Nog meer over Yivi

1. Waar gaat Yivi eigenlijk over?

Wanneer u een fles whisky koopt moet u volgens de wet bewijzen dat u ouder dan 18 bent. U hoeft echter niet te vertellen wie u bent. Enkel deze persoonlijke eigenschap, dat u ouder dan 18 bent, is genoeg voor de whisky aankoop. Zulke persoonlijke eigenschappen worden attributen genoemd.

Yivi is de naam voor een systeem dat precies dit doet. Yivi staat voor: I Reveal My Attributes. Yivi stelt u in staat om online, via uw mobiele telefoon, bepaalde attributen van u zelf wel te laten zien (“ouder dan 18”), maar ook om andere attributen juist niet te laten zien (uw naam of telefoonnummer). Yivi beschermt daarmee uw privacy. Deze privacy-bescherming zit ingebakken in het systeem, en wordt daarom ook privacy by design genoemd. In de meeste recente nationale en Europese wetgeving wordt privacy by design vereist voor nieuwe ICT-systemen.

Naast intrinsieke privacy-bescherming biedt Yivi ook bescherming tegen identiteitsfraude: als uw naam of geboortedatum helemaal niet genoemd worden, kunnen ze ook niet misbruikt worden.

Hieronder staat een lijstje attributen die nuttig kunnen zijn, bijvoorbeeld bij een webwinkel, bij de overheid, op een webforum, bij een bank, enz.

• Ik ben een student (of een gepensioneerde)
• Ik ben ouder dan 12 (of 16, of 18, of 21, of 65)
• Ik ben jonger dan 12 (of …)
• Mijn nationaliteit is …
• Mijn geslacht is …
• Mijn banknummer is …
• Mijn huisadres is …
• Mijn voor/achternaam is …
• Mijn burgerservicenummer (BSN) is …
• Mijn verzekeringsnummer is …
• Mijn email adres is …
• Mijn mobiele nummer is …
• Mijn klantenkaart van bedrijf X heeft status brons / zilver / goud
• Mijn treinabonnement is eerste / tweede klas
• etc. etc.

Sommige van deze attributen zijn uniek-bepalend, zoals uw BSN: er hoort een unieke persoon bij. Maar sommige andere attributen kunnen anoniem gebruikt worden, zonder dat daarbij bekend wordt om wie het precies gaat. Deze niet-identificerende attributen gelden voor meerdere mensen.

Attributen vormen een natuurlijke manier om bepaalde aspecten van uzelf te verbergen en anderen juist te laten zien. Er zijn heel veel scenario’s waarin attributen precies die informatie leveren die nodig zijn voor een transactie.

• Als u mee wil doen met een online chat-box voor minderjarigen, moet u aantonen dat u jonger bent dan 15, bijvoorbeeld. Of als u mee wil doen in een online discussie groep van mensen met een bepaalde gevoelige ziekte, kan deze ziekte een attribuut zijn dat anoniem toegang geeft tot de groep.
• Wanneer u een gewelddadige game/video/boek online wil kopen moet u bewijzen dat u ouder dan 16 bent, of misschien zelfs ouder dan 18.
• Als u het “student” attribuut heeft kunt u bijvoorbeeld korting krijgen bij de kapper; en als u het “gehandicapt” attribuut van een bepaalde soort heeft, hebt u recht op speciaal vervoer.
• Als u online iets wil kopen moet u uw adres tonen voor de bezorging. Eventuele korting kunt u krijgen via een lidmaatschapsattribuut van de webwinkel. En eventueel moet u een leeftijdsattribuut laten zien als uw aankoop niet voor minderjarigen is. (We nemen even aan dat betaling via iDeal gaat, waarvoor de webwinkel geen bankrekeningnummer nodig heeft.)

2. Waarom zou u attributen willen gebruiken in plaats van identiteiten?

Kortweg: attributen beschermen u en stellen u in staat om veel dingen te doen.

Via een uniek persoonsnummer, zoals een paspoort nummer of een burger service nummer (BSN), kunnen mensen in veel verschillende situaties herkend worden en kunnen al hun handelingen in die situaties aan elkaar gekoppeld worden. Dit heeft veel voordelen, bijvoorbeeld bij publieke dienstverlening. Maar het kan ook serieuze nadelen hebben, vooral wanneer dat unieke persoonsnummer door een ander misbruikt wordt. Dit heet identiteitsfraude, en is een van de grootste plagen van het digitale tijdperk.

Wanneer u in plaats van unieke persoonsnummers anonieme attributen gebruikt voor een transactie, dan speelt uw identiteit helemaal geen rol en kan daarom ook niet gestolen worden. In die zin bieden attributen bescherming.

Het gebruik van attributen in plaats van identiteiten heeft nog meer voordelen.

• Het is privacy-vriendelijk vanwege 

  data-minimalisatie

  . Alleen die attributen die relevant en noodzakelijk zijn voor een transactie hoeven onthuld te worden.

• Het geeft de gebruiker, in ieder geval bij Yivi, werkelijke controle en zicht op wie welke gegevens vraagt.

• Het is flexibel en past in veel verschillende situaties.

• Het voorkomt het onderling koppelen van verschillende transacties, zolang daar geen uniek-identificerende attributen voor nodig zijn. Daarmee wordt openlijk of stiekem profileren tegengegaan, en alles wat daarmee samenhangt, zoals prijsdifferentiatie (de prijs die u moet betalen hangt af van het profiel dat van u opgebouwd is).

In veel digitaliseringsprojecten in de afgelopen tientallen jaren zijn attributen uit het dagelijkse leven vervangen door vaste digitale identiteiten. Een voorbeeld is de OV-chipkaart. Traditioneel voldeed een papieren kaartje voor de bus of trein. Daarmee kon je anoniem reizen, zonder dat centraal vastgelegd werd waarheen u zoal reist en zonder dat al uw verschillende reizen onderling gekoppeld konden worden. Nu moet u uw identiteit onthullen om te reizen via het unieke nummer van een OV-chipkaart. Via zulke kaarten kunnen al uw reizen bijgehouden en gekoppeld worden, gebruikt worden voor marketing doeleinden, en mogelijk openbaar worden door een hack of door slordigheid. Anonieme OV-chipkaarten bieden weinig bescherming, omdat bij herstel van een fout of geld-teruggave van een verlopen kaart u toch uw identiteit moet onthullen. Daarmee wordt er een koppeling gelegd tussen u en al uw eerdere reizen, waarvan u dacht dat ze anoniem waren.

Attribuut-gebaseerde systemen brengen de traditionele bescherming en flexibiliteit voor gebruikers voor een deel weer terug. Daarnaast bieden ze bescherming aan service providers tegen de eventuele nare gevolgen van totale anonimiteit, omdat u kunt eisen dat deelnemers toch iets van zichzelf onthullen, bijvoorbeeld dat ze vrouw zijn of onder de 12, in discussiegroepen speciaal voor vrouwen of voor kinderen.

3. Hoe kom ik aan attributen en hoe gebruik ik ze?

In het Yivi identity platform worden uw persoonlijke attributen beveiligd opgeslagen in de Yivi app op uw eigen telefoon (of tablet). De app heeft een eigen PIN die nodig is voor het gebruik. Die PIN moet er voor zorgen dat niemand anders uw attributen in de app kan gebruiken, en zich daarmee als u voor kan doen. Natuurlijk is het goed als uw telefoon een eigen inlog patroon of code heeft. Maar daarbovenop heeft de Yivi app nog weer een eigen PIN, net zo als de verschillende apps voor mobiel bankieren een eigen PIN hebben.

Attributen die voor u gelden kunt u downloaden in uw Yivi app op uw telefoon. Dat kan via het web, door het scannen van een QR-code, maar dat kan ook ter plekke, bijvoorbeeld aan een balie. De organisatie die attributen uitgeeft heet een attribuut uitgever of gewoon een uitgever (in het engels: issuer). Er zouden verschillende attribuut uitgevers kunnen zijn, zoals:

• de nationale overheid, of een gemeente, voor attributen als: naam, adres, geboortedatum, BSN, rijbevoegdheid, categorie van inkomen, etc.
• banken en verzekeringsmaatschappijen, voor attributen als: bank- en verzekeringsnummers, soort van verzekering, etc.
• internet service providers en telecom operators, voor: email-adressen, telefoonnummers en IP-nummers
• de Facebook’s / Google’s / Apple’s / Amazon’s / Microsoft’s van deze wereld, voor login gegevens
• grote of kleine webshops, voor eigen klantenkaarten met bijbehorende status, coupons, etc.
• bedrijven en andere organisaties, voor attributen ten behoeve van verfijnde rol-gebaseerde toegangscontrole
• ziekenhuizen en andere gezondheidsinstellingen, voor regulering van toegang niet alleen voor het eigen personeel, maar ook voor patiënten
• blockchain initiatieven, voor authenticatie van gebruikers en hun rollen
• militaire organisaties, voor al hun verschillende rangen, compartimentalisaties en clearances, en leden van special forces van wie identificerende gegevens typisch niet onthuld worden
• etc.

Yivi attributen zijn beschikbaar uit veel bronnen – maar nog niet uit alle hierboven genoemde. De stichting Privacy by Design onderhoudt een publiek register van alle beschikbare Yivi credentials (verzameling van attributen).

Als u als Yivi gebruiker een attribuut wilt ontvangen van zo’n uitgever moet u zich eerst op een of andere wijze authenticeren (bewijzen wie u bent). Vervolgens kan de uitgever bij u horende attributen in het eigen systeem opzoeken en aan uw Yivi app geven, voorzien van een digitale handtekening. Concreet: om de attributen van uw bank in uw Yivi app te krijgen moet u eerst inloggen bij uw bank. Dit is precies wat bij iDIN gebeurt.

Als uw Yivi app eenmaal een paar attributen heeft kunt u die gaan gebruiken voor transacties. In zulke transacties zal een andere partij (denk aan een webshop) bijvoorbeeld vragen wat uw adres (attribuut) is. Nadat u daar in de Yivi app expliciet toestemming gegeven heeft wordt dit attribuut door de app aan de webshop getoond. Via cryptografische berekeningen kan de webshop controleren dat het attribuut echt is, niet verlopen, niet gemanipuleerd, uitgegeven is door een specifieke uitgever, en ook dat het echt bij u hoort (of eigenlijk: bij uw telefoon). Deze vragende partij, die attributen van u wil zien, wordt ook wel de controleur genoemd. Er is een aparte pagina met uitleg over de rol van controleurs.

Het zit in het Yivi systeem ingebakken dat deze controleurs in de Yivi app duidelijk moeten laten zien om welke attributen ze vragen. U, als gebruiker, moet expliciet toestemming geven voor het vrijgeven van die attributen. Zo ziet u steeds duidelijk wie wat van u wil weten. De Yivi app houdt een log bij zodat u later nog kunt zien welke controleur wat gevraagd heeft en wat u heeft laten zien. Als er controleurs zijn die buitenproportioneel veel informatie vragen voor een simpele transactie kunt u daarover ook een klacht indienen, met die Yivi loggegevens in de hand, bijvoorbeeld bij de Autoriteit Persoonsgegevens.

(De stichting Privacy by Design houdt een minimale log bij van al uw transacties, zodat u eventueel misbruik kunt detecteren, zie de MijnYivi uitleg. Deze log bevat geen informatie over de attributen die zijn gevraagd en/of getoond, en kan niet gebruikt worden als basis voor een klacht.)

Yivi Attributen zijn voorzien van een digitale handtekening van de uitgever. Daarmee kan de attribuut controleur de echtheid en de herkomst controleren. Attributen hebben een geldigheidsdatum, die ook door de controleur gecheckt kan worden. Als de geldigheid verlopen is moeten attributen door de gebruiker ververst worden, door opnieuw naar de uitgever te gaan. Dat werkt net als bij een paspoort, identiteitskaart, of rijbewijs: op een goed moment is het verlopen, en heeft u een nieuwe nodig. Het verversen van Yivi attributen is echter veel makkelijker: dat kan gewoon online.

De onderstaande drie plaatjes (nog met oude naam IRMA) geven een schematisch overzicht, eerst van het downloaden van attributen bij een uitgever, en vervolgens van het gebruik bij twee verschillende webwinkels.

Dit downloaden en tonen van attributen is een natuurlijke vorm van modern identity management. Hiermee verzamelt en onderhoudt u een eigen persoonlijk digitaal paspoort in uw Yivi app. Dit soort “regie op gegevens” of “personal data management” lijkt een beetje op het installeren, beheren en verwijderen van de verschillende apps op een telefoon of tablet.