Εκδότης
(Issuer)
Ο εκδότης είναι ο οργανισμός που δημιουργεί και υπογράφει κρυπτογραφικά ένα επαληθεύσιμο διαπιστευτήριο, για παράδειγμα ένας κρατικός φορέας, μια τράπεζα ή ένα εμπορικό επιμελητήριο, εγγυώμενος για τους ισχυρισμούς που περιέχει.
Ένας εκδότης παραδίδει ένα υπογεγραμμένο διαπιστευτήριο σε έναν κάτοχο μέσω πρωτοκόλλου όπως το OpenID4VCI, και δεν χρειάζεται ποτέ να επικοινωνηθεί ξανά όταν το διαπιστευτήριο αυτό ελεγχθεί αργότερα: ένας verifier επικυρώνει την υπογραφή έναντι του δημόσιου κλειδιού του εκδότη αντ' αυτού. Βάσει του eIDAS 2.0, ένας εκδότης ειδικών πιστοποιητικών (qualified attestations) πρέπει να περιλαμβάνεται σε εθνικό Trusted List, ώστε κάθε verifier να μπορεί να επιβεβαιώσει ότι είναι εξουσιοδοτημένος χωρίς ξεχωριστή συμφωνία ανά εκδότη. Η έκδοση είναι διακριτός ρόλος από τη λειτουργία πορτοφολιού ή συστήματος verifier: ένας οργανισμός μπορεί να έχει και τους τρεις ρόλους, αλλά οι τεχνικές και νομικές υποχρεώσεις διαφέρουν για καθέναν. Ως εκδότης, είναι υπεύθυνος για τη διατήρηση της ασφάλειας των κλειδιών υπογραφής του, τη δημοσίευση λίστας κατάστασης ανάκλησης ώστε οι verifiers να μπορούν να ελέγχουν αν ένα διαπιστευτήριο εξακολουθεί να ισχύει, και τον ορισμό του σχήματος του διαπιστευτηρίου, δηλαδή ποιους ισχυρισμούς περιέχει και σε ποια μορφή, συνήθως SD-JWT VC ή ISO mdoc. Επειδή η επαλήθευση δεν απαιτεί επικοινωνία με τον εκδότη τη στιγμή της χρήσης, ένας εκδότης μπορεί να αποσυνδεθεί, να αλλάξει την υποδομή του, ή ακόμη και να παύσει τη λειτουργία ενός συγκεκριμένου τύπου διαπιστευτηρίου, αρκεί το δημόσιο κλειδί και η λίστα κατάστασής του να παραμένουν δημοσιευμένα για τα διαπιστευτήρια που έχει ήδη εκδώσει ώστε αυτά να παραμένουν επαληθεύσιμα. Αυτός ο διαχωρισμός μεταξύ έκδοσης και επαλήθευσης είναι που επιτρέπει σε ένα διαπιστευτήριο να ελέγχεται ακαριαία, οπουδήποτε, χωρίς ο εκδότης να συμμετέχει σε κάθε συναλλαγή.
Χρειάζεται ένας εκδότης να είναι συνδεδεμένος ώστε ένας verifier να ελέγξει ένα διαπιστευτήριο;
Όχι. Ένας verifier ελέγχει την υπογραφή του διαπιστευτηρίου έναντι του δημοσιευμένου δημόσιου κλειδιού του εκδότη και αναζητά τη λίστα κατάστασης ανάκλησής του, κανένα από τα δύο δεν απαιτεί απευθείας επικοινωνία με τον εκδότη. Γι' αυτό ένας εκδότης μπορεί να είναι εκτός σύνδεσης ή ακόμη και να σταματήσει τη λειτουργία ενός τύπου διαπιστευτηρίου, ενώ τα διαπιστευτήρια που έχει ήδη εκδώσει παραμένουν επαληθεύσιμα, αρκεί το κλειδί και η λίστα κατάστασης να παραμένουν δημοσιευμένα.