Conceção de APIs para Divulgação Granular de Identidade em Carteiras EUDI (PT-PT)

Granularidade Centrada no UtilizadorConceba APIs que priorizem o controlo do utilizador, permitindo-lhes divulgar seletivamente apenas os atributos de identidade necessários, em vez de credenciais completas.

Padronização e InteroperabilidadeAproveite padrões abertos como OpenID para Emissão (OID4VCI) e Apresentação (OID4VP) de Credenciais Verificáveis para garantir uma integração perfeita e ampla adoção em todos os ecossistemas.

Provas de Preservação da PrivacidadeImplemente técnicas criptográficas, como Provas de Conhecimento Zero (ZKPs), para permitir a verificação sem revelar dados sensíveis subjacentes, aumentando a privacidade do utilizador.

Gestão Robusta de ConsentimentoIntegre mecanismos de consentimento explícito e informado no fluxo da API, garantindo que os utilizadores compreendam e aprovem cada pedido de divulgação de dados.

A Promessa da Divulgação Granular de Identidade nas Carteiras EUDI

A Carteira Europeia de Identidade Digital (EUDI) está prestes a revolucionar a forma como os cidadãos interagem com os serviços digitais, oferecendo uma maneira segura e conveniente de comprovar a identidade e partilhar dados pessoais. Um pilar fundamental desta visão é a divulgação granular de identidade – a capacidade dos indivíduos de partilhar apenas as informações específicas necessárias para uma transação, em vez de revelar todo o seu documento de identidade ou um amplo conjunto de atributos. Por exemplo, provar que se tem mais de 18 anos sem revelar a data exata de nascimento, ou confirmar a residência num país específico sem divulgar o endereço completo. Alcançar isto requer uma conceção meticulosa da API.

Os sistemas de identidade tradicionais muitas vezes impõem uma abordagem tudo ou nada. Quando se apresenta uma carta de condução física, revela-se a foto, nome, morada, data de nascimento e número da carta, mesmo que a única informação necessária seja a idade. No domínio digital, isso traduz-se na partilha de blocos inteiros de dados de um ID digital. A Carteira EUDI, no entanto, visa capacitar os utilizadores com controlo granular, melhorando significativamente a privacidade e reduzindo o risco de exposição excessiva de dados. Mas como traduzimos esta visão em designs de API práticos, seguros e interoperáveis?

Princípios Fundamentais para o Design de APIs de Divulgação Granular

A conceção de APIs para divulgação granular de identidade em Carteiras EUDI exige a adesão a vários princípios-chave:

1. Pedido e Apresentação ao Nível do Atributo

A API deve permitir que as Partes Verificadoras (VPs) solicitem atributos específicos em vez de credenciais verificáveis (VCs) completas. Por exemplo, em vez de solicitar uma VC de “Cartão de Cidadão”, a VP deve poder solicitar “Data de Nascimento” e “Nacionalidade”. A API da Carteira EUDI facilita então o consentimento do utilizador e a seleção desses atributos individuais das suas VCs armazenadas.

Exemplo Prático: Verificação de Idade

• Pedido de API Tradicional: POST /verify-id com um payload que espera uma digitalização completa do documento de identificação.
• Pedido de API Granular: POST /verify-age com um payload como { "requested_attributes": [ { "type": "age_over", "value": 18 } ] }.

A Carteira EUDI do utilizador recebe este pedido e, em vez de apresentar o seu ID completo, gera uma prova de que a idade do utilizador é de facto superior a 18 anos, sem divulgar a sua data exata de nascimento. Isso é frequentemente alcançado usando Provas de Conhecimento Zero (ZKPs).

2. Formatos Padronizados de Pedido e Resposta

A interoperabilidade é fundamental para o ecossistema da Carteira EUDI. As APIs devem aderir a padrões estabelecidos para solicitar e apresentar credenciais verificáveis e os seus atributos. O OpenID for Verifiable Credential Presentation (OID4VP) é um padrão crucial aqui, definindo como as VPs podem solicitar VCs ou atributos específicos de uma Carteira, e como a Carteira responde com apresentações verificáveis.

Exemplo Prático: Comprovativo de Residência

• Um serviço precisa de confirmar que o utilizador reside na Alemanha.
• Pedido da VP (OID4VP): A VP constrói um URL de pedido de autorização contendo uma presentation_definition que especifica a necessidade de uma credencial de “Comprovativo de Residência”, solicitando especificamente que o atributo “país” seja “Alemanha”.
• Resposta da Carteira: A Carteira EUDI do utilizador recebe isto, pede o consentimento do utilizador e, em seguida, apresenta uma apresentação verificável que prova criptograficamente que o país de residência do utilizador é a Alemanha, potencialmente sem divulgar o endereço completo ou outros detalhes do documento de comprovativo de morada subjacente.

3. Integração de Tecnologias de Melhoria da Privacidade (PETs)

Para realmente permitir a divulgação granular, as APIs precisam de suportar PETs subjacentes, particularmente as Provas de Conhecimento Zero (ZKPs). As ZKPs permitem que um utilizador prove que uma declaração é verdadeira (por exemplo, “Tenho mais de 18 anos”) sem revelar qualquer informação adicional que permitiria ao verificador deduzir como essa declaração é verdadeira (por exemplo, a data exata de nascimento). Esta é a forma máxima de divulgação granular.

Design de API para ZKPs:

• A API deve especificar o tipo de prova necessária (por exemplo, uma ZKP para idade acima de 18) no pedido.
• A API da Carteira seria então responsável por gerar esta ZKP a partir das credenciais armazenadas do utilizador.
• A API da VP verificaria então a ZKP.

4. Gestão Robusta de Consentimento e Interface de Utilizador

A divulgação granular não tem sentido sem o consentimento explícito e informado do utilizador. O design da API deve incluir mecanismos para que a Carteira EUDI apresente pedidos de consentimento claros, concisos e acionáveis ao utilizador. Isso inclui:

• Listar claramente os atributos específicos solicitados.
• Indicar o propósito da divulgação dos dados.
• Identificar a Parte Verificadora.
• Permitir que o utilizador aprove ou negue o pedido.

A API deve retornar uma indicação clara do consentimento (ou negação) do utilizador à Parte Verificadora.

Considerações Arquitetónicas e a Abordagem da Didit

A implementação destes princípios requer uma base arquitetónica robusta. A plataforma da Didit, concebida como uma solução de identidade tudo-em-um, suporta inerentemente muitos destes requisitos através do seu design modular e foco no controlo do utilizador.

Primitivos de Identidade Modulares

A arquitetura da Didit é construída sobre 18 módulos compostos, cada um representando um primitivo de identidade distinto, como verificação de documentos de identificação, deteção de vivacidade ou triagem AML. Esta modularidade alinha-se diretamente com a divulgação granular. Em vez de uma verificação de identidade monolítica, as empresas podem selecionar e combinar apenas os módulos necessários:

• Verificação de Documento de Identificação: Extrai pontos de dados específicos (por exemplo, nome, nacionalidade) em vez de partilhar a imagem completa.
• Estimativa de Idade: Fornece um booleano “is_over_18” sem revelar a data exata de nascimento, ajustando-se perfeitamente às necessidades de verificação granular de idade.
• Correspondência Facial 1:1: Confirma a identidade contra uma foto de documento, mas os dados biométricos subjacentes não são partilhados, apenas uma pontuação de correspondência.

Estes módulos podem ser orquestrados através do Workflow Builder visual da Didit, permitindo que as empresas definam requisitos precisos de divulgação de dados para cada caso de uso, garantindo que apenas as informações essenciais são processadas.

KYC Reutilizável e Compatibilidade com eIDAS2

O módulo “KYC Reutilizável” da Didit é uma funcionalidade com visão de futuro que se alinha com a visão da Carteira EUDI. Os utilizadores verificam uma vez e podem então reutilizar a sua identidade em múltiplas plataformas com reautenticação biométrica. Este sistema foi concebido para ser compatível com eIDAS2, o que significa que pode facilitar a partilha de credenciais pré-verificadas com base no consentimento do utilizador, minimizando divulgações de dados redundantes e simplificando as jornadas do utilizador.

Segurança e Privacidade por Design

A Didit processa dados sensíveis como selfies em memória e elimina-os, e as aplicações recebem booleanos (por exemplo, “match_successful”) em vez de dados biométricos brutos. Esta abordagem de “privacidade por defeito” é crucial para construir confiança em sistemas de divulgação granular, pois garante que, mesmo quando os dados são temporariamente usados para verificação, são tratados com o máximo cuidado e não são armazenados persistentemente desnecessariamente.

O Futuro da Identidade Digital

À medida que a Carteira EUDI ganha força, a procura por APIs que suportem a divulgação granular e controlada pelo utilizador só aumentará. Desenvolvedores e empresas devem abraçar estes princípios para construir sistemas que não sejam apenas compatíveis, mas que também promovam a confiança e capacitem os indivíduos. Ao focar em pedidos ao nível do atributo, alavancar padrões, integrar PETs e priorizar o consentimento do utilizador, podemos desbloquear todo o potencial da identidade digital, tornando-a mais privada, segura e eficiente para todos.

Como a Didit Ajuda

A Didit oferece uma plataforma abrangente que simplifica a implementação da divulgação granular de identidade. A nossa abordagem modular permite-lhe construir fluxos de trabalho de identidade personalizados, solicitando apenas os pontos de dados específicos necessários para a verificação. Com funcionalidades como Estimativa de Idade, KYC reutilizável e uma API concebida com a privacidade no seu cerne, a Didit capacita as empresas a cumprir os próximos requisitos da Carteira EUDI e a proporcionar uma experiência de utilizador superior e que preserve a privacidade. O nosso compromisso com os padrões abertos e a segurança robusta garante que os seus processos de verificação de identidade são à prova de futuro e fiáveis.

Pronto para Começar?

Explore como a plataforma de identidade flexível e segura da Didit pode melhorar a sua integração de utilizadores e os esforços de conformidade. Visite a nossa página de preços para ver o nosso modelo transparente de pagamento conforme o uso, ou mergulhe na nossa documentação técnica para começar a integrar hoje. Para uma experiência prática, consulte o nosso centro de demonstrações ou calcule as suas poupanças potenciais com o nosso calculador de ROI.