Digital identitet

ISO/IEC 24760-1, rammestandarden for identitetsstyring, definerer en identitet som et sæt attributter knyttet til en entitet og en identifikator som en eller flere attributter, der entydigt adskiller entiteten inden for et domæne. Det har to konsekvenser. En identitet er altid relativ til en sammenhæng: Den samme person er én identitet i lønsystemet, en anden i en samarbejdspartners portal og en tredje som MitID-bruger. Og selve entiteten findes aldrig i systemet, kun påstande om den, og derfor er identitetssikring og autentificering særskilte trin.

Designet af identifikatorer er dér, hvor mange fejl opstår. Robuste systemer bruger uforanderlige identifikatorer, der aldrig genbruges, som nøgle for konti, fx et Windows-SID, et objekt-id i Entra eller i OpenID Connect parret af udsteder og sub-claim, der kun er garanteret unikt og stabilt i kombination. Foranderlige attributter som mailadresser, user principal names eller visningsnavne ændrer sig ved giftermål, omorganisering eller domæneskift og tildeles nogle gange en ny person; bruges de som primærnøgle, fører det til kontoovertagelse eller forældreløse data. Nationale identifikatorer som CPR-nummeret er praktiske, men de er personoplysninger, hvis behandling er særskilt reguleret (databeskyttelseslovens § 11), og bør ikke bruges som generelt brugernavn.

Hvor stærkt en identitet er fastslået, er en anden dimension end, hvor stærkt den senere autentificeres. NIST SP 800-63A definerer identity assurance levels (IAL1 til IAL3), der bygger på entydig udpegning, validering af beviser og verifikation af, at ansøgeren er indehaver af beviserne. I EU fastlægger eIDAS-forordningen (EU) nr. 910/2014, artikel 8, sikringsniveauerne lav, betydelig og høj for anmeldte ordninger for elektronisk identifikation, og ændringen fra 2024, forordning (EU) 2024/1183, forpligter medlemsstaterne til at tilbyde europæiske digitale identitetstegnebøger (EUDI-wallets), der rummer verificerbare attributter under brugerens egen kontrol.

Identiteter er ikke kun menneskelige. Enheder, workloads, servicekonti og AI-agenter har alle brug for identiteter, og i cloudmiljøer er der typisk langt flere ikke-menneskelige identiteter end mennesker. Rammeværker som SPIFFE giver workloads URI-identifikatorer (spiffe://trust-domain/path) understøttet af kortlivede certifikater eller JWT'er. Identitetsstyring (identity governance) binder delene sammen: Én identitet, hentet fra HR eller et register, forgrener sig til mange konti, hver med loginoplysninger og rettigheder, og når identiteten nedlægges, bør det slå igennem på dem alle. At blande lagene sammen, fx at behandle en mailadresse som selve personen, er en grundårsag til både voksende rettigheder og huller i revisionssporet.