Status List
Μια Status List είναι μια συμπαγής, υπογεγραμμένη λίστα που δημοσιεύει ένας εκδότης, ώστε οποιοσδήποτε κατέχει ένα από τα διαπιστευτήριά του να μπορεί να ελεγχθεί για ανάκληση χωρίς να ερωτηθεί ο εκδότης για το συγκεκριμένο διαπιστευτήριο.
Η λίστα είναι μια συμβολοσειρά δυαδικών ψηφίων (bitstring): σε κάθε διαπιστευτήριο που εκδίδει ο εκδότης αντιστοιχίζεται ένας δείκτης (index) μέσα σε αυτήν, και το bit σε αυτόν τον δείκτη δηλώνει αν το διαπιστευτήριο εξακολουθεί να ισχύει, έχει ανακληθεί ή έχει ανασταλεί. Το Token Status List δεσμεύει ένα ή δύο bits ανά εγγραφή, ανάλογα με το πόσες καταστάσεις χρειάζεται να διακρίνει ο εκδότης, καθώς η αναστολή είναι μια ξεχωριστή, αναστρέψιμη κατάσταση σε σχέση με μια οριστική ανάκληση. Το διαπιστευτήριο φέρει το URL της λίστας και τον δικό του δείκτη, έτσι ώστε ένας επαληθευτής να ανακτά τη λίστα μία φορά, να την αποθηκεύει προσωρινά (cache) για μια περίοδο που ορίζει ο εκδότης, και στη συνέχεια να διαβάζει ένα μόνο bit για κάθε επόμενο έλεγχο, αντί να καλεί τον εκδότη κάθε φορά. Επειδή ολόκληρη η λίστα λαμβάνεται εξ ολοκλήρου και καλύπτει κάθε διαπιστευτήριο που έχει εκδώσει ποτέ ο εκδότης, ο εκδότης δεν μαθαίνει ποτέ ποιο διαπιστευτήριο ελέγχθηκε ή από ποιον, καθώς το πλήθος κρύβει το άτομο: αυτή είναι η ιδιότητα προστασίας της ιδιωτικότητας που καθιστά τις λίστες κατάστασης προτιμότερες από ελέγχους ανάκλησης ανά διαπιστευτήριο, οι οποίοι θα επέτρεπαν σε έναν εκδότη να παρακολουθεί ακριβώς πότε και πόσο συχνά χρησιμοποιείται ένα συγκεκριμένο διαπιστευτήριο. Συμπιεσμένη, μια λίστα που καλύπτει εκατοντάδες χιλιάδες διαπιστευτήρια είναι μόλις λίγα kilobytes, και οι λίστες συνήθως επανεκδίδονται σε σταθερό πρόγραμμα ή μέσω δικτύου παράδοσης περιεχομένου (content delivery network), ώστε το αποθηκευμένο αντίγραφο ενός επαληθευτή να παραμένει ενημερωμένο χωρίς νέα κλήση προς τον εκδότη για τους περισσότερους ελέγχους. Οι δύο προδιαγραφές που χρησιμοποιούνται είναι το Token Status List για διαπιστευτήρια JWT και CWT, το οποίο υιοθετεί το EUDI ARF για βεβαιώσεις SD-JWT VC και mdoc, και το Bitstring Status List για το μοντέλο δεδομένων verifiable credentials του W3C. Ένας εκδότης που επιθυμεί αντ' αυτού να αποφύγει εντελώς τους ελέγχους ανάκλησης μπορεί να εκδίδει βραχύβια διαπιστευτήρια που απλώς λήγουν, αλλά οι λίστες κατάστασης παραμένουν ο προτιμώμενος μηχανισμός όπου ένα διαπιστευτήριο χρειάζεται μεγαλύτερη περίοδο ισχύος.
Σχετικοί όροι
Μπορεί ένας επαληθευτής να καταλάβει ποιο διαπιστευτήριο ελέγχει κάποιος παρακολουθώντας τα αιτήματα προς τη λίστα κατάστασης;
Όχι, αυτός είναι ακριβώς ο σκοπός της λήψης ολόκληρης της λίστας. Επειδή ένας επαληθευτής ανακτά ολόκληρη τη συμβολοσειρά bit που καλύπτει κάθε διαπιστευτήριο που έχει εκδώσει ποτέ ο εκδότης, αντί να ρωτά για ένα συγκεκριμένο διαπιστευτήριο, ο εκδότης δεν μπορεί να διακρίνει ποια εγγραφή ενδιαφέρει τον επαληθευτή. Ο μεμονωμένος έλεγχος κρύβεται μέσα σε μια μεγάλη παρτίδα άσχετων εγγραφών, κάτι που εμποδίζει τον έλεγχο κατάστασης να μετατραπεί σε μέσο παρακολούθησης της χρήσης ενός διαπιστευτηρίου.