Czym są weryfikowalne poświadczenia?

Weźmy konkretny przykład. Wykonawca musi udowodnić nowemu klientowi, że jego pracownicy mają certyfikat do pracy na wysokości, co instytut szkoleniowy już wie i ma zarejestrowane. Instytut pełni rolę wystawcy: pobiera ten fakt ze swojej rejestracji, pakuje go jako poświadczenie i podpisuje.

Poświadczenie jest następnie oferowane posiadaczowi, zwykle przez zeskanowanie kodu lub kliknięcie odnośnika z portalu, w którym dana osoba jest już zalogowana. Trafia do jej portfela, na telefon w przypadku osoby fizycznej lub do Business Wallet w przypadku firmy. Od tego momentu jest przechowywane po stronie posiadacza, a nie w centralnej bazie danych, do której wszyscy inni muszą się zwracać.

Gdy klient prosi o dowód, tak naprawdę nie prosi o dokument. Zadaje pytanie: czy ta osoba ma certyfikat do pracy na wysokości i czy ten certyfikat jest dziś nadal ważny. Portfel pokazuje posiadaczowi dokładnie, o co się prosi, posiadacz zatwierdza, a portfel opuszczają tylko żądane fakty.

Podmiot weryfikujący sprawdza następnie podpis względem opublikowanego klucza instytutu szkoleniowego, potwierdza, że poświadczenie rzeczywiście należy do osoby, która je przedstawia, oraz potwierdza, że nie wygasło. Wszystkie trzy kontrole odbywają się po stronie podmiotu weryfikującego, w czasie, jaki zajmuje odświeżenie strony.

Poświadczenia nie są przeznaczone do trwania wiecznie. Większość ma datę ważności, więc certyfikat, który wygasa po trzech latach, po prostu przestaje być weryfikowany. Gdy coś trzeba wycofać wcześniej, na przykład dlatego, że licencja została zawieszona lub pracownik odszedł, wystawca publikuje to na liście statusów, którą podmioty weryfikujące sprawdzają w ramach kontroli. Lista obejmuje wiele poświadczeń naraz, więc jej sprawdzenie nie ujawnia, które poświadczenie było kontrolowane.

Weryfikowalne poświadczenia istnieją jako standard od lat. Powodem, dla którego są teraz wbudowywane w realne systemy, jest prawo europejskie. Znowelizowane rozporządzenie eIDAS, zwykle nazywane eIDAS 2.0, zobowiązuje każde państwo członkowskie do zapewnienia obywatelom i firmom europejskiego portfela tożsamości cyfrowej, EUDI Wallet, oraz zobowiązuje długą listę organizacji do jego akceptowania.

Harmonogram to element, wokół którego warto planować. Państwa członkowskie muszą udostępnić co najmniej jeden portfel do końca 2026 roku, a od 2027 roku duże platformy internetowe i sektory regulowane, takie jak bankowość, będą musiały go akceptować wszędzie tam, gdzie już wymagają silnego uwierzytelniania użytkownika. Dla większości organizacji pytanie brzmi więc nie czy portfele nadejdą, lecz po której stronie kontuaru się znajdą.

Wewnątrz portfela podstawą są dane identyfikacyjne osoby, PID. To podstawowy zestaw tożsamościowy, wydawany na odpowiedzialność państwa członkowskiego: kim jesteś, potwierdzone na poziomie stosowanym przez samo państwo. Wszystko inne to elektroniczne poświadczenie atrybutów, EAA, czyli termin używany przez rozporządzenie dla weryfikowalnego poświadczenia dotyczącego czegoś innego niż tożsamość podstawowa, na przykład członkostwa, dyplomu czy pełnomocnictwa do działania w imieniu firmy.

Poświadczenia atrybutów występują w różnych klasach. Kwalifikowane elektroniczne poświadczenie atrybutów, QEAA, jest wystawiane przez kwalifikowanego dostawcę usług zaufania pod nadzorem i ma moc prawną w całej Unii. Podmiot publiczny będący autentycznym źródłem faktu może wystawić poświadczenie sektora publicznego o porównywalnej randze. Zwykłe EAA jest w pełni użyteczne i to od niego zaczyna się większość wystawiania prywatnego, po prostu nie ma takiej samej rangi prawnej.

Pierwsze błędne przekonanie mówi, że weryfikowalne poświadczenia potrzebują blockchainu. To nieprawda. Same poświadczenia to podpisane oświadczenia posiadane przez osobę lub firmę, których dotyczą, a europejski ekosystem sprawdza je względem zwykłych opublikowanych kluczy i list prowadzonych przez organy publiczne. Niektóre projekty rzeczywiście umieszczają dane rejestrowe w rejestrze rozproszonym, ale to wybór dotyczący miejsca publikacji listy, a nie cecha samego poświadczenia.

Drugie mówi, że to to samo, co złożenie podpisu cyfrowego na pliku PDF. Podpisany PDF dowodzi, kto podpisał plik i że nie był edytowany, co jest rzeczywiście przydatne, ale pozostaje dokumentem przeznaczonym do odczytu przez człowieka. Poświadczenie to zestaw oddzielnych faktów, na których może działać system, posiadacz może ujawnić tylko jego część, a ono samo ma status, który wystawca może wycofać. Podpisany PDF nie ma żadnej z tych trzech ostatnich cech.

Trzecie mówi, że mobilne prawo jazdy to coś zupełnie innego. Mobilne prawo jazdy, mDL, to weryfikowalne poświadczenie w formacie ISO zwanym mdoc, zaprojektowanym tak, by działać także twarzą w twarz i bez połączenia sieciowego, czego wymaga kontrola drogowa. Funkcjonuje ono obok formatu SD-JWT VC, używanego w większości przypadków online, a nie z nim konkuruje, i jeden portfel może przechowywać oba.

Ostatnie mówi, że wdrożenie poświadczeń oznacza zastąpienie tego, co się już ma. W praktyce systemy źródłowe pozostają tam, gdzie są. Wystawianie dodaje podpisany wynik obok rekordu, który już prowadzisz, a weryfikacja dodaje kontrolę obok procesu przyjmowania, który już stosujesz. Zmiana zachodzi na obrzeżach, dlatego pierwszy projekt może być niewielki.

W każdej rozmowie na ten temat szybko pojawiają się dwie inne nazwy, obie dotyczące przemieszczania, a nie treści. OpenID4VCI opisuje, jak poświadczenie trafia od wystawcy do portfela, a OpenID4VP opisuje, jak portfel przedstawia je podmiotowi weryfikującemu. Nie musisz znać żadnego z nich szczegółowo, ale warto wiedzieć, że format i transport to osobne decyzje.

Nie musisz wybierać między nimi z góry. Platforma, która obsługuje odpowiednie formaty, może wydać te same dane w tym formacie, jakiego oczekuje dany ekosystem.