Avast se po spojení s americkým konkurentem NortonLifeLock v transakci za 8,6 miliardy dolarů vrhá do úplně nového byznysu. Chce vybudovat systém pro takzvanou decentralizovanou identitu (Self-Sovereign Identity, SSI), která je postavená na blockchainu. Vyniká třeba tím, že uživatelé vlastní svá data a protistraně poskytují pouze to, co je potřeba. Někde to může být ověření věku, jinde adresa pro doručení zboží.
Avast chce být poskytovatelem infrastruktury pro tento systém a zároveň zajistit spolupráci s dalšími decentralizovanými systémy. Mohla by tak vzniknout konkurence pro tradiční centralizované služby jako Bank ID, Apple ID, Google Account a podobně. „Chceme umožnit fundamentální změny správy identity lidí na internetu,“ popisuje v rozhovoru pro Lupu technický ředitel Avastu Michal Pěchouček.
Avast už pro tyto účely koupil dva zahraniční startupy Evernym a SecureKey a najal například šéfa identit z MasterCard. Projekt SSI vidí jako dlouhodobý a chce do něj investovat. To se projevilo i na poklesu jeho ziskovosti v posledním půlroce.
Proč jste se rozhodli jít do decentralizované identity?
Jsme kyberbezpečnostní firma zaměřená na koncové uživatele. Ověřování, přístup, správa identit, hesel, práce s privátními údaji, to jsou dnes ohromné vektory útoků. Svět se posouvá od útoků na zařízení k útokům na lidi a jejich data a identity. Když v ochraně identit nebudeme dělat byznys, budeme ve slabší pozici zajištění bezpečnosti.
Ondřej Vlček uváděl, že spojení s Nortonem je z části dané tím, že je silný právě v ochraně identit.
Norton se zabývá oblastí identity theft protection, tedy ochranou proti krádeži identit. Avast zároveň má ambici být v byznysu, kde budeme lidem identitu spravovat. Chceme být její správci. Máme ambici vytvořit decentralizovanou platformu na internetu (trust layer), která bude sloužit k tomu, že se lidé budou moci bezpečnějším, autonomnějším a svobodnějším způsobem přihlašovat k službám, prokazovat svoji identitu, skutečnosti o sobě, a to aniž by k tomu potřebovali centrální autoritu. Celkově tomu říkáme digital trust.
V decentralizované části se odpíchnete od akvizice firmy Evernym?
Přesně tak. Evernym je pionýr a lídr v oboru decentralizované identity. Jako první dokázal postavit potřebnou platformu a zároveň jsou lidé z Evernymu součástí všech uskupení navrhujících standardy toho, jak nových svět identit bude vypadat a jak spolu budou aplikace, webové stránky či servery komunikovat, aby ověřily uživatele. Drummond Reed, jeden ze zakladatelů Evernymu, o SSI také napsal knihu.
Jakým způsobem chcete vybudovat ekosystém a zajistit, aby se uživatelé mohli se svojí decentralizovanou identitou postavenou na blockchainu někam přihlásit?
To je značný problém. V Česku například vidíme, že aktivity kolem Bank ID, což samozřejmě není SSI, jsou namířeny směrem k přístupu do bank nebo státních služeb. Což je skvělé, ale naší ambicí je dát správu identit lidem a byznysu, včetně toho drobného. Příklad: provozovatel e-shopu s pivama si díky SSI bude moci ověřit plnoletost uživatele, aniž by se o daném zákazníkovi dozvěděl cokoliv jiného (SSI umožňuje uživateli kontrolu nad tím, jaká data protistraně poskytuje – poznámka redakce). A zároveň obchodník bude údaj o uživateli mít kryptograficky potvrzený a nebude mít data, která mít nechce, a nebude riskovat pokuty a podobně.
Takže se pustíte do B2B byznysu a například přímo budete chodit za provozovateli oněch pivních e-shopů, aby si SSI integrovali?
Je to naše ambice, příležitost tam je. Abychom se lépe odpíchli od země, kromě Evernymu jsme koupili startup SecureKey, který už s tím má zkušenosti a rozjetý byznys v Kanadě. Je to tam největší poskytovatel správy identity.
Na jakém blockchainu vaše SSI poběží? Bude to něco typu Ethereum a Solana, nebo vlastní blockchain?
Jsou dvě varianty. Evernym i SecureKey mají vlastní implementace blockchainu. Jsme ve fázi technologických úvah, jak s tím naložit. Od akvizic uplynula krátká doba, takže ještě nemáme rozhodnuto. Výběr ale budeme dělat s maximálním ohledem na otevřenost, transparentnost a možnost co nejširšího využití. Chceme, aby nad daným blockchainem mohli všichni psát své aplikace.
SecureKey je samonosná firma a díky vlastní implementaci blockchainu už funguje na trhu. Zároveň máme Evernym, což je inovátor, který je blízko open source komunitě, uživatelům a standardům. Chtěli bychom využít obojího.
Jak se dnes SecureKey v Kanadě běžně používá?
Hlavním nasazením je ověřování občanů skrze službu Verified.me. Pomocí ní se lidé, podobně jako u nás přes Bank ID, primárně přihlašují do služeb státních institucí. Nepoužívá se ale infrastruktura bank.
Což je dost odlišná myšlenka, kterou asi bude těžké prosadit.
Základní myšlenkou, kterou bychom se od Bank ID chtěli odlišit, je to, že nechceme, aby banka byla uprostřed. Banka je velmi dobrý ověřovatel identit, protože o uživatelích má hodně údajů a mnoho o nich ví. Ale my chceme nabídnout alternativu, kde uživatel k prokázání toho, že absolvoval kurz záchranáře, nebude potřebovat žádnou banku, stát, Google nebo Facebook. Jde o to vytvořit způsob verifikace nezávislý na centrálních identitách. Osobně si myslím, že rostoucí požadavky lidí na svobodu na internetu vytvoří i požadavky na zvýšení nezávislosti na centrálních internetových obrech.
Jak náročné to bude na infrastrukturu? Například Rockaway provozuje nody pro Solanu, a to jsou hodně náročné stroje.
Ano, je to poměrně „žravá“ záležitost, ale prozatím nepůjdu do detailu. Nebojím se toho. Budeme inovovat stejnou rychlostí, jakou se inovují různé varianty blockchainu. Ty jsou čím dál méně náročnější. Cena za transakci klesá – dříve exponenciálně, dnes lineárně. Asi nebudeme schopní uživatele obsloužit tak levně jako v případě našeho bezplatného antiviru (u Avastu jsou to řádově centy na uživatele – poznámka redakce), ale skrze škálu a inovace dosáhneme na dobré parametry.
Kde vznikl impuls, že se do byznysu tohoto typu vrhne velká firma typu Avast? Prozatím je to spíše záležitost startupů, nebo malých interních oddělení, která s SSI dělají experimenty.
Také jsme měli takové oddělení, ze kterého vzešlo to, že koncept funguje. Jakmile jsme tomu uvěřili technologicky a byznysově, hledali jsme další kroky. Najali jsme Charlieho Waltona jako seniorního viceprezidenta pro digitální identitu. Dříve byl v MasterCard zodpovědný za služby ID. Poté následovaly zmiňované akvizice, které už táhl právě Charlie. Nebylo to tedy tak, že by Ondřej Vlček sestoupil z hory a řekl, že budeme dělat blockchain.
Zároveň vidíme, co se na internetu v bezpečnosti děje a kde jsou obchodní příležitosti. Například se ukazuje, že i čistá správa hesel může být velký byznys. Problém ochrany identit existuje. Hledali jsme tedy v tomto oboru onu slavnou další velkou věc.
Jak chcete docílit toho, aby SSI bylo naprosto jednoduché pro běžného uživatele na internetu?
Je to jedna z hlavních priorit, které chceme řešit. Takový systém musí být bezpečný, decentralizovaný a nezávislý, musí zajišťovat soukromí a zároveň se musí jednoduše používat. V Avastu máme zkušenosti s „neviditelnými aplikacemi“. Antivirus je nástroj, o kterém ideálně nechcete vědět. U identit by to ideálně mělo být podobné. Technologii chceme od lidí odstiňovat. Dělá to z toho problém na roky.
Jak se stavíte k interoperabilitě?
Interoperabilita je to, čeho chceme docílit, a je to klíčová role Evernymu. Jeho mantrou je interoperabilita a otevřený zdrojový kód. Nechceme, aby ve správě identity existovalo nějaké Avast ID, které nahradí Microsoft ID nebo Apple ID. Chceme být ti, kdo umožní fundamentální změnu správy identity na internetu. Nechceme být centralizovaným hráčem, ale tím, kdo umožní změny. Musíme si tvrdě odpracovat, aby ostatní hráči chtěli používat náš back-end. Když někde budou nějaké triky, nikdo to nebude chtít používat. Trochu stinnou stránkou je to, že něco takového je hodně drahé. Vyvinout otevřený kód, který používá komunita, je výrazně dražší, než když si ho firma udržuje sama pro sebe.
To znamená, že udržovaná dokumentace a podobně zvyšuje náklady?
Ano. Dále je potřeba dělat podporu dalším vývojářům a tak dále. Na druhou stranu zase od komunity dostanete výsledky jejich práce.
Počítáte tedy s tím, že mezi sebou bude komunikovat více systémů a blockchainů?
Ano, od toho se nastavují standardy. Mimo jiné se v nich řeší, jak docílit toho, aby si jednotlivé back-endy „povídaly“ mezi sebou. Když back-endy budou navrženy tak, aby odpovídaly standardům navrženým v komunitě, bude existovat cesta, jak docílit interoperability. Jak přesně, to zatím neumím říci, ale ambice zde taková je. Systém musí fungovat tak, aby v něm nehrála roli pouze jedna firma. Zároveň když systém stavíte od začátku otevřeně, výrazně se snižuje bariéra pro vstup pro další hráče.
Celý tento identitní byznys postavený na blockchainu je pro vás zřejmě dlouhodobý projekt, protože se finanční přínos zřejmě projeví až za relativně dlouho.
Určitě ano. Je to pro nás velká věc. Aby to pro Avast mělo transformativní dopad, je potřeba vymyslet, jak systém půjde z kanadských bank a státního sektoru překlopit do normálního světa a malého podnikání. Máme podporu představenstva. To ostatně schválilo nákup dvou zmiňovaných firem, které jsme rozhodně nekupovali jako zkažené zboží pod cenou.
Máte už vymyšlený obchodní model? Chcete vydělávat na podpoře, získávat provize z transakcí, …?
Potenciál alokovat hodnotu je primárně v B2B. V současném světě jsou peníze v tom, že máte data a jste nad nimi schopni stavět. To v decentralizovaném světě nejde a nepůjde. Hodnotu tedy vidíme v redukci podvodů. Dnešní e-commerce a byznys na internetu má v sobě daň v podobě podvodů, o kterých se statisticky ví a pracuje se s nimi. Moderní cesty správy identit sníží nebezpečí podvodů, takže budou generovat hodnotu. Věříme, že byznysoví uživatelé budou ochotní platit za to, že mají bezpečnější transakce. Poplatek firmám jako Visa nebo MasterCard má nějakou výši, a to i z toho důvodu, že v něm jsou započítány náklady na podvody. Když budete schopní podvody odstranit, snížíte transakční náklady a můžete si říci o podíl.
Jak velkým problémem může být odpor stávajícího systému a hráčů na trhu?
Z vlastních investic do této oblasti vidím, že jde o strašně zastaralý obor. Tento obor pohání obrovské peníze, tím pádem jsou velké změny problém. Technologické inovace ve fintechu budou svět měnit. Odpor na straně bank bude velký, ale s tím dlouhodobě nic neudělají. Líbilo by se bankám, kdyby tady nebyly kryptoměny? Určitě ano, ale ony tady jsou a banky s tím nic nenadělají. A budou tady i další věci jako kryptoassety, tokenizovaná bezpečnost a další. Banky musí umět pracovat s trendy, které tady jsou. Dnes už často vidí, že je pro ně výhodné být toho součástí. I proto věřím, že budou chtít být součástí naší myšlenky, než se jí bránit.
Může nastat odpor i tradičních dodavatelů IT do tohoto světa?
Je to možné, ale na druhou stranu se podívejte na IBM, která je dnes díky Hyperledgeru hráčem v blockchainu. Původně jsem si myslel, že do toho naskočili spíše z módy, ale dnes obhospodařují seriózní objemy transakcí. Věřím tomu, že další velké firmy udělají podobné kroky.
Budete popisované technologie vyvíjet také v Česku?
Většina inženýrského týmu SecureKey je v Kanadě. Evernym je americký, ale rozprostřený. Fáze nula se odehrává zejména v SecureKey, ale naší ambicí je propojit týmy do té míry, že nebude existovat antivirový a identitní tým, ale budou fungovat dohromady. Máme tradici udržovat technologická centra v Praze a Brně a na tom se nic měnit nebude.
ČLÁNKY DO MAILU