Explicação das carteiras de credenciais verificáveis
Os sistemas de identidade auto-soberana (SSI) estão em desenvolvimento há já algum tempo e, embora a investigação esteja em curso desde o início do século, muitas pessoas assinalam a criação do Soverin e do Uport como os primeiros projectos dedicados de SSI (em 2015 e 2017, respetivamente). Desde então, tem havido um grande foco na normalização de conceitos e formatos de dados.
Os seguintes componentes de um sistema de credenciais verificáveis:
- Identificador distribuído (DID): Trata-se de um identificador que representa a credencial verificável. Tem o formato "did:method:value", em que o método é a forma específica como o DID é acedido e gerido e o valor é um valor-chave único. Os DIDs baseiam-se num documento DID (que tem os dados que representam a pessoa/negócio) e podem ser resolvidos para devolver o documento DID subjacente.
- Identificador de chave (KID): Identifica as chaves públicas (criptográficas) que devem ser utilizadas no processo de verificação de DIDs.
- Carteira SSI: A carteira blockchain onde são armazenadas as chaves privadas (PKs) ligadas às chaves públicas ligadas ao SSDID. Estas PKs são utilizadas para assinar transacções e podem ser armazenadas em carteiras locais (para um modelo mais distribuído) ou centralmente (para um sistema mais centralizado) ou pode ser criado um sistema em que as chaves são derivadas e armazenadas tanto em carteiras locais como centrais.
- Rede DLT: As transacções assinadas relacionadas com a verificação da identidade (e os processos associados) são transmitidas para uma rede blockchain, o que cria um registo imutável da transação e fornece uma "âncora de confiança" para o processo de identificação de credenciais verificáveis ou para as interações com outros processos relacionados. É possível utilizar redes de blockchain públicas ou privadas para este efeito.
- Provas de conhecimento zero (ZKPs): Uma função criptográfica para poder provar que um determinado objeto (digital) existe sem fornecer os detalhes do próprio objeto. Utilizada em sistemas SSID para provar que
As seguintes actividades são realizadas pelos seguintes intervenientes (essenciais) no sistema SSID. Podem ser acrescentados outros intervenientes (autoridades de governação, autoridades de registo de VC, etc.), mas não são essenciais para o fluxo de trabalho de criação, verificação e revogação de credenciais.
- Emissor: Emite as credenciais, gere os DID e revoga as credenciais.
- Verificador: Valida a autenticidade das credenciais através de um quadro de confiança.
- Detentores de credenciais verificáveis: A pessoa ou entidade que detém as credenciais na sua carteira.
Explicação dos casos de utilização de credenciais verificáveis
As credenciais verificáveis que utilizam uma âncora de confiança (que é verificada criptograficamente) podem ser utilizadas em qualquer sistema que pretenda utilizar uma identidade. No entanto, reunimos uma lista de casos de utilização comuns que temos visto no mercado.
- Passaportes digitais
- Validação da idade para serviços e bens para adultos
- Integração de clientes entre instituições/serviços
- Identificação segura para acções de serviços financeiros
- Certificados de educação e formação
- Proveniência de registos de saúde
- Proveniência da cadeia de abastecimento
- Sistemas de votação e de identificação governamental
As credenciais verificáveis e o futuro
Quão segura é a Internet e quão seguras são as chamadas por protocolo VOIP quando é tão fácil fazer-se passar por alguém e/ou piratear as suas contas através de tecnologias assistidas, como as deep fakes. Quão importante é que, quando se acede a operações bancárias pela Internet, se saiba a 100% que se está definitivamente a aceder ao banco (ou vice-versa, quando o banco verifica a identidade)? Muitas pessoas pensam que este é o maior desafio que temos de enfrentar nos próximos 10-20 anos, e é este o objetivo da Web 3.0.
A Web 3.0, ou a Web distribuída, é um novo modelo de Internet baseado na confiança. Enquanto que a Web 2.0 (a Web semântica) utilizava grandes fornecedores de identidade (Google, Microsoft, Facebook/Meta, etc.), a Web 3.0 define um modelo em que os indivíduos têm o direito de deter os seus dados identificáveis (através de credenciais verificáveis) e podem escolher como e com quem querem partilhar os seus dados. As carteiras de credenciais verificáveis e o SSID são componentes desta visão para uma Internet mais segura e fiável.
Mas não são apenas as comunidades tecnológicas que estão a pressionar para a utilização de credenciais verificáveis, os governos também o estão a fazer. A União Europeia emitiu um novo regulamento importante relativo à identificação eletrónica e aos serviços de confiança, denominado Regulamento de Identificação Eletrónica, Autenticação e Serviços de Confiança (eIDAS). Este regulamento cria um quadro para a utilização da identificação eletrónica e deve ser adotado por negócios e instituições na UE e está estreitamente ligado a credenciais verificáveis. Isto, combinado com o facto de a Infraestrutura Europeia de Serviços Blockchain (EBSI), concebida e mantida pela Comissão Europeia, ter concebido uma norma para carteiras de identidade digital denominada Carteira Europeia de Identidade Digital, mostra que, pelo menos na UE, a identidade digital está a ser levada a sério e que as principais administrações públicas estão a desenvolver quadros e soluções.
GFT e SSI
A GFT tem trabalhado em projetos de SSI nos últimos 5 anos. Estivemos envolvidos nos projetos mais inovadores dos países, nas implementações da carteira de identidade digital europeia (onde fomos os primeiros a implementar soluções de SSI) e também na pesquisa para clientes na iniciativa de credenciais verificáveis DC4EU. Na próxima série de blogues, faremos uma análise mais aprofundada dos projectos da GFT e explicaremos as diferentes abordagens à SSI em que temos vindo a trabalhar.
