Eu sempre achei que “usar um certificado de autenticação repetidamente” era uma ideia que só trazia vantagens, até eu mudar o ângulo e perceber que havia ali uma fraqueza que eu não tinha notado antes.
O que o Citadel em Dusk faz é o seguinte: a instituição pode permitir que um terceiro comprove um fato específico sobre a contraparte em uma transação — por exemplo, “esta pessoa atende aos requisitos”, “esta pessoa não está na lista de sanções”, “a jurisdição em que esta pessoa está localizada atende ao que é exigido”. A própria prova pode ser reutilizada repetidamente, sem precisar reenviar os dados subjacentes toda vez. Eu tinha entendido isso antes como um “passe universal que economiza trabalho”, acreditando que só havia benefícios. Mas depois eu entendi uma coisa: se esse “certificado” é confiável ou não, no fim das contas depende de quão confiável é a parte que emite o certificado.
Dando um exemplo: isso é um pouco como o seu relatório de crédito — bancos, proprietários, e várias outras instituições reconhecem aquele relatório. Você não precisa provar novamente, toda vez, sua situação de crédito, e isso é de fato muito conveniente. Mas, antes de tudo, a instituição que emite o relatório precisa ser confiável. Se essa instituição tiver problemas próprios, ou se os dados forem contaminados, todos os lugares que dependem daquele relatório acabarão sofrendo as consequências.
O desenho do Citadel não elimina a “verificação de identidade”; ele apenas concentra, em um único ponto (a emissão do certificado), tarefas de verificação que antes estavam espalhadas. O custo de verificação realmente diminui, mas o risco também se concentra nesse ponto. Eu acho que esse é um tipo de compromisso bem realista — para economizar trabalho e ganhar conveniência, e ao mesmo tempo para buscar segurança; em certa medida, é preciso trocar uma coisa pela outra. Não é uma vantagem “grátis”.
Agora, o que eu estou mais curioso é: quando de fato surgir uma disputa, e for necessário levar tudo ao tribunal para levar a sério, esse mecanismo de credenciais aguenta o teste? Até o momento, eu realmente não encontrei casos reais.
Se fosse você, qual etapa de “usar uma autenticação repetidamente” você ficaria mais preocupado?
@Dusk $DUSK #dusk