Durante a última década, a verificação de identidade digital (IDV, na sigla em inglês) dependeu de um recurso visual: escanear uma carteira de motorista física, capturar uma selfie em vídeo e torcer para que a pessoa no escaneamento e no vídeo coincidissem. Isso se aproximava razoavelmente bem de um aperto de mãos presencial, em uma época em que as imagens eram relativamente confiáveis e ainda não existiam alternativas.
Mas essa era efetivamente chegou ao fim. Os avanços na IA generativa e as ferramentas acessíveis de deepfake romperam a barreira de confiança em torno dos métodos de verificação visual, transformando o que antes era um controle razoável em um risco crescente.
Chegamos ao limite prático do que a verificação de identidade tradicional pode oferecer. O setor encontra-se agora envolvido em uma corrida armamentista crescente: os fraudadores produzem falsificações cada vez melhores, enquanto os fornecedores compensam com detecção de vivacidade mais pesada e intrusiva para capturá-los, adicionando atrito sem restaurar a confiança.
O IDV tradicional é inerentemente probabilístico — ele faz suposições. Algoritmos automatizados tentam adivinhar se uma imagem é genuína. Mas quando a IA consegue gerar “evidências” hiper-realistas em milissegundos, a adivinhação se torna uma estratégia de segurança insustentável. O rollout de carteiras de habilitação digitais (mDLs) nos EUA oferece uma maneira de sair completamente dessa corrida armamentista.
Neste publicar, exploramos por que o setor precisa migrar de verificações visuais probabilísticas para verificação criptográfica determinística, não apenas para combater novos vetores de ataque baseados em IA, mas também para simplificar significativamente a experiência do usuário, e por que as mDLs, que resolvem a grande maioria dos ataques contra a verificação de selfies em vídeo, são a tecnologia superior para a próxima geração de sistemas modernos de identidade digital.
Nota: abordaremos este tópico partindo do pressuposto geral de que você tem necessidades substanciais de verificação de identidade e busca atender às diretrizes de garantia de identidade IAL2 do NIST, que consideramos um requisito mínimo prático para casos de uso online.
Como chegamos aqui
Para entender por que as selfies são desnecessárias para as mDLs (carteiras de habilitação móveis), precisamos entender por que as verificações de documentos de identidade físicos baseadas em selfies foram introduzidas em primeiro lugar.
A internet amadureceu mais rápido do que os documentos e sistemas de identidade civil puderam evoluir. Com a crescente presença online em nossas vidas, aumentou também a necessidade de verificação remota. Na ausência de uma credencial digital nativa, as empresas foram obrigadas a recorrer a documentos concebidos para interações físicas e presenciais. As primeiras abordagens simplesmente pediam aos usuários que enviassem uma foto de sua carteira de habilitação física. Mas essas são imagens estáticas — fáceis de copiar, alterar e falsificar. Na era da IA generativa, produzir uma carteira de habilitação falsa convincente não é apenas possível, é trivialmente fácil.
Insira verificações de selfie
Mesmo quando os dados de uma imagem estática de um documento de identidade são validados em um banco de dados oficial, como o serviço de consulta AAMVA DLDV, isso apenas confirma que os dados estão corretos e foram emitidos por um DMV (Departamento de Veículos Motorizados). Isso não confirma que a pessoa que apresenta o documento de identidade é a pessoa para quem ele foi emitido. Esses ataques são reais — dados legítimos de licenças são sobrepostos em cartões em branco ao lado de uma imagem não relacionada e usados para passar por verificações.
Para preencher essa lacuna, o setor adotou a vinculação biométrica do titular, comumente conhecida como “verificação de selfie” ou “verificação de vivacidade”: se já solicitaram que você segure a câmera na altura do rosto, mova a cabeça de um lado para o outro, pisque etc., esse processo é uma captura biométrica para tentar comprovar que você é o titular legítimo do documento de identidade que está apresentando.
O objetivo era vincular um documento estático a um ser humano vivo. Quando documentos físicos e analógicos são usados online, essa etapa torna-se inegociável. Sem isso, os sistemas ficam vulneráveis a ataques básicos de apresentação: capturas de tela, reproduções e documentos roubados.
E assim, esse se tornou o padrão. Tire uma foto da sua carteira de motorista (em frente a um fundo de alto contraste e certifique-se de que a iluminação também esteja boa!), depois faça uma série de gestos em vídeo. Após todo esse atrito, o verificador ainda não obtém uma resposta definitiva — apenas uma pontuação de confiança. Não um sim ou não, mas uma probabilidade. E, para piorar a situação, a probabilidade pode ser muito baixa e exigir um método alternativo de verificação de qualquer forma.
Por que os mDLs são diferentes
Uma carteira de habilitação digital não é uma foto de um cartão no celular. Trata-se de um conjunto de afirmações verificáveis codificadas em um documento assinado digitalmente — também conhecido como credencial digital verificável — respaldado por uma extensa biblioteca de padrões do setor. Em termos simples: é uma versão digital da carteira de habilitação física emitida pelo Detran do seu estado. Ao compararmos mDLs com IDs físicos, três diferenças fundamentais emergem.
1. Assinatura do emissor
Nos Estados Unidos, os documentos de identificação físicos, que geralmente não possuem elementos de segurança incorporados, dependem de hologramas e recursos de luz ultravioleta para impedir a falsificação. Os mDLs dependem de criptografia forte.
Cada mDL contém uma assinatura digital da autoridade emissora (por exemplo, o Detran). Quando uma parte confiante (RP) recebe os dados, ela verifica essa assinatura. Se um único bit for alterado, a verificação falha. Sem necessidade de adivinhação ou estimativa, o RP sabe com certeza que a credencial veio do DMV. Além disso, a criptografia garante que seja praticamente impossível falsificar um mDL.
2. Posse (vinculação de dispositivo)
A capacidade de um usuário comprovar criptograficamente a posse de um mDL é algo totalmente novo e fundamentalmente diferente da apresentação de um documento de identidade físico. Com documentos físicos, a posse é implícita. Com mDLs, isso é comprovável.
Cada mDL está vinculado a material criptográfico não extraível armazenado no elemento seguro do dispositivo. As chaves privadas usadas para apresentar a credencial não podem ser exportadas, reproduzidas ou sequer copiadas para outro telefone. A comprovação de posse é feita no nível do hardware, tornando-se um dos fatores de autenticação mais robustos disponíveis atualmente.
Isso não é uma heurística. É um fato criptográfico.
Nota: os emissores promovem ativamente a escassez. Por exemplo, o Colorado limita estritamente a emissão de mDL a dois dispositivos ativos por residente. Você não pode “cultivar” essas credenciais.
3. Ativação do usuário (desbloqueio da carteira)
No mundo físico, a “vinculação do portador” é realizada visualmente: um ser humano compara a foto no cartão com o rosto da pessoa que está à sua frente. No mundo digital, a carteira facilita a vinculação do titular ao autenticar o usuário no momento do uso, geralmente utilizando recursos biométricos da plataforma.
Esse processo, chamado de ativação do usuário, normalmente requer autenticação em nível de plataforma, como o Face ID ou o desbloqueio por impressão digital. O ato de desbloquear a carteira permite o acesso à chave de assinatura da credencial e autoriza seu uso para uma apresentação específica.
Como as carteiras digitais (mDLs) estabelecem uma forte cadeia de custódia criptográfica desde o emissor até o dispositivo e o usuário, a autoridade emissora (por exemplo, o Detran) confia na carteira para garantir a vinculação do titular em seu nome.
- A presença do usuário é obrigatória. Uma mDL não pode ser compartilhada silenciosamente nem reproduzida em segundo plano. O usuário deve desbloquear ativamente o dispositivo ou a credencial para autorizar cada apresentação.
- A biometria permanece local. A chave que desbloqueia o mDL — vinculada no momento da emissão — normalmente requer o perfil biométrico do proprietário do dispositivo para ser desbloqueada. Nenhum dado biométrico é transmitido à parte confiável nem armazenado por ela.
No mínimo, a carteira é responsável por autenticar o usuário e garantir sua presença — o que representa um ganho significativo em termos de privacidade e segurança. Essa abordagem se afasta da autenticação biométrica do lado do servidor, que é frágil (a biometria não pode ser revogada), invasiva da privacidade (exige o armazenamento de biometria no banco de dados da parte confiável) e representa um enorme vetor de ataque remoto escalável (um invasor pode obter biometria de todos).
O fluxo se parece com isto:
O Detran emite a credencial para a carteira digital → A carteira digital protege a chave de assinatura do usuário (ou seja, do titular da credencial), que é armazenada em um enclave seguro, protegido por autenticação da plataforma (normalmente biometria) → O usuário desbloqueia a chave para apresentá-la.
Resumindo, a vinculação do titular agora ocorre no nível do dispositivo e do usuário, e não na parte confiável. O verificador não precisa mais realizar verificações biométricas porque confia que o emissor — e, por extensão, a carteira — as tenha feito corretamente.
Evolução da SP 800-63-4 do NIST
A publicação especial 800-63-4 do NIST tornou-se rapidamente a referência de fato para identidade, autenticação e federação nos EUA. Mais do que uma lista de requisitos, ela fornece uma estrutura para modelar o risco e a garantia de identidade ao longo de todo o ciclo de vida do usuário.
A Revisão 4, finalizada em julho de 2025, introduziu mudanças significativas na forma como as evidências de identidade são avaliadas — principalmente, o tratamento formal das carteiras de habilitação digitais. Os detalhes completos são extensos, mas uma mudança é particularmente relevante: a introdução de uma classificação de evidência "Superior" capaz de suportar a verificação de identidade IAL2 no nível mais alto. De forma empolgante, sob essa estrutura, os mDLs são classificados como evidência “Superior”, enquanto os documentos de identidade físicos permanecem classificados como evidência “Forte”.
Evidência robusta (identificação física)
Na SP 800-63A-4, o NIST classifica documentos de identidade físicos (como carteiras de motorista físicas) como evidência forte. Embora confiáveis, são fundamentalmente estáticos.
“Evidências que… sejam razoavelmente resistentes à adulteração, mas cuja vinculação ao assinante possa ser falsificada ou imitada (por exemplo, por meio do uso de uma fotocópia de alta qualidade ou injeção de vídeo).”
Como os documentos de identificação físicos não são vinculados ao portador de uma forma matematicamente comprovável (por exemplo, é possível apresentar um documento de identificação roubado), as partes que dependem deles devem realizar uma comparação biométrica adicional — normalmente reconhecimento facial e verificação de vivacidade — para vincular essa credencial ao apresentador.
Evidência superior (mDL)
Em contrapartida, o NIST classifica as credenciais criptográficas — especificamente aquelas armazenadas em carteiras controladas pelo assinante, como as mDLs — como evidência superior.
“Evidência que… contém uma assinatura digital ou um código de autenticação de mensagem (MAC) sobre os dados da evidência que valida a integridade da evidência… e está vinculada a um autenticador possuído pelo assinante.”
A definição corresponde diretamente ao funcionamento dos mDLs:
- A integridade criptográfica é garantida pela assinatura digital do emissor
- A vinculação do titular é imposta por chaves vinculadas ao dispositivo
- A presença do usuário é exigida no momento da apresentação
Não há correspondência probabilística. Sem inspeção visual. Sem selfie.
Mudança no modelo de ligação
O NIST SP 800-63A-4 (§ 4.2.6.2) esclarece que para evidências Superiores, ao usar o caminho de evidências digitais para verificação, a própria ativação do usuário prova a posse e o controle.
- Para documentos de identificação físicos: é necessária a vinculação visual (verificação por selfie).
- Para mDLs: você precisa de uma vinculação criptográfica desbloqueada pela ativação do usuário (assinatura digital e desbloqueio da carteira).
Visualizando a mudança
Destaque | Identificação física (fluxo legado) | Carteira de habilitação móvel (mDL) |
Tipo de evidência | Imagem estática Uma imagem de um documento físico | Credencial digital verificável Objeto de dados assinado digitalmente |
Proteção contra adulteração | Segurança analógica Hologramas, UV e microtexto | Assinatura digital Criptografia. Se um único bit for alterado, a verificação falha. |
Vinculação do titular | Vinculação visual Humano/IA compara uma selfie com a foto do documento de identidade | Vinculação criptográfica Prova de posse da chave do dispositivo |
Presença do usuário | Prova de vida “Vire a cabeça”, “Pisque.” | Autenticação de dispositivo Desbloqueio por reconhecimento facial, impressão digital e PIN. |
Classificação NIST | Evidências "fortes" Requer verificação por selfie e evidências adicionais para o IAL2 | Evidência “superior” Não precisa de selfie extra |
Risco principal | Ataques de apresentação Deepfakes, máscaras, falsificações | Comprometimento do dispositivo Desbloqueio forçado do dispositivo, PIN do dispositivo roubado |
O status quo mudou
Além de introduzir a classificação de evidência Superior, o NIST também elevou o nível de exigência para atender ao padrão IAL2 apenas com evidência Forte.
De acordo com a Revisão 3 da SP 800-63 (publicada em 2017), uma única evidência forte combinada com uma verificação baseada em selfie foi suficiente para atender ao IAL2. A Revisão 4 reconhece que este modelo já não reflete o atual cenário de ameaça.
De acordo com as diretrizes atualizadas, o NIST agora exige duas evidências “Fortes” — ou uma “Forte” mais uma “Razoável” — para atender ao critério IAL2 na ausência de evidências “Superiores”.
A implicação é clara: se você ainda depende de uma simples leitura de documento de identidade mais uma selfie e presume que atende aos requisitos do IAL2, então não atende. Em agosto de 2025, esse modelo já não se mostra eficaz.
Embora seja provável que surjam soluções paliativas — como combinar selfies com verificação de número de telefone — o caminho mais direto e robusto para o IAL2 é o uso de mDLs como evidência superior.
Abordar preocupações
A transição da verificação visual de identidade para a verificação criptográfica representa uma verdadeira mudança de paradigma, e o ceticismo é natural. A reação mais comum é:
“Se os mDLs não incluírem uma verificação por selfie, isso parece menos seguro. Eu só me sentiria confortável em adotá-las junto com uma selfie.”
No entanto, quando analisados sob a ótica das ameaças modernas (particularmente fraudes impulsionadas por IA), os argumentos para manter a selfie rapidamente se desfazem.
1. O mDL não apenas transfere a verificação por selfie do momento da verificação para o momento da emissão?
Sim — e é exatamente aí que deve estar. Trata-se de uma mudança da correspondência probabilística para a afirmação determinística.
Quando um fornecedor pede a um usuário para tirar uma selfie hoje, ele está realizando uma comparação probabilística com a foto de um documento físico. Esse processo é altamente suscetível a “ataques de injeção”, nos quais imagens ou transmissões de vídeo geradas por IA imitam um usuário real. A defesa contra esses ataques exige o ajuste contínuo dos algoritmos de detecção de atividade — um jogo interminável de gato e rato.
Em contrapartida, o DMV realiza a verificação biométrica uma única vez durante a emissão, comparando-a com um registro biométrico oficial obtido pessoalmente durante uma visita ao DMV.
Seguem-se duas propriedades críticas:
- Redução da área de superfície para injeção de IA: O DMV compara o indivíduo com biometria de alta fidelidade capturada pessoalmente (em uma estação de trabalho especializada) — e não com imagens de baixa resolução enviadas de um dispositivo não gerenciado.
- A cadeia criptográfica de confiança: ao verificar um mDL, você não está simplesmente "confiando" que o DMV fez um bom trabalho. Você está verificando criptograficamente a integridade dessa verificação — consumindo o resultado de um evento de vinculação presencial de alta segurança, em vez de tentar recriar um evento remoto de baixa segurança.
A definição de evidência superior do NIST exige explicitamente que o emissor tenha realizado uma etapa de comprovação de identidade presencial. Os fluxos de emissão baseados em carteiras digitais são deliberadamente implementados após a visita presencial de alta segurança ao Detran.
Aceitar um mDL não significa terceirizar sua decisão de segurança — significa utilizar o resultado do evento de verificação de maior confiabilidade no ecossistema. Isso transfere o ônus da segurança para o ponto de maior atrito e maior fidelidade dos dados — a emissão — reduzindo drasticamente a superfície de ataque para todos os outros. Esta é a mudança de ummodelo transacional de identidade para um modelo baseado em credenciais.
2. Uma selfie ainda não é útil para “defesa em profundidade”?
Uma verdadeira defesa em profundidade significa sobrepor diferentes tipos de controles de segurança, e não simplesmente acumular controles redundantes. A posição do NIST é clara: a prova criptográfica de posse e ativação do usuário (desbloqueio da carteira) inerente aos mDLs fornece evidências “superiores”, em comparação com a garantia fornecida por uma selfie visual.
Adicionar uma selfie a um fluxo de mDL não aumenta a garantia; principalmente aumenta o atrito. As selfies foram criadas para impedir que alguém exibisse um cartão físico roubado, mas as mDLs resolvem isso por meio da verificação do usuário. Você não pode “exibir” ou apresentar remotamente a mDL de outra pessoa porque não consegue extraí-la do dispositivo dela. Além disso, as diretrizes do NIST evoluíram precisamente porque as verificações por selfie estão cada vez mais vulneráveis a ataques de injeção de IA generativa. Adicionar uma verificação fraca e suscetível a IA em cima de uma verificação criptograficamente segura não aumenta a sua segurança.
Se sua preocupação é que um usuário legítimo possa transferir a sessão para um fraudador imediatamente após a verificação, uma selfie não vai te salvar — isso é um problema de segurança de sessão , não um problema de verificação de identidade. A solução para isso requer a vinculação de tokens (como o OAuth DPoP), e não mais gestos em vídeo.
3. E se os dados biométricos do meu parceiro também puderem desbloquear meu telefone?
Esta questão aborda o conceito de “conluio íntimo”. Existe uma distinção importante entre fraude criminal em larga escala e delegação autorizada local.
As mDLs eliminam fraudes escaláveis (fazendas de bots, atacantes remotos) porque as credenciais não podem ser coletadas em massa. Isso nos deixa com cenários locais: um cônjuge ou filho que saiba o PIN do dispositivo ou tenha o rosto ou a impressão digital cadastrada.
Para muitos serviços do mundo real, a delegação de autoridade é normal e necessária: um pai gerenciando o portal de saúde de um filho ou um adulto auxiliando um familiar idoso com serviços governamentais. Os sistemas legados de “escanear e tirar selfies” geralmente falham nesses cenários legítimos de guarda.
A ameaça existencial à identidade digital hoje não se resume a um uso indevido local e isolado. Trata-se de uma fraude escalável e impulsionada por IA: fazendas de bots criando milhares de identidades sintéticas e ataques remotos baseados em deepfakes. Os mDLs neutralizam diretamente essa ameaça porque as credenciais estão vinculadas ao hardware e não podem ser exportadas.
O cenário de “cônjuge desbloqueando o telefone” é um evento local e não escalável — e uma verificação por selfie pouco faz para evitar isso de qualquer forma. Um usuário disposto a desbloquear o telefone para outra pessoa tem a mesma probabilidade de levantar o telefone para tirar a selfie primeiro.
Se o seu modelo de ameaças não tolera esse nível de conluio íntimo, a única solução é a verificação presencial assistida — exigindo que o usuário esteja fisicamente presente e supervisionado durante toda a sessão.
4. Certo, mas e quanto à conivência íntima entre adversários?
Se você opera um produto ou serviço em um ambiente onde a conivência íntima e conflituosa é uma preocupação, você sabe quem você é. Sua preocupação é válida e a indústria está trabalhando para deixar mais claro (1) que tipo de processo de verificação foi usado para emitir um mDL e (2) que tipo de autenticação local ocorreu quando o usuário ativou a credencial em sua carteira. Dessa forma, se for necessário um fator biométrico e ele não estiver presente, você poderá realizar verificações adicionais.
Ainda é preferível realizar a verificação biométrica localmente no dispositivo do usuário (por motivos de privacidade e para evitar atritos), e um mDL com sinalização de ativação biométrica é o mecanismo para que isso aconteça.
O NIST está trabalhando ativamente para aumentar a segurança no ecossistema mDL, incluindo o desenvolvimento de um perfil específico da SP 800-63A-4 para emissão de mDL que aborda essas preocupações. Isso cria uma base unificada de segurança em todo o ecossistema, garantindo que, ao aceitar um mDL, o intenso escrutínio desse processo de emissão regulamentado seja conferido a você por transitividade no momento da verificação — e que os sinais necessários estejam presentes para informar seu mecanismo de políticas de autorização.
O caminho a seguir é certo
As carteiras de habilitação digitais não são simplesmente cópias digitais dos cartões físicos. Representam uma mudança arquitetônica fundamental na forma como a identidade é comprovada. Estamos passando de um mundo de aproximação visual para um mundo de certeza criptográfica.
O modelo “escanear + selfie” cumpriu seu propósito, mas atingiu seus limites técnicos. A IA generativa corroeu a confiança que podemos depositar em evidências ópticas. Continuar a adicionar camadas de verificações visuais às credenciais digitais não é defesa em profundidade — é aderir a um modelo de segurança legado que está se tornando rapidamente obsoleto.
Conclusão
A tecnologia para combater a fraude de identidade moderna já existe e não requer mais uma câmera. Este é um daqueles raros momentos em que maior segurança e melhor experiência do usuário caminham na mesma direção. Aproveite a oportunidade.
Se você está construindo para o futuro da identidade, o caminho a seguir é determinístico, e a Okta pode ajudar. Estamos construindo a plataforma para que as empresas incorporem credenciais digitais de alta segurança e criptograficamente verificáveis diretamente em seus fluxos de identidade.
- Confie na matemática, não na imagem: assinaturas criptográficas não podem ser falsificadas por meio de deepfake. Chaves vinculadas ao dispositivo não podem ser injetadas.
- Adote evidências superiores: o NIST deixou sua posição clara: os mDLs classificados como evidências superiores fornecem maior segurança do que os IDs físicos classificados como evidências fortes, por design.
- Reduza o atrito sem comprometer a segurança: Eliminar a selfie remove uma das etapas de maior atrito na verificação de identidade, melhorando as taxas de conversão e reduzindo a revisão manual sem sacrificar a segurança.
A inclusão de mDLs nos seus fluxos de verificação de identidade não cria uma brecha de segurança. Isso fecha uma. Você substitui um processo frágil, probabilístico e baseado em imagens, com muita fricção, por uma interação perfeita fundamentada em uma prova criptográfica.
Para saber mais sobre como a Okta está possibilitando essa mudança, explore nossa versão beta do Okta Digital ID Verification e entenda como a identidade criptográfica determinística pode se encaixar na sua arquitetura atual.
Quer mais? Experimente os VDCs no mundo real com uma demonstração prática ao vivo diretamente do seu celular.
