Kas ir verificējami apliecinājumi?
Verificējams apliecinājums ir digitāls sertifikāts, ko ikviens var pārbaudīt, nezvanot organizācijai, kas to izsniedza. Izdevējs to paraksta vienu reizi, persona vai uzņēmums, kam tas pieder, to glabā, un ikviens, kas to saņem, var uzreiz apstiprināt, ka tas ir īsts un nemainīts. Tieši šī viena pārmaiņa, no vaicāšanas avotam uz paraksta pārbaudi, to atšķir no PDF vai papīra dokumenta.
Kas ir verificējams apliecinājums
Verificējams apliecinājums ir apgalvojums, ko viena organizācija sniedz par personu vai uzņēmumu, uzrakstīts formā, kuru var pārbaudīt dators. Pats apgalvojums ir parasts: šī persona nokārtoja šo eksāmenu, šis uzņēmums ir reģistrēts šajā adresē, šim vadītājam ir šī apliecība. Jaunais elements ir tam pievienotais pierādījums, digitālais paraksts, ko izveidojusi to izdevusī organizācija.
Tā kā paraksts aptver precīzu apgalvojuma saturu, ikviens, kas to saņem, var pārliecināties par divām lietām, nesazinoties ne ar vienu. Viņš zina, kura organizācija sniedza apgalvojumu, un zina, ka tajā kopš tā laika nekas nav mainīts. Autentiskuma pierādījums atrodas pašā apliecinājumā, nevis telefona zvanā vai meklējumā.
Tas maina to, kurš veic darbu. Šodien puse, kas vēlas pārliecību, vai nu uzticas dokumentam, kas ir tās rīcībā, vai izveido integrāciju ar datu avotu un katru reizi to iztaujā. Ar verificējamu apliecinājumu izdevējs veic savu darbu vienreiz, parakstīšanas brīdī, un katra turpmākā pārbaude aizņem sekundes daļu un neiesaista nevienu citu.
Nekas no tā neprasa, lai persona vai uzņēmums zaudētu kontroli. Viņi glabā apliecinājumu, viņi lemj, kam ir tiesības to redzēt, un lielākajā daļā gadījumu viņi var izvēlēties atklāt tikai to daļu, kas patiesi nepieciešama konkrētajam jautājumam.
Trīs lomas: izdevējs, turētājs un pārbaudītājs
Katrā verificējamā apliecinājumā ir iesaistītas tās pašas trīs puses. Izdevējs apliecina kaut ko, ko tas jau zina par patiesu, un to paraksta. Turētājs saņem šo apliecinājumu un to glabā. Pārbaudītājs to pieprasa, pārbauda parakstu un rīkojas atbilstoši rezultātam.
Izdevējs
Organizācija, kuras rīcībā fakts jau ir, piemēram, publisks reģistrs, skola, banka vai valsts iestāde. Tā paraksta apliecinājumu vienu reizi, un tai vairs nav jāiesaistās.
Turētājs
Persona vai uzņēmums, par ko apliecinājums ir izsniegts. Viņi to glabā makā, tālrunī vai kā Business Wallet organizācijas vajadzībām un izlemj, kas to drīkst redzēt.
Pārbaudītājs
Ikviens, kam nepieciešams pierādījums, piemēram, darba devējs, tirdzniecības platforma vai kreditors. Viņi pārbauda parakstu pret izdevēja publicēto atslēgu un dažās sekundēs saņem atbildi.
Šis sadalījums ir svarīgs, jo tas likvidē tiešo saikni starp izdevēju un pārbaudītāju. Vecajā modelī pārbaudītājam, kas vēlējās pārliecību, bija jāgriežas atpakaļ pie avota, kas nozīmēja vienošanos, integrāciju un pastāvīgas attiecības ar katru izdevēju, kas viņam bija svarīgs. Apliecinājumu modelī turētājs pats pārnes pierādījumu starp abām pusēm, tāpēc izdevējam un pārbaudītājam nekad nav jāsatiekas.
Turētājs ne vienmēr ir persona. Arī organizācija var glabāt apliecinājumus, un tieši tam ir paredzēts Business Wallet. Tas saņem apliecinājumus par uzņēmumu, glabā tās un uzrāda tās darījumu partneriem, kad to pieprasa jūsu pašu sistēmas, nevis kāds lejupielādē failu un pievieno to e pastam.
Atpazīstams piemērs ir izziņa par sodāmību, ko daudzi darba devēji pieprasa pirms pieņemšanas darbā. Šodien pieteicējs to pieprasa, gaida, kamēr tā pienāk, to noskenē un nosūta e-pastā PDF failu, kuram darba devējam vienkārši jāuzticas. Izsniegta kā verificējams apliecinājums, tā nonāk tieši pieteicēja makā, un darba devējs to pārbauda tajā pašā brīdī, kad tā tiek uzrādīta.
Apliecinājuma dzīves cikls, no izdošanas līdz derīguma termiņa beigām
Aplūkosim konkrētu piemēru. Darbuzņēmējam jaunam klientam jāpierāda, ka viņa darbinieki ir sertificēti darbam augstumā, un šo faktu apmācības iestāde jau zina un fiksē. Iestāde darbojas kā izdevējs: tā ņem šo faktu no savas reģistrācijas, iesaiņo to kā apliecinājumu un paraksta.
Pēc tam apliecinājums tiek piedāvāts turētājam, parasti noskenējot kodu vai izmantojot saiti no portāla, kurā persona jau ir pieteikusies. Tā nonāk viņa makā, telefonā fiziskai personai vai Business Wallet uzņēmumam. No šī brīža tā tiek glabāta turētāja pusē, nevis centrālajā datubāzē, kurā visiem citiem jāveic vaicājumi.
Kad klients lūdz pierādījumu, viņš patiesībā nelūdz dokumentu. Viņš uzdod jautājumu: vai šī persona ir sertificēta darbam augstumā un vai šis sertifikāts joprojām ir derīgs šodien. Maks parāda turētājam tieši to, kas tiek pieprasīts, turētājs apstiprina, un no maka pamet tikai pieprasītie fakti.
Pārbaudītājs tad pārbauda parakstu pret apmācības iestādes publicēto atslēgu, apstiprina, ka apliecinājums tiešām pieder personai, kas to uzrāda, un apstiprina, ka tās derīguma termiņš nav beidzies. Visas trīs pārbaudes notiek pārbaudītāja pusē, tik ilgi, cik nepieciešams lapas atsvaidzināšanai.
Apliecinājumiem nav paredzēts pastāvēt mūžīgi. Vairumam ir derīguma termiņš, tāpēc sertifikāts, kura derīgums beidzas pēc trim gadiem, vienkārši vairs nenokārto pārbaudi. Ja kaut kas jāatsauc agrāk, piemēram, tāpēc, ka licence tika apturēta vai darbinieks aizgāja, izdevējs to publicē statusa sarakstā, kuru pārbaudītāji izmanto pārbaudes ietvaros. Saraksts vienlaikus aptver daudzus apliecinājumus, tāpēc tā pārbaudīšana neatklāj, kurš tieši tika pārbaudīts.
Kā pārbaudītājs zina, ka izdevējs ir īsts
Paraksts pierāda, ka apgalvojumu parakstījis kāds, kam pieder konkrēta atslēga. Pats par sevi tas nepasaka, ka atslēga pieder valsts transportlīdzekļu iestādei, nevis kādam, kas pagājušajā nedēļā reģistrēja līdzīgi skanošu nosaukumu. Atbilde uz šo otro jautājumu ir tieši tas, kam kalpo uzticamības infrastruktūra.
Vienkāršākā atbilde ir publicēts saraksts. Eiropas Savienības dalībvalstis jau uztur uzticamības sarakstus ar pusēm, kurām ir tiesības sniegt regulētus uzticamības pakalpojumus, un tagad tā pati doma attiecas arī uz makiem un apliecinājumiem, ko tie satur. Pārbaudītājs, kas atrod izdevēju attiecīgajā sarakstā, zina, ka viņš darbojas ar pusi, kas tika pieņemta pēc uzraudzības, nevis tikai ar strādājošu atslēgu.
Nozares iekšienē to pašu lomu bieži pilda uzticamības reģistrs. Universitāšu tīkls, energoapgādātāju grupa vai nozares apvienība vienojas par to, kam ir tiesības izdot kādus apliecinājumus, un uztur šo ierakstu vietā, kuru var izlasīt katrs biedrs. Pārbaudītājs vispirms pārbauda parakstu, tad pārbauda reģistru, lai noskaidrotu, vai šis izdevējs ir atzīts šāda veida apgalvojumam.
Ap abiem šiem elementiem atrodas uzticamības ietvars: noteikumi, kas nosaka, kam jābūt patiesam pirms izdevēja pieņemšanas, kā tika pārbaudītas identitātes, cik ilgi apliecinājumi paliek derīgi un kas notiek, ja kaut kas noiet greizi. Tas galvenokārt ir juridisks un organizatorisks darbs, nevis tehnoloģisks, un parasti tā ir daļa, par kuru vienošanās aizņem visilgāko laiku. Tā ir arī daļa, kas padara apliecinājumu par tādu, kas nozīmē vienu un to pašu ikvienam, kas to saņem.
EUDI Wallet un eIDAS 2.0
Verificējami apliecinājumi kā standarts pastāv jau gadiem ilgi. Iemesls, kāpēc tās tagad tiek iebūvētas reālās sistēmās, ir Eiropas tiesību akti. Pārskatītā eIDAS regula, ko parasti dēvē par eIDAS 2.0, uzliek par pienākumu katrai dalībvalstij piedāvāt saviem iedzīvotājiem un uzņēmumiem EUDI Wallet, Eiropas digitālās identitātes maku, un uzliek par pienākumu garam organizāciju sarakstam to pieņemt.
Grafiks ir tā daļa, ko vērts iekļaut plānošanā. Dalībvalstīm līdz aptuveni 2026. gada beigām jāpadara pieejams vismaz viens maks, un no 2027. gada lielām tiešsaistes platformām un regulētām nozarēm, piemēram, banku nozarei, tas jāpieņem visur, kur jau tagad tiek prasīta stingra lietotāja autentifikācija. Tāpēc lielākajai daļai organizāciju jautājums nav par to, vai maki ieradīsies, bet gan par to, kurā letes pusē tās atradīsies.
Maka pamatā ir personas identifikācijas dati, PID. Tā ir pamata identitātes kopa, kas izdota dalībvalsts atbildībā: kas jūs esat, apstiprināts līmenī, kādu izmanto pati valsts. Viss pārējais ir elektronisks atribūtu apliecinājums, EAA, termins, ko regula lieto verificējamam apliecinājumam par kaut ko citu, ne pamata identitāti, piemēram, dalību, diplomu vai pilnvaru rīkoties uzņēmuma vārdā.
Apliecinājumiem ir dažādas pakāpes. Kvalificētu elektronisku atribūtu apliecinājumu, QEAA, izdod kvalificēts uzticamības pakalpojumu sniedzējs uzraudzībā, un tam ir juridisks spēks visā Savienībā. Publiska iestāde, kas ir fakta autentisks avots, var izdot publiskā sektora apliecinājumu ar salīdzināmu statusu. Vienkāršs EAA ir pilnīgi lietojams, un tieši tur sākas lielākā daļa privātās izdošanas, tikai tam nav tāda paša juridiskā statusa.
Kāpēc ne vienkārši PDF, papīrs vai API?
Lielākā daļa organizāciju šodien pierāda faktus ar skenētiem dokumentiem, papīra oriģināliem vai atsevišķu API integrāciju ar katru darījumu partneri. Verificējami apliecinājumi aizstāj visus trīs risinājumus ar vienu mehānismu.
Daudz grūtāk viltot
PDF failu var rediģēt, un papīra dokumentu var pārliecinoši kopēt. Verificējams apliecinājums satur parakstu par tā precīzu saturu, tāpēc jebkuras izmaiņas padara parakstu nederīgu un pārbaude uzreiz neizdodas.
Dalieties ar mazāk, pierādiet vairāk
Selektīva atklāšana ļauj turētājam atklāt tikai tos faktus, kam ir nozīme, piemēram, ka persona ir pietiekami veca, nevis visu dzimšanas datumu. Pārbaudītājs saņem nepieciešamo atbildi un pārējo nesaņem nekad.
Daudz mazāk manuālu pārbaužu
Zvanīšana izdevējam, zīmogu salīdzināšana un datu atkārtota ievadīšana pazūd. Pārbaude notiek automātiski, kas saīsina apstrādes laiku un novērš veselu cilvēcisko kļūdu grupu.
Salīdzinājums ar PDF ir tas, pie kā vairums cilvēku ķeras, un ir vērts par to izteikties precīzi. Eksportēts vai skenēts dokuments var būt pilnīgi īsts, taču saņēmējam nav praktiska veida, kā atšķirt īstu dokumentu no rūpīgas viltošanas. Tāpēc praksē to pieņem, balstoties uz uzticēšanos, vai apstiprina, sazinoties ar izdevēju. Tieši šis telefona zvans ir īstās izmaksas, un tieši to novērš apliecinājums.
Papīram ir tā pati problēma, un vēl viena klāt: tam fiziski jāceļo, un ārpus darba laika to nemaz nevar pārbaudīt. API integrācija patiešām pareizi atrisina uzticēšanās problēmu, taču tikai starp abām pusēm, kas vienojās to izveidot, un tikai tik ilgi, kamēr abas puses turpina to uzturēt. Desmit darījumu partneri nozīmē desmit projektus.
Izplatīti maldīgi priekšstati
Pirmais ir tāds, ka verificējamiem apliecinājumiem nepieciešama blockchain tehnoloģija. Tā nav. Paši apliecinājumi ir parakstīti apgalvojumi, ko glabā persona vai uzņēmums, kuru tie apraksta, un Eiropas ekosistēma tos pārbauda pret parastām publicētām atslēgām un valsts uzturētiem sarakstiem. Daži projekti gan ievieto reģistra datus sadalītajā virsgrāmatā, taču tā ir izvēle par to, kur publicēt sarakstu, nevis paša apliecinājuma īpašība.
Otrais ir tāds, ka tas ir tas pats, kas digitālā paraksta pievienošana PDF failam. Parakstīts PDF apliecina, kurš parakstījis failu un ka tas nav labots, kas patiešām ir noderīgi, taču tas paliek dokuments, kas paredzēts, lai to lasītu cilvēks. Apliecinājums ir atsevišķu faktu kopa, ar kuru var rīkoties sistēma, turētājs var atklāt tikai daļu no tā, un tam ir statuss, ko izdevējs var atsaukt. Parakstītam PDF nav nevienas no šīm pēdējām trim īpašībām.
Trešais ir tāds, ka mobilā vadītāja apliecība ir kaut kas pavisam citādāks. Mobilā vadītāja apliecība, mDL, ir verificējams apliecinājums ISO formātā, ko sauc par mdoc, izstrādāta tā, lai tā darbotos arī klātienē un bez tīkla savienojuma, kas tieši nepieciešams pārbaudei uz ceļa. Tā pastāv līdzās SD-JWT VC formātam, ko izmanto lielākajai daļai tiešsaistes gadījumu, nevis ar to konkurē, un viens maks var saturēt abus.
Pēdējais ir tāds, ka apliecinājumu ieviešana nozīmē esošā aizstāšanu. Praksē avota sistēmas paliek tur, kur tās ir. Izdošana pievieno parakstītu izvadi blakus ierakstam, ko jūs jau uzturat, bet pārbaude pievieno kontroli blakus pieņemšanas procesam, ko jūs jau veicat. Izmaiņas notiek malās, un tāpēc arī pirmais projekts var būt neliels.
Kur izmanto verificējamus apliecinājumus
Viens un tas pats modelis atkārtojas visās nozarēs: uzticams avots faktu jau zina, un daudzām citām pusēm uz to ir jāpaļaujas.
Valsts pārvalde
Atļaujas, reģistrācijas un iedzīvotāju apliecinājumi, kas izsniegti vienu reizi un izmantoti atkārtoti dažādās iestādēs un pāri robežām.
Finanses
Klientu izpētes pārbaudes, uzņēmumu dati un ienākumu apliecinājumi, kas tiek apstiprināti, nevācot kaudzi ar skenētiem dokumentiem.
Veselības aprūpe
Personāla profesionālās reģistrācijas un kvalifikācijas, ko var pārbaudīt ikviens darba devējs vai iestāde, kam tas nepieciešams.
Piegādes ķēde
Sertifikāti, produktu dati un piegādātāju apliecinājumi, kas ceļo kopā ar preci, nevis kā e-pasta pielikums.
Kopīgais visiem šiem gadījumiem ir tas, ka pats fakts nav apstrīdams, to vienkārši ir dārgi pierādīt. Kāds to jau zina, reģistrā, studenta lietā vai sertifikācijas datubāzē, un skenējumu, e pastu un manuālu pārbaužu ķēde pastāv vienīgi tāpēc, lai šīs zināšanas nogādātu ikvienam, kam tās nepieciešamas. Jebkurš process ar šādu formu ir kandidāts.
Standarti īsumā
Verificējami apliecinājumi nav viena piegādātāja produkts. Nedaudzi atvērtie standarti nosaka, kā tos raksta un lasa, un tas ļauj viena izdevēja apliecinājumam darboties ar pārbaudītāju, kas ar šo izdevēju nekad iepriekš nav saskāries.
W3C VC
W3C datu modelis, kas nosaka, ko apliecinājums satur: apgalvojumus, kas to izsniedzis, cik ilgi tas ir derīgs, un pierādījumu, kas to visu sasaista.
SD-JWT VC
Kompakts formāts, kas balstīts uz parakstītiem tokeniem un jau pēc būtības ietver selektīvu atklāšanu. Tas ir formāts, kuru izvēlējusies Eiropas maku ekosistēma.
mdoc
ISO formāts, ko izmanto mobilajiem dokumentiem, piemēram, mobilajai vadītāja apliecībai, un kas veidots darbam klātienē un bezsaistē, kā arī tiešsaistē.
Ikvienā sarunā par šo tēmu ātri parādās divi citi nosaukumi, un abi attiecas uz kustību, nevis saturu. OpenID4VCI apraksta, kā apliecinājums nonāk no izdevēja makā, bet OpenID4VP apraksta, kā maks to uzrāda pārbaudītājam. Nav nepieciešams zināt kaut vienu no tiem sīkāk, taču noderīgi ir zināt, ka formāts un pārraide ir atsevišķi lēmumi.
Jums nav jāizvēlas starp tiem jau iepriekš. Platforma, kas atbalsta attiecīgos formātus, var izsniegt tos pašus pamatdatus tajā formātā, kādu konkrētā ekosistēma sagaida.
Sākumam: kā izskatās pirmais izmēģinājuma projekts
Saprātīgs pirmais projekts izmanto vienu apliecinājumu, vienu izdevēju un vienu pārbaudītāju, un atstāj visu pārējo neskartu. Izvēlieties faktu, kas jūsu organizācijai jau ir un par kuru tai jau tagad uzdod jautājumus, un kur pašreizējais process ir skenēšana, e pasts vai telefona zvans. Dalība, nodarbinātības apstiprinājums, sertifikāts vai pilnvara rīkoties uzņēmuma vārdā, tie visi noder labi.
Tas, ko no organizācijas prasa šis process, ir mazāk tehnisks, nekā lielākā daļa komandu sagaida. Nepieciešams datu īpašnieks, kas var pateikt, ko apliecinājums apgalvo un kad tas vairs nav patiess, lēmums par to, cik ilgi tā paliek derīga un kā to atsauc, kā arī viena integrācija ar sistēmu, kurā šie dati jau atrodas. Parakstīšanu, mijiedarbību ar maku un formātus nodrošina platforma.
Daļa, kas prasa patiesu laiku, ir vienošanās ap to. Kam ir tiesības to izdot, kas to pieņems un kas notiek, ja izrādās, ka tas ir nepareizs, ir organizatoriski jautājumi, un ir izdevīgi tos atrisināt pirms jebkā izveides. Ja nozares uzticamības ietvars jau pastāv, liela daļa šī darba jau ir paveikta jūsu vietā.
Šāda apjoma izmēģinājuma projekts parasti aizņem nedēļas, nevis ceturkšņus, un ir vērts to izpildīt no sākuma līdz beigām ar nelielu reālu lietotāju grupu, nevis vispirms izveidot pilnu versiju. Mērķis ir noskaidrot, kāds process ir tad, kad pārbaude notiek nekavējoties, jo tas parasti maina to, ko vēlaties izveidot nākamo.
Kā Credenco atbalsta izsniegšanu, glabāšanu un pārbaudi
Credenco aptver visas trīs lomas, tāpēc organizācija var sākt ar to, kas tai vajadzīga šodien, un pievienot pārējās, kad lietojums paplašinās.
Issuance Service
Pārvērtiet datus, kas jūsu organizācijas rīcībā jau ir, parakstītos apliecinājumos un nogādājiet tos turētāja makā.
Holder Service
Saņemiet, glabājiet un uzrādiet apliecinājumus savas organizācijas vārdā Business Wallet risinājumā, ko darbina jūsu sistēmas, nevis manuāls darbs.
Verification Service
Pieprasiet tieši tos apliecinājumus, kas jums nepieciešami, un saņemiet pārbaudītu atbildi, neveidojot integrāciju katram izdevējam.
Ar ko sākt, ir atkarīgs no jūsu pozīcijas. Organizācija, kurai pieder dati, par kuriem citas puses pastāvīgi jautā, sāk ar izdošanu. Tāda, kas velta laiku citu pušu dokumentu pārbaudei, sāk ar pārbaudi. Glabāšana kļūst aktuāla, tiklīdz sāk pienākt apliecinājumi par jūsu pašu uzņēmumu un tie atkal jāuzrāda kādam citam.
Bieži uzdotie jautājumi
Kas ir verificējams apliecinājums vienkāršā valodā?
Tas ir digitāls apgalvojums, ko viena organizācija sniegusi par personu vai uzņēmumu, parakstīts tā, lai ikviens, kas to saņem, varētu to pārbaudīt. Iedomājieties diplomu, atļauju vai izrakstu no uzņēmumu reģistra, kas pierāda savu autentiskumu, saņēmējam nesazinoties ar izdevēju.
Kā tas atšķiras no PDF sertifikāta?
PDF failam ir jāuzticas, vai arī tas jāapstiprina pie izdevēja pa telefonu vai e-pastā. Verificējams apliecinājums dažās sekundēs tiek pārbaudīts pret izdevēja publicēto atslēgu, un jebkuras satura izmaiņas liek šai pārbaudei neizdoties.
Vai to izmantošanai ir vajadzīga maka lietotne?
Privātpersona apliecinājumus parasti glabā maka lietotnē savā tālrunī. Organizācija tā vietā izmanto Business Wallet, kas ir pakalpojums, nevis lietotne, tāpēc apliecinājumus var saņemt un uzrādīt jūsu paša sistēmas.
Vai izdevējs redz, kur apliecinājums tiek izmantots?
Nē. Pārbaudītājs paraksta pārbaudi veic lokāli, izmantojot publicēto atslēgu materiālu, un noskaidro, vai apliecinājums vēl ir derīgs, pēc publicēta statusa saraksta, nevis vaicājot par šo konkrēto apliecinājumu. Tāpēc izdevējs neuzzina, kas ko pārbauda.
Kas notiek, kad apliecinājums ir jāatsauc?
Izdevējs publicē atsaukumu statusa sarakstā, kuru pārbaudītāji izmanto kā daļu no katras pārbaudes, tāpēc apliecinājums vairs nenokārto pārbaudi. Saraksts vienlaikus aptver daudzus apliecinājumus, un tieši tas neļauj izdevējam uzzināt, kurš no tiem tika pārbaudīts.
Cik ilgi ilgst pirmais projekts?
Izmēģinājuma projekts ar vienu apliecinājumu, vienu izdevēju un vienu pārbaudītāju parasti aizņem dažas nedēļas. Tehniskais darbs ir neliels. Tempu parasti nosaka vienošanās par to, kam ir tiesības izdot apliecinājumu un kas to pieņems.
Saistītie termini
Tehniskā padziļinātā izpēte
Šī lapa paliek līmenī, kas skaidro, kas ir verificējams apliecinājums un ko tas nozīmē jūsu organizācijai. Ieviešanas detaļas, tostarp tas, kā izsniegt apliecinājumu no savas sistēmas, atrodamas tehniskajā dokumentācijā. Lasiet tehnisko dokumentāciju
Šī lapa ir informatīva un nav uzskatāma par juridisku konsultāciju. Autoritatīvu norādījumu saņemšanai vērsieties tieši pie Eiropas Komisijas un OpenID Foundation.