WIA
(Wallet Instance Attestation)
Wallet Instance Attestation (WIA) to podpisany JWT, wydawany przez dostawcę portfela, który poświadcza integralność i autentyczność konkretnej instancji portfela: tej części portfela, z której korzysta Użytkownik, zwykle aplikacji na urządzeniu Użytkownika. Wskazuje Wallet Solution, jej wersję i certyfikację oraz zawiera odniesienie do unieważnienia instancji portfela. ARF zalicza je do dwóch typów Wallet Unit Attestation, obok Key Attestation.
Jednostka portfela przesyła swoje WIA, gdy prosi PID Provider lub dostawcę atestacji o poświadczenie. WIA to atestacja portfela z OpenID4VCI Appendix E, przesyłana do serwera autoryzacji wydawcy wraz z dowodem, że portfel posiada klucz WIA. Wydawca weryfikuje podpis dostawcy portfela względem kotwicy zaufania (trust anchor), którą Komisja publikuje dla tego dostawcy portfela, i sprawdza, czy instancja portfela nie została unieważniona.
WIA jest przesyłane przy każdym poświadczeniu, niezależnie od tego, czy jest ono powiązane z urządzeniem. W przypadku poświadczenia powiązanego z urządzeniem jednostka portfela przesyła również Key Attestation, które opisuje WSCA/WSCD lub magazyn kluczy przechowujący nowy klucz.
WIA jest ważne krócej niż 24 godziny, więc odzwierciedla niedawne sprawdzenie integralności, a nie jednorazową kontrolę przy instalacji. Określa też okres utrzymywania informacji o unieważnieniu, który może być znacznie dłuższy: przez cały ten okres dostawca portfela udostępnia status unieważnienia instancji portfela. Jeśli instancja portfela zostanie skompromitowana, dostawca portfela ją unieważnia. PID Provider musi regularnie sprawdzać ten status przez cały okres ważności swojego PID i unieważnić PID, gdy instancja portfela zostanie unieważniona. Dostawcy atestacji mogą postępować tak samo.
W celu ochrony prywatności jednostka portfela przedstawia swoje WIA wyłącznie PID Provider i dostawcom atestacji, nigdy stronom ufającym. Strona ufająca nie może sama sprawdzić jednostki portfela. Ufa, że wydawca sprawdził WIA, a sprawdzając status unieważnienia PID, wie również, że jednostka portfela, w której znajduje się ten PID, nie została unieważniona.
Portfele biznesowe działają inaczej. ARF zakłada urządzenie osobiste, a portfele dla osób prawnych pozostawia odrębnemu portfelowi biznesowemu. Wniosek Komisji dotyczący European Business Wallets (COM(2025) 838) przenosi tę koncepcję pod nazwą wallet unit attestation: dostawca generuje i podpisuje ją dla każdej jednostki European Business Wallet, używając certyfikatu wydanego na podstawie certyfikatu z zaufanej listy, o której mowa w rozporządzeniu wykonawczym (UE) 2024/2980. Taka jednostka to nie tylko aplikacja. Łączy front-end, czyli interfejs użytkownika na dowolnej platformie i w dowolnej formie, z back-endem po stronie serwera, który do zarządzania krytycznymi zasobami musi używać co najmniej jednego WSCA i WSCD. Klucze w atestacji muszą być chronione przez WSCD, a status unieważnionej atestacji musi zostać opublikowany.
OpenID4VCI opisuje swoją atestację portfela jako zaprojektowaną szczególnie z myślą o portfelach w postaci natywnych aplikacji, których integralność dostawca portfela zwykle sprawdza za pomocą mobilnego systemu operacyjnego, na przykład iOS DeviceCheck lub Android Play Integrity. Wniosek nie określa, w jaki sposób back-end po stronie serwera dowodzi swojej integralności. Specyfikacje techniczne pozostawia aktom wykonawczym, które według wniosku powinny w stosownych przypadkach opierać się na ARF.
Czy strona ufająca sprawdza WIA?
Nie. Zgodnie z ARF jednostka portfela przedstawia swoje Wallet Instance Attestation wyłącznie PID Provider i dostawcom atestacji podczas wydawania, ponieważ mają oni uzasadniony powód biznesowy, by sprawdzić instancję portfela, a strony ufające go nie mają. Strona ufająca ufa, że wydawca sprawdził WIA, a w przypadku PID opiera się na statusie unieważnienia PID, aby wiedzieć, że jednostka portfela nie została unieważniona.