検証可能な資格情報

分散型アイデンティティの本質は、物理的なアイデンティティの認証情報、つまり検証可能な認証情報 (Verifiable Credential) の実用性と移植性をデジタル デバイスに転送することです。

1検証可能な資格情報とは何ですか?

検証可能な資格情報、まずは英語の意味から始めましょう。Credential とはいったい何を意味するのでしょうか。Youdao Dictionary による定義を見てみましょう。

明らかに、運転免許証、ID カードなど、身元を証明するために持ち歩く証明書を指します。

ただし、資格情報の主題について何らかの権威が真実であると主張する限り、資格情報はあらゆる情報セットに拡張できます。例えば：

• 病院が発行した出生証明書。所有者の出生時間、出生場所、両親を証明できるもの。

• 学位を証明する大学が発行する学位証明書。

• あなたがその国の合法的国民であることを証明するパスポート;

• 航空機を操縦する権限があることを証明する完全なパイロット免許。

もちろん、ここで例示した証明書はすべて人を主体としたものであり、ペットを主体とすることも可能であり、ペット病院がペットのワクチン接種に関して検証可能な証明書を発行することも可能である。

各資格情報には、資格情報の主題に関する一連のクレームが含まれています。これらの主張は、検証可能な証明書の証明書の発行者として知られる単一の機関によって行われ、証明書証明書のエンティティ (個人、組織、物) は証明書の所有者と呼ばれます。

資格情報の主張には、属性 (年齢、身長、体重など)、関係 (父親、母親、雇用主、市民権など)、権利 (医療給付、図書館の特権、会員の特典、法的権利など) など、対象者について何でも記載できます。権利など）。

資格情報とみなされるには、資格情報内の主張が何らかの方法で検証可能である必要があります。これは、検証者が次のことを判断できることを意味します。

• 証明書を発行した人。

• 投稿以来改ざんされていない。

• 証明書の有効期限が切れていないか、取り消されていません。

一部の物理的な伝票では、これは通常、次の方法で実現されます。

(1) 資格情報に直接埋め込まれた何らかの信頼性の証明 (透かし、ホログラム、その他の特殊な印刷機能など)、または有効期限を宣言することによるもの。

(2) 証明書が有効、正確、最新であるかどうかを発行者に直接確認することによっても行うことができます。

ただし、この手動検証プロセスは難しく、時間がかかる場合があります。これは、世界中で偽の資格情報の闇市場が存在する重要な理由でもあります。

これは、VC の基本的な利点をもたらします。暗号化とインターネット (および標準プロトコル) を使用すると、数秒、場合によっては数ミリ秒でデジタル検証できるということです。

この検証プロセスでは、次の 4 つの質問に答えます。

• 認証情報には、検証者が必要とするデータが、検証者が要求する標準形式で含まれていますか?

• 発行者からの有効なデジタル署名が含まれていますか (したがって、その発行元が証明され、転送中に改ざんされることはありません)?

• 資格情報はまだ有効ですか?つまり、期限切れまたは取り消されていませんか?

• 該当する場合、証明書 (またはその署名) は、証明書所有者が証明書の主体であることを示す暗号学的証拠を提供しますか?

上記の疑問を念頭に置いて、W3C の検証可能な資格情報データ モデルを見てみましょう。

2. W3C 検証可能な資格情報データ モデル

W3C DID ワーキング グループは、検証可能なデジタル証明書のためのシンプルで効果的な参照モデルを提案しています

対応する中国語のフローチャートは次のとおりです。

このモデルには 3 つの主要なユーザーの役割があります。

1.証明書発行者

証明書を発行する人は個人または機関です。実際には、証明書発行者は、証明書を保持する人の公開鍵に基づいて証明書を発行し、独自の秘密鍵を使用してデジタル署名を実行します。このように、証明書所有者が証明書を提示するときは、デジタル署名方式を使用して、自分が証明書発行者の公開鍵の所有者であることを証明する必要もあります (これは非常に一般的なデジタル署名検証方式です)。

証明書は証明書発行者によって電子署名されているため、電子署名検証方法を利用すれば誰でも瞬時に証明書の正当性を検証できますが、証明書を改ざんすると電子署名は無効になります。証明書の発行時に所有者の公開鍵を知る必要があるため、一般的には証明書の所有者がまず発行者に申請し、申請時に自身の公開鍵と公開鍵を所有する電子署名証明書を提供して証明書を発行します。 . 人々が必要とするその他の証拠やデータ。発行者はデータを検証し、それが正しいことを確認した後、証明書を生成して証明書所有者に送信できます。このプロセスは実際、現実のパスポートを申請するプロセスに非常に似ています。パスポートを申請するときは、まず身分証明書などの身分を証明できる資料と、写真や職業などパスポートに必要な情報を提出して、政府機関が所属するパスポートを印刷する必要があります。あなただけに発行してください。

2. 証明書所有者

上記の手順で証明書を申請した後は、証明書所有者は責任を持ってご自身の証明書を保管する必要があります。通常、これらの証明書はデジタル形式で存在し、ダウンロードして保存できます。一部の高度なデジタル ウォレット システムには、完全なデジタル証明書の保存および管理機能が備わっています。

ほとんどの場合、証明書を保管する責任は証明書の所有者にあり、証明書の発行者は、発行された証明書のコピーを保管するかどうかを決定できます。

証明書の所有者が自分の身元を証明するために使用された証明書または秘密キーを紛失した場合、新しい証明書を再度申請することしかできません。証明書を検証する必要がある場合、証明書所有者は、デジタル証明書を提供し、証明書発行者の公開鍵を所有していることを証明するデジタル署名を提供する責任があります。

上記のプロセスを理解するためにパスポートを例に挙げると、パスポートを受け取ったら、パスポートを保管する責任があり、他の国のビザを申請するときなど、パスポートを使用する必要がある場合には、パスポートを提示する必要があります。パスポート。

3. 証明書検証者。

証明書の検証者は、デジタル署名アルゴリズムを使用して証明書所有者の身元を確認するだけでよく、デジタル証明書の正当性を検証することで、基本的に証明書の信頼性と正当性を判断できます。

通常、証明書には有効期間などの重要な情報も含まれており、これも証明書の信頼性を判断するための基礎となります。

また、パスポートを例として理解してください。パスポートには、写真、名前などを含む、あなたに関する一連の情報が含まれています。他の国からビザを申請する場合、相手国の大使館または領事館のビザ事務所が必要となります。検証者です。

他のデジタル証明書と同様、真に実用的で検証可能なデジタル証明書は入れ子になっています。つまり、デジタル証明書は他のデジタル証明書を参照したり、他のデジタル証明書を含めたりする必要がある場合があります。

検証可能なデジタル証明書をネストして含めて検証チェーンを形成できます。

最初は少し混乱するように思えますが、パスポートとビザを例に挙げます。実際、パスポートとビザは両方とも一種の証明書です。ビザオフィスが新しいビザ証明書を発行するとき、最初にパスポートを確認する必要があります。証明書、次にビザ証明書。通常、証明書には個人情報とパスポート情報が含まれます。ビザを使って入国する場合、入国管理局はビザだけでなくパスポートも確認し、確認に合格し情報が一致した場合にのみ解放されます。

トラストトライアングル

証明書の所有者、発行者、検証者の間には信頼三角関係が存在します。

トラスト トライアングルはビジネス トランザクションの一側面のみを説明していることに注意してください。多くの商取引では、両当事者が相互に情報を要求します。したがって、単一のトランザクションで、両当事者が所有者と検証者の役割を果たします。さらに、多くの商取引では、一方の当事者から他方の当事者に新しい伝票が発行されたり、場合によっては双方向に 1 枚ずつの 2 枚の新しい伝票が発行されたりすることもあります。

1. 消費者は、旅行会社が​​破産保険に加入しているかどうかを確認したいと考えています。

2. 旅行サイトは、消費者が 18 歳以上であることを確認したいと考えています。

3. 支払い後、旅行ウェブサイトはチケットを消費者に発送します。

4. 旅行後、消費者は旅行会社の顧客として満足していることを確認します。

これらの各情報は、発行者からのデジタル署名付きの VC として送信できます。これは、両当事者が信託内のすべての役割トライアングルをどのように断続的に実行するかを示しています。

3.シナリオの例: 検証可能な資格情報のアプリケーション

次のシナリオは、アリスが最初に政府 ID 資格情報を取得し、次に雇用主 (IBM) から雇用資格情報を取得し、最後に銀行口座を申請する方法を示しています。

1. アリスは政府の身分証明書機関に連絡し、身分証明書の提出を求めます。これは、Alice がすでにモバイル ウォレットと、学生証などの政府 ID 機関が受け入れる資格情報を持っていることを前提としています。

2. アリスは政府 ID 資格情報を受け取ります。政府の ID 機関がアリスの証明を検証し、ID 資格情報の発行に関する政府のポリシーを満たしていることを確認すると、資格情報がアリスのエッジ エージェントに発行されます。

3. アリスは雇用主に連絡し、政府 ID 資格証明を要求します。このステップは通常、新入社員のAliceへのオンボーディングの一環として実行されます（一部の法域では法的要件）。雇用主はデジタルでコストを節約できます。

4. アリスは雇用証明書を受け取りました。雇用主の入国方針が満たされると、雇用主はアリスに新しい雇用証明書を発行します。

5. アリスは、新しい口座を開設したい銀行との接続を確立します。アリスは、バス、地下鉄、新聞広告、電子メール、銀行の Web サイトなど、銀行の招待状に遭遇する可能性のある場所ならどこでも QR コードをスキャンすることでこれを実行できることに注意してください。

今日はここまでです。次回は、W3C の検証可能な資格情報データ モデル分析について説明します。