Η DCQL εξηγημένη: πώς ένας επαληθευτής ζητά από ένα πορτοφόλι ακριβώς ό,τι χρειάζεται

Το πρόβλημα που λύνει η DCQL

Εναλλακτική επιλογή: claim_sets

Το claim_sets απαριθμεί ομάδες id στοιχείων με σειρά προτίμησης. Το πορτοφόλι επιστρέφει την πρώτη ομάδα που μπορεί να ικανοποιήσει πλήρως με όσα έχει πράγματι ο κάτοχος, ώστε ο επαληθευτής να μη χρειάζεται δύο ξεχωριστά αιτήματα για την ακριβή και την εναλλακτική περίπτωση.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Εδώ ο επαληθευτής προτιμά αριθμό μητρώου μαζί με τη νόμιμη επωνυμία, αλλά δέχεται και μόνο τη νόμιμη επωνυμία αν το διαπιστευτήριο του κατόχου δεν περιέχει στοιχείο αριθμού μητρώου.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Συνδυασμός διαπιστευτηρίων: credential_sets

Το credential_sets λειτουργεί ένα επίπεδο πάνω από το claim_sets. Κάθε καταχώριση απαριθμεί options, όπου κάθε επιλογή είναι μια ομάδα id ερωτημάτων διαπιστευτηρίων. Το πορτοφόλι πρέπει να ικανοποιήσει μία επιλογή από κάθε υποχρεωτική καταχώριση, κάτι που δίνει στον επαληθευτή λογική AND και OR μεταξύ διαπιστευτηρίων σε ένα μόνο αίτημα.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Παράδειγμα απάντησης: εγγραφή και τραπεζικός λογαριασμός

Τι στέλνει το πορτοφόλι

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Στοιχεία που βλέπει ο επαληθευτής μετά την επικύρωση

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

Ο κάτοχος δεν έχει διαπιστευτήριο εγγραφής ΦΠΑ, οπότε το πορτοφόλι επέλεξε τη δεύτερη επιλογή του δεύτερου συνόλου. Τα id ερωτημάτων που δεν χρησιμοποιήθηκαν, εδώ το vat_registration, απλώς απουσιάζουν από το vp_token.

Μόνο αξιόπιστοι εκδότες: trusted_authorities

Το trusted_authorities περιορίζει ένα ερώτημα διαπιστευτηρίου σε διαπιστευτήρια των οποίων ο εκδότης υποστηρίζεται από αρχή που εμπιστεύεται ο επαληθευτής. Κάθε καταχώριση έχει έναν τύπο και μια λίστα τιμών: aki για αναγνωριστικό κλειδιού αρχής, etsi_tl για λίστα εμπιστοσύνης ETSI ή openid_federation για άγκυρα εμπιστοσύνης ομοσπονδίας. Το πορτοφόλι προσφέρει μόνο διαπιστευτήρια που ταιριάζουν.

Παράδειγμα: εγγραφή από εκδότη της λίστας

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Παράδειγμα απάντησης: μόνο το διαπιστευτήριο του εκδότη της λίστας

Τι στέλνει το πορτοφόλι

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Στοιχεία που βλέπει ο επαληθευτής μετά την επικύρωση

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

Ο κάτοχος είχε επίσης διαπιστευτήριο εγγραφής από εκδότη εκτός λίστας, αλλά το πορτοφόλι δεν το προσέφερε. Το trusted_authorities είναι φίλτρο για το πορτοφόλι, όχι εγγύηση: ο επαληθευτής ελέγχει ο ίδιος τον εκδότη έναντι της λίστας εμπιστοσύνης όταν επικυρώνει την παρουσίαση.

Αντιστοίχιση τιμής: claims.values

Ένα ερώτημα στοιχείου μπορεί να περιέχει values, μια λίστα από συμβολοσειρές, ακέραιους ή λογικές τιμές. Το πορτοφόλι επιστρέφει το στοιχείο μόνο όταν ο τύπος και η τιμή του ταιριάζουν ακριβώς με μία από αυτές, ώστε ο επαληθευτής να ελέγχει μια συνθήκη χωρίς να ζητήσει πρώτα οτιδήποτε άλλο.

Παράδειγμα: μόνο εταιρείες εγγεγραμμένες στην Ολλανδία ή στο Βέλγιο

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Παράδειγμα απάντησης: μια ολλανδική εταιρεία

Τι στέλνει το πορτοφόλι

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Στοιχεία που βλέπει ο επαληθευτής μετά την επικύρωση

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Το διαπιστευτήριο μιας γερμανικής εταιρείας έχει registration_country "DE", οπότε δεν ικανοποιεί το ερώτημα και το πορτοφόλι δεν έχει τίποτα να επιστρέψει γι' αυτό. Ο επαληθευτής θα πρέπει παρ' όλα αυτά να ελέγχει την τιμή στα επικυρωμένα στοιχεία αντί να βασίζεται στο φιλτράρισμα του πορτοφολιού.

Πού βρίσκεται σήμερα η DCQL

• Η DCQL ορίζεται μέσα στην ίδια την προδιαγραφή OpenID4VP, όχι σε ξεχωριστό έγγραφο, και είναι μέρος του σχεδίου από τότε που ο μηχανισμός εισήχθη για να αντικαταστήσει την παλαιότερη εξάρτηση από το DIF Presentation Exchange για αιτήματα OpenID4VP.
• Το EUDI Wallet Architecture and Reference Framework ορίζει το OpenID4VP ως πρωτόκολλο παρουσίασης και, μαζί του, τη DCQL ως τον μηχανισμό ερωτημάτων που αναμένεται να υποστηρίζουν τα βασιζόμενα μέρη και τα πορτοφόλια του οικοσυστήματος.
• Οι υλοποιήσεις αναφοράς πορτοφολιών και επαληθευτών στο πρόγραμμα EUDI Wallet Reference Implementation έχουν συγκλίνει στη DCQL, οπότε οι νέες ενσωματώσεις επιχειρηματικών πορτοφολιών που χτίζονται σήμερα πάνω στο OpenID4VP θα πρέπει να θεωρούν δεδομένη τη DCQL, και όχι το Presentation Exchange, ως μορφή ερωτημάτων για αιτήματα παρουσίασης.

Συχνές ερωτήσεις

Η σελίδα αυτή έχει ενημερωτικό χαρακτήρα και δεν αποτελεί νομική συμβουλή. Για έγκυρη καθοδήγηση απευθυνθείτε απευθείας στο OpenID Foundation και στην Ευρωπαϊκή Επιτροπή.