En los últimos meses, un debate se ha producido en todo el mundo: ¿cuál es la mejor manera de permitir que la gente vuelva a viajar dadas las restricciones impuestas por la actual pandemia? ¿Y cuál es la mejor solución tecnológica para apoyar la obtención de credenciales?
Aunque algunos gobiernos todavía están esperando a tomar una posición, y otros están analizando o probando las mejores soluciones que ofrece el mercado, la Comisión de la Unión Europea (UE) ha establecido algunos requisitos para impulsar este mercado en una propuesta recién publicada para la creación de un Certificado Verde Digital. El objetivo es facilitar la libre circulación segura de los ciudadanos dentro de la UE durante la pandemia de COVID-19. Una vez implantado, el Certificado Verde Digital permitirá a los viajeros dentro de la UE presentar una credencial que valide que se ha vacunado contra la COVID-19, ha dado negativo en las pruebas o se ha recuperado de ella. Este certificado permitirá a los viajeros evitar las restricciones de cuarentena que de otro modo se aplicarían y circular más libremente entre los Estados miembros de la UE.
Desde la aparición del virus COVID-19 a principios de 2020, la Fundación IOTA se ha dedicado a crear prototipos de soluciones que permitan a las personas demostrar que han dado negativo en las pruebas de manera fiable, segura y sin problemas.
En particular, la Fundación IOTA ha estado trabajando con Zebra Technologies para acelerar el despliegue y la disponibilidad de una infraestructura abierta, segura e interoperable para la creación y verificación de certificados.
Nuestro enfoque resultante es:
Seguro: La identidad de los emisores y titulares y su estado de verificación no pueden ser manipulados debido a la inmutabilidad del ledger de IOTA.
Respetuoso con la privacidad y conforme a la GDPR: Los datos de vacunación se mantienen localmente en el dispositivo del titular del certificado y sólo se accede a ellos en el momento de la verificación. Cualquier identificador se convierte en un seudónimo.
Interoperable: Los certificados se emiten digitalmente como credenciales verificables estándar del W3C y siguen las recomendaciones del Grupo de Trabajo de Salud Pública de la Fundación Linux.
Abierto: Cualquier emisor autorizado puede escribir -y cualquier verificador puede leer- la información de verificación del certificado desde el libro mayor, sólo con fines de verificación y directamente, sin necesidad de integración de terceros.
Inclusivo: La creación de Identidades Autosoberanas (SSI) es gratuita para todo el mundo gracias a la naturaleza del ledger de IOTA, esto es sin tarifas por transacción y por ser permissionless.
La idea es simple y se basa en la inmutabilidad y escalabilidad del Ledger de IOTA y su Protocolo de Identidad Descentralizada.
Cómo funciona:
Tanto los emisores de certificados (centros que administran el testeo o la vacuna) como los titulares (ciudadanos que se vacunan) tienen una identidad auto-soberana (una clave única pseudo-anónima registrada en el ledger). Las identidades de los emisores son validadas en un proceso único por una organización central, como una agencia gubernamental.
Las identidades de los titulares se verifican en el momento de recibir una prueba COVID-19, una vacuna o un certificado de recuperación a través de una validación adecuada de «Conozca a su cliente» (KYC), como la asignación de un agente dedicado a la administración de la vacuna para comprobar una tarjeta de identificación. Una vez verificada la identidad, los titulares pueden recolectar los certificados digitales que contienen la información ya sea , sobre su vacunación, prueba o recuperación. Este certificado es almacenado localmente y puede descargarse en el smartphone del titular, cargarse en una tarjeta física de identificación única o imprimirse en papel. Tanto los certificados digitales como los físicos tendrán un código de barras o un código QR que podrán escanear posteriormente los verificadores de certificados, como los agentes fronterizos.
Junto con un conjunto mínimo de información legalmente requerida (en nuestra aplicación ya hemos tenido en cuenta las recomendaciones de la Red de eHealth de la UE), el certificado contiene la identidad del titular (su clave pública seudónima verificada), la identidad del emisor y la firma digital del emisor (generada mediante su clave privada). Los certificados almacenados en tarjetas y teléfonos móviles pueden incluso cifrarse con la clave privada del titular para mayor seguridad.
Un verificador (es decir, un agente fronterizo) puede entonces escanear el código de barras o el QR de la tarjeta o el teléfono para recuperar y revisar la información requerida, incluidas las identidades del titular y del emisor y la firma del certificado. A continuación, utiliza el ledger de IOTA para verificar que la firma es auténtica y pertenece a un emisor verificado.
El modelo de datos que consideramos para la información de los certificados puede adaptarse a las necesidades finales de la UE, basándonos en lo anterior nuestra infraestructura cumple los siguientes requisitos técnicos fundamentales:
El marco del «Certificado Digital Verde» debe garantizar que estos certificados puedan ser emitidos en un formato interoperable y ser verificados de forma fiable cuando sean presentados por el titular en otros Estados miembros, facilitando así la libre circulación dentro de la UE (cit.).
Y gracias a su naturaleza centrada en el usuario, el marco que hemos esbozado contribuye a garantizarlo:
Los datos personales a los que se acceda en virtud de este apartado no se conservarán (cit.).
De hecho, ningún dato se almacena de forma centralizada o en el ledger, ni se transfiere, sino que sólo se presenta y verifica localmente.
Junto con Zebra, hemos demostrado que las tarjetas físicas con códigos de barras o códigos QR pueden ser utilizadas por quienes no tienen acceso a teléfonos móviles, haciendo que el programa de certificados sea accesible para todos. Esto es importante porque una media del 20% de las personas en la UE no tiene un teléfono inteligente y no puede almacenar -y por lo tanto presentar- un pasaporte digitalmente. Esta cifra aumenta hasta el 70% en los países menos desarrollados.
También es una buena solución para quienes les preocupa perder o dañar un certificado en papel, ya que este modelo permite sustituir la tarjeta y tener una versión digital de respaldo. Además, las tarjetas biométricas, como los documentos de identidad con fotografía, simplifican y agilizan los procesos automatizados de verificación segura, lo que será importante cuando el volumen de viajeros empiece a aumentar de nuevo.
Nuestra solución está totalmente descentralizada y permite una fácil integración e interoperabilidad entre los Estados miembros de la UE. Sin embargo, para simplificar y acelerar el despliegue de una solución inicial, la UE recomienda la adaptación y reutilización de los servicios de pasarela de la Federación Europea. Dicho Gateway ya fue desplegado para compartir de forma seudónima la información de rastreo durante los viajes transfronterizos.
En esta fase, nuestro enfoque propuesto es totalmente compatible con esta recomendación (véase el flujo de trabajo complementario que integra el Portal y que se representa con líneas discontinuas verdes en la figura anterior). De hecho, creemos que el proceso de registro en el Portal puede utilizarse para agilizar el proceso de verificación de las identidades de los emisores en los Estados miembros de la UE y antes de que se registren en el ledger. La integración de la infraestructura del ledger propuesta como Infraestructura de Clave Pública y una forma de verificar la integridad de un certificado también ofrece un mecanismo complementario más redundante y fiable en caso de cualquier problema de escalabilidad si se adopta inicialmente el modelo del Portal. Las claves para la verificación de los certificados están siempre disponibles para los verificadores, lo que aumenta la interoperabilidad entre países (fuera de la UE).
En el futuro, esperamos que una infraestructura totalmente descentralizada como la que hemos propuesto simplifique la integración, reduzca los costes y proporcione un nivel adecuado de seguridad y responsabilidad, especialmente si finalmente se integrara con la Infraestructura Europea de Servicios de Blockchain (EBSI), que está en evolución.
También creemos que las identidades descentralizadas mejorarán la interoperabilidad, razón por la cual apoyamos a los miembros de la Good Health Pass Collaborative y su iniciativa conjunta sobre interoperabilidad con el grupo Trust over IP.
La Fundación IOTA y sus socios creen que las identidades descentralizadas autosuficientes y las credenciales verificables son la piedra angular para hacer frente a la emergencia actual. También creemos que esta innovación permitirá a Europa responder a futuras emergencias de forma ágil para apoyar mejor las necesidades de los ciudadanos.
Estamos recabando el apoyo de una serie de socios industriales y colaboramos con grupos de investigación sobre seguridad de primer orden, así como con organismos de normalización como el Object Management Group, para desarrollar un marco de identidad descentralizado que reduzca los riesgos actualmente asociados a los sistemas de identidad centralizados tradicionales, como la divulgación (sin control) de datos, la vinculación y la trazabilidad.
Esperamos recibir más apoyo de organizaciones del sector privado y público mientras seguimos construyendo esta infraestructura. Si desea iniciar la integración de su solución con esta infraestructura o ha desarrollado una solución o herramienta que podría facilitar otras integraciones, puede ponerse en contacto con nosotros en [email protected] o en Discord.
Estamos deseando que llegue el día en que la gente tenga la oportunidad de disfrutar de la vida sin demasiadas restricciones, y estamos trabajando duro para que viajar o participar en eventos organizados vuelva a ser posible .
Post original: Digital Green Certificates: A decentralized and interoperable infrastructure
