Decentralized Identifier (DID)
Ein Decentralized Identifier (DID) ist eine Kennung nach W3C-Standard, die auf ein Dokument mit öffentlichen Schlüsseln verweist und ohne zentrale Registrierungsstelle auskommt.
Eine DID hat die Form did:methode:kennung, etwa did:web:beispiel.ch oder did:key:z6Mk…. Die Methode legt fest, wie das zugehörige DID-Dokument gefunden wird: Bei did:web liegt es auf einer Website, bei did:key steckt der Schlüssel direkt in der Kennung. Das W3C hat DID Core im Juli 2022 als Empfehlung verabschiedet.
In Nachweisen für Agenten bezeichnen DIDs Aussteller, Agenten oder Auftraggeber. Eine Prüfstelle löst die DID auf und erhält den Schlüssel, mit dem sie Signaturen prüft.
Beispiel
Ein Mandat nennt als Aussteller did:web:mandate.example.ch. Die Prüfstelle lädt das DID-Dokument von dieser Domain, entnimmt den öffentlichen Schlüssel und prüft die Signatur. So ist belegt, dass das Mandat vom Inhaber dieser Domain stammt.
Abgrenzung
Ein Benutzername gehört einem Dienst, eine DID ihrem Inhaber. Anders als ein X.509-Zertifikat braucht eine DID keine ausstellende Stelle; das Vertrauen hängt an der Methode, bei did:web an der Kontrolle über die Domain.
In der Praxis
- Nutzen Sie did:web für Aussteller mit eigener Domain und did:key für kurzlebige Agentenschlüssel.
- Sichern Sie die Domain hinter einer did:web-Kennung so gut wie Ihre Signaturschlüssel.
- Hinterlegen Sie bei KYA den veröffentlichten Schlüssel, da die Prüfung keine DIDs aus dem Netz lädt.
Bezug zu KYA
KYA weist für jeden Bericht aus, woher ein Schlüssel stammt; eine DID des Ausstellers belegt die Herkunft. Weil KYA keine Netzwerkanfragen stellt, wird did:web nicht automatisch geladen: Den veröffentlichten Schlüssel hinterlegt die Prüfstelle selbst.
Zugehöriger Prüfschritt: Aussteller (issuer_resolution). Ist der Schlüssel an den Aussteller gebunden – über eine DID oder weil die prüfende Stelle ihm vertraut?
Häufige Fragen
Was ist eine DID?
Ein Decentralized Identifier nach W3C-Standard: eine Kennung, die auf ein Dokument mit öffentlichen Schlüsseln verweist und keine zentrale Registrierungsstelle braucht.
Was ist der Unterschied zwischen did:web und did:key?
Bei did:web liegt das DID-Dokument auf einer Website, das Vertrauen hängt an der Domain. Bei did:key steckt der öffentliche Schlüssel direkt in der Kennung; er lässt sich weder ändern noch widerrufen.
Löst KYA DIDs selbst auf?
did:key ja, weil der Schlüssel in der Kennung steckt. did:web lädt KYA nicht automatisch, da die Prüfung keine Netzwerkanfragen stellt. Den Schlüssel hinterlegt die Prüfstelle unter «Vertrauen der Prüfstelle».
Ist eine DID dasselbe wie eine Blockchain-Adresse?
Nein. Manche DID-Methoden nutzen Blockchains, viele nicht. did:web und did:key, die in Agenten-Nachweisen häufig vorkommen, kommen ganz ohne Blockchain aus.