DCQL vysvetlené: ako overovateľ žiada od peňaženky presne to, čo potrebuje

Aký problém DCQL rieši

Náhradné riešenie: claim_sets

claim_sets uvádza skupiny id údajov v poradí preferencie. Peňaženka vráti prvú skupinu, ktorú dokáže úplne splniť z toho, čo držiteľ skutočne má, takže overovateľ nemusí posielať dve samostatné požiadavky pre presný a náhradný prípad.

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ],
      "claim_sets": [
        ["reg_no", "legal_name"],
        ["legal_name"]
      ]
    }
  ]
}

Overovateľ tu uprednostňuje registračné číslo spolu s obchodným menom, ale prijme aj samotné obchodné meno, ak osvedčenie držiteľa údaj o registračnom čísle neobsahuje.

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V."
}

Kombinovanie osvedčení: credential_sets

credential_sets funguje o úroveň vyššie ako claim_sets. Každá položka uvádza options, pričom každá možnosť je skupina id dopytov na osvedčenia. Peňaženka musí splniť jednu možnosť z každej povinnej položky, čím overovateľ získa logiku AND a OR naprieč osvedčeniami v jedinej požiadavke.

"credential_sets": [
  { "options": [["company_registration"]] },
  { "options": [["vat_registration"], ["bank_account"]] }
]

Príklad odpovede: registrácia a bankový účet

Čo peňaženka odošle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ],
    "bank_account": [
      "<issuer-signed JWT>~<disclosures>~<key binding JWT>"
    ]
  }
}

Údaje, ktoré overovateľ vidí po validácii

{
  "company_registration": {
    "vct": "urn:eudi:business:company-registration:1",
    "registration_number": "12345678",
    "legal_name": "Example Logistics B.V."
  },
  "bank_account": {
    "vct": "urn:eudi:business:bank-account:1",
    "iban": "NL91ABNA0417164300",
    "account_holder": "Example Logistics B.V."
  }
}

Držiteľ nemá osvedčenie o registrácii pre DPH, preto peňaženka zvolila druhú možnosť druhej sady. Nepoužité id dopytov, tu vat_registration, vo vp_token jednoducho chýbajú.

Iba dôveryhodní vydavatelia: trusted_authorities

trusted_authorities zužuje dopyt na osvedčenia, ktorých vydavateľa podporuje autorita, ktorej overovateľ dôveruje. Každá položka má typ a zoznam hodnôt: aki pre identifikátor kľúča autority, etsi_tl pre dôveryhodný zoznam ETSI alebo openid_federation pre kotvu dôvery federácie. Peňaženka ponúkne iba zodpovedajúce osvedčenia.

Príklad: registrácia od vydavateľa zo zoznamu

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "trusted_authorities": [
        {
          "type": "etsi_tl",
          "values": ["https://ec.europa.eu/tools/lotl/eu-lotl.xml"]
        }
      ],
      "claims": [
        { "id": "reg_no", "path": ["registration_number"] },
        { "id": "legal_name", "path": ["legal_name"] }
      ]
    }
  ]
}

Príklad odpovede: iba osvedčenie vydavateľa zo zoznamu

Čo peňaženka odošle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: registration_number>~<disclosure: legal_name>~<key binding JWT>"
    ]
  }
}

Údaje, ktoré overovateľ vidí po validácii

{
  "vct": "urn:eudi:business:company-registration:1",
  "registration_number": "12345678",
  "legal_name": "Example Logistics B.V."
}

Držiteľ mal aj registračné osvedčenie od vydavateľa mimo zoznamu, no peňaženka ho neponúkla. trusted_authorities je filter pre peňaženku, nie záruka: overovateľ pri validácii prezentácie aj tak sám skontroluje vydavateľa voči dôveryhodnému zoznamu.

Zhoda hodnoty: claims.values

Dopyt na údaj môže obsahovať values, zoznam reťazcov, celých čísel alebo logických hodnôt. Peňaženka vráti údaj iba vtedy, keď jeho typ a hodnota presne zodpovedajú jednej z nich, takže overovateľ môže overiť podmienku bez toho, aby najprv žiadal čokoľvek iné.

Príklad: iba spoločnosti registrované v Holandsku alebo Belgicku

{
  "credentials": [
    {
      "id": "company_registration",
      "format": "dc+sd-jwt",
      "meta": { "vct_values": ["urn:eudi:business:company-registration:1"] },
      "claims": [
        { "id": "legal_name", "path": ["legal_name"] },
        {
          "id": "reg_country",
          "path": ["registration_country"],
          "values": ["NL", "BE"]
        }
      ]
    }
  ]
}

Príklad odpovede: holandská spoločnosť

Čo peňaženka odošle

{
  "vp_token": {
    "company_registration": [
      "<issuer-signed JWT>~<disclosure: legal_name>~<disclosure: registration_country>~<key binding JWT>"
    ]
  }
}

Údaje, ktoré overovateľ vidí po validácii

{
  "vct": "urn:eudi:business:company-registration:1",
  "legal_name": "Example Logistics B.V.",
  "registration_country": "NL"
}

Osvedčenie nemeckej spoločnosti má registration_country "DE", preto dopyt nespĺňa a peňaženka zaň nemá čo vrátiť. Overovateľ by mal hodnotu aj tak skontrolovať vo validovaných údajoch a nespoliehať sa na filtrovanie v peňaženke.

Kde je DCQL dnes

• DCQL je definovaný priamo v špecifikácii OpenID4VP, nie v samostatnom dokumente, a je súčasťou návrhu odvtedy, čo bol mechanizmus zavedený ako náhrada skoršej závislosti požiadaviek OpenID4VP od DIF Presentation Exchange.
• EUDI Wallet Architecture and Reference Framework určuje OpenID4VP ako prezentačný protokol a s ním DCQL ako dopytovací mechanizmus, ktorý majú spoliehajúce sa strany a peňaženky v ekosystéme podporovať.
• Referenčné implementácie peňaženiek a overovateľov v programe EUDI Wallet Reference Implementation sa zjednotili na DCQL, preto by nové integrácie firemných peňaženiek postavené dnes na OpenID4VP mali ako formát dopytov pre prezentačné požiadavky počítať s DCQL, nie s Presentation Exchange.

Často kladené otázky

Táto stránka má informatívny charakter a nepredstavuje právne poradenstvo. Záväzné informácie získate priamo od OpenID Foundation a Európskej komisie.