Compact and Selective Disclosure for Verifiable Credentials

1. Problema Definido

El artículo aborda las limitaciones de los mecanismos actuales de Divulgación Selectiva (Selective Disclosure) en el contexto de la Identidad Soberana (SSI) y las Credenciales Verificables (VCs), específicamente en entornos con recursos limitados (como dispositivos IoT y billeteras de hardware).

• Ineficiencia de SD-JWT: La solución actual más extendida, Selective Disclosure for JWTs (SD-JWT), tiene dos desventajas críticas:
  1. Crecimiento Lineal del Tamaño: El tamaño de la credencial crece linealmente con el número de afirmaciones (claims). SD-JWT requiere almacenar un hash y una "sal" (salt) para cada afirmación, lo que consume mucha memoria y ancho de banda.
  2. Fuga de Metadatos (Ataques de Inferencia): Aunque oculta el contenido de las afirmaciones no divulgadas, SD-JWT revela el número exacto de afirmaciones que contiene la credencial. Esto permite a un adversario realizar ataques de inferencia para deducir información sensible sobre la identidad del usuario (por ejemplo, inferir condiciones de salud basándose en la cantidad de campos ocultos).
• Contexto de Recursos Limitados: En dispositivos como billeteras de hardware (con almacenamiento de KB a pocos MB) o nodos IoT, el almacenamiento de múltiples credenciales y la sobrecarga de red son factores críticos que las soluciones actuales no optimizan suficientemente.

2. Metodología Propuesta: CSD-JWT

Los autores proponen CSD-JWT, un nuevo mecanismo que utiliza acumuladores criptográficos para lograr una divulgación selectiva compacta.

• Principio Central: En lugar de almacenar una lista de hashes y sales para cada afirmación, CSD-JWT agrupa todas las afirmaciones de una credencial en un único valor fijo (el valor del acumulador).

• Funcionamiento Técnico:

  1. Emisión (Issuer): El emisor toma todas las afirmaciones ($C$), las aplica a una función hash y las acumula en un valor único ($a$) utilizando un acumulador basado en trampas (trapdoor-based accumulator). Para cada afirmación, el emisor genera una prueba de inclusión o testigo (witness, $w_j$).
  2. Almacenamiento: El titular (holder) recibe el valor del acumulador ($a$) y un contenedor de pares (afirmación, testigo).
  3. Divulgación Selectiva: Cuando el titular necesita presentar una credencial, selecciona un subconjunto de afirmaciones ($C \subseteq C$) y sus correspondientes testigos ($W$). Genera una Presentación Verificable (VP) firmada que incluye:
     • El valor del acumulador ($a$).
     • Las afirmaciones seleccionadas ($C$).
     • Los testigos correspondientes ($W$).
     • Un nonce para prevenir ataques de repetición.
  4. Verificación: El verificador utiliza la clave pública del emisor para verificar que cada afirmación divulgada tiene un testigo válido que demuestra su inclusión en el valor del acumulador $a$.

• Ventajas de Diseño:

  • Tamaño Constante: El valor del acumulador tiene un tamaño fijo (independiente del número de afirmaciones).
  • Privacidad Mejorada: Al ocultar la lista de hashes, el sistema oculta el número total de afirmaciones en la credencial, mitigando los ataques de inferencia sin necesidad de usar "digests de señuelo" (decoy digests) que inflan el tamaño en SD-JWT.
  • Agnosticismo: El diseño es agnóstico a la implementación específica del acumulador, siempre que sea basado en trampas.

3. Contribuciones Clave

• Propuesta de CSD-JWT: Un protocolo nuevo que minimiza la sobrecarga de almacenamiento y red manteniendo el control total del usuario sobre sus datos.
• Protección contra Inferencia: Al ocultar la cardinalidad (número) de las afirmaciones dentro de la credencial, se reduce significativamente la información filtrada al verificador.
• Optimización para Dispositivos Restringidos: Reducción drástica del tamaño de las credenciales y las presentaciones, haciéndolo viable para billeteras de hardware y dispositivos IoT.
• Implementación y Evaluación: Se ha desarrollado una solución de código abierto y se ha evaluado exhaustivamente comparándola con el estado del arte (SD-JWT).

4. Resultados de la Evaluación

Los autores implementaron un prototipo utilizando un acumulador basado en curvas elípticas (ECC) sobre la curva BN254 y lo probaron en un dispositivo restringido (Nordic nRF52840, clase 2 RFC7228).

• Ahorro de Almacenamiento:
  • CSD-JWT logra un ahorro de memoria de hasta un 46% por credencial almacenada en comparación con SD-JWT.
  • Esto se debe a que solo se almacena un valor de acumulador fijo (256 bits) en lugar de una lista de hashes y sales que crece con $N$ (número de afirmaciones).
• Reducción de Sobrecarga de Red (Tamaño de VP):
  • Escenario de Máxima Privacidad (1 afirmación de 100): La Presentación Verificable (VP) en CSD-JWT es un 93% más pequeña que en SD-JWT.
  • Escenario sin Privacidad (todas las afirmaciones reveladas): Incluso cuando se revelan todas las afirmaciones, CSD-JWT ofrece una reducción del 27% en el tamaño de la VP.
• Rendimiento Computacional:
  • Emisión: La generación de credenciales es ligeramente más lenta en el emisor (debido a la complejidad de generar testigos), pero esto es aceptable ya que los emisores suelen tener recursos potentes.
  • Generación por el Titular: El titular realiza operaciones mínimas (selección y firma de JWT), con un rendimiento comparable a SD-JWT.
  • Verificación: El tiempo de verificación es de unos pocos milisegundos, cumpliendo con los requisitos de latencia para aplicaciones web (modelo RAIL).

5. Significado e Impacto

Este trabajo es significativo porque resuelve un cuello de botella crítico para la adopción masiva de la Identidad Soberana (SSI) en el mundo real, especialmente bajo regulaciones como el Reglamento de Identidad Digital Europea (EUDI) que entrará en vigor en 2026.

• Viabilidad en Hardware Limitado: Hace posible el uso de credenciales verificables complejas en billeteras de hardware y dispositivos IoT, donde el espacio de almacenamiento es escaso y cada kilobyte cuenta.
• Privacidad Superior: Ofrece una protección de privacidad intrínseca contra ataques de inferencia estructural, algo que las soluciones actuales (como SD-JWT) solo pueden lograr con ineficiencias de tamaño.
• Eficiencia de Red: La reducción masiva en el tamaño de las presentaciones mejora la experiencia del usuario en redes con ancho de banda limitado y reduce el consumo energético en dispositivos de baja potencia.

En conclusión, CSD-JWT representa un avance técnico sustancial al equilibrar la privacidad, la seguridad y la eficiencia de recursos, posicionándose como una alternativa superior y necesaria a los mecanismos de divulgación selectiva actuales para la próxima generación de sistemas de identidad digital.