WUA explicada: cómo demuestra una cartera ante un emisor que es genuina
Antes de poner una credencial en el EUDI Wallet de alguien, una organización quiere saber que la cartera es auténtica y que lo que guarda no puede copiarse fuera. Una Wallet Unit Attestation es la forma en que la cartera lo demuestra. No es un documento sino dos, ambos firmados por el proveedor de la cartera: uno sobre la aplicación, otro sobre el almacenamiento seguro del dispositivo.
El problema que resuelve una WUA
Una organización a punto de emitir una credencial de identidad o de inscripción mercantil no tiene forma propia de distinguir una cartera certificada de una aplicación modificada, o de un script que finge serlo. Tampoco puede ver si la credencial que va a entregar quedará vinculada a ese dispositivo, o acabará en algún sitio del que pueda copiarse sin más.
La WUA cierra ambas brechas haciendo que responda otro. El proveedor de la cartera responde por la aplicación y por el almacenamiento seguro, y para ello está supervisado y listado a escala europea. El emisor comprueba ambas declaraciones antes de emitir, y sigue comprobando después, de modo que puede retirar lo que emitió si más tarde resulta que la cartera está comprometida.
Una WUA solo se usa al recoger una credencial. Una cartera no puede mostrar ninguna a una empresa que acepta una credencial, lo que mantiene los detalles sobre el teléfono y la cartera del titular fuera de las transacciones cotidianas.
Los actores y quién confía en quién
Intervienen cinco partes, y solo cuatro de ellas llegan a manejar una WUA. El almacenamiento seguro del dispositivo custodia el secreto, el Wallet Provider responde por la aplicación y por ese almacenamiento, y el emisor se apoya en eso en lugar de evaluar cada cartera por su cuenta.
Proveedor de Cartera
Responde por la aplicación y por el almacenamiento seguro que hay detrás, y mantiene ambas declaraciones al día
Unidad de Cartera
Muestra ambas declaraciones al emisor cuando recoge una credencial, y usa un par nuevo cada vez
Almacenamiento seguro del dispositivo
Custodia el secreto que vincula una credencial a esta única cartera, y nunca lo deja salir
PID Provider o Attestation Provider
Comprueba ambas declaraciones antes de emitir, y sigue comprobando después para poder retirar lo que emitió
Parte usuaria
Nunca recibe una WUA. Comprueba la propia credencial, y si sigue siendo válida
Los emisores pueden confiar en una WUA porque el Wallet Provider que la firmó figura en la Trusted List oficial de la UE para Wallet Providers, y porque el propio producto de cartera ha sido certificado por un organismo de evaluación independiente.
Dos declaraciones bajo un mismo nombre
La especificación europea divide la atestación en dos porque la aplicación y el almacenamiento seguro son cosas distintas. Las comprueban partes distintas, y se retiran por motivos distintos: una cuando se pierde un teléfono, la otra cuando toda una clase de dispositivos resulta ser débil.
Wallet Instance Attestation (WIA)
- Responde por
- La propia aplicación de cartera: una copia auténtica y sin modificar de un producto certificado
- Vida útil
- Menos de 24 horas
- Puede retirarse cuando
- Esta instalación se declara perdida, robada o manipulada
- Necesaria para
- Cada credencial que recoge la cartera
Key Attestation (KA)
- Responde por
- El almacenamiento seguro del dispositivo, y lo bien que resiste ataques
- Vida útil
- La fija el Wallet Provider, y puede ser más larga que la de una WIA
- Puede retirarse cuando
- Se halla una debilidad en esa clase de almacenamiento seguro
- Necesaria para
- Credenciales vinculadas al dispositivo, lo que incluye todo PID
Ambas las firma el Wallet Provider, y ambas se usan una vez y luego se descartan. Es deliberado: significa que dos emisores no pueden comparar sus datos y deducir que están tratando con la misma cartera.
Cómo obtiene una cartera estas declaraciones
Esto ocurre dentro de un producto de cartera, así que cada proveedor lo hace a su manera. Lo que exigen las normas es fijo: el proveedor debe asegurarse de que la aplicación no ha sido manipulada, y de que el secreto reside realmente en el almacenamiento seguro que indica. La mayoría de los proveedores usan para ello las comprobaciones de integridad que Google y Apple ya ofrecen.
1. Unidad de Cartera
Pide al almacenamiento seguro del dispositivo un secreto nuevo
2. Almacenamiento seguro del dispositivo
Lo crea y devuelve una prueba del dispositivo de que se creó allí
3. Proveedor de Cartera
Comprueba que la aplicación es auténtica y que la prueba es sólida, y entonces firma ambas declaraciones
4. Unidad de Cartera
Mantiene una pequeña reserva de declaraciones nuevas y usa una distinta para cada credencial que recoge
El ciclo de vida de una WUA
Estas declaraciones son de corta vida y de un solo uso, a propósito. La capacidad de retirarlas, en cambio, les sobrevive con creces. Las tres primeras etapas siguientes son rutina; la cuarta solo ocurre cuando algo va mal.
1. Comprobada
El Wallet Provider firma las dos declaraciones solo después de haber comprobado la aplicación y el almacenamiento seguro
2. Usada una vez
Cada declaración sirve para recoger una sola credencial, así que la cartera sigue obteniendo otras nuevas
3. Vuelta a comprobar
Un PID Provider vuelve a comprobarlo al menos una vez al día y retira el PID si alguna de las dos declaraciones ha sido retirada
4. Retirada
Solo cuando algo va mal: un teléfono perdido o robado, o una debilidad hallada en un tipo de almacenamiento seguro
Fuera del ecosistema EUDI Wallet, algunos proveedores de cartera emiten declaraciones parecidas que simplemente caducan y nunca pueden retirarse. Las normas europeas no lo permiten. Aunque la declaración sobre la aplicación viva menos de un día, ambas declaraciones deben seguir siendo retirables al menos 31 días más, porque eso es lo que permite a un emisor recuperar una credencial mucho después de emitirla.
WUA, WIA y KA: qué significa cada término
La terminología cambió mientras las especificaciones maduraban, así que los artículos más antiguos usan estas tres abreviaturas de forma distinta a como se usan hoy. Este es el significado actual.
WUA
El término paraguas para las otras dos declaraciones, que solo se muestran a los emisores
WIA
La declaración sobre la propia aplicación de cartera
KA
La declaración sobre el almacenamiento seguro del dispositivo
Qué significa esto para usted
Emisor
Puede emitir a carteras que nunca ha evaluado, porque un proveedor supervisado responde por cada una y puede retirar lo que emitió si eso cambia.
Verificador
Nada más que hacer. El trabajo ocurre antes de que la credencial llegue a usted, y una cartera comprometida pierde sus credenciales en lugar de ser señalada en su mostrador.
Titular de la cartera
Perder el teléfono no entrega sus credenciales, y no se revela nada sobre su cartera a las empresas a las que muestra credenciales.
Profundización técnica
Esta página explica qué hace la tecnología y a quién afecta. Nuestra documentación para desarrolladores cubre la implementación en sí: los mensajes, los campos y los ejemplos resueltos que necesita un equipo de integración.
Leer la documentación técnicaTérminos relacionados
Preguntas frecuentes
¿Es una WUA lo mismo que una Wallet Instance Attestation?
No. Desde la versión 1.5 de TS3, WUA es el término paraguas para dos declaraciones: la Wallet Instance Attestation (WIA), sobre la aplicación, y la Key Attestation (KA), sobre el almacenamiento seguro del dispositivo. Los artículos más antiguos usan WUA para lo que hoy se llama Key Attestation, por eso los términos se confunden a menudo.
¿Llega a ver un verificador la WUA?
No, y tampoco se le permite pedirla. Una cartera puede mostrar estas declaraciones a un emisor mientras recoge una credencial, nunca a una empresa que acepta una. Un verificador comprueba en su lugar la credencial: quién la firmó, si pertenece a esta cartera, y si sigue siendo válida. Si una cartera queda comprometida, el emisor retira las credenciales que le emitió, y el verificador lo ve a través de la propia credencial.
¿Cuánto tiempo es válida una WUA?
La declaración sobre la aplicación vive menos de 24 horas; la del almacenamiento seguro puede vivir más. Al margen de eso, el Wallet Provider se compromete a seguir informando durante al menos 31 días más de si alguna ha sido retirada, porque los emisores se apoyan en ello mucho después de que la propia declaración haya caducado.
¿Qué ocurre si una cartera se pierde o queda comprometida?
El Wallet Provider marca esa instalación como retirada o, cuando todo un tipo de almacenamiento seguro resulta ser débil, marca ese tipo en su lugar. Los emisores vuelven a comprobarlo al menos una vez al día y retiran las credenciales que le emitieron. Lo que protege al titular es esa retirada, no la caducidad de la declaración.
¿Permite esto al Wallet Provider ver qué hago con mi cartera?
No. Las declaraciones dicen qué tipo de cartera es, no de quién es, y se usa una nueva para cada credencial recogida, así que un emisor no puede reconocer con ellas una cartera que vuelve. El Wallet Provider las firma por adelantado y no participa en el intercambio entre la cartera y el emisor.
Fuentes
Esta página tiene carácter informativo y no constituye asesoramiento jurídico. Para obtener orientación autorizada, consulte directamente a la Comisión Europea y a la OpenID Foundation.