Solía asumir que, una vez que una blockchain puede demostrar que alguien posee un credencial válido, la decisión de acceso básicamente ya está terminada.
Leer sobre Citadel 2 en @Dusk me hizo darme cuenta de que en realidad son dos preguntas separadas.
Citadel 2 permite a un usuario generar una prueba de conocimiento cero que demuestra que posee una licencia registrada y firmada por un License Provider sin revelar qué licencia específica se está utilizando. El contrato de Citadel verifica la prueba y registra una sesión pública.
Pero una sesión válidamente criptográfica no significa automáticamente que deba concederse el acceso.
La documentación de Dusk hace esa distinción explícita. El Service Provider todavía decide a qué License Providers confía, qué atributos acepta, si la sesión ha expirado o fue revocada, y si la cookie de la sesión puede reutilizarse.
Esa separación cambió la forma en que pienso sobre la identidad digital.
El protocolo puede verificar la validez criptográfica de una sesión mientras deja la política del servicio en manos del Service Provider.
Para mí, eso sugiere un límite importante: demostrar que una sesión basada en credenciales es válida no es lo mismo que decidir si esa prueba cumple con los requisitos de un servicio en particular.
Así que quizá la mejor pregunta sobre identidad no sea simplemente si un usuario puede demostrar algo sobre sus credenciales.
Es: ¿qué debe verificar la criptografía y qué debería seguir siendo una decisión de política para el servicio que usa esa prueba?
Para mí, esa distinción es una de las ideas más interesantes detrás de Citadel 2.
$DUSK #dusk @Dusk
Leer sobre Citadel 2 en @Dusk me hizo darme cuenta de que en realidad son dos preguntas separadas.
Citadel 2 permite a un usuario generar una prueba de conocimiento cero que demuestra que posee una licencia registrada y firmada por un License Provider sin revelar qué licencia específica se está utilizando. El contrato de Citadel verifica la prueba y registra una sesión pública.
Pero una sesión válidamente criptográfica no significa automáticamente que deba concederse el acceso.
La documentación de Dusk hace esa distinción explícita. El Service Provider todavía decide a qué License Providers confía, qué atributos acepta, si la sesión ha expirado o fue revocada, y si la cookie de la sesión puede reutilizarse.
Esa separación cambió la forma en que pienso sobre la identidad digital.
El protocolo puede verificar la validez criptográfica de una sesión mientras deja la política del servicio en manos del Service Provider.
Para mí, eso sugiere un límite importante: demostrar que una sesión basada en credenciales es válida no es lo mismo que decidir si esa prueba cumple con los requisitos de un servicio en particular.
Así que quizá la mejor pregunta sobre identidad no sea simplemente si un usuario puede demostrar algo sobre sus credenciales.
Es: ¿qué debe verificar la criptografía y qué debería seguir siendo una decisión de política para el servicio que usa esa prueba?
Para mí, esa distinción es una de las ideas más interesantes detrás de Citadel 2.
$DUSK #dusk @Dusk
