhalten. Und dann so: Oh, wir haben Man-in-the-Middle-Angriffe nicht verhindert? Die Angriffsart aus der Überschrift des Vorworts in jedem Buch über Kryptoprotokolle? Die elementarste Art, ein Protokoll zu verkacken? DAS haben wir zu bedenken vergessen? Nee, keine Sorge, sagt Fraunhofer, vertraut uns, da werden schon Lösungen diskutiert. Bei sensiblen Daten zertifiziert man einfach, wer die sehen darf. Und die Bösen kriegen dann keine Zertifikate!!1!
Das ist ungefähr so realistisch wie Microsofts Idee, dass man mit Code Signing Malware bekämpfen kann. Das funktioniert super, bis der erste signierte Malware unter die Leute bringt, was inzwischen regelmäßig passiert. Den Rest erspare ich mal euch und mir. Das wird nicht besser.
Tsja. Was erwartet man auch von einer Institution, die sich "Fraunhofer Blockchain Labor" nennt (nur echt mit Deppenleerzeichen!).
Update: Es gibt übrigens auch Ansätze, wie man SSI ohne Blockchain machen kann: re:claimID, lustigerweise auch auch ein Fraunhofer-Projekt, aber halt nicht von einem Blockchain-Institut. Von meinen fundamentalen Fragen beantwortet das leider auch erstmal nicht viele.