Verificatore
(Verifier)
Un verificatore è la parte che controlla una credenziale presentata: convalidando la firma dell'emittente, confermando che la credenziale non sia stata revocata e leggendo solo le attestazioni che il detentore ha scelto di divulgare.
Un verificatore è spesso la stessa organizzazione della relying party che richiede la credenziale, ma i ruoli sono distinti: la relying party decide cosa chiedere e cosa fare con il risultato, mentre il verificatore è la funzione tecnica che controlla la firma, la registrazione dell'emittente nella Trusted List e lo stato di revoca prima che quel risultato possa essere considerato fidato. In uno scambio OpenID4VP, un verificatore invia una richiesta di presentazione che descrive quale credenziale e quali dati gli servono, riceve la risposta del titolare e quindi esegue tre controlli prima di accettarla: che la firma corrisponda alla chiave pubblicata dell'emittente, che l'emittente compaia nella Trusted List pertinente per il tipo di credenziale presentato, e che la credenziale non sia stata successivamente revocata secondo la sua status list. Solo dopo che tutti e tre i controlli sono superati il verificatore restituisce un risultato fidato alla relying party, ad esempio confermando che una persona ha più di diciotto anni o possiede una qualifica professionale valida, senza mai vedere dati che il titolare ha scelto di non divulgare. Poiché la verifica è un controllo ben definito e ripetibile, e non una valutazione soggettiva, la stessa logica di verifica può servire molte relying party e tipi di credenziale diversi, motivo per cui le organizzazioni spesso acquistano la verifica come servizio anziché costruirla una volta per ogni caso d'uso. Un verificatore mal implementato, che salta il controllo sulla Trusted List o memorizza nella cache lo stato di revoca troppo a lungo, è una causa comune di fallimenti del quadro di fiducia anche quando sia la credenziale sia l'emittente sono del tutto legittimi.
Un verificatore è la stessa cosa di una relying party?
Non esattamente. La relying party è l'organizzazione che decide cosa chiedere e cosa fare con il risultato, ad esempio concedere l'accesso dopo un controllo dell'età. Il verificatore è la funzione tecnica che esegue quel controllo: convalidare la firma, la registrazione dell'emittente nella Trusted List e lo stato di revoca. La stessa organizzazione ricopre spesso entrambi i ruoli.