WUA uitgelegd: hoe een wallet zich bewijst tegenover een uitgever
Voordat een organisatie een credential in iemands EUDI Wallet zet, wil zij weten dat de wallet echt is en dat wat erin wordt bewaard niet gekopieerd kan worden. Een Wallet Unit Attestation is hoe de wallet dat bewijst. Het is niet één document maar twee, beide ondertekend door de provider van de wallet: één over de app, één over de beveiligde opslag op het apparaat.
Het probleem dat een WUA oplost
Een organisatie die op het punt staat een identiteits- of handelsregistercredential uit te geven, heeft geen eigen manier om een gecertificeerde wallet te onderscheiden van een aangepaste app, of van een script dat zich als wallet voordoet. Zij kan ook niet zien of de credential die zij gaat overhandigen aan dat apparaat wordt gekoppeld, of ergens terechtkomt waar hij eenvoudig te kopiëren is.
De WUA dicht beide gaten door iemand anders ervoor te laten instaan. De provider van de wallet staat in voor de app en voor de beveiligde opslag, en staat daarvoor op Europees niveau onder toezicht en op een lijst. De uitgever controleert beide verklaringen voor uitgifte, en blijft daarna controleren, zodat hij kan intrekken wat hij heeft uitgegeven als de wallet later gecompromitteerd blijkt.
Een WUA wordt alleen gebruikt tijdens het ophalen van een credential. Een wallet mag er geen tonen aan een bedrijf dat een credential accepteert, waardoor details over de telefoon en de wallet van de houder buiten alledaagse transacties blijven.
De actoren en wie wie vertrouwt
Er zijn vijf partijen betrokken, en slechts vier daarvan krijgen ooit een WUA in handen. De beveiligde opslag op het apparaat bewaakt het geheim, de Wallet Provider staat in voor de app en die opslag, en de uitgever vertrouwt daarop in plaats van elke wallet zelf te beoordelen.
Walletprovider
Staat in voor de app en voor de beveiligde opslag erachter, en houdt beide verklaringen actueel
Walleteenheid
Toont beide verklaringen aan de uitgever bij het ophalen van een credential, en gebruikt elke keer een vers paar
Beveiligde opslag op het apparaat
Bewaart het geheim dat een credential aan juist deze wallet koppelt, en laat het er nooit uit
PID Provider of Attestation Provider
Controleert beide verklaringen voor uitgifte, en blijft daarna controleren zodat hij kan intrekken wat hij heeft uitgegeven
Relying Party
Ontvangt nooit een WUA. Controleert de credential zelf, en of die nog geldig is
Uitgevers kunnen een WUA vertrouwen omdat de Wallet Provider die hem ondertekende op de officiële EU Trusted List voor Wallet Providers staat, en omdat het walletproduct zelf is gecertificeerd door een onafhankelijke beoordelingsinstantie.
Twee verklaringen onder één naam
De Europese specificatie splitst de attestatie in tweeën omdat de app en de beveiligde opslag verschillende dingen zijn. Ze worden door verschillende partijen gecontroleerd, en ze worden om verschillende redenen ingetrokken: de een wanneer een telefoon verloren gaat, de ander wanneer een hele klasse apparaten zwak blijkt.
Wallet Instance Attestation (WIA)
- Staat in voor
- De wallet-app zelf: een echte, ongewijzigde kopie van een gecertificeerd product
- Levensduur
- Minder dan 24 uur
- Kan worden ingetrokken wanneer
- Deze installatie is gemeld als verloren, gestolen of gemanipuleerd
- Nodig voor
- Elke credential die de wallet ophaalt
Key Attestation (KA)
- Staat in voor
- De beveiligde opslag op het apparaat, en hoe goed die aanvallen weerstaat
- Levensduur
- Bepaald door de Wallet Provider, en mag langer zijn dan een WIA
- Kan worden ingetrokken wanneer
- Er is een zwakte gevonden in dat soort beveiligde opslag
- Nodig voor
- Credentials die aan het apparaat zijn gekoppeld, waaronder elke PID
Beide worden ondertekend door de Wallet Provider, en beide worden eenmalig gebruikt en daarna weggegooid. Dat is bewust: het betekent dat twee uitgevers geen gegevens kunnen vergelijken en daaruit kunnen afleiden dat zij met dezelfde wallet te maken hebben.
Hoe een wallet deze verklaringen krijgt
Dit gebeurt binnen één walletproduct, dus elke provider doet het op zijn eigen manier. Wat de regels eisen ligt vast: de provider moet zich ervan vergewissen dat er niet met de app is geknoeid, en dat het geheim werkelijk in de beveiligde opslag zit die hij noemt. De meeste providers gebruiken hiervoor de integriteitscontroles die Google en Apple al aanbieden.
1. Walleteenheid
Vraagt de beveiligde opslag op het apparaat om een nieuw geheim
2. Beveiligde opslag op het apparaat
Maakt het aan en levert bewijs van het apparaat dat het daar is aangemaakt
3. Walletprovider
Controleert of de app echt is en of het bewijs deugt, en ondertekent dan beide verklaringen
4. Walleteenheid
Houdt een kleine voorraad verse verklaringen aan en gebruikt er een nieuwe voor elke credential die hij ophaalt
De levenscyclus van een WUA
Deze verklaringen zijn kortlevend en eenmalig, met opzet. De mogelijkheid om ze in te trekken overleeft ze echter ruimschoots. De eerste drie fasen hieronder zijn routine; de vierde gebeurt alleen wanneer er iets misgaat.
1. Gecontroleerd
De Wallet Provider ondertekent de twee verklaringen pas nadat hij de app en de beveiligde opslag heeft gecontroleerd
2. Eenmalig gebruikt
Elke verklaring dient voor het ophalen van één credential, dus de wallet blijft verse verklaringen ophalen
3. Opnieuw gecontroleerd
Een PID Provider controleert minstens één keer per dag opnieuw en trekt de PID in als een van beide verklaringen is ingetrokken
4. Ingetrokken
Alleen wanneer er iets misgaat: een verloren of gestolen telefoon, of een zwakte die is gevonden in een type beveiligde opslag
Buiten het EUDI Wallet-ecosysteem geven sommige walletaanbieders vergelijkbare verklaringen uit die simpelweg verlopen en nooit kunnen worden ingetrokken. De Europese regels staan dat niet toe. Ook al leeft de verklaring over de app minder dan een dag, beide verklaringen moeten nog minstens 31 dagen intrekbaar blijven, want dat is wat een uitgever in staat stelt een credential lang na uitgifte terug te halen.
WUA, WIA en KA: welke term wat betekent
De terminologie is veranderd terwijl de specificaties volwassen werden, dus oudere artikelen gebruiken deze drie afkortingen anders dan ze vandaag worden gebruikt. Dit is de huidige betekenis.
WUA
De overkoepelende term voor de twee andere verklaringen, alleen getoond aan uitgevers
WIA
De verklaring over de wallet-app zelf
KA
De verklaring over de beveiligde opslag op het apparaat
Wat dit voor u betekent
Uitgever
U kunt uitgeven aan wallets die u nooit hebt beoordeeld, omdat een provider onder toezicht voor elk daarvan instaat en u kunt intrekken wat u hebt uitgegeven als dat verandert.
Verifier
Niets extra te doen. Het werk gebeurt voordat de credential u ooit bereikt, en een gecompromitteerde wallet verliest zijn credentials in plaats van bij u aan de balie te worden gemarkeerd.
Wallethouder
Het verliezen van uw telefoon geeft uw credentials niet uit handen, en er wordt niets over uw wallet prijsgegeven aan de bedrijven waaraan u credentials toont.
Technische verdieping
Deze pagina legt uit wat de technologie doet en wie ermee te maken krijgt. Onze ontwikkelaarsdocumentatie behandelt de implementatie zelf: de berichten, de velden en de uitgewerkte voorbeelden die een integratieteam nodig heeft.
Lees de technische documentatieGerelateerde termen
Veelgestelde vragen
Is een WUA hetzelfde als een Wallet Instance Attestation?
Nee. Sinds versie 1.5 van TS3 is WUA de overkoepelende term voor twee verklaringen: de Wallet Instance Attestation (WIA), over de app, en de Key Attestation (KA), over de beveiligde opslag op het apparaat. Oudere artikelen gebruiken WUA voor wat nu de Key Attestation heet, en daarom worden de termen vaak verward.
Krijgt een verifier de WUA ooit te zien?
Nee, en hij mag er ook niet om vragen. Een wallet mag deze verklaringen tonen aan een uitgever tijdens het ophalen van een credential, nooit aan een bedrijf dat er een accepteert. Een verifier controleert in plaats daarvan de credential: wie hem heeft ondertekend, of hij bij deze wallet hoort, en of hij nog geldig is. Als een wallet gecompromitteerd is, trekt de uitgever de credentials in die hij eraan heeft uitgegeven, en de verifier ziet dat via de credential zelf.
Hoe lang is een WUA geldig?
De verklaring over de app leeft minder dan 24 uur; die over de beveiligde opslag kan langer leven. Daarnaast belooft de Wallet Provider nog minstens 31 dagen te blijven melden of elk van beide is ingetrokken, omdat uitgevers daarop vertrouwen lang nadat de verklaring zelf is verlopen.
Wat gebeurt er als een wallet verloren gaat of gecompromitteerd raakt?
De Wallet Provider markeert die installatie als ingetrokken, of markeert een heel type beveiligde opslag wanneer dat zwak blijkt. Uitgevers controleren minstens één keer per dag opnieuw en trekken de credentials in die zij eraan hebben uitgegeven. Wat de houder beschermt is die intrekking, niet het verlopen van de verklaring.
Kan de Wallet Provider hiermee zien wat ik met mijn wallet doe?
Nee. De verklaringen zeggen wat voor soort wallet dit is, niet wie de eigenaar is, en er wordt voor elke opgehaalde credential een verse gebruikt, dus een uitgever kan er geen terugkerende wallet aan herkennen. De Wallet Provider ondertekent ze vooraf en is niet betrokken bij de uitwisseling tussen de wallet en de uitgever.
Bronnen
Deze pagina is informatief en vormt geen juridisch advies. Raadpleeg voor gezaghebbende richtlijnen rechtstreeks de Europese Commissie en de OpenID Foundation.