Η έκδοση διαπιστευτηρίων OpenID4VCI εξηγημένη: από την προσφορά έως το αποδεκτό διαπιστευτήριο

Ο πλήρης κύκλος ζωής μιας προσφοράς διαπιστευτηρίου

Η προδιαγραφή δεν ορίζει ονομασμένες καταστάσεις, αλλά μια ροή που ξεκινά από τον εκδότη, όπου το διαπιστευτήριο εκδίδεται αμέσως, είναι ευκολότερο να ακολουθηθεί όπως στην παρακάτω σειρά. Κάθε βήμα μπορεί να αποτύχει με τον δικό του τρόπο, και μια υλοποίηση πορτοφολιού πρέπει να χειρίζεται αυτές τις διαδρομές, όχι μόνο την επιτυχημένη.

2. Ανακάλυψη μεταδεδομένων εκδότη

Πριν ζητήσει οτιδήποτε, το πορτοφόλι ανακτά τα μεταδεδομένα του εκδότη για να μάθει τι περιέχει το roadworthiness_certificate και ποια endpoints να καλέσει. Τα μεταδεδομένα δεν αναφέρουν ξεχωριστούς διακομιστές εξουσιοδότησης, οπότε ο εκδότης είναι ο ίδιος ο διακομιστής εξουσιοδότησής του, και το πορτοφόλι διαβάζει το token endpoint από τα μεταδεδομένα εκείνου του διακομιστή.

Μεταδεδομένα εκδότη διαπιστευτηρίων (απόσπασμα)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Μεταδεδομένα διακομιστή εξουσιοδότησης (απόσπασμα), από το /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Απόδειξη κατοχής

Επειδή τα μεταδεδομένα αναφέρουν ένα nonce_endpoint, το πορτοφόλι πρώτα ανακτά ένα φρέσκο c_nonce από εκεί. Στη συνέχεια αποδεικνύει ότι κατέχει το ιδιωτικό κλειδί στο οποίο θα δεσμευτεί το διαπιστευτήριο, υπογράφοντας ένα proof JWT πάνω στο αναγνωριστικό του εκδότη και αυτό το c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Απόκριση

{
  "c_nonce": "fi-nonce-77aa"
}

Το πορτοφόλι τώρα δημιουργεί το proof JWT από δύο αντικείμενα JSON, μια κεφαλίδα και ένα payload, και τα υπογράφει με το ιδιωτικό κλειδί στο οποίο θα δεσμευτεί το διαπιστευτήριο.

Κεφαλίδα: τι είναι αυτό το JWT και ποιο κλειδί το υπέγραψε

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: σημειώνει ότι αυτό είναι μια απόδειξη κλειδιού OpenID4VCI, ώστε να μην μπορεί να εκληφθεί ως κάποιο άλλο είδος JWT
• alg: ο αλγόριθμος υπογραφής, ένας από αυτούς που ανέφερε ο εκδότης στο proof_signing_alg_values_supported
• jwk: το δημόσιο κλειδί στο οποίο θα δεσμευτεί το διαπιστευτήριο· ο εκδότης ελέγχει την υπογραφή σε σχέση με αυτό

Payload: για ποιον προορίζεται η απόδειξη και πότε δημιουργήθηκε

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: το αναγνωριστικό του εκδότη, ώστε η απόδειξη να μην μπορεί να επαναχρησιμοποιηθεί σε άλλον εκδότη
• iat: η στιγμή που δημιουργήθηκε η απόδειξη, σε δευτερόλεπτα από το 1970
• nonce: το c_nonce από το nonce endpoint, που δείχνει ότι η απόδειξη είναι φρέσκια

Το υπογεγραμμένο αποτέλεσμα

Η κεφαλίδα και το payload κωδικοποιούνται καθένα ξεχωριστά σε base64url και ενώνονται με μια τελεία. Το πορτοφόλι υπογράφει αυτή τη συμβολοσειρά με το ιδιωτικό του κλειδί και προσθέτει την κωδικοποιημένη σε base64url υπογραφή μετά από μια δεύτερη τελεία. Η προκύπτουσα συμβολοσειρά είναι το proof JWT που στέλνει το πορτοφόλι στο αίτημα διαπιστευτηρίου στο βήμα 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Όταν το διαπιστευτήριο δεν είναι ακόμα έτοιμο: αναβαλλόμενη έκδοση

Το παραπάνω παράδειγμα υποθέτει ότι το αποτέλεσμα του ελέγχου είναι ήδη οριστικό. Αν αντίθετα ο φορέας ελέγχου χρειάζεται να παραπέμψει ένα οριακό αποτέλεσμα σε ανώτερο επιθεωρητή, το endpoint διαπιστευτηρίων δεν μπορεί να επιστρέψει αμέσως το διαπιστευτήριο, οπότε αναβάλλει την έκδοση.

Αναβαλλόμενη απόκριση από το /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Polling στο /deferred μέχρι να είναι έτοιμο

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Σχετικοί όροι

Πηγές

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework