Un cont de e-mail, un număr de telefon confirmat prin SMS, o fotografie a buletinului trimisă cândva unei bănci și vreo cincizeci de parole salvate în browser, dintre care jumătate sunt aceeași parolă cu o cifră schimbată la final. Cam așa arată identitatea online a omului obișnuit. Nimeni nu a proiectat vreodată această construcție. S-a adunat de la sine, strat peste strat, pe măsură ce tot mai multe lucruri s-au mutat pe internet și fiecare serviciu nou a cerut încă o dovadă că ești cine spui că ești.
Portofelele crypto și aplicațiile construite pe blockchain propun un alt răspuns la aceeași întrebare. Nu unul perfect, cum vom vedea, dar destul de diferit încât să merite înțeles înainte ca portofelele de identitate să devină obligatorii prin lege în Uniunea Europeană.
Ce înseamnă, de fapt, o identitate digitală?
Identitatea digitală este suma informațiilor despre o persoană care circulă și se stochează online. Nu e un document, nu e un card și nu se află într-un singur loc. Seamănă mai degrabă cu un portret compus din fragmente împrăștiate prin zeci de baze de date, fiecare deținută de altcineva. Banca are o versiune a ta. Operatorul de telefonie are alta. Magazinul online de la care comanzi de trei ori pe an are a treia, iar rețelele sociale au probabil cea mai bogată dintre toate, pentru că le-ai hrănit personal, zilnic, ani la rând.
Companiile folosesc aceste fragmente ca să te recunoască. Fără ele, un serviciu online nu ar avea cum să distingă între un client vechi și cineva care tocmai i-a furat parola. Nevoia a crescut brusc în ultimul deceniu, pentru că mutarea comerțului, a serviciilor bancare și a administrației în mediul digital a creat un teren mult mai generos pentru fraudă. Cu cât mai multe operațiuni se fac de la distanță, cu atât mai valoroasă devine capacitatea de a verifica rapid cine se află de cealaltă parte a ecranului.
Din ce se compune profilul unui om online?
O parte din identitate ți-o atribuie instituțiile: codul numeric personal, seria buletinului, numărul de pașaport. Altă parte ți-o construiești singur, prin adresele de e-mail pe care le deschizi și numele de utilizator pe care le alegi. Iar restul, cel mai greu de urmărit, se formează din comportament. Ce cumperi, de pe ce dispozitiv te conectezi, la ce ore ești activ, ce adrese IP folosești, cât de repede tastezi.
Ultima categorie este și cea mai valoroasă comercial, tocmai pentru că nu o declari niciodată explicit. Se acumulează în tăcere, iar utilizatorul obișnuit nu are nici măcar o listă a locurilor unde există.
Drumul de la parolă la portofel
Prima generație de web nu avea nevoie de identitate. Paginile erau statice, iar vizitatorul era un cititor anonim care nu lăsa în urmă decât o linie într-un fișier de log. Problema a apărut odată cu interactivitatea. Din clipa în care puteai să publici, să cumperi sau să comentezi, cineva trebuia să știe cine ești.
Soluția Web2 a fost contul. Fiecare site și-a construit propria bază de date cu utilizatori, propriul sistem de parole și propriile reguli. Rezultatul a fost o proliferare pe care nimeni nu o mai putea gestiona, așa că a apărut a doua soluție, identitatea federată. Butonul de conectare cu Google sau cu Facebook a rezolvat oboseala parolelor mutând responsabilitatea către câțiva furnizori mari, care garantează pentru tine în fața restului internetului.
Ambele modele suferă de același defect, și nu unul de implementare, ci de arhitectură. Dovada că exiști se află în altă parte. Dacă furnizorul îți suspendă contul, dacă baza lui de date este spartă sau dacă pur și simplu decide să schimbe regulile, nu ai la cine apela. Identitatea ta digitală este, în esență, un drept de folosință acordat de altcineva.
Ce este Web3 și de ce schimbă regulile?
Web3 este numele dat celei de a treia generații de internet, construită pe tehnologia blockchain și pe ideile web-ului semantic, unde datele sunt legate între ele într-un mod pe care mașinile îl pot interpreta. Ambiția declarată este descentralizarea, adică o rețea în care nu mai există un intermediar obligatoriu între utilizator și serviciu.
În practică, un utilizator de Web3 interacționează cu aplicații a căror stare se păstrează pe o rețea publică, iar accesul se face printr-o cheie criptografică pe care o deține el însuși. Schimbarea pare tehnică, dar mută fundamentul identității online. Nu mai ceri permisiunea de a exista într-un sistem. Îți dovedești existența matematic.
Cum se verifică astăzi o identitate online?
Verificarea prin documente presupune fotografierea unui act de identitate și analiza automată a elementelor de securitate, de la microprint până la zona citibilă optic de pe verso. Verificarea în baze de date compară datele declarate cu registre oficiale sau comerciale. Biometria adaugă amprenta, vocea sau recunoașterea facială, iar tehnicile de liveness detection cer utilizatorului să clipească sau să întoarcă puțin capul, ca sistemul să nu poată fi păcălit cu o fotografie ținută în fața camerei. Cele mai multe platforme le combină, în funcție de cât de riscantă este operațiunea.
După ce trece prin acest filtru, utilizatorul capătă acces la servicii care altădată cereau prezență fizică: cont bancar, platformă de investiții, contract de telefonie, închiriere de mașină. Avantajul evident e că nu mai trebuie să te deplasezi nicăieri. Al doilea, discutat mult mai rar, e că verificarea digitală a devenit în multe situații mai sigură decât cea de la ghișeu, pentru că un algoritm compară mii de detalii pe care un ochi obosit la ora patru după-amiaza le ratează.
De ce insistă companiile pe verificarea clienților?
Obligațiile legale vin primele. Instituțiile financiare trebuie să își cunoască clientela și să prevină spălarea banilor, iar în Uniunea Europeană cerințele s-au extins și asupra furnizorilor de servicii cu active digitale. Peste asta se așază prevenirea fraudei, unde miza se măsoară direct în pierderi, și experiența utilizatorului, pentru că o verificare de treizeci de secunde convertește incomparabil mai bine decât una care cere trei zile și o vizită la sediu.
Există și un calcul mai puțin romantic, care decide de obicei bugetele. Fiecare utilizator care abandonează înregistrarea la jumătatea procesului a fost deja plătit, prin publicitate, fără să aducă nimic înapoi. Verificarea greoaie nu este doar o neplăcere pentru client, ci o gaură în contul de profit.
Cum funcționează identitatea în Web3?
Aici lucrurile arată complet diferit. În aplicațiile Web3, identitatea începe de la adresa portofelului cu care utilizatorul interacționează. Spre deosebire de autentificarea prin e-mail și parolă sau prin protocoale de tip OAuth, adresa nu conține și nu dezvăluie nimic despre persoana din spatele ei. Este un șir de caractere derivat criptografic, complet pseudonim, atât timp cât proprietarul nu alege el însuși să îl lege public de numele său.
Conectarea se face prin semnătură. Aplicația generează un mesaj, portofelul îl semnează cu cheia privată, iar serverul verifică semnătura și atât. Nu se transmite nicio parolă, iar aplicația nu stochează nimic care să merite furat mai târziu. Bazele de date cu parole, care au alimentat majoritatea scurgerilor masive din ultimii ani, dispar pur și simplu din ecuație.
Reputația care călătorește cu utilizatorul
Partea cu adevărat interesantă apare când aceeași adresă este folosită în mai multe aplicații. Istoricul se acumulează și devine portabil. Un utilizator care a împrumutat și a rambursat corect în mai multe protocoale de finanțare descentralizată, care a votat constant în guvernanța unui proiect sau care deține de trei ani un anumit set de active își poartă acest trecut cu el, dintr-o aplicație în alta, fără să ceară voie nimănui.
Gândește-te la un vânzător care și-a construit în zece ani o reputație impecabilă pe o platformă de comerț online. Dacă se mută, nu ia nimic cu el. Notele, recenziile și vechimea rămân acolo, ca activ al platformei, nu al lui. În Web3, istoricul aparține adresei, iar adresa aparține utilizatorului.
Aceeași proprietate are însă și o față urâtă. Istoricul nu se șterge. Un vot regretabil, o tranzacție proastă sau o interacțiune cu un protocol care s-a dovedit ulterior fraudulos rămân vizibile permanent, pentru oricine se obosește să se uite.
Ce încearcă să repare identitatea descentralizată?
Sistemele centralizate adună date personale în locuri puține și mari, ceea ce le transformă automat în ținte. Scurgerea de la Equifax din 2017 a expus informațiile a aproximativ 147 de milioane de oameni, printre care nume, date de naștere, adrese și numere de asigurare socială, iar ancheta autorității americane pentru comerț a arătat că totul a pornit de la o vulnerabilitate cunoscută pentru care exista deja un patch. În sfera crypto, incidentul de la Ledger din 2020 a scos în piață peste un milion de adrese de e-mail și un set mai mic, dar mult mai sensibil, de adrese poștale și numere de telefon. Au urmat tentative de șantaj și, în câteva cazuri raportate de presă, vizite nedorite la domiciliu.
Stocarea descentralizată schimbă calculul atacatorului. Când datele de identitate stau pe dispozitivele utilizatorilor, iar registrul public păstrează doar dovezi criptografice, nu și informația în sine, nu mai există o singură ușă de spart. Cine compromite un telefon obține datele unei singure persoane, ceea ce face efortul aproape întotdeauna nerentabil.
Dovada fără dezvăluire
Al doilea câștig este de altă natură și, pe termen lung, probabil mai important. Tehnicile criptografice de tip zero-knowledge permit demonstrarea unui fapt fără dezvăluirea informației care îl susține.
Exemplul clasic e verificarea vârstei. Ca să cumperi un produs cu restricție, arăți astăzi un act care conține data nașterii, numele, adresa, codul numeric personal și fotografia. Comerciantul are nevoie de un singur bit de informație, răspunsul la întrebarea dacă ai peste optsprezece ani, dar primește tot dosarul. O credențială verificabilă construită pe dovezi zero-knowledge livrează exact acel bit, semnat criptografic de o autoritate în care comerciantul are încredere, și nimic în plus.
Aplicat pe scară largă, principiul ar reduce dramatic volumul de date personale care circulă inutil prin economie. Nu ai mai lăsa copia buletinului la recepția unui hotel, la un service auto sau la o agenție imobiliară. Ai lăsa o dovadă că îndeplinești condiția cerută, iar dovada nu ar putea fi refolosită pentru altceva.
Identitatea suverană și standardele din spatele ei
Conceptul care organizează toate aceste idei se numește identitate suverană, iar arhitectura lui se sprijină pe trei roluri care se pot recunoaște ușor. Emitentul garantează un atribut, cum ar fi un minister care confirmă cetățenia sau o universitate care confirmă o diplomă. Deținătorul este persoana, care păstrează credențiala în portofelul propriu. Verificatorul este oricine are nevoie să confirme atributul, fără să fie nevoit să sune emitentul.
Partea tehnică a ieșit din laborator și a devenit standard internațional. Specificația W3C pentru identificatori descentralizați definește adrese de identitate care nu depind de niciun registru central și pe care le poate crea oricine, iar modelul de date pentru credențiale verificabile descrie formatul în care o afirmație semnată digital poate fi transportată și validată de orice sistem compatibil. Ambele documente sunt publice și au deja implementări în producție.
Un detaliu se pierde adesea în discuție. Blockchainul, în aceste sisteme, nu stochează date personale. El găzduiește ancore criptografice, chei publice și registre de revocare, adică exact acele elemente care trebuie să fie disponibile public și imposibil de falsificat. Datele rămân la utilizator, pe telefonul lui.
Nume citibile și aplicații concrete
Un șir de patruzeci și două de caractere hexazecimale nu este o identitate cu care se poate trăi confortabil. De aici a apărut nevoia de nume citibile, iar sistemele de nume pe blockchain au rezolvat-o transformând adresele lungi în etichete scurte, de tipul numeutilizator.eth. Numele se înregistrează pe lanț, se deține ca orice alt activ și poate stoca și informații suplimentare, de la un avatar până la adrese pe alte rețele.
Cazurile de utilizare s-au înmulțit natural. Comunitățile care acordă acces pe baza deținerii unui token verifică portofelul, nu identitatea civilă. Jocurile construite pe blockchain permit mutarea unui personaj și a obiectelor lui între titluri diferite, ceva ce în modelul clasic al industriei era exclus prin design.
Tranzacțiile directe între persoane, fără intermediar, se sprijină pe istoricul public al ambelor părți. Organizațiile autonome descentralizate numără voturi pe adrese, iar problema imediată devine cum împiedici o singură persoană să controleze o mie de adrese.
Ultima problemă, cunoscută drept atac Sybil, explică de ce interoperabilitatea și standardele deschise contează atât de mult aici. Un ecosistem multi-chain în care fiecare rețea își inventează propriul format de identitate reproduce exact fragmentarea din care Web3 pretinde că iese.
Metaversul și problema consimțământului
Spațiile virtuale persistente adaugă o dimensiune pe care web-ul clasic nu a avut-o. Într-un mediu tridimensional, utilizatorul nu completează formulare, ci se mișcă, privește, gesticulează și vorbește, iar toate aceste comportamente sunt măsurabile.
Un headset modern înregistrează direcția privirii cu o precizie suficientă pentru a deduce ce anume atrage atenția și cât timp. Datele acestea sunt, prin natura lor, biometrice, deci printre cele mai sensibile categorii recunoscute de legislația europeană.
Identitatea suverană a fost propusă tocmai pentru acest context. Modelul permite unui utilizator să se identifice într-un spațiu virtual știind exact ce partajează și cu cine, fără să predea un profil complet la intrare. A doua jumătate a soluției ține de consimțământ. Aplicațiile ar trebui construite astfel încât prelucrarea datelor să fie o alegere explicită și reversibilă, nu o condiție ascunsă în termeni pe care nimeni nu îi citește.
Direcția coincide cu principiul minimizării datelor din regulamentul general privind protecția datelor, care cere ca prelucrarea să se limiteze la ce este strict necesar scopului declarat.
Contextul european al identității digitale
Uniunea Europeană a intrat pe acest teren cu propriul instrument legislativ. Regulamentul (UE) 2024/1183, cunoscut ca eIDAS 2, a intrat în vigoare pe 20 mai 2024 și obligă fiecare stat membru să pună la dispoziția cetățenilor cel puțin un portofel european de identitate digitală. Textul afirmă dreptul fiecărei persoane din Uniune la o identitate digitală aflată sub controlul său exclusiv. Portofelul se oferă gratuit persoanelor fizice, rămâne opțional, iar statele au obligația să păstreze alternative pentru cine nu vrea să îl folosească.
Detaliul care leagă proiectul european de discuția despre Web3 este cerința de dezvăluire selectivă. Portofelul trebuie construit astfel încât utilizatorul să poată partaja doar atributul cerut, nu întregul document. Este exact principiul din spatele credențialelor verificabile, ajuns în legislație. Arhitectura aleasă nu se bazează pe blockchain, ceea ce a dezamăgit o parte din comunitatea crypto, însă formatele de date și logica emitent, deținător, verificator sunt aceleași.
Calendarul prevede lansarea portofelelor naționale în termen de douăzeci și patru de luni de la intrarea în vigoare a actelor de punere în aplicare, iar organizațiile din sectoarele reglementate, între care băncile, telecomunicațiile și platformele online foarte mari, vor trebui să accepte portofelul ca metodă de autentificare la aproximativ un an după aceea.
Ce înseamnă asta pentru utilizatorul din România?
Un cetățean român jonglează în prezent cu o colecție de credențiale separate pentru fiecare serviciu public digital. Un cont pentru spațiul privat virtual al administrației fiscale, altul pentru plata taxelor locale, altul pentru dosarul electronic de sănătate, fiecare cu propria procedură de înrolare și propriile reguli de recuperare a parolei. Promisiunea portofelului european este consolidarea acestei colecții într-un singur instrument, recunoscut și dincolo de graniță.
Tensiunea nerezolvată rămâne cea dintre imutabilitatea registrelor distribuite și dreptul la ștergerea datelor. Soluțiile propuse până acum ocolesc problema în loc să o rezolve frontal, păstrând pe lanț doar amprente criptografice care devin inutile după ce datele originale sunt șterse de pe dispozitivul utilizatorului. Tehnic funcționează. Dacă va rezista unei analize juridice riguroase este o întrebare încă deschisă.
Riscurile pe care Web3 nu le rezolvă automat
Entuziasmul din jurul identității descentralizate ascunde câteva probleme care nu dispar odată cu intermediarul.
Cheile pierdute și absența butonului de resetare
Într-un sistem fără administrator nu există recuperare de cont. Utilizatorul care își pierde cheia privată își pierde identitatea, istoricul și activele, definitiv. Industria a răspuns prin recuperare socială, unde un grup de contacte de încredere poate autoriza împreună restaurarea accesului, prin portofele cu semnătură multiplă și prin smart accounts, care permit definirea unor reguli programabile de recuperare. Sunt soluții reale, dar niciuna nu are simplitatea unui e-mail cu link de resetare, iar adopția rămâne modestă tocmai din acest motiv.
Pseudonimatul nu înseamnă anonimat
Confuzia asta produce cele mai multe pagube. O adresă de portofel nu conține un nume, dar toate tranzacțiile ei sunt publice și permanente. Firmele de analiză on-chain grupează adrese pe baza tiparelor de utilizare, iar o singură retragere către o bursă unde ai trecut prin verificarea identității leagă întregul istoric de persoana ta reală. Odată făcută, legătura nu se mai poate desface, pentru că registrul nu se rescrie.
Mai există o limitare, de care se vorbește puțin. O credențială verificabilă este exact atât de credibilă cât este emitentul ei. Criptografia demonstrează că documentul nu a fost falsificat după emitere, nu că afirmația din el este adevărată. Un sistem descentralizat de identitate nu elimină nevoia de instituții în care să ai încredere. Doar schimbă locul unde încrederea devine necesară.
Unde se îndreaptă identitatea digitală în anii următori?
Ce se conturează seamănă mai degrabă cu o convergență pragmatică decât cu victoria unei tabere. Portofelele emise de state vor gestiona atributele oficiale, cele care au nevoie de o autoritate în spate, de la cetățenie și diplome până la permise și dosare medicale. Portofelele crypto vor gestiona atributele câștigate prin activitate, adică reputația, apartenența la comunități, istoricul economic. Foarte probabil vor folosi aceleași formate de credențiale, ceea ce le va face să comunice între ele fără eforturi speciale.
Presiunea care va accelera lucrurile vine dintr-o direcție pe care puțini o anticipau acum câțiva ani. Odată cu proliferarea agenților autonomi capabili să scrie, să vorbească și să acționeze online la fel de convingător ca un om, capacitatea de a demonstra că în spatele unei acțiuni se află o persoană reală încetează să mai fie o facilitate și devine infrastructură de bază. Întrebarea nu mai este dacă vrei să îți dovedești identitatea, ci cui îi dai dovada și cât din ea.
Intrebari Frecvente(FAQ)
Identitatea digitală este ansamblul informațiilor despre o persoană care circulă și se stochează online. Include identificatori oficiali precum codul numeric personal sau numărul de pașaport, identificatori creați de utilizator precum adresele de e-mail și numele de cont, dar și date comportamentale acumulate în tăcere, de la istoricul de cumpărături până la dispozitivele și adresele IP folosite.
În Web2, contul tău este găzduit de o companie care poate să îl suspende, să îl piardă într-un atac sau să îi schimbe regulile. În Web3, punctul de plecare este adresa unui portofel controlat prin cheie criptografică proprie, iar autentificarea se face prin semnătură, nu prin parolă. Nu mai există o bază de date centrală cu credențiale care să poată fi furată.
Sunt afirmații semnate digital de un emitent de încredere, pe care le păstrezi în propriul portofel și le poți prezenta oricui are nevoie să le verifice. Avantajul practic este dezvăluirea selectivă. Poți demonstra că ai peste optsprezece ani sau că deții o diplomă fără să predai întregul document care conține și restul datelor tale.
Nu, în arhitecturile de identitate corect proiectate. Registrul public păstrează ancore criptografice, chei publice și liste de revocare, adică elemente care trebuie să fie verificabile de oricine și imposibil de falsificat. Informația personală rămâne pe dispozitivul utilizatorului.
Fără administrator central nu există buton de resetare a parolei, deci pierderea cheii înseamnă pierderea accesului la identitate, la istoric și la active. Industria a dezvoltat mecanisme de recuperare socială, portofele cu semnătură multiplă și conturi inteligente cu reguli programabile de restaurare, însă niciunul nu are simplitatea unui link trimis pe e-mail.
Este pseudonimă, ceea ce nu este același lucru. Adresa nu conține un nume, dar toate tranzacțiile ei sunt publice și permanente, iar firmele de analiză grupează adrese pe baza tiparelor de utilizare. O singură operațiune printr-o platformă unde ai trecut prin verificarea identității poate lega întregul istoric de persoana ta reală, iar legătura nu se mai poate desface.
Regulamentul (UE) 2024/1183 a intrat în vigoare pe 20 mai 2024 și obligă statele membre să ofere cel puțin un portofel în termen de 24 de luni de la intrarea în vigoare a actelor de punere în aplicare. Organizațiile din sectoarele reglementate trebuie să accepte portofelul ca metodă de autentificare la aproximativ un an după lansare.
Nu. Arhitectura aleasă de Uniunea Europeană nu folosește registre distribuite, însă împrumută logica identității suverane, cu rolurile de emitent, deținător și verificator, și impune dezvăluirea selectivă, adică exact principiul din spatele credențialelor verificabile din Web3.
