Uitgifte van credentials uitgelegd: van aanbod tot geaccepteerde credential
OpenID4VCI is de Europese standaard om een credential in iemands wallet te krijgen: een diploma, een handelsregisterinschrijving, een keuringsbewijs. Voor de houder lijkt het overhandigen één moment, maar er moeten verschillende dingen op hun plek vallen, en elk daarvan kan op zijn eigen manier misgaan. Deze pagina loopt daar doorheen, met een transportbedrijf als voorbeeld.
Twee manieren waarop een uitgifte begint
De meeste uitgiften beginnen doordat de uitgever een credential aanbiedt, meestal als QR-code of link. Of de houder daarna moet inloggen hangt van één ding af: weet de uitgever al met wie hij te maken heeft. Beide routes eindigen op dezelfde plek, met de credential in de wallet.
De houder is al bekend
1. Uitgever
Weet al met wie hij te maken heeft, en biedt de credential meteen aan
2. Wallet
Accepteert het aanbod, soms met bevestiging van een korte code die apart is verstuurd
3. Wallet
Haalt de credential op en koppelt hem aan dit apparaat
De houder moet eerst inloggen
1. Wallet
Begint bij een aanbod, of gaat op initiatief van de houder naar de uitgever
2. Inlog van de uitgever
Leidt de houder door het inloggen en het akkoord gaan met wat er wordt uitgegeven
3. Wallet
Haalt de credential op en koppelt hem aan dit apparaat
De volledige levenscyclus van een credential-aanbod
Een uitgifte doorloopt de onderstaande stappen. Elke stap kan op zichzelf mislukken, en die fouten zijn wat een helpdesk uiteindelijk afhandelt, dus het loont om te weten waar ze zitten voordat u het proces eromheen inricht.
Een uitgewerkt voorbeeld: een keuringsbewijs voor een transportwagenpark
Een keuringsinstantie geeft na een reguliere keuring een keuringsbewijs uit in de business wallet van een transportbedrijf. De keurmeester heeft op de keuringslocatie al vastgesteld wie de wagenparkbeheerder is, dus er is geen reden om die opnieuw te laten inloggen.
1. Het aanbod
De terminal op de keuringslocatie toont een QR-code
Door hem te scannen opent de wallet en ziet u welke credential wordt aangeboden
2. Wat er wordt aangeboden
De wallet leest de door de uitgever gepubliceerde beschrijving van de credential
Zodat de wagenparkbeheerder ziet wat het certificaat bevat voordat hij ergens mee akkoord gaat
3. Bevestiging
De wallet bevestigt een korte code die de keuringsinstantie naar de wagenparkbeheerder heeft gestuurd
Iemand die over uw schouder een foto van de QR-code maakt, kan het certificaat alsnog niet ophalen
4. Koppelen aan de wallet
De wallet bewijst dat hij een geheim bezit dat het apparaat nooit verlaat
Het certificaat is aan dat geheim gekoppeld, dus een kopie ervan is op een ander apparaat waardeloos
5. Uitgegeven en opgeslagen
De keuringsinstantie ondertekent het certificaat en de wallet slaat het op
Vanaf hier kan het transportbedrijf het in seconden tonen aan een klant of een handhaver
Wanneer de credential nog niet klaar is
Het voorbeeld hierboven gaat ervan uit dat het keuringsresultaat definitief is. Als een grensgeval eerst langs een senior keurmeester moet, kan het certificaat niet ter plekke worden overhandigd. De standaard dekt dat geval, in plaats van de wagenparkbeheerder te dwingen terug te komen.
Ter plekke uitgegeven
De houder loopt in één keer weg met de credential in zijn wallet.
Later uitgegeven
De uitgever geeft aan dat hij meer tijd nodig heeft, en de wallet haalt de credential op zodra hij klaar is. De houder hoeft niet opnieuw te beginnen of nog een keer langs te komen.
De cirkel rondmaken
Na de uitgifte kan de wallet de uitgever vertellen hoe het is geëindigd. Dit is aan beide kanten optioneel en bezorging is niet gegarandeerd, dus het is nuttig om een kapotte flow op te sporen, maar een uitgever kan niets afleiden uit een bericht dat nooit aankomt.
Wallet
Kan de uitgever vertellen hoe de uitgifte is geëindigd
Opgeslagen
De credential zit in de wallet en is klaar voor gebruik
Mislukt
Er ging iets mis, bijvoorbeeld de credential kwam niet door de controle
Geweigerd
De houder koos ervoor hem niet te bewaren
Wat dit voor u betekent
Uitgever
Eén standaardmanier om credentials uit te reiken die elke conforme wallet accepteert, zonder integratie per wallet en zonder portaal waarop houders moeten inloggen.
Houder
U ziet wat u krijgt voordat u het accepteert, en het is gekoppeld aan uw apparaat in plaats van aan een login die u kwijt kunt raken.
Verifier
Credentials komen al gecontroleerd binnen en zijn al gekoppeld aan de wallet die ze presenteert, zodat accepteren een controle is en geen onderzoek.
Technische verdieping
Deze pagina legt uit wat de technologie doet en wie ermee te maken krijgt. Onze ontwikkelaarsdocumentatie behandelt de implementatie zelf: de berichten, de velden en de uitgewerkte voorbeelden die een integratieteam nodig heeft.
Lees de technische documentatieGerelateerde termen
Veelgestelde vragen
Wanneer moet de houder inloggen, en wanneer niet?
Dat hangt ervan af of de uitgever al weet met wie hij te maken heeft. Een keurmeester die net persoonlijk een voertuig heeft gekeurd, hoeft de wagenparkbeheerder niet opnieuw te laten inloggen, dus wordt de credential ter plekke aangeboden. Een online dienst die de houder nog nooit heeft ontmoet, stuurt die eerst door de eigen inlogprocedure. Het aanbod zelf zegt welke van de twee geldt.
Hoe weet de wallet wat hij gaat ontvangen?
Elke uitgever publiceert een beschrijving van wat hij uitgeeft, en de wallet leest die voordat er iets anders gebeurt. Dat is wat de wallet in staat stelt de houder te laten zien wat de credential is en wat erin staat, zodat toestemming ook echt iets betekent. Het betekent ook dat een uitgever een nieuw credentialtype kan toevoegen zonder dat elke wallet een update nodig heeft.
Wat weerhoudt iemand ervan een credential naar een ander apparaat te kopiëren?
Voordat er wordt uitgegeven, bewijst de wallet dat hij een geheim bezit dat het apparaat nooit verlaat, en de uitgever koppelt de credential daaraan. Een verifier kan de wallet later vragen datzelfde opnieuw te bewijzen. Een kopie van de credential zonder dat geheim komt niet door de controle, dus het kopiëren van het bestand levert niets op.
Wat als de credential niet meteen kan worden uitgegeven?
Sommige controles duren langer dan iemand wil wachten: een handmatige beoordeling, of een bevraging van een traag extern register. De uitgever kan dat aangeven, en de wallet haalt de credential op zodra hij klaar is. De houder hoeft niet opnieuw te beginnen of nog een keer langs te komen.
Komt de uitgever te weten of de credential daadwerkelijk is bewaard?
Dat kan, maar alleen als service. De wallet mag melden dat de credential is opgeslagen, dat de houder hem heeft geweigerd, of dat er iets is misgegaan. Geen van beide partijen is verplicht dit te ondersteunen en bezorging is niet gegarandeerd, dus een uitgever moet het zien als een nuttig signaal en nooit als een registratie van wat er is gebeurd.
Bronnen
Deze pagina is informatief en vormt geen juridisch advies. Raadpleeg voor gezaghebbende richtlijnen rechtstreeks de OpenID Foundation en de Europese Commissie.