WIA

Μια Wallet Unit στέλνει τη WIA της όταν ζητά ένα διαπιστευτήριο από έναν PID Provider ή έναν Attestation Provider. Η WIA είναι η βεβαίωση πορτοφολιού του OpenID4VCI Appendix E και αποστέλλεται στον διακομιστή εξουσιοδότησης του εκδότη μαζί με μια απόδειξη ότι το πορτοφόλι κατέχει το κλειδί της WIA. Ο εκδότης επαληθεύει την υπογραφή του Wallet Provider με βάση την άγκυρα εμπιστοσύνης που δημοσιεύει η Επιτροπή για τον συγκεκριμένο Wallet Provider και ελέγχει ότι το Wallet Instance δεν έχει ανακληθεί.

Μια WIA αποστέλλεται για κάθε διαπιστευτήριο, είτε είναι δεσμευμένο στη συσκευή είτε όχι. Για ένα διαπιστευτήριο δεσμευμένο στη συσκευή, η Wallet Unit στέλνει επίσης μια Key Attestation, η οποία περιγράφει το WSCA/WSCD ή το keystore που κατέχει το νέο κλειδί.

Μια WIA ισχύει για λιγότερο από 24 ώρες, οπότε αντικατοπτρίζει έναν πρόσφατο έλεγχο ακεραιότητας και όχι έναν εφάπαξ έλεγχο κατά την εγκατάσταση. Δηλώνει επίσης μια περίοδο διατήρησης της κατάστασης ανάκλησης, η οποία μπορεί να είναι πολύ μεγαλύτερη: καθ' όλη αυτή την περίοδο ο Wallet Provider διατηρεί διαθέσιμη την κατάσταση ανάκλησης του Wallet Instance. Αν το Wallet Instance παραβιαστεί, ο Wallet Provider το ανακαλεί. Ένας PID Provider πρέπει να ελέγχει τακτικά αυτή την κατάσταση για όσο διάστημα ισχύει το PID του και να ανακαλεί το PID μόλις ανακληθεί το Wallet Instance. Οι Attestation Providers μπορούν να κάνουν το ίδιο.

Για την προστασία της ιδιωτικότητας, μια Wallet Unit παρουσιάζει τη WIA της μόνο σε PID Providers και Attestation Providers, ποτέ σε Relying Parties. Ένα Relying Party δεν μπορεί να ελέγξει το ίδιο τη Wallet Unit. Εμπιστεύεται ότι ο εκδότης έχει ελέγξει τη WIA, και ελέγχοντας την κατάσταση ανάκλησης ενός PID γνωρίζει επίσης ότι η Wallet Unit πίσω από αυτό δεν έχει ανακληθεί.

Τα επιχειρηματικά πορτοφόλια λειτουργούν διαφορετικά. Το ARF προϋποθέτει μια προσωπική συσκευή και αφήνει τα πορτοφόλια για νομικά πρόσωπα σε ένα ξεχωριστό επιχειρηματικό πορτοφόλι. Η πρόταση της Επιτροπής για τα European Business Wallets (COM(2025) 838) μεταφέρει την ιδέα με την ονομασία wallet unit attestation: ο πάροχος δημιουργεί και υπογράφει μία για κάθε μονάδα European Business Wallet, με πιστοποιητικό που έχει εκδοθεί βάσει πιστοποιητικού του καταλόγου εμπίστευσης του Εκτελεστικού Κανονισμού (ΕΕ) 2024/2980. Μια τέτοια μονάδα δεν είναι απλώς μια εφαρμογή. Συνδυάζει ένα front-end, δηλαδή μια διεπαφή χρήστη σε οποιαδήποτε πλατφόρμα ή μορφή, με ένα back-end στον διακομιστή που πρέπει να χρησιμοποιεί τουλάχιστον ένα WSCA και ένα WSCD για τη διαχείριση των κρίσιμων στοιχείων. Τα κλειδιά της βεβαίωσης πρέπει να προστατεύονται από ένα WSCD, και η κατάσταση μιας βεβαίωσης που έχει ανακληθεί πρέπει να δημοσιεύεται.

Το OpenID4VCI περιγράφει τη βεβαίωση πορτοφολιού του ως σχεδιασμένη ειδικά για πορτοφόλια με μορφή native εφαρμογής, την ακεραιότητα των οποίων ο Wallet Provider ελέγχει συνήθως μέσω του λειτουργικού συστήματος του κινητού, για παράδειγμα με το iOS DeviceCheck ή το Android Play Integrity. Η πρόταση δεν αναφέρει πώς ένα back-end στον διακομιστή αποδεικνύει την ακεραιότητά του. Αφήνει τις τεχνικές προδιαγραφές σε εκτελεστικές πράξεις, οι οποίες, όπως αναφέρει, θα πρέπει να βασίζονται στο ARF όπου ενδείκνυται.