Merkeziyetsiz Kimlikler (DID'ler)

Merkeziyetsiz hizmetler yalnızca kripto paralar, NFT’ler ve borsalarla sınırlı değildir. Yayın platformları, görsel bankaları, barındırma hizmetleri gibi birçok alanda da kullanılmaktadır. Gelecekte, bugün kullandığımız neredeyse tüm kaynaklar merkeziyetsiz sistemler ve dağıtık kayıtlar üzerinde çalışacak. Ancak Web3 dünyasının bizi bekleyen en ilgi çekici ve faydalı yeniliklerinden biri merkeziyetsiz kimlikler, yani DID’lerdir. Aslında bu teknoloji şimdiden hayatımızda; eksik olan tek şey yaygınlaşması.

Kısaca özetlemek gerekirse, DID, kişisel bilgileriniz veya “dijital kimliğiniz” üzerinde tam kontrol sağlayan bir tanımlayıcıdır. DID’ler sayesinde kimlik doğrulama sürecini hızlıca geçebilir ve üçüncü taraf hizmetlerin sizinle ilgili neyi, ne zaman ve hangi bilgileri öğrenebileceğini kendiniz belirleyebilirsiniz. Aynı zamanda, bu veriler sizin bilginiz dışında çalınamaz, değiştirilemez veya kullanılamaz. Kurumlar ise sunulan bilgilerin doğruluğunu anında kontrol edebilir.

Kişisel verilerde bugünün sorunu

Sorun, verilerimizin kötü saklanması değil; asıl problem, bu verilerin merkezi olarak, kayıt olduğumuz hizmetlerin kendi veri tabanlarında tutulmasıdır. Bir sızıntı durumunda, saldırganlar hesaplarımıza erişim kazanır ve hesap türüne bağlı olarak yazışmalarımızı okuyabilir, belgelerimizi, dosyalarımızı veya kredi kartı bilgilerimizi çalabilirler.

Bazı hizmetler hakkımızda oldukça fazla bilgiye sahiptir: posta adreslerimiz, telefon numaralarımız, ikametgâh bilgilerimiz ve pasaport verilerimiz ellerindedir. Elbette, tüm bunlar kullanıcıların gerçekten kim olduğunu doğrulamak için gereklidir. Ancak bu veriler şirketlerin BT sistemlerinde derinlerde saklanır ve kimlerin eriştiği ya da ne amaçla kullanıldığı konusunda şirketler dışında kimsenin bilgisi olmaz.

Bazı hizmetlerin, kullanıcılarından kişisel verilerinin üçüncü taraflarla paylaşılmasına onay isteme uygulamasını hatırlayabilirsiniz. Genellikle bu üçüncü tarafların kim olduğu, bilginin neden aktarıldığı ve verilerin ne kadar güvenli saklanacağı belirtilmez.

DID’ler nasıl çalışır?

Merkeziyetsiz bir kimlik kullandığınızda, verileriniz bir şirketin veri tabanında değil, blok zinciri veya dağıtık bir defter üzerinde saklanır. Kayıt sırasında kimlik doğrulama işlemi yapmanız gerekmez ve hesabınıza giriş için kullanıcı adı veya parola kullanmazsınız. Aslında, bir DID gözetimsiz bir kripto cüzdan gibidir: genel ve özel anahtarlara sahiptir, ancak işlemleri onaylamak yerine, özel anahtar kimliğinizi doğrulamak için kullanılır.

Elbette, başlangıçta kimliğinizi kanıtlamanız gerekir. Bu, kullanıcının kişisel bilgilerini doğrulayabilecek güvenilir tarafların, yani “düzenleyicilerin” sorumluluğunda olmalıdır. Bu rolü bir banka veya devlet kurumu üstlenebilir.

Sürecin nasıl işlediğine dair bir örnek:

1. Düzenleyici, diğer ekosistem katılımcılarıyla etkileşim kurmak için kendi DID’ini oluşturur.
2. Kullanıcı, doğrulanmasını istediği bilgileri (örneğin pasaport) düzenleyiciye sunar.
3. Düzenleyici, doğrulama işlemini gerçekleştirir, belgeyi onaylar ve kendi kimliğiyle imzaladığı bir doğrulama beyanı (credential) oluşturur. Bu beyan, kullanıcının DID’ine bağlanır ve kullanıcının kişisel veri tabanında saklanır.
4. Kullanıcı, bir hizmete, şirkete veya devlet kurumuna veri sunması gerektiğinde, DID üzerinden erişim izni verir. Kurum ise yalnızca verinin güvenilir bir düzenleyici tarafından verilip verilmediğini ve dijital imzanın geçerli olup olmadığını kontrol eder.

Gerçek hayattan bir senaryo düşünelim. DID’lerin yaygın olduğu bir gelecekte, doğrulanmış veri düzenleyicisi örneğin mezun olduğunuz üniversite olabilir. Doğrulanmış diploma veriniz merkeziyetsiz bir kayıtta tutulur ve akademik geçmişinizin tüm profilini içerir.

Artık bir işe başvurduğunuzda, potansiyel işverenin insan kaynakları departmanının diplomanızın doğruluğunu kontrol etmesi için belge kopyası götürmeniz gerekmez. Bunun yerine, DID’den veri talebi içeren bir QR kodunu tarar ve paylaşmak istediğiniz bilgiyi (bu durumda diploma) seçersiniz. İşveren, belgenin geçerli olduğunu anında görebilir.

Bu gelecek ne zaman gerçek olacak?

İlk bakışta, bu geleceğin bazı yerlerde şimdiden geldiği düşünülebilir. Örneğin, Google hesabınızı kullanarak web sitelerine ve uygulamalara kayıt olabilir, giriş yapabilirsiniz. Bazı ülkelerde ise kamu hizmetleri benzer bir ilkeyle çalışır; kullanıcılar kişisel verilerinin kurumlar arasında paylaşılmasına onay verebilir.

Burada önemli bir AMA var: Kullanıcı verisi hâlâ merkezi tutuluyor. Kullanıcılar verilerinin nasıl saklandığını ve işlendiğini izleyemiyor. Ayrıca, iki faktörlü kimlik doğrulama devre dışıysa, kullanıcıları meraklı gözlerden koruyan tek şey kolayca çalınabilen veya tahmin edilebilen bir paroladır. Bir saldırgan hesabı ele geçirirse, bu hesapla giriş yapılan tüm uygulama ve sitelere erişim sağlayabilir.

Elbette, bir DID, kayıttan alınan verinin güvenli saklanacağını garanti etmez; ancak en önemli nokta, kullanıcıya ait özel anahtar olmadan bu verilere erişilememesidir. İdeal olarak, şirketler kullanıcı verisini hiç depolamaz, bunun yerine doğrudan DID’den talep ederdi.

Toplu kullanım yaygınlaşmasa da, işletmeler merkeziyetsiz kimliklerin sunduğu fırsatları fark etti ve giderek daha fazla hizmet DID uyumlu altyapı sunuyor. Başarılı örneklerden biri DOCK projesidir. Şirket, 2017’den beri Substrate altyapısı üzerinde, proof-of-stake konsensüs mekanizmasına sahip bir blok zinciriyle kullanıcı hesabı platformu geliştiriyor. Yerel DOCK token’ı Binance ve Huobi gibi çeşitli borsalarda listeleniyor. Şirket, müşterilerine doğrulanmış belge (örneğin eğitim belgeleri) oluştururken koruma, tedarik zincirlerinin güvenliği için sertifikalar ve daha fazlasını sunuyor.