DCQL lahti seletatuna: kuidas kontrollija küsib rahakotilt täpselt seda, mida vajab

Probleem, mida DCQL lahendab

Varuvariandi küsimine: claim_sets

claim_sets loetleb väidete id-de grupid eelistuse järjekorras. Rahakott tagastab esimese grupi, mille ta saab omaniku tegelike andmete põhjal täielikult rahuldada, nii et kontrollija ei pea täpse ja varujuhtumi jaoks saatma kahte eraldi päringut.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Siin eelistab kontrollija registrikoodi koos ärinimega, kuid aktsepteerib ka ainult ärinime, kui omaniku tõendis registrikoodi väidet ei ole.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Tõendite kombineerimine: credential_sets

credential_sets toimib claim_sets'ist ühe taseme võrra kõrgemal. Iga kirje loetleb options, kus iga valik on tõendipäringute id-de grupp. Rahakott peab rahuldama iga nõutud kirje ühe valiku, mis annab kontrollijale ühes päringus tõendite ülese JA ning VÕI loogika.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Vastuse näide: registriandmed ja pangakonto

Mida rahakott saadab

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Väited, mida kontrollija pärast valideerimist näeb

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

Omanikul ei ole KMKR registreeringu tõendit, seega valis rahakott teise komplekti teise valiku. Kasutamata päringu id-d, siin vat_registration, lihtsalt puuduvad vp_token objektist.

Ainult usaldusväärsed väljaandjad: trusted_authorities

trusted_authorities kitsendab tõendipäringu tõenditele, mille väljaandjat toetab kontrollija usaldatav asutus. Igal kirjel on type ja values loend: aki asutuse võtmeidentifikaatori jaoks, etsi_tl ETSI usaldusnimekirja jaoks või openid_federation föderatsiooni usaldusankru jaoks. Rahakott pakub ainult sobivaid tõendeid.

Näide: registritõend nimekirjas olevalt väljaandjalt

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Vastuse näide: ainult nimekirjas oleva väljaandja tõend

Mida rahakott saadab

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Väited, mida kontrollija pärast valideerimist näeb

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

Omanikul oli ka nimekirjast puuduva väljaandja registritõend, kuid rahakott seda ei pakkunud. trusted_authorities on rahakoti filter, mitte garantii: kontrollija kontrollib esitluse valideerimisel väljaandjat ise usaldusnimekirja alusel.

Väärtuse sobitamine: claims.values

Väitepäring võib sisaldada values loendit, mis koosneb stringidest, täisarvudest või tõeväärtustest. Rahakott tagastab väite ainult siis, kui selle tüüp ja väärtus vastavad täpselt ühele neist, nii et kontrollija saab tingimust kontrollida ilma midagi muud eelnevalt küsimata.

Näide: ainult Hollandis või Belgias registreeritud ettevõtted

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Vastuse näide: Hollandi ettevõte

Mida rahakott saadab

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Väited, mida kontrollija pärast valideerimist näeb

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Saksa ettevõtte tõendis on registration_country väärtus "DE", seega ei rahulda see päringut ja rahakotil pole selle kohta midagi tagastada. Kontrollija peaks siiski kontrollima väärtust valideeritud väidetes, mitte lootma rahakoti filtreerimisele.

DCQL-i praegune seis

• DCQL on defineeritud OpenID4VP spetsifikatsiooni sees, mitte eraldi dokumendina, ja on olnud mustandi osa alates sellest, kui mehhanism võeti kasutusele, et asendada OpenID4VP päringute varasem sõltuvus DIF Presentation Exchange'ist.
• EUDI Wallet Architecture and Reference Framework määrab esitlusprotokolliks OpenID4VP ja koos sellega päringumehhanismiks DCQL-i, mida ökosüsteemi usaldavad osapooled ja rahakotid peavad toetama.
• EUDI Wallet Reference Implementation programmi rahakoti ja kontrollija referentsteostused on koondunud DCQL-i ümber. Seetõttu peaksid uued OpenID4VP-l põhinevad ärirahakoti integratsioonid eeldama esitluspäringute vorminguna DCQL-i, mitte Presentation Exchange'i.

Korduma kippuvad küsimused

See leht on informatiivne ega ole õigusnõuanne. Autoriteetsete juhiste saamiseks pöörduge otse OpenID Foundationi ja Euroopa Komisjoni poole.