Si las cosas se hacen bien no habrá, 1) ninguna posible conjura de ninguna de las anteriores entidades (p.ej. alguien entrega sus credenciales a otro), 2) ningún fallo en la implementación del sistema utilizado (p. ej. Integridad de la aplicación y del sistema operativo en el que se ejecuta), 3) ningún fallo en el protocolo seguido, o incluso, 4) en los modos de uso del sistema (p.ej. la correlación temporal de eventos).

EMISIÓN DE CREDENCIALES BASADAS EN PSEUDÓNIMOS

Las propuestas que circulan se basan en la emisión de credenciales basadas en pseudónimos. La idea que está en marcha consiste en que el usuario deberá en algún momento demostrar su mayoría de edad y para ello tendrá que escanear un código QR que lanzará su Billetera Digital en lo que a pruebas de edad se refiere. Si no es un usuario habitual, no dispondrá de esas “credenciales” y tendrán que ser generadas. En respuesta a esa operación, la cartera digital recibirá un lote de 30 credenciales (en principio) anónimas. Cada una de estas credenciales consistirá en un par de clave pública/privada que se genera directamente en tu dispositivo (pseudónimos). Estas credenciales podrán ser renovadas cuando les quede menos de 3 días de vigencias o queden menos del 10% de ellas por usar. Al renovarlas, se eliminan (olvidan) las credenciales viejas.

Cuando se vaya a acceder al proveedor de contenido, se usarán alguna de esas credenciales, las cuales tendrán un mes de validez. Las credenciales usadas en cada caso serán diferentes y el dispositivo olvidará cada credencial en el momento de utilizarla. De este modo se pretende evitar que, con la reutilización de credenciales, se pueda identificar o perfilar al usuario mediante el cruzado de credenciales utilizado en distintos servicios.

La reutilización de credenciales ya utilizadas será una característica que habrá de prestar el Verificador de Edad, que tendría que mantener una Base de Datos con todas las credenciales que ha aceptado, y evitar validarlas una segunda vez que se le presen ten. La razón de ello es que, en principio, no hay ninguna correlación entre las credencia les generadas, ni por un mismo usuario, ni por cualesquiera otros.

Dada la naturaleza de las conexiones http y https, probablemente, la verificación de identidad se convierta internamente en un token de sesión que permita al que lo tenga, navegar libremente por el sitio sin tener que volver a probar su mayoría de edad. De este modo, será el que determine la duración de ese token el que establezca cada cuánto tiempo, o número de conexiones, tienes que probar tu mayoría de edad en tu disfrute del servicio. La validez de todo el sistema, termina dependiendo de la calidad con la que se gestionen esos tokens de autorización y eso es algo que depende del proveedor de contenido en Internet y no del sistema de verificación de edad que se obligue a utilizar.

La validación de la credencial por parte del verificador supondrá, 1) verificar algún tipo de estructura de datos que diga de lo que estamos hablando (ser mayor de edad) y que es lo que se pretende que hablemos, 2) que ese objeto digital está firmado digitalmente con un emisor de credenciales autorizado para afirmar lo que se afirma en la estructura de datos, y 3) que el pseudónimo solicitante ha firmado también digitalmente ese objeto presentado. Si esos tres aspectos se verifican (contenido y dos firmas digitales), el proveedor de servicios podrá dar por satisfecha la Verificación (de lo que sea) y proceder. Del mismo modo, esta credencial podrá ser utilizada como prueba de descargo si al proveedor se le acusa de haber dejado entrar a alguien sin verificación de edad.

CÓMO EL SISTEMA PUEDE SER REALMENTE ANÓNIMO

Para que el sistema sea realmente anónimo, la creación y gestión de los pseudónimos debe hacerse de forma impecable (en secreto, al azar, uniformemente distribuida entre todas las posibles, y de un solo uso, y que sean intransferibles) y sólo por parte del agente que representa al usuario cuya edad se quiere validar.

En las fases de generación de credenciales, el titular, perfectamente identificado (con DNIe, Pasaporte, etc.), tendrá que solicitar a la Fuente Emisora de Datos que corresponda, la generación y firma digital de las correspondientes estructuras de datos. Una vez recibidas, el solicitante tendrá que verificar su corrección (semántica y primera firma digital) y firmarlas con uno y sólo uno de los pseudónimos que ha generado. Para evitar males mayores, debería en ese momento “olvidar” (borrar activamente) la clave privada del pseudónimo que le ha permitido firmar la credencial.

A partir de este momento, la credencial se convierte en un objeto de integridad autocontenida y cualquiera podría presentarlos para asegurar que su edad es su perior a legalmente establecida. Esto tiene que ser así, integridad autocontenida, para desconectar completamente la existencia de la credencial de cualquier cosa, como quién la ha solicitado y en qué momento lo ha hecho. La idea es eliminar (en la medida de lo posible y para todo el mundo) de la credencial cualquier tipo de correlación con su generación y su uso. Cualquier fallo en este aspecto da al traste con la supuesta seguridad y anonimato del sistema de credenciales propuesto.

Algo que hay que tener en cuenta es que la Fuente Emisora de Datos siempre puede mantener una base de datos de todas las credenciales firmadas (y emitidas) en ese momento, el usuario solicitante está perfectamente identificado, por lo que la fuente siempre podría reconocer una credencial firmada por ella (conoce el pseudónimo y la Identidad Legal del solicitante). Dicho de otro modo, si la Policía se hace con la base probatoria de credenciales del servicio web requisado, y las cruza con su base de datos de credenciales emitidas, podrá perfectamente identificar a todos los usuarios/solicitantes que en su momento las generaron/solicitaron.

Otro aspecto a tener en cuenta es la transferibilidad de esas credenciales. Una vez generadas y firmadas, son válidas por sí mismas, y sólo quedan invalidadas por la diligencia del sitio web que la acepto (verificador), por lo que en todos los demás sitios web siguen siendo válidas (posibilidad de doble uso, lo que impide que exista el dinero electrónico). Es verdad que el doble uso podría potencialmente identificar al solicitante, pero, si NO eres tú el solicitante, sino que se trata de credenciales robadas... ¡Al titular legítimo que le den! ¡Pa’lante! Y ya estamos “dentro” (potencialmente) suplantando a otro.