Os Passos do Ciclo de Vida de Uma Identidade Segura
Pelo menos uma vez na vida, todos nós percorremos os passos necessários para criar uma identidade segura. O ciclo de vida de uma identidade envolve normalmente quatro passos: 1) verificação da informação de identidade; 2) registo da informação de identidade num sistema, criando um registo que tem privilégios associados; 3) criação de um documento de identidade ou credencial; 4) utilização dessa credencial para aceder aos privilégios associados.
Os primeiros três passos resultam numa relação de identidade segura com uma identidade. O quarto passo permite que um indivíduo apresente ou declare uma identidade. Este ciclo pode ser repetido múltiplas vezes ao longo da nossa vida para a criação de relações de identidade e para a obtenção de privilégios.
Passo 1. Verificação da identidade
Antes de registar um indivíduo no sistema, é crítico verificar se a pessoa é quem afirma ser. Apesar desta tarefa poder ser difícil, é crítica para o sucesso e segurança de todo o sistema de identidade. O grau de rigor envolvido na verificação da identidade que é apregoada por uma pessoa deverá depender do valor dos privilégios que vão estar relacionados com essa identidade, ou dos problemas que poderão ser causados pelo acesso de uma identidade fraudulenta aos privilégios. O processo de prova de uma identidade pode incluir o seguinte:
- Verificação cruzada de todos os documentos de identidade disponibilizados por um indivíduo;
- Verificação da informação existente em todos os documentos junto das autoridades emissoras originais;
- Verificação dos elementos de uma identidade (nomeadamente nomes, endereços, números de telefone) junto de terceiras partes;
- Comparação da informação de identidade com listas de criminosos conhecidos, ou com informação de actividades fraudulentas;
- Comparação de informação biométrica existente com a informação biométrica do indivíduo.
- Se alguma das partes deste processo de prova não corroborar a identidade apregoada, o esforço de ligar a pessoa a essa identidade terá que ser alargado (exigindo mais investigação e provas adicionais), ou então será negada a atribuição da credencial a essa pessoa.
Passo 2. Registo da informação e privilégios associados
Após a verificação da identidade de um indivíduo, os dados dessa identidade precisam de ser introduzidos numa base de dados e associados com os privilégios atribuídos. É aqui que a privacidade da informação deve ser uma preocupação. Os dados de identidade registados são informação privada ao cuidado da organização eu atribui os privilégios.
Passo 3. Criação de um documento de identidade
ou credencial
Mesmo que os primeiros três passos do ciclo de vida possam ter lugar ao mesmo tempo e no mesmo local, o processo de emissão da credencial precisa de ser seguro - por exemplo, proteger o acesso à informação de identidade durante a emissão e utilizar instalações seguras para proteger o acesso físico, tanto aos dados, como aos materiais utilizados para a emissão. Uma credencial segura também deve incluir os seguintes elementos:
- Características de segurança visíveis e escondidas;
- Uma estrutura concebida para durar o tempo previsto para a duração dos priviléguios relacionados com essa credencial;
- Resistência a alterações e a cópia para reduzir as fraudes;
- Características de concepção únicas e seguras;
- Características de autenticação automatizada;
- Informação de identidade visível e escondida, de modo a separar a informação de identidade que é pública daquela que é privada;
- Um identificador biométrico para relacionar a credencial com o seu detentor.
Passo 4. Utilização da credencial
Uma credencial segura é emitida para que a pessoa a que está ligada possa aceder aos privilégios associados a essa credencial. É esse o seu grande objectivo. Consequentemente, as considerações de facilidade de utilização são sempre muito importantes - por exemplo, rapidez de utilização da credencial numa transacção autenticada.
Também é importante ter em atenção a durabilidade e a clareza visual da credencial. Outro aspecto chave é a protecção da informação privada contida na credencial, de modo a evitar os acessos não autorizados à mesma.
Baseado num documento da Smart Card Alliance com o título "The Top 10 Hot Identity Topics".