Digital Credentials API

A weboldal a navigator.credentials.get() hívást egy digitális hitelesítőadat-kéréssel indítja, amely megnevez egy bemutatási protokollt, és hasznos teherként ennek a protokollnak a saját kérését tartalmazza. A böngésző továbbítja a kérést az operációs rendszernek, amely natív választót jelenít meg az eszközre telepített tárcákból, a birtokos által kiválasztott tárca pedig ugyanazon a híváson keresztül adja vissza a protokoll válaszát. Az API csak szállítja a cserét: hogy mit kérnek, mi kerül feltárásra és hogyan ellenőrzik a választ, továbbra is a benne lévő protokoll határozza meg. A kísérő navigator.credentials.create() hívás ugyanezt teszi a kibocsátásnál, így egy oldal ugyanígy adhat át egy Credential Offert egy tárcának.

Korábban a bemutatás azon az eszközön, amelyet a birtokos éppen használt, vagy egy QR-kódot jelentett, amelyet az azt megjelenítő telefon nem tudott beolvasni, vagy egy deep linket, amelynek találgatnia kellett, melyik tárca van telepítve. Ha a kérés az operációs rendszeren keresztül halad, mindkét probléma megszűnik, mert a birtokos egyetlen natív választót kap az eszköz összes tárcájával, az oldalnak pedig soha nem kell maga felismernie vagy megneveznie a tárcát. A böngésző a hívó oldal eredetét (origin) is hozzáadja a kéréshez, így a tárca meg tudja mutatni a birtokosnak, melyik oldal kér, és el tudja utasítani a máshonnan lemásolt kérést. Ettől lesz a folyamat ellenálló a phishinggel és a továbbításos (relay) támadásokkal szemben.

Az API szándékosan protokollsemleges, és az EUDI Wallet ökoszisztémában két kötés számít: az OpenID4VP saját profilt határoz meg az API-hoz, az ISO/IEC 18013-7 Annex C pedig ugyanazt az mdoc-cserét köti hozzá. Az EUDI ARF a távoli bemutatás javításának módjaként tárgyalja, feltéve, hogy a böngésző átadja a bizalmat adó fél eredetét (origin), hogy a Wallet Unit meg tudja állapítani, ki kér, és hogy a két eszköz közötti folyamat megtartja az eszközök közelségének ellenőrzését. Így az ISO/IEC 18013-5 szerinti, eszközről történő lekérés marad a személyes csatorna, nem pedig olyasmi, amit a böngésző-API kivált.

A támogatás már nem kísérleti. Az API alapértelmezetten engedélyezve van a Chrome-ban Androidon és asztali gépen, valamint a Safariban az Apple legújabb kiadásaiban, a Firefox viszont nem engedélyezte. A böngészők továbbra is eltérnek abban, milyen protokollokat és hitelesítőadat-formátumokat fogadnak el, és az asztali támogatás általában a tárcát tartalmazó telefonnal való párosítással működik, nem pedig azzal, hogy a böngésző tárolja a hitelesítő adatokat. Érdemes kiegészítésként kezelni azokon a böngészőkön és eszközökön, amelyek támogatják, a többinél pedig megtartani a QR-kódos vagy átirányításos folyamatot.