A identidade digital descentralizada avança além das pessoas e inaugura uma nova camada de confiança para dispositivos conectados
Depois de ganhar espaço em iniciativas de identidade digital de cidadãos, a Identidade Digital Descentralizada (IDD) começa a avançar para um dos maiores desafios da economia conectada: a identidade das máquinas. A combinação de DIDs e Credenciais Verificáveis (VCs) surge como uma possível infraestrutura de confiança para dispositivos IoT, permitindo que sensores, equipamentos industriais e sistemas inteligentes comprovem sua origem, autorização e integridade em redes cada vez mais complexas.
Por José Reynaldo Formigoni Filho e Andreza Lona
Identidade Digital Descentralizada para Pessoa
Sumário
O uso de Identidade Digital Descentralizada (IDD) e, consequentemente, das Credenciais Verificáveis (VC), para identificação de pessoas já é uma realidade em vários países e, mais recentemente, também no Brasil. As primeiras provas de conceitos iniciaram no início de 2018 e, atualmente, observamos várias iniciativas em produção para identidade de pessoas. O setor financeiro, juntamente com o governo, é pioneiro no uso da tecnologia.
No Brasil, algumas instituições financeiras começam a migrar da etapa de testes piloto para a produção. Podemos citar o IDbra, solução de identidade digital descentralizada baseada em blockchain do Bradesco, com foco inicial na jornada de solicitação de cartão de crédito. O IDbra visa agilizar e tornar mais segura a jornada de crédito, combinando registros imutáveis, verificações criptográficas e desenho de privacidade alinhado à LGPD [BLOCKTRENDS].
Outra iniciativa relevante é a da Serasa Experian, que também participou do 2º Workshop de Credenciais Verificáveis e lançou a SerasaPass, uma carteira digital unificada que reúne dados de identificação e pagamento do consumidor, permitindo compras em um clique nos sites e apps integrados, sem precisar preencher um novo cadastro [MOBILE TIME].
Dentre as iniciativas de governo, vale destacar a inciativa da União Europeia em adotar a tecnologia na sua segunda geração do seu sistema de identidade digital, o eIDas 2.0 (electronic Identification, Authentication and trust Services).
Ele reformulou o padrão eIDAS original de 2014, evoluindo de uma estrutura focada apenas em assinaturas e certificados eletrônicos isolados para um ecossistema obrigatório e padronizado de Identidade IDD e VCs. O regulamento foi aprovado em abril 2024 e os países membros tem até o final de 2026 para se adequar aos requisitos do regulamento [UE 2024/1183].
O primeiro país a adotar IDD como o seu sistema de identidade digital foi o Butão. O sistema foi lançado em 2023, chama-se Bhutan NDI (National Digital Identity) e já está em produção [BHUTAN NDI]. O sistema atende hoje cerca de 800 mil residentes, permitindo que eles armazenem e compartilhem VCs para acessar serviços online, cobrindo casos de uso como KYC verificado, autenticação sem senha, assinatura digital e emissão de credenciais.
No Brasil, as provas de conceito e testes pilotos vêm sendo realizados nos últimos anos pela Secretaria de Governo Digital do MGI e CPQD. Em julho de 2024, foi assinado um acordo de cooperação entre estas entidades com o objetivo de avaliar as potencialidades de uso da IDD nos serviços de Governo Digital, através de provas de conceito e projetos piloto [ACORDO DE COOPERAÇÃO MGI nº 1/2024]. Dentre as principais atividades prevista, destaca-se a integração da plataforma CPQD iD com a plataforma de autenticação o Governo Federal, o gov.br.
Enquanto a utilização de IDD para pessoas vem ganhando tração, outras possibilidades de uso da tecnologia estão sendo avaliadas, porém ainda em fase experimental, com provas de conceito e realização de testes piloto.
Após o 2º Workshop de Credenciais Verificáveis realizado em Brasília em 17/06, a Regina Tupinambá escreveu um artigo levantando duas questões de extrema relevância: o uso de IDD para (i) dispositivos IoT e (ii) agentes de IA [TUPINAMBA]. Neste artigo, focaremos no primeiro tema, ou seja, a identidade digital das coisas usando IDD.
A Identidade Digital Descentralizada para Coisas
A principal motivação para a realização de estudos sobre o uso de IDD para dispositivos IoT foi a falta de segurança associada aos processos de identificação e autorização nas soluções IoT. Para mitigar este problema, faz-se necessário um processo robusto de identidade digital do dispositivo, que pode ser definido como a capacidade de atribuir ao dispositivo conectado uma identidade digital única, verificável e gerenciável ao longo de seu ciclo de vida, permitindo que ele seja reconhecido, autenticado, autorizado e auditado em interações digitais.
Fazendo um paralelo com a identidade digital de pessoas, onde uma pessoa pode apresentar uma credencial verificável para comprovar sua formação, idade ou vínculo institucional, na IDD das coisas um dispositivo pode apresentar uma credencial verificável para comprovar sua origem, autorização, integridade operacional ou pertencimento a determinado ecossistema.
Em dispositivos mais robustos, como gateways, Raspberry Pi, equipamentos industriais ou medidores inteligentes, o próprio dispositivo pode armazenar chaves criptográficas, operar um agente de identidade e apresentar credenciais.
Em dispositivos mais simples, com pouca memória, baixa energia ou baixo poder de processamento, a identidade pode ser representada por um gateway, um agente de borda ou um gêmeo digital. Essa escolha é crítica porque muitos sensores IoT não conseguem executar diretamente todos os componentes de uma solução de IDD.
Um identificador descentralizado (DID) é associado ao dispositivo, quefunciona como sua uma identidade digital verificável. Ele pode estar associado a chaves públicas, métodos de autenticação e endpoints de comunicação. Na prática, o DID permite que uma plataforma reconheça aquele dispositivo como uma entidade específica, e não apenas como mais um equipamento conectado a uma rede.
Além do DID, poderão estar associadas ao dispositivo uma ou mais VCs. Essas credenciais podem declarar atributos como fabricante, modelo, número de série, versão de firmware, data de fabricação, proprietário, instalador, operador autorizado, certificado de calibração, local de instalação, permissões de comunicação e status operacional.
Uma questão relevante é a proteção das chaves criptográficas. Como a VC depende de assinatura digital e autenticação, o dispositivo ou seu representante precisa proteger adequadamente suas chaves privadas. Em equipamentos mais robustos, isso pode envolver elementos seguros de hardware, TPM ou módulos criptográficos. Em dispositivos simples, pode ser necessário delegar parte dessa função a um gateway seguro. Sem proteção adequada das chaves, um atacante poderia clonar ou se passar pelo dispositivo.
Outra questão também relevante está relacionada com o ciclo de vida da identidade do dispositivo. A solução precisa prever como a identidade será criada, ativada, atualizada, transferida, suspensa, revogada ou desativada.
Isso é importante porque dispositivos IoT podem ser vendidos, trocados, reinstalados, roubados, comprometidos ou descomissionados. Uma credencial verificável precisa ter mecanismos de validade e revogação para que uma plataforma saiba se aquele dispositivo ainda deve ser confiável.
As pesquisas acadêmicas em IDD das Coisas
Os trabalhos acadêmicos envolvendo IDD+VC+IoT começaram a ganhar relevância em 2020. Um artigo bastante referenciado é o “Self-Sovereign Identity for IoT environments: A Perspective” [Fredrecheski et al, 2020], publicado em março de 2020, com autores da Universidade de São Paulo e da California Berkley University.
Ele analisa o uso de IDD no contexto de IoT e compara abordagens tradicionais de identidade, tais como contas em nuvem e certificados digitais, com padrões de IDD, especificamente DIDs e VCs. O artigo afirma que era a primeira comparação aprofundada dessas abordagens para identificação e autenticação de dispositivos IoT e seus usuários.
Em 2021, surgem as primeiras propostas orientadas a implementação e redução de overheads. Vale destacar um novo artigo, dos mesmos autores, denominado “A low-overhead approach for self-sovereign identity in IoT” [Fedrecheski et al, 2021]. O foco estava na proposição de mecanismos para uso de DIDs e comunicação segura baseada em DID em redes restritas, reduzindo overhead de metadados e mensagens.
Esta questão é relevante porque um dos grandes obstáculos da aplicação de IDD em IoT é justamente a limitação computacional dos dispositivos. A principal conclusão é que IDD pode ser aplicada a IoT de forma nativa mesmo em redes e dispositivos restritos, desde que os mecanismos de identidade e comunicação sejam otimizados para baixo overhead.
Em 2022, ocorre a proposição de arquiteturas, início das provas de conceito, trabalhos que tratam de IDD em modelos de negócio IoT e uso de DIDCom, que é um protocolo de comunicação segura entre entidades identificadas por DIDs. A partir de 2023 começa a se consolidar como uma linha de pesquisa mais estruturada, com taxonomias, modelos de ciclo de vida de credenciais e propostas específicas para autenticação e autorização descentralizadas de dispositivos conectados.
Em 2024, o artigo “SSI4IoT: Unlocking the Potential of IoT Tailored Self-Sovereign Identity” [DAYARATNE et al] apresenta uma taxonomia específica para o uso de VCs em IoT e um guia de desenho para adaptá-las ao universo IoT.
Sua contribuição está em mostrar que VCs para dispositivos devem ser específicas ao caso de uso, ao nível de confiança exigido, ao escopo de interoperabilidade e à capacidade do equipamento. Segundo os autores, a adoção de IDD e VCs em IoT não deve começar pela escolha da blockchain, mas pela definição de quais atributos precisam ser provados, por quem serão emitidos, por quanto tempo serão válidos, onde serão armazenados e quem fará a verificação em dispositivos com diferentes capacidades.
O Projeto BlockIoT
O projeto BlockIoT, executado pelo CPQD com recursos do Funttel, entre final 2019 e início de 2023, tinha como um dos objetivos investigar a viabilidade da utilização de IDD para aumentar a segurança, a privacidade e a confiabilidade das informações geradas por dispositivos conectados.
O projeto propôs o DIDIoT, um arcabouço de identidade digital descentralizada baseado em blockchain, no qual dispositivos IoT poderiam receber, armazenar e apresentar credenciais verificáveis, permitindo que plataformas digitais validassem a identidade desses dispositivos antes de aceitar suas mensagens ou dados.
A prova de conceito desenvolvida demonstrou a viabilidade técnica da proposta em um ambiente experimental com dispositivos físicos. A arquitetura utilizou componentes abertos, como Hyperledger Aries, Hyperledger Indy, Aries Cloud Agent Python — ACA-Py —, biblioteca criptográfica URSA, plataforma Dojot, Raspberry Pi, Arduino, sensores e comunicação MQTT.
Um dos resultados mais relevantes foi a integração do protocolo DIDComm com MQTT, permitindo que mensagens típicas de IoT fossem transportadas com uma camada adicional de segurança associada à identidade descentralizada.
Na prática, o dispositivo coletava os dados, acionava seu agente de identidade, enviava a mensagem protegida via DIDComm encapsulada em MQTT, e a plataforma Dojot recebia, descriptografava e disponibilizava a informação para visualização. Essa abordagem preservou um padrão amplamente usado em IoT, ao mesmo tempo em que acrescentou mecanismos de autenticação, privacidade e interoperabilidade.
As conclusões do estudo indicaram que a IDD pode ser uma camada relevante de segurança para ecossistemas IoT, especialmente quando há necessidade de garantir que apenas dispositivos identificados e autorizados possam trocar informações sensíveis.
Segundo Antônio Mateus Sousa, pesquisador líder do projeto, “A prova de conceito mostrou que os dispositivos tiveram suas identidades validadas e suas informações protegidas por meio do DIDComm, permitindo que somente as partes interessadas enviassem e visualizassem os dados”.
O estudo também apontou caminhos importantes de evolução, como avaliar a escalabilidade da solução, levá-la para cenários reais de produção, integrar a identidade dos dispositivos a aplicações voltadas ao proprietário e ampliar a interoperabilidade com outros protocolos IoT, como LoRa, Bluetooth Low Energy e CoAP.
Para decisores empresariais, a principal mensagem é que credenciais verificáveis para dispositivos não são apenas um tema acadêmico uma vez que elas podem se tornar uma infraestrutura prática de confiança para ambientes conectados, reduzindo riscos de fraude, adulteração, uso indevido de dispositivos e baixa rastreabilidade operacional.
Tendências e Desafios para IDD das Coisas
Do ponto de vista acadêmico, as pesquisas sobre IDD e VCs aplicadas à IoT estão avançando em cinco frentes principais:
- Modelos de autenticação e autorização descentralizadas para redes IoT dinâmicas;
- Adaptação de credenciais verificáveis ao ciclo de vida dos dispositivos;
- Uso de agentes, gateways e gêmeos digitais para representar dispositivos com baixo poder computacional;
- Integração de DIDs e VCs com protocolos já consolidados, como MQTT, BLE, CoAP e LoRa;
- Uso de credenciais para representar atributos técnicos, como fabricante, versão de firmware, calibração, autorização operacional, pertencimento a uma rede e status de revogação.
Os principais desafios ainda não resolvidos estão ligados à passagem de provas de conceito para ambientes reais de produção. Entre eles, podemos destacar:
- A escalabilidade da emissão, verificação e revogação de credenciais para milhões de dispositivos;
- A limitação computacional e energética de sensores e atuadores;
- A governança sobre quem pode emitir credenciais confiáveis;
- A interoperabilidade entre diferentes métodos DID, blockchains, carteiras, agentes e protocolos IoT;
- A vinculação segura entre a identidade digital e o dispositivo físico, especialmente em casos de clonagem, roubo, adulteração de firmware ou substituição de componentes.
A literatura também destaca desafios de privacidade, usabilidade, confiança e adoção regulatória, além da necessidade de arquiteturas híbridas que combinem IDD e VCs com segurança tradicional de IoT, criptografia leve, hardware seguro, monitoramento contínuo e modelos Zero Trust.
Comentários Finais
O uso de IDD e VCs para dispositivos IoT viabiliza a criação de uma camada adicional de segurança para os dispositivos conectados, permitindo verificar não apenas a origem dos dados, mas também a identidade, os atributos, a autorização e o status do dispositivo que produziu tais dados.
Para uso em escala da tecnologia, será necessário definir quem pode emitir credenciais para dispositivos como essas credenciais serão revogadas, como lidar com troca de proprietário, atualização de firmware, substituição de componentes, roubo, clonagem ou descomissionamento. Sem essa governança, a tecnologia pode funcionar em uma prova de conceito, mas terá dificuldade em ambientes empresariais ou regulados.
Em termos de padronização e regulação podemos afirmar que ainda estão fragmentadas. Há padrões maduros para DIDs e Credenciais Verificáveis, há normas e regulações cada vez mais fortes para segurança cibernética de dispositivos IoT, mas ainda há pouca regulação específica que trate diretamente de IDD e VCs para dispositivos IoT como um conjunto integrado.
Em termos de mercado, podemos dizer que soluções comerciais amplamente adotadas que usem explicitamente DIDs e VCs para a identidade de dispositivos IoT físicos ainda são incipientes. Os casos mais próximos aparecem em setores como energia distribuída e DePIN, com iniciativas como Energy Web e IoTeX/ioID, enquanto, nos demais setores, o tema ainda se manifesta predominantemente em provas de conceito, pilotos e projetos de pesquisa aplicada.
Glossário
- CoAP – Constrained Application Protocol – é um protocolo de comunicação desenvolvido especificamente para dispositivos com recursos limitados, como sensores IoT, medidores inteligentes, atuadores e dispositivos alimentados por bateria.
- Credenciais Verificáveis (VCs) – Declarações assinadas criptograficamente que permitem a uma entidade provar sua identidade ou atributos sem senhas ou intermediários.
- DePIN — Decentralized Physical Infrastructure Networks: trata-se de um modelo em que redes físicas do mundo real são construídas, operadas ou expandidas por participantes distribuídos, normalmente incentivados por tokens e coordenados por uma infraestrutura blockchain.
- Funttel – Fundo para o Desenvolvimento Tecnológico das Telecomunicações) é um fundo público federal criado pela Lei nº 10.052, de 28 de novembro de 2000, com a finalidade de financiar projetos de pesquisa, desenvolvimento e inovação (PD&I) voltados ao setor de telecomunicações no Brasil. Sua gestão está vinculada ao Ministério das Comunicações.
- Decentralized Identifiers (DIDs) – Um DID é um identificador digital globalmente único, projetado para permitir que uma pessoa, organização, dispositivo, sistema ou outro tipo de entidade seja identificada de forma verificável, sem depender necessariamente de uma autoridade central de registro.
- DIDCom: É um protocolo de comunicação segura entre entidades identificadas por DIDs. Ele permite que duas partes, tais como pessoas, organizações, agentes de software ou dispositivos IoT, troquem mensagens com propriedades de segurança como autenticação, confidencialidade, integridade, privacidade e roteamento.
- KYC – Know Your Costumer – conjunto de processos, normas e verificações de segurança obrigatórios adotados por instituições financeiras, bancos, corretoras de investimentos, empresas de tecnologia financeira (fintechs), exchanges de criptomoedas e outras entidades para verificar a identidade real dos seus clientes.
- MQTT – Message Queuing Telemetry Transport – é um protocolo de comunicação extremamente leve baseado no modelo publish/subscribe, projetado para conectar dispositivos com recursos limitados (como sensores e atuadores IoT) através de redes com baixa largura de banda ou alta latência.
- PKI – Public Key Infrastructure ou Infraestrutura de Chaves Públicas: é o conjunto de tecnologias, políticas, processos e entidades que permite usar criptografia de chave pública para identificar pessoas, organizações, sistemas ou dispositivos e proteger comunicações digitais.
- Plataforma Dojot: é uma plataforma open source brasileira para IoT, desenvolvida inicialmente pelo CPQD em parceria com outras instituições de pesquisa e tem por objetivo simplificar o desenvolvimento, a implantação e a operação de soluções IoT.
- Trusted Platform Module (TPM): é um componente de segurança, normalmente implementado como um chip físico ou como módulo integrado ao processador, usado para proteger chaves criptográficas e verificar a integridade de um dispositivo.
- W3C (World Wide Web Consortium): Consórcio internacional que desenvolve padrões técnicos abertos para garantir o crescimento a longo prazo da internet.
Referênciais
[BLOCKTENDS]. Bradesco inicia testes de identidade via blockchain com foco na jornada de crédito. Disponível em: <https://blocktrends.com.br/bradesco-inicia-testes-de-identidade-via-blockchain-com-foco-na-jornada-de-credito/>. Acesso em: 17/07/2026.
[BUTHAN NDI]. Buthan National Decentralized Identity. Diposnível em: https://github.com/Bhutan-NDI. Acesso em: 17/07/20226.
[MOBILE TIME]. Serasa cria SerasaPass, uma identidade digital para pagamentos online. Disponível em: https://www.mobiletime.com.br/noticias/10/06/2025/serasapass/. Acesso em: 17/07/2026.
DAYARATNE, Thusitha; FAN, Xinxin; LIU, Yuhong; RUDOLPH, Carsten. SSI4IoT: unlocking the potential of IoT tailored self-sovereign identity. arXiv, 2024. Disponível em: https://arxiv.org/abs/2405.02476. Acesso em: 20 jul. 2026
[Fedrecheski et al, 2020]. Self-Sovereign Identity for IoT environments: A Perspective. Disponível em: https://arxiv.org/pdf/2003.05106. Acesso em: 19/07/2026.
[Fedrecheski et al, 2021]. Self-Sovereign Identity for IoT environments: A Perspective. Disponível em: https://arxiv.org/pdf/2003.05106. Acesso em: 19/07/2026.
[SGD/MGI]. ACORDO DE COOPERAÇÃO MGI nº 1/2024]. Disponível em:< https://www.gov.br/gestao/pt-br/acesso-a-informacao/acordos-de-cooperacao-com-a-sociedade-civil/2024/termo-aditivo-de-acordo-de-cooperacao_tecnica-012024.pdf >. Acesso em: 05/08/2026.
[TUPINAMBÁ] Por que precisamos expandir o debate sobre credenciais verificáveis? Disponível em: < https://www.linkedin.com/pulse/por-que-precisamos-expandir-o-debate-sobre-regina-tupinamb%C3%A1-jn24f/?trackingId=qm%2BiwA6nT9abE67LRZKm7w%3D%3D>. Acesso em: 19/07/2026.
[UE 2024/1183]. REGULAMENTO (UE) 2024/1183 DO PARLAMENTO EUROPEU E DO CONSELHO, que altera o Regulamento (UE) n.o 910/2014 no respeitante à criação do Regime Europeu para a Identidade Digital. Disponível em: <que altera o Regulamento (UE) n.o 910/2014 no respeitante à criação do Regime Europeu para a Identidade Digital>. Acesso em: 17/07/2026.
Sobre os Autores
José Reynaldo Formigoni Filho
Graduado em Engenharia Elétrica pela FEEC /UNICAMP (1984) e mestrado em Engenharia de Sistemas pela mesma instituição (1995). MBA Direito Digital pela Escola Paulista de Direito (2019). Possui mais de 40 anos de experiência, atuando como pesquisador, consultor, líder técnico, coordenador de projetos para o setor de tecnologia de informação e comunicação (TIC). De 2017 a 2025 foi responsável por estruturar a área de blockchain do CPQD, atuando da proposição e realização de projetos de P&D, desenvolvimento de produtos e realização de pilotos com entidades relevantes como a Secretaria de Governo Digital do MGI e Banco Central. Atualmente, atua como consultor ad hoc em tecnologias descentralizada, auxiliando empresas e ICTs na proposição e realização de projetos de PD&I, desenvolvimento de produtos e na análise de viabilidade do uso de tais tecnologias.
Andreza Lona
É Gerente de Soluções no CPQD, liderando time multidisciplinar de P&D em Blockchain, Credenciais Verificáveis e Identidade Digital. Analista de Sistemas pela Pontifícia Universidade Católica de Campinas (1998) com MBA em Gestão de Negócios pela Escola Superior de Administração, Marketing e Comunicação (2012), possui longa experiência no ciclo de vida de TI, tendo atuado como gerente de projetos, coordenadora de operações de BSS e especialista em banco de dados. Atualmente, foca na proposição e execução de projetos de P, D&I que resultem ativos digitais a serem usados em produtos e na viabilização de novos modelos de confiança digital.
Agradecimento
O Crypto ID agradece a José Reynaldo Formigoni Filho e Andreza Lona pela contribuição e parceria na construção deste conteúdo sobre Identidade Digital Descentralizada, Credenciais Verificáveis e suas aplicações em IoT.
O conhecimento compartilhado por ambos fortalece o debate sobre segurança, privacidade e confiança digital, contribuindo para ampliar a compreensão dos desafios e oportunidades da nova economia conectada.
DLMS e OM-BR: como a criptografia fortalece a medição inteligente no Brasil
Por que precisamos expandir o debate sobre credenciais verificáveis
Copa do Mundo 2026 acelera a era dos estádios inteligentes e transforma a jornada dos torcedores
PKI sob pressão: certificados invisíveis ampliam risco de indisponibilidade aponta DigiCert
Acompanhe nosso conteúdo sobre IoT – Internet of Things – Internet das coisas, e entenda porque equipamentos conectados precisam ser identificados com credenciais únicas, intransferíveis e revogáveis.
