1. Wprowadzenie

CyberID jest aplikacją i usługą tożsamości cyfrowej, która ma pełnić w ekosystemie Cyberspace rolę centralnej warstwy zaufania. Nie jest zwykłym kontem użytkownika, prostym logowaniem ani kolejnym profilem społecznościowym. To osobny globalny serwis tożsamości w modelu SSI, czyli Self-Sovereign Identity — suwerennej tożsamości cyfrowej, w której użytkownik ma kontrolę nad tym, kim jest, jakie dane posiada, komu je pokazuje i w jakim zakresie je ujawnia. CyberID jest projektowany jako odpowiednik rozwiązań typu „Zaloguj przez Google” czy „Sign in with Apple”, ale z istotną różnicą: jego podstawą nie jest wyłącznie wygoda logowania, lecz zweryfikowana tożsamość, kryptograficzne poświadczenia, portfel użytkownika, podpisy dokumentów i dowody zapisane w warstwie blockchain — bez ujawniania danych osobowych na łańcuchu.

W praktyce CyberID ma odpowiadać na jedno z najważniejszych pytań nowej gospodarki cyfrowej: jak udowodnić, że dana osoba, organizacja, dokument, podpis, certyfikat lub działanie są prawdziwe, aktualne i wiarygodne, a jednocześnie nie tworzyć kolejnej scentralizowanej bazy wrażliwych danych. Aplikacja łączy kilka warstw: logowanie, portfel tożsamości, poświadczenia cyfrowe, Aurę zaufania, podpis dokumentów, zgodę użytkownika, weryfikację przez zewnętrzne usługi oraz kotwiczenie dowodów w blockchainie. Dzięki temu CyberID nie jest dodatkiem do Cyberspace, ale jednym z jego fundamentów.

2. Czym jest CyberID

CyberID to cyfrowy portfel tożsamości i jednocześnie dostawca tożsamości dla innych usług. W dokumentacji projektowej został określony jako osobny globalny serwis tożsamości SSI/IdP. Oznacza to, że CyberID ma własną logikę, własne API, własny panel użytkownika, własny panel administratora i własną warstwę bezpieczeństwa, a inne platformy mogą z niego korzystać jako tak zwane Relying Parties, czyli usługi polegające na tożsamości potwierdzonej przez CyberID.

Najważniejsze funkcje CyberID można opisać w trzech wymiarach. Pierwszy to logowanie: użytkownik może używać CyberID do bezpiecznego uwierzytelniania w innych usługach, podobnie jak używa dziś konta Google lub Apple, ale z większym naciskiem na kontrolę danych i poziom zaufania. Drugi wymiar to portfel: użytkownik posiada cyfrowe poświadczenia, takie jak status Aury, potwierdzenie e-maila, telefonu, KYC, certyfikaty zawodowe, reputację lub w przyszłości poświadczenia EUDI. Trzeci wymiar to warstwa dowodowa: ważne zdarzenia, takie jak utworzenie tożsamości, wydanie poświadczenia, zmiana statusu, podpis dokumentu czy rotacja kluczy, mogą zostać zakotwiczone w blockchainie jako kryptograficzny dowód czasu i integralności.

CyberID nie ma zastępować wszystkich aplikacji w ekosystemie. Jego zadaniem jest potwierdzanie, kim jest użytkownik, jaki ma poziom zaufania i czy dany podpis lub poświadczenie jest ważne. Inne systemy — takie jak Profilio, CyberspacePortal czy lubbezposrednio — pozostają osobnymi bytami i korzystają z CyberID jako z warstwy tożsamości. To bardzo ważne rozróżnienie: Profilio może być miejscem pracy, usług, społeczności lub profilu zawodowego, a lubbezposrednio może obsługiwać głosowania i działania społeczne, ale źródłem prawdy o tożsamości i statusie zaufania ma być CyberID.

3. Jak działa tożsamość w CyberID

Podstawą techniczną CyberID są identyfikatory DID, czyli Decentralized Identifiers. DID to cyfrowy identyfikator, który może wskazywać na użytkownika, organizację lub inny podmiot bez potrzeby opierania się wyłącznie na tradycyjnej bazie kont. W CyberID przewidziano podejście wielowarstwowe: natywny did:cyberspace, który jest powiązany z ekosystemem i docelowo kotwiczony w łańcuchu Cyberspace, oraz fasadę did:web dla interoperacyjności ze standardami zewnętrznymi.

Tożsamość użytkownika jest oparta na dwóch rodzajach kluczy. Pierwszy to klucz suwerenny Ed25519, wyprowadzany z frazy odzyskiwania, czyli 12 słów. Ten klucz jest korzeniem tożsamości i pozwala na odzyskanie kontroli nad portfelem. Jest też mostem do wcześniejszych rozwiązań ekosystemu, w szczególności identyfikatora @PL-U- używanego we wszystkich zagregowanych w cyberprzestrzeni Cyberspace. Drugi rodzaj to klucze urządzeń ES256/P-256, które docelowo mają działać w Secure Enclave na iOS lub Android Keystore. Dzięki temu użytkownik może mieć jeden suwerenny rdzeń tożsamości, ale wiele bezpiecznie sparowanych urządzeń.

W praktyce działa to tak: użytkownik zakłada konto, tworzy lub łączy portfel, otrzymuje swój identyfikator i może następnie parować urządzenia, logować się, zatwierdzać operacje, prezentować poświadczenia oraz podpisywać dokumenty. Klucz prywatny użytkownika nie powinien opuszczać urządzenia. Serwer CyberID przechowuje metadane, statusy i zaszyfrowane dane tam, gdzie jest to konieczne, ale nie przejmuje suwerennego klucza użytkownika. To założenie ma fundamentalne znaczenie, bo odróżnia CyberID od zwykłego konta przechowywanego wyłącznie w centralnej bazie.

4. Aura, poświadczenia i poziom zaufania

Jednym z najbardziej charakterystycznych elementów CyberID jest Aura. Aura nie jest zwykłą oceną profilu ani marketingową plakietką. To kryptograficzny status zaufania w ekosystemie, który ma wynikać z poświadczeń i poziomu weryfikacji użytkownika. W dokumentacji zaplanowano model poziomów Aury, powiązany między innymi z potwierdzeniem e-maila, telefonu, aktywnością, KYC, reputacją, certyfikatami zawodowymi oraz w przyszłości z mObywatelem, EUDI lub innymi źródłami zaufania, które umożliwią m.in. podpisywanie podpisem kwalifikowanym dowolnych dokumentów w sposób akceptowany obecnie już w 60 krajach świata.

Poświadczenia w CyberID mają być wystawiane jako SD-JWT VC, czyli Verifiable Credentials z selektywnym ujawnianiem danych. Oznacza to, że użytkownik nie musi pokazywać całego zestawu informacji, żeby udowodnić wybraną cechę. Może na przykład potwierdzić poziom zaufania, status weryfikacji albo uprawnienie bez ujawniania pełnych danych osobowych. To podejście jest ważne zarówno dla prywatności, jak i dla zgodności z RODO.

Istotna jest również zasada, że AuraCredential nie zawiera danych osobowych. Aura ma mówić o poziomie zaufania, statusie i wyniku weryfikacji, ale nie powinna zawierać imienia, nazwiska, PESEL-u, adresu czy numeru dokumentu. Dane wrażliwe trafiają wyłącznie do chronionej warstwy PII Vault w telefonie użytkownika, natomiast do usług zewnętrznych i do łańcucha przekazywane są wyłącznie informacje minimalne lub kryptograficzne dowody.

Dzięki Aurze system Cyberspace może odróżniać użytkowników deklaratywnych od użytkowników zweryfikowanych. Osoba z niskim poziomem może korzystać z prostych funkcji, natomiast operacje wyższego ryzyka — na przykład podpis dokumentu, udział w ważnym procesie np. oddanie głosu wyborczego czy e-konsultacje, reprezentowanie organizacji czy uzyskanie wyższego statusu reputacyjnego — mogą wymagać wyższego poziomu weryfikacji.

5. „Zaloguj przez CyberID” — rola wobec innych platform

Jedną z kluczowych funkcji aplikacji jest „Zaloguj przez CyberID”. To mechanizm, dzięki któremu zewnętrzna platforma nie musi samodzielnie budować pełnej infrastruktury tożsamości, KYC, portfela, zgód i statusów. Może stać się Relying Party, zarejestrować aplikację, zweryfikować domenę, określić zakres danych, których potrzebuje, a następnie przekierować użytkownika na ekran zgody CyberID. Użytkownik widzi, kto prosi o dostęp, w jakim celu, jakie dane mają zostać ujawnione i może zdecydować, czy wyraża zgodę.

CyberID działa tutaj zgodnie z modelem OIDC Authorization Code. To oznacza, że aplikacja zewnętrzna nie otrzymuje hasła użytkownika, nie dotyka jego kluczy prywatnych i nie pobiera danych ponad zadeklarowany zakres. Backend zewnętrznej aplikacji wymienia kod autoryzacyjny na token i otrzymuje tylko te claimy, które są dozwolone i zaakceptowane. Mechanizm chroni przed nadmiarowym żądaniem danych, czyli overaskingiem. Jeśli aplikacja poprosi o więcej, niż ma prawo otrzymać, CyberID może odciąć nadmiarowe zakresy.

W roli systemowej oznacza to, że CyberID staje się bramą zaufania dla całego Cyberspace. Profilio, CyberspacePortal, lubbezposrednio i przyszłe aplikacje czy platformy mogą korzystać z jednego standardu logowania i jednego źródła prawdy o statusie tożsamości. Nie muszą kopiować danych osobowych do swoich baz. Nie muszą też nadawać własnych, niespójnych poziomów zaufania. Tożsamość powstaje raz w CyberID, a inne platformy korzystają z niej za zgodą użytkownika.

6. Prywatność i RODO jako fundament

CyberID został zaprojektowany według zasady minimalizacji danych. Najważniejsze założenie brzmi: zero danych osobowych na blockchainie. Do łańcucha nie trafia imię, nazwisko, PESEL, adres, skan dokumentu ani zaszyfrowany dokument. Do łańcucha trafia wyłącznie privacy hash, czyli nieodwracalny skrót kryptograficzny zdarzenia. Dzięki temu blockchain może potwierdzić, że dany fakt istniał w określonym czasie i nie został zmieniony, ale nie ujawnia, kogo dotyczył ani co dokładnie zawierał.

Dane wrażliwe są przechowywane w PII Vault, czyli w warstwie przeznaczonej do szyfrowanego przechowywania danych osobowych. Dokumentacja przewiduje szyfrowanie AES-GCM, oddzielenie PII od pozostałych metadanych, ograniczenia dostępu, audyt i możliwość realizacji praw użytkownika wynikających z RODO. W aktualnym stanie projektu opisano również panel operatorski RODO, obejmujący wyszukiwanie danych, eksport DSAR oraz usunięcie danych użytkownika.

Prywatność wzmacniają także dwa przyszłe lub częściowo wdrażane mechanizmy (czerwiec 2026): Pairwise DID oraz ZKP. Pairwise DID oznacza, że różne platformy nie powinny dostawać tego samego globalnego identyfikatora użytkownika, lecz identyfikator zależny od relacji. ZKP, czyli dowody zero-knowledge, pozwolą w przyszłości udowadniać cechy bez ujawniania wartości, na przykład pełnoletniość bez ujawniania daty urodzenia. To kierunek zgodny z ideą suwerennej tożsamości: użytkownik udowadnia tyle, ile trzeba, ale nie więcej.

7. Blockchain jako warstwa dowodu, a nie baza danych

Rola blockchaina w CyberID nie polega na przechowywaniu profili użytkowników ani dokumentów. Blockchain pełni funkcję warstwy dowodowej. Gdy w systemie zachodzi ważne zdarzenie — na przykład utworzenie DID, wydanie poświadczenia, zmiana statusu, unieważnienie credentiala albo podpis dokumentu — system tworzy skrót kryptograficzny i zapisuje go jako anchor. W ten sposób można później wykazać, że dane zdarzenie miało miejsce i że jego treść nie została zmieniona.

W dokumentacji przyjęto, że CyberID ma korzystać z łańcucha Cyberspace, bez smart kontraktów, przez model anchorowania. To ważne, ponieważ system nie próbuje kopiować logiki Ethereum czy typowych smart kontraktów. Zamiast tego używa prostszego modelu: typ zdarzenia, referencja, hash, dowód i źródło. Daje to spójność z istniejącą infrastrukturą do e-votingu inspirowaną projektami i wynikami badań B+R nad projektami iVoting/lubbezposrednio, ale jednocześnie potężnie rozwiniętą i przemodelowaną, co pozwala rozszerzać system o nowe typy zdarzeń, takie jak tożsamość, Aura, podpisy i statusy.

Obecnie realne połączenie z łańcuchem pozostaje jednym z kluczowych elementów do produkcyjnego domknięcia na czym trwają intensywne prace. To jednak nie blokuje samego modelu aplikacji: logowanie, portfel, panel, OIDC, poświadczenia, KYC i podpisy mogą działać, a anchor może zostać podłączony do realnego węzła po domknięciu warstwy blockchain. Planowane uruchomienie łańcucha to sierpień 2026 roku.

8. Podpis dokumentów

CyberID ma również pełnić funkcję narzędzia do podpisywania dokumentów. W wersji podstawowej, już opisanej jako wdrożona w modelu A, użytkownik może podpisać dokument przez obliczenie jego hasha lokalnie w przeglądarce, bez wysyłania treści pliku na serwer. Następnie podpis i hash są rejestrowane w systemie, a publiczna weryfikacja pozwala sprawdzić, czy dany plik odpowiada podpisanemu hash’owi i kto go podpisał, przy zachowaniu pseudonimizacji.

Docelowo podpis w CyberID ma mieć dwa równoległe tory. Pierwszy to suwerenny podpis oparty o klucz użytkownika i kotwicę on-chain. Drugi to standardowy tor PAdES/eIDAS, w którym podpis jest osadzany w PDF, a w przyszłości może zostać rozszerzony o kwalifikowany podpis elektroniczny przez partnera QTSP. Dzięki temu CyberID nie ogranicza się do własnej kryptografii, ale buduje most między suwerenną tożsamością a uznanymi standardami prawnymi.

W kontekście systemu Cyberspace podpis dokumentów ma ogromne znaczenie. Platforma może obsługiwać nie tylko logowanie, ale również zawieranie umów, potwierdzanie oświadczeń, podpisywanie dokumentów przez wiele osób (publiczne zbiórki podpisów z mocą podpisu kwalifikowanego transgranicznie w ponad 60 jurysdykcjach świata), weryfikację podpisów oraz budowanie paszportu dokumentu. Każdy dokument może otrzymać niezależny dowód integralności, a w przyszłości również warstwę kwalifikowaną dzięki integracji z QTSP.

9. Aplikacje natywne i web

CyberID działa obecnie przede wszystkim jako zaawansowany produkt webowy, ale docelowo aplikacje natywne iOS i Android mają być bogatsze niż web i dostępne już sierpniu 2026 w sklepach Apple i Android. To naturalne dla systemu SSI, ponieważ klucze, portfel, biometria, Secure Enclave, Android Keystore, mdoc NFC/BLE i push-approval są funkcjami urządzenia mobilnego. Web pełni rolę panelu zarządzania, miejsca logowania, ekranu zgody, portalu użytkownika, panelu administratora i publicznej weryfikacji.

Taki podział jest logiczny. Operacje wysokiego ryzyka, takie jak podpis dokumentu, zatwierdzenie logowania, prezentacja credentiala czy wykorzystanie klucza sprzętowego, powinny dziać się na urządzeniu użytkownika. Web może inicjować proces, pokazywać QR, prowadzić użytkownika przez flow i prezentować wynik, ale właściwa autoryzacja powinna zostać wykonana w aplikacji, najlepiej z wykorzystaniem biometrii i bezpiecznego magazynu kluczy.

W obecnym stanie dokumentacji wskazano, że web i backend są już mocno rozwinięte, natomiast aplikacje natywne pozostają kolejnym etapem. Jednocześnie projekt zakłada reuse z działającej platformy lubbezposrednio: szczególnie portfel BIP39→Ed25519, biometrię, wzorce 2FA, push approval i obsługę kluczy.

10. Panel administratora i governance

CyberID nie jest tylko aplikacją użytkownika. To także system operatorski, który wymaga kontroli, audytu i zarządzania bezpieczeństwem. Panel administratora został zaprojektowany jako osobna powierzchnia governance. Obejmuje między innymi zarządzanie językami, ustawieniami AI, szablonami e-mail, dokumentami prawnymi, aplikacjami RP, kolejką KYC, RODO, logiem audytu, alertami bezpieczeństwa oraz poświadczeniami/Aurą. Dostęp do panelu wymaga osobnego logowania i obowiązkowego 2FA step-up.

To istotne, ponieważ CyberID staje się punktem zaufania dla wielu innych usług. Jeśli system ma potwierdzać tożsamość, wydawać poświadczenia, obsługiwać KYC i podpisy dokumentów, musi mieć silny model kontroli operatora. Dokumentacja przewiduje role administracyjne, audyt append-only, ograniczenie dostępu do danych wrażliwych i docelowo zasadę czworga oczu dla najbardziej krytycznych operacji.

W systemie Cyberspace panel administratora CyberID pełni funkcję centrum nadzoru nad warstwą tożsamości. To tutaj operator może kontrolować aplikacje zewnętrzne, ryzyko RP, status KYC, dokumenty prawne, zgody, audyt i bezpieczeństwo. Dzięki temu Cyberspace nie jest zbiorem luźnych aplikacji, lecz ekosystemem z centralną, zarządzalną i audytowalną warstwą zaufania.

11. Rola CyberID w systemie Cyberspace

Najkrócej: CyberID jest warstwą tożsamości, zaufania i dowodu dla całego systemu Cyberspace. Jeżeli Cyberspace ma być ekosystemem usług, społeczności, głosowań, podpisów, reputacji, profili, organizacji i aplikacji partnerskich, to CyberID odpowiada za pytanie: kto wykonuje daną czynność, czy jest zweryfikowany, jaki ma poziom zaufania, jakie poświadczenia posiada i czy dany podpis lub dokument można zweryfikować.

CyberID porządkuje relacje między projektami. Profilio i CyberspacePortal nie muszą utrzymywać własnych niespójnych statusów Aury. Platforma lubbezposrednio nie musi samodzielnie budować pełnego KYC dla każdego procesu. Partnerzy zewnętrzni mogą integrować „Zaloguj przez CyberID” zamiast tworzyć własne mechanizmy zaufania. Łańcuch Cyberspace pełni rolę korzenia dowodowego, a Cyberspace PSA jako wystawca tożsamości dostarcza usługę użytkownikom i partnerom.

W tym sensie CyberID jest czymś więcej niż aplikacją. Jest cyfrowym suwerennym paszportem użytkownika w ekosystemie Cyberspace, w którym tożsamość utrzymujesz i zarządzasz nią w swoim telefonie będąc w centrum orbitowania narzędzi i platform bez konieczności dawania wiary temu co dzieje się z Twoimi danymi w korporacyjnych strukturach dużych big techów. Pozwala przejść od świata, w którym każda platforma trzyma własne dane, własne hasła, własne weryfikacje i własne ryzyka, do świata, w którym użytkownik ma jeden portfel tożsamości, kontroluje swoje dane, ujawnia je selektywnie, podpisuje dokumenty i korzysta z usług bez oddawania pełnej kontroli nad swoją cyfrową osobą. Likwiduje wielkie ryzyka wycieków danych, które narażają na gigantyczne kary finansowe MŚP oraz obniżają koszty obsługi RODO dla większych baz danych związane z konieczności zatrudniania Inspektorów Ochrony Danych Osobowych.

12. Podsumowanie

CyberID to aplikacja tożsamości cyfrowej nowej generacji. Łączy logowanie, portfel SSI, DID, klucze kryptograficzne, poświadczenia VC, Aurę zaufania, KYC, zgodę użytkownika, podpis dokumentów, prywatność, RODO i blockchainowy dowód integralności. W warstwie użytkowej ma być prosta: załóż CyberID, potwierdź tożsamość, zarządzaj danymi, loguj się bezpiecznie, podpisuj i weryfikuj. W warstwie technicznej jest jednak systemem złożonym, którego celem jest zbudowanie fundamentu zaufania dla całego Cyberspace.

Najważniejsza idea CyberID brzmi: to użytkownik powinien mieć cyfrową tożsamość w swoich rękach. Platformy mogą pytać o potwierdzone fakty, ale nie powinny kopiować i zawłaszczać całej tożsamości i zarabiać na danych użytkownika. Blockchain może potwierdzać integralność, ale nie powinien przechowywać danych osobowych. Administrator może zarządzać systemem, ale jego działania muszą być audytowane. Partner może korzystać z logowania, ale tylko w jasno określonym celu i zakresie.

Dlatego CyberID jest kluczowym elementem architektury Cyberspace. To warstwa, która nadaje całemu ekosystemowi wiarygodność, bezpieczeństwo i spójność. Bez niej poszczególne aplikacje byłyby tylko osobnymi usługami. Z CyberID mogą stać się połączonym systemem zaufania. Nowym Internetem więzi, wartości i zaufania.