Emiterea acreditărilor OpenID4VCI explicată: de la ofertă la acreditarea acceptată

Ciclul de viață complet al unei oferte de acreditare

Specificația nu definește stări numite, dar un flux inițiat de emitent, în care acreditarea este emisă imediat, este cel mai ușor de urmărit ca secvența de mai jos. Fiecare pas poate eșua în felul său, iar o implementare de portofel trebuie să gestioneze acele căi, nu doar pe cea fericită.

2. Descoperirea metadatelor emitentului

Înainte de a solicita ceva, portofelul obține metadatele emitentului pentru a afla ce conține roadworthiness_certificate și ce puncte finale să apeleze. Metadatele nu listează servere de autorizare separate, așa că emitentul este propriul său server de autorizare, iar portofelul citește punctul final de token din metadatele acelui server.

Metadatele emitentului de acreditări (extras)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metadatele serverului de autorizare (extras), de la /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Dovada de posesie

Deoarece metadatele listează un nonce_endpoint, portofelul obține mai întâi de acolo un c_nonce proaspăt. Apoi dovedește că deține cheia privată de care va fi legată acreditarea, semnând un proof JWT peste identificatorul emitentului și acel c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Răspuns

{
  "c_nonce": "fi-nonce-77aa"
}

Portofelul construiește acum proof JWT din două obiecte JSON, un antet și o sarcină utilă, și le semnează cu cheia privată de care va fi legată acreditarea.

Antet: ce este acest JWT și ce cheie l-a semnat

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: marchează acest lucru ca o dovadă de cheie OpenID4VCI, astfel încât să nu poată fi confundat cu niciun alt tip de JWT
• alg: algoritmul de semnare, unul dintre cele listate de emitent în proof_signing_alg_values_supported
• jwk: cheia publică de care va fi legată acreditarea; emitentul verifică semnătura pe baza acesteia

Sarcină utilă: pentru cine este dovada și când a fost creată

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: identificatorul emitentului, astfel încât dovada să nu poată fi reluată la un alt emitent
• iat: momentul la care a fost creată dovada, în secunde de la 1970
• nonce: c_nonce de la punctul final de nonce, care arată că dovada este proaspătă

Rezultatul semnat

Antetul și sarcina utilă sunt fiecare codificate base64url și unite printr-un punct. Portofelul semnează acel șir cu cheia sa privată și adaugă semnătura codificată base64url după un al doilea punct. Șirul rezultat este proof JWT pe care portofelul îl trimite în cererea de acreditare de la pasul 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Când acreditarea nu este încă gata: emiterea amânată

Exemplul de mai sus presupune că rezultatul inspecției este deja final. Dacă organismul de inspecție trebuie în schimb să escaladeze un rezultat la limită către un inspector superior, punctul final de acreditare nu poate returna acreditarea imediat, așa că amână emiterea.

Răspuns amânat de la /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Interogarea /deferred până este gata

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Termeni asociați

Surse

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework