#dusk $DUSK
Nos últimos dias, voltei a olhar o Citadel 2 do @Dusk .
Antes eu sempre entendi isso como uma “ferramenta de identidade ZK”. Agora acho que essa descrição é um pouco grosseira.
Na verdade, ele não pretende tomar tantas decisões pelo lado da plataforma.
Primeiro, o usuário passa pela validação offline do License Provider, e então recebe um credential. Depois, ao acessar um determinado serviço, ele usa a prova ZK para demonstrar que realmente possui uma credencial válida.
Até aqui, o Citadel só consegue comprovar que essa credencial está em ordem.
Mas se a plataforma reconhece ou não esse LP, se a credential ainda pode ser usada, se foi revogada, se a session precisa ser validada novamente—essas coisas não são tratadas automaticamente pelo Citadel por você.
Quando comecei a ler aqui, eu ainda estava meio confuso, parecia algo como “só fez metade”.
Mais tarde entendi: no negócio financeiro, de fato, não é possível que exista apenas um conjunto de regras de admissão.
A mesma credencial, em regiões diferentes, em produtos diferentes, em plataformas diferentes—se pode ou não ser usada—isso é uma questão totalmente diferente.
Por isso, agora acho a proposta do Citadel 2 bastante contida.
Ele resolve primeiro se “essa prova é verdadeira”; quanto a “se essa prova é suficiente”, isso fica a cargo do próprio negócio decidir.
Inclusive revocation, expiration e session replay também não foram embalados como um protocolo que já resolve tudo por você.
Eu me importo bastante com esse ponto.
Porque muitos projetos, quando esbarram em ZK, acabam facilmente empurrando qualquer problema para a ideia de que “a criptografia resolve”.
Com o Citadel 2, por enquanto, não tenho essa sensação.
Ele parece mais tratar de forma limpa a camada de prova de credencial; quanto ao resto das regras, quem precisa ser responsável por elas continua sendo quem é responsável.
Nos últimos dias, voltei a olhar o Citadel 2 do @Dusk .
Antes eu sempre entendi isso como uma “ferramenta de identidade ZK”. Agora acho que essa descrição é um pouco grosseira.
Na verdade, ele não pretende tomar tantas decisões pelo lado da plataforma.
Primeiro, o usuário passa pela validação offline do License Provider, e então recebe um credential. Depois, ao acessar um determinado serviço, ele usa a prova ZK para demonstrar que realmente possui uma credencial válida.
Até aqui, o Citadel só consegue comprovar que essa credencial está em ordem.
Mas se a plataforma reconhece ou não esse LP, se a credential ainda pode ser usada, se foi revogada, se a session precisa ser validada novamente—essas coisas não são tratadas automaticamente pelo Citadel por você.
Quando comecei a ler aqui, eu ainda estava meio confuso, parecia algo como “só fez metade”.
Mais tarde entendi: no negócio financeiro, de fato, não é possível que exista apenas um conjunto de regras de admissão.
A mesma credencial, em regiões diferentes, em produtos diferentes, em plataformas diferentes—se pode ou não ser usada—isso é uma questão totalmente diferente.
Por isso, agora acho a proposta do Citadel 2 bastante contida.
Ele resolve primeiro se “essa prova é verdadeira”; quanto a “se essa prova é suficiente”, isso fica a cargo do próprio negócio decidir.
Inclusive revocation, expiration e session replay também não foram embalados como um protocolo que já resolve tudo por você.
Eu me importo bastante com esse ponto.
Porque muitos projetos, quando esbarram em ZK, acabam facilmente empurrando qualquer problema para a ideia de que “a criptografia resolve”.
Com o Citadel 2, por enquanto, não tenho essa sensação.
Ele parece mais tratar de forma limpa a camada de prova de credencial; quanto ao resto das regras, quem precisa ser responsável por elas continua sendo quem é responsável.