Vieno įrenginio ir kelių įrenginių srautas

Vieno įrenginio sraute piniginė ir svetainė ar programėlė yra tame pačiame telefone. Svetainė perduoda lankytoją gilia nuoroda arba peradresavimu, piniginė atsidaro, žmogus patvirtina tai, ko prašoma, o piniginė grąžina jį į svetainę tuo pačiu keliu. OpenID4VP grąžina pateikimą to peradresavimo fragmente, todėl mainus užbaigia ta pati naršyklės sesija, kuri juos pradėjo.

Kelių įrenginių sraute lankytojas pradeda kompiuterio naršyklėje, o piniginė yra jo telefone. Svetainė pateikia užklausą kaip QR kodą, piniginė jį nuskaito ir siunčia rezultatą tiesiai į svetainės serverinę sistemą, o ne į naršyklę ant stalo. Tada kompiuterio puslapiui reikia pranešti, kad mainai baigti, dažniausiai periodinėmis užklausomis (polling) arba per websocket, todėl kelių įrenginių srautas visada apima serverinę sistemą.

Abu protokolai numato, kad palaikysite abi formas. OpenID4VP įvardija jas kaip savo du srautus, o OpenID4VCI aprašo tą patį skirstymą Credential Offer, kuris gali pasiekti turėtoją įrenginyje, kuriame yra piniginė, arba bet kuriuo kitu kanalu. Kurį srautą gaus lankytojas, lemia tai, kur jis tuo metu yra, o ne vieną kartą pasirenkamas nustatymas, todėl viešai paslaugai reikia, kad veiktų abu keliai.

Naudotojo patirtis skiriasi pastangomis ir gedimų pobūdžiu. Vieno įrenginio srautas yra trumpesnis: nėra antro ekrano, kameros ar perdavimo tarp įrenginių. Kelių įrenginių srautas kainuoja nuskaitymą, bet palieka lankytoją dideliame ekrane, kuriame jis jau dirbo, ir tai vienintelė galimybė, kai piniginės nėra darbui naudojamame įrenginyje. Vieno įrenginio srautas sutrinka, kai neįdiegta piniginė arba gilioji nuoroda atidaro ne tą programėlę, o kelių įrenginių srautas sutrinka, kai baigiasi kodo galiojimas arba telefonas neturi ryšio.

Saugumo skirtumas yra realus ir palankesnis vieno įrenginio srautui. Kadangi piniginė grąžina atsakymą peradresavimu savo pačios įrenginyje, užklausą nukopijavęs užpuolikas negali gauti atsakymo. Kelių įrenginių atsakymas keliauja atskiru kanalu į svetainės serverinę sistemą, todėl pati svetainė turi susieti kodą su jį parodžiusia naršyklės sesija. Be šio susiejimo kas nors gali paimti kodą iš savo kontroliuojamos sesijos, pakišti jį aukai ir leisti aukos kredencialams užbaigti užpuoliko prisijungimą.

QR kodas taip pat yra sukčiavimo (phishing) taikinys, nes pats kodas skaitytojui nieko neparodo apie tai, kas prašo. Tikrintojo tapatybę ir tikslią užklausą prieš bet kuo dalijantis turi parodyti piniginė, o ne kodas. IETF turi atskirą geriausios dabartinės praktikos dokumentą šiai atakų klasei kelių įrenginių srautuose, o OpenID4VCI dėl tos pačios priežasties prideda prie pasiūlymo operacijos kodą: jis atkeliauja kanalu, kuris jau autentifikavo turėtoją, todėl pakeliui perimto pasiūlymo niekas kitas negali panaudoti.