Digital identity

A digital identity may also be referred to as a digital subject or digital entity. They are the digital representation of a set of claims made by one party about itself or another person, group, thing, or concept. A digital twin^[3] which is also commonly known as a data double or virtual twin is a secondary version of the original user's data. Which is used both as a way to observe what said user does on the internet as well as customize a more personalized internet experience. Due to the collection of personal data, there have been many social, political, and legal controversies tying into data doubles.

While in manufacturing and other multi-organization environments, digital identity is used to enable secure interactions between separate organizations. For a secure federated digital thread, participating systems rely on verified digital identities to authenticate organizations before exchanging product lifecycle data, supporting trust and controlled data sharing across organizational boundaries.

Digital identities can be issued through digital certificates. These certificates contain data associated with a user and are issued with legal guarantees by recognized certification authorities.

In order to assign a digital representation to an entity, the attributing party must trust that the claim of an attribute (such as name, location, role as an employee, or age) is correct and associated with the person or thing presenting the attribute. Conversely, the individual claiming an attribute may only grant selective access to its information (e.g., proving identity in a bar or PayPal authentication for payment at a website). In this way, digital identity is better understood as a particular viewpoint within a mutually-agreed relationship than as an objective property.

Las empresas utilizan servicios de verificación de identidad para comprobar si la información proporcionada corresponde a una persona real. Esta es una forma de autenticación electrónica . Algunos sitios web con cuentas de usuario, como las redes sociales, ofrecen verificación de cuenta para demostrar que una cuenta es operada por una persona específica.

La identidad digital requiere identificadores digitales: cadenas o tokens que son únicos dentro de un ámbito determinado (a nivel global o local dentro de un dominio, comunidad, directorio, aplicación, etc. específicos).

Los identificadores pueden clasificarse como omnidireccionales o unidireccionales . ^{[ 17 ]} Los identificadores omnidireccionales son públicos y fácilmente detectables, mientras que los identificadores unidireccionales están destinados a ser privados y se utilizan solo en el contexto de una relación de identidad específica.

Los identificadores también pueden clasificarse como resolubles o no resolubles . Los identificadores resolubles, como un nombre de dominio o una dirección de correo electrónico , pueden desreferenciarse fácilmente a la entidad que representan o a datos de estado actual que proporcionan atributos relevantes de dicha entidad. Los identificadores no resolubles, como el nombre real de una persona o el nombre de un tema, pueden compararse para determinar su equivalencia, pero no son comprensibles para las máquinas.

Existen diversos esquemas y formatos para los identificadores digitales. El Identificador Uniforme de Recursos (URI) y su versión internacionalizada, el Identificador Internacionalizado de Recursos (IRI), son el estándar para los identificadores de sitios web en la World Wide Web . OpenID e Identidad Ligera son dos protocolos de autenticación web que utilizan URI HTTP estándar (a menudo denominadas URL). Un Nombre Uniforme de Recursos es un identificador persistente e independiente de la ubicación, asignado dentro del espacio de nombres definido.

La arquitectura de objetos digitales ^{[ 18 ]} es un método para gestionar información digital en un entorno de red. En la arquitectura de objetos digitales, un objeto digital posee una estructura independiente de la máquina y la plataforma que permite su identificación, acceso y protección, según corresponda. Un objeto digital puede incorporar no solo elementos informativos, como la digitalización de un documento, una película o una grabación de audio, sino también su identificador único y otros metadatos. Estos metadatos pueden incluir restricciones de acceso, avisos de propiedad e identificadores para acuerdos de licencia, si procede.

El Handle System es un sistema de información distribuido de propósito general que proporciona servicios de identificación y resolución eficientes, extensibles y seguros para su uso en redes como internet. Incluye un conjunto abierto de protocolos, un espacio de nombres y una implementación de referencia de los protocolos. Estos protocolos permiten que un sistema informático distribuido almacene identificadores, conocidos como handles, de recursos arbitrarios y resuelva dichos handles en la información necesaria para localizar, acceder, contactar, autenticar o utilizar de cualquier otra forma los recursos. Esta información puede modificarse según sea necesario para reflejar el estado actual del recurso identificado sin cambiar su identificador, lo que permite que el nombre del elemento persista a pesar de los cambios de ubicación y otra información de estado relacionada. La versión original de la tecnología Handle System se desarrolló con el apoyo de la Agencia de Proyectos de Investigación Avanzada de Defensa (DARPA) .

Un nuevo estándar OASIS para identificadores abstractos y estructurados, XRI (Extensible Resource Identifiers), añade nuevas características a las URI e IRI que resultan especialmente útiles para los sistemas de identidad digital. OpenID también admite XRI, que son la base de los i-names .

La autenticación basada en riesgos es una aplicación de la identidad digital en la que se evalúa la relación entre múltiples entidades, desde el dispositivo (p. ej., sistema operativo), el entorno (p. ej., servidor DNS) y los datos introducidos por un usuario para cualquier transacción determinada, con el fin de correlacionarla con eventos de comportamientos conocidos para la misma identidad. ^{[ 19 ]} Los análisis se realizan en función de métricas cuantificables, como la velocidad de la transacción, la configuración regional (o los intentos de ofuscación) y los datos introducidos por el usuario (como la dirección de envío). La correlación y la desviación se asignan a tolerancias y se puntúan, para luego agregarse entre múltiples entidades y calcular una puntuación de riesgo de transacción, que evalúa el riesgo que supone para una organización.

Los atributos de identidad digital existen dentro del contexto de las ontologías .

El desarrollo de soluciones de redes de identidad digital que permitan la interoperabilidad de representaciones taxonómicamente diversas de la identidad digital constituye un desafío actual. El etiquetado libre ha surgido recientemente como una forma eficaz de sortear este desafío (hasta la fecha, principalmente aplicado a la identidad de entidades digitales como marcadores y fotos), al aplanar los atributos de identidad en una única capa no estructurada. Sin embargo, la integración orgánica de los beneficios de los enfoques estructurados y fluidos para la gestión de atributos de identidad sigue siendo difícil de alcanzar.

Las relaciones de identidad dentro de una red digital pueden incluir múltiples entidades de identidad. Sin embargo, en una red descentralizada como Internet, estas relaciones de identidad extendidas requieren tanto la existencia de relaciones de confianza independientes entre cada par de entidades como un medio para integrar de forma fiable dichas relaciones en unidades relacionales más amplias. Y si las relaciones de identidad van más allá del contexto de una única ontología federada de identidad (véase Taxonomías de identidad más arriba), los atributos de identidad deben coincidir de alguna manera entre diversas ontologías. El desarrollo de enfoques de red que puedan incorporar estas relaciones de confianza integradas y "compuestas" es actualmente objeto de un intenso debate en la blogosfera .

Las relaciones de confianza compuestas integradas permiten, por ejemplo, que la entidad A acepte una afirmación o reclamación sobre la entidad B por parte de la entidad C. De este modo, C da fe de un aspecto de la identidad de B ante A.

Una característica clave de las relaciones de confianza «compuestas» es la posibilidad de divulgación selectiva de información relevante localmente entre entidades. Para ilustrar la posible aplicación de la divulgación selectiva, supongamos que Diana desea alquilar un coche sin revelar información personal irrelevante (utilizando una red de identidad digital hipotética que admite relaciones de confianza compuestas). Como adulta, residente en el Reino Unido y con permiso de conducir vigente, Diana podría solicitar a la Agencia de Licencias de Conducir y Vehículos del Reino Unido que avale su cualificación para conducir, su edad y su nacionalidad ante la empresa de alquiler de coches, sin que se revelen su nombre ni sus datos de contacto. Del mismo modo, el banco de Diana podría proporcionar únicamente sus datos bancarios a la empresa de alquiler. La divulgación selectiva permite mantener la privacidad adecuada de la información dentro de una red de relaciones de identidad.

Un ejemplo clásico de identidad digital en red basada en estándares internacionales son las "Páginas Blancas".

Un directorio electrónico vincula varios dispositivos, como ordenadores y teléfonos, con una persona u organización. Diversos atributos, como los certificados digitales X.509v3 para comunicaciones criptográficas seguras, se capturan bajo un esquema y se publican en un directorio LDAP o X.500 . Los cambios en el estándar LDAP son gestionados por grupos de trabajo del IETF , y los cambios en X.500 son gestionados por la ISO . La UIT realizó un análisis significativo de las deficiencias en la interoperabilidad de la identidad digital a través del FGidm (grupo de enfoque sobre gestión de identidades ).

Implementations of X.500[2005] and LDAPv3 have occurred worldwide but are primarily located in major data centers with administrative policy boundaries regarding sharing of personal information. Since combined X.500 [2005] and LDAPv3 directories can hold millions of unique objects for rapid access, it is expected to play a continued role for large scale secure identity access services. LDAPv3 can act as a lightweight standalone server, or in the original design as a TCP-IP based Lightweight Directory Access Protocol compatible with making queries to an X.500 mesh of servers which can run the native OSI protocol.

This will be done by scaling individual servers into larger groupings that represent defined "administrative domains", (such as the country level digital object) which can add value not present in the original "White Pages" that was used to look up phone numbers and email addresses, largely now available through non-authoritative search engines.

The ability to leverage and extend a networked digital identity is made more practicable by the expression of the level of trust associated with the given identity through a common Identity Assurance Framework.

In digital rhetoric, digital identity is treated as a rhetorical construction shaped by the choices users make in how they represent themselves online, rather than as a fixed attribute of a person. Researchers in the field study how those self-representations are influenced by platform design, audience, and the technical affordances available for self-presentation.^[20]

Sherry Turkle, in Life on the Screen (1995), argued that online environments allow users to present multiple, fluid versions of the self that are less anchored to physical embodiment than offline identity.^[21] Later scholarship has questioned how far this separation extends in practice, arguing that characteristics such as race, gender, and class continue to shape how users are perceived and treated online.^[22]

Clare Sullivan presents the grounds for digital identity as an emerging legal concept. The UK's Identity Cards Act 2006 confirms Sullivan's argument and unfolds the new legal concept involving database identity and transaction identity. Database identity is the collection of data that is registered about an individual within the databases of the scheme and transaction identity is a set of information that defines the individual's identity for transactional purposes. Although there is reliance on the verification of identity, none of the processes used are entirely trustworthy. The consequences of digital identity abuse and fraud are potentially serious since in possible implications the person is held legally responsible.^[23]

Legal scholars Lusine Vardanyan, Ondrej Hamulak, and Hovsep Kocharyan from Palacký University in Olomouc have analyzed the complexities of digital identity and its regulation.^[24] Their research highlights the difficulties that current legal frameworks face in adequately safeguarding digital identity against manipulation, unauthorized use, and opaque profiling mechanisms. They argue that existing data protection regimes predominantly focus on the protection of information rather than the individual as a whole, which may contribute to a loss of control over one's digital presence. A key concept proposed to address these issues is the right to informational self-determination, which would provide individuals with greater control over the collection, use, and dissemination of their personal data. This right is seen as essential in ensuring personal autonomy, enabling individuals to shape and manage their digital identities in alignment with their real-world personas. Proponents argue that the development of legal tools for digital identity management should be grounded in principles such as informed consent, transparency, and self-governance. The work of scholars such as Shoshana Zuboff has been influential in highlighting the risks associated with the commodification of personal data and the erosion of individual agency in digital spaces. Recognizing informational self-determination as a fundamental right is viewed as a critical step in enhancing data protection and ensuring security and autonomy in an increasingly networked society.^[25]

Corporations are recognizing the power of the internet to tailor their online presence to each individual customer. Purchase suggestions, personalized adverts, and other tailored marketing strategies are a great success for businesses. Such tailoring, however, depends on the ability to connect attributes and preferences to the identity of the visitor.

A medida que internet se vuelve más sensible a las preocupaciones sobre la privacidad , los editores de medios, los desarrolladores de aplicaciones y los minoristas en línea están reevaluando sus estrategias, a veces reinventando por completo sus modelos de negocio. Cada vez más, la tendencia se inclina hacia la monetización directa de las ofertas en línea, solicitando a los usuarios que paguen por el acceso mediante suscripciones y otras formas de pago, alejándose de la dependencia de la recopilación de datos personales. ^{[ 26 ]}

La muerte digital es el fenómeno por el cual las personas conservan cuentas de internet después de su fallecimiento. Esto plantea diversas cuestiones éticas sobre cómo se puede utilizar, almacenar o entregar a los familiares la información almacenada por la persona fallecida. También puede generar confusión debido a las funciones automatizadas de las redes sociales, como los recordatorios de cumpleaños, así como incertidumbre sobre la voluntad de la persona fallecida de compartir su información personal con terceros. Muchas plataformas de redes sociales no tienen políticas claras sobre la muerte digital. Muchas empresas protegen las identidades digitales tras el fallecimiento o las transfieren legalmente a las familias de las personas fallecidas. Algunas empresas también ofrecen opciones para la eliminación de la identidad digital después del fallecimiento. Facebook/Meta es un claro ejemplo de una empresa que ofrece opciones digitales tras el fallecimiento. Los descendientes o amigos de la persona fallecida pueden notificar a Facebook sobre su muerte y solicitar la eliminación de toda su actividad digital anterior. La actividad digital incluye, entre otros, mensajes, fotos, publicaciones, comentarios, reacciones, historias, historial archivado, etc. Además, la cuenta completa de Facebook se eliminará a petición del usuario. ^{[ 27 ]}

Hay quienes defienden que la autodeterminación y la libertad de expresión de la identidad digital se consideren un nuevo derecho humano . Algunos han especulado que las identidades digitales podrían convertirse en una nueva forma de entidad jurídica . ^{[ 28 ]} A medida que la tecnología se desarrolla, también lo hace la inteligencia de ciertas identidades digitales; muchos creen que, en adelante, deberían producirse más avances en los aspectos legales que regulan la presencia y la recopilación de datos en línea.

La identidad digital puede ser un componente del tecnoautoritarismo . ^{[ 29 ]}

Varios autores han señalado la tensión entre los servicios que utilizan la identidad digital, por un lado, y la privacidad del usuario, por otro. ^{[1][2][3][4][5]} Los servicios que recopilan y almacenan datos vinculados a una identidad digital, que a su vez puede estar vinculada a la identidad real de un usuario, pueden obtener mucha información sobre las personas. El RGPD es un intento de abordar esta preocupación mediante la regulación. Esta táctica regulatoria fue introducida por la Unión Europea (UE) en 2018 para abordar las preocupaciones sobre la privacidad y los datos personales de los ciudadanos de la UE. El RGPD se aplica a todas las empresas, independientemente de su ubicación, que gestionan usuarios dentro de la UE. Cualquier empresa que recopile, almacene y opere con datos de ciudadanos de la UE debe revelar detalles clave sobre la gestión de esos datos a las personas de la UE. Los ciudadanos de la UE también pueden solicitar que se eliminen ciertos aspectos de sus datos recopilados. ^{[ 30 ]} Para ayudar a hacer cumplir el RGPD, la UE ha aplicado sanciones a las empresas que operan con datos de ciudadanos de la UE pero no cumplen con la normativa. ^{[ 31 ]}

Muchos sistemas ofrecen medidas de protección de la privacidad al analizar datos vinculados a identidades digitales. Una medida común es la anonimización de datos , como el uso de una función hash criptográfica para los identificadores de usuario . Otra técnica popular consiste en añadir ruido estadístico a un conjunto de datos para reducir la identificabilidad, como en el caso de la privacidad diferencial . Si bien una identidad digital permite a los consumidores realizar transacciones desde cualquier lugar y gestionar con mayor facilidad diversas tarjetas de identificación, también representa un posible punto único de vulnerabilidad que los piratas informáticos malintencionados pueden aprovechar para robar toda esa información personal.

Por lo tanto, se han creado varios métodos de autenticación de cuentas para proteger a los usuarios. Inicialmente, estos métodos requerirán que el usuario configure ciertas opciones para habilitar estas funciones de seguridad al intentar iniciar sesión.

• Two-factor Authentication: This form of authentication is a two-layered security process. The first layer will require the password for the account the user is trying to access. Following a successful password input, the second layer of security will then prompt the user to prove that they have access to something which they would only have. Typically, these are unique one-time generated security codes that will be sent to the email or phone number registered on the account. Successful input of these unique one-time generated security codes will then grant the user permission into the account. There are also maybe options for answering security questions that will grant access to the account, something which only the actual user would know the answers too.^[32] The second layer of the two-factor authentication process can also include face biometric factors such as facial scans, fingerprints, or a voice print rather than one-time generates security codes or answering security questions. Two-factor authentication will typically be required every time when attempting a login to an account^[33]
• Certificate-Based Authentication: This form of authentication prioritizes the use of digital certificates, typically an individual's driver's license or a passport as a form of an electronic document. A certification authority will then prove ownership of a public key to the owner of that digital certificate. Certificate-based authorities will prioritize these electronic documents to identify a user. When signing into a server, the individual presents their digital certificate, the server will then verify the credibility of that digital certificate through cryptography, and the authentication process is finally complete when that private key is certified^[34]