Una identidad digital son datos almacenados en sistemas informáticos relacionados con un individuo, una organización, una aplicación o un dispositivo. En el caso de los individuos, implica la recopilación de datos personales que son esenciales para facilitar el acceso automatizado a servicios digitales, confirmar la identidad de una persona en Internet y permitir que los sistemas digitales gestionen las interacciones entre diferentes partes. Es un componente de la identidad social de una persona en el ámbito digital, a menudo denominada identidad en línea .
Las identidades digitales están compuestas por la gama completa de datos producidos por las actividades de una persona en Internet, que pueden incluir nombres de usuario y contraseñas, historiales de búsqueda, fechas de nacimiento, números de seguridad social y registros de compras en línea. Cuando dicha información personal es accesible en el dominio público, otros pueden usarla para reconstruir la identidad fuera de línea de una persona. Además, esta información puede compilarse para construir un "doble de datos", un perfil completo creado a partir de las huellas digitales dispersas de una persona en varias plataformas . Estos perfiles son fundamentales para permitir experiencias personalizadas en Internet y dentro de diferentes servicios digitales. [1] [2]
Si el intercambio de datos personales a cambio de contenidos y servicios en línea se convierte en una práctica del pasado, debe surgir un modelo transaccional alternativo. A medida que Internet se vuelve más sensible a las preocupaciones por la privacidad , los editores de medios, los desarrolladores de aplicaciones y los minoristas en línea están reevaluando sus estrategias, a veces reinventando por completo sus modelos de negocios. Cada vez más, la tendencia se está orientando hacia la monetización directa de las ofertas en línea, y se les pide a los usuarios que paguen por el acceso a través de suscripciones y otras formas de pago, alejándose de la dependencia de la recopilación de datos personales. [3]
La comprensión de las implicaciones legales y sociales de la identidad digital es compleja y está plagada de desafíos. Falsificar la propia identidad legal en el ámbito digital puede plantear numerosas amenazas a una sociedad cada vez más dependiente de las interacciones digitales, abriendo la puerta a diversas actividades ilícitas. Los delincuentes, estafadores y terroristas podrían aprovechar estas vulnerabilidades para perpetrar delitos que pueden afectar el ámbito virtual, el mundo físico o ambos. [4]
Un problema crítico en el ciberespacio es saber con quién se está interactuando. Si se utilizan solo identificadores estáticos, como contraseñas y correos electrónicos , no hay forma de determinar con precisión la identidad de una persona en el ciberespacio, ya que esta información puede ser robada o utilizada por muchos individuos que actúen como uno solo. La identidad digital basada en relaciones de entidades dinámicas capturadas a partir del historial de comportamiento en varios sitios web y aplicaciones móviles puede verificar y autenticar la identidad con una precisión de hasta el 95 %. [ cita requerida ]
Al comparar un conjunto de relaciones de entidades entre un nuevo evento (por ejemplo, inicio de sesión) y eventos pasados, un patrón de convergencia puede verificar o autenticar la identidad como legítima, mientras que la divergencia indica un intento de enmascarar una identidad. Los datos utilizados para la identidad digital generalmente se cifran mediante un hash unidireccional , lo que evita problemas de privacidad. Debido a que se basa en el historial de comportamiento, una identidad digital es muy difícil de falsificar o robar.
Una identidad digital también puede denominarse sujeto digital o entidad digital . Son la representación digital de un conjunto de afirmaciones realizadas por una parte sobre sí misma u otra persona, grupo, cosa o concepto. Un gemelo digital [5] , que también se conoce comúnmente como doble de datos o gemelo virtual, es una versión secundaria de los datos del usuario original. Que se utiliza tanto como una forma de observar lo que dicho usuario hace en Internet como para personalizar una experiencia de Internet más personalizada. [ cita requerida ] Debido a la recopilación de datos personales, ha habido muchas controversias sociales, políticas y legales vinculadas a los dobles de datos.
Los atributos de una identidad digital se adquieren y contienen información sobre un usuario, como historial médico, comportamiento de compra, saldo bancario, edad, etc. Las preferencias conservan las elecciones de un usuario, como la marca favorita de zapatos y la moneda preferida. Los rasgos son características del usuario que son inherentes, como el color de ojos, la nacionalidad y el lugar de nacimiento. Aunque los atributos de un usuario pueden cambiar fácilmente, los rasgos cambian lentamente, si es que lo hacen. Una identidad digital también tiene relaciones de entidad derivadas de los dispositivos, el entorno y las ubicaciones desde las que un individuo está activo en Internet . Algunos de ellos incluyen reconocimiento facial, huellas dactilares, fotos y muchos más atributos/preferencias personales. [6]
Las identidades digitales pueden emitirse a través de certificados digitales . Estos certificados contienen datos asociados a un usuario y son emitidos con garantías legales por autoridades de certificación reconocidas .
Para asignar una representación digital a una entidad, la parte que la atribuye debe confiar en que la afirmación de un atributo (como el nombre, la ubicación, el rol como empleado o la edad) es correcta y está asociada con la persona o cosa que presenta el atributo. Por el contrario, el individuo que afirma un atributo solo puede otorgar acceso selectivo a su información (por ejemplo, probar la identidad en un bar o la autenticación de PayPal para el pago en un sitio web). De esta manera, la identidad digital se entiende mejor como un punto de vista particular dentro de una relación acordada mutuamente que como una propiedad objetiva. [ cita requerida ]
La autenticación es la garantía de la identidad de una entidad ante otra. Es un aspecto clave de la confianza digital. En general, la autenticación entre empresas está diseñada para la seguridad, pero la autenticación entre usuarios y empresas está diseñada para la simplicidad.
Las técnicas de autenticación incluyen la presentación de un objeto único como una tarjeta de crédito bancaria , la provisión de información confidencial como una contraseña o la respuesta a una pregunta preestablecida, la confirmación de la propiedad de una dirección de correo electrónico y técnicas más robustas pero costosas que utilizan cifrado . Las técnicas de autenticación física incluyen el escaneo del iris , la toma de huellas dactilares y el reconocimiento de voz ; esas técnicas se denominan biometría . El uso tanto de identificadores estáticos (por ejemplo, nombre de usuario y contraseña) como de atributos personales únicos (por ejemplo, biometría) se denomina autenticación multifactor y es más seguro que el uso de un solo componente. [ cita requerida ]
Aunque el progreso tecnológico en materia de autenticación continúa evolucionando, estos sistemas no impiden el uso de alias. La introducción de una autenticación fuerte [ cita requerida ] para las transacciones de pago en línea dentro de la Unión Europea vincula ahora a una persona verificada con una cuenta, donde dicha persona ha sido identificada de acuerdo con los requisitos legales antes de que se abra la cuenta. Verificar a una persona que abre una cuenta en línea generalmente requiere una forma de vinculación del dispositivo a las credenciales que se están utilizando. Esto verifica que el dispositivo que representa a una persona en Internet es realmente el dispositivo de la persona y no el dispositivo de alguien que simplemente dice ser la persona. El concepto de autenticación de confianza hace uso de cuentas preexistentes, para aprovechar otros servicios de esas cuentas, siempre que la fuente original sea confiable. El concepto de confiabilidad proviene de varias leyes contra el lavado de dinero y la financiación del terrorismo en los EE. UU. [7] , la UE28, [8] Australia, [9] Singapur y Nueva Zelanda [10] donde las segundas partes pueden confiar en el proceso de diligencia debida del cliente de la primera parte, donde la primera parte es, por ejemplo, una institución financiera. Un ejemplo de autenticación de confianza es el método de verificación de PayPal.
La autorización es la determinación de cualquier entidad que controle recursos a los que la persona autenticada puede acceder. La autorización depende de la autenticación, porque la autorización requiere que se verifique el atributo crítico (es decir, el atributo que determina la decisión del autorizador). [ cita requerida ] Por ejemplo, la autorización en una tarjeta de crédito da acceso a los recursos que posee Amazon , por ejemplo, Amazon le envía un producto. La autorización de un empleado le proporcionará a ese empleado acceso a recursos de red, como impresoras, archivos o software. Por ejemplo, un sistema de gestión de bases de datos podría estar diseñado para proporcionar a ciertas personas específicas la capacidad de recuperar información de una base de datos, pero no la capacidad de cambiar los datos almacenados en la base de datos, mientras que les da a otras personas la capacidad de cambiar los datos. [ cita requerida ]
Pensemos en una persona que alquila un coche y se aloja en un hotel con una tarjeta de crédito. La empresa de alquiler de coches y el hotel pueden pedir que se compruebe que se dispone de crédito suficiente para hacer frente a un accidente o a un gasto excesivo en el servicio de habitaciones. Por tanto, es posible que más adelante se rechace la tarjeta al intentar comprar una actividad, como un viaje en globo. Aunque se dispone de crédito suficiente para pagar el alquiler, el hotel y el viaje en globo, no hay suficiente cantidad para cubrir también las autorizaciones. Los cargos reales se autorizan después de salir del hotel y devolver el coche, lo que puede ser demasiado tarde para el viaje en globo.
Para que una autorización en línea sea válida es necesario analizar la información relacionada con el evento digital, incluidas las variables del dispositivo y del entorno. Estas variables se derivan generalmente de los datos intercambiados entre un dispositivo y un servidor empresarial a través de Internet. [11]
La identidad digital requiere identificadores digitales: cadenas o tokens que son únicos dentro de un ámbito determinado (global o localmente dentro de un dominio, comunidad, directorio, aplicación, etc. específicos).
Los identificadores pueden clasificarse como omnidireccionales o unidireccionales . [12] Los identificadores omnidireccionales son públicos y fácilmente detectables, mientras que los identificadores unidireccionales están destinados a ser privados y usarse solo en el contexto de una relación de identidad específica.
Los identificadores también pueden clasificarse como resolubles o no resolubles . Los identificadores resolubles, como un nombre de dominio o una dirección de correo electrónico , pueden desreferenciarse fácilmente en la entidad que representan o en algunos datos de estado actual que proporcionen atributos relevantes de esa entidad. Los identificadores no resolubles, como el nombre real de una persona o el nombre de un sujeto o tema, pueden compararse para determinar su equivalencia, pero no son comprensibles por máquina.
Existen muchos esquemas y formatos diferentes para los identificadores digitales. El Identificador Uniforme de Recursos (URI) y la versión internacionalizada Identificador Internacionalizado de Recursos (IRI) son el estándar para los identificadores de sitios web en la World Wide Web . OpenID y Light-weight Identity son dos protocolos de autenticación web que utilizan URI HTTP estándar (a menudo llamados URL). Un Nombre Uniforme de Recursos es un identificador persistente e independiente de la ubicación asignado dentro del espacio de nombres definido.
La arquitectura de objetos digitales [13] es un medio para gestionar información digital en un entorno de red. En la arquitectura de objetos digitales, un objeto digital tiene una estructura independiente de la máquina y la plataforma que permite identificarlo, acceder a él y protegerlo, según corresponda. Un objeto digital puede incorporar no solo elementos informativos, es decir, una versión digitalizada de un papel, una película o una grabación de sonido, sino también el identificador único del objeto digital y otros metadatos sobre el objeto digital. Los metadatos pueden incluir restricciones de acceso a objetos digitales, avisos de propiedad e identificadores para acuerdos de licencia, si corresponde.
El sistema Handle es un sistema de información distribuido de propósito general que proporciona servicios de identificación y resolución eficientes, extensibles y seguros para su uso en redes como Internet. Incluye un conjunto abierto de protocolos, un espacio de nombres y una implementación de referencia de los protocolos. Los protocolos permiten que un sistema informático distribuido almacene identificadores, conocidos como identificadores, de recursos arbitrarios y los convierta en la información necesaria para localizar, acceder, contactar, autenticar o hacer uso de los recursos de otro modo. Esta información se puede cambiar según sea necesario para reflejar el estado actual del recurso identificado sin cambiar su identificador, lo que permite que el nombre del elemento persista tras los cambios de ubicación y otra información de estado relacionada. La versión original de la tecnología del sistema Handle se desarrolló con el apoyo de la Agencia de Proyectos de Investigación Avanzada de Defensa .
Un nuevo estándar de OASIS para identificadores abstractos y estructurados, XRI (Extensible Resource Identifiers), añade nuevas características a los URI y los IRI que son especialmente útiles para los sistemas de identidad digital. OpenID también admite los XRI, que son la base de los i-names .
La autenticación basada en riesgos es una aplicación de identidad digital mediante la cual se evalúa la relación de múltiples entidades del dispositivo (por ejemplo, sistema operativo), el entorno (por ejemplo, servidor DNS) y los datos ingresados por un usuario para cualquier transacción dada para la correlación con eventos de comportamientos conocidos para la misma identidad. [14] El análisis se realiza en función de métricas cuantificables, como la velocidad de la transacción, la configuración regional (o los intentos de ofuscar) y los datos ingresados por el usuario (como la dirección de envío). La correlación y la desviación se asignan a tolerancias y se califican, luego se agregan en múltiples entidades para calcular una puntuación de riesgo de transacción, que evalúa el riesgo planteado a una organización.
Hay quienes proponen considerar la autodeterminación y la libertad de expresión de la identidad digital como un nuevo derecho humano . Algunos han especulado que las identidades digitales podrían convertirse en una nueva forma de entidad legal . [15] A medida que la tecnología se desarrolla, también lo hace la inteligencia de ciertas identidades digitales; en el futuro, muchos creen que debería haber más avances en los aspectos legales que regulen la presencia y la recopilación en línea.
Los atributos de identidad digital existen dentro del contexto de las ontologías .
El desarrollo de soluciones de redes de identidad digital que puedan interoperar representaciones taxonómicamente diversas de la identidad digital es un desafío contemporáneo. El etiquetado libre ha surgido recientemente como una forma eficaz de sortear este desafío (hasta la fecha, principalmente con aplicación a la identidad de entidades digitales como marcadores y fotos) al aplanar eficazmente los atributos de identidad en una sola capa no estructurada. Sin embargo, la integración orgánica de los beneficios de los enfoques estructurados y fluidos para la gestión de atributos de identidad sigue siendo difícil de alcanzar.
Las relaciones de identidad dentro de una red digital pueden incluir múltiples entidades de identidad. Sin embargo, en una red descentralizada como Internet, tales relaciones de identidad extendidas requieren efectivamente tanto la existencia de relaciones de confianza independientes entre cada par de entidades en la relación como un medio para integrar de manera confiable las relaciones emparejadas en unidades relacionales más grandes. Y si las relaciones de identidad deben llegar más allá del contexto de una única ontología federada de identidad (ver Taxonomías de identidad más arriba), los atributos de identidad deben coincidir de alguna manera en diversas ontologías. El desarrollo de enfoques de red que puedan incorporar tales relaciones de confianza "compuestas" integradas es actualmente un tema de mucho debate en la blogosfera .
Las relaciones de confianza compuestas integradas permiten, por ejemplo, que la entidad A acepte una afirmación o reclamo sobre la entidad B por parte de la entidad C. De este modo, C garantiza un aspecto de la identidad de B ante A.
Una característica clave de las relaciones de confianza "compuestas" es la posibilidad de divulgación selectiva de una entidad a otra de información localmente relevante. Como ilustración de la posible aplicación de la divulgación selectiva, supongamos que una tal Diana desea reservar un coche de alquiler sin revelar información personal irrelevante (utilizando una red de identidad digital hipotética que admita relaciones de confianza compuestas). Como adulta, residente en el Reino Unido con una licencia de conducir vigente, Diana podría hacer que la Agencia de Licencias de Conducción y Vehículos del Reino Unido certifique su cualificación para conducir, su edad y su nacionalidad ante una empresa de alquiler de coches sin que se revelen su nombre ni sus datos de contacto. De manera similar, el banco de Diana podría confirmar únicamente sus datos bancarios a la empresa de alquiler. La divulgación selectiva permite una privacidad adecuada de la información dentro de una red de relaciones de identidad.
Una forma clásica de identidad digital en red basada en estándares internacionales son las “Páginas Blancas”.
Las páginas blancas electrónicas vinculan varios dispositivos, como computadoras y teléfonos, a una persona u organización. Varios atributos, como los certificados digitales X.509v3 para comunicaciones criptográficas seguras, se capturan bajo un esquema y se publican en un directorio LDAP o X.500 . Los cambios en el estándar LDAP son administrados por grupos de trabajo en el IETF , y los cambios en X.500 son administrados por la ISO . La UIT realizó un análisis significativo de las brechas en la interoperabilidad de la identidad digital a través del FGidm (grupo de enfoque sobre gestión de identidad ).
Las implementaciones de X.500[2005] y LDAPv3 se han producido en todo el mundo, pero se encuentran principalmente en los principales centros de datos con límites de políticas administrativas en lo que respecta al intercambio de información personal. Dado que los directorios combinados de X.500[2005] y LDAPv3 pueden contener millones de objetos únicos para un acceso rápido, se espera que sigan desempeñando un papel importante en los servicios de acceso seguro a identidades a gran escala. LDAPv3 puede actuar como un servidor autónomo ligero o, en el diseño original, como un protocolo ligero de acceso a directorios basado en TCP-IP compatible con la realización de consultas a una red de servidores X.500 que pueden ejecutar el protocolo OSI nativo.
Esto se hará escalando servidores individuales en grupos más grandes que representen "dominios administrativos" definidos (como el objeto digital a nivel de país), que pueden agregar valor que no está presente en las "Páginas Blancas" originales que se usaban para buscar números de teléfono y direcciones de correo electrónico, ahora disponibles en gran medida a través de motores de búsqueda no autorizados.
La capacidad de aprovechar y ampliar una identidad digital en red se hace más factible mediante la expresión del nivel de confianza asociado con la identidad dada a través de un Marco de Garantía de Identidad común .
Varios autores han señalado la tensión entre los servicios que utilizan la identidad digital por un lado y la privacidad del usuario por el otro. [1][2][3][4][5] Los servicios que recopilan y almacenan datos vinculados a una identidad digital, que a su vez pueden vincularse a la identidad real de un usuario, pueden aprender mucho sobre las personas. El RGPD es un intento de abordar esta preocupación mediante el reglamento. Esta táctica de regulación fue introducida por la Unión Europea (UE) en 2018 para abordar las preocupaciones sobre la privacidad y los datos personales de los ciudadanos de la UE. El RGPD se aplica a todas las empresas, independientemente de su ubicación, que manejan usuarios dentro de la UE. Cualquier empresa que recopile, almacene y opere con datos de ciudadanos de la UE debe revelar detalles clave sobre la gestión de esos datos a las personas de la UE. Los ciudadanos de la UE también pueden solicitar que se eliminen ciertos aspectos de los datos recopilados. [16] Para ayudar a hacer cumplir el RGPD, la UE ha aplicado sanciones a las empresas que operan con datos de ciudadanos de la UE pero no siguen las regulaciones [17]
Muchos sistemas ofrecen mitigaciones relacionadas con la privacidad al analizar datos vinculados a identidades digitales. Una mitigación común es la anonimización de datos , como la codificación de los identificadores de usuario con una función hash criptográfica . Otra técnica popular es agregar ruido estadístico a un conjunto de datos para reducir la identificabilidad, como en la privacidad diferencial . Si bien una identidad digital permite a los consumidores realizar transacciones desde cualquier lugar y administrar más fácilmente varias tarjetas de identificación, también plantea un posible punto único de compromiso que los piratas informáticos maliciosos pueden usar para robar toda esa información personal. [6]
Por lo tanto, se han creado varios métodos de autenticación de cuentas diferentes para proteger a los usuarios. Inicialmente, estos métodos de autenticación requerirán una configuración por parte del usuario para habilitar estas funciones de seguridad al intentar iniciar sesión.
El término "identidad digital" se utiliza en el ámbito académico de la retórica digital para referirse a la identidad como una "construcción retórica". [21] La retórica digital explora cómo se forman, negocian, influyen o cuestionan las identidades dentro de los entornos digitales en constante evolución. Comprender diferentes situaciones retóricas en los espacios digitales es complejo pero crucial para una comunicación eficaz, ya que los académicos sostienen que la capacidad de evaluar dichas situaciones es necesaria para construir identidades apropiadas en diversos contextos retóricos. [22] [23] [24] Además, es importante reconocer que las identidades físicas y digitales están entrelazadas, y los elementos visuales en los espacios en línea dan forma a la representación de la propia identidad física. [25] Como sugiere Bay, "lo que hacemos en línea ahora requiere más continuidad -o al menos fluidez- entre nuestro yo en línea y fuera de línea". [25]
En cuanto al posicionamiento de la identidad digital en la retórica, los académicos prestan mucha atención a cómo se manifiestan las cuestiones de raza, género, agencia y poder en los espacios digitales. Mientras que algunos teóricos radicales inicialmente postularon que el ciberespacio liberaría a los individuos de sus cuerpos y desdibujaría las líneas entre los humanos y la tecnología, [26] otros teorizaron que esta comunicación "descorporizada" podría potencialmente liberar a la sociedad de la discriminación basada en la raza, el sexo, el género, la sexualidad o la clase. [27] Además, la construcción de la identidad digital está intrínsecamente ligada a la red. Esto es evidente en las prácticas de las empresas de gestión de reputación, que apuntan a crear una identidad en línea positiva para aumentar la visibilidad en varios motores de búsqueda. [21]
Clare Sullivan presenta los fundamentos de la identidad digital como un concepto jurídico emergente. La Ley de Tarjetas de Identidad de 2006 del Reino Unido confirma el argumento de Sullivan y desarrolla el nuevo concepto jurídico que implica la identidad de la base de datos y la identidad de la transacción. La identidad de la base de datos es la recopilación de datos que se registran sobre un individuo dentro de las bases de datos del sistema y la identidad de la transacción es un conjunto de información que define la identidad del individuo para fines transaccionales. Aunque se confía en la verificación de la identidad, ninguno de los procesos utilizados es completamente confiable. Las consecuencias del abuso y el fraude de la identidad digital son potencialmente graves, ya que, en las posibles implicaciones, la persona es considerada legalmente responsable. [28]
Las corporaciones están reconociendo el poder de Internet para adaptar su presencia en línea a cada cliente individual. Las sugerencias de compra, los anuncios personalizados y otras estrategias de marketing personalizadas son un gran éxito para las empresas. Sin embargo, dicha personalización depende de la capacidad de conectar los atributos y las preferencias con la identidad del visitante. Para que la tecnología permita la transferencia directa de valor de los derechos y los activos no portadores, se debe transmitir la agencia humana, incluida la autorización, la autenticación y la identificación del comprador y/o vendedor, así como la "prueba de vida", sin un tercero. Una solución para confirmar las identidades legales surgió de la crisis financiera de 2008. El Sistema LEI Global podría proporcionar a todas las empresas registradas del mundo un LEI. El LEI (Identificador de entidad legal) proporciona a las empresas una identificación permanente en todo el mundo para las identidades legales.
El LEI [29] es:
La muerte digital es el fenómeno por el cual las personas siguen teniendo cuentas en Internet después de su muerte. Esto genera varios problemas éticos relacionados con la forma en que la información almacenada por la persona fallecida puede ser utilizada, almacenada o entregada a los miembros de la familia. También puede generar confusión debido a las funciones automatizadas de las redes sociales, como los recordatorios de cumpleaños, así como la incertidumbre sobre la voluntad de la persona fallecida de pasar su información personal a un tercero. Muchas plataformas de redes sociales no tienen políticas claras sobre la muerte digital. Muchas empresas protegen las identidades digitales después de la muerte o las pasan legalmente a las familias de las personas fallecidas. Algunas empresas también ofrecen opciones para borrar la identidad digital después de la muerte. Facebook/Meta es un claro ejemplo de una empresa que ofrece opciones digitales después de la muerte. Los descendientes o amigos de la persona fallecida pueden informar a Facebook sobre la muerte y hacer que se elimine toda su actividad digital anterior. La actividad digital se limita, entre otras cosas, a mensajes, fotos, publicaciones, comentarios, reacciones, historias, historial archivado, etc. Además, se eliminará toda la cuenta de Facebook si se lo solicita. [30]
Aunque muchas facetas de la identidad digital son universales debido en parte a la ubicuidad de Internet, existen algunas variaciones regionales debido a leyes, prácticas y servicios gubernamentales específicos que se encuentran en vigor. Por ejemplo, la identidad digital puede utilizar servicios que validan licencias de conducir , pasaportes y otros documentos físicos en línea para ayudar a mejorar la calidad de una identidad digital. Además, las políticas estrictas contra el lavado de dinero significan que algunos servicios, como las transferencias de dinero, necesitan un nivel más estricto de validación de la identidad digital. La identidad digital en el sentido nacional puede significar una combinación de inicio de sesión único y/o validación de afirmaciones por parte de autoridades confiables (generalmente el gobierno). [ cita requerida ]
Los países o regiones con sistemas de identidad digital oficiales o no oficiales incluyen:
Los países o regiones con sistemas de identidad digital propuestos incluyen: