Vydávání pověření OpenID4VCI vysvětleno: od nabídky k přijatému pověření

Celý životní cyklus nabídky pověření

Specifikace nedefinuje pojmenované stavy, ale tok zahájený vydavatelem, ve kterém je pověření vydáno rovnou, se nejsnáze sleduje jako sekvence níže. Každý krok může selhat svým vlastním způsobem a implementace peněženky musí zvládnout i tyto cesty, nejen tu úspěšnou.

2. Zjišťování metadat vydavatele

Než o cokoli požádá, peněženka si stáhne metadata vydavatele, aby zjistila, co obsahuje roadworthiness_certificate a jaké endpointy volat. Metadata neuvádí žádné samostatné autorizační servery, takže vydavatel je svým vlastním autorizačním serverem, a peněženka si tokenový endpoint přečte z metadat tohoto serveru.

Metadata vydavatele pověření (výňatek)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metadata autorizačního serveru (výňatek), z /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Důkaz držení

Protože metadata uvádějí nonce_endpoint, peněženka si odtud nejprve stáhne čerstvý c_nonce. Poté dokáže, že vlastní soukromý klíč, ke kterému bude pověření vázáno, tím, že podepíše proof JWT nad identifikátorem vydavatele a tímto c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Odpověď

{
  "c_nonce": "fi-nonce-77aa"
}

Peněženka nyní sestaví proof JWT ze dvou JSON objektů, hlavičky a payloadu, a podepíše je soukromým klíčem, ke kterému bude pověření vázáno.

Hlavička: co tento JWT je a jaký klíč jej podepsal

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: označuje toto jako důkaz klíče OpenID4VCI, takže jej nelze zaměnit s jiným typem JWT
• alg: podpisový algoritmus, jeden z těch, které vydavatel uvedl v proof_signing_alg_values_supported
• jwk: veřejný klíč, ke kterému bude pověření vázáno; vydavatel proti němu ověřuje podpis

Payload: pro koho je důkaz určen a kdy vznikl

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: identifikátor vydavatele, díky kterému nelze důkaz přehrát u jiného vydavatele
• iat: čas vytvoření důkazu, v sekundách od roku 1970
• nonce: c_nonce z nonce endpointu, který ukazuje, že důkaz je čerstvý

Podepsaný výsledek

Hlavička a payload jsou každý zakódovány v base64url a spojeny tečkou. Peněženka tento řetězec podepíše svým soukromým klíčem a připojí za druhou tečku podpis zakódovaný v base64url. Výsledný řetězec je proof JWT, který peněženka odesílá v žádosti o pověření v kroku 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Když pověření ještě není připraveno: odložené vydání

Výše uvedený příklad předpokládá, že výsledek kontroly je již konečný. Pokud musí stanice technické kontroly místo toho eskalovat hraniční výsledek na staršího inspektora, endpoint pověření nemůže pověření vrátit hned, takže vydání odloží.

Odložená odpověď z /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Dotazování /deferred, dokud není připraveno

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Související pojmy

Zdroje

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework