Verificação e política

Um verificador verifica muito mais do que a existência de uma assinatura válida em uma credencial. A confiança depende do emissor, do tipo de credencial, da chave de assinatura, do status atual, dos claims divulgados, do contexto da apresentação, da relação com o titular, do assurance e da política da instituição confiante.

A UbID separa a verificação técnica da decisão institucional final. Uma credencial válida pode ser necessária para uma transação, mas raramente é suficiente por si só.

Questões de verificação

Um verificador pode avaliar as seguintes questões:

Questão	O que estabelece
Quem emitiu a credencial?	Procedência e identidade do emissor
O emissor é confiável para este claim?	Escopo da autoridade institucional
O artefato foi alterado?	Integridade criptográfica
A chave e o algoritmo são aprovados?	Conformidade com a política criptográfica
A credencial está atual?	Período de validade e status do ciclo de vida
A apresentação foi criada para esta solicitação?	Atualidade, audiência e resistência a replay
Quem apresenta é o titular pretendido?	Holder binding quando necessário
Somente os claims solicitados foram divulgados?	Proporcionalidade e conformidade com a solicitação
A evidência atende ao requisito de assurance?	Adequação para a transação
Qual versão de política produziu o resultado?	Explicabilidade e revisão histórica

Confiança no emissor

Uma credencial criptograficamente válida não é automaticamente confiável. O verificador deve determinar se o emissor é reconhecido e autorizado a formular o claim relevante.

Por exemplo, uma organização pode ser confiável para emitir credenciais de função de empregado, mas não identidade governamental, licenças profissionais ou diplomas acadêmicos. A confiança deve ser delimitada por tipo de credencial, jurisdição, setor, finalidade e assurance.

Integridade e política de algoritmos

O verificador resolve o material de verificação relevante e verifica a assinatura ou prova. Também confirma que o algoritmo, o tipo e o status da chave e o formato da credencial são permitidos pela política.

A verificação deve falhar com segurança quando o material obrigatório não puder ser resolvido ou quando o artefato usar uma proteção não aprovada ou deprecada.

Status e ciclo de vida

Uma credencial pode ser autêntica, mas deixar de ser aceitável por ter expirado, sido suspensa, revogada, substituída ou superada.

A verificação de status deve revelar apenas o que o verificador precisa saber. Motivos sensíveis de revogação ou históricos completos do titular não devem ser expostos por serviços públicos de status.

Contexto da apresentação

Uma apresentação deve estar vinculada à parte solicitante e à transação. Challenges recentes, restrições de audiência e limites de tempo ajudam a impedir que uma apresentação válida seja copiada e reproduzida em outro contexto.

O verificador também deve confirmar que os claims divulgados correspondem à solicitação e que nenhuma condição obrigatória foi omitida.

Relação com o titular

Algumas credenciais exigem prova de que quem apresenta controla a chave do titular ou a relação de Wallet aprovada associada à credencial. Outras podem funcionar de forma semelhante a bearer ou usar um modelo diferente de vínculo.

A política do verificador deve saber qual modelo se aplica. Holder binding não deve ser presumido apenas porque uma credencial foi recebida por uma interface de usuário.

Resultados explicáveis

Os resultados de verificação devem distinguir estados como:

• verificada e em conformidade com a política;
• criptograficamente válida, mas insuficiente para a política;
• expirada, suspensa ou revogada;
• emissor não confiável ou tipo de credencial não suportado;
• divulgação obrigatória ou relação com o titular ausente;
• apresentação antiga, reproduzida ou endereçada incorretamente;
• indeterminada porque uma dependência autoritativa está indisponível.

Uma resposta binária “válida” pode ocultar distinções importantes.

Decisão institucional final

A parte confiante continua responsável pela decisão final. Pode precisar aplicar regras adicionais de negócio, legais, de segurança, elegibilidade, fraude, sanções, clínicas, trabalhistas ou de acesso.

A verificação de credenciais não deve ser descrita como admissão, onboarding, aprovação de pagamento, autorização médica, licenciamento ou direito automático, a menos que a instituição tenha projetado e aprovado explicitamente esse processo de decisão.

Governança de políticas

A política de verificação deve ser:

• versionada;
• aprovada por um responsável autorizado;
• delimitada por tipo de credencial e finalidade;
• testável com casos positivos e negativos;
• observável em produção;
• mantida com decisões históricas;
• atualizada quando emissores, chaves, padrões, riscos ou leis mudarem.

Limite da documentação pública

Esta página descreve a semântica pública de verificação. Trust lists de clientes, limiares de aceitação, relações privadas com emissores, regras de fraude, código de políticas, endpoints e caminhos operacionais de exceção permanecem controlados.

Consulte UbID Proof, Política de confiança e Credenciais verificáveis.