WIA

Uma Unidade de Carteira envia o seu WIA quando pede uma credencial a um PID Provider ou a um Fornecedor de Atestados. O WIA é o wallet attestation do Appendix E do OpenID4VCI, enviado ao servidor de autorização do emissor juntamente com uma prova de que a carteira detém a chave do WIA. O emissor verifica a assinatura do Fornecedor de Carteira com a âncora de confiança que a Comissão publica para esse Fornecedor de Carteira, e confirma que a Instância de Carteira não foi revogada.

É enviado um WIA para cada credencial, vinculada ao dispositivo ou não. Para uma credencial vinculada ao dispositivo, a Unidade de Carteira envia também um Key Attestation, que descreve o WSCA/WSCD ou o armazenamento de chaves que guarda a nova chave.

Um WIA é válido por menos de 24 horas, pelo que reflete uma verificação de integridade recente e não uma verificação única na instalação. Indica também um período de manutenção da revogação, que pode ser muito mais longo: durante todo esse período, o Fornecedor de Carteira mantém disponível o estado de revogação da Instância de Carteira. Se a Instância de Carteira for comprometida, o Fornecedor de Carteira revoga-a. Um PID Provider tem de verificar esse estado regularmente enquanto o seu PID for válido, e revogar o PID assim que a Instância de Carteira for revogada. Os Fornecedores de Atestados podem fazer o mesmo.

Para proteger a privacidade, uma Unidade de Carteira apresenta o seu WIA apenas a PID Providers e Fornecedores de Atestados, nunca a partes confiantes. Uma parte confiante não consegue verificar a própria Unidade de Carteira. Confia que o emissor verificou o WIA e, ao verificar o estado de revogação de um PID, sabe também que a Unidade de Carteira por trás dele não foi revogada.

As carteiras empresariais funcionam de outra forma. O ARF pressupõe um dispositivo pessoal e remete as carteiras de pessoas coletivas para uma business wallet separada. A proposta da Comissão relativa às European Business Wallets (COM(2025) 838) transpõe a ideia com o nome wallet unit attestation: o fornecedor gera e assina um para cada unidade de European Business Wallet, com um certificado emitido ao abrigo de um certificado que consta da lista de confiança do Regulamento de Execução (UE) 2024/2980. Uma unidade deste tipo não é apenas uma aplicação. Combina um front-end, uma interface de utilizador de qualquer plataforma ou formato, com um back-end do lado do servidor que tem de utilizar pelo menos um WSCA e um WSCD para gerir ativos críticos. As chaves do atestado têm de estar protegidas por um WSCD, e o estado de um atestado revogado tem de ser publicado.

O OpenID4VCI descreve o seu wallet attestation como concebido especialmente para carteiras em aplicação nativa, cuja integridade o Fornecedor de Carteira verifica normalmente através do sistema operativo móvel, como o iOS DeviceCheck ou o Android Play Integrity. A proposta não diz como um back-end do lado do servidor prova a sua integridade. Remete as especificações técnicas para atos de execução que, segundo a proposta, deverão basear-se no ARF quando adequado.