Il mondo rende open source ProveKit per portare controlli di identità privati sugli smartphone di tutti i giorni.

      La tecnologia dietro World ID può consentire alle persone di dimostrare la propria età, nazionalità o possesso di un documento d'identità valido senza dover fornire le informazioni personali sottostanti.

      World sta aprendo una delle tecnologie per la privacy dietro World ID, offrendo agli sviluppatori un nuovo modo per costruire controlli dell'identità che possono avvenire direttamente sul telefono di un utente anziché inviare informazioni sensibili a una terza parte.

      L'azienda ha introdotto ProveKit, un toolkit open-source per la prova a conoscenza zero progettato per consentire alle persone di dimostrare fatti su se stesse, come essere sopra una certa età, possedere un documento d'identità valido o soddisfare requisiti di nazionalità o residenza, senza rivelare i dati personali sottostanti.

      Per gli utenti, la promessa pratica è semplice. Invece di caricare un passaporto o una carta d'identità e fidarsi di un'altra azienda per conservarlo in modo sicuro, una persona potrebbe potenzialmente dimostrare solo le informazioni che contano. Un servizio che verifica se qualcuno ha più di 18 anni, ad esempio, potrebbe ricevere conferma che il requisito è stato soddisfatto senza ricevere il loro nome, data di nascita o una copia del loro documento d'identità.

      Il rilascio avviene in un momento in cui i rischi dello status quo sono difficili da ignorare. Il ricercatore di sicurezza Brian Krebs ha riportato questa settimana che un servizio del dark web chiamato Nexus sta vendendo scansioni digitali di oltre 153 milioni di patenti di guida di persone negli Stati Uniti e in Canada, apparentemente sottratte a un fornitore di verifica dell'identità ampiamente utilizzato i cui clienti includono diverse aziende Fortune 500. L'FBI ha aperto un'indagine sulla fonte della violazione. I registri includerebbero scansioni frontali e posteriori, immagini infrarosse e ultraviolette, e timestamp legati a momenti quotidiani come noleggiare un'auto o visitare un dispensario, tutti raccolti semplicemente perché un'azienda ha chiesto di vedere un documento d'identità.

      Questo è esattamente il modello da cui ProveKit è progettato per allontanarsi. Piuttosto che una persona consegnare a un'azienda la propria patente o passaporto, che poi deve essere conservato da qualche parte e diventa un obiettivo, ProveKit consente a una persona di dimostrare solo il fatto specifico di cui un servizio ha bisogno, come essere maggiorenne o possedere un documento valido, mentre il documento d'identità sottostante non lascia mai il loro dispositivo. Se le immagini sensibili al centro della violazione di Nexus non fossero mai state raccolte e archiviate centralmente in primo luogo, non sarebbero state disponibili per essere rubate.

      ProveKit genera queste prove localmente su uno smartphone o un browser, il che significa che le informazioni sottostanti non devono essere inviate a un server esterno per l'elaborazione. World afferma che le prove possono essere generate in pochi secondi su uno smartphone tipico e in meno di 30 secondi su un dispositivo di fascia bassa utilizzato nei test. Il sistema può anche operare offline e con memoria limitata.

      Quella distinzione potrebbe rendere la tecnologia a conoscenza zero significativamente più pratica al di fuori della crittografia. I sistemi di identità che preservano la privacy esistono da anni, ma generare prove crittografiche sofisticate è tradizionalmente venuto con requisiti computazionali e infrastrutturali che possono rendere difficile il dispiegamento su dispositivi di consumo ordinari. ProveKit è progettato specificamente per rendere la prova locale praticabile sull'hardware che le persone già portano con sé.

      La tecnologia non è puramente sperimentale. ProveKit è già integrato in World ID, dove supporta la verifica che preserva la privacy attraverso la rete di identità di World.

      Le credenziali di World ID, ad esempio, possono memorizzare informazioni ottenute da documenti d'identità abilitati NFC localmente sul dispositivo di un utente. ProveKit può quindi essere utilizzato per dimostrare attributi specifici da quelle credenziali senza esporre il resto del documento. Secondo World, quelle informazioni sottostanti rimangono inaccessibili a World Foundation, Tools for Humanity e ad altre terze parti, un approccio che sta in netto contrasto con il tipo di archiviazione centralizzata dei documenti implicata nella violazione di Nexus.

      Per gli sviluppatori, World sta rilasciando ProveKit come una base di codice open-source pronta per la produzione. Supporta Noir, il linguaggio di programmazione ispirato a Rust sviluppato da Aztec per costruire applicazioni a conoscenza zero, consentendo agli sviluppatori di creare ulteriori tipi di affermazioni dimostrabili.

      Il toolkit è anche progettato con la sicurezza a lungo termine in mente. ProveKit punta alla sicurezza post-quantistica a 128 bit, non richiede configurazioni fidate e utilizza lo schema di impegno basato su hash WHIR. La sua implementazione è stata auditata indipendentemente da Least Authority.

      Aprire la tecnologia potrebbe estendere il modello di privacy di World ben oltre World ID stesso. I siti web con restrizioni di età, i servizi finanziari, i marketplace online, le piattaforme di viaggio e altre applicazioni chiedono regolarmente agli utenti di inviare molte più informazioni personali di quanto sia realmente necessario per completare una verifica, lo stesso schema di sovracollezione che ha reso possibile un servizio come Nexus in primo luogo.

      ProveKit offre un modello diverso: dimostrare il fatto, non l'identità dietro di esso.

      World sta già lavorando a ProveKit v2, che dovrebbe rendere le prove più piccole e veloci riducendo i requisiti di memoria e migliorando l'efficienza della verifica on-chain. Poiché incidenti come la violazione di Nexus mettono nuova pressione sulle aziende per ripensare a come gestiscono i documenti d'identità, strumenti come ProveKit indicano un modo di fare verifica dell'identità che non mette mai a rischio un accumulo di patenti scansionate fin dall'inizio.