A maioria dos produtos digitais cria a conta com e-mail e senha numa ferramenta e verifica a identidade depois, em outra, e a ligação entre as duas fica a cargo de um identificador que alguém precisa guardar e conferir. A resposta curta: a NIST SP 800-63A-4 descreve a ordem certa, primeiro a prova de identidade, depois a conta, e só então a credencial ligada a ela, e fazer isso num fluxo só elimina a janela em que existe conta ativa sem pessoa verificada por trás.
Em resumo
- Na NIST SP 800-63A-4, a pessoa só entra na conta depois da prova de identidade concluída, e a credencial é ligada a essa conta.
- A NIST SP 800-63B-4 trata a ligação da credencial no cadastro como parte do próprio cadastro.
- Conta criada antes da verificação abre uma janela: a conta existe, loga e acumula histórico sem ninguém verificado.
- Num fluxo só, a verificação roda uma vez, no cadastro, e o login seguinte não repete documento nem selfie.
- O registro da conta guarda qual verificação a sustenta, o que facilita a auditoria e a recuperação.
A ordem que a norma descreve
A NIST separa dois assuntos em duas publicações: a SP 800-63A-4 trata da prova de identidade e do cadastro, e a SP 800-63B-4 trata da autenticação. O ponto em que as duas se encontram é o cadastro, e a norma dá a ordem.
Upon the successful completion of identity proofing, the applicant is enrolled into a subscriber account and any authenticators can then be bound to the account, including subscriber-provided authenticators.
São três passos em sequência: provar quem é a pessoa, abrir a conta dela, ligar a credencial (senha, aplicativo autenticador, número de telefone) a essa conta. A SP 800-63B-4 fecha o desenho do outro lado, ao dizer que "Binding at the time of enrollment is considered to be part of the enrollment process". A credencial criada no cadastro não é um evento separado da verificação: é o fim dela.
A mesma SP 800-63A-4 admite conta sem prova de identidade, a conta pseudônima, desde que o sistema registre esse estado na conta. É uma escolha legítima para muitos produtos. O problema começa quando a conta pseudônima vira, sem registro, a conta que movimenta dinheiro ou dá acesso a dado sensível.
Onde a costura entre duas ferramentas abre
| Momento | Conta numa ferramenta, verificação em outra | Cadastro e verificação no mesmo fluxo |
|---|---|---|
| Conta ativa antes da verificação | Sim, enquanto a verificação não termina | Não |
| Ligação entre a pessoa verificada e a conta | Um identificador copiado entre sistemas | Registrada na própria conta |
| Verificação abandonada no meio | Conta ativa e não verificada | Conta não nasce |
| Login depois do cadastro | Ferramenta de login, sem saber da verificação | Login normal, a conta já sabe quem é |
A primeira linha é a que mais custa. Entre "conta criada" e "verificação aprovada" a conta existe e funciona, e o fraudador que nunca pretendeu passar na verificação usa exatamente essa janela: recebe bônus de indicação, testa cartão, cria histórico para parecer cliente antigo. O padrão aparece no artigo sobre identidade sintética, em que a conta vale pelo tempo que fica de pé, não pela verificação que nunca terminou.
A segunda linha é a que mais pesa na auditoria. Quando a pergunta é "quem era a pessoa por trás desta conta no dia do cadastro", a resposta precisa sair de um registro, não de uma reconciliação entre dois sistemas com identificadores diferentes.
Atenção
Juntar cadastro e verificação não significa verificar a identidade em todo login. A prova de identidade acontece uma vez, no cadastro; o login seguinte é autenticação, com senha, código ou segundo fator. Repetir documento e selfie a cada entrada só desloca o abandono para o login.
O que muda depois do cadastro
O fluxo único resolve o nascimento da conta, e três momentos seguintes se beneficiam dele.
- Recuperação de conta. Quando a pessoa perde a senha e o segundo fator, a conta sabe qual verificação a sustentou. A recuperação pode pedir uma nova prova de quem é a pessoa e comparar com a do cadastro, em vez de confiar só no e-mail. O risco desse momento está em recuperação de conta.
- Operação sensível. Uma transferência alta ou a troca do dado de contato pode exigir uma confirmação biométrica contra a referência do cadastro, como discute o artigo de reautenticação biométrica.
- Segunda credencial. A SP 800-63B-4 recomenda, na ligação pós-cadastro, que o usuário mantenha "at least two separate means of authentication" para reduzir a recuperação de conta. Com a pessoa já verificada, ligar o aplicativo autenticador depois é um passo curto.
Como integrar
Do lado de quem integra, o fluxo único reduz o número de peças. O seu servidor cria a sessão com a chave secreta, o navegador abre um componente só, e o resultado chega ao seu servidor como uma troca de código no back-end, não pela resposta do navegador. O mesmo princípio de manter a chave fora do front-end está em widget ou API pura.
Perguntas frequentes
Preciso verificar a identidade antes de criar a conta?
Depende do produto. A NIST SP 800-63A-4 admite conta sem prova de identidade, desde que esse estado fique registrado. Quando a conta dá acesso a dinheiro ou a dado sensível, a ordem da norma é verificar primeiro e abrir a conta depois.
O usuário precisa mandar documento a cada login?
Não. A prova de identidade acontece no cadastro. O login seguinte é autenticação, com senha, código ou segundo fator, e uma confirmação biométrica só entra em operação sensível, se o seu produto pedir.
O que acontece se a pessoa abandona a verificação no meio do cadastro?
No fluxo único, a conta não nasce: não fica uma conta ativa e não verificada esperando. Quando a pessoa volta, recomeça o cadastro.
Como provo depois quem era a pessoa por trás de uma conta?
Pelo registro da conta, que guarda qual verificação a sustentou no cadastro. A NIST SP 800-63A-4 inclui no registro da conta o nível de prova alcançado e as credenciais ligadas a ela.
Fontes citadas
- NIST SP 800-63A-4, Digital Identity Guidelines: Identity Proofing and Enrollment, visão geral da prova de identidade, cadastro e registro da conta, em pages.nist.gov
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, ligação de credencial no cadastro e depois dele, em pages.nist.gov