DCQL objašnjen: kako verifikator od novčanika traži točno ono što mu treba

Problem koji DCQL rješava

Traženje zamjene: claim_sets

claim_sets navodi grupe id-ova tvrdnji redoslijedom prednosti. Novčanik vraća prvu grupu koju može u potpunosti zadovoljiti onim što imatelj stvarno posjeduje, pa verifikator ne mora slati dva odvojena zahtjeva za precizan i zamjenski slučaj.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Ovdje verifikator radije traži matični broj i pravni naziv, ali prihvatit će i samo pravni naziv ako imateljeva vjerodajnica ne sadrži tvrdnju o matičnom broju.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Kombiniranje vjerodajnica: credential_sets

credential_sets djeluje razinu iznad claim_sets. Svaki unos navodi options, gdje je svaka opcija grupa id-ova upita za vjerodajnice. Novčanik mora zadovoljiti jednu opciju svakog obaveznog unosa, čime verifikator dobiva logiku AND i OR preko više vjerodajnica u jednom zahtjevu.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Primjer odgovora: registracija i bankovni račun

Što novčanik šalje

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Tvrdnje koje verifikator vidi nakon provjere

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

Imatelj nema vjerodajnicu o PDV registraciji, pa je novčanik odabrao drugu opciju drugog skupa. Id-ovi upita koji nisu upotrijebljeni, ovdje vat_registration, jednostavno nedostaju u vp_token.

Samo pouzdani izdavatelji: trusted_authorities

trusted_authorities sužava upit za vjerodajnicu na vjerodajnice čijeg izdavatelja podupire tijelo kojem verifikator vjeruje. Svaki unos ima vrstu i popis vrijednosti: aki za identifikator ključa tijela, etsi_tl za ETSI pouzdani popis ili openid_federation za sidro povjerenja federacije. Novčanik nudi samo vjerodajnice koje odgovaraju.

Primjer: registracija od izdavatelja s popisa

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Primjer odgovora: samo vjerodajnica izdavatelja s popisa

Što novčanik šalje

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Tvrdnje koje verifikator vidi nakon provjere

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

Imatelj je imao i vjerodajnicu o registraciji od izdavatelja koji nije na popisu, ali je novčanik nije ponudio. trusted_authorities je filtar za novčanik, a ne jamstvo: verifikator pri provjeri prezentacije i sam provjerava izdavatelja prema pouzdanom popisu.

Podudaranje vrijednosti: claims.values

Upit za tvrdnju može sadržavati values, popis nizova znakova, cijelih brojeva ili booleovih vrijednosti. Novčanik vraća tvrdnju samo kad njezina vrsta i vrijednost točno odgovaraju jednoj od njih, pa verifikator može provjeriti uvjet bez prethodnog traženja bilo čega drugog.

Primjer: samo tvrtke registrirane u Nizozemskoj ili Belgiji

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Primjer odgovora: nizozemska tvrtka

Što novčanik šalje

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Tvrdnje koje verifikator vidi nakon provjere

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Vjerodajnica njemačke tvrtke ima registration_country "DE", pa ne zadovoljava upit i novčanik za nju nema što vratiti. Verifikator bi ipak trebao provjeriti vrijednost u provjerenim tvrdnjama umjesto da se oslanja na filtriranje u novčaniku.

Gdje je DCQL danas

• DCQL je definiran unutar same specifikacije OpenID4VP, a ne kao zaseban dokument, i dio je nacrta otkako je mehanizam uveden kako bi zamijenio raniju ovisnost o DIF Presentation Exchange za OpenID4VP zahtjeve.
• EUDI Wallet Architecture and Reference Framework propisuje OpenID4VP kao protokol prezentacije, a s njim i DCQL kao mehanizam upita koji pouzdajuće strane i novčanici u ekosustavu trebaju podržavati.
• Referentne implementacije novčanika i verifikatora u programu EUDI Wallet Reference Implementation ujednačile su se oko DCQL-a, pa nove integracije poslovnih novčanika izgrađene danas na OpenID4VP trebaju pretpostaviti DCQL, a ne Presentation Exchange, kao format upita za zahtjeve za prezentaciju.

Česta pitanja

Ova stranica služi isključivo informiranju i ne predstavlja pravni savjet. Za mjerodavne smjernice obratite se izravno OpenID Foundation i Europskoj komisiji.