Uitgever
(Issuer)
Een issuer is de organisatie die een verifiable credential aanmaakt en cryptografisch ondertekent, bijvoorbeeld een overheidsinstantie, een bank of een kamer van koophandel, en die daarmee instaat voor de claims die de credential bevat.
Een uitgever overhandigt een ondertekende credential aan een houder via een protocol zoals OpenID4VCI, en hoeft daarna nooit meer benaderd te worden wanneer die credential later wordt gecontroleerd: een verifier valideert in plaats daarvan de handtekening tegen de publieke sleutel van de uitgever. Onder eIDAS 2.0 moet een uitgever van gekwalificeerde attestaties op een nationale Trusted List staan, zodat elke verifier kan bevestigen dat hij gemachtigd is zonder een aparte overeenkomst per uitgever. Uitgeven is een andere rol dan het uitbaten van een wallet of een verifiersysteem: een organisatie kan alle drie de rollen vervullen, maar de technische en juridische verplichtingen verschillen per rol. Als uitgever is een organisatie verantwoordelijk voor het beveiligd houden van de ondertekeningssleutels, het publiceren van een herroepingsstatuslijst zodat verifiers kunnen controleren of een credential nog geldig is, en het definiëren van het schema van de credential, welke claims deze bevat en in welk formaat, doorgaans SD-JWT VC of een ISO mdoc. Omdat verificatie niet vereist dat de uitgever op het moment van gebruik wordt benaderd, kan een uitgever offline gaan, zijn infrastructuur wijzigen, of zelfs stoppen met een bepaald credentialtype, zolang zijn publieke sleutel en statuslijst gepubliceerd blijven voor de credentials die hij al heeft uitgegeven, zodat die verifieerbaar blijven. Deze scheiding tussen uitgifte en verificatie is wat een credential in staat stelt overal, direct te worden gecontroleerd, zonder dat de uitgever deel uitmaakt van elke transactie.
Gerelateerde termen
Moet een uitgever online zijn zodat een verifier een credential kan controleren?
Nee. Een verifier controleert de handtekening van de credential tegen de gepubliceerde publieke sleutel van de uitgever en raadpleegt zijn herroepingsstatuslijst, waarvoor geen van beide vereist is dat de uitgever rechtstreeks wordt benaderd. Dit is waarom een uitgever offline kan zijn of zelfs kan stoppen met een credentialtype terwijl credentials die hij al heeft uitgegeven verifieerbaar blijven, zolang de sleutel en de statuslijst gepubliceerd blijven.