SoK: Self-Sovereign Digital Identities

Este artículo presenta una sistematización integral del conocimiento sobre identidades digitales de soberanía personal (SSDI), identificando seis desafíos clave para su adopción, analizando la predominancia de soluciones basadas en blockchain en la investigación y evaluando aplicaciones reales para concluir que la soberanía es un espectro más que una propiedad binaria, con el fin de guiar futuras investigaciones y fomentar una transición disciplinada hacia este modelo.

Lo esencial

¡Claro que sí! Imagina que este artículo es como un mapa del tesoro para entender por qué, a pesar de que todos hablamos de "identidad digital soberana", todavía no la usamos todos en la vida real.

Aquí tienes la explicación en español, usando analogías sencillas:

🏠 El Problema: Vivir en un Hotel vs. Tener tu propia Casa

Imagina que tu identidad digital (tu nombre, tu edad, tu diploma universitario) es como tus llaves de casa.

• El modelo actual (Federado): Hoy en día, para entrar a internet, confiamos en "administradores de hotel" gigantes como Google, Facebook o Apple. Ellos guardan tus llaves maestras. Es cómodo porque no tienes que recordar muchas contraseñas, pero si el hotel se incendia (una brecha de datos) o el administrador decide vender tus llaves a terceros (como el escándalo de Cambridge Analytica), tú pierdes el control de tu propia casa.
• La promesa (Identidad Soberana - SSDI): La idea de la "Identidad Soberana" es que tú guardes tus propias llaves en tu bolsillo. Nadie más tiene una copia. Tú decides quién entra a tu casa y qué habitación muestra. Si quieres demostrar que tienes más de 18 años, solo muestras esa tarjeta, sin revelar tu dirección o tu nombre completo.

🚧 ¿Por qué no hemos mudado a esta "nueva casa" todavía?

Los autores del estudio (estudiantes y profesores de la Universidad Rowan) investigaron 80 fuentes y descubrieron 6 grandes obstáculos que nos impiden mudarnos:

1. El Dilema del "Quién es Quién" (Vinculación):
   • La analogía: En internet, cualquiera puede crearse 100 cuentas falsas (como tener 100 disfraces). ¿Cómo sabemos que "Juan Pérez" es realmente una sola persona y no un robot con mil máscaras? Sin un guardia de seguridad centralizado, es difícil probar que eres quien dices ser sin perder tu privacidad.
2. Las Llaves Maestras (Gestión de Claves):
   • La analogía: Si pierdes las llaves de tu casa, puedes llamar al cerrajero o al dueño del edificio para que te las repongan. En la identidad soberana, tú eres el cerrajero. Si pierdes tu "frase semilla" (una lista de 12 palabras que genera tus llaves), tu identidad desaparece para siempre. No hay botón de "olvidé mi contraseña". Es un riesgo enorme para la gente común.
3. La Dificultad de Uso (Usabilidad):
   • La analogía: Imagina que para comprar un café tienes que entender cómo funciona un cofre fuerte, criptografía y redes complejas. ¡Es demasiado complicado! La gente está acostumbrada a un clic y listo. Las aplicaciones actuales son tan confusas que asustan a los usuarios normales.
4. Las Reglas del Juego (Regulación):
   • La analogía: Las leyes actuales están hechas para los "administradores de hotel". Si quieres borrar tu rastro digital (derecho al olvido), pero tu identidad está grabada en una piedra indestructible (blockchain), ¿cómo la borras? Además, ¿qué pasa si la policía necesita investigar un crimen y no hay nadie central al que pedirle los datos?
5. El Problema del "Huevo y la Gallina" (Adopción Masiva):
   • La analogía: Nadie quiere usar una tarjeta de identidad nueva si ninguna tienda la acepta. Y ninguna tienda quiere aceptarla si nadie la tiene. Es un círculo vicioso: necesitas muchos usuarios para que las tiendas se interesen, y necesitas tiendas para que los usuarios se interesen.
6. Depender de un Solo Camino (Infraestructura):
   • La analogía: La mayoría de estos sistemas dependen de una sola "carretera" (una cadena de bloques o blockchain específica). Si esa carretera se bloquea, se cae o tiene un agujero, todos tus documentos digitales quedan atrapados. Es arriesgado poner todos los huevos en una sola canasta.

🔍 Lo que encontraron en la investigación

Los autores revisaron 47 artículos científicos y 12 proyectos reales:

• Obsesión por la Blockchain: La mayoría de los científicos solo están pensando en "Blockchain" (como si fuera la única solución posible), ignorando otras formas de construir estas identidades. Es como si todos los arquitectos solo supieran construir con ladrillos rojos y olvidaran el vidrio o la madera.
• Falta de Pruebas Reales: Pocos estudios prueban si la gente realmente puede usar estos sistemas. La mayoría solo hacen matemáticas complejas en papel.
• El "Lavado de Soberanía": Analizaron 12 aplicaciones reales y descubrieron que muchas se dicen "soberanas" pero en realidad siguen dependiendo de empresas o gobiernos. Es como vender un "coche ecológico" que en realidad tiene un motor de gasolina. Es marketing, no realidad.
• El Espectro: La verdadera soberanía no es un interruptor de "encendido/apagado". Es como un volumen de radio: algunos sistemas tienen un poco de control, otros tienen mucho, pero casi ninguno tiene el volumen al máximo en todos los aspectos.

🚀 ¿Qué viene en el futuro? (Las Fronteras)

Para que esto funcione de verdad, los autores sugieren cinco caminos nuevos:

1. Criptografía Mágica (Privacidad): Usar técnicas como "Pruebas de Conocimiento Cero" (ZKPs). Imagina que puedes demostrar que tienes más de 18 años sin mostrar tu fecha de nacimiento, como si tuvieras un mágico que dice "Sí, es verdad" sin revelar el secreto.
2. Integración con Web3: Conectar estas identidades con el mundo de las criptomonedas y los NFTs, pero sin que el precio de las criptos arruine tu identidad.
3. Identidad para Máquinas: No solo para humanos, sino para que los coches autónomos, sensores y robots también tengan sus propias "llaves" seguras.
4. Armonía Legal: Hacer que las leyes de Europa, EE. UU. y otros países hablen el mismo idioma para que tu identidad sirva en todo el mundo.
5. Diseño Centrado en el Usuario: ¡Dejar de pensar en la tecnología y empezar a pensar en la gente! Crear aplicaciones que sean tan fáciles de usar como WhatsApp, pero seguras.

💡 Conclusión

El mensaje final es que la Identidad Digital Soberana es una idea brillante y necesaria para recuperar nuestro control en internet. Pero todavía es un prototipo en construcción. No es solo un problema de tecnología; es un problema de confianza, leyes y facilidad de uso.

Para que funcione, necesitamos dejar de obsesionarnos solo con la tecnología y empezar a resolver cómo hacer que sea seguro, legal y fácil de usar para la abuela, el estudiante y la empresa por igual.

Resumen técnico

Resumen Técnico: SoK: Identidades Digitales Soberanas (SSDI)

1. El Problema

La gestión de identidad digital ha evolucionado desde sistemas centralizados (CDI) hacia modelos federados (FDI), donde intermediarios como Google o Facebook gestionan la autenticación. Sin embargo, estos modelos concentran datos masivos, creando objetivos atractivos para ciberataques y abusos internos (ej. escándalo de Cambridge Analytica).

La Identidad Digital Soberana (SSDI) se propone como una solución paradigmática donde los individuos controlan sus propias afirmaciones de identidad y datos sin depender de intermediarios centrales. A pesar de su promesa teórica de seguridad y privacidad, la adopción real de SSDI es extremadamente lenta. La investigación actual carece de una sistematización uniforme, a menudo se centra en capas técnicas específicas (como DIDs o Credenciales Verificables) o en dominios aislados (salud, IoT), dejando de lado una visión holística de los obstáculos socioeconómicos, regulatorios y técnicos que impiden su despliegue masivo.

2. Metodología

Los autores emplearon una metodología de sistematización del conocimiento en cinco pasos para analizar el estado del arte de las SSDI:

1. Análisis de Encuestas Previas: Revisión crítica de 8 encuestas existentes (2018-2023) para establecer la línea base y confirmar la falta de una sistematización centrada en desafíos.
2. Identificación de Desafíos: Análisis de 80 fuentes diversas (papeles académicos, proyectos industriales, informes de estándares como W3C, e iniciativas de privacidad "cypherpunk") para extraer y consolidar los principales obstáculos.
3. Análisis de Literatura Científica: Revisión estructurada de 47 publicaciones científicas que proponen o evalúan sistemas SSDI, categorizándolas por infraestructura, criptografía y metodologías de evaluación.
4. Evaluación de Aplicaciones Reales: Catálogo y evaluación de 12 sistemas SSDI desplegados en producción o pilotos a gran escala, midiendo su nivel de soberanía en cinco dimensiones.
5. Delimitación de Fronteras: Síntesis de los hallazgos para identificar tendencias emergentes, problemas abiertos y oportunidades de investigación futura.

3. Contribuciones Clave

El artículo presenta cuatro contribuciones principales:

1. Taxonomía de Desafíos: Identificación y análisis profundo de seis desafíos fundamentales que frenan la adopción de SSDI.
2. Sistematización de la Literatura: Un análisis cuantitativo que revela un sesgo significativo hacia soluciones basadas en blockchain, dejando arquitecturas generalizadas poco exploradas.
3. Evaluación del Mundo Real: La demostración de que la "soberanía" no es una propiedad binaria (sí/no), sino un espectro, y la identificación del fenómeno de "soberanía lavado" (sovereignty washing) en ciertas implementaciones comerciales.
4. Hoja de Ruta de Investigación: Definición de cinco fronteras críticas para el futuro del campo.

4. Resultados y Hallazgos Principales

A. Los Seis Desafíos Principales (Taxonomía)

1. Vinculación de Identidad (Identity Binding): Dificultad para vincular una identidad digital a una entidad del mundo real sin depender de una autoridad central, lo que expone al sistema a ataques Sybil (creación de múltiples identidades falsas).
2. Gestión de Claves y Protocolos: La carga recae sobre el usuario para gestionar claves criptográficas (generación, recuperación, rotación). La recuperación de claves ("olvidar contraseña") es un problema no resuelto. Además, existe fragmentación en los protocolos (más de 100 métodos DID) que limita la interoperabilidad.
3. Usabilidad: Las barreras de usabilidad son críticas. Los usuarios no están acostumbrados a gestionar claves privadas o entender flujos de credenciales. La falta de estudios de usabilidad en la literatura es alarmante.
4. Supervisión y Regulación: Los marcos legales actuales (como el GDPR o leyes de identificación nacional) asumen proveedores centralizados. La inmutabilidad de la blockchain choca con el "derecho al olvido", y la falta de un ente central dificulta la cooperación con la aplicación de la ley.
5. Adopción de Masa Crítica: El problema del "huevo y la gallina". Los usuarios no adoptarán SSDI sin servicios que la acepten, y los servicios no la integrarán sin usuarios. Los emisores (gobiernos, universidades) tienen incentivos desalineados para ceder el control de los datos.
6. Dependencia de Infraestructura Única: La mayoría de las propuestas dependen de una sola blockchain o libro mayor. Esto crea un riesgo de "centralización meta": si esa infraestructura falla o sufre un ataque, todas las identidades ancladas en ella están en riesgo.

B. Análisis de la Literatura Científica (47 artículos)

• Sesgo Blockchain: El 83% de los trabajos se basan en blockchain (Ethereum, Hyperledger), ignorando arquitecturas P2P puras o agnósticas.
• Criptografía: Predomina la criptografía de clave pública estándar. Aunque hay un interés creciente en Pruebas de Conocimiento Cero (ZKP) y Encriptación Homomórfica, su implementación práctica es compleja.
• Evaluación Deficiente: Solo el 15% incluye pruebas de seguridad formales y apenas el 4% realiza estudios con usuarios reales. La mayoría se basa en benchmarks de rendimiento o argumentos informales.

C. Evaluación de Aplicaciones Reales (12 sistemas)

• Espectro de Soberanía: Ningún sistema desplegado logra la soberanía total en las cinco dimensiones evaluadas (control de claves, emisión sin permisos, portabilidad, divulgación selectiva, resistencia a revocación unilateral).
• Compromisos: Los sistemas gubernamentales (ej. EU Digital Identity Wallet) priorizan el control institucional sobre la autonomía del usuario. Los sistemas comerciales a menudo caen en "sovereignty washing" (usar la etiqueta SSDI sin cumplir sus principios).
• Estado del Ecosistema: De los 12 proyectos analizados, solo el 25% está totalmente operativo; el 42% está inactivo o defunto, lo que indica una alta tasa de fracaso en el despliegue.

5. Significado y Fronteras Futuras

El artículo concluye que la transición hacia identidades soberanas no es inevitable y requiere un enfoque multidisciplinario. Los autores proponen cinco fronteras de investigación prioritarias:

1. Criptografía de Mejora de Privacidad: Avanzar en ZKPs (zk-SNARKs, zk-STARKs) y Encriptación Homomórfica para permitir verificaciones sin revelar datos subyacentes.
2. Integración con Web3: Conectar SSDI con DeFi, DAOs y NFTs, superando la volatilidad y la incertidumbre regulatoria de las criptomonedas.
3. Identidad de IoT y Máquinas: Adaptar SSDI para dispositivos autónomos, donde la recuperación de claves y la gestión de recursos son críticas.
4. Armonización Regulatoria: Crear marcos legales interoperables entre jurisdicciones para permitir el reconocimiento mutuo de identidades descentralizadas.
5. Diseño Centrado en la Usabilidad: Un cambio de paradigma desde "tecnología primero" a "usabilidad primero", priorizando la experiencia del usuario y la investigación en HCI (Interacción Humano-Computadora).

Conclusión Final:
Este trabajo sirve como una referencia fundamental para investigadores y practicantes, demostrando que el potencial de las SSDI está limitado no solo por la tecnología, sino por desafíos sistémicos de usabilidad, gobernanza y adopción. El futuro del campo depende de superar el sesgo hacia la blockchain y abordar la soberanía como un espectro de compromisos pragmáticos.