Vysvetlenie vydávania poverení OpenID4VCI: od ponuky po prijaté poverenie

Celý životný cyklus ponuky poverenia

Špecifikácia nedefinuje pomenované stavy, ale tok iniciovaný vydavateľom, v ktorom sa poverenie vydá okamžite, sa najľahšie sleduje ako postupnosť nižšie. Každý krok môže zlyhať svojím vlastným spôsobom a implementácia peňaženky musí zvládnuť tieto cesty, nielen tú úspešnú.

2. Zisťovanie metadát vydavateľa

Pred akoukoľvek žiadosťou si peňaženka načíta metadáta vydavateľa, aby zistila, čo obsahuje roadworthiness_certificate a ktoré endpointy má volať. Metadáta neuvádzajú žiadny samostatný autorizačný server, takže vydavateľ je svojím vlastným autorizačným serverom, a peňaženka si prečíta token endpoint z metadát tohto servera.

Metadáta vydavateľa poverení (výňatok)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metadáta autorizačného servera (výňatok), z /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Dôkaz vlastníctva

Keďže metadáta uvádzajú nonce_endpoint, peňaženka si tam najprv vyžiada čerstvý c_nonce. Následne dokáže, že vlastní súkromný kľúč, na ktorý bude poverenie viazané, tým, že podpíše proof JWT nad identifikátorom vydavateľa a týmto c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Odpoveď

{
  "c_nonce": "fi-nonce-77aa"
}

Peňaženka teraz zostaví proof JWT z dvoch JSON objektov, hlavičky a payloadu, a podpíše ich súkromným kľúčom, na ktorý bude poverenie viazané.

Hlavička: čo je tento JWT a ktorý kľúč ho podpísal

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: označuje toto ako OpenID4VCI key proof, takže sa nedá zameniť s iným typom JWT
• alg: podpisovací algoritmus, jeden z tých, ktoré vydavateľ uviedol v proof_signing_alg_values_supported
• jwk: verejný kľúč, na ktorý bude poverenie viazané; vydavateľ voči nemu overí podpis

Payload: pre koho je dôkaz určený a kedy vznikol

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: identifikátor vydavateľa, takže dôkaz sa nedá znovu použiť u iného vydavateľa
• iat: čas vytvorenia dôkazu, v sekundách od roku 1970
• nonce: c_nonce z nonce endpointu, ktorý dokazuje, že dôkaz je čerstvý

Podpísaný výsledok

Hlavička a payload sú každý zakódovaný v base64url a spojené bodkou. Peňaženka podpíše tento reťazec svojím súkromným kľúčom a pripojí base64url zakódovaný podpis za druhú bodku. Výsledný reťazec je proof JWT, ktorý peňaženka odošle v žiadosti o poverenie v kroku 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Keď poverenie ešte nie je pripravené: odložené vydanie

Vyššie uvedený príklad predpokladá, že výsledok kontroly je už konečný. Ak namiesto toho orgán technickej kontroly musí hraničný výsledok postúpiť skúsenejšiemu inšpektorovi, credential endpoint nemôže poverenie vrátiť hneď, takže vydanie odloží.

Odložená odpoveď z /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Opakované volanie /deferred, kým nie je pripravené

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Súvisiace pojmy

Zdroje

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework