WUA pe înțeles: cum își dovedește un portofel autenticitatea față de un emitent
Înainte ca o organizație să pună un credențial în EUDI Wallet al cuiva, vrea să știe că portofelul este autentic și că ce stochează el nu poate fi copiat în afară. O Wallet Unit Attestation este modul în care portofelul dovedește asta. Nu este un singur document, ci două, ambele semnate de furnizorul portofelului: unul despre aplicație, unul despre stocarea securizată de pe dispozitiv.
Problema pe care o rezolvă o WUA
O organizație care urmează să emită un credențial de identitate sau de înregistrare a firmei nu are nicio modalitate proprie de a deosebi un portofel certificat de o aplicație modificată sau de un script care se dă drept portofel. Nu poate vedea nici dacă acel credențial pe care urmează să îl predea va fi legat de acel dispozitiv sau va ajunge undeva de unde poate fi pur și simplu copiat.
WUA acoperă ambele lipsuri făcând pe altcineva să răspundă pentru portofel. Furnizorul portofelului garantează pentru aplicație și pentru stocarea securizată și este supravegheat și listat la nivel european pentru asta. Emitentul verifică ambele declarații înainte de emitere și continuă să verifice după aceea, ca să poată retrage ce a emis dacă portofelul se dovedește ulterior compromis.
O WUA este folosită doar în timpul preluării unui credențial. Un portofel nu are voie să arate una unei firme care acceptă un credențial, ceea ce ține detaliile despre telefonul și portofelul deținătorului în afara tranzacțiilor de zi cu zi.
Actorii și cine are încredere în cine
Sunt implicate cinci părți, iar doar patru dintre ele ating vreodată o WUA. Stocarea securizată de pe dispozitiv păzește secretul, furnizorul de portofele garantează pentru aplicație și pentru acea stocare, iar emitentul se bazează pe asta în loc să evalueze el însuși fiecare portofel.
Furnizor de portofel
Garantează pentru aplicație și pentru stocarea securizată din spatele ei și menține ambele declarații la zi
Instanță de portofel
Arată ambele declarații emitentului când preia un credențial și folosește de fiecare dată o pereche nouă
Stocare securizată pe dispozitiv
Păstrează secretul care leagă un credențial de acest unic portofel și nu îl lasă niciodată să iasă
PID Provider sau Attestation Provider
Verifică ambele declarații înainte de emitere și continuă să verifice după aceea, ca să poată retrage ce a emis
Relying Party
Nu primește niciodată o WUA. Verifică credențialul în sine și dacă mai este valabil
Emitenții pot avea încredere într-o WUA pentru că furnizorul de portofele care a semnat-o apare pe Trusted List oficială a UE pentru furnizorii de portofele și pentru că produsul portofel în sine a fost certificat de un organism de evaluare independent.
Două declarații sub un singur nume
Specificația europeană împarte atestarea în două pentru că aplicația și stocarea securizată sunt lucruri diferite. Sunt verificate de părți diferite și sunt retrase din motive diferite: una când un telefon se pierde, cealaltă când o întreagă clasă de dispozitive se dovedește slabă.
Wallet Instance Attestation (WIA)
- Garantează pentru
- Aplicația de portofel în sine: o copie autentică, nemodificată, a unui produs certificat
- Valabilitate
- Mai puțin de 24 de ore
- Poate fi retrasă când
- Această instalare este raportată ca pierdută, furată sau modificată
- Necesar pentru
- Fiecare credențial pe care îl preia portofelul
Key Attestation (KA)
- Garantează pentru
- Stocarea securizată de pe dispozitiv și cât de bine rezistă la atacuri
- Valabilitate
- Stabilită de furnizorul de portofele și poate fi mai lungă decât a unei WIA
- Poate fi retrasă când
- Se descoperă o slăbiciune în acel tip de stocare securizată
- Necesar pentru
- Credențiale legate de dispozitiv, ceea ce include orice PID
Ambele sunt semnate de furnizorul de portofele și ambele sunt folosite o dată, apoi aruncate. Este intenționat: înseamnă că doi emitenți nu pot compara informațiile și deduce că au de-a face cu același portofel.
Cum obține un portofel aceste declarații
Acest lucru se petrece în interiorul unui singur produs de portofel, deci fiecare furnizor îl face în felul său. Ce impun regulile este fix: furnizorul trebuie să se asigure că aplicația nu a fost modificată și că secretul se află într-adevăr în stocarea securizată pe care o indică. Majoritatea furnizorilor folosesc pentru asta verificările de integritate oferite deja de Google și Apple.
1. Instanță de portofel
Cere stocării securizate de pe dispozitiv un secret nou
2. Stocare securizată pe dispozitiv
Îl creează și returnează dovada de la dispozitiv că a fost creat acolo
3. Furnizor de portofel
Verifică dacă aplicația este autentică și dacă dovada este solidă, apoi semnează ambele declarații
4. Instanță de portofel
Păstrează un mic stoc de declarații noi și folosește una nouă pentru fiecare credențial pe care îl preia
Ciclul de viață al WUA
Aceste declarații sunt de scurtă durată și folosite o singură dată, în mod intenționat. Posibilitatea de a le retrage le supraviețuiește însă cu mult. Primele trei etape de mai jos sunt de rutină; a patra se produce doar când ceva nu merge bine.
1. Verificate
Furnizorul de portofele semnează cele două declarații abia după ce a verificat aplicația și stocarea securizată
2. Folosite o dată
Fiecare declarație servește preluării unui singur credențial, așa că portofelul preia continuu altele noi
3. Verificate din nou
Un furnizor de PID verifică din nou cel puțin o dată pe zi și retrage PID dacă oricare dintre declarații a fost retrasă
4. Retrase
Doar când ceva nu merge bine: un telefon pierdut sau furat ori o slăbiciune descoperită într-un tip de stocare securizată
În afara ecosistemului EUDI Wallet, unii furnizori de portofele emit declarații similare care pur și simplu expiră și nu pot fi retrase niciodată. Regulile europene nu permit acest lucru. Deși declarația despre aplicație trăiește mai puțin de o zi, ambele declarații trebuie să rămână retrageabile încă cel puțin 31 de zile, pentru că asta îi permite unui emitent să recupereze un credențial mult după ce a fost emis.
WUA, WIA și KA: ce înseamnă fiecare termen
Terminologia s-a schimbat pe măsură ce specificațiile s-au maturizat, așa că articolele mai vechi folosesc aceste trei abrevieri altfel decât se folosesc astăzi. Aceasta este semnificația actuală.
WUA
Termenul umbrelă pentru celelalte două declarații, arătat doar emitenților
WIA
Declarația despre aplicația de portofel în sine
KA
Declarația despre stocarea securizată de pe dispozitiv
Ce înseamnă asta pentru dumneavoastră
Emitent
Puteți emite către portofele pe care nu le-ați evaluat niciodată, pentru că un furnizor supravegheat răspunde pentru fiecare, iar dacă asta se schimbă puteți retrage ce ați emis.
Verificator
Nimic în plus de făcut. Munca se petrece înainte ca acel credențial să ajungă la dumneavoastră, iar un portofel compromis își pierde credențialele în loc să fie semnalat la ghișeul dumneavoastră.
Deținător de portofel
Pierderea telefonului nu înseamnă predarea credențialelor dumneavoastră, iar firmelor cărora le arătați credențiale nu li se dezvăluie nimic despre portofelul dumneavoastră.
Aprofundare tehnică
Această pagină explică ce face tehnologia și pe cine afectează. Documentația noastră pentru dezvoltatori acoperă implementarea propriu-zisă: mesajele, câmpurile și exemplele detaliate de care are nevoie o echipă de integrare.
Citiți documentația tehnicăTermeni înrudiți
Întrebări frecvente
Este o WUA același lucru cu un Wallet Instance Attestation?
Nu. De la versiunea 1.5 a TS3, WUA este termenul umbrelă pentru două declarații: Wallet Instance Attestation (WIA), despre aplicație, și Key Attestation (KA), despre stocarea securizată de pe dispozitiv. Articolele mai vechi folosesc WUA pentru ceea ce se numește acum Key Attestation, motiv pentru care termenii sunt adesea confundați.
Vede vreodată un verificator WUA?
Nu, și nici nu are voie să ceară una. Un portofel poate arăta aceste declarații unui emitent în timp ce preia un credențial, niciodată unei firme care acceptă unul. Verificatorul verifică în schimb credențialul: cine l-a semnat, dacă aparține acestui portofel și dacă mai este valabil. Dacă un portofel este compromis, emitentul retrage credențialele emise către el, iar verificatorul vede asta prin credențialul în sine.
Cât timp este valabilă o WUA?
Declarația despre aplicație trăiește mai puțin de 24 de ore; cea despre stocarea securizată poate trăi mai mult. Separat de asta, furnizorul de portofele promite să raporteze în continuare dacă fiecare dintre ele a fost retrasă timp de încă cel puțin 31 de zile, pentru că emitenții se bazează pe asta mult după ce declarația în sine a expirat.
Ce se întâmplă dacă un portofel este pierdut sau compromis?
Furnizorul de portofele marchează acea instalare ca retrasă sau, când se dovedește slab un întreg tip de stocare securizată, îl marchează pe acesta. Emitenții verifică din nou cel puțin o dată pe zi și retrag credențialele emise către ea. Ceea ce îl protejează pe deținător este acea retragere, nu expirarea declarației.
Îi permite asta furnizorului de portofele să vadă ce fac cu portofelul meu?
Nu. Declarațiile spun ce fel de portofel este acesta, nu cine îl deține, iar pentru fiecare credențial preluat se folosește una nouă, deci un emitent nu poate recunoaște un portofel care revine. Furnizorul de portofele le semnează în avans și nu este implicat în schimbul dintre portofel și emitent.
Surse
Această pagină are caracter informativ și nu constituie consultanță juridică. Pentru îndrumări oficiale, consultați direct Comisia Europeană și OpenID Foundation.