Credenziale Verificabile
(Verifiable Credential)
Una credenziale verificabile è una dichiarazione digitale a prova di manomissione su una persona o un'organizzazione che può essere verificata crittograficamente senza contattare la parte che l'ha emessa. Sostituisce documenti cartacei e PDF con dati di cui un verificatore può fidarsi autonomamente.
Un emittente firma la credenziale con una chiave privata e la consegna a un titolare, che la conserva in un wallet e la presenta a un verificatore ogni volta che serve. Il W3C Verifiable Credentials Data Model ne definisce la struttura comune: un insieme di dichiarazioni su un soggetto, metadati sull'emittente e sul periodo di validità, e una prova crittografica che lega tutto insieme, cosicché qualsiasi verificatore che comprenda il formato possa controllare una credenziale di qualsiasi emittente senza un'integrazione su misura. Una credenziale può essere codificata come JWT firmato, come JSON-LD con una prova di dati collegati, oppure in un formato come SD-JWT che supporta la divulgazione selettiva, e diversi ecosistemi prediligono codifiche diverse per lo stesso modello di dati sottostante. La revoca funziona senza rivelare chi sta controllando cosa: un emittente pubblica una status list, e un verificatore controlla soltanto se la posizione di una determinata credenziale in quell'elenco è stata invertita, senza sapere quale verificatore lo chiede o quando. Nell'EUDI Wallet, ai sensi di eIDAS 2.0, le credenziali verificabili sono il formato standard che ogni Stato membro deve supportare, permettendo a un'impresa o a un cittadino di riutilizzare una stessa credenziale, come una patente di guida mobile, un diploma o un estratto di iscrizione al registro delle imprese, tra emittenti, settori e confini, invece di dover riprovare gli stessi fatti a ogni parte facente affidamento separatamente. Poiché la prova viene verificata matematicamente rispetto alla chiave pubblica dell'emittente e non tramite una telefonata o una consultazione di database, la verifica funziona anche quando l'emittente è temporaneamente irraggiungibile o ha sede in un altro paese.
Termini correlati
In che cosa una credenziale verificabile differisce da un certificato in PDF?
Un certificato in PDF è soltanto un documento: chiunque lo riceva deve fidarsi di chi lo ha inviato, oppure contattare l'emittente per confermarne l'autenticità. Una credenziale verificabile porta con sé una firma crittografica che il destinatario può controllare da solo, istantaneamente, rispetto alla chiave pubblica dell'emittente, senza una telefonata, un'email o la necessità che l'emittente sia raggiungibile in quel momento.