Proyecto NIK
Internet ha cambiado la relación de las personas. El abanico de los servicios digitales que utilizamos es cada día mayor, tanto en el plano profesional como en el ocio, donde las redes sociales tienen una posición importante. En el plano digital, un aspecto básico es la identidad de la persona usuaria ya que es necesario “presentarse” en dichos servicios. Las identidades pueden ser débiles o fuertes. Se entiende que fuertes son aquellas que han pasado por un cotejo físico de la persona usando su documento de identidad (DNI, NIE, pasaporte…). Algunos ejemplos de identidades fuertes son la BAKQ (usuario/password + OTP), el certificado digital de Izenpe, el DNI electrónico o el certificado de la fábrica nacional de moneda y timbre. Débiles son aquellas que han confirmado que la persona tiene un email, un número de teléfono o una dirección postal.
El proyecto NIK Patrika Digitala nace con el objetivo de aportar un espacio móvil desde el que poder acceder a los servicios públicos del día a día ofrecidos por Ayuntamientos, Diputaciones Forales y Gobierno Vasco. Para poder usar NIK es necesario disponer de una identidad fuerte, siendo válidas todas aquellas aceptadas legalmente. En caso de utilizar una identidad basada en usuario y password (p.ej. BAKQ), la configuración inicial de NIK será realizada directamente desde la propia aplicación móvil. En caso de querer utilizar un certificado digital, será necesario utilizar un ordenador, o dispositivo que reconozca dicho certificado, para autenticarse y donde se generará un código QR que, tras ser leído desde la aplicación móvil, servirá para poner en marcha NIK.
Internet ha pasado de ser un espacio de contenidos a ser un entorno de interrelación por lo que la seguridad es de vital importancia. Cada día vamos siendo más conscientes de esto. NIK Patrika Digitala se diseñó como un canal de transporte de información que aportara seguridad y donde la protección del dato intercambiado estuviera protegida de tal forma que solo los extremos pudieran tener acceso a la misma.
La marca NIK tiene su origen en poner el foco en la persona que realiza la acción. En euskera NI quiere decir “yo” y cuando está involucrada una acción se adhiere la “K”: yo recojo mis medicinas, yo abro el torno de las piscinas, yo utilizo mi tarjeta joven para obtener un descuento en el cine… Patrika significa bolsillo y de ahí que su logo corresponda con el bolsillo trasero de un pantalón vaquero.
Me gusta la idea. ¿Qué me ofrece? NIK permite descargar tarjetas que se almacenan de forma local en el dispositivo móvil de la persona titular de las mismas, acceder a webs de forma segura y recibir comunicaciones sobre distintas temáticas; si así lo deseamos. En todo momento, la persona puede declinar la recepción de estas comunicaciones, de hecho, en el primer mensaje que se reciba de una entidad remitente, se preguntará si quiere recibir avisos de la entidad que lo envía.
No tengo una identidad fuerte… ¿Cómo la consigo? La BAKQ se puede obtener mediante vídeo identificación en la web de Izenpe (https://servicios.izenpe.com/solicitud_online/mostrarIRBakqInfoInicio.do). También es posible obtener la BAKQ en un centro de salud o en el KZGunea de su municipio donde, además, le ayudarán a poner en marcha la aplicación móvil. Es posible pedir cita previa pinchando aquí (https://www.kzgunea.eus/es/cita-previa)
Como sociedad nos hemos organizado en base a modelos de confianza donde es posible dar fe de cosas como puede ser nuestra identidad, conocimientos, propiedad… Existen entidades que certifican, por ejemplo, que hemos finalizado unos estudios (titulaciones), que tenemos una nacionalidad, que somos dueños/as de una propiedad o que formamos un núcleo familiar en base a un documento físico que implementa mecanismos que atestiguan que el documento es verdadero y no ha sido manipulado (sellos, firmas, hologramas…). Este tipo de documentos se denominan, también, credenciales.
Al llegar la era digital, las certificaciones se plasmaron en documentos electrónicos firmados digitalmente, usando certificados digitales, que podían ser validados para determinar que la información era confiable.
En épocas previas se utilizaba también la compulsa documental (fotocopia + cotejo por una persona contra el documento original + sello) que, de fondo y a nivel conceptual, es lo mismo.
Los documentos digitales firmados han funcionado muy bien durante años, pero surge la necesidad de poder acreditar información de una forma más operativa. En este punto es donde surgen las credenciales verificables que aportan poder trabajar con metadatos que dan fe de características de las personas. De fondo no es más que una segunda vuelta al modelo de la firma digital donde aparecen los roles de emisores de credenciales verificables, tomador de la credencial y validadores.
En NIK todas las tarjetas técnicamente se han implementado como una credencial verificable que son firmadas de cara a que puedan ser compartidas y validadas. Un caso especial es el correspondiente al de la identidad de la persona propietaria de la instancia de NIK, que se implementa como una credencial verificable especial, que en el proyecto denominamos sesión de seguridad, que está accesible desde la pantalla de ajuste de la APP.
Una vez obtenida la credencial de sesión de seguridad, tras el proceso de configuración inicial de la APP, esta se utiliza para poder obtener otras tarjetas (credenciales verificables) o poder acceder a webs de forma segura.
Existen características especialmente importantes en la solución:
- Soberanía: las credenciales verificables son almacenadas en el dispositivo móvil de la persona localmente. De hecho, la aplicación funciona sin internet salvo en el caso de querer acceder a servicios web o solicitar nuevas tarjetas.
- Consentimiento: la persona tiene un control total de sus datos y pueden decidir en qué casos y con quién compartirlos.
- Privacidad: los datos intercambiados se encriptan y firman bidireccionalmente de tal forma que solo los receptores de la información puedan leerla. De fondo, NIK genera un certificado en cada instalación móvil que es usado, tanto para encriptar como para firmar.
- Temporalidad: todo lo digital, por su naturaleza, debe tener un alcance temporal limitado (“caducar”) de cara a que sea lo más seguro posible. Lo esencial es que la “renovación” de las cosas sea sencilla. En el caso, por ejemplo, de la sesión de seguridad (credencial verificable) se establece que su vigencia sea de 6 meses o cuando la identidad fuerte en la que se apoya caduque, lo que antes ocurra. En el resto de las tarjetas (credenciales verificables) son las entidades emisoras las que definen la vigencia temporal de las mismas.
El mundo de los certificados digitales que utilizamos actualmente se sustenta formalmente en un reglamento de la Unión Europea que regula los servicios electrónicos de identificación, autenticación y confianza. El objetivo principal del reglamento fue promover la interoperabilidad entre los estados miembros y generó lo que se conoce como eiDAS1.
Actualmente, en Europa se está trabajando en la evolución del reglamento, anteriormente citado, donde, a grandes rasgos, se describen los conceptos descritos en la sección Modelo: emisor, validador, tomador, credencial verificable… Se espera que a lo largo de 2024 se cierre la nueva versión del reglamento; eiDAS2, pasando posteriormente a definirse las reglas técnicas.
En lo que a estándares se refiere, la World Wide Web Consortium (W3C) ha establecido grupos de trabajo para avanzar en lo que respecta a la definición técnica de las credenciales verificables: