WUA skaidrojums: kā maks pierāda izsniedzējam, ka ir īsts
Pirms organizācija ieliek apliecinājumu kāda EUDI Wallet makā, tā vēlas zināt, ka maks ir īsts un ka to, ko tas glabā, nevar nokopēt ārā. Wallet Unit Attestation ir veids, kā maks to pierāda. Tas nav viens dokuments, bet divi, un abus paraksta maka nodrošinātājs: viens par lietotni, otrs par drošo glabātuvi ierīcē.
Problēma, ko risina WUA
Organizācijai, kas gatavojas izsniegt identitātes vai uzņēmuma reģistrācijas apliecinājumu, nav sava veida, kā atšķirt sertificētu maku no izmainītas lietotnes vai no skripta, kas izliekas par maku. Tā arī nevar redzēt, vai apliecinājums, ko tā gatavojas nodot, tiks piesaistīts šai ierīcei vai atradīsies kaut kur, no kurienes to var vienkārši nokopēt.
WUA aizver abas nepilnības, liekot par tām atbildēt kādam citam. Maka nodrošinātājs galvo par lietotni un par drošo glabātuvi, un par to tas tiek uzraudzīts un iekļauts sarakstā Eiropas līmenī. Izdevējs pirms izsniegšanas pārbauda abus paziņojumus un turpina pārbaudīt arī pēc tam, tāpēc tas var atsaukt izsniegto, ja maks vēlāk izrādās kompromitēts.
WUA tiek izmantots vienīgi apliecinājuma saņemšanas laikā. Makam nav atļauts to parādīt uzņēmumam, kas apliecinājumu pieņem, un tas notur ziņas par turētāja tālruni un maku ārpus ikdienas darījumiem.
Dalībnieki un kurš kam uzticas
Iesaistītas ir piecas puses, un tikai četras no tām jebkad rīkojas ar WUA. Drošā glabātuve ierīcē sargā noslēpumu, maka nodrošinātājs galvo par lietotni un par šo glabātuvi, un izdevējs paļaujas uz to, nevis pats izvērtē katru maku.
Maka pakalpojumu sniedzējs
Galvo par lietotni un par drošo glabātuvi aiz tās un uztur abus paziņojumus aktuālus
Maka vienība
Parāda izdevējam abus paziņojumus, kad saņem apliecinājumu, un katru reizi izmanto jaunu pāri
Drošā glabātuve ierīcē
Glabā noslēpumu, kas piesaista apliecinājumu tieši šim vienam makam, un nekad to neizlaiž ārā
PID Provider vai Attestation Provider
Pirms izsniegšanas pārbauda abus paziņojumus un turpina pārbaudīt arī pēc tam, lai varētu atsaukt izsniegto
Uzticamības puse
Nekad nesaņem WUA. Tā pārbauda pašu apliecinājumu un to, vai tas joprojām ir derīgs
Izdevēji var uzticēties WUA tāpēc, ka maka nodrošinātājs, kas to parakstījis, ir oficiālajā ES Trusted List maku nodrošinātājiem, un tāpēc, ka pašu maka produktu ir sertificējusi neatkarīga novērtēšanas iestāde.
Divi paziņojumi ar vienu nosaukumu
Eiropas specifikācija sadala atestāciju divās daļās, jo lietotne un drošā glabātuve ir dažādas lietas. Tās pārbauda dažādas puses, un tās tiek atsauktas dažādu iemeslu dēļ: viena, kad tālrunis tiek pazaudēts, otra, kad vesela ierīču klase izrādās vāja.
Wallet Instance Attestation (WIA)
- Galvo par
- Pati maka lietotne: īsta, nemainīta sertificēta produkta kopija
- Darbības laiks
- Mazāk nekā 24 stundas
- Var tikt atsaukts, kad
- Par šo instalāciju ziņots, ka tā ir pazaudēta, nozagta vai patvaļīgi izmainīta
- Nepieciešams
- Ikviens apliecinājums, ko maks saņem
Key Attestation (KA)
- Galvo par
- Drošā glabātuve ierīcē un tas, cik labi tā pretojas uzbrukumiem
- Darbības laiks
- Nosaka maka nodrošinātājs, un tas var būt ilgāks nekā WIA
- Var tikt atsaukts, kad
- Šāda veida drošajā glabātuvē ir atrasta vājība
- Nepieciešams
- Ierīcei piesaistīti apliecinājumi, tostarp ikviens PID
Abus paraksta maka nodrošinātājs, un abi tiek izmantoti vienu reizi un pēc tam atmesti. Tas ir apzināti: tas nozīmē, ka divi izdevēji nevar salīdzināt pierakstus un secināt, ka darījas ar vienu un to pašu maku.
Kā maks iegūst šos paziņojumus
Tas notiek viena maka produkta ietvaros, tāpēc katrs nodrošinātājs to dara savā veidā. Tas, ko prasa noteikumi, ir nemainīgs: nodrošinātājam ir jāpārliecinās, ka lietotne nav patvaļīgi izmainīta un ka noslēpums tiešām atrodas tajā drošajā glabātuvē, ko tas nosauc. Lielākā daļa nodrošinātāju tam izmanto integritātes pārbaudes, ko Google un Apple jau piedāvā.
1. Maka vienība
Pieprasa ierīces drošajai glabātuvei jaunu noslēpumu
2. Drošā glabātuve ierīcē
Izveido to un atdod pierādījumu no ierīces, ka tas izveidots tur
3. Maka pakalpojumu sniedzējs
Pārbauda, vai lietotne ir īsta un vai pierādījums ir pamatots, un tad paraksta abus paziņojumus
4. Maka vienība
Uztur nelielu svaigu paziņojumu krājumu un katram saņemtajam apliecinājumam izmanto jaunu
WUA dzīves cikls
Šie paziņojumi ir apzināti īslaicīgi un vienreiz lietojami. Taču iespēja tos atsaukt pastāv daudz ilgāk nekā tie paši. Pirmie trīs posmi zemāk ir ikdienišķi; ceturtais notiek tikai tad, kad kaut kas noiet greizi.
1. Pārbaudīts
Maka nodrošinātājs abus paziņojumus paraksta tikai pēc tam, kad ir pārbaudījis lietotni un drošo glabātuvi
2. Vienreiz lietots
Katrs paziņojums kalpo vienai apliecinājuma saņemšanai, tāpēc maks nepārtraukti ielādē jaunus
3. Pārbaudīts atkārtoti
PID nodrošinātājs pārbauda atkārtoti vismaz reizi dienā un atsauc PID, ja kāds no abiem paziņojumiem ir atsaukts
4. Atsaukts
Tikai tad, kad kaut kas noiet greizi: pazaudēts vai nozagts tālrunis vai kādā drošās glabātuves veidā atrasta vājība
Ārpus EUDI Wallet ekosistēmas daži maku nodrošinātāji izdod līdzīgus paziņojumus, kuriem vienkārši beidzas termiņš un kurus nekad nevar atsaukt. Eiropas noteikumi to neatļauj. Lai gan paziņojums par lietotni ir spēkā mazāk nekā dienu, abiem paziņojumiem jāpaliek atsaucamiem vēl vismaz 31 dienu, jo tieši tas ļauj izdevējam atsaukt apliecinājumu vēl ilgi pēc tā izsniegšanas.
WUA, WIA un KA: ko nozīmē katrs termins
Terminoloģija mainījās, kamēr specifikācijas nobrieda, tāpēc vecākos rakstos šie trīs saīsinājumi lietoti citādi, nekā tos lieto šodien. Šī ir pašreizējā nozīme.
WUA
Jumta jēdziens abiem pārējiem paziņojumiem, ko rāda tikai izdevējiem
WIA
Paziņojums par pašu maka lietotni
KA
Paziņojums par drošo glabātuvi ierīcē
Ko tas nozīmē jums
Izdevējs
Jūs varat izsniegt makiem, kurus nekad neesat izvērtējuši, jo par katru no tiem atbild uzraudzīts nodrošinātājs, un izsniegto varat atsaukt, ja tas mainās.
Verificētājs
Nekas papildus nav jādara. Darbs notiek, pirms apliecinājums vispār nonāk pie jums, un kompromitēts maks zaudē savus apliecinājumus, nevis tiek atzīmēts pie jūsu letes.
Maka turētājs
Tālruņa pazaudēšana nenozīmē jūsu apliecinājumu nodošanu, un uzņēmumiem, kuriem jūs apliecinājumus rādāt, netiek izpausts nekas par jūsu maku.
Tehniskā padziļināšana
Šī lapa skaidro, ko tehnoloģija dara un uz ko tā attiecas. Mūsu izstrādātāju dokumentācija aptver pašu ieviešanu: ziņojumus, laukus un izstrādātos piemērus, kas vajadzīgi integrācijas komandai.
Lasīt tehnisko dokumentācijuSaistītie termini
Biežāk uzdotie jautājumi
Vai WUA ir tas pats, kas Wallet Instance Attestation?
Nē. Kopš TS3 versijas 1.5 WUA ir jumta jēdziens diviem paziņojumiem: Wallet Instance Attestation (WIA) par lietotni un Key Attestation (KA) par drošo glabātuvi ierīcē. Vecākos rakstos WUA lieto tam, ko tagad sauc par Key Attestation, un tāpēc šie jēdzieni bieži tiek jaukti.
Vai verifikators kādreiz redz WUA?
Nē, un to pieprasīt nav atļauts. Maks šos paziņojumus drīkst parādīt izdevējam, kamēr saņem apliecinājumu, nekad uzņēmumam, kas to pieņem. Verificētājs tā vietā pārbauda apliecinājumu: kas to parakstījis, vai tas pieder šim makam un vai tas joprojām ir derīgs. Ja maks ir kompromitēts, izdevējs atsauc tam izsniegtos apliecinājumus, un verificētājs to redz caur pašu apliecinājumu.
Cik ilgi WUA ir derīgs?
Paziņojums par lietotni ir spēkā mazāk nekā 24 stundas; paziņojums par drošo glabātuvi var būt spēkā ilgāk. Neatkarīgi no tā maka nodrošinātājs apņemas vēl vismaz 31 dienu ziņot par to, vai katrs no tiem ir atsaukts, jo izdevēji uz to paļaujas vēl ilgi pēc tam, kad pašam paziņojumam beidzies termiņš.
Kas notiek, ja maks tiek pazaudēts vai kompromitēts?
Maka nodrošinātājs atzīmē šo instalāciju kā atsauktu vai, ja vājš izrādās vesels drošās glabātuves veids, atzīmē to. Izdevēji pārbauda atkārtoti vismaz reizi dienā un atsauc apliecinājumus, ko tie tam izsnieguši. Turētāju pasargā tieši šī atsaukšana, nevis paziņojuma termiņa beigas.
Vai tas ļauj maka nodrošinātājam redzēt, ko es daru ar savu maku?
Nē. Paziņojumi pasaka, kāda veida maks tas ir, nevis kam tas pieder, un katram saņemtajam apliecinājumam tiek izmantots jauns, tāpēc izdevējs pēc tiem nevar atpazīt maku, kas atgriežas. Maka nodrošinātājs tos paraksta iepriekš un nav iesaistīts apmaiņā starp maku un izdevēju.
Avoti
Šī lapa ir informatīva un nav uzskatāma par juridisku konsultāciju. Autoritatīvu norādījumu saņemšanai vērsieties tieši pie Eiropas Komisijas un OpenID Foundation.