I&A-Projekte
Blockstack
Ein richtungsweisendes I&A-Projekt auf Blockchain- Basis ist das von Doktoranden der Universität Princeton ins Leben gerufene Blockstack (https://blockstack. org). Sein Ziel ist der Aufbau eines dezentralen Internets abseits der bestehenden DNS-Server – Kernkonzept ist die Kopplung digitaler Bestände, Domains sowie Identitäten an öffentliche Schlüssel mittels der Blockchain.
Blockstack verfolgt dabei einen mehrschichtigen Aufbau mit einer auf eine Public Permissionless Blockchain aufgesetzten virtuellen Chain, auf der Identitäten als eine Verknüpfung von Schlüsseln mit Zonefile- Hashes realisiert werden. Innerhalb eines Routing-Layers führen entsprechende Zonefiles zum Storage-Layer in Form von Cloud-Speichern oder verteilten Dateisystemen (z. B. dem IPFS – InterPlanetary File System), wo die eigentlichen Daten abgelegt sind.
Der Aufbau dieser Blockchain profitiert von der höheren Flexibilität und besseren Speichermöglichkeit der virtuellen Chain, während die zugrunde liegende Public Permissionless Blockchain der Konsensfindung und damit der Sicherheit und „Taktung“ der virtuellen Chain dient. Aktuell wird die Bitcoin-Blockchain als Unterbau verwendet – allerdings wurde erst 2015 aus Gründen der Sicherheit ein Wechsel von Namecoin auf Bitcoin vollzogen, hier besteht also Austauschbarkeit.
Obwohl der Fokus des Projekts aktuell auf dem erst Ende Mai 2017 veröffentlichten Blockstack- Browser für das dezentralisierte Internet liegt, ist die digitale Identität nach wie vor erklärtes Ziel von Blockstack. Mit bereits über 50 000 registrierten Identitäten ist das Projekt ein klarer Vorreiter in diesem Bereich.
uPort
Ein weiteres Projekt mit dem Ziel einer selbstverwalteten digitalen Identität ist uPort von ConsenSys (www.uport.me). Es bedient sich der (Public Permissionless) Ethereum- Blockchain, die neben dem Kryptowährungsaspekt vor allem durch ihre Funktion als „World-Computer“ bekannt ist: Mit der Turing-mächtigen Ethereum-Virtual-Machine ausgestattet, unterstützt diese Blockchain so genannte Smart-Contracts. Solche in die Blockchain integrierbaren, automatisierten Verträge sind aus der Perspektive der objektorientierten Programmierung Instanzen von Klassen, deren Methoden von Nutzern durch Transaktionen aufgerufen werden können.
Eine Identität entsteht dabei durch das Zusammenspiel mehrerer Komponenten: Kernstück ist der Proxy-Contract, dessen Adresse in der Ethereum-Blockchain die Identität eindeutig ausweist und mit Smart- Contracts von ethereumbasierten Webapplikationen interagiert. Dem Proxy-Contract vorgeschaltet ist ein Controller-Contract, der die eigentliche Interaktion mit dem Nutzer handhabt und gewissermaßen mit einer Recovery-Funktion der eigenen Identität versehen ist (für den ansonsten fatalen Fall eines Schlüsselverlusts des Users). Ein Registry- Contract sorgt für die Anreicherung der Identitäten mit Attributen durch Verknüpfung von Proxy-Contract- Adressen mit Hashverweisen zu (derzeit noch unverschlüsselten) JSON-Dateien mittels IPFS.
Die Verwaltung der Identität geschieht bei uPort mittels einer Mobile-App; Developer Libraries sollen App-Entwicklern die Möglichkeit geben, Gebrauch von uPort-Identitäten zu machen. Erste praktische Anwendung soll uPort ab September 2017 in der schweizerischen Stadt Zug, zugleich Sitz der Ethereum-Stiftung, finden. Die digitale ID für jeden Bürger könnte – nach einer Beglaubigung durch die Stadt – im Bereich städtischer Dienstleistungen, im E-Voting und anderen Anwendungsbereichen zum Einsatz kommen.
Sovrin
Sovrin ist ein Projekt der gleichnamigen gemeinnützigen Stiftung (https://sovrin.org) und definiert sich als erster „Public Permissioned Ledger“ (engl. für Register, Hauptbuch etc.). Mit einer für die Allgemeinheit offenen Infrastruktur will man so das Internet um eine Ebene selbstverwalteter Identitäten erweitern.
Aus technischer Sicht fällt vor allem die Permissioned-Konzeption ins Auge: Nodes des Sovrin-Ledgers werden von so genannten Stewards betrieben. Dies sollen idealerweise branchen- und grenzübergreifend verteilte Instanzen (Unternehmen, Universitäten, Regierungen etc.) sein, die im Rahmen des Vertragswerks „Sovrin Trust Framework“ ihre gute Absicht erklären. Diese Vertrauensgrundlage ermöglicht den Verzicht auf die rechenintensive kryptografische „Proof-of-Work“- Komponente zur Konsensfindung in Permissionless-Blockchains, in denen kein gegenseitiges Vertrauen vorgegeben ist. Der Einsatz von RBFTAlgorithmen (Redundant Byzantine Fault Tolerance) soll hier für eine hohe Geschwindigkeit bei der Verarbeitung von Transaktionen und eine hohe Skalierbarkeit sorgen.
Sovrins Blockchain-Ebene entsteht durch die Verzahnung vier verschiedener Ledger: drei zur Koordination der reibungslosen Zusammenarbeit aller Nodes sowie der eigentliche Identity-Ledger. Die Stewards nehmen dabei eine von zwei Rollen ein: Validator oder Observer. Ein Validator ist für die Verarbeitung von Transaktionen zuständig, während Observer diesen Vorgang überwachen und bei Bedarf durch Unregelmäßigkeiten auffallende Validatoren ersetzen. Da diese Rollen für eine Aufgabenteilung (Lese- oder Schreibzugriffe) sorgen, kann man durch die dynamische Anpassung des Verhältnisses eine weitere Performancesteigerung erzielen. Weitere Schichten (Sovrin- Agents und -Clients) beschreiben die Kommunikation von Applikationen, die Identitäten nutzen, mit dem Sovrin-Ledger.
Anfang Juli 2017 hat Sovrin sein „Provisional Trust Framework“ veröffentlicht, eine Zusammenstellung von Dokumenten, die das zugrunde liegende Vertrauensmodell beschreiben. Damit wurde aus Sovrins Sicht die Grundlage für ein globales öffentliches Managementsystem für souverän verwaltete Identitäten geschaffen. Während Sovrin weiterhin die Technik und den Aufbau des zukünftigen Netzwerks vorantreibt, ist das Projekt auf Code- Ebene unter dem Namen „Indy“ Teil von Hyperledger geworden (www. hyperledger.org), einem von der Linux Foundation ins Leben gerufenen Dachprojekt zur Weiterentwicklung der Blockchain-Technologie.
esatus-Prototyp
Um die Implementierung von Blockchain-I&A greifbar zu machen, hat die Blockchain-Arbeitsgruppe der esatus AG ein eigenes I&A-Prototyping auf Basis von Ethereum durchgeführt. Zielsetzung ist die Realisierung des „Bring Your Own Identity“-Ansatzes. Anhand einiger Use-Cases sollte veranschaulicht werden, welche Vorteile der Einsatz von Blockchain-Verfahren in diesem Fall bringen kann.
Eine „Blockchain-ID“ enthält hierbei zu Beginn nur einige grundlegende Daten einer Person. Der Zugriff auf diese Daten wird direkt über eine Logik innerhalb eines Smart-Contracts geregelt. Diversen weiteren Instanzen (bspw. dem Einwohnermeldeamt) wird die Möglichkeit gegeben, Änderungen an den in der Blockchain abgelegten Daten anzustoßen. Außerdem gibt es für die darin gespeicherten Daten ein Validierungssystem, über das abrufende Instanzen (z. B. Händler) sicherstellen können, dass die bewussten Daten korrekt sind.
Den Zugriff auf die eigenen Daten kann jeder Benutzer selbst verwalten. Dabei ist jedoch zu beachten, dass er nicht alle Berechtigungen entziehen darf: So kann er beispielsweise dem Einwohnermeldeamt nicht den Zugriff auf Namen und Adresse entziehen, wohl aber zusätzliche Informationen, wie Kontodaten oder Telefonnummer, freigeben.
Die eingesetzten Smart-Contracts wurden mit Solidity entwickelt (https://solidity.readthedocs.io), einer Programmiersprache speziell für Smart-Contracts, deren Syntax der von Javascript sehr ähnlich ist. Für die Kommunikation mit der Blockchain wird ein Blockchain- Node benötigt.
Für das Prototyping wurden zunächst drei verschiedene Ansätze evaluiert:
- BlockApps (http://blockapps. net): BlockApps bietet eine Art Komplettlösung, die einen „Bloc Server“ umfasst, der als Blockchain- Node fungiert, sowie einen so genannten „BlockApps STRATO Server“, der über eine REST-API (Representational State Transfer Application Programming Interface) von einer potenziellen Applikation angesprochen werden kann und somit eine Schnittstelle zwischen Applikation und Blockchain-Node darstellt. BlockApps kann entweder lokal oder über Microsoft Azure und – wie die Entwickler in Aussicht stellen – zukünftig auch per Amazon AWS gehostet werden. BlockApps unterstützt jedoch ausschließlich Private Blockchains, ein Zugriff auf die Public-Ethereum-Blockchain ist nicht möglich.
- geth (https://geth.ethereum. org): Bei „go-ethereum“, kurz geth, handelt es sich um einen der am längsten verfügbaren (seit 2013) und am weitesten verbreiteten Blockchain-Node für Ethereum. Angesprochen werden kann geth über Remote-Procedure-Calls (RPC) und Interprocess-Communication (IPC) – hierüber lassen sich sowohl Private Blockchains als auch der Zugriff auf die Public-Ethereum-Blockchain realisieren.
- Parity (https://parity.io): Auch hierbei handelt es sich um einen Blockchain-Node. Parity ist allerdings nicht in gleichem Maße wie geth verbreitet und erst seit Ende 2015 verfügbar. Auf Parity kann ebenfalls über RPC und IPC zugegriffen werden – das System besitzt aber darüber hinaus ein integriertes User-Interface (UI) zum Zugriff auf die Blockchain: Hiermit können Benutzer und Smart-Contracts angelegt, auf der Blockchain durchgeführte Transaktionen eingesehen und ausgeführt sowie die Funktionen von Smart-Contracts angestoßen werden.
Da BlockApps nur Private Blockchains unterstützt, wurde dieser Ansatz nicht weiter vertieft – da geth der etablierteste Blockchain-Node ist, hat esatus zu Beginn eine Umsetzung mit diesem Ansatz angestrebt. Der Zugriff auf den Blockchain-Node wurde mittels der Javascript-API web3 realisiert (https://github.com/ ethereum/web3.js/). Um die Umsetzung innerhalb der Applikation einfach zu gestalten, wurde auf das Framework Nethereum zurückgegriffen (www.nethereum.com), eine speziell für den Einsatz mit dem .net-Framework angepasste Version des web3-API – hierüber lassen sich alle RPC- und IPC-Funktionen des Blockchain-Node ansprechen.
Um Benutzern einen möglichst komfortablen Umgang mit der Applikation – Zugriff per Benutzername und Passwort – zu gewähren, wurde eine zusätzliche MSSQLDatenbank eingesetzt, die eine Zuweisung der Adresse des Benutzers innerhalb der Blockchain und einen Benutzernamen realisiert (aber keine Passwörter speichert). Die Zuweisung des Schlüsselspaars zu dieser Adresse regelt der Blockchain-Node, in dem die Daten in JSON-Dateien abgelegt sind. Der geheime Schlüssel wird dort mittels AES-128 chiffriert abgelegt – der hierfür verwendete Schlüssel mittels „Password- Based Key Derivation Function 2“ (PBKDF2) aus dem vom Benutzer gewählten Passwort abgeleitet. Ein Zugriff auf die Daten kann somit durch das gewählte Passwort erfolgen, die Daten selbst können dann für Transaktionen in der Blockchain verwendet werden.
Dieser Aufbau bietet einem Benutzer also letztlich die Möglichkeit, sich mit Benutzernamen und Passwort in der Blockchain zu authentifizieren – seine Adresse sowie seinen geheimen und öffentlichen Schlüssel muss er dazu nicht verwenden. Abbildung 2 veranschaulicht die Systemarchitektur inklusive eines potenziellen Anwendungsfalls.
