Navegando pelas Diretrizes de Identidade Digital do NIST com Didit (PT-BR)

Visão Geral do NIST SP 800-63As Diretrizes de Identidade Digital do NIST (NIST SP 800-63) são um padrão crítico para identidade digital, delineando práticas seguras em registro, autenticação e níveis de garantia de identidade (IAL, AAL, FAL).

Níveis de Garantia de Identidade (IAL)IALs definem a confiança na existência real de uma identidade afirmada e no processo de verificação, variando de IAL1 (autoafirmado) a IAL3 (verificação multifator presencial ou remota).

Níveis de Garantia de Autenticação (AAL)AALs especificam a força dos mecanismos de autenticação, de AAL1 (fator único) a AAL3 (autenticação criptográfica multifator com forte proteção contra ataques de replay e man-in-the-middle).

O Papel do Didit na ConformidadeA plataforma nativa de IA do Didit suporta diretamente a conformidade com o NIST, oferecendo Verificação de ID robusta, Detecção de Vivacidade Passiva e Ativa, Correspondência Facial 1:1 e Verificação NFC, permitindo que as organizações atendam aos requisitos IAL e AAL de forma eficaz e acessível com KYC Básico Gratuito.

O que são as Diretrizes de Identidade Digital do NIST?

A Publicação Especial 800-63 do National Institute of Standards and Technology (NIST), conhecida como Diretrizes de Identidade Digital, serve como uma estrutura fundamental para serviços de identidade digital seguros e confiáveis. Inicialmente desenvolvidas para agências federais, essas diretrizes se tornaram um padrão de fato para organizações dos setores público e privado em todo o mundo. Elas fornecem uma abordagem abrangente e baseada em riscos para gerenciar identidades digitais, focando na minimização de fraudes, proteção da privacidade do usuário e garantia da integridade das transações online.

O NIST SP 800-63 é dividido em várias partes, cada uma abordando um aspecto específico da identidade digital: registro e prova de identidade (SP 800-63A), autenticação e gerenciamento do ciclo de vida (SP 800-63B), e federação e asserções (SP 800-63C). Compreender esses componentes é crucial para qualquer organização que busca construir um sistema de verificação de identidade robusto e compatível. A arquitetura modular do Didit é projetada para se alinhar perfeitamente com essas diretrizes, oferecendo soluções flexíveis para vários níveis de garantia.

Compreendendo os Níveis de Garantia de Identidade (IAL)

Os Níveis de Garantia de Identidade (IALs), detalhados no NIST SP 800-63A, descrevem a confiança de que uma identidade afirmada é real e que o requerente é quem ele afirma ser. Existem três IALs principais:

• IAL1: Identidade Autoafirmada. Este nível não exige prova de identidade. O indivíduo fornece atributos, mas não há garantia sobre sua existência ou validade no mundo real. Isso pode ser adequado para aplicações de baixo risco onde o anonimato ou pseudonimato é aceitável.
• IAL2: Prova de Identidade Remota ou Presencial. No IAL2, a evidência é apresentada (por exemplo, documentos de identidade) e verificada contra fontes autorizadas. Este nível requer forte controle criptográfico sobre o autenticador do requerente e pode envolver o uso de biometria. A Verificação de ID do Didit (OCR, MRZ, códigos de barras) e a detecção de Vivacidade Passiva e Ativa são ferramentas essenciais para alcançar a conformidade com IAL2, garantindo que os documentos apresentados sejam legítimos e que o usuário seja um indivíduo real.
• IAL3: Prova de Identidade Multifator Presencial ou Remota. Este é o nível de garantia mais alto, exigindo prova de identidade multifator presencial ou remota, frequentemente envolvendo captura biométrica e verificação contra documentos emitidos pelo governo e bancos de dados autorizados. Ele protege contra ataques sofisticados e fraude de identidade. A Verificação NFC do Didit para ePassaportes/eIDs, combinada com a Correspondência Facial 1:1, fornece a evidência de alta fidelidade necessária para IAL3, oferecendo máxima confiança na identidade verificada.

Níveis de Garantia de Autenticação (AAL)

Os Níveis de Garantia de Autenticação (AALs), abordados no NIST SP 800-63B, focam na força do mecanismo de autenticação usado para verificar a identidade de um usuário. Esses níveis ditam o tipo e o número de fatores de autenticação necessários, bem como a força criptográfica desses fatores:

• AAL1: Autenticação de Fator Único. Este nível requer autenticação de fator único, como uma senha. Oferece garantia mínima e é tipicamente usado para aplicações de baixo risco onde o comprometimento de uma conta teria impacto limitado.
• AAL2: Autenticação Multifator. AAL2 exige pelo menos dois fatores de autenticação distintos (por exemplo, algo que você sabe e algo que você tem). Esses fatores devem ser protegidos criptograficamente e resistentes a ataques de replay. A Verificação de Telefone e E-mail do Didit pode contribuir para AAL2, fornecendo fatores adicionais, enquanto sua infraestrutura segura subjacente ajuda a proteger contra vetores de ataque comuns.
• AAL3: Autenticação Criptográfica Multifator. Este é o nível de autenticação mais forte, exigindo prova de posse de uma chave criptográfica via token de hardware ou módulo criptográfico de software seguro. Ele oferece alta resistência a phishing, man-in-the-middle e ataques de replay. Embora o Didit não forneça diretamente hardware criptográfico, suas robustas capacidades de detecção de vivacidade e Correspondência Facial 1:1 podem ser integradas como fortes fatores biométricos dentro de um sistema compatível com AAL3, aprimorando a postura geral de segurança.

Níveis de Garantia de Federação (FAL) e Além

Os Níveis de Garantia de Federação (FALs), definidos no NIST SP 800-63C, abordam a troca segura de informações de identidade entre diferentes organizações (Provedores de Identidade e Partes Confiáveis). Os FALs garantem que os atributos afirmados por um Provedor de Identidade sejam confiáveis e mantenham sua integridade quando consumidos por uma Parte Confiável. Isso é crucial para o single sign-on (SSO) e outros sistemas de identidade distribuídos.

Além das especificações técnicas, as diretrizes do NIST também enfatizam a importância da privacidade, minimização de dados e consentimento. As organizações devem garantir que coletam e armazenam apenas os dados de identidade necessários e obtêm consentimento explícito para seu uso. A Estimativa de Idade com preservação da privacidade do Didit é um excelente exemplo de como verificações de identidade específicas podem ser realizadas sem coletar excessivamente dados pessoais, alinhando-se aos princípios de privacidade do NIST.

Como o Didit Ajuda a Alcançar a Conformidade com o NIST

O Didit, como uma plataforma de identidade nativa de IA e focada no desenvolvedor, está em uma posição única para ajudar as organizações a atender e superar as Diretrizes de Identidade Digital do NIST. Nossa arquitetura modular permite que as empresas componham exatamente as etapas de verificação necessárias para atingir requisitos específicos de IAL e AAL, sem complexidade ou custo desnecessários. Nós oferecemos:

• Verificação de ID: Nossas robustas capacidades de OCR, MRZ e leitura de código de barras fornecem verificação de documentos de alta precisão, crucial para a prova de identidade IAL2 e IAL3.
• Vivacidade Passiva e Ativa: Essencial para a prevenção de fraudes, nossa detecção de vivacidade garante que o indivíduo que apresenta o ID é uma pessoa real, suportando diretamente os requisitos IAL2 e IAL3 ao prevenir ataques de spoofing.
• Correspondência Facial 1:1 e Busca Facial: Ao comparar a selfie de um usuário com seu documento de ID, fornecemos fortes evidências biométricas para correlação de identidade, vitais para IALs mais altos e como um fator forte para AALs.
• Verificação NFC (ePassaporte/eID): Para a mais alta garantia (IAL3), a verificação NFC do Didit lê dados criptográficos diretamente de ePassaportes e eIDs, fornecendo prova inegável da autenticidade do documento e da identidade do usuário.
• Triagem e Monitoramento de AML: Embora não seja diretamente um componente IAL ou AAL, nossa triagem de AML ajuda as organizações a cumprir obrigações de conformidade mais amplas, garantindo que identidades verificadas não apareçam em listas de sanções ou PEP.
• Verificação de Telefone e E-mail: Essas ferramentas fornecem fatores adicionais para autenticação, contribuindo para a conformidade com AAL2, verificando a posse de um dispositivo registrado ou endereço de e-mail.

O compromisso do Didit com uma abordagem global-by-design, combinado com nosso motor nativo de IA, garante que nossos processos de verificação sejam não apenas compatíveis, mas também altamente precisos e eficientes. Oferecemos KYC Básico Gratuito, sem taxas de configuração e um modelo de pagamento por verificação bem-sucedida, tornando a verificação de identidade avançada e alinhada ao NIST acessível a empresas de todos os portes. Nossos fluxos de trabalho orquestrados e o Business Console sem código capacitam as equipes a projetar e implementar jornadas de identidade compatíveis com facilidade, reduzindo a revisão manual e acelerando o onboarding confiável.

Pronto para Começar?

Pronto para ver o Didit em ação? Obtenha uma demonstração gratuita hoje.

Comece a verificar identidades gratuitamente com o nível gratuito do Didit.