OpenID4VCI-credentialin myöntäminen selitettynä: tarjouksesta hyväksyttyyn credentialiin

Credential-tarjouksen koko elinkaari

Spesifikaatio ei määrittele nimettyjä tiloja, mutta myöntäjän käynnistämä kulku, jossa credential myönnetään heti, on helpoin seurata alla olevan sekvenssin tapaan. Jokainen vaihe voi epäonnistua omalla tavallaan, ja walletin toteutuksen on käsiteltävä nämä polut, ei vain onnistunutta reittiä.

2. Myöntäjän metatietojen haku

Ennen kuin wallet pyytää mitään, se hakee myöntäjän metatiedot selvittääkseen, mitä roadworthiness_certificate sisältää ja mitä päätepisteitä sen tulee kutsua. Metatiedot eivät listaa erillisiä valtuutuspalvelimia, joten myöntäjä on oma valtuutuspalvelimensa, ja wallet lukee token-päätepisteen kyseisen palvelimen metatiedoista.

Credentialin myöntäjän metatiedot (ote)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Valtuutuspalvelimen metatiedot (ote), osoitteesta /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Hallinnan todistus

Koska metatiedot listaavat nonce_endpoint-päätepisteen, wallet hakee sieltä ensin tuoreen c_nonce-arvon. Sitten se todistaa hallitsevansa yksityistä avainta, johon credential sidotaan, allekirjoittamalla proof JWT:n myöntäjän tunnisteen ja tämän c_nonce-arvon yli.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Vastaus

{
  "c_nonce": "fi-nonce-77aa"
}

Wallet rakentaa nyt proof JWT:n kahdesta JSON-objektista, headerista ja payloadista, ja allekirjoittaa ne yksityisellä avaimella, johon credential sidotaan.

Header: mikä tämä JWT on ja mikä avain sen allekirjoitti

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: merkitsee tämän OpenID4VCI key proofiksi, jotta sitä ei sekoiteta muunlaiseen JWT:hen
• alg: allekirjoitusalgoritmi, jonka myöntäjä listasi proof_signing_alg_values_supported-arvossa
• jwk: julkinen avain, johon credential sidotaan; myöntäjä tarkistaa allekirjoituksen sitä vasten

Payload: kenelle proof on tarkoitettu ja milloin se tehtiin

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: myöntäjän tunniste, jotta proofia ei voi toistaa toisessa myöntäjässä
• iat: hetki, jolloin proof luotiin, sekunteina vuodesta 1970
• nonce: nonce-päätepisteestä saatu c_nonce, joka osoittaa proofin olevan tuore

Allekirjoitettu tulos

Header ja payload koodataan kumpikin base64url-muotoon ja yhdistetään pisteellä. Wallet allekirjoittaa tämän merkkijonon yksityisellä avaimellaan ja liittää base64url-koodatun allekirjoituksen toisen pisteen jälkeen. Syntyvä merkkijono on proof JWT, jonka wallet lähettää credential-pyynnössä vaiheessa 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Kun credential ei ole vielä valmis: viivästetty myöntäminen

Yllä oleva esimerkki olettaa, että katsastustulos on jo lopullinen. Jos katsastuslaitoksen sen sijaan täytyy eskaloida rajatapaus vanhemmalle katsastajalle, credential-päätepiste ei voi palauttaa credentialia heti, joten se viivästää myöntämistä.

Viivästetty vastaus osoitteesta /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

/deferred-osoitteen kysely, kunnes se on valmis

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Aiheeseen liittyvät termit

Lähteet

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework