Attestation Vérifiable
(Verifiable Credential)
Une attestation vérifiable est une déclaration numérique infalsifiable concernant une personne ou une organisation qui peut être vérifiée cryptographiquement sans contacter la partie qui l'a émise. Elle remplace les documents papier et les PDF par des données qu'un vérificateur peut approuver par lui-même.
Un émetteur signe le credential avec une clé privée et le remet à un détenteur, qui le stocke dans un portefeuille et le présente à un vérificateur en cas de besoin. Le W3C Verifiable Credentials Data Model définit la structure commune : un ensemble d'affirmations sur un sujet, des métadonnées sur l'émetteur et la période de validité, et une preuve cryptographique liant le tout, si bien que tout vérificateur comprenant le format peut vérifier un credential de n'importe quel émetteur sans intégration sur mesure. Un credential peut être encodé comme un JWT signé, comme du JSON-LD avec une preuve de données liées, ou dans un format tel que SD-JWT qui prend en charge la divulgation sélective, et différents écosystèmes privilégient différents encodages du même modèle de données sous-jacent. La révocation fonctionne sans révéler qui vérifie quoi : un émetteur publie une status list, et un vérificateur consulte seulement si la position d'un credential donné sur cette liste a été basculée, pas quel vérificateur pose la question ni quand. Dans le portefeuille EUDI sous eIDAS 2.0, les verifiable credentials sont le format standard que chaque État membre doit prendre en charge, permettant à une entreprise ou à un citoyen de réutiliser un credential tel qu'un permis de conduire mobile, un diplôme ou un extrait d'immatriculation d'entreprise à travers émetteurs, secteurs et frontières plutôt que de reprouver les mêmes faits à chaque partie utilisatrice séparément. Comme la preuve est vérifiée mathématiquement par rapport à la clé publique de l'émetteur plutôt que par un appel téléphonique ou une consultation de base de données, la vérification fonctionne toujours même quand l'émetteur est temporairement injoignable ou basé dans un autre pays.
Termes associés
En quoi un verifiable credential diffère-t-il d'un certificat PDF ?
Un certificat PDF n'est qu'un document ; quiconque le reçoit doit faire confiance à celui qui l'a envoyé, ou contacter l'émetteur pour confirmer qu'il est authentique. Un verifiable credential porte une signature cryptographique que le destinataire peut vérifier lui-même, instantanément, par rapport à la clé publique de l'émetteur, sans appel téléphonique, sans e-mail, et sans que l'émetteur soit joignable à ce moment-là.