En los últimos años, gobiernos de todo el mundo han implementado opciones de identificación digital, y ahora se están realizando esfuerzos para alentar a las empresas en línea a implementar requisitos de verificación de identidad y edad teniendo en cuenta la identificación digital. Este blog es el primero de una breve serie que explicará la identificación digital y el caso de uso pendiente de la verificación de edad. Las siguientes publicaciones evaluarán qué protecciones reales podemos implementar con los marcos de identificación digital actuales y discutirán cómo una mejor privacidad y controles pueden mantener a las personas más seguras en línea.

Las medidas de verificación de la edad están en auge, y los responsables políticos de EE. UU. y de todo el mundo están aprobando leyes que obligan a los servicios y empresas en línea a introducir tecnologías que exijan a las personas verificar su identidad para acceder a contenidos considerados apropiados para su edad. Pero para la mayoría de las personas, tener documentación física del gobierno, como un permiso de conducir, un pasaporte u otro documento de identidad, no es una simple cuestión binaria de tenerlo o no tenerlo. Los sistemas de identificación física implican cientos de factores que influyen en su precisión y validez, y a diario se dan situaciones en las que los atributos de identificación pueden cambiar, o una identificación puede dejar de ser válida o precisa, o debe volver a emitirse: cambios de domicilio, caducidad o levantamiento de la suspensión del carné de conducir, o emisión de identificaciones temporales en lugar de obtener una identificación permanente.

Los sistemas de identificación digital que se están introduciendo actualmente pueden resolver algunos problemas, como el fraude de identidad en los servicios empresariales y gubernamentales, pero dejan al titular de la identificación digital vulnerable a las necesidades de las empresas que recopilan dicha información. La aceptación de la identificación digital por parte de los estados y el gobierno federal se basa en argumentos como un acceso más rápido, la prevención del fraude y la comodidad. Sin embargo, al proponerse la identificación digital como medio de verificación en línea, es tan probable que bloquee las solicitudes de asistencia pública y otros servicios como que las facilite. Por eso las protecciones legales son tan importantes como las propias identificaciones digitales. Además, en lugares que carecen de una legislación exhaustiva sobre la privacidad de los datos, los verificadores no tienen grandes restricciones en cuanto a lo que pueden y no pueden preguntar al titular. En respuesta a ello, se han sugerido algunos mecanismos de privacidad y se han hecho obligatorios unos pocos, como la promesa de que una función llamada Zero Knowledge Proofs (ZKPs) resolverá fácilmente los aspectos de privacidad del intercambio de atributos de identificación.

Pruebas de conocimiento cero: las buenas noticias

El mayor atractivo de las ofertas de identificación digital modernas, especialmente para aquellos que buscan resolver la verificación masiva de la edad, es la posibilidad de incorporar y compartir algo llamado Prueba de Conocimiento Cero (ZKP) para que un sitio web o una aplicación móvil verifique la información de identificación, sin tener que compartir la identificación en sí o la información explícita que contiene. Las ZKP proporcionan una forma criptográfica de no revelar información, como la fecha de nacimiento exacta y la edad que figura en tu identificación, y en su lugar ofrecen una afirmación de «sí o no» (por ejemplo, mayor o menor de 18 años) a un verificador que requiere un umbral de edad legal. Más concretamente, dos propiedades de las ZKP son la «solidez» y el «conocimiento cero». La solidez resulta atractiva para los verificadores y los gobiernos, ya que dificulta que el titular de un documento de identidad presente información falsificada (el titular no conocerá el «secreto»). El conocimiento cero puede ser beneficioso para el titular, ya que no tiene que compartir información explícita como la fecha de nacimiento, sino solo una prueba criptográfica de que dicha información existe y es válida. Recientemente, grandes empresas tecnológicas como Google han anunciado su intención de integrar las ZKP para la verificación de la edad y «cuando sea apropiado en otros productos de Google».

Pruebas de conocimiento cero: las malas noticias

Lo que las ZKP no hacen es mitigar el abuso de los verificadores ni limitar sus solicitudes, como pedir información innecesaria o limitar el número de veces que solicitan tu edad a lo largo del tiempo. No impiden que los sitios web o las aplicaciones recopilen otro tipo de información personal identificable observable, como tu dirección IP u otra información del dispositivo, mientras interactúas con ellos.

Las ZKP son una gran herramienta para compartir menos datos sobre nosotros mismos a lo largo del tiempo o en una transacción única. Pero esto no sirve de mucho para la industria de los corredores de datos, que ya tiene perfiles masivos de datos sobre las personas. Entendemos que esto no era lo que se pretendía resolver con las ZKP para la verificación de la edad. Pero sigue siendo imperativo señalar que utilizar esta tecnología para compartir aún más información sobre nosotros mismos en línea a través de la verificación obligatoria de la edad establece un ámbito más amplio para el intercambio en un ecosistema ya saturado de información personal fácilmente vinculable en línea. Pasar de presentar tu identificación física quizás 2 o 3 veces a la semana a tener que demostrar tu edad potencialmente a múltiples sitios web y aplicaciones todos los días en línea va a convertir el hecho de conectarse a Internet en una carga como mínimo y en una barrera total como máximo para aquellos que no pueden obtener una identificación.

Proteger el camino a seguir

La verificación obligatoria de la edad toma los posibles beneficios de privacidad de la identificación móvil y las soluciones ZKP propuestas, y los convierte en mecanismos que coartan la libertad de expresión.

Hasta que no se aborden las difíciles cuestiones del desequilibrio de poder de los verificadores potencialmente abusivos y la prevención de las llamadas a casa a los emisores de identificaciones, estos sistemas no deberían impulsarse sin las protecciones adecuadas. Una identificación más privada y centrada en el titular es más que unas ZKP como solución universal para las preocupaciones sobre la privacidad. La seguridad en Internet no se resuelve solo con tecnología, sino que implica múltiples conversaciones continuas. Sí, eso suena más difícil de hacer que comprobar la edad en línea para todo el mundo. Quizás por eso es tan tentador implementarlo. Sin embargo, animamos a los responsables políticos y legislativos a que busquen lo que es mejor, y no lo que es fácil.