A World disponibilizou como código aberto o ProveKit, um conjunto de ferramentas de prova de conhecimento zero que permite aos programadores criar verificações de identidade com base em factos como a idade, a cidadania ou a posse de um documento válido, sem exigir que os utilizadores forneçam os dados pessoais subjacentes.
O lançamento expande uma tecnologia já utilizada no World ID para além das próprias aplicações da World. O ProveKit entrou em acesso antecipado em abril e está agora disponível para programadores externos, afirmou um porta-voz da World Foundation. A sua principal opção de design é a geração local de provas: as provas criptográficas são criadas no smartphone do utilizador ou num navegador web, em vez de serem carregadas informações de identidade sensíveis para um servidor operado por uma empresa.
Este modelo coloca a tecnologia de identidade da World num debate mais relevante sobre a forma como as empresas lidam com digitalizações de documentos. O jornalista de cibersegurança Brian Krebs noticiou esta semana que o escritório do FBI em Nova Orleães está a investigar a Nexus, um serviço da dark web que alegadamente disponibiliza digitalizações de mais de 153 milhões de cartas de condução dos EUA e do Canadá. Krebs escreveu que os dados pareciam ter origem na IDScan.net, uma empresa de verificação de identidade.
A exposição comunicada segue-se a outras grandes violações que envolveram registos de identidade, incluindo o roubo de 10 milhões de cartões de identificação e de quase 579 000 registos médicos, referidos no material fornecido. Estes incidentes demonstram os riscos criados quando passaportes, cartas de condução e outros documentos são conservados como ficheiros legíveis em bases de dados empresariais centralizadas.
Provas geradas no dispositivo
O ProveKit foi concebido para permitir que alguém demonstre uma afirmação específica sem revelar o seu documento de identidade completo. Um utilizador poderia, por exemplo, provar que tem mais do que a idade exigida, que é residente num determinado país ou que possui um documento oficial emitido pelo Estado. O serviço que verifica essa afirmação receberia uma prova criptográfica, em vez de uma imagem completa do passaporte ou da carta de condução.
As provas de conhecimento zero são métodos criptográficos que permitem a uma parte demonstrar que uma afirmação é verdadeira, ocultando os dados utilizados para o provar. Num contexto de identidade, esta abordagem poderia reduzir a recolha rotineira de imagens de documentos por serviços que apenas necessitam de um atributo, como saber se um cliente tem idade suficiente para aceder a um produto com restrição etária.
Segundo a World, a ProveKit utiliza prova local em vez de prova delegada, na qual os dados pessoais são enviados para um serviço externo para calcular a prova. Manter o cálculo no dispositivo significa que os dados de origem não são transferidos para um servidor de provas, reduzindo o número de sistemas que poderiam ser alvo de ataques ou tratar esses dados de forma inadequada.
Damien Bloemen, responsável pela blockchain na World Foundation, defendeu numa publicação no X que os documentos de identidade devem ser autenticados com provas de conhecimento zero, em vez de serem divulgados na íntegra. A disponibilização do código-fonte dá aos programadores externos a oportunidade de testar se essa abordagem pode funcionar para além do ecossistema da World, incluindo em aplicações para consumidores que atualmente dependem do carregamento de fotografias de documentos.
Os documentos NFC são o ponto de partida
As credenciais World ID podem armazenar localmente os dados lidos de documentos de identidade com chip NFC, segundo o porta-voz da World Foundation. NFC, ou Near Field Communication, é o padrão de comunicação sem fios de curto alcance utilizado por muitos passaportes modernos e cartões de identidade nacionais. Um smartphone colocado junto ao documento pode ler os dados do chip integrado.
Esses chips contêm informações assinadas digitalmente pela autoridade emissora. A ProveKit pode verificar essa assinatura e produzir uma prova a partir dela dentro de um circuito de conhecimento zero, afirmou a World. A empresa afirmou que este modelo mantém os dados do documento inacessíveis à World Foundation, à Tools for Humanity e a terceiros.
Esta distinção é prática para empresas que precisam de verificar uma credencial, mas não precisam de manter uma cópia indefinidamente. Empresas de aluguer de automóveis, plataformas online e serviços financeiros regulamentados recolhem habitualmente documentos de identidade para prevenção de fraude ou cumprimento de requisitos legais. Um sistema de provas não eliminaria todos os requisitos legais de retenção, mas poderia permitir que algumas verificações fossem concluídas com menos dados sensíveis a entrar no armazenamento empresarial.
A World afirmou que a ProveKit está em desenvolvimento há cerca de dois anos. O conjunto de ferramentas suporta Noir, uma linguagem de programação inspirada em Rust, criada pela Aztec para aplicações de conhecimento zero. A World afirmou também que os programadores podem adicionar novas declarações comprováveis sem integrar cada declaração diretamente numa aplicação, uma estrutura concebida para tornar o conjunto de ferramentas mais flexível à medida que os padrões dos documentos e os casos de utilização mudam.
Desempenho móvel e planos para blockchain
A World afirmou que a primeira versão do ProveKit está pronta para produção e pode funcionar em hardware de consumo comum, incluindo telemóveis e navegadores. Os benchmarks do projeto indicam que a geração de provas pode demorar alguns segundos num smartphone típico e menos de 30 segundos num dispositivo de baixo custo utilizado nos testes.
O tempo de criação de provas continua a ser uma grande limitação para as ferramentas de identidade que preservam a privacidade. Os sistemas que exigem hardware especializado ou tempos de processamento longos são pouco adequados para um utilizador numa caixa de pagamento, a aceder a um website ou a concluir uma verificação de conta urgente. Os benchmarks da World ao nível do dispositivo sugerem que o objetivo são estes casos quotidianos, embora o desempenho no mundo real varie consoante o dispositivo, o tipo de documento e a complexidade da reivindicação.
A versão 1 centra-se na verificação fora da cadeia por servidores, computadores e dispositivos móveis. A World está a desenvolver o ProveKit v2 com o objetivo de reduzir o tamanho das provas, os tempos de processamento e os requisitos de memória, melhorando simultaneamente a verificação na cadeia.
Uma das opções em análise é o suporte para Groth16, um sistema de prova zk-SNARK amplamente utilizado para uma verificação eficiente em blockchains. A World afirmou que o suporte para Groth16 poderia permitir a verificação em redes como a World Chain, Ethereum, Base e Solana. A versão anterior do World ID utilizava o protocolo Semaphore da Ethereum Foundation, que também usa Groth16.
O porta-voz afirmou que o ProveKit visa uma segurança pós-quântica de 128 bits e não requer uma configuração de confiança, um processo de configuração preliminar utilizado por alguns sistemas de conhecimento zero que pode introduzir pressupostos de segurança adicionais. A World afirmou que os ataques clássicos e quânticos conhecidos deverão continuar a ser computacionalmente inviáveis nesse nível de segurança.
A pressão regulatória continua por resolver
O lançamento ocorre enquanto o programa de identidade biométrica da World continua sob escrutínio regulatório. As autoridades de Espanha, Quénia, Brasil, Indonésia, Coreia do Sul, Hong Kong e Filipinas analisaram aspetos do projeto, que utiliza hardware Orb para verificar se um participante é um ser humano único. A World afirmou que continua a dialogar com os reguladores à medida que se expande.
A disponibilização do ProveKit como código aberto não resolve essas disputas, sobretudo as questões relacionadas com a recolha de dados biométricos, o consentimento e o tratamento das informações de identidade em diferentes jurisdições. No entanto, dá aos programadores acesso a um modelo técnico que procura minimizar a quantidade de dados do documento que tem de ser divulgada depois de uma credencial ser emitida.
Para a World, o teste passa agora de demonstrar que as verificações de identidade com conhecimento zero podem funcionar dentro da World ID para provar que programadores externos, empresas e serviços dirigidos ao público podem utilizá-las sem acrescentar fricção nem criar novas dependências de confiança.
Quer obter uma visão mais aprofundada sobre privacidade, KYC e identidade em cripto? Explore como a Toobit protege a sua identidade cripto hoje.
Aviso: O conteúdo desta página é fornecido apenas para fins informativos gerais e não representa as opiniões nem aconselhamento financeiro da Toobit. Não garantimos a exatidão ou a integralidade destas informações e não seremos responsabilizados por quaisquer erros, omissões ou consequências resultantes da sua utilização. Investir em ativos digitais envolve riscos; os utilizadores devem avaliar de forma independente a sua situação financeira e os riscos envolvidos. Para mais informações, consulte os nossos Termos de Serviço e a nossa Divulgação de Riscos.
