Il-ħruġ ta' kredenzjali OpenID4VCI spjegat: mill-offerta sal-kredenzjal aċċettat

Iċ-ċiklu tal-ħajja sħiħ ta' offerta ta' kredenzjal

L-ispeċifikazzjoni ma tiddefinixxix stati bl-isem, imma fluss inizjat mill-emittent fejn il-kredenzjal jinħareġ minnufih huwa l-eħfef li ssegwi bħala s-sekwenza hawn taħt. Kull pass jista' jfalli bil-mod tiegħu, u implimentazzjoni ta' kartiera trid tittratta dawk it-toroq, mhux biss dik ta' suċċess.

2. Skoperta tal-metadata tal-emittent

Qabel ma titlob xi ħaġa, il-kartiera tiġbed il-metadata tal-emittent biex tiskopri x'fih roadworthiness_certificate u liema endpoints għandha ssejjaħ. Il-metadata ma telenka ebda server ta' awtorizzazzjoni separat, allura l-emittent huwa s-server ta' awtorizzazzjoni tiegħu stess, u l-kartiera taqra t-token endpoint mill-metadata ta' dak is-server.

Metadata tal-emittent tal-kredenzjal (estratt)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metadata tas-server ta' awtorizzazzjoni (estratt), minn /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Prova tal-pussess

Peress li l-metadata telenka nonce_endpoint, il-kartiera l-ewwel tiġbed c_nonce fresk minn hemm. Imbagħad tipprova li għandha ċ-ċavetta privata li magħha se jkun marbut il-kredenzjal, billi tiffirma proof JWT fuq l-identifikatur tal-emittent u dak iċ-c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Tweġiba

{
  "c_nonce": "fi-nonce-77aa"
}

Il-kartiera issa tibni l-proof JWT minn żewġ oġġetti JSON, header u payload, u tiffirmahom biċ-ċavetta privata li magħha se jkun marbut il-kredenzjal.

Header: x'inhu dan il-JWT u liema ċavetta ffirmatu

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: timmarka dan bħala OpenID4VCI key proof, biex ma jkunx jista' jiġi maħsub bħala xi tip ieħor ta' JWT
• alg: l-algoritmu tal-iffirmar, wieħed minn dawk li l-emittent elenka fi proof_signing_alg_values_supported
• jwk: iċ-ċavetta pubblika li magħha se jkun marbut il-kredenzjal; l-emittent jivverifika l-firma kontriha

Payload: għal min hija l-prova u meta saret

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: l-identifikatur tal-emittent, biex il-prova ma tistax terġa' tintuża ma' emittent ieħor
• iat: il-ħin li fih inħolqot il-prova, f'sekondi mill-1970
• nonce: iċ-c_nonce min-nonce endpoint, li juri li l-prova hija friska

Riżultat iffirmat

Il-header u l-payload huma kull wieħed ikkowdjati b'base64url u magħquda b'punt. Il-kartiera tiffirma dik il-frażi biċ-ċavetta privata tagħha u żżid il-firma kkowdjata b'base64url wara tieni punt. Il-frażi li tirriżulta hija l-proof JWT li l-kartiera tibgħat fit-talba tal-kredenzjal fil-pass 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Meta l-kredenzjal għadu mhux lest: ħruġ differit

L-eżempju t'hawn fuq jassumi li r-riżultat tal-ispezzjoni huwa diġà finali. Jekk minflok il-korp tal-ispezzjoni jkollu bżonn jgħolli riżultat konfini lil spettur aktar anzjan, il-credential endpoint ma jistax jirritorna l-kredenzjal minnufih, allura jiddifferixxi l-ħruġ.

Tweġiba differita minn /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Staqsi lil /deferred sakemm ikun lest

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Termini relatati

Sorsi

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework