OpenID Federation
OpenID Federation ist eine Spezifikation der OpenID Foundation, mit der Organisationen über signierte Vertrauensketten nachweisen, dass ein Aussteller oder Dienst zu einer vertrauenswürdigen Föderation gehört.
Statt jeden Aussteller einzeln zu kennen, vertraut eine Prüfstelle einem übergeordneten Anker, etwa einer Branchenorganisation oder einer Behörde. Jede Stelle veröffentlicht eine signierte Selbstbeschreibung mit ihren Schlüsseln; übergeordnete Stellen bestätigen untergeordnete mit signierten Aussagen. Daraus entsteht eine Kette vom Aussteller bis zum Anker, die sich automatisch auflösen und prüfen lässt.
Das Verfahren wird für Wallet-Ökosysteme und den Austausch von Nachweisen diskutiert. Für Agenten könnte es beantworten, welche Aussteller von Mandaten innerhalb einer Branche als vertrauenswürdig gelten.
Beispiel
Ein Branchenverband betreibt einen Anker für Mandatsdienste. Ein Händler erhält ein Mandat von einem ihm unbekannten Dienst. Über die Föderation löst er die Kette vom Dienst bis zum Anker des Verbands auf und erkennt, dass der Dienst als Aussteller anerkannt ist.
Abgrenzung
Ein JWKS liefert die Schlüssel eines einzelnen Ausstellers. Ein Vertrauensanker ist die Wurzel, der eine Prüfstelle vertraut. OpenID Federation verbindet beides über signierte Ketten, sodass auch unbekannte Aussteller automatisch eingeordnet werden können.
In der Praxis
- Prüfen Sie, ob in Ihrer Branche eine Föderation für Aussteller von Nachweisen entsteht.
- Halten Sie die Schlüssel Ihrer Dienste so bereit, dass sie in eine Föderation aufgenommen werden können.
- Behandeln Sie die Föderation als Hilfe für die Auswahl von Ausstellern, nicht als Ersatz für die Prüfung jedes Nachweises.
Bezug zu KYA
KYA löst heute keine Föderationsketten auf. Die Prüfstelle hinterlegt die Schlüssel der Aussteller, denen sie vertraut; eine Föderation kann ihr helfen, diese Auswahl zu treffen.
Zugehöriger Prüfschritt: Aussteller (issuer_resolution). Ist der Schlüssel an den Aussteller gebunden – über eine DID oder weil die prüfende Stelle ihm vertraut?
Häufige Fragen
Was ist OpenID Federation?
Eine Spezifikation der OpenID Foundation für signierte Vertrauensketten. Sie zeigt, ob ein Aussteller oder Dienst zu einer vertrauenswürdigen Föderation gehört.
Was ist ein Entity Statement?
Eine signierte Aussage einer Stelle über sich selbst oder über eine untergeordnete Stelle, mit Schlüsseln und Metadaten. Aus solchen Aussagen entsteht die Vertrauenskette.
Wozu braucht es Föderationen?
Damit Prüfstellen nicht jeden Aussteller einzeln kennen müssen. Sie vertrauen einem Anker, und die Kette zeigt, wer dazugehört.
Wird OpenID Federation für Wallets eingesetzt?
Das Verfahren wird für Wallet-Ökosysteme und den Austausch von Nachweisen diskutiert und erprobt.
Unterstützt KYA OpenID Federation?
Noch nicht. KYA prüft gegen Schlüssel, die die Prüfstelle hinterlegt. Eine Föderation kann bei der Auswahl dieser Schlüssel helfen.