Tās pašas ierīces plūsma un plūsma starp ierīcēm

Tās pašas ierīces plūsmā maks un vietne vai lietotne atrodas tajā pašā tālrunī. Vietne nodod apmeklētāju ar dziļo saiti vai novirzīšanu, maks atveras, cilvēks apstiprina pieprasīto, un maks viņu nosūta atpakaļ uz vietni pa to pašu ceļu, pa kuru viņš atnāca. OpenID4VP atgriež prezentāciju šīs novirzīšanas fragmentā, tāpēc apmaiņu pabeidz tā pati pārlūkprogrammas sesija, kas to sāka.

Plūsmā starp ierīcēm apmeklētājs sāk datora pārlūkprogrammā, bet viņa maks atrodas tālrunī. Vietne attēlo pieprasījumu kā QR kodu, maks to noskenē un nosūta rezultātu tieši vietnes aizmugursistēmai, nevis pārlūkprogrammai uz galda. Pēc tam datora lapai ir jāpaziņo, ka apmaiņa ir pabeigta, parasti ar periodisku vaicāšanu vai caur websocket, tāpēc plūsmā starp ierīcēm vienmēr ir iesaistīta aizmugursistēma.

Abi protokoli pieņem, ka jūs atbalstāt abas formas. OpenID4VP tās nosauc kā savas divas plūsmas, un OpenID4VCI apraksta to pašu dalījumu attiecībā uz Credential Offer, kas turētāju var sasniegt ierīcē, kurā ir maks, vai pa jebkuru citu kanālu. To, kuru plūsmu apmeklētājs saņem, nosaka tas, kur viņš tajā brīdī atrodas, nevis iestatījums, ko jūs izvēlaties vienreiz, tāpēc publiskam pakalpojumam jānodrošina, ka darbojas abi ceļi.

Lietotāja pieredze atšķiras ar piepūli un kļūmju veidiem. Tās pašas ierīces plūsma ir īsākais ceļš: nav otra ekrāna, nav kameras, nav pārejas starp ierīcēm. Plūsma starp ierīcēm prasa vienu skenēšanu, taču notur apmeklētāju pie lielā ekrāna, kurā viņš jau strādāja, un tā ir vienīgā iespēja, ja maks neatrodas ierīcē, kurā notiek darbs. Tās pašas ierīces plūsma salūst, ja maks nav instalēts vai dziļā saite atver nepareizu lietotni, bet plūsma starp ierīcēm salūst, ja koda derīgums beidzas vai tālrunim nav savienojuma.

Drošības atšķirība ir reāla, un tā ir par labu tās pašas ierīces plūsmai. Tā kā maks atgriež atbildi ar novirzīšanu savā ierīcē, uzbrucējs, kurš nokopē pieprasījumu, nevar saņemt atbildi. Atbilde plūsmā starp ierīcēm ceļo ārpus pamatkanāla uz vietnes aizmugursistēmu, tāpēc pašai vietnei kods jāpiesaista pārlūkprogrammas sesijai, kas to parādīja. Bez šīs piesaistes kāds var paņemt kodu no sesijas, ko kontrolē, nolikt to upura priekšā un ļaut upura apliecinājumiem pabeigt uzbrucēja pieteikšanos.

QR kods ir arī pikšķerēšanas virsma, jo pats kods lasītājam neko neatklāj par to, kas jautā. Makam, nevis kodam, pirms jebkādas kopīgošanas jāparāda verificētāja identitāte un precīzs pieprasījums. IETF ir īpaša labākā pašreizējā prakse šai uzbrukumu klasei plūsmās starp ierīcēm, un OpenID4VCI tā paša iemesla dēļ piedāvājumam pievieno darījuma kodu: kods pienāk pa kanālu, kas jau autentificējis turētāju, tāpēc ceļā pārtvertu piedāvājumu neviens cits nevar izmantot.