Az OpenID4VCI hitelesítőokirat-kibocsátás magyarázata: az ajánlattól az elfogadott hitelesítő okiratig

Egy hitelesítőokirat-ajánlat teljes életciklusa

A specifikáció nem definiál elnevezett állapotokat, de egy kibocsátó által kezdeményezett folyamatot, amelyben a hitelesítő okiratot azonnal kiadják, a legkönnyebb az alábbi sorrendben követni. Minden lépés a maga módján hiúsulhat meg, és egy tárca-implementációnak ezeket az útvonalakat is kezelnie kell, nem csak a sikeres esetet.

2. Kibocsátói metaadatok felderítése

Mielőtt bármit kérne, a tárca lekéri a kibocsátó metaadatait, hogy megtudja, mit tartalmaz a roadworthiness_certificate, és mely végpontokat kell hívnia. A metaadat nem sorol fel külön engedélyezési szervert, tehát a kibocsátó a saját engedélyezési szervere, és a tárca ennek a szervernek a metaadataiból olvassa ki a token végpontot.

Hitelesítőokirat-kibocsátói metaadatok (részlet)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Engedélyezési szerver metaadatai (részlet), a /.well-known/oauth-authorization-server végpontról

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. A birtoklás bizonyítása

Mivel a metaadat felsorol egy nonce_endpoint végpontot, a tárca először egy friss c_nonce-t kér onnan. Ezután bizonyítja, hogy birtokolja azt a privát kulcsot, amelyhez a hitelesítő okiratot kötik, azáltal, hogy aláír egy proof JWT-t a kibocsátó azonosítója és ez a c_nonce felett.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Válasz

{
  "c_nonce": "fi-nonce-77aa"
}

A tárca ezután két JSON objektumból, egy fejlécből és egy hasznos adatból építi fel a proof JWT-t, és aláírja azokat azzal a privát kulccsal, amelyhez a hitelesítő okiratot kötik.

Fejléc: mi ez a JWT, és melyik kulcs írta alá

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: megjelöli, hogy ez egy OpenID4VCI kulcsbizonyíték, így nem téveszthető össze más típusú JWT-vel
• alg: az aláíró algoritmus, amelyet a kibocsátó a proof_signing_alg_values_supported listában sorolt fel
• jwk: az a nyilvános kulcs, amelyhez a hitelesítő okiratot kötik; a kibocsátó ehhez ellenőrzi az aláírást

Hasznos adat: kinek szól a bizonyíték, és mikor készült

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: a kibocsátó azonosítója, így a bizonyíték nem játszható vissza egy másik kibocsátónál
• iat: a bizonyíték létrehozásának időpontja, 1970 óta eltelt másodpercekben
• nonce: a nonce végpontról származó c_nonce, amely mutatja, hogy a bizonyíték friss

Az aláírt eredmény

A fejlécet és a hasznos adatot külön-külön base64url-kódolják, majd egy ponttal összekapcsolják. A tárca ezt a karakterláncot aláírja a privát kulcsával, és a base64url-kódolt aláírást egy második pont után hozzáfűzi. A kapott karakterlánc lesz az a proof JWT, amelyet a tárca az 5. lépésben a hitelesítőokirat-kérésben küld el.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Ha a hitelesítő okirat még nem áll készen: halasztott kibocsátás

A fenti példa azt feltételezi, hogy a vizsgálat eredménye már végleges. Ha a vizsgáztató szervnek ehelyett egy határeset eredményt egy vezető vizsgabiztoshoz kell eszkalálnia, a hitelesítőokirat-végpont nem tudja azonnal visszaadni a hitelesítő okiratot, ezért elhalasztja a kibocsátást.

Halasztott válasz a /credential végpontról

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

A /deferred lekérdezése, amíg kész nem lesz

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Kapcsolódó fogalmak

Források

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework