Identidade descentralizada: DIDs e credenciais verificáveis entram no radar dos CISOs
Durante décadas, a identidade digital corporativa foi baseada em um modelo centralizado. A empresa, ou um provedor de identidade contratado, mantinha os dados dos usuários, validava suas informações e controlava o acesso a aplicações, sistemas e recursos.
Diretórios corporativos, serviços de federação, plataformas de IAM e provedores de identidade continuam sendo componentes indispensáveis da segurança da informação. No entanto, uma nova abordagem vem ganhando espaço: a identidade descentralizada, também conhecida como Decentralized Identity.
Nesse modelo, parte das informações usadas para comprovar uma identidade deixa de depender exclusivamente de bancos de dados centrais. A pessoa ou organização pode armazenar credenciais digitais em uma carteira e apresentá-las quando necessário. O destinatário, por sua vez, verifica criptograficamente a autenticidade, a integridade e a origem desses dados.
A mudança não é apenas tecnológica. Ela altera a forma como a confiança digital é estabelecida, como os dados pessoais são compartilhados e como as responsabilidades são distribuídas entre emissores, titulares e verificadores.
Para o CISO, a questão deixa de ser somente “como autenticar este usuário?” e passa a incluir uma pergunta mais ampla: “como comprovar que os atributos apresentados por esse usuário são legítimos, atuais e relevantes para o acesso solicitado?”.
O que muda com a identidade descentralizada?
No IAM tradicional, uma organização consulta seu próprio diretório ou delega a autenticação a um Identity Provider. Já na identidade descentralizada, os atributos podem ser emitidos por diferentes entidades e apresentados pelo próprio titular.
Uma universidade pode emitir uma credencial que comprove uma formação. Um órgão regulador pode confirmar uma licença profissional. Uma empresa pode atestar que determinado trabalhador concluiu um treinamento obrigatório. O indivíduo mantém essas informações em uma carteira digital e as apresenta apenas quando necessário.
A arquitetura normalmente envolve três participantes:
– Emissor: entidade responsável por criar e assinar a credencial;
– Titular: pessoa ou organização que recebe e apresenta a informação;
– Verificador: serviço que valida a credencial e decide se ela atende aos requisitos de acesso.
Essa separação permite reduzir a dependência de grandes repositórios centralizados e pode limitar a quantidade de dados compartilhada em cada transação.
DIDs e uma confiança mais distribuída
Os DIDs, ou identificadores descentralizados, são identificadores digitais projetados para funcionar sem depender obrigatoriamente de uma autoridade central. Eles podem estar associados a pessoas, empresas, dispositivos ou serviços.
Um DID não é simplesmente um nome de usuário ou um endereço de e-mail. Ele está ligado a mecanismos criptográficos que permitem verificar a posse de uma chave privada e validar documentos relacionados à identidade.
É importante destacar que identidade descentralizada não é sinônimo de blockchain. Algumas implementações utilizam redes distribuídas, mas outras podem recorrer a registros federados, sistemas criptográficos ou mecanismos específicos de governança. A descentralização está relacionada à distribuição do controle e da confiança, não a uma tecnologia única.
Por que o tema deve estar no radar dos CISOs?
O IAM tradicional não desaparecerá. Organizações continuarão utilizando diretórios, autenticação multifator, federação, SSO e políticas centralizadas. A tendência é que esses mecanismos convivam com novas formas de comprovação de identidade e atributos.
A identidade descentralizada pode ser especialmente útil em cenários nos quais várias organizações precisam confirmar informações umas sobre as outras sem compartilhar bases completas de dados.
Entre as aplicações mais promissoras estão:
– onboarding de parceiros e fornecedores;
– validação de certificações profissionais;
– comprovação de treinamentos obrigatórios;
– gestão de contratados e trabalhadores temporários;
– autenticação de clientes;
– acesso entre diferentes organizações;
– comprovação de licenças, autorizações e qualificações;
– identificação de dispositivos e serviços automatizados.
A identidade entre organizações pode ser um dos principais campos de aplicação. Em vez de criar contas locais para cada parceiro, uma empresa poderia validar credenciais emitidas por uma entidade confiável e aplicar políticas baseadas nos atributos recebidos.
Credenciais verificáveis no ambiente corporativo
As Verifiable Credentials são documentos digitais assinados criptograficamente. Elas podem conter informações como cargo, vínculo profissional, nível de acesso, certificação, nacionalidade, idade ou conclusão de um treinamento.
O diferencial está na possibilidade de verificar a origem e a integridade da credencial sem necessariamente consultar o emissor a cada acesso. Ainda assim, o sistema precisa confirmar se a credencial continua válida, se foi revogada e se o emissor permanece confiável.
Outro benefício é a divulgação seletiva. Em vez de revelar todos os dados de uma identidade, o titular pode apresentar apenas o atributo necessário. Para comprovar que possui idade mínima, por exemplo, talvez não seja preciso informar a data completa de nascimento.
Esse mecanismo pode apoiar princípios de minimização de dados e reduzir a exposição de informações pessoais em processos de autenticação.
O papel dos padrões e do NIST
A evolução da identidade descentralizada depende de padrões técnicos, modelos de governança e práticas de segurança consistentes. Iniciativas de padronização, incluindo trabalhos associados ao NIST, ajudam a organizar conceitos como identidade digital, autenticação, credenciais, níveis de garantia e gerenciamento de risco.
Entretanto, seguir um padrão não garante interoperabilidade automática. Implementações diferentes podem interpretar políticas, formatos, métodos de revogação e requisitos de segurança de maneiras distintas.
Por isso, a organização deve avaliar não apenas se uma solução declara compatibilidade com determinado padrão, mas também se consegue operar com outros fornecedores e ambientes já existentes.
A descentralização muda o risco, mas não o elimina
Distribuir a confiança não significa eliminar riscos. Em muitos casos, o risco apenas muda de lugar.
Gerenciamento de chaves
A proteção das chaves criptográficas torna-se uma função crítica. Se o titular perder a chave privada, poderá perder o acesso às credenciais. Se uma chave for roubada, um invasor poderá tentar se passar pelo proprietário.
Empresas precisarão definir processos de recuperação, rotação, revogação e armazenamento seguro das chaves. Em ambientes corporativos, módulos de segurança de hardware, cofres digitais e controles administrativos podem ser necessários.
Carteiras e endpoints
Wallets e dispositivos usados para armazenar credenciais passam a fazer parte da superfície de ataque. Aplicativos maliciosos, phishing, engenharia social, roubo de sessão e comprometimento do celular podem afetar diretamente a identidade digital.
A segurança dependerá de proteção do dispositivo, autenticação forte, atualizações, isolamento de chaves e capacidade de bloquear credenciais comprometidas.
Revogação e ciclo de vida
Uma credencial pode deixar de ser válida antes de sua data de expiração. Isso ocorre quando um funcionário deixa a empresa, perde uma licença ou tem uma certificação cancelada.
O processo de revogação precisa funcionar de maneira confiável, inclusive em ambientes com conectividade limitada. Também é necessário definir por quanto tempo verificadores podem confiar em uma credencial previamente validada.
Confiança no emissor
A autenticidade criptográfica prova que a credencial foi assinada por determinada chave. Ela não prova, por si só, que o emissor é competente, legítimo ou adequado para aquela finalidade.
Uma credencial falsa pode ser tecnicamente bem formada. Por isso, a governança dos emissores é tão importante quanto a criptografia utilizada. Organizações devem manter listas de confiança, critérios de inclusão e processos para retirar entidades comprometidas.
Auditoria e rastreabilidade
Com a identidade distribuída, os registros de auditoria também podem ficar mais fragmentados. Será necessário identificar quem emitiu a credencial, quem a apresentou, qual política foi aplicada e qual decisão de acesso foi tomada.
A empresa deve garantir que esses eventos sejam registrados de modo consistente, sem coletar dados pessoais além do necessário.
Privacidade como benefício estratégico
A identidade descentralizada pode reduzir a necessidade de replicar informações pessoais em múltiplos sistemas. Em vez de copiar uma base inteira para cada organização, pode-se validar apenas o atributo exigido.
Isso diminui o impacto potencial de vazamentos e facilita a aplicação de princípios de privacidade. Porém, o benefício não é automático. Metadados, horários de apresentação, identificadores persistentes e padrões de uso ainda podem permitir rastreamento.
A arquitetura deve evitar correlações desnecessárias e estabelecer limites claros para retenção, monitoramento e compartilhamento de informações.
Perguntas que o CISO deve fazer antes da adoção
Antes de iniciar um projeto, a organização deve responder a questões como:
1. Qual problema de negócio a identidade descentralizada resolverá?
2. Quem serão os emissores, titulares e verificadores?
3. Como as chaves serão protegidas e recuperadas?
4. Como ocorrerão a revogação e a atualização das credenciais?
5. Quais dados serão realmente necessários em cada operação?
6. Como a solução se integrará ao IAM existente?
7. O que acontece se a carteira, o dispositivo ou o fornecedor ficar indisponível?
8. Como serão conduzidas auditorias e investigações?
9. Quais responsabilidades contratuais caberão a cada participante?
10. Existe uma estratégia para evitar dependência excessiva de um único fornecedor?
Também é recomendável começar com projetos-piloto de baixo risco, como validação de treinamentos, certificações ou credenciais de parceiros. A experiência permite testar interoperabilidade, usabilidade, governança e resposta a incidentes antes de ampliar o uso.
O verdadeiro desafio é descentralizar a confiança
A identidade descentralizada pode tornar os processos digitais mais privados, portáveis e eficientes. DIDs e credenciais verificáveis oferecem uma alternativa para comprovar atributos sem depender sempre de um repositório central.
Mas a tecnologia não substitui políticas, governança e análise de risco. O sucesso dependerá da capacidade de proteger chaves, controlar emissores, operar carteiras com segurança, revogar credenciais e integrar novas credenciais às estruturas de IAM já existentes.
Para os CISOs, o ponto central não é decidir se toda identidade deve ser descentralizada. A prioridade é entender onde a distribuição da confiança gera valor, quais riscos ela introduz e como esses riscos serão controlados ao longo de todo o ciclo de vida da identidade digital.