A DCQL röviden: így kéri az ellenőrző pontosan azt a tárcától, amire szüksége van

A probléma, amelyet a DCQL megold

Tartalék megoldás kérése: claim_sets

A claim_sets adatazonosító-csoportokat sorol fel preferencia szerinti sorrendben. A tárca az első olyan csoportot adja vissza, amelyet a birtokos tényleges adataiból teljesen ki tud elégíteni, így az ellenőrzőnek nem kell két külön kérést küldenie a pontos és a tartalék esetre.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Itt az ellenőrző a cégjegyzékszámot és a cégnevet együtt részesíti előnyben, de a cégnevet önmagában is elfogadja, ha a birtokos igazolása nem tartalmaz cégjegyzékszám adatot.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Igazolások kombinálása: credential_sets

A credential_sets eggyel magasabb szinten működik, mint a claim_sets. Minden bejegyzés options listát tartalmaz, ahol minden opció igazoláslekérdezés-id-k csoportja. A tárcának minden kötelező bejegyzésből egy opciót kell teljesítenie, így az ellenőrző egyetlen kérésben alkalmazhat ÉS, illetve VAGY logikát több igazoláson át.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Példaválasz: cégbejegyzés és bankszámla

Amit a tárca küld

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Az ellenőrző által validálás után látott adatok

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

A birtokosnak nincs áfa-regisztrációs igazolása, ezért a tárca a második készlet második opcióját választotta. A fel nem használt lekérdezés-id-k, itt a vat_registration, egyszerűen hiányoznak a vp_token objektumból.

Csak megbízható kibocsátók: trusted_authorities

A trusted_authorities olyan igazolásokra szűkíti a lekérdezést, amelyek kibocsátója mögött az ellenőrző által megbízhatónak tartott szervezet áll. Minden bejegyzésnek van egy type mezője és egy values listája: aki a szervezeti kulcsazonosítóhoz, etsi_tl egy ETSI bizalmi listához, vagy openid_federation egy föderációs bizalmi horgonyhoz. A tárca csak az egyező igazolásokat ajánlja fel.

Gyakorlati példa: cégigazolás listán szereplő kibocsátótól

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Példaválasz: csak a listán szereplő kibocsátó igazolása

Amit a tárca küld

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Az ellenőrző által validálás után látott adatok

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

A birtokosnak egy listán nem szereplő kibocsátótól is volt cégigazolása, de a tárca azt nem ajánlotta fel. A trusted_authorities a tárcának szóló szűrő, nem garancia: az ellenőrző a prezentáció validálásakor maga is ellenőrzi a kibocsátót a bizalmi lista alapján.

Értékegyezés: claims.values

Egy adatlekérdezés tartalmazhat values listát, amely karakterláncokból, egész számokból vagy logikai értékekből áll. A tárca csak akkor adja vissza az adatot, ha annak típusa és értéke pontosan megegyezik valamelyikkel, így az ellenőrző feltételt ellenőrizhet anélkül, hogy előbb bármi mást kérne.

Gyakorlati példa: csak Hollandiában vagy Belgiumban bejegyzett cégek

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Példaválasz: holland cég

Amit a tárca küld

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Az ellenőrző által validálás után látott adatok

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Egy német cég igazolásában a registration_country értéke "DE", így nem felel meg a lekérdezésnek, és a tárcának nincs mit visszaadnia hozzá. Az ellenőrzőnek ennek ellenére a validált adatokban is ellenőriznie kell az értéket, ahelyett hogy a tárca szűrésére hagyatkozna.

Hol tart ma a DCQL

• A DCQL-t magában az OpenID4VP specifikációban definiálják, nem külön dokumentumban, és azóta része a tervezetnek, hogy a mechanizmust bevezették az OpenID4VP kérések korábbi, DIF Presentation Exchange-től való függőségének kiváltására.
• Az EUDI Wallet Architecture and Reference Framework az OpenID4VP-t írja elő prezentációs protokollként, és vele együtt a DCQL-t lekérdezési mechanizmusként, amelyet az ökoszisztéma elfogadó feleinek és tárcáinak támogatniuk kell.
• Az EUDI Wallet Reference Implementation program tárca- és ellenőrző-referenciaimplementációi a DCQL-re álltak át. Ezért a ma OpenID4VP-re épülő új üzleti tárca-integrációknak a prezentációs kérések lekérdezési formátumaként a DCQL-lel kell számolniuk, nem a Presentation Exchange-dzsel.

Gyakran ismételt kérdések

Ez az oldal tájékoztató jellegű, és nem minősül jogi tanácsadásnak. Hiteles útmutatásért forduljon közvetlenül az OpenID Foundationhöz és az Európai Bizottsághoz.