Prüfer
(Verifier)
Ein Prüfer ist die Partei, die ein vorgelegtes Credential prüft: Sie validiert die Signatur des Ausstellers, bestätigt, dass das Credential nicht widerrufen wurde, und liest nur die Claims, die der Inhaber offenlegen wollte.
Ein Verifizierer ist oft dieselbe Organisation wie die Relying Party, die das Credential anfragt, aber die Rollen sind unterschiedlich: Die Relying Party entscheidet, wonach gefragt wird und was mit dem Ergebnis geschieht, während der Verifizierer die technische Funktion ist, die die Signatur, den Trusted-List-Eintrag des Ausstellers und den Widerrufsstatus prüft, bevor dem Ergebnis vertraut werden kann. In einem OpenID4VP-Austausch sendet ein Verifizierer eine Vorlageanfrage, die beschreibt, welches Credential und welche Angaben er braucht, erhält die Antwort des Inhabers und führt dann drei Prüfungen durch, bevor er sie akzeptiert: dass die Signatur zum veröffentlichten Schlüssel des Ausstellers passt, dass der Aussteller auf der relevanten Trusted List für den vorgelegten Credential-Typ erscheint, und dass das Credential seitdem nicht laut seiner Statusliste widerrufen wurde. Erst nachdem alle drei bestanden sind, gibt der Verifizierer ein vertrauenswürdiges Ergebnis an die Relying Party zurück, zum Beispiel die Bestätigung, dass eine Person über achtzehn ist oder eine gültige berufliche Qualifikation besitzt, ohne je Angaben zu sehen, die der Inhaber nicht offenlegen wollte. Weil die Prüfung ein klar definierter, wiederholbarer Vorgang ist und keine Ermessensentscheidung, kann dieselbe Verifizierer-Logik vielen verschiedenen Relying Parties und Credential-Typen dienen, weshalb Organisationen die Prüfung oft als Dienstleistung einkaufen statt sie einmal pro Anwendungsfall selbst zu bauen. Ein schlecht implementierter Verifizierer, der die Trusted-List-Prüfung überspringt oder den Widerrufsstatus zu lange zwischenspeichert, ist eine häufige Ursache für Ausfälle des Vertrauensrahmens, selbst wenn Credential und Aussteller vollständig legitim sind.
Verwandte Begriffe
Ist ein Verifizierer dasselbe wie eine Relying Party?
Nicht ganz. Die Relying Party ist die Organisation, die entscheidet, wonach gefragt wird und was mit dem Ergebnis geschieht, etwa Zugang nach einer Altersprüfung zu gewähren. Der Verifizierer ist die technische Funktion, die diese Prüfung durchführt: Signatur, Trusted-List-Eintrag des Ausstellers und Widerrufsstatus validieren. Dieselbe Organisation spielt oft beide Rollen.