Authentische Quelle
Eine Authentische Quelle ist ein Verzeichnis oder System, betrieben von einer öffentlichen Stelle oder privaten Einrichtung, das Attribute über eine Person, Organisation oder ein Objekt führt und bereitstellt und als primäres, maßgebliches Register für dieses Attribut gilt.
Ein nationales Handelsregister ist eine Authentic Source für Unternehmensregistrierungsdaten, eine Steuerbehörde ist eine Authentic Source für eine USt-IdNr., und ein Personenstandsregister ist eine Authentic Source für das Geburtsdatum oder die Adresse einer Person. Ein Attestation Provider, der ein Credential auf Basis eines Attributs ausstellt, ist nicht selbst die Authentic Source, es sei denn, er betreibt auch das zugrunde liegende Register: Die beiden Rollen sind oft dieselbe Organisation, aber das ARF hält sie konzeptionell getrennt, weil eine Wallet oder ein Verifizierer wissen muss, welche Partei tatsächlich für die Richtigkeit der Daten zum Zeitpunkt ihrer Erfassung bürgt. Für eine KYB- oder KYC-Prüfung ist es der Rückgriff auf die Authentic Source statt auf ein von der Gegenseite vorgelegtes Dokument, der die erneute Prüfung unveränderter Daten überflüssig macht, denn vertraut wird dem Eintrag selbst, nicht einer Kopie oder Selbstauskunft. Die PID der EUDI Wallet ist ein klares Beispiel: Sie wird aus Melderegistern oder vergleichbaren, von jedem Mitgliedstaat benannten Authentic Sources ausgestellt, und ihre Richtigkeit beruht auf dieser Benennung und nicht auf eigenen Prüfungen des Wallet-Anbieters. Mitgliedstaaten müssen festlegen und veröffentlichen, welche Stellen für ein gegebenes Attribut als Authentic Source gelten, sodass ein Attestation Provider, eine Wallet oder eine Relying Party eine Angabe bis zu ihrem Ursprung zurückverfolgen kann, statt sich auf eine Kette unbelegter Behauptungen zu verlassen. Das macht auch das Once-Only-Prinzip in der Praxis funktionsfähig: Sobald eine Authentic Source ein Attribut bestätigt hat, kann diese Bestätigung über viele Attestierungen und viele Relying Parties hinweg wiederverwendet werden, statt dass derselbe Sachverhalt von jeder Organisation, die ihn braucht, erneut erhoben und geprüft wird.
Verwandte Begriffe
Wie unterscheidet sich eine Authentic Source von einem Attestation Provider?
Eine Authentic Source ist der zugrunde liegende Eintrag, ein Handelsregister oder ein Personenstandsregister, der das Attribut hält und als dessen Ursprung gilt. Ein Attestation Provider ist die Partei, die auf Basis dieses Eintrags ein Credential ausstellt. Die beiden Rollen sind oft dieselbe Organisation, aber das ARF hält sie getrennt, damit eine Wallet ein Attribut bis dorthin zurückverfolgen kann, wo es tatsächlich bestätigt wurde.