Emiterea credențialelor explicată: de la ofertă la credențialul acceptat
OpenID4VCI este standardul european prin care un credențial ajunge în portofelul cuiva: o diplomă, o înregistrare a firmei, un certificat de inspecție. Predarea unuia pare un singur moment pentru deținător, dar în spate trebuie să se alinieze mai multe lucruri, iar fiecare poate eșua în felul său. Această pagină parcurge acest proces, folosind ca exemplu o firmă de transport.
Două moduri în care începe o emitere
Majoritatea emiterilor încep cu emitentul care oferă un credențial, de obicei sub forma unui cod QR sau a unui link. Dacă deținătorul trebuie apoi să se autentifice depinde de un singur lucru: știe deja emitentul cu cine are de-a face. Ambele trasee se termină în același loc, cu credențialul în portofel.
Deținătorul este deja cunoscut
1. Emitent
Știe deja cu cine are de-a face și oferă credențialul pe loc
2. Portofel
Acceptă oferta, uneori confirmând un cod scurt trimis separat
3. Portofel
Preia credențialul și îl leagă de acest dispozitiv
Deținătorul trebuie să se autentifice mai întâi
1. Portofel
Pornește de la o ofertă sau merge la emitent din inițiativa deținătorului
2. Autentificarea emitentului
Îl trece pe deținător prin autentificare și prin acordul pentru ce urmează să fie emis
3. Portofel
Preia credențialul și îl leagă de acest dispozitiv
Ciclul de viață complet al unei oferte de acreditare
O emitere parcurge pașii de mai jos. Fiecare poate eșua separat, iar aceste eșecuri ajung să fie tratate de biroul de suport, așa că merită să știți unde se află înainte de a proiecta procesul în jurul lor.
Un exemplu practic: un certificat de inspecție tehnică pentru o flotă de transport
O stație de inspecție tehnică emite un certificat de inspecție în portofelul de business al unei firme de transport, după o verificare de rutină. Inspectorul a confirmat deja cine este managerul de flotă la punctul de inspecție, deci nu există motiv să îl pună să se autentifice din nou.
1. Oferta
Terminalul din punctul de inspecție afișează un cod QR
Scanarea lui deschide portofelul și arată ce credențial este oferit
2. Ce se oferă
Portofelul citește descrierea credențialului publicată de emitent
Astfel, managerul de flotă vede ce conține certificatul înainte de a accepta ceva
3. Confirmarea
Portofelul confirmă un cod scurt pe care stația de inspecție l-a trimis prin SMS managerului de flotă
Cineva care fotografiază codul QR peste umăr tot nu poate prelua certificatul
4. Legarea lui de portofel
Portofelul dovedește că deține un secret care nu părăsește niciodată dispozitivul
Certificatul este legat de acel secret, așa că o copie a lui nu valorează nimic pe alt dispozitiv
5. Emis și stocat
Stația de inspecție semnează certificatul, iar portofelul îl stochează
De aici, firma de transport îl poate arăta unui client sau unui organ de control în câteva secunde
Când credențialul nu este încă gata
Exemplul de mai sus presupune că rezultatul inspecției este final. Dacă un rezultat la limită trebuie să ajungă mai întâi la un inspector superior, certificatul nu poate fi predat pe loc. Standardul acoperă acest caz, în loc să îl oblige pe managerul de flotă să revină.
Emis pe loc
Deținătorul pleacă cu credențialul în portofel, dintr-o singură mișcare.
Emis ulterior
Emitentul spune că are nevoie de mai mult timp, iar portofelul preia credențialul odată ce este gata. Deținătorul nu trebuie să o ia de la capăt sau să revină în persoană.
Închiderea buclei
După emitere, portofelul îi poate spune emitentului cum s-a încheiat. Acest lucru este opțional de ambele părți, iar livrarea nu este garantată, deci ajută la depistarea unui flux defect, dar un emitent nu poate deduce nimic dintr-un mesaj care nu ajunge niciodată.
Portofel
Poate spune emitentului cum s-a încheiat emiterea
Stocat
Credențialul este în portofel și gata de utilizare
Eșuat
Ceva nu a funcționat, de exemplu credențialul nu a trecut verificarea
Refuzat
Deținătorul a ales să nu îl păstreze
Ce înseamnă asta pentru dumneavoastră
Emitent
O singură modalitate standard de a emite credențiale, acceptată de orice portofel conform, fără integrare pentru fiecare portofel și fără un portal în care deținătorii să se autentifice.
Deținător
Vedeți ce primiți înainte de a accepta, iar credențialul este legat de dispozitivul dumneavoastră, nu de un cont pe care l-ați putea pierde.
Verificator
Credențialele sosesc deja verificate și deja legate de portofelul care le prezintă, așa că acceptarea unuia este o verificare, nu o investigație.
Aprofundare tehnică
Această pagină explică ce face tehnologia și pe cine afectează. Documentația noastră pentru dezvoltatori acoperă implementarea propriu-zisă: mesajele, câmpurile și exemplele detaliate de care are nevoie o echipă de integrare.
Citiți documentația tehnicăTermeni asociați
Întrebări frecvente
Când trebuie deținătorul să se autentifice și când nu?
Depinde dacă emitentul știe deja cu cine are de-a face. Un inspector care tocmai a verificat un vehicul în persoană nu are nevoie ca managerul de flotă să se autentifice din nou, așa că credențialul este oferit pe loc. Un serviciu online care nu l-a întâlnit niciodată pe deținător îl trece mai întâi prin propria autentificare. Oferta însăși spune care dintre cele două situații se aplică.
De unde știe portofelul ce urmează să primească?
Fiecare emitent publică o descriere a ceea ce emite, iar portofelul o citește înainte de orice altceva. Asta îi permite portofelului să îi arate deținătorului ce este credențialul și ce conține, astfel încât consimțământul să însemne ceva. Înseamnă și că un emitent poate adăuga un tip nou de credențial fără ca fiecare portofel să aibă nevoie de o actualizare.
Ce împiedică pe cineva să copieze un credențial pe alt dispozitiv?
Înainte de emitere, portofelul dovedește că deține un secret care nu părăsește niciodată dispozitivul, iar emitentul leagă credențialul de acesta. Un verificator poate cere ulterior portofelului să dovedească din nou același lucru. O copie a credențialului fără acel secret nu trece verificarea, deci copierea fișierului nu ajută la nimic.
Ce se întâmplă dacă credențialul nu poate fi emis imediat?
Unele verificări durează mai mult decât e dispusă o persoană să aștepte: o analiză manuală sau o interogare a unui registru extern lent. Emitentul poate semnala acest lucru, iar portofelul preia credențialul odată ce este gata. Deținătorul nu trebuie să o ia de la capăt sau să revină în persoană.
Află emitentul dacă credențialul a fost păstrat efectiv?
Poate, dar doar ca gest de curtoazie. Portofelul poate raporta că a stocat credențialul, că deținătorul l-a refuzat sau că ceva a eșuat. Nicio parte nu este obligată să susțină acest lucru, iar livrarea nu este garantată, deci un emitent ar trebui să îl trateze ca pe un semnal util și niciodată ca pe o evidență a ce s-a întâmplat.
Surse
Această pagină are caracter informativ și nu constituie consultanță juridică. Pentru îndrumări autorizate, contactați direct OpenID Foundation și Comisia Europeană.