WUA paaiškinta: kaip piniginė įrodo savo tikrumą išdavėjui
Prieš įdėdama kredencialą į žmogaus EUDI Wallet, organizacija nori žinoti, kad piniginė yra tikra ir kad jos saugomo turinio negalima nukopijuoti. Wallet Unit Attestation yra tai, kuo piniginė tai įrodo. Tai ne vienas dokumentas, o du, abu pasirašyti piniginės teikėjo: vienas apie programėlę, kitas apie saugiąją saugyklą įrenginyje.
Kokią problemą sprendžia WUA
Organizacija, ketinanti išduoti tapatybės ar įmonės registracijos kredencialą, pati neturi jokio būdo atskirti sertifikuotos piniginės nuo pakeistos programėlės ar nuo scenarijaus, apsimetančio pinigine. Ji taip pat nemato, ar perduodamas kredencialas bus susietas su tuo įrenginiu, ar guls ten, iš kur jį bus galima paprasčiausiai nukopijuoti.
WUA užpildo abi spragas, perkeldama atsakomybę kitam. Piniginės teikėjas laiduoja už programėlę ir už saugiąją saugyklą, o už tai yra prižiūrimas ir įtrauktas į europinį sąrašą. Išdavėjas patikrina abu pareiškimus prieš išduodamas ir tikrina toliau, todėl gali atšaukti tai, ką išdavė, jei vėliau paaiškėtų, kad piniginė pažeista.
WUA naudojama tik atsiimant kredencialą. Piniginei neleidžiama jos rodyti verslui, priimančiam kredencialą, todėl duomenys apie turėtojo telefoną ir piniginę lieka už kasdienių operacijų ribų.
Dalyviai ir kas kuo pasitiki
Dalyvauja penkios šalys, ir tik keturios iš jų kada nors tvarko WUA. Saugioji įrenginio saugykla saugo paslaptį, piniginės teikėjas laiduoja už programėlę ir tą saugyklą, o išdavėjas tuo remiasi, užuot pats vertinęs kiekvieną piniginę.
Piniginės teikėjas
Laiduoja už programėlę ir už saugiąją saugyklą, kuria ji remiasi, ir nuolat atnaujina abu pareiškimus
Piniginės vienetas
Atsiimdama kredencialą parodo išdavėjui abu pareiškimus ir kiekvieną kartą naudoja naują porą
Saugioji saugykla įrenginyje
Saugo paslaptį, kuri sieja kredencialą su šia viena pinigine, ir niekada jos neišleidžia
PID Provider arba Attestation Provider
Prieš išduodamas patikrina abu pareiškimus ir tikrina toliau, kad galėtų atšaukti tai, ką išdavė
Relying Party
Niekada negauna WUA. Ji tikrina patį kredencialą ir tai, ar jis vis dar galioja
Išdavėjai gali pasitikėti WUA, nes jį pasirašęs piniginės teikėjas yra įtrauktas į oficialų ES piniginių teikėjų Trusted List, o pats piniginės produktas sertifikuotas nepriklausomos vertinimo įstaigos.
Du pareiškimai vienu pavadinimu
Europos specifikacija padalija atestaciją į dvi dalis, nes programėlė ir saugioji saugykla yra skirtingi dalykai. Juos tikrina skirtingos šalys ir jie atšaukiami dėl skirtingų priežasčių: vienas, kai pametamas telefonas, kitas, kai silpna pasirodo visa įrenginių klasė.
Wallet Instance Attestation (WIA)
- Laiduoja už
- Pati piniginės programėlė: tikra, nepakeista sertifikuoto produkto kopija
- Galiojimas
- Mažiau nei 24 valandos
- Gali būti atšaukta, kai
- Pranešama, kad šis diegimas prarastas, pavogtas arba pakeistas
- Reikalinga
- Kiekvienam piniginės atsiimamam kredencialui
Key Attestation (KA)
- Laiduoja už
- Saugioji saugykla įrenginyje ir tai, kaip gerai ji atlaiko atakas
- Galiojimas
- Nustato piniginės teikėjas, ir jis gali būti ilgesnis nei WIA
- Gali būti atšaukta, kai
- Randamas tos rūšies saugiosios saugyklos trūkumas
- Reikalinga
- Kredencialams, susietiems su įrenginiu, įskaitant kiekvieną PID
Abu pasirašo piniginės teikėjas, ir abu naudojami vieną kartą, o paskui atmetami. Tai daroma sąmoningai: taip du išdavėjai negali palyginti duomenų ir suprasti, kad turi reikalą su ta pačia pinigine.
Kaip piniginė gauna šiuos pareiškimus
Tai vyksta viename piniginės produkte, todėl kiekvienas teikėjas tai daro savaip. Taisyklės reikalauja aiškių dalykų: teikėjas turi įsitikinti, kad programėlė nebuvo pakeista ir kad paslaptis iš tikrųjų yra jo nurodytoje saugiojoje saugykloje. Dauguma teikėjų tam naudoja vientisumo patikras, kurias jau siūlo Google ir Apple.
1. Piniginės vienetas
Paprašo saugiosios įrenginio saugyklos naujos paslapties
2. Saugioji saugykla įrenginyje
Ją sukuria ir grąžina įrenginio įrodymą, kad ji sukurta būtent ten
3. Piniginės teikėjas
Patikrina, ar programėlė tikra ir ar įrodymas patikimas, tada pasirašo abu pareiškimus
4. Piniginės vienetas
Turi nedidelę naujų pareiškimų atsargą ir kiekvienam atsiimamam kredencialui naudoja naują
WUA gyvavimo ciklas
Šie pareiškimai sąmoningai yra trumpalaikiai ir naudojami vieną kartą. Tačiau galimybė juos atšaukti gyvuoja gerokai ilgiau. Pirmieji trys toliau nurodyti etapai yra įprasti; ketvirtasis įvyksta tik tada, kai kas nors nutinka.
1. Patikrinta
Piniginės teikėjas pasirašo abu pareiškimus tik patikrinęs programėlę ir saugiąją saugyklą
2. Naudojama vieną kartą
Kiekvienas pareiškimas skirtas vienam kredencialo atsiėmimui, todėl piniginė nuolat parsisiunčia naujų
3. Pakartotinai tikrinama
PID teikėjas iš naujo tikrina bent kartą per dieną ir atšaukia PID, jei bet kuris pareiškimas buvo atšauktas
4. Atšaukta
Tik kai kas nors nutinka: pamestas ar pavogtas telefonas arba rastas tam tikros saugiosios saugyklos rūšies trūkumas
Už EUDI Wallet ekosistemos ribų kai kurie piniginių teikėjai išduoda panašius pareiškimus, kurie tiesiog nustoja galioti ir niekada negali būti atšaukti. Europos taisyklės to neleidžia. Nors pareiškimas apie programėlę galioja mažiau nei parą, abu pareiškimai turi likti atšaukiami dar bent 31 dieną, nes būtent tai leidžia išdavėjui atsiimti kredencialą praėjus daug laiko po jo išdavimo.
WUA, WIA ir KA: ką reiškia kiekvienas terminas
Terminija keitėsi, kol specifikacijos brendo, todėl senesniuose straipsniuose šios trys santrumpos vartojamos kitaip, nei vartojamos šiandien. Čia pateikta dabartinė reikšmė.
WUA
Bendrinis kitų dviejų pareiškimų pavadinimas, rodomas tik išdavėjams
WIA
Pareiškimas apie pačią piniginės programėlę
KA
Pareiškimas apie saugiąją saugyklą įrenginyje
Ką tai reiškia jums
Išdavėjas
Galite išduoti kredencialus niekada nevertintoms piniginėms, nes už kiekvieną atsako prižiūrimas teikėjas, o jei tai pasikeičia, galite išduotus kredencialus atšaukti.
Tikrintojas
Nieko papildomai daryti nereikia. Darbas įvyksta dar prieš kredencialui pasiekiant jus, o pažeista piniginė netenka savo kredencialų, užuot buvusi pažymėta jūsų prekystalyje.
Piniginės turėtojas
Pametę telefoną neatiduodate savo kredencialų, o verslams, kuriems rodote kredencialus, nieko apie jūsų piniginę neatskleidžiama.
Techninis gilinimasis
Šiame puslapyje paaiškinama, ką technologija daro ir kam ji turi įtakos. Mūsų dokumentacija kūrėjams apima patį įgyvendinimą: pranešimus, laukus ir išsamius pavyzdžius, kurių reikia integracijos komandai.
Skaityti techninę dokumentacijąSusiję terminai
Dažnai užduodami klausimai
Ar WUA yra tas pats kas Wallet Instance Attestation?
Ne. Nuo TS3 1.5 versijos WUA yra bendrinis dviejų pareiškimų pavadinimas: Wallet Instance Attestation (WIA) apie programėlę ir Key Attestation (KA) apie saugiąją įrenginio saugyklą. Senesniuose straipsniuose WUA vadinama tai, kas dabar vadinama Key Attestation, todėl terminai dažnai painiojami.
Ar tikrintojas kada nors mato WUA?
Ne, ir jam net neleidžiama to prašyti. Piniginė gali rodyti šiuos pareiškimus išdavėjui atsiimdama kredencialą, bet niekada verslui, kuris kredencialą priima. Tikrintojas tikrina patį kredencialą: kas jį pasirašė, ar jis priklauso šiai piniginei ir ar jis vis dar galioja. Jei piniginė pažeidžiama, išdavėjas atšaukia jai išduotus kredencialus, o tikrintojas tai pamato per patį kredencialą.
Kiek laiko galioja WUA?
Pareiškimas apie programėlę galioja mažiau nei 24 valandas; pareiškimas apie saugiąją saugyklą gali galioti ilgiau. Atskirai nuo to piniginės teikėjas įsipareigoja dar bent 31 dieną pranešti, ar kuris nors iš jų buvo atšauktas, nes išdavėjai tuo remiasi dar ilgai po to, kai pats pareiškimas nustoja galioti.
Kas nutinka, jei piniginė prarandama arba pažeidžiama?
Piniginės teikėjas pažymi tą diegimą kaip atšauktą arba, kai silpna pasirodo visa saugiosios saugyklos rūšis, pažymi ją. Išdavėjai iš naujo tikrina bent kartą per dieną ir atšaukia jai išduotus kredencialus. Turėtoją apsaugo būtent tas atšaukimas, o ne pareiškimo galiojimo pabaiga.
Ar dėl to piniginės teikėjas mato, ką darau su savo pinigine?
Ne. Pareiškimuose nurodoma, kokia tai piniginė, o ne kam ji priklauso, ir kiekvienam atsiimamam kredencialui naudojamas naujas, todėl išdavėjas iš jų negali atpažinti grįžtančios piniginės. Piniginės teikėjas juos pasirašo iš anksto ir nedalyvauja piniginės bei išdavėjo apsikeitime.
Šaltiniai
Šis puslapis yra informacinio pobūdžio ir nėra teisinė konsultacija. Dėl autoritetingų rekomendacijų kreipkitės tiesiogiai į Europos Komisiją ir OpenID Foundation.