Status List
Uma status list é uma lista compacta e assinada que um emissor publica para que qualquer pessoa que detenha uma das suas credenciais possa ser verificada quanto à revogação, sem que se pergunte ao emissor por aquela credencial em concreto.
A lista é uma sequência binária: a cada credencial que o emissor entrega é atribuído um índice nela, e o bit nesse índice indica se a credencial ainda é válida, foi revogada ou está suspensa. A Token Status List reserva um ou dois bits por entrada, consoante quantos estados o emissor precise de distinguir, uma vez que a suspensão é um estado separado e reversível, distinto de uma revogação permanente. A credencial transporta o URL da lista e o seu próprio índice, para que um verificador obtenha a lista uma vez, a guarde em cache durante um período definido pelo emissor, e leia um único bit em cada verificação seguinte, em vez de contactar o emissor de cada vez. Como toda a lista é transferida de uma só vez e cobre todas as credenciais que o emissor alguma vez entregou, o emissor nunca sabe qual a credencial que foi consultada nem por quem, já que o conjunto oculta o caso individual: esta é a propriedade de privacidade que torna as status lists preferíveis às verificações de revogação por credencial, que permitiriam a um emissor rastrear exatamente quando e com que frequência uma determinada credencial é usada. Comprimida, uma lista que cubra centenas de milhares de credenciais tem apenas alguns quilobytes, e as listas são tipicamente republicadas num calendário fixo ou numa rede de distribuição de conteúdo, para que a cópia em cache de um verificador se mantenha atual sem uma ida e volta ao emissor na maioria das verificações. As duas especificações em uso são a Token Status List, para credenciais JWT e CWT, que o ARF da EUDI adota para atestados SD-JWT VC e mdoc, e a Bitstring Status List, para o W3C Verifiable Credentials Data Model. Um emissor que, em vez disso, queira evitar por completo as verificações de revogação pode emitir credenciais de curta duração que simplesmente caducam, mas as status lists continuam a ser o mecanismo de eleição sempre que uma credencial precisa de um período de validade mais longo.
Termos relacionados
Um verificador consegue saber que credencial alguém está a verificar observando os pedidos à status list?
Não, é esse o objetivo de transferir a lista inteira. Como um verificador obtém toda a sequência binária, cobrindo todas as credenciais que o emissor alguma vez emitiu, em vez de perguntar sobre uma credencial específica, o emissor não consegue saber a que entrada o verificador dá importância. A verificação individual fica oculta dentro de um grande lote de entradas não relacionadas, o que é o que impede a verificação de estado de se transformar numa forma de rastrear o uso da credencial.