Dostawca EUDI Wallet: kto dostarcza infrastrukturę europejskiego portfela tożsamości cyfrowej
Organizacje oceniające europejski portfel tożsamości cyfrowej zwykle zaczynają od pytania o produkt, a kończą na pytaniu o dostawcę: kto właściwie to buduje i utrzymuje. Credenco jest niderlandzkim dostawcą infrastruktury EUDI Wallet, założonym w 2021 roku, i obejmuje wszystkie trzy role w przepływie poświadczeń, a nie jeden jego narożnik.
Co dostawca EUDI Wallet naprawdę dostarcza
Na tym rynku rzadko kupuje się jeden produkt. Cztery zdolności muszą być na miejscu, zanim ruszy choćby jedno poświadczenie, a dostawca albo je pokrywa, albo zostawia je wam.
Wydawanie
Zamiana danych, które już posiadacie, dyplomu, wpisu do rejestru, faktu zatrudnienia, w podpisane poświadczenie, które portfel przyjmie. Tym właśnie zajmuje się API do wydawania weryfikowalnych poświadczeń, a jego interfejsem jest OpenID4VCI.
Usługa wydawaniaPrzechowywanie
Organizacje także otrzymują poświadczenia: licencje, certyfikaty, pełnomocnictwa. Potrzebują miejsca, w którym je przechowają, i sposobu, by okazać je ponownie, gdy kontrahent o to poprosi. Osoba używa do tego portfela w telefonie; organizacja potrzebuje usługi.
Usługa portfela posiadaczaWeryfikacja
Poproszenie dokładnie o te atrybuty, których potrzebujecie, a potem sprawdzenie podpisu, wydawcy i statusu unieważnienia, zanim zadziałacie na podstawie tego, co otrzymaliście. Błąd w tym miejscu to kosztowny tryb awarii, bo wygląda, jakby wszystko działało.
Usługa weryfikacjiZaufanie i cykl życia
Klucze, unieważnianie, publikowanie statusu i te rejestracje, które sprawiają, że podpis coś znaczy dla obcego. To praca, którą łatwo pominąć w pilocie i nie sposób pominąć na produkcji.
Business WalletPełny trójkąt: wydawać, przechowywać, weryfikować
Większość dostawców na tym rynku zajmuje jeden narożnik przepływu poświadczeń. Działa to do chwili, gdy narożniki muszą się spotkać: wydawca podpisuje w jednym formacie, weryfikator oczekuje innego, unieważnienie leży tam, gdzie żaden z nich nie zagląda, a koszt integracji spada na organizację, która kupiła wszystkie trzy.
Credenco pokrywa wydawanie, przechowywanie i weryfikację w jednej linii produktowej, a Business Wallet spina je razem. Organizacja nie musi składać łańcucha zaufania z trzech dostawców, a potem samodzielnie odpowiadać za styki między nimi. Jeśli potrzebujecie tylko jednego narożnika, możecie wziąć wyłącznie jego.
O co pytać dostawcę portfeli tożsamości cyfrowej
Te sześć pytań rozdziela dostawców szybciej niż lista funkcji. Warto zadać je każdemu dostawcy na waszej krótkiej liście, w tym nam.
- Którą z trzech ról budujecie sami, a które odsprzedajecie? Odpowiedź przesądza, do kogo dzwonicie, gdy przepływ pęka między dwiema z nich.
- Jakie specyfikacje wdrażacie, z nazwą i wersją, i gdzie możemy zobaczyć je działające wobec cudzego portfela?
- Gdzie znajdują się dane, kto zarządza kluczami podpisującymi i co opuszcza naszą jurysdykcję?
- Co się dzieje, gdy poświadczenie trzeba wycofać? Unieważnienie to pytanie, które obnaża, czy demo było produktem.
- Co już działa na produkcji albo w nazwanym pilocie i czy możemy porozmawiać z organizacją, która to prowadzi?
- Jeśli odejdziemy, co pozostanie używalne? Poświadczenia wydane w otwartym formacie pozostają weryfikowalne bez was; te w formacie zamkniętym nie.
Standardy i interfejsy
Credenco jest dostawcą OpenID4VCI w zakresie wydawania i wdraża OpenID4VP w zakresie okazywania. Poświadczenia wydawane są jako SD-JWT i mdoc, zgodnie z modelem danych W3C Verifiable Credentials. Business Wallet jest zgodny z eIDAS 2.0, zgodny z DIIP v5 i zweryfikowany wobec środowiska testowego interoperacyjności WE BUILD. API do wydawania weryfikowalnych poświadczeń, przewodniki i pełna dokumentacja API są publiczne, więc zespół integracyjny może przeczytać interfejs, zanim cokolwiek zostanie podpisane.
Gdzie to już działa
Na tak młodym rynku nazwane, porównywalne wdrożenie waży więcej niż zestawienie funkcji. Te są publiczne i każde ma własny opis.
Strony branżowe pokazują, co zmienia się na każdym rynku, wraz z regulacjami wyznaczającymi termin.
Trzy sposoby na początek
Wypróbuj samodzielnie
Załóż Business Wallet oraz wydaj i zweryfikuj poświadczenie, nie rozmawiając wcześniej z nikim.
Wyznaczony pilot
Jeden typ poświadczenia, jeden kontrahent, jeden przepływ sprawdzony od początku do końca, zanim cokolwiek się rozszerzy.
Porozmawiajmy
Przynieście proces, który chcecie zmienić, a powiemy, czy poświadczenia są do tego właściwym narzędziem.
Pogłębienie techniczne
Ta strona wyjaśnia, co robi ta technologia i kogo dotyczy. Nasza dokumentacja dla programistów opisuje samo wdrożenie: komunikaty, pola i omówione przykłady, których potrzebuje zespół integracyjny.
Przeczytaj dokumentację technicznąPowiązane pojęcia
Najczęstsze pytania
Czym jest dostawca EUDI Wallet?
W potocznym użyciu to określenie obejmuje dwie różne rzeczy. Państwa członkowskie zapewniają portfel obywatelski, do którego oferowania zobowiązuje je eIDAS 2.0, i tylko one mogą to robić. Osobno organizacje potrzebują oprogramowania do wydawania poświadczeń do tych portfeli, do przechowywania poświadczeń, które sama organizacja otrzymuje, oraz do weryfikowania tego, co jest im okazywane. To właśnie tego drugiego rodzaju dostawcy szuka większość organizacji, wpisując w wyszukiwarkę dostawca EUDI Wallet, i tym jest Credenco.
Czy trzeba być instytucją publiczną, żeby z tego korzystać?
Nie. Każda organizacja, która wydaje dokumenty, otrzymuje je lub musi je sprawdzać, może korzystać z tej samej infrastruktury. Credenco współpracuje z instytucjami publicznymi, ale także z bankami, pracodawcami, organizacjami ochrony zdrowia i łańcuchami dostaw. To branża decyduje, które poświadczenia mają znaczenie, a nie to, czy technologia ma zastosowanie.
Jaka jest różnica między portfelem a platformą weryfikowalnych poświadczeń?
Portfel to miejsce, w którym przechowywane jest poświadczenie, zwykle w telefonie należącym do osoby. Platforma weryfikowalnych poświadczeń to infrastruktura wokół niego: to, co tworzy poświadczenie, co je podpisuje, co publikuje jego status unieważnienia i co je sprawdza w momencie okazania. Organizacja niemal zawsze potrzebuje platformy. To, czy potrzebuje również własnego portfela, zależy od tego, czy poświadczenia nie tylko wydaje, lecz także otrzymuje.
Jakie standardy wdraża Credenco?
OpenID4VCI do wydawania i OpenID4VP do okazywania, z poświadczeniami w formatach SD-JWT i mdoc oraz modelem danych W3C Verifiable Credentials. Business Wallet jest zgodny z eIDAS 2.0 i zgodny z DIIP v5 oraz zweryfikowany wobec środowiska testowego interoperacyjności WE BUILD. Nic w tym stosie nie jest formatem zamkniętym.
Jak uniknąć uzależnienia od dostawcy?
Zapytajcie każdego dostawcę, które części tego, co dostarcza, są opisane w publicznej specyfikacji, a które są jego własnym wynalazkiem. Poświadczenia wydane w otwartych standardach pozostają czytelne dla każdego zgodnego portfela i weryfikatora, więc wydane przez was poświadczenia działają dalej, jeśli zmienicie dostawcę. To właściwość standardów, a nie nasza obietnica, i właśnie dlatego warto zadać to samo pytanie każdemu.
Czy możemy zacząć od małej skali?
To typowa droga na tym rynku. Większość organizacji zaczyna od jednego wyznaczonego przypadku użycia, jednego typu poświadczenia i jednego kontrahenta, a rozszerza dopiero wtedy, gdy przepływ został sprawdzony od początku do końca. Możecie też sami założyć Business Wallet i wypróbować wydawanie oraz weryfikację, zanim z kimkolwiek porozmawiacie.