Same-device és cross-device folyamat

Same-device folyamatban a tárca és a weboldal vagy alkalmazás ugyanazon a telefonon van. Az oldal deep linkkel vagy átirányítással adja át a látogatót, a tárca megnyílik, a felhasználó jóváhagyja, amit kérnek tőle, és a tárca azon az úton küldi vissza az oldalra, amelyen érkezett. Az OpenID4VP ennek az átirányításnak a fragmentjében adja vissza a bemutatást, így a cserét ugyanaz a böngészőmunkamenet fejezi be, amely elindította.

Cross-device folyamatban a látogató egy számítógépes böngészőben kezd, miközben a tárcája a telefonján van. Az oldal QR-kódként jeleníti meg a kérést, a tárca beolvassa, és az eredményt közvetlenül az oldal háttérrendszerének küldi el, nem az asztalon lévő böngészőnek. Ezután a számítógépes oldalnak jelezni kell, hogy a csere befejeződött, jellemzően lekérdezéssel (polling) vagy websocketen keresztül, ezért a cross-device folyamatban mindig részt vesz a háttérrendszer.

Mindkét protokoll feltételezi, hogy mindkét formát támogatja. Az OpenID4VP a két folyamataként nevezi meg őket, az OpenID4VCI pedig ugyanezt a felosztást írja le a Credential Offer esetében, amely a birtokoshoz a tárcát futtató eszközön vagy bármely más csatornán keresztül eljuthat. Hogy a látogató melyik folyamatot kapja, azt az dönti el, hol van éppen, nem egy egyszer kiválasztott beállítás, így egy nyilvános szolgáltatásnak mindkét útvonalon működnie kell.

A felhasználói élmény ráfordításban és hibamódokban különbözik. A same-device a rövidebb út: nincs második képernyő, nincs kamera, nincs átadás az eszközök között. A cross-device egy beolvasásba kerül, de a látogatót azon a nagy képernyőn tartja, amelyen már dolgozott, és ez az egyetlen lehetőség, ha a tárca nem azon az eszközön van, amelyen a munka folyik. A same-device folyamat akkor akad el, ha nincs telepítve tárca, vagy a deep link rossz alkalmazást nyit meg, a cross-device pedig akkor, ha a kód lejár, vagy a telefonnak nincs kapcsolata.

A biztonsági különbség valós, és a same-device javára szól. Mivel a tárca a saját eszközén átirányítással adja vissza a választ, a kérést lemásoló támadó nem tudja megszerezni a választ. A cross-device válasz a böngészőn kívül jut el az oldal háttérrendszeréhez, ezért magának az oldalnak kell a kódot az azt megjelenítő böngészőmunkamenethez kötnie. E kötés nélkül valaki foghat egy kódot egy általa irányított munkamenetből, az áldozat elé teheti, és az áldozat igazolványaival fejeztetheti be a saját bejelentkezését.

A QR-kód adathalászati felület is, mert maga a kód semmit sem mutat az olvasónak arról, ki kérdez. Az ellenőrző fél személyazonosságát és a pontos kérést a tárcának kell megjelenítenie, nem a kódnak, még mielőtt bármi megosztásra kerülne. Az IETF-nek külön bevált gyakorlata van a cross-device folyamatok ezen támadási osztályára, és az OpenID4VCI ugyanezért tranzakciós kódot ad az ajánlathoz: a kód azon a csatornán érkezik, amely a birtokost már hitelesítette, így az útközben elfogott ajánlatot senki más nem tudja beváltani.