DLT Workshop · Pisa · 5 novembre 2026
Privacy, trasparenza o compliance?
Un altro trilemma, tanto per gradire...
Francesco Bruschi · Politecnico di Milano
Trasparenza
Privacy
Conformità
2
Conformità · 1 — Privacy pools
Le privacy pools provano che un prelievo non viene da un deposito in blacklist
Senza trasferimenti
Deposito
Pool
Prelievo
+ prova ZK: il deposito d’origine non è in blacklist
Con trasferimenti dentro la pool
Deposito D
Nota di Bob
Nota di Carla
Prelievo di Carla
D entra in blacklist dopo il trasferimento. Anche il prelievo di Carla va bloccato.
3 · “A Private Smart Wallet with Probabilistic Compliance”, DAPPS 2025 (arXiv 2506.04853)
Conformità · 1 — Ancestral commitments
Ogni nota porta con sé gli impegni dei suoi antenati
Deposito D1
Deposito D2
Nota N1
antenati {D1}
Nota N2
antenati {D2}
Nota N3
antenati {D1, D2}
Prelievo
prova ZK sugli antenati
trasferimento: N1 + N2 → N3
Al prelievo si prova in ZK che nessun antenato è in blacklist. L’elenco però cresce a ogni trasferimento.
4 · “A Private Smart Wallet with Probabilistic Compliance”, DAPPS 2025 (arXiv 2506.04853)
Conformità · 1 — Filtri di Bloom
Un filtro di Bloom tiene gli antenati in dimensione fissa
Filtro del genitore A
Filtro del genitore B
↓ OR bit a bit nel trasferimento
Filtro del figlio = A ∨ B
Al prelievo, in ZK
Per ogni impegno in blacklist, almeno uno dei suoi k bit è spento nel filtro.
Σᵢ B[i] · B⁽Ĉ⁾[i] ≠ k
Falsi positivi: possibili, un parametro di policy
Falsi negativi: mai
5 · “A Private Smart Wallet with Probabilistic Compliance”, DAPPS 2025 (arXiv 2506.04853)
Conformità · 2 — Backdoor condizionate
Una backdoor condizionata limita l’accesso dell’autorità
Backdoor
Un’autorità può decifrare messaggi o de-anonimizzare transazioni.
Key escrow, Clipper chip: chi ha la chiave legge senza lasciare traccia.
CB.1
Condizionalità: si apre solo se un enunciato s sulla chain è vero
CB.2
Nessun accesso arbitrario: senza s non apre nessuno, autorità compresa
CB.3
Nessun accesso silenzioso: ogni apertura lascia una traccia onchain
CB.4
Robustezza:manipolando lo stato della chain non si ottiene un testimone senza lasciare traccia
6 · “Deflating Mass-Surveillance Attempts in the Post-Snowden Era”, DLT 2025, Pizzo
Conformità · 2 — Witness encryption
Soluzione ideale: Witness Encryption + Smart Contract
ct = ( WE.Enc(s, PKE.Enc(pk_aut, k)) , Sym.Enc(k, m) )
Per aprire servono la chiave dell’autorità e un testimone di s, cioè la transazione onchain che rende s vera.
Esempio di s: una richiesta di accesso per questo utente, firmata da 2 autorità su 3, più vecchia di 30 giorni.
Per enunciati generali la witness encryption estraibile non esiste ancora.
7 · “Deflating Mass-Surveillance Attempts in the Post-Snowden Era”, DLT 2025, Pizzo
Conformità · 2 — Alternative pratiche
Le alternative spostano la garanzia su hardware o incentivi economici
Costruzione
Garanzia
Accesso silenzioso
WE estraibile (ideale)
crittografica
impossibile
TEE singolo
hardware, one-shot
possibile, se l’enclave cade
TEE eterogenei
hardware, più piattaforme
più costoso
Comitato con deposito
economica (slashing)
possibile, con collusione fuori chain
Nessuna garantisce CB.3 per via crittografica, e questo resta il problema aperto.
8 · Applicazione: messaggistica end-to-end che si apre solo su mandato, lasciando traccia onchain
Identità · 1 — EUDI
Il wallet europeo adotta le credenziali verificabili
Oggi: identity provider (SPID, OAuth)
Bob, cittadino
si autentica
Carol, identity provider
conferma
Alice, servizio
Carol interviene a ogni accesso e vede dove Bob si presenta.
Wallet EUDI: credenziali firmate
Emittente
firma una volta
Bob, nel suo wallet
presenta
Alice, servizio
Alice verifica la firma senza contattare l’emittente, come con un diploma.
9 · Wallet EUDI in ogni Stato membro entro il 24/12/2026 · Ethereum verifica P-256 da dicembre 2025 (EIP-7951)
Identità · 2 — La governance
La governance del wallet EUDI resta centralizzata
Relying party registrate
Chi chiede credenziali deve avere un certificato di accesso. Uno smart contract non può ottenerlo.
ZK solo raccomandate
La stessa firma dell’emittente rende collegabili le presentazioni.
Wallet certificati
Devono usare un secure element certificato. Un wallet open source autoprodotto non è ammesso.
Liste di fiducia
Chi può emettere attestazioni lo decidono registri nazionali.
Se resta confinato ai servizi ufficiali, il wallet verrà usato come uno SPID più evoluto.
10 · Dalla nostra analisi di eIDAS 2.0 e dei suoi atti di esecuzione, che classifica il wallet come user-centric
Identità · 3 — Documenti con chip
Passaporti e CIE permettono già prove ZK sul telefono
Documento con chip
Lettura NFC
Prova ZK sul telefono
Smart contract
In ZKPassport chi riceve la prova conosce solo il predicato, per esempio la maggiore età o l’assenza da liste di sanzioni.
Le firme della CIE
Dati firmati
Catena fino alla CA del Ministero
Autenticazione con PIN
Il titolare conferma
Autenticazione interna
Anti-clonazione, senza PIN, legata all’identificativo servizi
11
Identità · 4 — We Make Future, Bologna
Una CIE ha autorizzato i pagamenti di un wallet
1
2
3
4
5
La CIE si appoggia al telefono
La carta firma una sfida
Lo smart account verifica la firma
Il paymaster paga il gas
Gli stablecoin si spostano
Lettura NFC
Autenticazione interna, senza PIN
ERC-4337, indirizzo CREATE2 dalla chiave della carta
Chi tiene la carta non ha bisogno di ETH
La chiave della carta controlla i fondi
Senza PIN la carta è un oracolo di firma per chi la tiene in mano.
12
Identità · 5 — ZK su RSA
La prova pesante su RSA si fa una volta, poi bastano prove leggere
Registrazione · una volta
Prova della firma RSA-2048 della carta (e = 65537) e di SHA-256: 10⁵–10⁶ vincoli, pochi secondi sul telefono.
Un impegno della carta entra in un Merkle tree.
Ogni uso
Prova leggera di appartenenza al Merkle tree, con un nullifier derivato dalla carta.
Il nullifier permette il voto anonimo con un voto per persona, la prova di possesso del wallet per la travel rule oltre 1.000 € e il recupero dell’account senza seed phrase.
13 · Lo stesso schema è in produzione in Anon Aadhaar e zk-email
Conclusioni
Gli strumenti crittografici esistono, e i documenti con chip permettono già di usarli
Restano due limiti: nessuna costruzione pratica garantisce CB.3, e il wallet EUDI non è utilizzabile da smart contract.
JRP NextGen Digital Identity · Politecnico di Milano
Cerchiamo partner con casi concreti di conflitto tra privacy e norme · francesco.bruschi@polimi.it