WIA

Un'unità di wallet invia la propria WIA quando richiede una credenziale a un fornitore di PID o a un fornitore di attestazioni. La WIA è la wallet attestation dell'Appendix E di OpenID4VCI, inviata al server di autorizzazione dell'emittente insieme a una prova che il wallet possiede la chiave della WIA. L'emittente verifica la firma del fornitore di wallet con l'ancora di fiducia che la Commissione pubblica per quel fornitore di wallet, e controlla che l'istanza di wallet non sia stata revocata.

Una WIA viene inviata per ogni credenziale, vincolata al dispositivo o meno. Per una credenziale vincolata al dispositivo, l'unità di wallet invia anche una Key Attestation, che descrive il WSCA/WSCD o il keystore che custodisce la nuova chiave.

Una WIA è valida per meno di 24 ore, quindi riflette un controllo di integrità recente piuttosto che un controllo unico al momento dell'installazione. Indica inoltre un periodo di mantenimento della revoca, che può essere molto più lungo: per tutto quel periodo il fornitore di wallet mantiene disponibile lo stato di revoca dell'istanza di wallet. Se l'istanza di wallet viene compromessa, il fornitore di wallet la revoca. Un fornitore di PID deve controllare regolarmente quello stato finché il suo PID è valido, e revocare il PID non appena l'istanza di wallet viene revocata. I fornitori di attestazioni possono fare lo stesso.

Per tutelare la privacy, un'unità di wallet presenta la propria WIA solo ai fornitori di PID e ai fornitori di attestazioni, mai alle parti affidanti. Una parte affidante non può verificare direttamente l'unità di wallet. Si fida del fatto che l'emittente abbia controllato la WIA e, verificando lo stato di revoca di un PID, sa anche che l'unità di wallet che lo detiene non è stata revocata.

I wallet aziendali funzionano diversamente. L'ARF presuppone un dispositivo personale e lascia i wallet per le persone giuridiche a un business wallet separato. La proposta della Commissione sugli European Business Wallet (COM(2025) 838) riprende l'idea con il nome di wallet unit attestation: il fornitore ne genera e ne firma una per ogni unità di European Business Wallet, con un certificato rilasciato in base a un certificato presente nell'elenco di fiducia del regolamento di esecuzione (UE) 2024/2980. Un'unità di questo tipo non è una semplice app. Combina un front-end, un'interfaccia utente per qualsiasi piattaforma o formato, con un back-end lato server che deve utilizzare almeno un WSCA e un WSCD per gestire gli asset critici. Le chiavi contenute nell'attestazione devono essere protette da un WSCD, e lo stato di un'attestazione revocata deve essere pubblicato.

OpenID4VCI descrive la propria wallet attestation come pensata soprattutto per i wallet in forma di app nativa, la cui integrità il fornitore di wallet verifica di solito tramite il sistema operativo mobile, ad esempio con iOS DeviceCheck o Android Play Integrity. La proposta non dice come un back-end lato server dimostri la propria integrità. Rinvia le specifiche tecniche ad atti di esecuzione che, secondo la proposta, dovrebbero basarsi sull'ARF ove opportuno.