OpenID4VCI izdavanje vjerodajnica objašnjeno: od ponude do prihvaćene vjerodajnice

Cijeli životni ciklus ponude vjerodajnice

Specifikacija ne definira imenovana stanja, ali tijek koji pokreće izdavatelj, u kojem se vjerodajnica izdaje odmah, najlakše je pratiti u redoslijedu prikazanom u nastavku. Svaki korak može zakazati na svoj način, a implementacija novčanika mora obraditi te putanje, ne samo onu uspješnu.

2. Otkrivanje metapodataka izdavatelja

Prije nego što išta zatraži, novčanik dohvaća metapodatke izdavatelja kako bi saznao što sadrži roadworthiness_certificate i koje krajnje točke treba pozivati. Metapodaci ne navode zasebne poslužitelje za autorizaciju, pa je izdavatelj sam sebi poslužitelj za autorizaciju, a novčanik čita token krajnju točku iz metapodataka tog poslužitelja.

Metapodaci izdavatelja vjerodajnica (izvadak)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metapodaci poslužitelja za autorizaciju (izvadak), s /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Dokaz posjedovanja

Budući da metapodaci navode nonce_endpoint krajnju točku, novčanik prvo tamo dohvaća svježi c_nonce. Zatim dokazuje da posjeduje privatni ključ na koji će vjerodajnica biti vezana, potpisujući proof JWT preko identifikatora izdavatelja i tog c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Odgovor

{
  "c_nonce": "fi-nonce-77aa"
}

Novčanik sada gradi proof JWT iz dva JSON objekta, zaglavlja i sadržaja, i potpisuje ih privatnim ključem na koji će vjerodajnica biti vezana.

Zaglavlje: što je ovaj JWT i koji ga je ključ potpisao

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: označava ovo kao OpenID4VCI dokaz ključa, tako da se ne može zamijeniti s bilo kojom drugom vrstom JWT-a
• alg: algoritam potpisivanja, jedan od onih koje je izdavatelj naveo u proof_signing_alg_values_supported
• jwk: javni ključ na koji će vjerodajnica biti vezana; izdavatelj prema njemu provjerava potpis

Sadržaj: za koga je dokaz namijenjen i kada je izrađen

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: identifikator izdavatelja, tako da se dokaz ne može ponovno iskoristiti kod drugog izdavatelja
• iat: vrijeme kada je dokaz stvoren, u sekundama od 1970.
• nonce: c_nonce s nonce krajnje točke, koji pokazuje da je dokaz svjež

Potpisani rezultat

Zaglavlje i sadržaj su svaki zasebno base64url kodirani i spojeni točkom. Novčanik potpisuje taj niz svojim privatnim ključem i dodaje base64url kodirani potpis nakon druge točke. Dobiveni niz je proof JWT koji novčanik šalje u zahtjevu za vjerodajnicu u 5. koraku.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Kada vjerodajnica još nije spremna: odgođeno izdavanje

Gornji primjer pretpostavlja da je rezultat pregleda već konačan. Ako tijelo za tehnički pregled umjesto toga treba eskalirati granični rezultat višem inspektoru, krajnja točka za vjerodajnice ne može odmah vratiti vjerodajnicu, pa odgađa izdavanje.

Odgođeni odgovor s /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Ispitivanje /deferred dok ne bude spremno

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Povezani pojmovi

Izvori

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework