Status List
En status list är en kompakt, signerad lista som en utfärdare publicerar så att var och en som innehar någon av utfärdarens credentials kan kontrolleras för återkallelse, utan att utfärdaren tillfrågas om just den credentialen.
Listan är en bitsträng: varje intyg utfärdaren ger ut tilldelas ett index i den, och biten på det indexet anger om intyget fortfarande är giltigt, återkallat eller avstängt. Token Status List låter en utfärdare välja 1, 2, 4 eller 8 bitar per post beroende på hur många tillstånd den behöver skilja mellan, eftersom avstängning är ett separat, reversibelt tillstånd skilt från en permanent återkallelse. Intyget bär URL:en till listan och sitt eget index, så en verifierare hämtar listan en gång, cachar den under en period utfärdaren bestämmer, och läser sedan bara en enskild bit för varje kontroll i stället för att ringa utfärdaren varje gång. Eftersom hela listan laddas ner på en gång och täcker varje intyg utfärdaren någonsin gett ut får utfärdaren aldrig veta vilket intyg som kontrollerades eller av vem, eftersom mängden döljer den enskilda: det är denna sekretessegenskap som gör Status Lists att föredra framför kontroll per enskilt intyg, vilket skulle låta en utfärdare spåra exakt när och hur ofta ett givet intyg används. Komprimerad är en lista som täcker hundratusentals intyg bara några kilobyte, och listor publiceras vanligtvis om enligt ett fast schema eller via ett innehållsleveransnätverk så att en verifierares cachade kopia förblir aktuell utan en ny förfrågan till utfärdaren för de flesta kontroller. De två specifikationerna som används är Token Status List för JWT- och CWT-intyg, som EUDI ARF antar för SD-JWT VC- och mdoc-attesteringar, och Bitstring Status List för W3C:s datamodell för verifierbara intyg. En utfärdare som i stället vill undvika återkallelsekontroller helt kan utfärda kortlivade intyg som helt enkelt löper ut, men Status Lists förblir den föredragna mekanismen där ett intyg behöver en längre giltighetstid.
Relaterade termer
Kan en verifierare avgöra vilket intyg någon kontrollerar genom att observera förfrågningar mot Status List?
Nej, det är själva poängen med att ladda ner hela listan. Eftersom en verifierare hämtar hela bitsträngen som täcker varje intyg utfärdaren någonsin utfärdat, i stället för att fråga om ett specifikt intyg, kan utfärdaren inte avgöra vilken post verifieraren är intresserad av. Den enskilda kontrollen döljs inuti en stor mängd orelaterade poster, vilket är det som förhindrar att statuskontroll blir ett sätt att spåra intygsanvändning.