WUA vysvetlené: ako sa peňaženka preukazuje vydavateľovi
Skôr než organizácia vloží kredenciál do niečej EUDI Wallet, chce vedieť, že peňaženka je pravá a že to, čo ukladá, nemožno skopírovať von. Wallet Unit Attestation je spôsob, akým to peňaženka preukáže. Nie je to jeden dokument, ale dva, oba podpísané poskytovateľom peňaženky: jeden o aplikácii, druhý o bezpečnom úložisku v zariadení.
Aký problém WUA rieši
Organizácia, ktorá sa chystá vydať kredenciál o totožnosti alebo o registrácii spoločnosti, nemá vlastný spôsob, ako odlíšiť certifikovanú peňaženku od pozmenenej aplikácie alebo od skriptu, ktorý sa za ňu vydáva. Nevidí ani to, či bude kredenciál, ktorý sa chystá odovzdať, naviazaný na dané zariadenie, alebo bude ležať niekde, odkiaľ sa dá jednoducho skopírovať.
WUA obe medzery uzatvára tým, že za to ručí niekto iný. Poskytovateľ peňaženky ručí za aplikáciu aj za bezpečné úložisko a je za to dohliadaný a uvedený na európskej úrovni. Vydavateľ obe vyhlásenia pred vydaním skontroluje a kontroluje aj potom, takže môže stiahnuť, čo vydal, ak sa neskôr ukáže, že peňaženka bola napadnutá.
WUA sa používa výhradne pri vyzdvihovaní kredenciálu. Peňaženka ho nesmie ukázať podniku, ktorý kredenciál prijíma, čo drží údaje o telefóne a peňaženke držiteľa mimo bežných transakcií.
Aktéri a kto komu dôveruje
Zapojených je päť strán a len štyri z nich vôbec pracujú s WUA. Bezpečné úložisko v zariadení stráži tajomstvo, poskytovateľ peňaženky ručí za aplikáciu aj za toto úložisko a vydavateľ sa na to spolieha namiesto toho, aby každú peňaženku posudzoval sám.
Poskytovateľ peňaženky
Ručí za aplikáciu aj za bezpečné úložisko za ňou a obe vyhlásenia udržiava aktuálne
Jednotka peňaženky
Pri vyzdvihnutí kredenciálu ukáže vydavateľovi obe vyhlásenia a zakaždým použije novú dvojicu
Bezpečné úložisko v zariadení
Drží tajomstvo, ktoré viaže kredenciál na túto jednu peňaženku, a nikdy ho nepustí von
PID Provider alebo Attestation Provider
Pred vydaním skontroluje obe vyhlásenia a kontroluje aj potom, aby mohol stiahnuť, čo vydal
Relying Party
Nikdy nedostane WUA. Kontroluje samotný kredenciál a to, či je stále platný
Vydavatelia môžu WUA dôverovať, pretože poskytovateľ peňaženky, ktorý ju podpísal, je na oficiálnom Trusted List EÚ pre poskytovateľov peňaženiek a samotný produkt peňaženky bol certifikovaný nezávislým posudzovacím orgánom.
Dve vyhlásenia pod jedným názvom
Európska špecifikácia delí atestáciu na dve časti, pretože aplikácia a bezpečné úložisko sú rozdielne veci. Kontrolujú ich rôzne strany a sťahujú sa z rôznych dôvodov: jedno pri strate telefónu, druhé vtedy, keď sa ukáže ako slabá celá trieda zariadení.
Wallet Instance Attestation (WIA)
- Ručí za
- Samotná aplikácia peňaženky: pravá, nezmenená kópia certifikovaného produktu
- Platnosť
- Menej ako 24 hodín
- Možno stiahnuť, keď
- Táto inštalácia je nahlásená ako stratená, ukradnutá alebo pozmenená
- Potrebná pre
- Každý kredenciál, ktorý peňaženka vyzdvihne
Key Attestation (KA)
- Ručí za
- Bezpečné úložisko v zariadení a to, ako dobre odoláva útoku
- Platnosť
- Určuje ho poskytovateľ peňaženky a môže byť dlhší než pri WIA
- Možno stiahnuť, keď
- V danom druhu bezpečného úložiska sa nájde slabina
- Potrebná pre
- Kredenciály viazané na zariadenie, čo zahŕňa každý PID
Obe podpisuje poskytovateľ peňaženky a obe sa použijú raz a potom sa zahodia. Je to zámerné: znamená to, že dvaja vydavatelia si nemôžu porovnať poznámky a zistiť, že majú do činenia s tou istou peňaženkou.
Ako peňaženka tieto vyhlásenia získava
Deje sa to vnútri jedného produktu peňaženky, takže každý poskytovateľ to robí po svojom. Pevne dané je to, čo vyžadujú pravidlá: poskytovateľ sa musí presvedčiť, že aplikácia nebola pozmenená a že tajomstvo naozaj sedí v bezpečnom úložisku, ktoré uvádza. Väčšina poskytovateľov na to používa kontroly integrity, ktoré už ponúkajú Google a Apple.
1. Jednotka peňaženky
Požiada bezpečné úložisko v zariadení o nové tajomstvo
2. Bezpečné úložisko v zariadení
Vytvorí ho a vráti dôkaz zo zariadenia, že bolo vytvorené práve tam
3. Poskytovateľ peňaženky
Skontroluje, či je aplikácia pravá a či je dôkaz v poriadku, a potom podpíše obe vyhlásenia
4. Jednotka peňaženky
Udržiava malú zásobu čerstvých vyhlásení a pre každý vyzdvihnutý kredenciál použije nové
Životný cyklus WUA
Tieto vyhlásenia sú zámerne krátkodobé a použijú sa raz. Možnosť stiahnuť ich však prežíva o poriadny kus dlhšie. Prvé tri fázy nižšie sú bežné; štvrtá nastane len vtedy, keď sa niečo pokazí.
1. Skontrolované
Poskytovateľ peňaženky podpíše obe vyhlásenia až po tom, čo skontroloval aplikáciu a bezpečné úložisko
2. Použité raz
Každé vyhlásenie slúži jednému vyzdvihnutiu kredenciálu, takže peňaženka si stále sťahuje nové
3. Opätovne kontrolované
Poskytovateľ PID kontroluje aspoň raz denne a stiahne PID, ak bolo ktorékoľvek z vyhlásení stiahnuté
4. Stiahnuté
Len keď sa niečo pokazí: stratený alebo ukradnutý telefón, prípadne slabina nájdená v určitom druhu bezpečného úložiska
Mimo ekosystému EUDI Wallet niektorí poskytovatelia peňaženiek vydávajú podobné vyhlásenia, ktorým platnosť jednoducho uplynie a nikdy sa nedajú stiahnuť. Európske pravidlá to nedovoľujú. Hoci vyhlásenie o aplikácii žije menej než deň, obe vyhlásenia musia zostať stiahnuteľné ešte aspoň 31 dní, pretože práve to umožňuje vydavateľovi vziať kredenciál späť dlho po jeho vydaní.
WUA, WIA a KA: čo ktorý pojem znamená
Terminológia sa počas dozrievania špecifikácií menila, takže staršie články používajú tieto tri skratky inak, než sa používajú dnes. Toto je ich súčasný význam.
WUA
Zastrešujúci pojem pre ostatné dve vyhlásenia, ukazuje sa len vydavateľom
WIA
Vyhlásenie o samotnej aplikácii peňaženky
KA
Vyhlásenie o bezpečnom úložisku v zariadení
Čo to znamená pre vás
Vydavateľ
Môžete vydávať do peňaženiek, ktoré ste nikdy neposudzovali, pretože za každú z nich ručí dohliadaný poskytovateľ a ak sa to zmení, môžete vydané kredenciály stiahnuť.
Overovateľ
Nič navyše netreba robiť. Práca prebehne skôr, než sa kredenciál vôbec dostane k vám, a napadnutá peňaženka o svoje kredenciály príde namiesto toho, aby bola označená pri vašom pulte.
Držiteľ peňaženky
Strata telefónu neznamená odovzdanie vašich kredenciálov a podnikom, ktorým kredenciály ukazujete, sa o vašej peňaženke nič neprezradí.
Technické prehĺbenie
Táto stránka vysvetľuje, čo daná technológia robí a koho sa týka. Naša vývojárska dokumentácia pokrýva samotnú implementáciu: správy, polia a podrobné príklady, ktoré integračný tím potrebuje.
Prečítať si technickú dokumentáciuSúvisiace pojmy
Často kladené otázky
Je WUA to isté ako Wallet Instance Attestation?
Nie. Od verzie 1.5 dokumentu TS3 je WUA zastrešujúcim pojmom pre dve vyhlásenia: Wallet Instance Attestation (WIA) o aplikácii a Key Attestation (KA) o bezpečnom úložisku v zariadení. Staršie články používajú WUA pre to, čo sa dnes volá Key Attestation, a preto sa tieto pojmy často zamieňajú.
Vidí overovateľ niekedy WUA?
Nie, a ani ho nesmie žiadať. Peňaženka smie tieto vyhlásenia ukázať vydavateľovi pri vyzdvihnutí kredenciálu, nikdy nie podniku, ktorý kredenciál prijíma. Overovateľ namiesto toho kontroluje samotný kredenciál: kto ho podpísal, či patrí tejto peňaženke a či je stále platný. Ak je peňaženka napadnutá, vydavateľ stiahne kredenciály, ktoré jej vydal, a overovateľ to uvidí cez samotný kredenciál.
Ako dlho je WUA platné?
Vyhlásenie o aplikácii žije menej než 24 hodín; to o bezpečnom úložisku môže žiť dlhšie. Nezávisle od toho poskytovateľ peňaženky sľubuje, že bude ešte aspoň 31 dní hlásiť, či niektoré z nich bolo stiahnuté, pretože vydavatelia sa na to spoliehajú dlho po tom, čo samotné vyhlásenie stratilo platnosť.
Čo sa stane, ak sa peňaženka stratí alebo bude napadnutá?
Poskytovateľ peňaženky označí danú inštaláciu za stiahnutú, prípadne, ak sa ukáže ako slabý celý druh bezpečného úložiska, označí ten. Vydavatelia kontrolujú aspoň raz denne a stiahnu kredenciály, ktoré jej vydali. Držiteľa chráni práve toto stiahnutie, nie uplynutie platnosti vyhlásenia.
Umožňuje to poskytovateľovi peňaženky vidieť, čo so svojou peňaženkou robím?
Nie. Vyhlásenia hovoria, o aký druh peňaženky ide, nie kto ju vlastní, a pre každý vyzdvihnutý kredenciál sa použije nové, takže vydavateľ podľa nich nedokáže rozpoznať vracajúcu sa peňaženku. Poskytovateľ peňaženky ich podpisuje vopred a do výmeny medzi peňaženkou a vydavateľom nezasahuje.
Zdroje
Táto stránka má informatívny charakter a nepredstavuje právne poradenstvo. Pre záväzné usmernenie sa obráťte priamo na Európsku komisiu a OpenID Foundation.