Kimlik Bilgisi Taşınabilirliği: Zaten Yaptığınız Doğrulama Neden Sizinle Gezmeli

Burada tarif edilen bağlanamazlık uygulaması denetlenmemiştir.

Bir ihraççı kimlik bilgisini bir kez imzalar; siz onu saklar ve nerede isteniyorsa yeniden gösterirsiniz.

Adlandırmaya değer fark budur. "Kimliğimi bir kez doğruladım" her yerde aynı şeyi ifade etmeliymiş gibi gelir, ama genellikle etmez; çoğu hizmet sizi kontrol eder, sonucu kendi sunucusunda tutar ve başka bir yerde olduğunuz anda baştan başlamanızı sağlar. Buradaki ayrım, sonucu sonradan kimin tuttuğudur. Bir ihraççı bir kimlik bilgisini imzaladıktan sonra onu siz tutarsınız; kontrolü çalıştıran şirket değil, içini göremediğiniz bir veritabanı değil. Bir sonraki dayanan tarafa gösterdiğiniz şey, özgün kontrolün tekrarı değil, zaten sahip olduğunuz bir şeyin kriptografik bir sunumudur.

Mekanizma, üç adımda

Bir ihraççı onu bir kez imzalar. Bu sayfanın tarif ettiği akışta o ihraççı verify.solidus.network'tür; kimlik doğrulamanın gerçekten gerçekleştiği yer. Bu sayfa o işin satıldığı ya da anlatıldığı yer değildir; doğrulama adımının kendisini değerlendiriyorsanız bakılacak doğru yer orasıdır. Burada kimlik bilgisi zaten vardır ve zaten imzalanmıştır.

Taşıyıcı onu saklar. Bu cüzdan taşıyıcıdır, nokta; asla ihraççı değil, asla doğrulayıcı değil. Kimlik bilgisini istemci tarafında saklar ve bir sonraki adımı mümkün kılan şeydir. İhraççı, taşıyıcı ve doğrulayıcı, İhraççı-Taşıyıcı-Doğrulayıcı üçgeninin üç rolüdür ve bu sayfa o modeli yeniden öğretmeyecek; üç rollü tam tablo ve her tarafın diğerlerini nasıl kontrol ettiği için bkz. bir doğrulanabilir kimlik bilgisi cüzdanı nedir.

Taşıyıcı onu her seferinde seçici olarak yeniden sunar. Her dayanan taraf, yalnızca istediği iddiaları açıklayan, taze üretilmiş kendi sunumunu alır. Garantinin biçimini kendiniz görebilirsiniz; demo yayımlanmış pakette gelir:

npm i @solidus-network/auth @solidus-network/bbs
node node_modules/@solidus-network/auth/demo/unlinkability-demo.mjs

Kendi çıktısı, sonucun yanında dürüstlük sınırını da yazdırır: iki bağımsız sunum doğru biçimde doğrulanır ve aralarındaki havuzlanmış ilişkilendirme yüzeyi yalnızca kohort düzeyindeki sabitleri ve her dayanan tarafın gerçekten istediği iddiaları içerir; iki görünümü tek bir kişiye geri bağlamaya yetecek kadarını değil. Aynı çıktı bunun yalnızca sunum katmanı olduğu konusunda açıktır: IP adresi ilişkilendirmesi, zamanlama ilişkilendirmesi, cihaz parmak izi ya da iki dayanan tarafın kayıt dışı veri havuzlaması hakkında hiçbir şey söylemez.

"Taşınabilir" özellikle bir cüzdan için ne demek

Bu olmadan iki şey olma eğilimindedir. Ya soran her dayanan tarafta altta yatan kontrolü yeniden yaparsınız, yani aynı formu doldurup aynı belgeyi yükleyip aynı incelemeyi yeniden beklersiniz, ya da belgenin tam kopyasını verirsiniz; kimsenin istemediği bilgiyi yalnızca verecek tek birim o olduğu için fazla paylaşırsınız. İkisi de size harcamanız gerekmeyen zamana ya da mahremiyete mal olur.

Bununla, ikisi de olmaz. İhraççı ikinci dayanan taraf, üçüncüsü ya da onuncusu için döngüye geri girmez: bir kez imzaladı ve işi bitti. Neyin, kime yeniden sunulacağını siz denetlersiniz; her seferinde bir sunum, her biri yalnızca sorulanı açıklayarak. Sonucu ihraççının kendi sisteminin içinde bırakmak yerine kimlik bilgisini kalıcı bir yerde tutmanın bütün değeri budur.

"Taşınabilir"in doğru sözcük olmasının ve "paylaşılan" ya da "eşitlenen" olmamasının sebebi de budur. Birden fazla tarafın çektiği ortak bir havuza hiçbir şey kopyalanmıyor ve merkezî hiçbir taraf sizin adınıza erişim vermiyor. Kimlik bilgisi tek bir yerde, bu cüzdanda durur ve her seferinde dışarı hareket eden şey kimlik bilgisinin kendisi değil, taze ve amaca yönelik kurulmuş bir sunumudur. Birini alan bir dayanan taraf, tam olarak öğrenmek istediğini öğrenir ve başka hiçbir şeyi; sizin katılımınız olmadan sonradan iletebileceği ya da karşılaştırabileceği kalıcı bir kopya almaz.

Bu sayfanın iddia etmediği şey

Yukarıdakini "herhangi bir ihraççıdan gelen kimlik bilgileri herhangi bir cüzdan ve doğrulayıcı arasında serbestçe akar" diye okumak kolay olurdu: o ekosistem henüz yok ve bu sayfa öyle olduğunu iddia etmiyor. Bugünkü tek gerçek ve tarif edilebilir akış, Solidus Verify'ın bir kimlik bilgisi vermesi ve bu cüzdanın onu tutup yeniden sunmasıdır. Canlı bir çok ihraççılı pazar yeri yok, başka cüzdanlara karşı birlikte çalışabilirlik kanıtı yok ve bu örüntünün satıcılar arasında zaten çalıştığı iddiası yok.

Bu sırada nereye gidiyor

İlk adımın ticari ve maliyet tarafı, yani doğrulamanın kendisinin neyi içerdiği, ne için olduğu, onu kimin çalıştırdığı, buraya değil verify.solidus.network'e aittir. Bu sayfanın işi kavramdı: bir kimlik bilgisinin imzalandıktan sonra ne yaptığı ve onu kendinizin tutmasının sonrasında olanları neden değiştirdiği. Bu sayfanın işlenmiş bir örneği olduğu terimin daha dolu tanımı için Lexicon'daki Kimlik Bilgisi Taşınabilirliği girdisine bakın. Bu cüzdanın akışı, orada atıf verilen somut ve kontrol edilebilir durumdur.