Navegar pelas Diretrizes de Identidade Digital NIST com a Didit (PT-PT)

Visão Geral NIST SP 800-63As Diretrizes de Identidade Digital NIST (NIST SP 800-63) são um padrão crítico para a identidade digital, delineando práticas seguras em níveis de registo, autenticação e garantia de identidade (IAL, AAL, FAL).

Níveis de Garantia de Identidade (IAL)Os IALs definem a confiança na existência real de uma identidade declarada e no processo de verificação, variando de IAL1 (autodeclarada) a IAL3 (verificação presencial ou remota multifator).

Níveis de Garantia de Autenticação (AAL)Os AALs especificam a força dos mecanismos de autenticação, de AAL1 (fator único) a AAL3 (autenticação criptográfica, multifator com forte proteção contra ataques de repetição e man-in-the-middle).

O Papel da Didit na ConformidadeA plataforma nativa de IA da Didit apoia diretamente a conformidade com o NIST, oferecendo verificação de ID robusta, Deteção de Vivacidade Passiva e Ativa, Correspondência Facial 1:1 e Verificação NFC, permitindo que as organizações cumpram os requisitos IAL e AAL de forma eficaz e acessível com KYC Básico Gratuito.

O que são as Diretrizes de Identidade Digital NIST?

A Publicação Especial 800-63 do National Institute of Standards and Technology (NIST), conhecida como as Diretrizes de Identidade Digital, serve como um enquadramento fundamental para serviços de identidade digital seguros e fiáveis. Inicialmente desenvolvidas para agências federais, estas diretrizes tornaram-se um padrão de facto para organizações dos setores público e privado em todo o mundo. Elas fornecem uma abordagem abrangente e baseada no risco para gerir identidades digitais, focando na minimização de fraudes, proteção da privacidade do utilizador e garantia da integridade das transações online.

O NIST SP 800-63 está dividido em várias partes, cada uma abordando um aspeto específico da identidade digital: registo e prova de identidade (SP 800-63A), autenticação e gestão do ciclo de vida (SP 800-63B), e federação e asserções (SP 800-63C). Compreender estes componentes é crucial para qualquer organização que pretenda construir um sistema de verificação de identidade robusto e conforme. A arquitetura modular da Didit foi concebida para se alinhar perfeitamente com estas diretrizes, oferecendo soluções flexíveis para vários níveis de garantia.

Compreender os Níveis de Garantia de Identidade (IAL)

Os Níveis de Garantia de Identidade (IALs), detalhados no NIST SP 800-63A, descrevem a confiança de que uma identidade declarada é real e que o requerente é quem afirma ser. Existem três IALs primários:

• IAL1: Identidade Autodeclarada. Este nível não exige prova de identidade. O indivíduo fornece atributos, mas não há garantia sobre a sua existência ou validade no mundo real. Isto pode ser adequado para aplicações de baixo risco onde o anonimato ou a pseudonímia são aceitáveis.
• IAL2: Prova de Identidade Remota ou Presencial. No IAL2, são apresentadas evidências (por exemplo, documentos de identidade) e verificadas contra fontes autorizadas. Este nível exige um forte controlo criptográfico sobre o autenticador do requerente e pode envolver o uso de biometria. A Verificação de ID da Didit (OCR, MRZ, códigos de barras) e a deteção de Vivacidade Passiva e Ativa são ferramentas essenciais para alcançar a conformidade com IAL2, garantindo que os documentos apresentados são legítimos e que o utilizador é uma pessoa real.
• IAL3: Prova de Identidade Multifator Presencial ou Remota. Este é o nível de garantia mais elevado, exigindo prova de identidade multifator presencial ou remota, frequentemente envolvendo a captura e verificação biométrica contra documentos emitidos pelo governo e bases de dados autorizadas. Protege contra ataques sofisticados e fraude de identidade. A Verificação NFC da Didit para ePassaportes/eIDs, combinada com a Correspondência Facial 1:1, fornece a evidência de alta fidelidade necessária para IAL3, oferecendo a máxima confiança na identidade verificada.

Níveis de Garantia de Autenticação (AAL)

Os Níveis de Garantia de Autenticação (AALs), abrangidos no NIST SP 800-63B, focam-se na força do mecanismo de autenticação utilizado para verificar a identidade de um utilizador. Estes níveis ditam o tipo e o número de fatores de autenticação necessários, bem como a força criptográfica desses fatores:

• AAL1: Autenticação de Fator Único. Este nível exige autenticação de fator único, como uma palavra-passe. Oferece garantia mínima e é tipicamente usado para aplicações de baixo risco onde o comprometimento de uma conta teria impacto limitado.
• AAL2: Autenticação Multifator. O AAL2 exige pelo menos dois fatores de autenticação distintos (por exemplo, algo que sabe e algo que possui). Estes fatores devem ser protegidos criptograficamente e resistentes a ataques de repetição. A Verificação de Telefone e E-mail da Didit pode contribuir para o AAL2, fornecendo fatores adicionais, enquanto a sua infraestrutura de segurança subjacente ajuda a proteger contra vetores de ataque comuns.
• AAL3: Autenticação Criptográfica Multifator. Este é o nível de autenticação mais forte, exigindo prova de posse de uma chave criptográfica através de um token de hardware ou módulo criptográfico de software seguro. Oferece alta resistência a phishing, man-in-the-middle e ataques de repetição. Embora a Didit não forneça diretamente hardware criptográfico, as suas robustas capacidades de deteção de vivacidade e Correspondência Facial 1:1 podem ser integradas como fortes fatores biométricos dentro de um sistema compatível com AAL3, melhorando a postura de segurança geral.

Níveis de Garantia de Federação (FAL) e Além

Os Níveis de Garantia de Federação (FALs), definidos no NIST SP 800-63C, abordam a troca segura de informações de identidade entre diferentes organizações (Provedores de Identidade e Partes Confiantes). Os FALs garantem que os atributos afirmados por um Provedor de Identidade são fidedignos e mantêm a sua integridade quando consumidos por uma Parte Confiante. Isto é crucial para o single sign-on (SSO) e outros sistemas de identidade distribuídos.

Para além das especificações técnicas, as diretrizes NIST também enfatizam a importância da privacidade, minimização de dados e consentimento. As organizações devem garantir que recolhem e armazenam apenas os dados de identidade necessários e obtêm consentimento explícito para o seu uso. A Estimação de Idade da Didit, que preserva a privacidade, é um excelente exemplo de como verificações de identidade específicas podem ser realizadas sem a recolha excessiva de dados pessoais, alinhando-se com os princípios de privacidade do NIST.

Como a Didit Ajuda a Alcançar a Conformidade com o NIST

A Didit, como plataforma de identidade nativa de IA e focada no desenvolvedor, está numa posição única para ajudar as organizações a cumprir e exceder as Diretrizes de Identidade Digital NIST. A nossa arquitetura modular permite que as empresas componham exatamente os passos de verificação necessários para alcançar os requisitos específicos de IAL e AAL, sem complexidade ou custo desnecessários. Oferecemos:

• Verificação de ID: As nossas robustas capacidades de leitura OCR, MRZ e código de barras fornecem verificação de documentos de alta precisão, crucial para a prova de identidade IAL2 e IAL3.
• Vivacidade Passiva e Ativa: Essencial para a prevenção de fraudes, a nossa deteção de vivacidade garante que o indivíduo que apresenta a ID é uma pessoa real, apoiando diretamente os requisitos de IAL2 e IAL3, prevenindo ataques de spoofing.
• Correspondência Facial 1:1 e Pesquisa Facial: Ao comparar a selfie de um utilizador com o seu documento de identificação, fornecemos fortes evidências biométricas para a correlação de identidade, vital para IALs mais elevados e como um fator forte para AALs.
• Verificação NFC (ePassaporte/eID): Para a mais alta garantia (IAL3), a verificação NFC da Didit lê dados criptográficos diretamente de ePassaportes e eIDs, fornecendo prova inegável da autenticidade do documento e da identidade do utilizador.
• Rastreio e Monitorização AML: Embora não seja diretamente um componente IAL ou AAL, o nosso rastreio AML ajuda as organizações a cumprir obrigações de conformidade mais amplas, garantindo que as identidades verificadas não apareçam em listas de sanções ou PEP.
• Verificação de Telefone e E-mail: Estas ferramentas fornecem fatores adicionais para autenticação, contribuindo para a conformidade com AAL2, verificando a posse de um dispositivo registado ou endereço de e-mail.

O compromisso da Didit com uma abordagem global por design, combinado com o nosso motor nativo de IA, garante que os nossos processos de verificação não são apenas conformes, mas também altamente precisos e eficientes. Oferecemos KYC Básico Gratuito, sem taxas de configuração e um modelo de pagamento por verificação bem-sucedida, tornando a verificação de identidade avançada e alinhada com o NIST acessível a empresas de todos os tamanhos. Os nossos fluxos de trabalho orquestrados e a Consola de Negócios sem código capacitam as equipas a projetar e implementar jornadas de identidade conformes com facilidade, reduzindo a revisão manual e acelerando o onboarding de confiança.

Pronto para Começar?

Pronto para ver a Didit em ação? Obtenha uma demonstração gratuita hoje.

Comece a verificar identidades gratuitamente com o escalão gratuito da Didit.