On Self-Sovereign Identity : Verifiable Credentials and Presentations with OpenID Connect
| Title: | On Self-Sovereign Identity : Verifiable Credentials and Presentations with OpenID Connect |
| Author(s): | Pärni, Miika |
| Contributor: | University of Helsinki, Faculty of Science |
| Degree program: | Master's Programme in Computer Science |
| Specialisation: | Networks |
| Language: | English |
| Acceptance year: | 2023 |
| Abstract: |
Itsehallittava identiteetti on uusi yksilökeskeinen digitaalisten identiteettien ja palveluiden hallitsemiseen sekä käyttöön tarkoitettu viitekehys. Viitekehyksen olennaisia sovelluksia ja tietorakenteita ovat todennettavat käyttäjäattribuutit, attribuuttitodistukset, identiteettilompakot ja hajautetut tunnisteet. Paljon käytettyyn tunnistautumisprotokollaan, OpenID Connect:iin on lisätty tuki ja määrittelyt todennettaville käyttäjäattribuuteille, attribuuttitodistuksille sekä hajautetuille tunnisteille. Hajautettujen tunnisteiden tuottamia tunnistedokumentteja voidaan käyttää julkisten avainten säilytykseen ja niihin sopivien digitaalisten allekirjoitusten todentamiseen.
Tämä toteutettavuustutkimus arvioi kahden käyttötapauksen valossa, kuinka käytännöllistä on yhdistää todennettavat käyttäjäattribuutit, attribuuttitodistukset ja hajautetut tunnisteet OpenID Connect -protokollaan.
Ensimmäinen tarkasteltava tapaus käsittää näiden uusien tietorakenteiden integroinnin keskitetyssä, OpenID Connect:ia ilmentävässä identiteetin- ja pääsynhallinnan järjestelmässä. Keskitetty järjestelmä käyttää federoitua autentikointitapaa identiteettilompakkoa vasten. Näin kertakirjautumistoiminnallisuutta voidaan hyödyntää eri palveluntarjoajien sovellusten välillä. Toisessa tapauksessa uusia tietorakenteita hyödynnettiin suoraan palveluntarjoajan ja identiteettilompakon välillä.
Tutkittavia tapauksia varten luotiin kaksi uutta autorisointimenetelmää. Federoidussa attribuuttitodistusmenetelmässä OpenID-palvelin saa käyttäjätiedot identiteettilompakolta, luo kertakirjautmisistunnon ja välittää käyttäjätiedot edelleen palveluntarjoajasovellukselle. Tämä menetelmä vaatii muutoksia ainoastaan OpenID-palvelimeen.
Attribuuttitodistusmenetelmässä palveluntarjojasovellus saa käyttäjätiedot suoraan identiteettilompakolta, mutta kertakirjautumista ei tällöin voida hyödyntää ja palveluntarjoja joutuu tekemään useita muutoksia omaan järjestelmäänsä. Molemmille menetelmille löytyy hyödyllisiä käyttötapauksia ja ne soveltavat uusia, lupaavan itsehallittavan identiteettimallin osa-alueita.
Self-Sovereign Identity is a new concept of managaging digital identities in the digital services. The purpose of the Self-Sovereign Identity is to place the user in the center and move towards decentralized model of identity management. Verifiable Credentials, Verifiable Presentations, Identity Wallets and Decentralized Identifiers are part of the Self-Sovereign Identity model. They have also been recently included in the OpenID Connect specifications to be used with the widely used authentication layer built on OAuth 2.0. The OpenID Connect authentication can now be leveraged with the Decetralized Identifiers (DIDs) and the public keys contained in DID Documents.
This work assessed the feasibility of integrating the Verifiable Credentials, Verifiable Presentations and Decentralized Identifiers with OpenID Connect in the context of two use cases. The first use case is to integrate the Verifiable Credentials and Presentations into an OpenID Connect server and utilise Single Sign-On in federated environment. The second use case is to ignore the OpenID Provider and enable the Relying Party to authenticate directly with the Identity Wallet. Custom software components, the Relying Party, the Identity Wallet and the Verifiable Credential Issuer were built to support the assessments.
Two new authorization flows were designed for the two use cases. The Federated Verifiable Presentation Flow describes the protocol of Relying Party authenticating with OpenID Provider which receives the user information from the Wallet. The flow does not require any changes for any Relying Party using the same OpenID Provider to authenticate and utilise Single Sign-On. The Verifiable Presentation Flow enables the Relying Party to authenticate directly with the Wallet. However, this flow requires multiple changes to Relying Party and benefits of federated environment are not available, e.g., the Single Sign-On. Both of the flows are useful for their own specific use cases. The new flows are utilising the new segments of the Self-Sovereign Identity and are promising steps towards self-sovereignty.
|
| Keyword(s): | self-sovereign identity verifiable credentials decentralized identifiers security privacy blockchain |
Files in this item
| Files | Size | Format | View |
|---|---|---|---|
| Parni_Miika_maisterintutkielma_2023.pdf | 765.2Kb |
This item appears in the following Collection(s)
-
Faculty of Science [3911]