OpenID4VCI akreditācijas datu izsniegšana izskaidrota: no piedāvājuma līdz pieņemtiem akreditācijas datiem

Pilnais akreditācijas datu piedāvājuma dzīves cikls

Specifikācija nedefinē nosauktus stāvokļus, taču izdevēja iniciētu plūsmu, kurā akreditācijas dati tiek izsniegti uzreiz, ir vienkāršāk sekot tālāk redzamajā secībā. Katrs solis var neizdoties savā veidā, un maka implementācijai ir jāapstrādā šie ceļi, ne tikai veiksmīgais.

2. Izdevēja metadatu atklāšana

Pirms kaut ko pieprasīt, maks iegūst izdevēja metadatus, lai uzzinātu, ko satur roadworthiness_certificate un kurus galapunktus izsaukt. Metadati neuzskaita atsevišķus autorizācijas serverus, tāpēc izdevējs ir savs paša autorizācijas serveris, un maks nolasa marķiera galapunktu no šī servera metadatiem.

Akreditācijas datu izdevēja metadati (izvilkums)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Autorizācijas servera metadati (izvilkums), no /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Turējuma pierādījums

Tā kā metadati uzskaita nonce_endpoint, maks vispirms iegūst no turienes svaigu c_nonce. Pēc tam tas pierāda, ka tur privāto atslēgu, kurai akreditācijas dati tiks piesaistīti, parakstot proof JWT pār izdevēja identifikatoru un šo c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Atbilde

{
  "c_nonce": "fi-nonce-77aa"
}

Tagad maks veido proof JWT no diviem JSON objektiem, galvenes un lietderīgās kravas, un paraksta tos ar privāto atslēgu, kurai akreditācijas dati tiks piesaistīti.

Galvene: kas ir šis JWT un kura atslēga to parakstīja

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: atzīmē, ka šis ir OpenID4VCI atslēgas pierādījums, lai to nevarētu sajaukt ar cita veida JWT
• alg: parakstīšanas algoritms, viens no tiem, ko izdevējs norādījis proof_signing_alg_values_supported
• jwk: publiskā atslēga, kurai akreditācijas dati tiks piesaistīti; izdevējs pārbauda parakstu pret to

Lietderīgā krava: kam pierādījums paredzēts un kad tas izveidots

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: izdevēja identifikators, lai pierādījumu nevarētu atkārtoti izmantot pie cita izdevēja
• iat: brīdis, kad pierādījums tika izveidots, sekundēs kopš 1970. gada
• nonce: c_nonce no nonce galapunkta, kas parāda, ka pierādījums ir svaigs

Parakstītais rezultāts

Galvene un lietderīgā krava katra atsevišķi tiek kodētas base64url formātā un savienotas ar punktu. Maks paraksta šo virkni ar savu privāto atslēgu un pievieno base64url kodēto parakstu pēc otra punkta. Iegūtā virkne ir proof JWT, ko maks nosūta akreditācijas datu pieprasījumā 5. solī.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Kad akreditācijas dati vēl nav gatavi: atliktā izsniegšana

Iepriekšējais piemērs pieņem, ka apskates rezultāts jau ir galīgs. Ja apskates iestādei tā vietā ir jāeskalē robežgadījuma rezultāts vecākajam inspektoram, akreditācijas datu galapunkts nevar uzreiz atgriezt akreditācijas datus, tāpēc tas atliek izsniegšanu.

Atliktā atbilde no /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

/deferred aptaujāšana, līdz tas ir gatavs

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Saistītie termini

Avoti

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework