Recuperação e continuidade

Status da revisão: Esta página-base exige revisão especializada antes da aprovação pública. Suas afirmações devem permanecer dentro do escopo declarado aqui.

A UbID trata a recuperação como um protocolo de segurança, e não como um atalho de suporte. O objetivo é restaurar o controle legítimo após perda de dispositivo, falha de autenticador ou interrupção de conta, sem conceder a um administrador, servidor, custodiante ou código de recuperação poder irrestrito sobre a identidade.

Um design de recuperação deve ser governado com pelo menos o mesmo cuidado do acesso normal, pois atacantes frequentemente visam o caminho de recuperação em vez do autenticador principal.

Princípios de recuperação

Sem segredo universal de recuperação

Uma capacidade completa de recuperação não deve ser armazenada sem proteção em um único lugar. Abordagens distribuídas ou de threshold podem assegurar que nenhum participante possua sozinho material suficiente para assumir o controle.

A distribuição não é suficiente por si só. Cada componente de recuperação exige criptografia, autenticação, custódia, política, disponibilidade e governança de ciclo de vida independentes.

Autorização em etapas

A recuperação deve separar etapas distintas, como:

1. Solicitação — criar uma transação de recuperação limitada.
2. Verificação — avaliar evidência de identidade, dispositivo e contexto.
3. Autorização — registrar o escopo de recuperação aprovado.
4. Preparação — reunir inputs protegidos sem liberar o segredo completo.
5. Liberação — permitir a participação apenas dos componentes autorizados.
6. Restauração — executar a ação de recuperação estritamente aprovada.
7. Rotação — substituir chaves, autenticadores ou material de recuperação afetados.
8. Evidência — manter um registro minimizado e revisável do resultado.

Uma verificação de identidade não deve automaticamente tornar-se liberação de segredo. Cada transição exige política e autorização explícitas.

Evidência para recuperação

Dependendo do risco e do deployment, a recuperação pode considerar:

• evidência de identidade aprovada;
• posse de um dispositivo confiável existente;
• comunicações autenticadas;
• histórico de registro de dispositivos;
• verificação biométrica quando usada de forma legal e apropriada;
• challenges recentes e proteção contra replay;
• aprovação de custodiantes;
• política institucional e revisão humana;
• evidência de execução protegida para reconstrução sensível.

Nenhum sinal isolado deve ser considerado universalmente suficiente.

Responsabilidade distribuída

Participantes da recuperação devem conhecer apenas o necessário para sua função. Um custodiante pode autorizar ou liberar um componente protegido sem conhecer o segredo completo de recuperação nem o conteúdo do cofre do titular.

A reconstrução final ou operação de re-key deve ocorrer somente em um destino aprovado e dentro de uma transação limitada. Segredos completos não devem aparecer em logs comuns de aplicações, ferramentas de suporte, analytics ou diagnósticos.

Continuidade multidispositivo

A recuperação é uma parte da continuidade. Um modelo multidispositivo controlado permite que uma pessoa:

• aprove um dispositivo adicional;
• suspenda ou revogue um dispositivo perdido;
• substitua um autenticador;
• restaure o acesso sem reemitir desnecessariamente todas as credenciais;
• preserve relações de identidade enquanto gira chaves comprometidas.

Novos dispositivos não devem ser considerados confiáveis apenas porque conhecem uma senha de conta ou acessam um endereço de e-mail.

Controles após a recuperação

Uma recuperação bem-sucedida deve acionar revisão e, quando apropriado:

• rotação de chaves ou autenticadores;
• invalidação da autoridade temporária de recuperação;
• revisão do status de dispositivos e sessões;
• notificação por canais aprovados;
• verificação de que a custódia protegida foi restaurada;
• monitoramento de atividade suspeita subsequente;
• retenção da versão da política e das autorizações usadas.

A recuperação deve deixar a identidade em um estado conhecido e mais forte, em vez de preservar material comprometido indefinidamente.

Disponibilidade e risco de exclusão

O design de recuperação deve equilibrar segurança e risco de exclusão permanente. Recuperação fraca facilita takeover; recuperação excessivamente rígida pode negar acesso a usuários legítimos após perda comum de dispositivo ou eventos de vida.

As instituições devem testar acessibilidade, disponibilidade e sucessão de custodiantes, tratamento de disputas e procedimentos de emergência sem centralizar todo o poder de recuperação.

O que recuperação não significa

Recuperação de identidade não implica autoridade para recuperar, transferir ou controlar ativos financeiros associados a uma conta blockchain. Continuidade de identidade e custódia de ativos são responsabilidades legais e técnicas separadas.

Limite da documentação pública

O portal público não divulga número ou localização de componentes de recuperação, identidades de custodiantes, thresholds de liberação, detalhes de key wrapping, rotas de transação, regras de aprovação, cerimônias de emergência nem runbooks operacionais.

Consulte UbID Recover, Autenticação e segurança de dispositivos e Proteção criptográfica.