Wydawanie poświadczeń: od oferty do przyjętego poświadczenia
OpenID4VCI to europejski standard umieszczania poświadczenia w czyimś portfelu: dyplomu, wpisu firmy do rejestru, certyfikatu badania technicznego. Przekazanie go wygląda dla posiadacza jak jedna chwila, ale w tle musi zagrać kilka rzeczy, a każda z nich może zawieść na swój sposób. Ta strona to omawia, na przykładzie firmy transportowej.
Dwa sposoby rozpoczęcia wydania
Większość wydań zaczyna się od zaproponowania poświadczenia przez wystawcę, zwykle w postaci kodu QR albo linku. To, czy posiadacz musi się następnie zalogować, zależy od jednego: czy wystawca już wie, z kim ma do czynienia. Obie drogi kończą się w tym samym miejscu, z poświadczeniem w portfelu.
Posiadacz jest już znany
1. Wystawca
Już wie, z kim ma do czynienia, i proponuje poświadczenie od razu
2. Portfel
Przyjmuje ofertę, czasem potwierdzając krótki kod przesłany osobno
3. Portfel
Odbiera poświadczenie i wiąże je z tym urządzeniem
Posiadacz musi najpierw się zalogować
1. Portfel
Zaczyna od oferty albo idzie do wystawcy z inicjatywy posiadacza
2. Logowanie u wystawcy
Przeprowadza posiadacza przez logowanie i zgodę na to, co zostanie wydane
3. Portfel
Odbiera poświadczenie i wiąże je z tym urządzeniem
Pełny cykl życia oferty poświadczenia
Wydanie przebiega przez poniższe kroki. Każdy z nich może zawieść osobno, a to właśnie takimi awariami zajmuje się później dział wsparcia, więc warto wiedzieć, gdzie się znajdują, zanim zaprojektujesz wokół nich proces.
Przykład praktyczny: certyfikat zdatności do ruchu dla floty transportowej
Stacja kontroli pojazdów wydaje certyfikat zdatności do ruchu do portfela firmowego przewoźnika po rutynowym badaniu. Diagnosta potwierdził już na stacji, kim jest kierownik floty, więc nie ma powodu, by kazać mu logować się ponownie.
1. Oferta
Terminal na stacji kontroli wyświetla kod QR
Zeskanowanie go otwiera portfel i pokazuje, jakie poświadczenie jest proponowane
2. Co jest w ofercie
Portfel odczytuje opublikowany przez wystawcę opis poświadczenia
Dzięki temu kierownik floty widzi, co zawiera certyfikat, zanim na cokolwiek się zgodzi
3. Potwierdzenie
Portfel potwierdza krótki kod, który stacja kontroli wysłała kierownikowi floty SMS-em
Ktoś, kto sfotografuje kod QR zza pleców, i tak nie odbierze certyfikatu
4. Powiązanie z portfelem
Portfel dowodzi, że przechowuje sekret, który nigdy nie opuszcza urządzenia
Certyfikat jest powiązany z tym sekretem, więc jego kopia jest bezwartościowa na innym urządzeniu
5. Wydane i zapisane
Stacja kontroli podpisuje certyfikat, a portfel go zapisuje
Od tej chwili przewoźnik może go pokazać klientowi lub kontrolerowi w kilka sekund
Gdy poświadczenie nie jest jeszcze gotowe
Powyższy przykład zakłada, że wynik badania jest ostateczny. Jeśli wynik graniczny musi najpierw trafić do starszego diagnosty, certyfikatu nie da się wydać na miejscu. Standard obejmuje ten przypadek, zamiast zmuszać kierownika floty do ponownej wizyty.
Wydane na miejscu
Posiadacz odchodzi z poświadczeniem w portfelu, za jednym razem.
Wydane później
Wystawca informuje, że potrzebuje więcej czasu, a portfel odbiera poświadczenie, gdy jest gotowe. Posiadacz nie musi zaczynać od nowa ani przychodzić osobiście po raz drugi.
Zamknięcie pętli
Po wydaniu portfel może powiedzieć wystawcy, jak się to zakończyło. Jest to opcjonalne dla obu stron, a dostarczenie nie jest gwarantowane, więc przydaje się do wykrywania zepsutego przebiegu, ale wystawca nie może niczego wnioskować z wiadomości, która nigdy nie dociera.
Portfel
Może powiedzieć wystawcy, jak zakończyło się wydanie
Zapisane
Poświadczenie jest w portfelu i gotowe do użycia
Niepowodzenie
Coś poszło nie tak, na przykład poświadczenie nie przeszło sprawdzenia
Odrzucone
Posiadacz zdecydował, że go nie zachowa
Co to oznacza dla ciebie
Wystawca
Jeden standardowy sposób wydawania poświadczeń, akceptowany przez każdy zgodny portfel, bez integracji dla każdego portfela z osobna i bez portalu, do którego posiadacze muszą się logować.
Posiadacz
Widzisz, co otrzymujesz, zanim to przyjmiesz, i jest to powiązane z twoim urządzeniem, a nie z loginem, który możesz stracić.
Weryfikator
Poświadczenia docierają już sprawdzone i powiązane z portfelem, który je okazuje, więc przyjęcie jednego to kontrola, a nie dochodzenie.
Pogłębienie techniczne
Ta strona wyjaśnia, co robi ta technologia i kogo dotyczy. Nasza dokumentacja dla programistów opisuje samo wdrożenie: komunikaty, pola i omówione przykłady, których potrzebuje zespół integracyjny.
Przeczytaj dokumentację technicznąPowiązane pojęcia
Najczęściej zadawane pytania
Kiedy posiadacz musi się zalogować, a kiedy nie?
To zależy od tego, czy wystawca już wie, z kim ma do czynienia. Diagnosta, który właśnie osobiście zbadał pojazd, nie potrzebuje, by kierownik floty logował się ponownie, więc poświadczenie jest proponowane na miejscu. Usługa online, która nigdy nie spotkała posiadacza, najpierw przeprowadza go przez własne logowanie. Sama oferta mówi, który z tych dwóch przypadków ma zastosowanie.
Skąd portfel wie, co za chwilę otrzyma?
Każdy wystawca publikuje opis tego, co wydaje, a portfel odczytuje go, zanim cokolwiek innego się wydarzy. To dzięki temu portfel może pokazać posiadaczowi, czym jest poświadczenie i co zawiera, więc zgoda coś znaczy. Oznacza to również, że wystawca może dodać nowy typ poświadczenia bez aktualizacji każdego portfela.
Co powstrzymuje kogoś przed skopiowaniem poświadczenia na inne urządzenie?
Przed wydaniem portfel dowodzi, że przechowuje sekret, który nigdy nie opuszcza urządzenia, a wystawca wiąże z nim poświadczenie. Weryfikator może później poprosić portfel o ponowne wykazanie tego samego. Kopia poświadczenia bez tego sekretu nie przechodzi sprawdzenia, więc skopiowanie pliku nic nie daje.
Co, jeśli poświadczenia nie da się wydać od razu?
Niektóre sprawdzenia trwają dłużej, niż człowiek jest gotów czekać: ręczna weryfikacja albo zapytanie do wolnego rejestru zewnętrznego. Wystawca może to zasygnalizować, a portfel odbierze poświadczenie, gdy będzie gotowe. Posiadacz nie musi zaczynać od nowa ani przychodzić osobiście po raz drugi.
Czy wystawca dowiaduje się, czy poświadczenie faktycznie zostało zachowane?
Może, ale tylko grzecznościowo. Portfel może zgłosić, że poświadczenie zostało zapisane, że posiadacz je odrzucił albo że coś się nie powiodło. Żadna ze stron nie musi tego obsługiwać, a dostarczenie nie jest gwarantowane, więc wystawca powinien traktować to jako przydatny sygnał, a nigdy jako zapis tego, co się wydarzyło.
Źródła
Ta strona ma charakter informacyjny i nie stanowi porady prawnej. Aby uzyskać wiążące wskazówki, skontaktuj się bezpośrednio z OpenID Foundation oraz Komisją Europejską.