Izdaja poverilnic OpenID4VCI pojasnjena: od ponudbe do sprejete poverilnice

Celoten življenjski cikel ponudbe poverilnice

Specifikacija ne določa poimenovanih stanj, vendar je tok, ki ga sproži izdajatelj in pri katerem je poverilnica izdana takoj, najlažje slediti kot spodnje zaporedje. Vsak korak lahko spodleti na svoj način, izvedba denarnice pa mora obravnavati tudi te poti, ne le uspešne.

2. Odkrivanje metapodatkov izdajatelja

Preden karkoli zahteva, denarnica pridobi metapodatke izdajatelja, da izve, kaj vsebuje roadworthiness_certificate in katere končne točke naj kliče. Metapodatki ne navajajo ločenih avtorizacijskih strežnikov, zato je izdajatelj svoj lasten avtorizacijski strežnik, denarnica pa tokensko končno točko prebere iz metapodatkov tega strežnika.

Metapodatki izdajatelja poverilnic (izvleček)

{
  "credential_issuer": "https://issuer.fleetinspect.example",
  "nonce_endpoint": "https://issuer.fleetinspect.example/nonce",
  "credential_endpoint": "https://issuer.fleetinspect.example/credential",
  "deferred_credential_endpoint": "https://issuer.fleetinspect.example/deferred",
  "notification_endpoint": "https://issuer.fleetinspect.example/notify",
  "credential_configurations_supported": {
    "roadworthiness_certificate": {
      "format": "dc+sd-jwt",
      "vct": "https://fleetinspect.example/vct/roadworthiness",
      "cryptographic_binding_methods_supported": ["jwk"],
      "credential_signing_alg_values_supported": ["ES256"],
      "proof_types_supported": {
        "jwt": { "proof_signing_alg_values_supported": ["ES256"] }
      },
      "credential_metadata": {
        "claims": [
          { "path": ["vehicle_registration"] },
          { "path": ["inspection_result"] },
          { "path": ["valid_until"] }
        ]
      }
    }
  }
}

Metapodatki avtorizacijskega strežnika (izvleček), z /.well-known/oauth-authorization-server

{
  "issuer": "https://issuer.fleetinspect.example",
  "token_endpoint": "https://issuer.fleetinspect.example/token",
  "pre-authorized_grant_anonymous_access_supported": true
}

4. Dokazilo o posesti

Ker metapodatki navajajo nonce_endpoint, denarnica od tam najprej pridobi svež c_nonce. Nato dokaže, da ima zasebni ključ, na katerega bo poverilnica vezana, tako da podpiše proof JWT čez identifikator izdajatelja in ta c_nonce.

POST /nonce HTTP/1.1
Host: issuer.fleetinspect.example

Odgovor

{
  "c_nonce": "fi-nonce-77aa"
}

Denarnica zdaj sestavi proof JWT iz dveh objektov JSON, glave in vsebine, ter ju podpiše z zasebnim ključem, na katerega bo poverilnica vezana.

Glava: kaj ta JWT je in kateri ključ ga je podpisal

{
  "typ": "openid4vci-proof+jwt",
  "alg": "ES256",
  "jwk": { "kty": "EC", "crv": "P-256", "x": "...", "y": "..." }
}

• typ: označi to kot dokazilo ključa OpenID4VCI, tako da ga ni mogoče zamenjati z drugo vrsto JWT
• alg: algoritem podpisovanja, eden od tistih, ki jih je izdajatelj navedel v proof_signing_alg_values_supported
• jwk: javni ključ, na katerega bo poverilnica vezana; izdajatelj glede na njega preveri podpis

Vsebina: za koga je dokazilo namenjeno in kdaj je nastalo

{
  "aud": "https://issuer.fleetinspect.example",
  "iat": 1789376400,
  "nonce": "fi-nonce-77aa"
}

• aud: identifikator izdajatelja, zaradi česar dokazila ni mogoče ponovno uporabiti pri drugem izdajatelju
• iat: čas nastanka dokazila, v sekundah od leta 1970
• nonce: c_nonce iz nonce končne točke, ki pokaže, da je dokazilo sveže

Podpisan rezultat

Glava in vsebina sta vsaka kodirani v base64url in povezani s piko. Denarnica ta niz podpiše s svojim zasebnim ključem in za drugo piko doda podpis, kodiran v base64url. Nastali niz je proof JWT, ki ga denarnica pošlje v zahtevi za poverilnico v koraku 5.

base64url(header) . base64url(payload) . base64url(signature)

eyJ0eXAiOiJvcGVuaWQ0dmNpLXByb29mK2p3dCIs...
  .eyJhdWQiOiJodHRwczovL2lzc3Vlci5mbGVldGluc3BlY3QuZXhhbXBsZSIs...
  .<ES256 signature>

Ko poverilnica še ni pripravljena: odložena izdaja

Zgornji primer predpostavlja, da je rezultat pregleda že dokončen. Če mora organ za tehnične preglede namesto tega mejni rezultat eskalirati k starejšemu inšpektorju, končna točka za poverilnice poverilnice ne more vrniti takoj, zato izdajo odloži.

Odložen odgovor iz /credential

HTTP/1.1 202 Accepted
Content-Type: application/json

{
  "transaction_id": "fi-tx-55c2",
  "interval": 900
}

Poizvedovanje /deferred, dokler ni pripravljeno

POST /deferred HTTP/1.1
Host: issuer.fleetinspect.example
Content-Type: application/json
Authorization: Bearer fi-at-3d91e0

{ "transaction_id": "fi-tx-55c2" }

// While the review is open: 202 with the same transaction_id and interval.
// Once approved: 200 with the credentials, optionally with a notification_id.
// If the review rejects the result: a credential_request_denied error.

Sorodni pojmi

Viri

1. OpenID for Verifiable Credential Issuance 1.0
2. OpenID4VC High Assurance Interoperability Profile 1.0
3. EUDI Wallet Architecture and Reference Framework