Τι είναι τα επαληθεύσιμα διαπιστευτήρια;

Ας δούμε ένα συγκεκριμένο παράδειγμα. Ένας εργολάβος πρέπει να αποδείξει σε έναν νέο πελάτη ότι το προσωπικό του είναι πιστοποιημένο για εργασία σε ύψος, κάτι που το εκπαιδευτικό ίδρυμα ήδη γνωρίζει και καταγράφει. Το ίδρυμα λειτουργεί ως εκδότης: παίρνει το γεγονός από τη δική του καταχώρηση, το πακετάρει ως διαπιστευτήριο και το υπογράφει.

Το διαπιστευτήριο προσφέρεται στη συνέχεια στον κάτοχο, συνήθως με σάρωση ενός κωδικού ή ακολουθώντας έναν σύνδεσμο από την πύλη όπου το άτομο είναι ήδη συνδεδεμένο. Καταλήγει στο πορτοφόλι του, σε ένα τηλέφωνο για έναν ιδιώτη ή σε ένα Business Wallet για μια εταιρεία. Από τη στιγμή εκείνη αποθηκεύεται στην πλευρά του κατόχου, όχι σε μια κεντρική βάση δεδομένων που πρέπει να ερωτά ο καθένας.

Όταν ο πελάτης ζητά απόδειξη, δεν ζητά στην πραγματικότητα ένα έγγραφο. Θέτει μια ερώτηση: είναι αυτό το άτομο πιστοποιημένο για εργασία σε ύψος, και ισχύει ακόμη σήμερα το πιστοποιητικό αυτό. Το πορτοφόλι δείχνει στον κάτοχο ακριβώς τι ζητείται, ο κάτοχος εγκρίνει, και μόνο τα ζητούμενα στοιχεία φεύγουν από το πορτοφόλι.

Ο επαληθευτής στη συνέχεια ελέγχει την υπογραφή με βάση το δημοσιευμένο κλειδί του εκπαιδευτικού ιδρύματος, επιβεβαιώνει ότι το διαπιστευτήριο ανήκει πραγματικά στο άτομο που το παρουσιάζει, και επιβεβαιώνει ότι δεν έχει λήξει. Και οι τρεις έλεγχοι εκτελούνται στην πλευρά του επαληθευτή, στον χρόνο που χρειάζεται η σελίδα για να ανανεωθεί.

Τα διαπιστευτήρια δεν προορίζονται να διαρκούν για πάντα. Τα περισσότερα φέρουν ημερομηνία λήξης, οπότε ένα πιστοποιητικό που λήγει μετά από τρία χρόνια απλώς παύει να επαληθεύεται. Όταν κάτι πρέπει να ανακληθεί νωρίτερα, επειδή μια άδεια ανεστάλη ή ένας εργαζόμενος αποχώρησε, ο εκδότης το δημοσιεύει σε μια λίστα κατάστασης που οι επαληθευτές συμβουλεύονται ως μέρος του ελέγχου. Η λίστα καλύπτει πολλά διαπιστευτήρια ταυτόχρονα, οπότε η συμβουλή της δεν αποκαλύπτει ποιο ακριβώς ελεγχόταν.

Τα επαληθεύσιμα διαπιστευτήρια υπάρχουν ως πρότυπο εδώ και χρόνια. Ο λόγος που εντάσσονται τώρα σε πραγματικά συστήματα είναι η ευρωπαϊκή νομοθεσία. Ο αναθεωρημένος Κανονισμός eIDAS, γνωστός συνήθως ως eIDAS 2.0, υποχρεώνει κάθε κράτος μέλος να προσφέρει στους πολίτες και τις επιχειρήσεις του ένα EUDI Wallet, ένα ευρωπαϊκό πορτοφόλι ψηφιακής ταυτότητας, και υποχρεώνει μια μακρά λίστα οργανισμών να το αποδέχονται.

Το χρονοδιάγραμμα είναι το κομμάτι που αξίζει να λάβετε υπόψη στον σχεδιασμό σας. Τα κράτη μέλη πρέπει να διαθέσουν τουλάχιστον ένα πορτοφόλι έως περίπου το τέλος του 2026, και από το 2027 οι μεγάλες διαδικτυακές πλατφόρμες και οι ρυθμιζόμενοι κλάδοι όπως η τραπεζική θα πρέπει να το αποδέχονται παντού όπου ήδη απαιτούν ισχυρή ταυτοποίηση χρήστη. Για τις περισσότερες οργανώσεις το ερώτημα συνεπώς δεν είναι αν θα έρθουν τα πορτοφόλια, αλλά σε ποια πλευρά του γκισέ θα βρίσκονται.

Μέσα στο πορτοφόλι, το θεμέλιο είναι τα Δεδομένα Αναγνώρισης Προσώπου, το PID. Αυτό είναι το βασικό σύνολο ταυτότητας που εκδίδεται υπό την ευθύνη ενός κράτους μέλους: ποιος είστε, επιβεβαιωμένο στο επίπεδο που χρησιμοποιεί το ίδιο το κράτος. Όλα τα υπόλοιπα είναι μια ηλεκτρονική βεβαίωση χαρακτηριστικών, μια EAA, όρος που χρησιμοποιεί ο κανονισμός για ένα επαληθεύσιμο διαπιστευτήριο σχετικά με κάτι άλλο πέρα από τη βασική ταυτότητα, όπως μια ιδιότητα μέλους, ένα δίπλωμα ή μια εντολή να ενεργεί κανείς για λογαριασμό μιας εταιρείας.

Οι βεβαιώσεις έχουν διαβαθμίσεις. Μια ειδική ηλεκτρονική βεβαίωση χαρακτηριστικών, μια QEAA, εκδίδεται από έναν ειδικό πάροχο υπηρεσιών εμπιστοσύνης υπό εποπτεία και έχει νομική βαρύτητα σε όλη την Ένωση. Ένας δημόσιος φορέας που αποτελεί την αυθεντική πηγή ενός γεγονότος μπορεί να εκδώσει μια βεβαίωση δημόσιου τομέα με ανάλογο κύρος. Μια απλή EAA είναι απόλυτα χρησιμοποιήσιμη και εκεί ξεκινά συνήθως η περισσότερη ιδιωτική έκδοση, απλώς δεν φέρει το ίδιο νομικό κύρος.

Η πρώτη είναι ότι τα επαληθεύσιμα διαπιστευτήρια χρειάζονται blockchain. Δεν το χρειάζονται. Τα ίδια τα διαπιστευτήρια είναι υπογεγραμμένες δηλώσεις που κρατά το άτομο ή η εταιρεία που περιγράφουν, και το ευρωπαϊκό οικοσύστημα τα ελέγχει με βάση συνηθισμένα δημοσιευμένα κλειδιά και λίστες που τηρούν κρατικοί φορείς. Ορισμένα έργα πράγματι τοποθετούν δεδομένα μητρώου σε κατανεμημένο μητρώο, αλλά αυτό είναι μια επιλογή για το πού θα δημοσιευτεί μια λίστα, όχι ιδιότητα του ίδιου του διαπιστευτηρίου.

Η δεύτερη είναι ότι αυτό είναι το ίδιο με το να τοποθετήσεις μια ψηφιακή υπογραφή σε ένα PDF. Ένα υπογεγραμμένο PDF αποδεικνύει ποιος υπέγραψε το αρχείο και ότι δεν έχει τροποποιηθεί, κάτι πραγματικά χρήσιμο, αλλά παραμένει ένα έγγραφο προορισμένο να το διαβάσει ένα άτομο. Ένα διαπιστευτήριο είναι ένα σύνολο ξεχωριστών στοιχείων πάνω στα οποία μπορεί να ενεργήσει ένα σύστημα, ο κάτοχος μπορεί να αποκαλύψει μόνο ένα μέρος του, και έχει μια κατάσταση που ο εκδότης μπορεί να ανακαλέσει. Ένα υπογεγραμμένο PDF δεν έχει καμία από αυτές τις τρεις τελευταίες ιδιότητες.

Η τρίτη είναι ότι η ψηφιακή άδεια οδήγησης είναι κάτι εντελώς διαφορετικό. Η ψηφιακή άδεια οδήγησης, η mDL, είναι ένα επαληθεύσιμο διαπιστευτήριο σε μορφή ISO που ονομάζεται mdoc, σχεδιασμένη ώστε να λειτουργεί και δια ζώσης και χωρίς σύνδεση δικτύου, ακριβώς αυτό που χρειάζεται ένας έλεγχος στον δρόμο. Συνυπάρχει με τη μορφή SD-JWT VC που χρησιμοποιείται στις περισσότερες διαδικτυακές περιπτώσεις, χωρίς να την ανταγωνίζεται, και ένα πορτοφόλι μπορεί να έχει και τις δύο.

Η τελευταία είναι ότι η υιοθέτηση διαπιστευτηρίων σημαίνει αντικατάσταση όσων ήδη έχετε. Στην πράξη τα συστήματα πηγής παραμένουν εκεί που είναι. Η έκδοση προσθέτει μια υπογεγραμμένη έξοδο δίπλα στο αρχείο που ήδη τηρείτε, και η επαλήθευση προσθέτει έναν έλεγχο δίπλα στη διαδικασία υποδοχής που ήδη εκτελείτε. Η αλλαγή συμβαίνει στα άκρα, κάτι που εξηγεί επίσης γιατί ένα πρώτο έργο μπορεί να είναι μικρό.

Δύο ακόμη ονόματα εμφανίζονται γρήγορα σε κάθε συζήτηση για αυτό το θέμα, και και τα δύο αφορούν την κίνηση παρά το περιεχόμενο. Το OpenID4VCI περιγράφει πώς ένα διαπιστευτήριο φτάνει από τον εκδότη σε ένα πορτοφόλι, και το OpenID4VP περιγράφει πώς ένα πορτοφόλι το παρουσιάζει σε έναν επαληθευτή. Δεν χρειάζεται να γνωρίζετε κανένα από τα δύο λεπτομερώς, αλλά βοηθά να γνωρίζετε ότι η μορφή και η μεταφορά είναι ξεχωριστές αποφάσεις.

Δεν χρειάζεται να επιλέξετε ανάμεσά τους εξαρχής. Μια πλατφόρμα που υποστηρίζει τις σχετικές μορφές μπορεί να εκδώσει τα ίδια υποκείμενα δεδομένα σε όποια μορφή αναμένει ένα δεδομένο οικοσύστημα.