Potek znotraj iste naprave in med napravama

Pri poteku znotraj iste naprave sta denarnica in spletno mesto ali aplikacija na istem telefonu. Spletno mesto preda obiskovalca z globoko povezavo ali preusmeritvijo, denarnica se odpre, oseba odobri, kar se zahteva, denarnica pa jo pošlje nazaj na spletno mesto po poti, po kateri je prišla. OpenID4VP vrne predstavitev v fragmentu te preusmeritve, zato izmenjavo zaključi ista seja brskalnika, ki jo je začela.

Pri poteku med napravama obiskovalec začne v brskalniku na računalniku, denarnica pa je na njegovem telefonu. Spletno mesto zahtevo prikaže kot QR kodo, denarnica jo skenira in rezultat pošlje neposredno zalednemu sistemu spletnega mesta, ne brskalniku na mizi. Stran na računalniku je treba nato obvestiti, da se je izmenjava končala, običajno s poizvedovanjem (polling) ali prek websocketa, zato potek med napravama vedno vključuje zaledni sistem.

Oba protokola predpostavljata, da podpirate obe obliki. OpenID4VP ju navaja kot svoja dva poteka, OpenID4VCI pa enako delitev opisuje za Credential Offer, ki lahko pride do imetnika na napravi z denarnico ali po katerem koli drugem kanalu. Kateri potek obiskovalec dobi, določa to, kje je v tistem trenutku, ne nastavitev, ki jo izberete enkrat, zato javno dostopna storitev potrebuje, da delujeta obe poti.

Uporabniška izkušnja se razlikuje po naporu in načinih odpovedi. Potek znotraj iste naprave je krajša pot: ni drugega zaslona, ni kamere, ni predaje med napravami. Potek med napravama zahteva skeniranje, a obiskovalca obdrži pred velikim zaslonom, na katerem je že delal, in je edina možnost, ko denarnica ni na napravi, na kateri poteka delo. Potek znotraj iste naprave odpove, ko denarnica ni nameščena ali globoka povezava odpre napačno aplikacijo, potek med napravama pa, ko koda poteče ali telefon nima povezave.

Varnostna razlika je resnična in govori v prid poteku znotraj iste naprave. Ker denarnica odgovor vrne s preusmeritvijo na lastni napravi, napadalec, ki prekopira zahtevo, odgovora ne more prejeti. Odgovor pri poteku med napravama potuje mimo brskalnika do zalednega sistema spletnega mesta, zato mora spletno mesto samo vezati kodo na sejo brskalnika, ki jo je prikazala. Brez te vezave lahko nekdo vzame kodo iz seje, ki jo nadzoruje, jo podtakne žrtvi in pusti, da žrtvine poverilnice dokončajo napadalčevo prijavo.

QR koda je tudi površina za phishing, ker koda sama bralcu ne pove ničesar o tem, kdo sprašuje. Identiteto preveritelja in natančno zahtevo mora pred kakršnim koli deljenjem prikazati denarnica, ne koda. IETF ima za ta razred napadov pri potekih med napravama poseben dokument najboljše trenutne prakse, OpenID4VCI pa iz istega razloga ponudbi doda transakcijsko kodo: koda prispe po kanalu, ki je imetnika že overil, zato ponudbe, prestrežene na poti, ne more unovčiti nihče drug.