Tradisjonell sikkerhet går ut på at den som eier tjenester og resurser vil beskytte disse mot misbruk og skade påført av andre. Autentisering og adgangskontroll er typiske eksempler på hard sikkerhet. Imidlertid er problemet ofte det motsatte.
Brukere har ofte behov for å beskytte seg mot de som tilbyr tjenester og resurser, fordi disse kan være villedende, feilaktige eller skadelige, som f.eks. ved online svindel.
Tradisjonell sikkerhet, som kan kalles hard sikkerhet i denne sammenheng, er i liten grad istand til gi adekvat beskyttelse mot den type trusler. Tillits- og ryktesystemer (trust and reputation systems) representerer en lovende type teknologi som kan beskytte mot slike trusler. Denne typen sikkerhet kan kalles myk sikkerhet.
Når man benytter eller kjøper tjenester gjennom Internett kan det være vanskelig å klage eller få erstatning hvis kvaliteten ikke holder mål. I elektronisk handel er kjøperen derfor relativt sårbar for tjeneste- og varetilbydere som ikke leverer hva de lover. Tilbyderens situasjone er som regel enklere fordi den gjerne mottar betaling før varen eller tjenesten blir levert. På grunn av denne skjevheten, og på grunn av ofte sviktende rammebetingelser i elektronisk handel, søker kundene gjerne tilbydere man kan ha stor tillit til.
Hensikten med det er opplagt: Selv om man ikke kan prøve varen eller tjenesten på forhånd, kan man likevel være viss på at kvaliteten er som forventer såfremt man har tillit, d.v.s. tilstrekkelig sterk tro på at tilbyderen er pålitelig. Å være istand til å vekke tillit er dermed en av de viktigste faktorer for å nå fram til brukerne når man tilbyr tjenester gjennom Internett.
Sett fra brukerens synspunkt er problemet å finne de mest pålitelige aktørene, noe som imidlertid kan være vanskelig fordi Internett fjerner oss fra tradisjonelle måter å omgås med hverandre. Fysisk og visuell omgang danner grunnlag for å innhente langt rikere informasjon enn hva som er mulig i online omgivelser. Tiden og kostnadene som kreves for å opprette en forretning med en god fysiske beliggenhet og tiltrekkende fasade, vitner om at de som står bak har seriøse hensikter, og ikke bare er ute etter kortsiktig profitt. Dette står i skarp kontrast til hvor enkelt det er å opprette visuelt tiltrekkende Web sider på Internett, som dermed gir lite informasjon om seriøsiteten til organisasjonen som står bak. Det er med andre ord vanskelig å skille klinten fra hveten på Internett.
Hensikten med tillits- og ryktesystemere er å kvantifisere tjenestekvalitet og aktørers pålitelighet. Det som trengs for å skape effektive tillits- og ryktesystemer i online omgivelser, er for det første å definere nye typer informasjon som kan utveksles mellom aktører for å bestemme rykte og pålitelighet, og for det andre å utnytte Internettets fenomenale effektivitet for utveksling og innsamling av denne informasjonen. På den måten kan det samles inn informasjon om bestemte aktører eller tjenester gjennom tilbakemelding fra andre parter som har hatt direkte erfaring. Ved hjelp av forskjellige metoder og algoritmer for å kombinere denne informasjonen kan det beregnes et mål for aktørens pålitelighet eller tjenestens kvalitet. Ved å gjøre denne informasjone åpent tilgjengelig, kan andre parter få et bedre grunnlag for å bestemme aktørens pålitelighet uten egen direkte erfaring.
Forskjellen mellom tillitssystemer (trust systems) og ryktesystemer (reputation systems) er noe subtil, og kan illustreres med følgende plausible utsagn:
- Jeg har tillit til deg på grunn av ditt gode rykte.
- Jeg har tillit til deg til tross for ditt dårlige rykte.
Det første utsagnet uttrykker at personens tillitsoppfatning er basert på den andres gode rykte. Det andre utsagned uttrykker at personen har privat informasjon, f.eks. gjennom personling erfaring eller et intimt forhold, som veier tyngre enn ryktet når tillitsoppatningen dannes. Et rykte uttrykker en felles pålitelighetsantagelse basert på åpent tilgjengelig informasjon, mans tillit uttrykker en subjektiv pålitelighetsantagelse, som både kan være basert på åpent tilgjengelig og på privat informasjon. I tilfelle man har personlig erfaring, teller den som regel mer enn annenhånds informasjon. Et ryktesystem gir prinsipielt samme resultat til alle bruker, mens et tillitssystem gir et personlig tilpasset resultat avhengig av hvem brukeren er.
eBay, Epinions, Amazon, Slashdot og Google er eksempler på tjenesteleverandører på Internett som benytter ryktesystemer. PGP er et eksempel på et tillitssystem for utveksling av kryptografiske nøkler. Tillits- og ryktesystemer må ikke nødvendigvis være tilknyttet og kontrollert av bestemte tjenestetilbyder, men kan være distribuerte systemer, eller systemer kontrollert av uavhengige parter.
Tillits- og ryktesystemer kan benyttes i nær sagt hver sammenheng der man utveksler tjenester gjennom Internett, fra ren elektronisk handel og Web-tjenester til P2P systemer. Ryktesystemer kan også benyttes for å måle kvalitet på tjenester som er knyttet til den virkelige verden. GuleSider.no kunne opprette et ryktesystem for alle annonsører som f.eks. ville gjøre det enklere å velge gode håndtverkere. En annen mulighet er å opprette et Internettbasert ryktesystem for å gi tilbakemelding om leger, slik at folk lettere kan velge riktig fastlege.
Tillits- og ryktesystemer har et enormt potensiale for å temme Internett og gjøre det til et langt tryggere sted å handle tjenester en det er idag. I tillegg til de mange Internettselskaper som integrerer ryktesystemer med tjenestene de tilbyr, fokuserer forskningsinstitusjoner verden rundt i stigende grad på tillits- og ryktesystemer, hvor MIT i USA teller blandt de mest prominente. Etter at man har mislykkes med å trygge Internett med hard sikkerhet, skal det bli spennende å se om vi kan greie det med myk sikkerhet.
For mere informasjon, se f.eks. http://databases.si.umich.edu/reputations/ .
