DCQL vysvětleno: jak si ověřovatel vyžádá od peněženky přesně to, co potřebuje

Problém, který DCQL řeší

Záložní varianta: claim_sets

claim_sets uvádí skupiny id údajů v pořadí preference. Peněženka vrátí první skupinu, kterou dokáže plně splnit z toho, co držitel skutečně má, takže ověřovatel nemusí posílat dva samostatné požadavky pro přesný a záložní případ.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Ověřovatel zde preferuje identifikační číslo spolu s obchodní firmou, ale přijme i samotnou obchodní firmu, pokud osvědčení držitele údaj o identifikačním čísle neobsahuje.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Kombinace osvědčení: credential_sets

credential_sets funguje o úroveň výše než claim_sets. Každá položka uvádí options, přičemž každá možnost je skupina id dotazů na osvědčení. Peněženka musí splnit jednu možnost z každé povinné položky, což ověřovateli dává logiku AND a OR napříč osvědčeními v jediném požadavku.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Příklad odpovědi: registrace a bankovní účet

Co peněženka odešle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Údaje, které ověřovatel vidí po validaci

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

Držitel nemá osvědčení o registraci k DPH, proto peněženka zvolila druhou možnost druhé sady. Id dotazů, které nebyly použity, zde vat_registration, ve vp_token jednoduše chybí.

Pouze důvěryhodní vydavatelé: trusted_authorities

trusted_authorities omezuje dotaz na osvědčení, jejichž vydavatele podporuje autorita, které ověřovatel důvěřuje. Každá položka má type a seznam values: aki pro identifikátor klíče autority, etsi_tl pro důvěryhodný seznam ETSI nebo openid_federation pro kotvu důvěry federace. Peněženka nabízí pouze odpovídající osvědčení.

Praktický příklad: registrace od uvedeného vydavatele

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Příklad odpovědi: pouze osvědčení uvedeného vydavatele

Co peněženka odešle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Údaje, které ověřovatel vidí po validaci

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

Držitel měl také osvědčení o registraci od neuvedeného vydavatele, ale peněženka ho nenabídla. trusted_authorities je filtr pro peněženku, nikoli záruka: ověřovatel při validaci prezentace stále sám kontroluje vydavatele vůči důvěryhodnému seznamu.

Shoda hodnoty: claims.values

Dotaz na údaj může obsahovat values, seznam řetězců, celých čísel nebo logických hodnot. Peněženka vrátí údaj pouze tehdy, když jeho typ a hodnota přesně odpovídají jedné z nich, takže ověřovatel může ověřit podmínku, aniž by nejprve žádal o cokoli dalšího.

Praktický příklad: pouze společnosti registrované v Nizozemsku nebo Belgii

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Příklad odpovědi: nizozemská společnost

Co peněženka odešle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Údaje, které ověřovatel vidí po validaci

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Osvědčení německé společnosti má registration_country "DE", takže dotaz nesplňuje a peněženka pro něj nemá co vrátit. Ověřovatel by měl hodnotu přesto zkontrolovat ve validovaných údajích a nespoléhat na filtrování v peněžence.

Kde DCQL stojí dnes

• DCQL je definován přímo ve specifikaci OpenID4VP, nikoli jako samostatný dokument, a je součástí návrhu od chvíle, kdy byl mechanismus zaveden jako náhrada dřívější závislosti požadavků OpenID4VP na DIF Presentation Exchange.
• EUDI Wallet Architecture and Reference Framework stanoví OpenID4VP jako prezentační protokol a spolu s ním DCQL jako dotazovací mechanismus, který mají spoléhající se strany a peněženky v ekosystému podporovat.
• Referenční implementace peněženek a ověřovatelů v programu EUDI Wallet Reference Implementation se sjednotily na DCQL. Nové integrace firemních peněženek postavené dnes na OpenID4VP by proto měly jako formát dotazů v požadavcích na prezentaci počítat s DCQL, nikoli s Presentation Exchange.

Často kladené otázky

Tato stránka má informativní charakter a nepředstavuje právní poradenství. Závazné informace získáte přímo od OpenID Foundation a Evropské komise.