Si está interesado en el mundo de las identidades digitales, probablemente haya escuchado algunas de las palabras de moda que han estado flotando durante algunos años … «credencial verificable», «billetera digital», «licencia de conducir móvil» o «MDL». Estos términos, entre otros, hacen referencia a un ecosistema creciente sobre lo que estamos llamando «credenciales digitales verificables». Pero, ¿qué es exactamente una credencial digital verificable? Tome cualquier credencial física que use en la vida cotidiana: su licencia de conducir, su tarjeta de seguro médico, una certificación o diploma) y conviértelo en un formato digital almacenado en su teléfono inteligente que pueda presentarse y verificarse criptográficamente en línea o en persona. Esa es una credencial digital verificable (VDC). Crédito: aunque el concepto parece simple, implementar VDC y comprender su impacto en la seguridad, la privacidad y la usabilidad en la práctica puede ser un desafío. Si está buscando implementar VDC para su organización o negocio, puede encontrar difícil navegar por la terminología, la tecnología, los formatos de datos y los protocolos que sustentan este ecosistema nuevo y en rápida evolución. Por esta razón, el Centro de Excelencia Ciberseguridad Nacional NIST (NCCOE) está publicando una nueva serie de blogs para ayudar a desmitificar y resaltar algunos de los estándares y tecnologías que componen el ecosistema VDC. Esta serie de blogs aprovechará la experiencia colectiva de las partes interesadas de todo el gobierno y la industria, incluidos los socios que colaboran con el NCCOE en un proyecto para acelerar la adopción de estándares y mejores prácticas alrededor de VDC. Encontrar durante su exploración en el ecosistema VDC. Crédito: Credenciales digitales verificables de NIST: los VDC son una representación digital criptográficamente verificable de una credencial o atributos asegurados en una aplicación dedicada, a menudo denominada billetera digital. Los VDC vienen en muchas formas, incluidas las credenciales gubernamentales (por ejemplo, licencias de conducir), credenciales educativas (por ejemplo, diplomas), prueba de cobertura, como seguro de salud o prueba de ciertas características o atributos personales (por ejemplo, mayores de 21 años). Los VDC se pueden presentar en línea y en persona. Por ejemplo, puede usar una licencia de conducir móvil en su teléfono inteligente para verificar su identidad con un agente de TSA antes de abordar un avión o presentarlo a un navegador web en línea para verificar su identidad antes de abrir una cuenta. Fundamentalmente, los VDC están respaldados por la criptografía de clave pública que hace la credencial y la información del usuario que contiene criptográficamente verificable. Crédito: la billetera digital NIST: una billetera digital es una aplicación nativa en su dispositivo móvil, aunque en el futuro, también se puede almacenar en la nube, que contiene y asegura sus VDC. Si está utilizando un dispositivo iOS o Android, es posible que ya tenga una billetera instalada desde Apple, Google o Samsung, pero también se pueden descargar billeteras adicionales desde su App Store. Dependiendo de la entidad que emita el VDC, los usuarios pueden necesitar descargar una aplicación de billetera compatible con el emisor de credenciales antes de que se pueda emitir un VDC a su teléfono. Crédito: NIST Emisor: la entidad que emite el VDC a un usuario generalmente se conoce como el «emisor». Esta entidad disposición la credencial y a menudo es la fuente autorizada que la identidad prueba al usuario antes de la emisión de credenciales. El emisor firma criptográficamente el VDC para que se pueda verificar cuando un usuario lo presenta a una parte que confía. Crédito: Verificador NIST: cuando se presenta un VDC a un sitio web o aplicación, el verificador es responsable de dos pasos clave: primero, verificar criptográficamente la autenticidad e integridad de la credencial en sí, y segundo, validando y evaluando las reclamaciones o información específicas contenidas dentro de la credencial. Este proceso de dos pasos garantiza tanto la legitimidad de la credencial como la relevancia y aplicabilidad de su contenido para los requisitos de la parte que confía. Antes de que se pueda verificar un VDC, la parte confiada debe obtener la clave pública del emisor. El verificador puede comunicarse con un servicio de confianza para obtener estas claves públicas. Los verificadores también pueden traducir las reclamaciones de VDC en otros formatos basados ​​en estándares para un mayor consumo al confiar las aplicaciones de las partes y el sistema de gestión de identidad. Crédito: Servicio de fideicomiso NIST: los servicios de confianza pueden tomar muchas formas, pero en general actúan como un punto de integración centralizado que permite a las partes confiar a las partes para acceder más fácilmente a las claves criptográficas generadas por los emisores. En lugar de que cada parte que confíe se comunique con cada emisor, los servicios de confianza pueden actuar como un modelo de centro y radios, lo que permite que las partes respondieran con un solo servicio y obtengan acceso a claves criptográficas de múltiples emisores. Crédito: NIST Party, una parte que confía es una entidad que se basa en la afirmación de un verificador de un VDC, generalmente para procesar una transacción o otorgar acceso a la información o un sistema. Los ejemplos de partidos que dependen incluyen bancos, agencias gubernamentales, instituciones de atención médica y muchas otras entidades que pueden pedirle que presente su VDC como parte de una transacción en línea o en persona. Nota: Los estándares en el ecosistema VDC a menudo hablan sobre los verificadores y las fiestas de dependencia indistintamente. En esta serie de blogs, los discutimos por separado para resaltar la distinción entre las funciones técnicas que proporcionan los verificadores al procesar un VDC y los procesos y tecnologías comerciales de fiestas de dependencia (incluidas las IDM) que dependen de la producción del verificador. Encontramos esta distinción útil incluso si en la práctica el verificador se puede ejecutar o residir para confiar en los sistemas de los partidos. Crédito: Sistema de gestión de identidad NIST: el Sistema de Gestión de Identidad (IDMS) es un término general que se refiere al software responsable de manejar una variedad de diferentes funciones relacionadas con la identidad. La creación de cuentas, la emisión de autenticadores, la gestión de acceso y la recuperación de la cuenta son solo algunas de las funciones que pueden estar bajo las IDM. En el ecosistema VDC, el IDMS a menudo es un servicio de fondo a una aplicación web y puede contener el código del verificador, integrar con un servicio de confianza o manejar acciones de cuentas que requerirían que el usuario presente su VDC.-que lo realiza todo juntos que nivelamos en alguna terminología, hablemos sobre cómo se unen todas estas piezas y partes. Crédito: NIST El diagrama anterior es una representación nocional de cómo las tecnologías dentro del ecosistema VDC podrían conectarse y comunicarse. Ahora consideremos un ejemplo utilizando las licencias de conducir móvil (MDL) para tener una mejor idea de los VDC en acción. Los MDL son un tipo de VDC que actúa como una representación digital de su licencia de conducir físico. Son emitidos por su DMV estatal y contienen la misma información de identidad que su licencia física, incluida su imagen que está archivada con el DMV. El siguiente ejemplo describe cómo puede usar un MDL y resalta qué componentes en el diagrama anterior puede estar interactuando. VDCS en ActionImagine está tratando de abrir una cuenta bancaria en línea. Cuando comienza la solicitud en línea, el banco le solicita que verifique su identidad. En lugar de visitar una sucursal, puede optar por usar su licencia de conducir móvil (VDC). Dado que ya tiene una licencia de conducir registrada en su estado, su DMV estatal (emisor) puede emitirle fácilmente un MDL a través de la aplicación de billetera (billetera digital) que viene con su sistema operativo móvil. Después de seguir las instrucciones en pantalla y completar una coincidencia de selfies, la solicitud de billetera envía una solicitud a su DMV estatal para emitir su MDL. Unos momentos después recibe un correo electrónico que dice que su MDL está listo para su uso y ha sido aprovisionado a su solicitud de billetera. Al regresar al sitio web del banco, el banco (parte de confianza) le pide que presente su MDL y le muestra un código QR. Cuando escanea el QR, su teléfono redirige a su aplicación de billetera donde realiza una autenticación biométrica y selecciona su nuevo MDL que se presentará en el sitio web del banco. Utilizando un servicio central (servicio de fideicomiso), el sitio web bancario ya ha descargado claves públicas para MDL válidos emitidos por su DMV. Cuando presenta su MDL al sitio web bancario, verifica criptográficamente (verificador) su MDL sin «llamar a la casa» al DMV o dejar que el DMV sepa que su MDL se usó para crear una cuenta con el banco. A través de una conexión segura, su información de identidad contenida en el MDL se proporciona al sitio web bancario. El banco ahora tiene suficiente información para confirmar su identidad y ahora se le permite crear su cuenta financiera (IDMS). Aunque completó este proceso visitando el sitio web del banco en un navegador de escritorio, podría haber usado fácilmente un navegador móvil o descargado y utilizado la aplicación móvil de su banco. ¡Pero espera! ¡Hay más! El escenario anterior aclara cómo se ven los VDC en la superficie, pero debajo del capó, hay varios protocolos, formatos de datos y patrones de diseño que actualmente están evolucionando dentro de los cuerpos de estándares de todo el mundo. En nuestras futuras publicaciones de blog, desglosaremos los diversos elementos del ecosistema VDC para resaltar dónde está ocurriendo este trabajo, los diferentes estándares que se están desarrollando, que partes del ecosistema abordan esas normas y las oportunidades y los desafíos abiertos que aún existen dentro del ecosistema VDC. Si desea recibir una notificación cuando nuestras publicaciones de blog se encuentren en vivo, considere visitar nuestra página web y unirse a nuestra comunidad de interés para obtener actualizaciones periódicas sobre el trabajo de NCCOE.