Siempre pensé que el diseño de “usar una sola vez la autenticación y reutilizarla repetidamente” solo traía ventajas, hasta que cambié de perspectiva y me di cuenta de una debilidad blanda que no había notado antes.
Lo que hace Citadel en Dusk es esto: una organización puede permitir que un tercero emita una prueba sobre algún hecho concreto de un contraparte, por ejemplo: “esta persona cumple los requisitos” “esta persona no está en la lista de sanciones” “el tribunal/jurisdicción donde reside cumple con lo exigido”. La prueba en sí se puede reutilizar; no hace falta volver a entregar los datos subyacentes cada vez. Yo antes lo interpretaba como un “pase universal para ahorrarte preocupaciones” y creía que solo había beneficios. Pero luego caí en algo: si esa “prueba” es realmente confiable o no, en última instancia depende de si la entidad que la emite es o no confiable. Para ponerlo en contexto, es parecido a tu historial crediticio: los bancos, los propietarios y toda clase de instituciones confían en ese informe. Te resulta conveniente no tener que volver a demostrar tu situación crediticia cada vez; pero la condición previa es que la entidad que emite el informe de crédito sea en sí confiable. Si esa entidad tiene un problema y los datos se contaminan, todo lo que dependa de ese informe se verá afectado.
Esta configuración de Citadel no elimina el acto de “verificar la identidad”; más bien concentra en el paso de emisión lo que antes estaba distribuido en distintos lugares. El costo de la verificación baja, pero el riesgo también se concentra en ese único punto. Yo creo que esta es una concesión bastante realista: para ahorrar tiempo es porque se ahorra, y para ahorrar seguridad también se reduce; en cierto grado, es un trueque entre una cosa y la otra, y no es un “regalo” gratis.
Lo que ahora me intriga es si, en verdad, cuando surgen disputas reales y hay que llevar el asunto a juicio, este mecanismo de credenciales puede resistir la prueba. Por ahora, sinceramente, todavía no he encontrado casos reales.
Si fueras tú, ¿qué parte te preocuparía más dentro del “uso repetido de una autenticación”?
@Dusk $DUSK #dusk