Ροή ίδιας συσκευής και διαφορετικών συσκευών

Σε μια ροή ίδιας συσκευής το πορτοφόλι και ο ιστότοπος ή η εφαρμογή βρίσκονται στο ίδιο τηλέφωνο. Ο ιστότοπος παραδίδει τον επισκέπτη με deep link ή ανακατεύθυνση, το πορτοφόλι ανοίγει, το άτομο εγκρίνει ό,τι ζητείται, και το πορτοφόλι τον στέλνει πίσω στον ιστότοπο από τον δρόμο που ήρθε. Το OpenID4VP επιστρέφει την παρουσίαση στο fragment αυτής της ανακατεύθυνσης, οπότε την ανταλλαγή την ολοκληρώνει η ίδια συνεδρία του browser που την ξεκίνησε.

Σε μια ροή διαφορετικών συσκευών ο επισκέπτης ξεκινά σε browser υπολογιστή, ενώ το πορτοφόλι του βρίσκεται στο τηλέφωνό του. Ο ιστότοπος εμφανίζει το αίτημα ως κωδικό QR, το πορτοφόλι τον σαρώνει και στέλνει το αποτέλεσμα κατευθείαν στο backend του ιστότοπου αντί για τον browser στο γραφείο. Η σελίδα στον υπολογιστή πρέπει στη συνέχεια να ενημερωθεί ότι η ανταλλαγή ολοκληρώθηκε, συνήθως με polling ή μέσω websocket, γι' αυτό μια ροή διαφορετικών συσκευών εμπλέκει πάντα το backend.

Και τα δύο πρωτόκολλα προϋποθέτουν ότι υποστηρίζετε και τις δύο μορφές. Το OpenID4VP τις ονομάζει ως τις δύο ροές του, και το OpenID4VCI περιγράφει τον ίδιο διαχωρισμό για ένα Credential Offer, το οποίο μπορεί να φτάσει στον κάτοχο στη συσκευή όπου βρίσκεται το πορτοφόλι ή μέσω οποιουδήποτε άλλου καναλιού. Ποια ροή θα έχει ένας επισκέπτης καθορίζεται από το πού βρίσκεται εκείνη τη στιγμή, όχι από μια ρύθμιση που επιλέγετε μία φορά, οπότε μια υπηρεσία για το κοινό χρειάζεται να λειτουργούν και οι δύο διαδρομές.

Η εμπειρία χρήστη διαφέρει σε προσπάθεια και σε τρόπους αποτυχίας. Η ροή ίδιας συσκευής είναι η συντομότερη διαδρομή: χωρίς δεύτερη οθόνη, χωρίς κάμερα, χωρίς μετάβαση μεταξύ συσκευών. Η ροή διαφορετικών συσκευών κοστίζει μια σάρωση, αλλά κρατά τον επισκέπτη στη μεγάλη οθόνη όπου ήδη δούλευε, και είναι η μόνη επιλογή όταν το πορτοφόλι δεν βρίσκεται στη συσκευή όπου γίνεται η δουλειά. Μια ροή ίδιας συσκευής αποτυγχάνει όταν δεν υπάρχει εγκατεστημένο πορτοφόλι ή όταν το deep link ανοίγει λάθος εφαρμογή, ενώ μια ροή διαφορετικών συσκευών αποτυγχάνει όταν λήξει ο κωδικός ή όταν το τηλέφωνο δεν έχει σύνδεση.

Η διαφορά στην ασφάλεια είναι πραγματική και ευνοεί τη ροή ίδιας συσκευής. Επειδή το πορτοφόλι επιστρέφει την απάντηση μέσω ανακατεύθυνσης στη δική του συσκευή, ένας επιτιθέμενος που αντιγράφει το αίτημα δεν έχει τρόπο να παραλάβει την απάντηση. Μια απάντηση σε ροή διαφορετικών συσκευών ταξιδεύει εκτός καναλιού προς το backend του ιστότοπου, οπότε ο ίδιος ο ιστότοπος πρέπει να δέσει τον κωδικό με τη συνεδρία του browser που τον εμφάνισε. Χωρίς αυτή τη σύνδεση, κάποιος μπορεί να πάρει έναν κωδικό από μια συνεδρία που ελέγχει, να τον βάλει μπροστά σε ένα θύμα και να αφήσει τα διαπιστευτήρια του θύματος να ολοκληρώσουν τη σύνδεση του επιτιθέμενου.

Ένας κωδικός QR είναι επίσης επιφάνεια για phishing, επειδή ο ίδιος ο κωδικός δεν δείχνει στον αναγνώστη τίποτα για το ποιος ζητά. Το πορτοφόλι, όχι ο κωδικός, πρέπει να εμφανίζει την ταυτότητα του επαληθευτή και το ακριβές αίτημα πριν κοινοποιηθεί οτιδήποτε. Το IETF έχει ειδική βέλτιστη τρέχουσα πρακτική για αυτή την κατηγορία επιθέσεων στις ροές διαφορετικών συσκευών, και το OpenID4VCI προσθέτει έναν κωδικό συναλλαγής σε μια προσφορά για τον ίδιο λόγο: ο κωδικός φτάνει μέσω του καναλιού που έχει ήδη αυθεντικοποιήσει τον κάτοχο, ώστε μια προσφορά που υποκλάπηκε καθ' οδόν να μην μπορεί να εξαργυρωθεί από κανέναν άλλο.