OpenID4VCI tunnistuse väljastamine selgitatud: pakkumisest vastuvõetud tunnistuseni

Tunnistuse pakkumise kogu elutsükkel

Spetsifikatsioon ei määratle nimetatud olekuid, kuid väljastaja algatatud voogu, kus tunnistus väljastatakse kohe, on kõige lihtsam jälgida allpool oleva jadana. Iga samm võib ebaõnnestuda omal moel ja rahakoti rakendus peab käsitlema neid teid, mitte ainult õnnelikku teed.

2. Väljastaja metaandmete avastamine

Enne mistahes taotlemist toob rahakott väljastaja metaandmed, et teada saada, mida roadworthiness_certificate sisaldab ja milliseid lõpp-punkte kutsuda. Metaandmed ei loetle eraldi autoriseerimisservereid, seega on väljastaja ise oma autoriseerimisserver ning rahakott loeb tokeni lõpp-punkti selle serveri metaandmetest.

Tunnistuse väljastaja metaandmed (väljavõte)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Autoriseerimisserveri metaandmed (väljavõte), lehelt /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Valduse tõend

Kuna metaandmed loetlevad nonce_endpoint'i, toob rahakott sealt kõigepealt värske c_nonce. Seejärel tõendab ta, et omab privaatvõtit, millega tunnistus seotakse, allkirjastades proof JWT väljastaja identifikaatori ja selle c_nonce peale.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Vastus

{
  "c_nonce": "fi-nonce-77aa"
}

Rahakott ehitab nüüd proof JWT kahest JSON-objektist, päisest ja sisust, ning allkirjastab need privaatvõtmega, millega tunnistus seotakse.

Päis: mis see JWT on ja milline võti selle allkirjastas

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: märgib selle OpenID4VCI võtme tõendiks, nii et seda ei saa segi ajada ühegi muu JWT liigiga
• alg: allkirjastamisalgoritm, üks neist, mille väljastaja loetles proof_signing_alg_values_supported väärtuses
• jwk: avalik võti, millega tunnistus seotakse; väljastaja kontrollib allkirja selle põhjal

Sisu: kelle jaoks tõend on ja millal see loodi

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: väljastaja identifikaator, nii et tõendit ei saa teise väljastaja juures uuesti kasutada
• iat: tõendi loomise aeg, sekundites alates 1970. aastast
• nonce: nonce lõpp-punktist saadud c_nonce, mis näitab, et tõend on värske

Allkirjastatud tulemus

Päis ja sisu on mõlemad base64url-kodeeritud ja ühendatud punktiga. Rahakott allkirjastab selle stringi oma privaatvõtmega ja lisab base64url-kodeeritud allkirja pärast teist punkti. Tulemuseks olev string on proof JWT, mille rahakott saadab tunnistuse taotluses sammus 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Kui tunnistus pole veel valmis: edasilükatud väljastamine

Ülaltoodud näide eeldab, et ülevaatuse tulemus on juba lõplik. Kui ülevaatusasutus peab hoopis eskaleerima piiripealse tulemuse vanemülevaatajale, ei saa tunnistuse lõpp-punkt tunnistust kohe tagastada, seega lükkab ta väljastamise edasi.

Edasilükatud vastus /credential'ist

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

/deferred küsitlemine, kuni see on valmis

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Seotud mõisted

Allikad

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework