La definición de identidad digital es sencilla y compleja a la vez. Es sencilla porque la mayoría de las personas, asocian identidad digital con el identificador y la contraseña que utilizan para acceder a los distintos servicios de internet, como el email o el acceso a las redes sociales. De hecho las redes sociales han sido las encargadas de construir esta percepción que tienen los usuarios, que la identidad digital es el perfil que usa el usuario en este tipo de aplicaciones, poniendo el foco el el contenido y dando importancia ese rastro digital que dejan los usuarios.
Pero la identidad digital es un concepto complejo que va más allá de la información que los usuarios vuelcan en redes sociales, y es esta complejidad la que está creando una enorme brecha digital, entre los usuarios que entienden las implicaciones de gestionar de manera segura sus datos y los que no lo están haciendo.
Para profundizar en este ámbito complejo de la identidad digital, comencemos por establecer una definición, lo más sencilla posible, de qué podría ser la identidad digital de un usuario. Podríamos decir que se trata de un conjunto de atributos y datos, asociados al usuario y que son gestionados por él o por un tercero. Por ejemplo, el email que se utiliza para entrar en muchos servicios de internet como las redes sociales.
Detengámonos por un momento en el email, por ser el más utilizado junto con el número de móvil. El email es un identificador que un proveedor de correo electrónico nos ha facilitado, este email es gestionado por dicho proveedor. Esta gestión consiste en alojar los email recibidos para que el usuario pueda consultarlos, permitir al usuario enviar emails a otras direcciones, tener la posibilidad de cambiar la contraseña de acceso al servicio, etc.
Modelos de identidad digital
Al ser un concepto tan amplio y que se aplica en diversos entornos, desde el inicio de la era digital, se han desarrollado distintos modelo de identidad digital. Cada uno de estos modelos ha intentado cubrir alguna de las necesidades de las aplicaciones y los usuarios. La realidad es que no existe un modelo perfecto, que cubra las principales cualidades que debería tener un modelo de identidad digital, seguro, confiable y usable.
Como cualquier usuario de servicios digitales conoce, si se construye una aplicación segura, es poco amigable desde el punto de vista de los usuarios, lo que termina siendo un problema de seguridad, porque los propios usuarios se saltan las recomendaciones que los creadores de la aplicación han dado. Por ejemplo, no compartir las contraseñas de los usuarios o no crear roles o permisos de administrador de manera discriminada. Por otro lado, si la aplicación implementa modelos de identidad que sean usables, tienen a incumplir con principios básicos de la seguridad.
Encontrar un modelo que garantice la seguridad de los datos y los usuarios, y que a su vez, disponga de una usabilidad que no incite al usuario a saltarse recomendaciones y restricciones, es e caballo de batalla que tiene muchas compañías e instituciones actualmente.
La siguiente lista, muestra los principales modelos de identidad digital que se están empleando actualmente en las aplicaciones digitales:
Identidad Centralizada
En este modelo, una autoridad central o proveedor de identidad (IdP) gestiona las credenciales y la información de los usuarios. Ejemplos comunes incluyen Google, Facebook, Microsoft, y Apple, que ofrecen servicios de inicio de sesión único (SSO).
- Ventajas: Fácil de usar, integración sencilla con diferentes servicios.
- Desventajas: Dependencia de un tercero, problemas de privacidad, vulnerabilidad en caso de ataques a la autoridad central.
Identidad Federada
En este modelo, múltiples proveedores de identidad trabajan juntos en un marco que permite a los usuarios autenticarse en diferentes sistemas utilizando la misma identidad digital. Los usuarios pueden iniciar sesión en varios servicios sin necesidad de múltiples credenciales.
- Ventajas: Mayor control para los usuarios, menos dependencias de un solo proveedor.
Identidad Auto-Soberana (Self-Sovereign Identity – SSI)
Este modelo otorga a los usuarios el control total sobre su identidad digital. Los usuarios poseen y controlan sus credenciales sin depender de una autoridad centralizada. Las tecnologías blockchain y los estándares como DID (Decentralized Identifiers) y Verifiable Credentials son fundamentales en este enfoque.
- Ventajas: Privacidad y control máximo para los usuarios, descentralización.
Identidad Basada en Biometría
Utiliza características biométricas como huellas dactilares, reconocimiento facial, iris, entre otros, para la autenticación. A menudo se combina con otros métodos para mejorar la seguridad.
- Ventajas: Seguridad elevada, comodidad para los usuarios.
Identidad Contextual o Context-Aware Identity
Este enfoque tiene en cuenta el contexto (como la ubicación, el dispositivo usado, la hora del día) para autenticar y autorizar al usuario. Se basa en patrones de comportamiento para verificar la identidad.
- Ventajas: Mejora la seguridad al detectar comportamientos inusuales.
Principales problemas de los distintos modelos.
Cada uno de los modelos anteriores, tienen una serie de ventajas y desventajas, las cuales los posicionan en distintos tipos de aplicación o sectores. Por ejemplo el modelo centralizado es el utilizado por la mayoría de las aplicaciones web, para los procesos de autenticación del usuario, lo que supone un riesgo para la privacidad, ya que estamos delegando en un tercero la gestión de nuestros datos de identidad digital. Además esta organización que se encarga de gestionar mis datos, tiene la capacidad de eliminar nuestra identidad digital.
Los modelos de identidad soberana presentan el problema de su complejidad, ya que requieren de un conocimiento profundo sobre cómo funcionan, para poder usarlos con ciertas garantías. El talón de Aquiles de este tipo de modelos es la usabilidad, lo que no es algo baladí cuando hablamos de la seguridad de nuestros datos de identidad digital, a mayor complejidad de la solucidad, mayor probabilidad existe de que los usuarios busquen atajos que debilitan la robustez del modelo.
En cuanto a modelos como los basados en el contexto, tienen el problema que en caso de un ataque de datos, no solo se puede llegar a comprometer la identidad digital del usuario, sino todos los datos recogidos como geolocalización, patrones de uso o datos biométricos, lo que supondría un riesgo enorme para la privacidad de los usuarios.
Los modelos de identidad basados en biometría, presentan problemas de falsos positivos/negativos, así como problemas de suplantación biométrica, lo que empuja a las empresas que desarrollan este tipo de modelos a construir soluciones más complejas. Los problemas asociados con los procesos de revocación no son simples, ya que una vez que la identidad ha sido comprometida, hay que implementar procesos de revocación que garanticen, no solo que el atacante no pueda utilizar la identidad comprometida, sino que su legítimo propietario, pueda seguir utilizándola.
Algo que sé, algo que tengo y algo que soy
El esfuerzo que debemos realizar para proteger un dato, está directamente relacionado con la importancia que este dato tenga para nosotros. En el caso de los datos relacionados con nuestra identidad digital, este esfuerzo de protección debería ser máximo, ya que estamos protegiendo lo que nos define y nos autentica como usuarios digitales.
No existe la seguridad perfecta, porque como hemos comentado, cuando el sistema es cómodo y usable, suele tener un nivel de fortaleza bajo, frente a sistemas que son fuertes, pero cuya usabilidad provoca que los usuarios no los utilicen o utilicen atajos, que los debilitan. Existen tres pilares sobre los que se pueden construir modelos de seguridad con una fortaleza considerable. Esto tres pilares son:
- Algo que sé. Se trata de algo que solo nosotros conocemos, cómo puede ser una contraseña o un PIN.
- Algo que tengo. Consiste en que poseemos algo físico, como un teléfono, un USB o una tarjeta inteligente.
- Algo que soy. Este pilar está relacionado con algo que es inherente a la persona, una huella dactilar, fondo del iris, firma biométrica, etc.
Implementar modelos de seguridad que puedan asegurar cada uno de estos pilares, permitiría construir modelos de identidad digital lo suficientemente seguros y usables, para que los usuarios pudieran confiar en la robustez de estos modelos.
Conclusión
Los modelos de identidad digital se deben centrar en la seguridad y la usabilidad, para que el usuario los adopte de manera masiva. Cualquier atajo tanto en una de estas características como en la otra, supondría un problema de confianza por parte de los usuarios. Por tanto es fundamental que las compañías que desarrollan soluciones de modelos de identidad digital cuiden ambas características. La seguridad de los datos no es una opción para los complejos entornos digitales actuales. Cada vez la integración de plataformas y soluciones es mayor, y las fronteras de lo que es una solución se diluyen entre servicios de terceros, lo que supone un riesgo de seguridad para nuestros datos.
José Juan Mora Pérez
CTO & Founder
