Čo sú overiteľné poverenia?
Overiteľné poverenie je digitálny certifikát, ktorý si môže skontrolovať každý bez toho, aby volal organizácii, ktorá ho vydala. Vydavateľ ho raz podpíše, osoba alebo firma, ktorej patrí, si ho uchováva, a každý, kto ho dostane, si môže na mieste potvrdiť, že je pravý a nezmenený. Práve tento posun, od opytovania sa zdroja ku kontrole podpisu, ho odlišuje od PDF alebo papierového dokumentu.
Čo je overiteľné poverenie
Overiteľné poverenie je vyhlásenie, ktoré jedna organizácia robí o osobe alebo spoločnosti, zapísané vo forme, ktorú dokáže overiť počítač. Samotné vyhlásenie je bežné: táto osoba zložila túto skúšku, táto spoločnosť je registrovaná na tejto adrese, tento vodič má tento vodičský preukaz. Novinkou je dôkaz, ktorý ho sprevádza, digitálny podpis vytvorený organizáciou, ktorá poverenie vydala.
Keďže podpis pokrýva presný obsah vyhlásenia, ktokoľvek ho prijme, dokáže zistiť dve veci bez toho, aby niekoho kontaktoval. Vie, ktorá organizácia vyhlásenie vydala, a vie, že sa v ňom odvtedy nič nezmenilo. Dôkaz pravosti sa nachádza priamo v poverení, nie v telefonáte či overovaní inde.
To mení, kto vykonáva prácu. Dnes strana, ktorá chce istotu, buď dôveruje dokumentu, ktorý má pred sebou, alebo si vybuduje integráciu so zdrojom údajov a pýta sa ho zakaždým. Pri overiteľnom poverení vydavateľ svoju prácu vykoná raz, v momente podpisu, a každá následná kontrola trvá zlomok sekundy a nezapája do seba nikoho ďalšieho.
Nič z toho nevyžaduje, aby sa osoba alebo spoločnosť vzdala kontroly. Poverenie majú u seba, sami rozhodujú, kto ho smie vidieť, a vo väčšine prípadov si môžu vybrať, že odhalia iba tú časť, ktorú si daná otázka skutočne vyžaduje.
Tri roly: vydavateľ, držiteľ a overovateľ
Pri každom overiteľnom poverení vystupujú tie isté tri strany. Vydavateľ uvedie niečo, o čom už vie, že je to pravda, a podpíše to. Držiteľ toto vyjadrenie dostane a uchováva ho. Overovateľ si ho vyžiada, skontroluje podpis a podľa výsledku koná.
Vydavateľ
Organizácia, ktorá daný fakt už má, napríklad verejný register, škola, banka alebo štátny orgán. Vyjadrenie raz podpíše a už doň nemusí byť znova zapojená.
Držiteľ
Osoba alebo firma, o ktorej poverenie hovorí. Uchováva ho v peňaženke, v telefóne alebo ako Business Wallet v prípade organizácie, a rozhoduje, kto ho smie vidieť.
Overovateľ
Každý, kto potrebuje dôkaz, napríklad zamestnávateľ, online trh alebo poskytovateľ pôžičiek. Podpis skontroluje voči zverejnenému kľúču vydavateľa a odpoveď má v priebehu sekúnd.
Toto rozdelenie je dôležité, pretože odstraňuje priame spojenie medzi vydavateľom a overovateľom. V staršom modeli sa overovateľ, ktorý chcel istotu, musel vrátiť k zdroju, čo znamenalo dohodu, integráciu a trvalý vzťah s každým vydavateľom, na ktorom mu záležalo. V modeli poverení nesie dôkaz medzi nimi držiteľ, takže vydavateľ a overovateľ sa nikdy nemusia stretnúť.
Držiteľom nie je vždy osoba. Poverenia môže mať aj organizácia, na to slúži Business Wallet. Prijíma poverenia o spoločnosti, uchováva ich a predkladá ich protistranám vtedy, keď o to požiadajú vaše vlastné systémy, namiesto toho, aby niekto stiahol súbor a priložil ho k e-mailu.
Známym príkladom je potvrdenie o bezúhonnosti, ktoré mnohí zamestnávatelia vyžadujú pred prijatím do práce. Dnes si ho žiadateľ vyžiada, čaká, kým mu príde, naskenuje ho a e-mailom pošle PDF, ktorému zamestnávateľ musí jednoducho veriť. Vydané ako overiteľné poverenie príde priamo do peňaženky žiadateľa a zamestnávateľ ho skontroluje v momente, keď je predložené.
Životný cyklus poverenia, od vydania po skončenie platnosti
Vezmime si konkrétny prípad. Dodávateľ musí novému klientovi preukázať, že jeho pracovníci majú certifikát na prácu vo výškach, čo školiaca inštitúcia už vie a eviduje. Inštitúcia vystupuje ako vydavateľ: vezme túto skutočnosť zo svojej vlastnej evidencie, zabalí ju ako poverenie a podpíše ju.
Poverenie sa potom ponúkne držiteľovi, zvyčajne naskenovaním kódu alebo kliknutím na odkaz z portálu, kde je osoba už prihlásená. Dostane sa do jej peňaženky, na telefón v prípade jednotlivca alebo do Business Wallet v prípade spoločnosti. Od tohto momentu je uložené na strane držiteľa, nie v centrálnej databáze, ktorú musí kontaktovať každý ostatný.
Keď klient žiada o dôkaz, v skutočnosti nežiada dokument. Kladie otázku: má táto osoba certifikát na prácu vo výškach a je tento certifikát dnes ešte platný. Peňaženka ukáže držiteľovi presne, čo sa žiada, držiteľ to schváli, a z peňaženky odídu iba požadované skutočnosti.
Overovateľ potom skontroluje podpis voči zverejnenému kľúču školiacej inštitúcie, potvrdí, že poverenie naozaj patrí osobe, ktorá ho predkladá, a potvrdí, že jeho platnosť neuplynula. Všetky tri kontroly prebiehajú na strane overovateľa v čase, ktorý trvá obnovenie stránky.
Poverenia nemajú platiť večne. Väčšina má dátum skončenia platnosti, takže certifikát, ktorého platnosť uplynie po troch rokoch, jednoducho prestane byť overiteľný. Keď treba niečo odvolať skôr, napríklad preto, že licencia bola pozastavená alebo zamestnanec odišiel, vydavateľ to zverejní v zozname stavov, ktorý overovatelia kontrolujú počas overovania. Zoznam pokrýva mnoho poverení naraz, takže jeho kontrola neprezradí, ktoré poverenie sa práve overovalo.
Ako overovateľ zistí, že vydavateľ je pravý
Podpis dokazuje, že vyhlásenie podpísal ten, kto vlastní konkrétny kľúč. Sám osebe nehovorí, že kľúč patrí národnému úradu pre vozidlá, a nie niekomu, kto si minulý týždeň zaregistroval podobne znejúci názov. Odpoveď na túto druhú otázku je úlohou dôveryhodnej infraštruktúry.
Najjednoduchšou odpoveďou je zverejnený zoznam. Členské štáty Európskej únie už vedú zoznamy dôveryhodnosti strán oprávnených poskytovať regulované dôveryhodné služby, a rovnaká myšlienka sa teraz rozširuje aj na peňaženky a poverenia, ktoré nesú. Overovateľ, ktorý nájde vydavateľa v príslušnom zozname, vie, že má do činenia so stranou, ktorá bola prijatá po dohľade, nielen s funkčným kľúčom.
V rámci odvetvia rovnakú úlohu často zohráva register dôvery. Sieť univerzít, skupina dodávateľov energie alebo odvetvové združenie sa dohodnú, kto smie vydávať aké poverenia, a tento záznam uchovávajú niekde, kde ho môže čítať každý člen. Overovateľ najprv skontroluje podpis a potom skontroluje register, aby zistil, či je tento vydavateľ pre tento druh vyhlásenia uznaný.
Okolo oboch sa nachádza rámec dôvery: pravidlá, ktoré určujú, čo musí byť pravda predtým, ako je vydavateľ prijatý, ako sa overovali totožnosti, ako dlho poverenia zostávajú platné a čo sa stane, keď niečo zlyhá. Ide prevažne o právnu a organizačnú prácu, nie o technológiu, a zvyčajne práve na tejto časti sa dohoda dosahuje najdlhšie. Je to zároveň časť, vďaka ktorej poverenie znamená to isté pre každého, kto ho prijme.
EUDI Wallet a eIDAS 2.0
Overiteľné poverenia existujú ako štandard už roky. Dôvodom, prečo sa teraz zabudovávajú do reálnych systémov, je európske právo. Revidované nariadenie eIDAS, zvyčajne nazývané eIDAS 2.0, zaväzuje každý členský štát, aby svojim občanom a podnikom ponúkol európsku digitálnu peňaženku totožnosti (EUDI Wallet), a zaväzuje dlhý zoznam organizácií, aby ju akceptovali.
Časový harmonogram je časťou, s ktorou sa oplatí počítať pri plánovaní. Členské štáty musia sprístupniť aspoň jednu peňaženku okolo konca roku 2026 a od roku 2027 musia veľké online platformy a regulované odvetvia, ako je bankovníctvo, akceptovať ju všade tam, kde už vyžadujú silné overenie totožnosti používateľa. Pre väčšinu organizácií teda otázkou nie je, či peňaženky prídu, ale na ktorej strane pultu budú stáť.
Základom peňaženky sú osobné identifikačné údaje, PID. Ide o základnú množinu identity vydávanú v zodpovednosti členského štátu: kto ste, potvrdené na úrovni, akú používa samotný štát. Všetko ostatné je elektronické potvrdenie atribútov, EAA, čo je termín, ktorý nariadenie používa pre overiteľné poverenie o niečom inom, než je základná totožnosť, ako je členstvo, diplom alebo mandát konať za spoločnosť.
Potvrdenia majú rôzne stupne. Kvalifikované elektronické potvrdenie atribútov, QEAA, vydáva kvalifikovaný poskytovateľ dôveryhodných služieb pod dohľadom a má právnu váhu v celej Únii. Verejný orgán, ktorý je autentickým zdrojom danej skutočnosti, môže vydať potvrdenie verejného sektora s porovnateľným postavením. Bežné EAA je plne použiteľné a práve pri ňom väčšinou začína súkromné vydávanie, iba nemá rovnaké právne postavenie.
Prečo nie jednoducho PDF, papier alebo API?
Väčšina organizácií dnes dokazuje veci skenovanými dokumentmi, papierovými originálmi alebo samostatnou integráciou cez API s každým partnerom. Overiteľné poverenia nahrádzajú všetky tri jediným mechanizmom.
Oveľa ťažšie sa falšuje
PDF sa dá upraviť a papierový dokument presvedčivo skopírovať. Overiteľné poverenie nesie podpis nad svojím presným obsahom, takže akákoľvek zmena podpis poruší a kontrola okamžite zlyhá.
Zdieľajte menej, dokážte viac
Selektívne zverejňovanie umožňuje držiteľovi ukázať len tie údaje, na ktorých záleží, napríklad že niekto je dostatočne starý namiesto celého dátumu narodenia. Overovateľ dostane odpoveď, ktorú potrebuje, a zvyšok nikdy nezíska.
Výrazne menej manuálnych kontrol
Telefonovanie vydavateľovi, porovnávanie pečiatok a opätovné prepisovanie údajov úplne zmiznú. Kontrola prebieha automaticky, čo skracuje čas spracovania a odstraňuje celú triedu ľudských chýb.
Porovnanie s PDF je to, po ktorom siahne väčšina ľudí, a oplatí sa ho spresniť. Exportovaný alebo naskenovaný dokument môže byť úplne pravý, ale príjemca nemá prakticky žiadny spôsob, ako odlíšiť pravý dokument od starostlivého falzifikátu. V praxi sa teda prijíma na základe dôvery alebo sa potvrdzuje kontaktovaním vydavateľa. Práve tento telefonát je skutočnou nákladovou položkou, a je to presne to, čo poverenie odstraňuje.
Papier má rovnaký problém, a ešte jeden navyše: musí sa fyzicky prepraviť a mimo pracovnej doby ho vôbec nemožno overiť. Integrácia cez API problém dôvery skutočne rieši poriadne, no iba medzi dvoma stranami, ktoré sa dohodli, že ju vybudujú, a iba dovtedy, kým ju obe naďalej udržiavajú. Desať protistrán znamená desať projektov.
Bežné mylné predstavy
Prvou je, že overiteľné poverenia potrebujú blockchain. Nepotrebujú. Samotné poverenia sú podpísané vyhlásenia, ktoré uchováva osoba alebo spoločnosť, ktorú opisujú, a európsky ekosystém ich overuje voči bežným zverejneným kľúčom a zoznamom spravovaným štátom. Niektoré projekty síce ukladajú údaje registrov do distribuovaného registra, ale to je voľba, kde zverejniť zoznam, nie vlastnosť samotného poverenia.
Druhou je, že je to to isté ako pridať digitálny podpis na PDF. Podpísané PDF dokazuje, kto súbor podpísal a že nebol upravovaný, čo je naozaj užitočné, ale zostáva dokumentom určeným na čítanie človekom. Poverenie je súbor samostatných skutočností, na základe ktorých môže konať systém, držiteľ môže odhaliť iba jeho časť a má stav, ktorý môže vydavateľ odvolať. Podpísané PDF nemá ani jednu z týchto posledných troch vlastností.
Treťou je, že mobilný vodičský preukaz je niečo úplne iné. Mobilný vodičský preukaz, mDL, je overiteľné poverenie v ISO formáte nazývanom mdoc, navrhnutom tak, aby fungoval aj tvárou v tvár a bez pripojenia k sieti, čo je presne to, čo potrebuje kontrola pri ceste. Existuje popri formáte SD-JWT VC používanom pre väčšinu online prípadov, nie ako jeho konkurent, a jedna peňaženka môže obsahovať oba.
Poslednou je, že prijatie poverení znamená nahradiť to, čo už máte. V praxi zdrojové systémy zostávajú tam, kde sú. Vydávanie pridáva podpísaný výstup vedľa záznamu, ktorý už vediete, a overovanie pridáva kontrolu vedľa procesu príjmu, ktorý už používate. Zmena nastáva na okrajoch, a preto môže byť prvý projekt malý.
Kde sa overiteľné poverenia používajú
Rovnaký vzorec sa opakuje vo všetkých odvetviach: dôveryhodný zdroj daný fakt už má a mnoho ďalších strán sa naň potrebuje spoľahnúť.
Verejná správa
Povolenia, registrácie a potvrdenia o občanoch vydané raz a opakovane použiteľné v rámci úradov aj cez hranice.
Financie
Kontroly pri onboardingu, firemné údaje a potvrdenie príjmu, overené bez zbierania hromady skenovaných dokumentov.
Zdravotníctvo
Profesijné registrácie a kvalifikácie zamestnancov, skontrolovateľné každým zamestnávateľom alebo inštitúciou, ktorá ich potrebuje.
Dodávateľský reťazec
Certifikáty, údaje o produktoch a poverenia dodávateľov, ktoré putujú s tovarom namiesto e-mailovej prílohy.
Spoločné pre všetky tieto prípady je, že samotná skutočnosť nie je sporná, je len nákladné ju dokázať. Niekto ju už pozná, v registri, v spise študenta alebo v certifikačnej databáze, a reťaz skenov, e-mailov a manuálnych kontrol existuje výlučne na to, aby sa táto informácia dostala k tomu, kto ju potrebuje. Kandidátom je akýkoľvek proces s takouto podobou.
Štandardy v krátkosti
Overiteľné poverenia nie sú produktom jedného dodávateľa. Ich zápis a čítanie definuje niekoľko otvorených štandardov, a práve preto môže poverenie od jedného vydavateľa fungovať s overovateľom, ktorý s tým vydavateľom nikdy predtým nemal dočinenia.
W3C VC
Dátový model W3C, ktorý určuje, čo poverenie obsahuje: tvrdenia, kto ho vydal, ako dlho je platné a dôkaz, ktorý to všetko spája.
SD-JWT VC
Kompaktný formát postavený na podpísaných tokenoch, so selektívnym zverejňovaním zabudovaným už v návrhu. Je to formát, na ktorom sa zjednotil európsky ekosystém peňaženiek.
mdoc
Formát ISO používaný pre mobilné dokumenty, ako je mobilný vodičský preukaz, navrhnutý tak, aby fungoval osobne a offline aj online.
V každom rozhovore na túto tému sa rýchlo objavia ešte dva ďalšie názvy, a oba sa týkajú prenosu, nie obsahu. OpenID4VCI opisuje, ako sa poverenie dostane od vydavateľa do peňaženky, a OpenID4VP opisuje, ako ho peňaženka predkladá overovateľovi. Nemusíte poznať ani jedno z nich do detailu, ale pomáha vedieť, že formát a spôsob prenosu sú samostatné rozhodnutia.
Nemusíte sa medzi nimi rozhodovať dopredu. Platforma, ktorá podporuje príslušné formáty, môže tie isté základné údaje vydať v tom, ktorý daný ekosystém očakáva.
Ako začať: ako vyzerá prvý pilotný projekt
Rozumný prvý projekt zahŕňa jedno poverenie, jedného vydavateľa a jedného overovateľa a všetko ostatné ponecháva bez zmeny. Vyberte si skutočnosť, ktorú vaša organizácia už má a na ktorú sa už pýtajú, kde je súčasným procesom sken, e-mail alebo telefonát. Dobre fungujú členstvo, potvrdenie zamestnania, certifikát alebo mandát konať v mene spoločnosti.
To, čo sa vyžaduje od organizácie, je menej technické, než väčšina tímov očakáva. Potrebujete vlastníka údajov, ktorý dokáže povedať, čo poverenie tvrdí a kedy to už neplatí, rozhodnutie o tom, ako dlho zostáva platné a ako sa odvoláva, a jednu integráciu so systémom, ktorý dané údaje už uchováva. Podpisovanie, interakciu s peňaženkou a formáty zabezpečuje platforma.
Časť, ktorá si vyžaduje skutočný čas, je dohoda okolo toho. Kto smie toto vydávať, kto to bude akceptovať a čo sa stane, ak sa ukáže, že je to nesprávne, sú organizačné otázky a je výhodné mať na ne odpoveď skôr, než sa čokoľvek postaví. Tam, kde už existuje odvetvový rámec dôvery, je väčšina tejto práce za vás už hotová.
Pilotný projekt tejto veľkosti zvyčajne trvá skôr týždne než štvrťroky a oplatí sa ho spustiť od začiatku do konca s malou skupinou skutočných používateľov namiesto toho, aby sa najprv postavila kompletná verzia. Ide o to zistiť, aký je proces, keď je kontrola okamžitá, pretože to zvyčajne zmení to, čo chcete stavať ďalej.
Ako Credenco podporuje vydávanie, uchovávanie a overovanie
Credenco pokrýva všetky tri roly, takže organizácia môže začať s tou, ktorú potrebuje dnes, a ďalšie pridať, keď sa jej použitie rozšíri.
Issuance Service
Premeňte údaje, ktoré vaša organizácia už má, na podpísané poverenia a doručte ich do peňaženky držiteľa.
Holder Service
Prijímajte, uchovávajte a predkladajte poverenia v mene svojej organizácie v Business Wallet, riadené vašimi systémami namiesto ručnej práce.
Verification Service
Vyžiadajte si presne tie poverenia, ktoré potrebujete, a dostanete overenú odpoveď bez toho, aby ste budovali integráciu pre každého vydavateľa.
To, s ktorým z nich začnete, závisí od toho, kde sa nachádzate. Organizácia, ktorá vlastní údaje, na ktoré sa iné strany neustále pýtajú, začína vydávaním. Tá, ktorá trávi čas overovaním dokumentov od iných strán, začína overovaním. Uchovávanie sa stáva relevantným, len čo začnú prichádzať poverenia o vašej vlastnej spoločnosti, ktoré treba znova predložiť niekomu inému.
Často kladené otázky
Čo je overiteľné poverenie zrozumiteľne povedané?
Je to digitálne vyjadrenie, ktoré jedna organizácia urobila o osobe alebo firme a podpísala ho tak, aby si ho každý príjemca mohol skontrolovať. Predstavte si diplom, povolenie alebo výpis z obchodného registra, ktorý sám dokazuje svoju pravosť, bez toho, aby príjemca musel kontaktovať vydavateľa.
Čím sa líši od certifikátu v PDF?
PDF musíte jednoducho vziať na dôveru alebo si ho potvrdiť u vydavateľa telefonicky či e-mailom. Overiteľné poverenie sa v priebehu sekúnd skontroluje voči zverejnenému kľúču vydavateľa a akákoľvek zmena obsahu túto kontrolu pokazí.
Potrebujeme na ich používanie aplikáciu peňaženky?
Človek si poverenia zvyčajne odkladá do aplikácie peňaženky v telefóne. Organizácia namiesto toho používa Business Wallet, ktorý je službou, nie aplikáciou, takže poverenia môžu prijímať a predkladať vaše vlastné systémy.
Vidí vydavateľ, kde sa poverenie používa?
Nie. Overovateľ kontroluje podpis lokálne voči zverejnenému kľúčovému materiálu a platnosť poverenia zisťuje zo zverejneného zoznamu stavov, nie otázkou na to konkrétne poverenie. Vydavateľ sa preto nedozvie, kto čo overuje.
Čo sa stane, keď treba poverenie odvolať?
Vydavateľ zverejní odvolanie v zozname stavov, ktorý overovatelia kontrolujú pri každej kontrole, takže poverenie prestane byť platné. Zoznam pokrýva mnoho poverení naraz, čo bráni vydavateľovi zistiť, ktoré konkrétne poverenie sa práve overovalo.
Ako dlho trvá prvý projekt?
Pilotný projekt s jedným poverením, jedným vydavateľom a jedným overovateľom zvyčajne trvá niekoľko týždňov. Technická práca je nenáročná. Tempo zvyčajne určuje dohoda o tom, kto smie poverenie vydávať a kto ho bude akceptovať.
Súvisiace pojmy
Technický pohľad do hĺbky
Táto stránka zostáva na úrovni toho, čo overiteľné poverenie je a čo znamená pre vašu organizáciu. Detaily implementácie vrátane toho, ako vydať poverenie z vášho vlastného systému, nájdete v technickej dokumentácii. Prečítajte si technickú dokumentáciu
Táto stránka má informatívny charakter a nepredstavuje právne poradenstvo. Pre záväzné usmernenie sa obráťte priamo na Európsku komisiu a OpenID Foundation.