PKI, certificados, listas confiáveis e prestadores qualificados formam a infraestrutura que permite verificar quem emitiu uma credencial e se ela continua válida
Por Redação Crypto ID
A European Digital Identity Wallet, ou EUDI Wallet, foi desenhada para permitir que cidadãos europeus apresentem identidade, atributos e credenciais digitais de forma interoperável entre países e serviços. Mas a existência de uma credencial dentro da carteira, por si só, não é suficiente para torná-la confiável.
Índice
- A Wallet não decide sozinha em quem confiar
- Onde entra a PKI
- O que são âncoras de confiança
- Trusted Lists: as listas que dizem quem faz parte do ecossistema confiável
- Certificados de acesso também controlam quem conversa com a Wallet
- PID e QEAA usam cadeias de confiança
- E onde entram os QTSPs?
- Fonte autêntica, emissor e QTSP não são necessariamente a mesma entidade
- Nem toda credencial seguirá exatamente a mesma cadeia
- Revogação e validade fazem parte da confiança
- A verdadeira infraestrutura está atrás da interface
- A tecnologia não substitui governança
- E a assinatura eletrônica qualificada?
A pergunta decisiva é outra: como quem recebe essa informação sabe que ela foi realmente emitida por uma entidade legítima, que não foi alterada e que ainda pode ser aceita?
É nessa camada menos visível que entram alguns dos componentes mais importantes da arquitetura europeia: PKI, certificados digitais, chaves criptográficas, Trusted Lists, autoridades certificadoras e Qualified Trust Service Providers, os QTSPs.
A Comissão Europeia descreve o Architecture and Reference Framework, ARF, como a espinha dorsal técnica da EUDI Wallet. É esse quadro que define a arquitetura comum do ecossistema e estabelece padrões, protocolos e formatos de intercâmbio entre emissores, carteiras e prestadores de serviços. A versão atual continua sendo atualizada à medida que novos regulamentos de execução são incorporados ao projeto.
A Wallet não decide sozinha em quem confiar
Imagine novamente uma usuária fictícia chamada Sofia.
Sua EUDI Wallet contém uma credencial que informa determinada qualificação profissional. Sofia apresenta essa informação a uma empresa em outro país da União Europeia.
A empresa não deveria confiar simplesmente porque a informação apareceu em uma EUDI Wallet.
Ela precisa conseguir verificar quem emitiu aquela credencial, se o emissor faz parte do ecossistema confiável, se a assinatura criptográfica é válida e se a credencial não expirou ou foi revogada.
A confiança, portanto, não está apenas na carteira.
Está na cadeia que liga o emissor da informação à entidade que precisa verificá-la.
É exatamente essa cadeia que o modelo de confiança da EUDI Wallet procura organizar.
Onde entra a PKI
Para determinadas categorias centrais do ecossistema, o ARF estabelece o uso de Public Key Infrastructure, PKI, ou Infraestrutura de Chaves Públicas, baseada em certificados X.509.
Segundo o modelo atual do ARF, essa infraestrutura é utilizada para garantir interoperabilidade em componentes como certificados de acesso, dados de identificação pessoal, atestados eletrônicos qualificados de atributos e atestados emitidos por ou em nome de organismos públicos responsáveis por fontes autênticas.
Em termos simples, a PKI permite estabelecer relações verificáveis entre uma identidade institucional e uma chave criptográfica.
Quando um emissor assina uma credencial digital, o verificador pode utilizar a chave pública correspondente para conferir aquela assinatura.
Mas isso ainda não resolve tudo.
É necessário saber por que aquela chave pública deve ser considerada confiável.
É aqui que aparecem as chamadas âncoras de confiança.
O que são âncoras de confiança
Uma trust anchor, ou âncora de confiança, é um ponto reconhecido como confiável dentro da cadeia de validação.
No modelo da EUDI Wallet, o ARF descreve uma âncora de confiança como a combinação de uma chave pública com a identificação da entidade associada a ela. Essas informações podem ser utilizadas para verificar assinaturas criadas pela entidade correspondente.
Voltemos ao exemplo.
Sofia apresenta uma credencial.
A empresa recebe a credencial e encontra nela uma assinatura criptográfica.
Para verificar essa assinatura, precisa chegar a um ponto confiável da cadeia que permita responder:
essa chave realmente pertence a um emissor reconhecido?
É justamente para isso que entram as Trusted Lists.
Trusted Lists: as listas que dizem quem faz parte do ecossistema confiável
As Trusted Lists, ou listas confiáveis, são um dos elementos mais importantes da infraestrutura europeia de confiança.
O ARF prevê Trusted Lists para diferentes tipos de participantes, entre eles provedores de Wallet, provedores de PID, emissores de QEAAs, autoridades responsáveis por certificados de acesso e prestadores envolvidos na criação remota de assinaturas eletrônicas qualificadas.
Estar presente na lista adequada permite que outros participantes do ecossistema verifiquem que aquela entidade foi reconhecida dentro do modelo correspondente.
A lógica é semelhante a uma pergunta muito simples:
“Eu recebi uma credencial assinada por esta entidade. Onde verifico que ela realmente é reconhecida como confiável para exercer essa função?”
A Trusted List oferece parte dessa resposta.
Ela publica os elementos necessários para que a cadeia criptográfica possa ser validada.
Isso torna a confiança verificável por máquinas, e não apenas baseada em uma declaração institucional.
Certificados de acesso também controlam quem conversa com a Wallet
A arquitetura europeia não utiliza certificados apenas para assinar credenciais.
O ARF também prevê Access Certificates, ou certificados de acesso.
Esses certificados servem para que diferentes participantes provem sua autenticidade ao interagir com uma Wallet.
Um emissor de dados de identificação, por exemplo, pode precisar apresentar um certificado para demonstrar à carteira que é realmente um provedor reconhecido antes de emitir um PID.
Da mesma forma, uma organização que solicita atributos do usuário precisa se autenticar perante a Wallet.
Essa arquitetura cria confiança em duas direções.
A empresa precisa verificar a informação apresentada por Sofia.
Mas a Wallet de Sofia também precisa saber quem é a empresa que está pedindo seus dados.
Essa reciprocidade é uma das características interessantes do modelo.
PID e QEAA usam cadeias de confiança
Para os Person Identification Data, PID, os dados utilizados para identificar o titular da Wallet, e para as Qualified Electronic Attestations of Attributes, QEAA, o ARF estabelece que o verificador confira a assinatura da credencial utilizando a âncora de confiança correspondente obtida de uma Trusted List.
Na prática, o emissor pode assinar diretamente com sua âncora de confiança ou utilizar certificados intermediários dentro da cadeia.
O importante é que o verificador consiga percorrer essa cadeia e chegar a um ponto reconhecido como confiável.
Esse mecanismo é familiar a quem trabalha com certificados digitais.
Uma assinatura criptograficamente correta não é suficiente se não for possível determinar quem controla a chave utilizada e por que devemos confiar naquela entidade.
E onde entram os QTSPs?
Aqui chegamos a outro ator fundamental.
QTSP significa Qualified Trust Service Provider, ou Prestador Qualificado de Serviços de Confiança.
São organizações submetidas ao regime qualificado do eIDAS para prestar determinados serviços de confiança.
No contexto da EUDI Wallet, os QTSPs aparecem em diferentes funções, especialmente na emissão de determinados atestados qualificados e em serviços relacionados a assinaturas, selos e certificados.
O eIDAS 2 estabelece requisitos específicos para as QEAAs. Entre eles está a necessidade de identificar inequivocamente o prestador qualificado que emitiu a atestação e incluir uma assinatura eletrônica qualificada ou selo eletrônico qualificado do próprio QTSP. A atestação também deve indicar seu período de validade e disponibilizar informação que permita consultar seu status.
Isso adiciona uma camada regulatória à confiança técnica.
Não estamos falando apenas de alguém que possui uma chave criptográfica.
Estamos falando de uma entidade que exerce uma função qualificada dentro do quadro jurídico europeu.
Fonte autêntica, emissor e QTSP não são necessariamente a mesma entidade
Essa distinção é importante.
Imagine que Sofia queira receber uma credencial que comprove sua qualificação profissional.
A informação original pode estar em uma fonte autêntica, como o registro oficial responsável por aquela qualificação.
Um QTSP pode então verificar o atributo nessa fonte e emitir uma QEAA.
O regulamento europeu lista atributos que os Estados-Membros devem permitir que prestadores qualificados verifiquem eletronicamente junto às fontes autênticas, quando esses dados existirem no setor público. Entre os exemplos estão endereço, idade, nacionalidade, qualificações educacionais e profissionais, poderes de representação, licenças públicas e determinados dados de pessoas jurídicas.
Isso mostra que a arquitetura separa três funções:
a fonte da verdade, a entidade que possui o dado original;
o emissor da atestação, que transforma aquela informação em uma credencial digital verificável;
e o verificador, que posteriormente recebe a credencial e decide se pode aceitá-la.
A Wallet conecta essas partes, mas não substitui nenhuma delas.
Nem toda credencial seguirá exatamente a mesma cadeia
Outro cuidado importante é não afirmar que toda credencial da EUDI Wallet dependerá obrigatoriamente do mesmo modelo de PKI.
O próprio ARF distingue categorias.
Para certificados de acesso, PID, QEAAs e determinadas atestações públicas, a interoperabilidade é baseada em PKI X.509. Já atestados eletrônicos não qualificados podem utilizar outros modelos de confiança e mecanismos de verificação. (Carteira Digital Europeia)
Essa diferença é relevante porque evita uma simplificação comum:
EUDI Wallet não é simplesmente “uma PKI em forma de aplicativo”.
A PKI é uma infraestrutura essencial para várias relações de confiança do ecossistema, mas a Wallet comporta diferentes tipos de credenciais e modelos.
Revogação e validade fazem parte da confiança
Outra diferença entre uma credencial digital verificável e uma simples imagem de um documento é a possibilidade de determinar se aquela informação continua válida.
Uma qualificação pode ser suspensa. Uma autorização pode deixar de existir. Um certificado pode expirar. Uma credencial pode ser revogada.
Por isso, verificar apenas a assinatura original não basta.
O eIDAS 2 exige, por exemplo, que uma QEAA indique o início e o fim de seu período de validade e informe onde seu status pode ser consultado.
A confiança digital precisa acompanhar o ciclo de vida da informação.
É uma distinção fundamental.
Uma credencial pode ter sido perfeitamente legítima no momento da emissão e não ser mais válida no momento em que está sendo apresentada.
A verdadeira infraestrutura está atrás da interface
Para o usuário, a experiência poderá ser muito simples.
Sofia abre a Wallet, escolhe uma credencial e autoriza seu compartilhamento.
Em poucos segundos, a empresa recebe a informação.
Por trás dessa ação aparentemente trivial, entretanto, podem estar acontecendo diversas verificações: autenticação da entidade que solicita os dados, validação do emissor, conferência de assinatura, consulta às âncoras de confiança, verificação do período de validade e confirmação de que a credencial não foi revogada.
A EUDI Wallet, portanto, não deve ser compreendida apenas como uma aplicação que armazena documentos.
Ela é a interface de um ecossistema de confiança distribuído entre diferentes participantes.
A tecnologia não substitui governança
Talvez essa seja a principal conclusão deste capítulo.
Criptografia permite demonstrar que determinada informação foi assinada por uma chave.
Um certificado ajuda a associar essa chave a uma entidade.
Uma Trusted List permite descobrir se aquela entidade integra determinado domínio confiável.
Um QTSP adiciona responsabilidades e requisitos regulatórios quando exerce um serviço qualificado.
E as fontes autênticas estabelecem de onde determinados atributos podem ser obtidos.
Nenhum desses componentes, isoladamente, resolve o problema.
A confiança surge quando tecnologia, governança e regulação funcionam conjuntamente.
Esse é justamente um dos aspectos que torna a experiência europeia especialmente interessante para outros ecossistemas de identidade digital.
Não basta desenvolver um formato sofisticado de credencial verificável.
É necessário responder também quem pode emitir, quem pode validar, quem supervisiona, como uma entidade entra ou sai do domínio de confiança e como terceiros conseguem verificar tudo isso de maneira interoperável.
A Comissão Europeia mantém o ARF em evolução justamente para organizar essas relações, incorporando os regulamentos de execução e as especificações técnicas necessárias à implantação das Wallets até o final de 2026.
E a assinatura eletrônica qualificada?
Ao chegar a PKI, certificados, chaves e QTSPs, uma nova pergunta aparece inevitavelmente.
A EUDI Wallet não foi concebida apenas para apresentar identidade e atributos. O novo quadro europeu também prevê que os usuários possam realizar assinaturas eletrônicas qualificadas por meio da carteira.
E aí a discussão muda novamente de nível.
Comprovar quem é uma pessoa e demonstrar um atributo são uma coisa.
Criar uma assinatura com efeitos jurídicos qualificados, proteger a chave privada, determinar onde ela está armazenada e garantir que apenas o titular possa utilizá-la são problemas diferentes.
Esse será o próximo capítulo desta série do Crypto ID: como a EUDI Wallet se conecta às assinaturas eletrônicas qualificadas, aos certificados e aos dispositivos seguros de criação de assinatura, inclusive em modelos remotos administrados por prestadores qualificados de serviços de confiança.
É nesse ponto que a Wallet deixa de ser apenas uma infraestrutura para apresentar identidade e passa também a participar diretamente da formalização das transações digitais.
EUDI Wallet: quem garante a confiança nas credenciais digitais?
eIDAS 2, AMLR e EUDI Wallet: entenda a nova arquitetura europeia de confiança digital
Glossário
EUDI Wallet — European Digital Identity Wallet
Carteira Europeia de Identidade Digital criada pelo eIDAS 2. Permitirá ao usuário obter, armazenar, gerenciar e apresentar dados de identificação e diferentes atributos e credenciais digitais dentro de uma infraestrutura interoperável europeia.
ARF — Architecture and Reference Framework
Quadro de Arquitetura e Referência da EUDI Wallet. Define atores, componentes, relações de confiança, protocolos, formatos e requisitos técnicos usados para permitir a interoperabilidade entre as carteiras e os demais participantes do ecossistema.
PID — Person Identification Data
Dados de Identificação Pessoal utilizados para estabelecer a identidade do titular da EUDI Wallet. Devem ser diferenciados dos demais atributos e credenciais que podem ser associados à pessoa.
QEAA — Qualified Electronic Attestation of Attributes
Atestado Eletrônico Qualificado de Atributos. É uma atestação eletrônica de atributos emitida por um prestador qualificado de serviços de confiança e submetida aos requisitos específicos estabelecidos pelo eIDAS.
QTSP — Qualified Trust Service Provider
Prestador Qualificado de Serviços de Confiança. Entidade que atende aos requisitos do eIDAS para fornecer determinados serviços de confiança qualificados, podendo atuar, conforme o serviço, com certificados, assinaturas, selos e atestados qualificados de atributos.
PKI — Public Key Infrastructure
Infraestrutura de Chaves Públicas. Conjunto de tecnologias, políticas e processos que utiliza criptografia de chave pública e certificados digitais para estabelecer relações verificáveis entre entidades e suas respectivas chaves criptográficas.
Trusted Lists — Listas Confiáveis
Listas utilizadas pelo ecossistema para publicar informações sobre entidades e serviços reconhecidos dentro de determinados domínios de confiança. Permitem que sistemas verifiquem se um prestador ou emissor possui a condição necessária para exercer determinada função.
Trust Anchor — Âncora de Confiança
Ponto de confiança utilizado como referência na validação criptográfica. Associa uma chave pública a uma entidade reconhecida e permite que o verificador percorra uma cadeia de certificados ou assinaturas até uma origem considerada confiável.
Identidade é quem você é. Identificação digital é como você prova isso. O Crypto ID trata dessa distinção desde 2014 e sobre identificação de pessoas e identidades não humanas (NHIs) com abordagem técnica e acadêmica, você só lê aqui!
Inteligência Editorial que Orienta Cenários
Temos como propósito apresentar informações completas, contextualizadas e tecnicamente relevantes. Não disputamos a corrida pela notícia imediata. Nosso compromisso é produzir conteúdos que ajudem efetivamente nossos leitores a tomar decisões, especialmente nos mercados brasileiro e latino-americano. E há ainda um resultado que confirma essa estratégia: a audiência expressiva que conquistamos também entre as plataformas e os mecanismos de busca baseados em inteligência artificial.
Faça parte desse contexto! contato@cryptoid.com.br
