Passwordless Alliance y Secure Identity Alliance (SIA) han acordado convertirse mutuamente en miembros afiliados (Affiliated Members). El acuerdo surgió a raíz de la presentación «Linking Identity and Passwordless X1280», realizada por el presidente John Jonghyun Woo ante las organizaciones miembro de SIA.
SIA es una asociación internacional sin ánimo de lucro con sede en Bruselas, Bélgica. Gobiernos y empresas del sector de la identidad participan como miembros, con el objetivo de una «identidad legal y confiable para todos (legal, trusted identity for all)». OSIA (Open Standards Identity API), desarrollada por SIA, se convirtió en 2024 en norma internacional como ITU-T X.1281 («APIs for interoperability of identity management systems»). X.1281 conecta mediante API comunes los sistemas nacionales de gestión de identidad creados por distintos proveedores, como el registro civil, la gestión de datos biométricos y la emisión de documentos de identidad. Siguiendo esta norma, los gobiernos pueden construir y ampliar sus sistemas de identidad sin quedar atados a un único proveedor (evitando el vendor lock-in).
Passwordless Alliance trabaja por servicios en línea seguros y sin contraseñas. Con este fin, participa en el desarrollo de la norma internacional ITU-T X.1280 y distribuye gratuitamente el software Passwordless X1280.
Ambas organizaciones se conocieron mientras desarrollaban normas en la Comisión de Estudio 17 del UIT-T (ITU-T SG17). El objetivo de la cooperación es conectar los dos pilares de la identidad y la autenticación para crear un entorno digital más confiable y seguro.
La presentación de X.1280 ante los miembros de SIA se basó en la idea de que la identidad no conduce directamente a la autenticación, sino que se conecta a través del flujo «identidad > cuenta > autenticación», lo que permitió a los participantes ver fácilmente el punto de conexión entre ambos campos.
En el mundo físico, la identidad se vincula directamente con la autenticación; en línea, en cambio, la identidad del usuario se vincula a una cuenta, y la cuenta se protege mediante la autenticación. Por eso, por muy sofisticado que sea un sistema de identidad, si la cuenta vinculada es tomada a causa de una filtración de contraseña o de phishing, esa identidad deja de ser fiable. Hoy, la mayoría de los servicios atribuyen la carga de la prueba al usuario y consideran una cuenta comprometida como negligencia del usuario. X.1280 traslada esta responsabilidad del usuario al sistema en línea.
Los métodos existentes, como las notificaciones push o los SMS/OTP, solo comprueban si el usuario posee el medio de autenticación. Como no verifican si el servicio al que se accede es auténtico, un atacante puede montar un servicio falso y provocar una solicitud de autenticación al servicio real, y el usuario simplemente la aprobará. X.1280 evita este ataque al combinar la autenticación del servidor y la del usuario en un único flujo fuera de banda (out-of-band). Como basta con el sensor biométrico del teléfono inteligente, también puede aplicarse a dispositivos en la nube e IoT en los que es difícil añadir sensores, y a agentes de IA que acceden a servicios en nombre del usuario.
El ámbito en el que ambas organizaciones quieren trabajar juntas es la identidad digital móvil. A medida que los pasaportes (ICAO 9303), los documentos de identidad VDS (ISO 22376) y los documentos con chip (ISO/IEC 14443) pasan a las billeteras de los teléfonos, es cada vez más común presentar la identidad mediante códigos QR. Sin embargo, si un atacante muestra un QR falso, al usuario le resulta difícil distinguirlo del servicio real. La presentación propuso combinar en los documentos de identidad móviles la autenticación mutua en línea (X.1280) y la autenticación mutua fuera de línea (X.1268), de modo que se verifique primero la autenticidad de la otra parte antes de mostrar el documento..
En resumen, mientras X.1281 aborda la interoperabilidad entre sistemas de gestión de identidad, X.1280 aborda el paso de acceder a los servicios con esa identidad. En adelante, Passwordless Alliance ampliará su cooperación con los grupos de trabajo y las organizaciones miembro de SIA para analizar cómo aplicar ambas normas de forma conjunta en los sistemas nacionales de identidad digital.