Âncora de Confiança

Um verificador não reconstrói a confiança do zero de cada vez que verifica uma credencial: segue uma cadeia de certificados ou atestados de volta a uma Trust Anchor que já decidiu confiar, e se essa cadeia se resolver corretamente, tudo abaixo dela é confiado por extensão. No ecossistema EUDI, uma Trusted List publicada por um Estado-Membro funciona como um registo de Trust Anchors, dizendo às partes confiantes que chaves públicas garantem os prestadores de serviços de confiança qualificados, para que não precisem de uma relação de confiança separada com cada emissor individualmente. Uma Trust Anchor não é, em si, um certificado: a RFC 5914 define-a como a combinação de uma chave pública, o nome da entidade a que pertence, e quaisquer restrições sobre o que essa entidade está autorizada a afirmar, embalada num Trust Anchor Information Object ou num certificado autoassinado usado como contentor prático para os mesmos dados. Como tudo o resto depende dela, uma Trust Anchor não pode ser descoberta na hora; uma parte confiante tem de a obter fora de banda, através de uma Trusted List, de uma raiz fixa no código, ou de outro canal em que já confie, antes de poder verificar seja o que for. Isto também torna a rotação de uma Trust Anchor uma operação deliberada: quando um Estado-Membro roda a chave por trás de uma entrada na sua Trusted List, as partes confiantes têm de adotar a nova Trust Anchor antes de a antiga caducar, ou a verificação para esse emissor deixa de funcionar. As Trust Anchors são a razão pela qual um verificador da EUDI Wallet pode aceitar credenciais de um emissor com quem nunca lidou diretamente, uma vez que a confiança viaja através da Trusted List e não através de um acordo bilateral com cada emissor.