Το WUA εξηγημένο: πώς ένα πορτοφόλι αποδεικνύει τη γνησιότητά του σε έναν εκδότη
Πριν ένας οργανισμός βάλει ένα διαπιστευτήριο στο EUDI Wallet κάποιου, θέλει να ξέρει ότι το πορτοφόλι είναι γνήσιο και ότι όσα αποθηκεύει δεν μπορούν να αντιγραφούν. Ένα Wallet Unit Attestation είναι ο τρόπος με τον οποίο το πορτοφόλι το αποδεικνύει. Δεν είναι ένα έγγραφο αλλά δύο, υπογεγραμμένα και τα δύο από τον πάροχο του πορτοφολιού: ένα για την εφαρμογή, ένα για την ασφαλή αποθήκευση στη συσκευή.
Το πρόβλημα που λύνει το WUA
Ένας οργανισμός που ετοιμάζεται να εκδώσει διαπιστευτήριο ταυτότητας ή εγγραφής εταιρείας δεν έχει δικό του τρόπο να ξεχωρίσει ένα πιστοποιημένο πορτοφόλι από μια τροποποιημένη εφαρμογή ή από ένα σενάριο που προσποιείται ότι είναι πορτοφόλι. Ούτε μπορεί να δει αν το διαπιστευτήριο που πρόκειται να παραδώσει θα είναι δεμένο σε αυτή τη συσκευή ή θα βρίσκεται κάπου από όπου μπορεί απλώς να αντιγραφεί.
Το WUA καλύπτει και τα δύο κενά κάνοντας κάποιον άλλο να απαντά γι' αυτά. Ο πάροχος του πορτοφολιού εγγυάται για την εφαρμογή και για την ασφαλή αποθήκευση, και εποπτεύεται και καταχωρίζεται σε ευρωπαϊκό επίπεδο για αυτό. Ο εκδότης ελέγχει και τις δύο δηλώσεις πριν εκδώσει, και συνεχίζει να ελέγχει μετά, ώστε να μπορεί να ανακαλέσει όσα εξέδωσε αν το πορτοφόλι αποδειχθεί αργότερα παραβιασμένο.
Ένα WUA χρησιμοποιείται αποκλειστικά κατά την παραλαβή ενός διαπιστευτηρίου. Ένα πορτοφόλι δεν επιτρέπεται να το δείξει σε μια επιχείρηση που δέχεται διαπιστευτήριο, κάτι που κρατά τα στοιχεία για το τηλέφωνο και το πορτοφόλι του κατόχου έξω από τις καθημερινές συναλλαγές.
Οι συντελεστές και ποιος εμπιστεύεται ποιον
Εμπλέκονται πέντε μέρη, και μόνο τα τέσσερα από αυτά χειρίζονται ποτέ ένα WUA. Η ασφαλής αποθήκευση στη συσκευή φυλάει το μυστικό, ο πάροχος πορτοφολιού εγγυάται για την εφαρμογή και για αυτή την αποθήκευση, και ο εκδότης βασίζεται σε αυτό αντί να αξιολογεί ο ίδιος κάθε πορτοφόλι.
Πάροχος Πορτοφολιού
Εγγυάται για την εφαρμογή και για την ασφαλή αποθήκευση πίσω από αυτήν, και κρατά ενημερωμένες και τις δύο δηλώσεις
Μονάδα Πορτοφολιού
Δείχνει και τις δύο δηλώσεις στον εκδότη όταν παραλαμβάνει διαπιστευτήριο, και χρησιμοποιεί κάθε φορά καινούργιο ζεύγος
Ασφαλής αποθήκευση στη συσκευή
Κρατά το μυστικό που δένει ένα διαπιστευτήριο σε αυτό το ένα πορτοφόλι, και δεν το αφήνει ποτέ να βγει
PID Provider ή Attestation Provider
Ελέγχει και τις δύο δηλώσεις πριν εκδώσει, και συνεχίζει να ελέγχει μετά ώστε να μπορεί να ανακαλέσει όσα εξέδωσε
Εξαρτώμενο μέρος
Δεν λαμβάνει ποτέ WUA. Ελέγχει το ίδιο το διαπιστευτήριο και το αν εξακολουθεί να ισχύει
Οι εκδότες μπορούν να εμπιστευτούν ένα WUA επειδή ο πάροχος πορτοφολιού που το υπέγραψε περιλαμβάνεται στην επίσημη Trusted List της ΕΕ για παρόχους πορτοφολιών, και επειδή το ίδιο το προϊόν πορτοφολιού έχει πιστοποιηθεί από ανεξάρτητο φορέα αξιολόγησης.
Δύο δηλώσεις κάτω από ένα όνομα
Η ευρωπαϊκή προδιαγραφή χωρίζει τη βεβαίωση στα δύο, επειδή η εφαρμογή και η ασφαλής αποθήκευση είναι διαφορετικά πράγματα. Ελέγχονται από διαφορετικά μέρη και ανακαλούνται για διαφορετικούς λόγους: η μία όταν χαθεί ένα τηλέφωνο, η άλλη όταν μια ολόκληρη κατηγορία συσκευών αποδειχθεί αδύναμη.
Wallet Instance Attestation (WIA)
- Εγγυάται για
- Την ίδια την εφαρμογή του πορτοφολιού: γνήσιο, μη τροποποιημένο αντίγραφο πιστοποιημένου προϊόντος
- Διάρκεια ζωής
- Λιγότερο από 24 ώρες
- Μπορεί να ανακληθεί όταν
- Αυτή η εγκατάσταση δηλώνεται χαμένη, κλεμμένη ή παραποιημένη
- Απαιτείται για
- Κάθε διαπιστευτήριο που παραλαμβάνει το πορτοφόλι
Key Attestation (KA)
- Εγγυάται για
- Την ασφαλή αποθήκευση στη συσκευή, και πόσο καλά αντέχει σε επιθέσεις
- Διάρκεια ζωής
- Ορίζεται από τον πάροχο πορτοφολιού και μπορεί να είναι μεγαλύτερη από ενός WIA
- Μπορεί να ανακληθεί όταν
- Εντοπίζεται αδυναμία σε αυτό το είδος ασφαλούς αποθήκευσης
- Απαιτείται για
- Διαπιστευτήρια δεμένα στη συσκευή, που περιλαμβάνουν κάθε PID
Και οι δύο υπογράφονται από τον πάροχο πορτοφολιού, και οι δύο χρησιμοποιούνται μία φορά και μετά απορρίπτονται. Αυτό είναι σκόπιμο: σημαίνει ότι δύο εκδότες δεν μπορούν να συγκρίνουν σημειώσεις και να συμπεράνουν ότι συναλλάσσονται με το ίδιο πορτοφόλι.
Πώς αποκτά ένα πορτοφόλι αυτές τις δηλώσεις
Αυτό συμβαίνει μέσα σε ένα προϊόν πορτοφολιού, οπότε κάθε πάροχος το κάνει με τον δικό του τρόπο. Αυτό που απαιτούν οι κανόνες είναι σταθερό: ο πάροχος πρέπει να βεβαιωθεί ότι η εφαρμογή δεν έχει παραποιηθεί και ότι το μυστικό βρίσκεται πράγματι στην ασφαλή αποθήκευση που δηλώνει. Οι περισσότεροι πάροχοι χρησιμοποιούν για αυτό τους ελέγχους ακεραιότητας που ήδη προσφέρουν η Google και η Apple.
1. Μονάδα Πορτοφολιού
Ζητά από την ασφαλή αποθήκευση της συσκευής ένα νέο μυστικό
2. Ασφαλής αποθήκευση στη συσκευή
Το δημιουργεί και επιστρέφει απόδειξη από τη συσκευή ότι δημιουργήθηκε εκεί
3. Πάροχος Πορτοφολιού
Ελέγχει ότι η εφαρμογή είναι γνήσια και ότι η απόδειξη είναι έγκυρη, και μετά υπογράφει και τις δύο δηλώσεις
4. Μονάδα Πορτοφολιού
Κρατά ένα μικρό απόθεμα φρέσκων δηλώσεων και χρησιμοποιεί μια νέα για κάθε διαπιστευτήριο που παραλαμβάνει
Ο κύκλος ζωής του WUA
Αυτές οι δηλώσεις είναι σκόπιμα βραχύβιες και μίας χρήσης. Η δυνατότητα ανάκλησής τους, ωστόσο, τις ξεπερνά κατά πολύ σε διάρκεια. Τα τρία πρώτα στάδια παρακάτω είναι συνήθη· το τέταρτο συμβαίνει μόνο όταν κάτι πάει στραβά.
1. Ελεγμένο
Ο πάροχος πορτοφολιού υπογράφει τις δύο δηλώσεις μόνο αφού έχει ελέγξει την εφαρμογή και την ασφαλή αποθήκευση
2. Μίας χρήσης
Κάθε δήλωση εξυπηρετεί μία μόνο παραλαβή διαπιστευτηρίου, οπότε το πορτοφόλι ανακτά συνεχώς καινούργιες
3. Επανέλεγχος
Ένας πάροχος PID ελέγχει ξανά τουλάχιστον μία φορά την ημέρα και ανακαλεί το PID αν έχει ανακληθεί οποιαδήποτε από τις δύο δηλώσεις
4. Ανακληθέν
Μόνο όταν κάτι πάει στραβά: ένα χαμένο ή κλεμμένο τηλέφωνο, ή μια αδυναμία που εντοπίζεται σε έναν τύπο ασφαλούς αποθήκευσης
Εκτός του οικοσυστήματος EUDI Wallet, ορισμένοι πάροχοι πορτοφολιών εκδίδουν παρόμοιες δηλώσεις που απλώς λήγουν και δεν μπορούν ποτέ να ανακληθούν. Οι ευρωπαϊκοί κανόνες δεν το επιτρέπουν αυτό. Παρότι η δήλωση για την εφαρμογή ζει λιγότερο από μία ημέρα, και οι δύο δηλώσεις πρέπει να παραμένουν ανακλητές για τουλάχιστον 31 ακόμη ημέρες, επειδή αυτό είναι που επιτρέπει σε έναν εκδότη να ανακαλέσει ένα διαπιστευτήριο πολύ μετά την έκδοσή του.
WUA, WIA και KA: τι σημαίνει κάθε όρος
Η ορολογία άλλαξε καθώς ωρίμαζαν οι προδιαγραφές, οπότε παλαιότερα άρθρα χρησιμοποιούν αυτές τις τρεις συντομογραφίες διαφορετικά από ό,τι σήμερα. Αυτή είναι η τρέχουσα σημασία.
WUA
Ο γενικός όρος για τις άλλες δύο δηλώσεις, που δείχνονται μόνο σε εκδότες
WIA
Η δήλωση για την ίδια την εφαρμογή του πορτοφολιού
KA
Η δήλωση για την ασφαλή αποθήκευση στη συσκευή
Τι σημαίνει αυτό για εσάς
Εκδότης
Μπορείτε να εκδίδετε προς πορτοφόλια που δεν έχετε αξιολογήσει ποτέ, επειδή ένας εποπτευόμενος πάροχος απαντά για καθένα και μπορείτε να ανακαλέσετε όσα εκδώσατε αν αυτό αλλάξει.
Επαληθευτής
Τίποτα επιπλέον να κάνετε. Η δουλειά γίνεται πριν φτάσει καν σε εσάς το διαπιστευτήριο, και ένα παραβιασμένο πορτοφόλι χάνει τα διαπιστευτήριά του αντί να επισημαίνεται στο ταμείο σας.
Κάτοχος πορτοφολιού
Το να χάσετε το τηλέφωνό σας δεν παραδίδει τα διαπιστευτήριά σας, και τίποτα για το πορτοφόλι σας δεν αποκαλύπτεται στις επιχειρήσεις στις οποίες δείχνετε διαπιστευτήρια.
Τεχνική εμβάθυνση
Αυτή η σελίδα εξηγεί τι κάνει η τεχνολογία και ποιους αφορά. Η τεκμηρίωσή μας για προγραμματιστές καλύπτει την ίδια την υλοποίηση: τα μηνύματα, τα πεδία και τα αναλυτικά παραδείγματα που χρειάζεται μια ομάδα ενοποίησης.
Διαβάστε την τεχνική τεκμηρίωσηΣχετικοί όροι
Συχνές ερωτήσεις
Είναι το WUA το ίδιο πράγμα με το Wallet Instance Attestation;
Όχι. Από την έκδοση 1.5 του TS3, το WUA είναι ο γενικός όρος για δύο δηλώσεις: την Wallet Instance Attestation (WIA), για την εφαρμογή, και την Key Attestation (KA), για την ασφαλή αποθήκευση στη συσκευή. Παλαιότερα άρθρα χρησιμοποιούν το WUA για αυτό που σήμερα λέγεται Key Attestation, γι' αυτό και οι όροι συγχέονται συχνά.
Βλέπει ποτέ ένας επαληθευτής το WUA;
Όχι, και δεν επιτρέπεται καν να ζητήσει. Ένα πορτοφόλι μπορεί να δείξει αυτές τις δηλώσεις σε έναν εκδότη ενώ παραλαμβάνει διαπιστευτήριο, ποτέ σε μια επιχείρηση που το δέχεται. Ο επαληθευτής ελέγχει αντ' αυτού το διαπιστευτήριο: ποιος το υπέγραψε, αν ανήκει σε αυτό το πορτοφόλι και αν εξακολουθεί να ισχύει. Αν ένα πορτοφόλι παραβιαστεί, ο εκδότης ανακαλεί τα διαπιστευτήρια που του εξέδωσε, και ο επαληθευτής το βλέπει μέσα από το ίδιο το διαπιστευτήριο.
Πόσο καιρό ισχύει ένα WUA;
Η δήλωση για την εφαρμογή ζει λιγότερο από 24 ώρες· εκείνη για την ασφαλή αποθήκευση μπορεί να ζει περισσότερο. Ανεξάρτητα από αυτό, ο πάροχος πορτοφολιού δεσμεύεται να συνεχίσει να αναφέρει για τουλάχιστον 31 ακόμη ημέρες αν καθεμία τους έχει ανακληθεί, επειδή οι εκδότες βασίζονται σε αυτό πολύ μετά τη λήξη της ίδιας της δήλωσης.
Τι γίνεται αν ένα πορτοφόλι χαθεί ή παραβιαστεί;
Ο πάροχος πορτοφολιού σημειώνει τη συγκεκριμένη εγκατάσταση ως ανακληθείσα ή, όταν ένας ολόκληρος τύπος ασφαλούς αποθήκευσης αποδειχθεί αδύναμος, σημειώνει εκείνον. Οι εκδότες ελέγχουν ξανά τουλάχιστον μία φορά την ημέρα και ανακαλούν τα διαπιστευτήρια που της εξέδωσαν. Αυτό που προστατεύει τον κάτοχο είναι η ανάκληση, όχι η λήξη της δήλωσης.
Επιτρέπει αυτό στον πάροχο πορτοφολιού να βλέπει τι κάνω με το πορτοφόλι μου;
Όχι. Οι δηλώσεις λένε τι είδους πορτοφόλι είναι αυτό, όχι ποιος το κατέχει, και για κάθε διαπιστευτήριο που παραλαμβάνεται χρησιμοποιείται μια καινούργια, οπότε ένας εκδότης δεν μπορεί να αναγνωρίσει από αυτές ένα πορτοφόλι που επιστρέφει. Ο πάροχος πορτοφολιού τις υπογράφει εκ των προτέρων και δεν εμπλέκεται στην ανταλλαγή μεταξύ πορτοφολιού και εκδότη.
Πηγές
Η σελίδα αυτή έχει ενημερωτικό χαρακτήρα και δεν αποτελεί νομική συμβουλή. Για έγκυρη καθοδήγηση απευθυνθείτε απευθείας στην Ευρωπαϊκή Επιτροπή και το OpenID Foundation.