WIA
(Wallet Instance Attestation)
Wallet Instance Attestation (WIA) je podepsaný JWT, vydaný poskytovatelem peněženky, který osvědčuje integritu a pravost konkrétní instance peněženky: té části peněženky, se kterou uživatel pracuje, obvykle aplikace v zařízení uživatele. Uvádí Wallet Solution, její verzi a certifikaci a obsahuje odkaz pro odvolání instance peněženky. ARF ji označuje jako jeden ze dvou typů Wallet Unit Attestation, vedle Key Attestation.
Jednotka peněženky odesílá svou WIA, když žádá poskytovatele PID nebo poskytovatele atestací o pověření. WIA je atestace peněženky z OpenID4VCI Appendix E, která se odesílá autorizačnímu serveru vydavatele spolu s důkazem, že peněženka drží klíč WIA. Vydavatel ověří podpis poskytovatele peněženky vůči kotvě důvěry (trust anchor), kterou Komise pro daného poskytovatele peněženky zveřejňuje, a zkontroluje, že instance peněženky nebyla odvolána.
WIA se odesílá u každého pověření, ať je vázané na zařízení, nebo ne. U pověření vázaného na zařízení jednotka peněženky navíc odesílá Key Attestation, která popisuje WSCA/WSCD nebo úložiště klíčů, jež drží nový klíč.
WIA je platná méně než 24 hodin, takže odráží nedávnou kontrolu integrity, nikoli jednorázovou kontrolu při instalaci. Uvádí také dobu udržování informací o odvolání, která může být mnohem delší: po celou tuto dobu poskytovatel peněženky udržuje stav odvolání instance peněženky dostupný. Pokud je instance peněženky kompromitována, poskytovatel peněženky ji odvolá. Poskytovatel PID musí tento stav pravidelně kontrolovat po celou dobu platnosti svého PID a PID odvolat, jakmile je instance peněženky odvolána. Poskytovatelé atestací mohou postupovat stejně.
Kvůli ochraně soukromí jednotka peněženky předkládá svou WIA pouze poskytovatelům PID a poskytovatelům atestací, nikdy spoléhajícím se stranám. Spoléhající se strana nemůže jednotku peněženky zkontrolovat sama. Důvěřuje tomu, že vydavatel WIA zkontroloval, a kontrolou stavu odvolání PID zároveň ví, že jednotka peněženky, ve které je PID uložen, nebyla odvolána.
Firemní peněženky fungují jinak. ARF počítá s osobním zařízením a peněženky pro právnické osoby ponechává samostatné firemní peněžence. Návrh Komise o European Business Wallets (COM(2025) 838) tuto myšlenku přebírá pod názvem wallet unit attestation: poskytovatel ji generuje a podepisuje pro každou jednotku European Business Wallet, a to certifikátem vydaným na základě certifikátu z důvěryhodného seznamu podle prováděcího nařízení (EU) 2024/2980. Taková jednotka není jen aplikace. Spojuje front-end, tedy uživatelské rozhraní na jakékoli platformě a v jakékoli podobě, se serverovým back-endem, který musí ke správě kritických aktiv používat alespoň jednu WSCA a WSCD. Klíče v atestaci musí chránit WSCD a u odvolané atestace musí být zveřejněn její stav.
OpenID4VCI popisuje svou atestaci peněženky jako navrženou zejména pro peněženky v podobě nativních aplikací, jejichž integritu poskytovatel peněženky obvykle ověřuje pomocí mobilního operačního systému, například přes iOS DeviceCheck nebo Android Play Integrity. Návrh neuvádí, jak serverový back-end prokazuje svou integritu. Technické specifikace ponechává prováděcím aktům, které by podle něj měly tam, kde je to vhodné, vycházet z ARF.
Související pojmy
Kontroluje spoléhající se strana WIA?
Ne. Podle ARF jednotka peněženky předkládá svou Wallet Instance Attestation při vydávání pouze poskytovatelům PID a poskytovatelům atestací, protože ti mají oprávněný obchodní důvod instanci peněženky zkontrolovat, zatímco spoléhající se strany ne. Spoléhající se strana důvěřuje tomu, že vydavatel WIA zkontroloval, a u PID se spoléhá na stav odvolání PID, aby věděla, že jednotka peněženky nebyla odvolána.