Desenhando APIs para Divulgação Seletiva de Identidade em Carteiras EUDI (PT-BR)

Granularidade Centrada no Usuário: Projete APIs que priorizem o controle do usuário, permitindo a divulgação seletiva apenas dos atributos de identidade necessários, em vez de credenciais inteiras.

Padronização e Interoperabilidade: Utilize padrões abertos como OpenID para Emissão (OID4VCI) e Apresentação (OID4VP) de Credenciais Verificáveis para garantir integração perfeita e ampla adoção em ecossistemas.

Provas que Preservam a Privacidade: Implemente técnicas criptográficas como Provas de Conhecimento Zero (ZKPs) para permitir a verificação sem revelar dados sensíveis subjacentes, aumentando a privacidade do usuário.

Gestão Robusta de Consentimento: Integre mecanismos de consentimento explícito e informado no fluxo da API, garantindo que os usuários compreendam e aprovem cada solicitação de divulgação de dados.

A Promessa da Divulgação Seletiva de Identidade nas Carteiras EUDI

A Carteira Europeia de Identidade Digital (EUDI) está prestes a revolucionar a forma como os cidadãos interagem com os serviços digitais, oferecendo uma maneira segura e conveniente de comprovar identidade e compartilhar dados pessoais. Um pilar dessa visão é a divulgação seletiva de identidade – a capacidade de indivíduos compartilharem apenas as informações específicas necessárias para uma transação, em vez de revelarem seu documento de identidade completo ou um amplo conjunto de atributos. Por exemplo, provar que se tem mais de 18 anos sem revelar a data exata de nascimento, ou confirmar residência em um país específico sem divulgar o endereço completo. Alcançar isso requer um design meticuloso de API.

Sistemas de identidade tradicionais frequentemente impõem uma abordagem de tudo ou nada. Ao apresentar uma carteira de motorista física, você revela sua foto, nome, endereço, data de nascimento e número da licença, mesmo que a única informação necessária seja sua idade. No domínio digital, isso se traduz em compartilhar blocos inteiros de dados de uma identidade digital. A Carteira EUDI, no entanto, visa capacitar os usuários com controle granular, aumentando significativamente a privacidade e reduzindo o risco de exposição excessiva de dados. Mas como traduzimos essa visão em designs de API práticos, seguros e interoperáveis?

Princípios Essenciais para o Design de API de Divulgação Seletiva

O design de APIs para divulgação seletiva de identidade nas Carteiras EUDI exige a adesão a vários princípios-chave:

1. Solicitação e Apresentação em Nível de Atributo

A API deve permitir que as Partes Verificadoras (VPs) solicitem atributos específicos, em vez de credenciais verificáveis (VCs) inteiras. Por exemplo, em vez de solicitar uma VC de "Carteira de Identidade Nacional", a VP deve ser capaz de solicitar "Data de Nascimento" e "Nacionalidade". A API da Carteira EUDI então facilita o consentimento e a seleção desses atributos individuais por parte do usuário a partir de suas VCs armazenadas.

Exemplo Prático: Verificação de Idade

• Solicitação de API Tradicional: POST /verificar-id com um payload esperando uma digitalização completa do documento de identidade.
• Solicitação de API Granular: POST /verificar-idade com um payload como { "atributos_solicitados": [ { "tipo": "idade_acima_de", "valor": 18 } ] }.

A Carteira EUDI do usuário recebe esta solicitação e, em vez de apresentar sua identidade completa, gera uma prova de que a idade do usuário é de fato superior a 18 anos, sem divulgar sua data exata de nascimento. Isso é frequentemente alcançado usando Provas de Conhecimento Zero (ZKPs).

2. Formatos Padronizados de Solicitação e Resposta

A interoperabilidade é fundamental para o ecossistema da Carteira EUDI. As APIs devem aderir a padrões estabelecidos para solicitar e apresentar credenciais verificáveis e seus atributos. O OpenID para Apresentação de Credenciais Verificáveis (OID4VP) é um padrão crucial aqui, definindo como as VPs podem solicitar VCs ou atributos específicos de uma Carteira, e como a Carteira responde com apresentações verificáveis.

Exemplo Prático: Comprovante de Residência

• Um serviço precisa confirmar que o usuário reside na Alemanha.
• Solicitação da VP (OID4VP): A VP constrói uma URL de solicitação de autorização contendo uma definicao_apresentacao que especifica a necessidade de uma credencial de "Comprovante de Residência", solicitando especificamente que o atributo "país" seja "Alemanha".
• Resposta da Carteira: A Carteira EUDI do usuário recebe isso, solicita o consentimento do usuário e então apresenta uma apresentação verificável que prova criptograficamente que o país de residência do usuário é a Alemanha, potencialmente sem divulgar o endereço completo ou outros detalhes do documento de comprovante de endereço subjacente.

3. Integração de Tecnologias de Aprimoramento de Privacidade (PETs)

Para realmente permitir a divulgação granular, as APIs precisam suportar PETs subjacentes, particularmente Provas de Conhecimento Zero (ZKPs). ZKPs permitem que um usuário prove que uma declaração é verdadeira (por exemplo, "Eu tenho mais de 18 anos") sem revelar qualquer informação adicional que permitiria ao verificador deduzir como essa declaração é verdadeira (por exemplo, a data exata de nascimento). Esta é a forma máxima de divulgação granular.

Design de API para ZKPs:

• A API deve especificar o tipo de prova exigida (por exemplo, uma ZKP para idade acima de 18) na solicitação.
• A API da Carteira seria então responsável por gerar esta ZKP a partir das credenciais armazenadas do usuário.
• A API da VP verificaria então a ZKP.

4. Gestão Robusta de Consentimento e Interface de Usuário

A divulgação granular não tem sentido sem o consentimento explícito e informado do usuário. O design da API deve incorporar mecanismos para que a Carteira EUDI apresente solicitações de consentimento claras, concisas e acionáveis ao usuário. Isso inclui:

• Listar claramente os atributos específicos solicitados.
• Declarar o propósito da divulgação dos dados.
• Identificar a Parte Verificadora.
• Permitir que o usuário aprove ou negue a solicitação.

A API deve retornar uma indicação clara do consentimento (ou negação) do usuário à Parte Verificadora.

Considerações Arquitetônicas e a Abordagem da Didit

A implementação desses princípios requer uma base arquitetônica robusta. A plataforma da Didit, projetada como uma solução de identidade completa, suporta inerentemente muitos desses requisitos através de seu design modular e foco no controle do usuário.

Primitivos de Identidade Modulares

A arquitetura da Didit é construída sobre 18 módulos composíveis, cada um representando um primitivo de identidade distinto, como verificação de documento de identidade, detecção de vivacidade ou triagem AML. Essa modularidade se alinha diretamente com a divulgação granular. Em vez de uma verificação de identidade monolítica, as empresas podem selecionar e combinar apenas os módulos necessários:

• Verificação de Documento de Identidade: Extrai pontos de dados específicos (por exemplo, nome, nacionalidade) em vez de compartilhar a imagem inteira.
• Estimativa de Idade: Fornece um booleano "e_maior_de_18" sem revelar a data exata de nascimento, ajustando-se perfeitamente às necessidades de verificação granular de idade.
• Face Match 1:1: Confirma a identidade contra uma foto de documento, mas os dados biométricos subjacentes não são compartilhados, apenas uma pontuação de correspondência.

Esses módulos podem ser orquestrados através do Construtor de Fluxos de Trabalho visual da Didit, permitindo que as empresas definam requisitos precisos de divulgação de dados para cada caso de uso, garantindo que apenas informações essenciais sejam processadas.

KYC Reutilizável e Compatibilidade com eIDAS2

O módulo "KYC Reutilizável" da Didit é um recurso inovador que se alinha com a visão da Carteira EUDI. Os usuários verificam uma vez e podem então reutilizar sua identidade em várias plataformas com reautenticação biométrica. Este sistema é projetado para ser compatível com o eIDAS2, o que significa que pode facilitar o compartilhamento de credenciais pré-verificadas com base no consentimento do usuário, minimizando divulgações de dados redundantes e otimizando as jornadas do usuário.

Segurança e Privacidade por Design

A Didit processa dados sensíveis como selfies na memória e os exclui, e os aplicativos recebem booleanos (por exemplo, "correspondencia_bem_sucedida") em vez de dados biométricos brutos. Essa abordagem de "privacidade por padrão" é crucial para construir confiança em sistemas de divulgação granular, pois garante que, mesmo quando os dados são usados temporariamente para verificação, eles são tratados com o máximo cuidado e não são armazenados persistentemente de forma desnecessária.

O Futuro da Identidade Digital

À medida que a Carteira EUDI ganha força, a demanda por APIs que suportem a divulgação de identidade granular e controlada pelo usuário só aumentará. Desenvolvedores e empresas devem abraçar esses princípios para construir sistemas que não apenas sejam compatíveis, mas também promovam a confiança e capacitem os indivíduos. Ao focar em solicitações em nível de atributo, alavancar padrões, integrar PETs e priorizar o consentimento do usuário, podemos desbloquear todo o potencial da identidade digital, tornando-a mais privada, segura e eficiente para todos.

Como a Didit Ajuda

A Didit oferece uma plataforma abrangente que simplifica a implementação da divulgação granular de identidade. Nossa abordagem modular permite que você construa fluxos de trabalho de identidade personalizados, solicitando apenas os pontos de dados específicos necessários para a verificação. Com recursos como Estimativa de Idade, KYC reutilizável e uma API projetada com a privacidade em sua essência, a Didit capacita as empresas a cumprir os requisitos futuros da Carteira EUDI e a oferecer uma experiência de usuário superior e que preserva a privacidade. Nosso compromisso com padrões abertos e segurança robusta garante que seus processos de verificação de identidade sejam à prova de futuro e confiáveis.

Pronto para Começar?

Explore como a plataforma de identidade flexível e segura da Didit pode aprimorar o onboarding de usuários e os esforços de conformidade. Visite nossa página de preços para ver nosso modelo transparente de pagamento conforme o uso, ou mergulhe em nossa documentação técnica para começar a integrar hoje. Para uma experiência prática, confira nosso centro de demonstrações ou calcule suas economias potenciais com nossa calculadora de ROI.