Status List
Status list to zwarta, podpisana lista publikowana przez wydawcę, dzięki której można sprawdzić unieważnienie u każdego, kto ma jedno z jego poświadczeń, bez pytania wydawcy właśnie o to poświadczenie.
Lista jest ciągiem bitów: każdemu poświadczeniu wydanemu przez wydawcę przypisywany jest w niej indeks, a bit pod tym indeksem wskazuje, czy poświadczenie jest nadal ważne, unieważnione czy zawieszone. Token Status List rezerwuje jeden lub dwa bity na wpis, w zależności od tego, ile stanów musi rozróżnić wydawca, ponieważ zawieszenie jest osobnym, odwracalnym stanem odrębnym od trwałego unieważnienia. Poświadczenie niesie adres URL listy oraz własny indeks, dzięki czemu weryfikator pobiera listę raz, buforuje ją przez okres ustalony przez wydawcę, a przy każdej kolejnej kontroli odczytuje pojedynczy bit, zamiast dzwonić do wydawcy za każdym razem. Ponieważ cała lista jest pobierana naraz i obejmuje każde poświadczenie, jakie wydawca kiedykolwiek wydał, wydawca nigdy nie dowiaduje się, które poświadczenie zostało sprawdzone ani przez kogo, ponieważ tłum ukrywa pojedynczy przypadek: to właśnie ta właściwość ochrony prywatności sprawia, że status lists są preferowane nad kontrolami unieważnienia dla pojedynczego poświadczenia, które pozwoliłyby wydawcy śledzić dokładnie, kiedy i jak często dane poświadczenie jest używane. Po kompresji lista obejmująca setki tysięcy poświadczeń zajmuje zaledwie kilka kilobajtów, a listy są zwykle publikowane ponownie według stałego harmonogramu lub sieci dostarczania treści, dzięki czemu buforowana kopia weryfikatora pozostaje aktualna bez konieczności każdorazowego kontaktu z wydawcą przy większości kontroli. Dwie stosowane specyfikacje to Token Status List dla poświadczeń JWT i CWT, którą ARF EUDI przyjmuje dla atestacji SD-JWT VC i mdoc, oraz Bitstring Status List dla W3C Verifiable Credentials Data Model. Wydawca, który zamiast tego chce całkowicie uniknąć kontroli unieważnienia, może wydawać krótkotrwałe poświadczenia, które po prostu wygasają, ale status lists pozostają preferowanym mechanizmem tam, gdzie poświadczenie wymaga dłuższego okresu ważności.
Powiązane terminy
Czy weryfikator może stwierdzić, jakie poświadczenie ktoś sprawdza, obserwując żądania do status list?
Nie, to właśnie cel pobierania całej listy. Ponieważ weryfikator pobiera cały ciąg bitów, obejmujący każde poświadczenie, jakie kiedykolwiek wydał wydawca, zamiast pytać o jedno konkretne poświadczenie, wydawca nie może stwierdzić, którym wpisem interesuje się weryfikator. Pojedyncza kontrola jest ukryta w dużej partii niepowiązanych wpisów, co powstrzymuje sprawdzanie statusu przed przekształceniem się w sposób śledzenia użycia poświadczenia.