BOA ID

Existem cerca de 24.000 BOAs nos Países Baixos — inspetores de transportes públicos, fiscalização de estacionamento, guardas florestais, polícia portuária e muitos outros. Cada um transporta um crachá físico emitido pela Justis. Sobre esse crachá assentam dois problemas estruturais:

• Suscetível a fraude. Um crachá perdido ou roubado pode ser utilizado por qualquer pessoa. Os cidadãos não têm forma de verificar se o titular é um BOA real e atualmente acreditado.
• Sensível em termos de privacidade. O crachá mostra o nome completo do BOA. Cidadãos hostis usam essa informação para localizar agentes, assediá-los junto de casa ou visar as suas famílias.
• Emissão lenta e dispendiosa. Imprimir, enviar, ativar e revogar crachás físicos é uma cadeia logística que demora dias.
• Sem forma de revogar. Uma vez em circulação, a Justis não dispõe de um mecanismo em tempo real para o invalidar aos olhos do público.

O Ministério da Justiça e Segurança pretendia uma alternativa digital que eliminasse estes riscos, preservando a confiança que o crachá físico transmite — e, de preferência, acrescentando novas capacidades pelo caminho.

A plataforma INSIGNE substitui o crachá plástico por uma Verifiable Credential emitida pela Justis, transportada no telemóvel do BOA e verificável por qualquer cidadão — sem necessidade de instalar nada.

1. Emissão. A Justis utiliza um portal web para emitir um BOA ID digital como Verifiable Credential, assinada com o DID da própria Justis. O BOA recebe um e-mail com um código de referência e, separadamente, um PIN. Instala a aplicação INSIGNE, introduz o PIN e a credencial fica armazenada de forma encriptada no dispositivo — com um fluxo de recuperação por frase-semente em caso de perda do dispositivo.

2. Identificação. Quando o BOA precisa de se identificar, abre a aplicação, escolhe que atributos partilhar (número de crachá, fotografia, âmbito de autoridade) e desbloqueia com biometria. A aplicação gera uma Verifiable Presentation de curta duração.

3. Verificação. O cidadão digitaliza o código QR no ecrã do BOA com a câmara predefinida do telemóvel — sem necessidade de aplicação. O QR contém uma ligação encriptada para uma página alojada pelo Ministério que mostra os atributos selecionados do BOA, o estado de autenticidade e a validade atual. A apresentação expira ao fim de 15 minutos e é utilizada, no máximo, uma vez.

4. Revogação. A Justis pode revogar um BOA ID a partir do Portal do Emissor. A verificação seguinte — online, em segundos — comunica a credencial como inválida.

Todo o fluxo assenta em Decentralized Identifiers e Verifiable Credentials do W3C, pelo que a mesma credencial pode ser utilizada em qualquer verificador compatível e está pronta para a implementação da European Digital Identity Wallet.

O BOA ID em ação. O vídeo abaixo mostra BOAs a utilizar a aplicação INSIGNE para partilhar a sua credencial; um cidadão pode digitalizar o QR com a câmara do seu próprio telemóvel para verificar se o crachá é válido.

A Credenco entregou toda a stack INSIGNE para o piloto Justis-RET, desde a aplicação móvel ao Portal do Emissor, passando pelo serviço de verificação. Âmbito:

• Aplicação móvel INSIGNE para iOS e Android — armazenamento de credenciais, divulgação seletiva, desbloqueio biométrico, proteções offline.
• Portal do Emissor da Justis — aplicação web para emitir, reemitir e revogar credenciais BOA.
• Serviço de verificação — página pública que apresenta a Verifiable Presentation a qualquer cidadão que digitalize o QR, além de uma vista autenticada para outros agentes de fiscalização.
• Gestão de chaves apoiada em HSM no dispositivo móvel para as chaves privadas do BOA, com bloqueio automático caso o telemóvel permaneça offline demasiado tempo.
• Revogação e registo de auditoria — quem emitiu, quem ativou, quem visualizou e quando.
• Arquitetura de privacidade desde a conceção — Verifiable Presentations encriptadas em repouso, eliminadas após uma visualização ou 15 minutos, e nunca associadas à identidade do cidadão verificador.