Existe mucha confusión en torno a la identidad electrónica (eID), especialmente cuando se trata de cuestiones de privacidad. Las personas suelen combinar diferentes tecnologías (tarjetas nacionales de identidad electrónica, identidad autosoberana (SSI) y carteras de identidad digital, y asumen que funcionan de la misma manera o tienen implicaciones de privacidad diferentes. Aclaremos algunos conceptos erróneos comunes.
¿Qué es una identificación electrónica?
Un eID es un tipo de credencial verificable emitido por una autoridad de confianza (normalmente un gobierno). Tú, el usuario, control eso. Los sitios web y las aplicaciones pueden solicitarlo para verificar su identidad y, tras la verificación, recibir algunos datos de identidad incluidos en la credencial (por ejemplo, su nombre o código de identificación).
Los tipos de tokens de identificación electrónica incluyen:
- Tarjetas de identificación nacionales (tarjetas inteligentes, que a menudo se utilizan como alternativas a los pasaportes)
- Criptosticks USB o tokens de seguridad
- Tarjetas SIM con certificados integrados
- Aplicaciones móviles seguras (p. ej., Mobile-ID, Smart-ID)
¿La identificación electrónica es un riesgo para la privacidad en comparación con la SSI?
Desde una perspectiva de privacidad, no hay diferencia fundamental entre el uso de una identificación electrónica emitida por un gobierno y una solución de identidad autosoberana si ambos se implementan con estándares criptográficos que respeten la privacidad.
En ambos casos:
- La credencial está debajo tu control
- Tú decides cuándo y dónde usarlo
- Los proveedores de servicios solo reciben los datos que decide compartir
¿Qué pasa con las bases de datos gubernamentales?
Su información personal (registros médicos, impuestos, familia, etc.) ya existe en los sistemas gubernamentales. Si tiene o no una identificación electrónica no cambia la capacidad del gobierno para leer estos datos: las regulaciones determinan ese acceso, no la posesión de una tarjeta de identificación.
Sin embargo, sin una identificación electrónica segura, no puedes acceder a estos datos tú mismo, y no puedes verificar quién accedió a sus registros. Esa es la verdadera diferencia.
¿Es constitucional un código personal único?
Sí Todo gobierno necesita una forma fiable de distinguir a los ciudadanos. Sin un identificador único, imagine que lo arrestan por error porque alguien con su nombre cometió un delito, o que alguien agota su cuenta bancaria haciéndose pasar por usted.
El uso de códigos personales está estandarizado. Por ejemplo, ETSI EN 319 412-1 define estructuras de identidad como:
PNOEE-38112086027
(PNO = número personal, EE = Estonia, seguido del identificador)
Otros tipos compatibles:
PASO DE BALLET— Número de pasaporteIDC— Número de documento nacional de identidadESTAÑO— Número de identificación fiscal
¿Qué datos se recopilan cuando se obtiene una identificación electrónica?
Obtener una tarjeta de identificación electrónica o un token no significa dar al gobierno ningún dato nuevo.
Usted proporciona:
- La misma información de identidad básica que proporcionarías para un pasaporte o documento de identidad nacional
- Posiblemente información biométrica para la verificación de identidad física (no para el uso de la identificación electrónica)
Para emitir una credencial electrónica, el mínimo requerido es:
- Código personal
- Nombre completo (opcional pero común)
Eso es todo. No se recopilan datos adicionales solo porque la credencial es electrónica.
¿El gobierno registra cada vez que uso mi identificación electrónica?
No. Como SSI, la mayoría de los sistemas de identificación electrónica permiten el uso sin conexión o preservando la privacidad.
Hay dos formas principales de verificar su identificación electrónica:
- CRL (lista de revocación de certificados) — El verificador descarga una lista de certificados revocados. No es necesario ponerse en contacto con el emisor. El uso es privado.
- OCSP (Protocolo de estado de certificados en línea) — El verificador pregunta al emisor en tiempo real si su certificado es válido. El emisor puede registrar la IP y la marca de tiempo del verificador.
El OCSP es útil para la prevención del fraude. Por ejemplo, si te roban la tarjeta y la bloqueas, cualquier otro intento de uso fallará en tiempo real.
¿Cuántos datos se revelan al iniciar sesión?
Muy poco. Por lo general:
- Nombre
- Apellidos
- Código personal único (que puede incluir la fecha de nacimiento o el sexo en algunos países)
Qué es no reveló:
- Huellas dactilares
- Imagen facial
- Dirección
- Altura, peso, color de ojos o cabello
- Cualquier dato biométrico
Esto es comparable o mejor más que muchas soluciones de SSI.
Ejemplo de certificado real
Para demostrar que no hay datos secretos involucrados, aquí hay un certificado en vivo extraído de una tarjeta de identificación de Estonia:
$ cat 38112086027.pem
-----BEGIN CERTIFICATE-----
MIIFwDCCA6igAwIBAgIQOMm/0JR7zi1aArcEgjE3PTAN...
-----END CERTIFICATE-----
Uso abrir SSL, podemos inspeccionar su contenido:
$ openssl x509 -in 38112086027.pem -text -noout
Verás:
- Nombre del asunto:
PALA, MARGUS, 38112086027 - Emisor:
ESTEID-SK 2015 - Información de clave pública
- Sin datos personales sensibles
Esta estructura de certificación sigue las normas ETSI y X.509, tal como se exige en toda la UE.
Reflexiones finales
El miedo a la identificación electrónica a menudo proviene de malentendidos. Cuando se usa correctamente, Las tecnologías de identificación electrónica respetan la privacidad, son seguras y empoderadoras. Son no herramientas de vigilancia, y no den a los gobiernos nuevos poderes no lo tenían ya.
Por el contrario, la identificación electrónica permite tú para:
- Vea quién accedió a sus datos en poder del gobierno
- Acceda a los servicios digitales de forma segura
- Demuestre su identidad en línea con una divulgación de datos mínima
