SD-JWT VC vs mdoc (ISO/IEC 18013-5): perbandingan format Dompet EUDI

Terakhir ditinjau: 5 Oktober 2026 · Bukan nasihat hukum

SD-JWT VC adalah kredensial terverifikasi yang dikemas sebagai JSON Web Token bertanda tangan, dengan klaim yang dapat diungkapkan satu per satu. mdoc adalah dokumen seluler dalam format ISO/IEC 18013-5, standar yang awalnya ditulis untuk SIM seluler. Architecture and Reference Framework (ARF) Dompet EUDI mencantumkan keduanya sebagai format wajib bagi dompet, dan format ketiga, W3C Verifiable Credentials Data Model 2.0, sebagai format opsional yang "hanya ditujukan untuk EAA non-kualifikasi".^[1]

Panduan ini membandingkan keduanya bagi pengembang yang membangun verifikator, berdasarkan ARF v3.0.0, teks OpenID for Verifiable Presentations (OpenID4VP) 1.0, dan Official Journal. PID adalah singkatan dari person identification data (data identifikasi pribadi).

Apa itu SD-JWT VC

ARF menggambarkan "SD-JWT-based Verifiable Credentials" sebagai format data dan aturan pemrosesan untuk menyatakan kredensial terverifikasi, dengan SD-JWT "merupakan singkatan dari 'Selectively Disclosable JSON Web Token'".^[1] Format ini mencakup encoding JSON, mekanisme pembuktian dengan pengungkapan selektif, dan pengikatan perangkat (device binding) opsional.^[1]

Dalam OpenID4VP, pengenal formatnya adalah dc+sd-jwt, dan kueri menyebutkan jenis kredensial melalui vct_values.^[4] Contoh payload terbitan dari spesifikasi tersebut, dipersingkat menjadi dua dari delapan digest-nya:^[4]

{ "_sd": [ "jsu9yVulwQQlhFlM_3JlzMaSFzglhQG0DpfayQwLUK4", "TGf4oLbgwd5JQaHyKVQZU9UdGE0w5rtDsrZzfUaomLo" ], "vct": "https://credentials.example.com/identity_credential", "_sd_alg": "sha-256", "cnf": { "jwk": { "kty": "EC", "crv": "P-256" } } }

Apa itu mdoc (ISO/IEC 18013-5)

ISO/IEC 18013-5 mendefinisikan atribut SIM, encoding-nya dalam Concise Binary Object Representation (CBOR), namespace yang mencegah tabrakan pengenal, mekanisme pembuktian dengan pengungkapan selektif, pengikatan perangkat wajib, dan pertukaran jarak dekat.^[1]

Hanya model data SIM yang khusus untuk mengemudi. ARF mencatat bahwa semua aspek lainnya "bersifat generik dan dapat digunakan untuk jenis atestasi lain apa pun, termasuk PID".^[1]

OpenID4VP menggambarkan kredensial ini sebagai "di-encode dalam CBOR dan diamankan menggunakan COSE_Sign1" dan memberinya pengenal format mso_mdoc. Kueri menyebutkan jenis dokumen melalui doctype_value.^[4]

Cara kerja pengungkapan selektif di setiap format

Pengungkapan selektif memungkinkan pengguna membagikan sebagian atribut dan menyembunyikan sisanya, sementara verifikator tetap memeriksa tanda tangan penerbit. eIDAS 2 mewajibkan dompet untuk memungkinkan hal ini.^[6] ARF menyebut mekanisme SD-JWT sebagai "salted hashes" dan menyatakan bahwa mekanisme tersebut "secara konseptual identik dengan mekanisme yang digunakan untuk tujuan yang sama dalam [ISO/IEC 18013-5]".^[1]

Satu mekanisme, dua encoding.^[1][4]

Dalam contoh di atas, array _sd memuat digest SHA-256. Setiap disclosure adalah array yang berisi nilai acak, nama klaim, dan nilai klaim. Untuk nama depan, isinya ["2GLC42sKQveCfGfryNRN9w", "given_name", "John"], dan hash-nya adalah digest pertama dalam daftar. Verifikator menghitung hash setiap disclosure yang diterimanya dan mencari digest tersebut di dalam payload yang ditandatangani.^[4]

Klaim dirujuk dengan cara yang berbeda. Untuk kredensial JSON, claims path adalah daftar kunci seperti ["address", "street_address"]. Untuk mdoc, path tersebut "berisi dua elemen bertipe string": namespace dan identifier elemen data, misalnya ["org.iso.18013.5.1", "first_name"].^[4]

Key binding dan device engagement

Pengikatan perangkat (device binding) mengikat kredensial ke kunci yang disimpan di dompet pengguna, sehingga kredensial tidak dapat dikloning. Verifikator memeriksanya dengan meminta dompet menandatangani data acak baru menggunakan kunci privat yang sesuai dengan kunci publik di dalam kredensial.^[1] Namanya berbeda: "Dalam [ISO/IEC 18013-5] disebut 'mdoc authentication'. Dalam [SD-JWT VC] disebut 'key binding'."^[1]

Pengikatan perangkat (device binding) wajib untuk PID dalam kedua format.^[1][4]

Untuk SD-JWT VC, aturan dalam OpenID4VP ketat. Jika require_cryptographic_holder_binding bernilai true, yaitu nilai default, dompet "HARUS mengembalikan SD-JWT" beserta Key Binding JWT. Klaim nonce harus sama dengan nonce dalam permintaan Anda, dan aud harus sama dengan Client Identifier Anda. Pengecualiannya adalah melalui Digital Credentials API, di mana nilainya harus sama dengan origin Anda yang diawali dengan origin:.^[4]

Device engagement hanya ada pada mdoc. Dalam alur jarak dekat, pengguna menampilkan kode QR atau menyodorkan tag NFC. Isinya adalah data yang dibutuhkan pembaca untuk membuka koneksi NFC, Bluetooth Low Energy, atau Wi-Fi Aware dan membangun saluran terautentikasi dan terenkripsi di atasnya, tanpa koneksi internet di antara keduanya.^[1]

Presentasi jarak dekat dengan mdoc (ISO/IEC 18013-5), disederhanakan.^[1]

Yang dilihat pengguna:

Protokol presentasi: OpenID4VP, ISO/IEC 18013-7 dan jarak dekat

ARF mencantumkan apa yang ditangani dompet: ISO/IEC 18013-5 dalam mode jarak dekat, dan OpenID4VP atau ISO/IEC 18013-7 dalam mode jarak jauh.^[1]

Protokol mana yang membawa format mana, menurut ARF.^[1]

Atestasi SD-JWT VC "tidak dapat digunakan dalam presentasi jarak dekat". ISO/IEC 18013-7 "hanya dapat digunakan untuk meminta dan menyajikan atestasi dalam format yang sesuai dengan [ISO/IEC 18013-5]". OpenID4VP "hanya cocok untuk alur transaksi presentasi jarak jauh" dan membawa kedua format.^[1] OpenID4VP 1.0 menjadi Final Specification pada 10 Juli 2025.^[5]

ARF tidak merekomendasikan skema URI kustom lintas perangkat, karena alur tersebut "rentan terhadap serangan phishing dan relay", dan menyebut Digital Credentials API sebagai alternatifnya.^[1] API tersebut masih berupa draf W3C, dan Chrome 141 mengaktifkannya secara bawaan.^[9][10] ISO mencantumkan spesifikasi teknis 18013-7 tahun 2024 sebagai ditarik dan digantikan, dengan edisi ketiga sedang dikembangkan, jadi periksa edisi mana yang menjadi target kode Anda.^[7][8] Rincian permintaan ada di panduan verifikator OpenID4VP.

Apa yang diwajibkan Peraturan Pelaksana (EU) 2026/1731 untuk PID

Aturan pertama tentang format PID, Peraturan Pelaksana (EU) 2024/2977, menyatakan PID "wajib diterbitkan dalam dua format": ISO/IEC 18013-5:2021 dan Verifiable Credentials Data Model 1.1.^[2][3] Peraturan perubahan bulan Juli 2026 menggantikan kalimat tersebut. Kini PID "wajib diterbitkan sesuai dengan standar yang ditetapkan dalam Lampiran II Peraturan Pelaksanaan (EU) 2024/2979, klausul 5 (format SD-JWT VC) dan 6 (format ISO/IEC-mdoc)".^[2]

1. 4 Desember 2024Aturan pertama2024/2977: 18013-5 dan VCDM 1.1.
2. 22 Juli 2026Diubah2026/1731: SD-JWT VC dan mdoc.
3. 23 Juli 2026ARF v3.0.0Diselaraskan dengan peraturan perubahan.
4. 24 Desember 2026Tenggat dompetSatu dompet per Negara Anggota.
5. 11 Agustus 2028PotretPersyaratan potret berlaku, kecuali pengguna secara tegas memilih untuk tidak menggunakannya, jika relevan.

Perkembangan ketentuan hukum tentang format PID.^[1][2][3][6]

Peraturan yang sama menetapkan dua profil presentasi dalam lampirannya pada Peraturan Pelaksana (EU) 2024/2982: "profil ISO/IEC-mdoc" dan "profil OpenID4VC-HAIP".^[2]

• Kirimkan sertifikat pendaftaran Anda: satu elemen verifier_info "wajib memuat sertifikat pendaftaran".^[2]
• Gunakan sertifikat akses Anda sebagai sertifikat leaf dengan Client Identifier Prefix x509_hash.^[2]
• Ikuti "Lampiran C ISO/IEC 18013-7:2025" untuk mdoc melalui Digital Credentials API.^[2]

Pendaftaran dibahas dalam panduan pihak pengandal dompet EUDI, dan jadwalnya dalam tenggat dompet EUDI untuk 2026 dan 2027.

SD-JWT VC vs mdoc (ISO/IEC 18013-5): tabel perbandingan

Dari ARF, kecuali baris PID (Peraturan Pelaksana 2026/1731) dan dua baris terakhir (OpenID4VP 1.0).^[1][2][4]

SIM seluler di Amerika Serikat dibangun di atas ISO/IEC 18013-5 untuk penggunaan jarak dekat.^[7][8] Solusi verifikasi usia UE menetapkan zero-knowledge proof sebagai mekanisme presentasi wajibnya, "dengan presentasi mDoc biasa sebagai cadangan".^[13] EVO Wallet Moldova mendokumentasikan OpenID4VP 1.0 dengan mdoc ISO/IEC 18013-5, diprofilkan sesuai HAIP 1.0.^[11]

Format mana yang harus didukung pihak pengandal

Unit dompet menangani kedua format, dan PID diterbitkan dalam kedua format.^[1][2] Teks yang dibaca untuk panduan ini tidak memuat satu ketentuan pun yang mewajibkan pihak pengandal meminta kedua format. Pembacaan praktisnya: verifikator jarak jauh dapat meminta salah satunya, dan pembaca tanpa koneksi internet membutuhkan mdoc, satu-satunya format yang berfungsi dalam mode jarak dekat.^[1]

Digital Credentials Query Language (DCQL) dalam OpenID4VP memungkinkan satu permintaan memuat kueri dc+sd-jwt dan kueri mso_mdoc secara berdampingan. Spesifikasinya menampilkan permintaan semacam itu.^[4] Menurut ARF, pihak pengandal memverifikasi tanda tangan penerbit terhadap jangkar kepercayaan (trust anchor) dari Trusted List atau List of Trusted Entities, memeriksa pencabutan melalui daftar status atau daftar pencabutan, dan memverifikasi pengikatan perangkat.^[1]

Berdasarkan eIDAS 2, Regulation (EU) 2024/1183, setiap Negara Anggota wajib menyediakan setidaknya satu dompet paling lambat 24 Desember 2026. Pihak pengandal swasta yang diwajibkan menggunakan autentikasi pengguna yang kuat wajib menerimanya atas permintaan pengguna paling lambat 24 Desember 2027, dengan pengecualian bagi usaha mikro dan kecil.^[6] Status per negara tersedia di pelacak peluncuran Dompet EUDI.

Pustaka dan alat uji

Sumber-sumber yang menjadi dasar panduan ini tidak menyebut pustaka sumber terbuka apa pun, jadi bagian ini juga tidak menyebutkannya. Sumber-sumber tersebut menjelaskan tempat untuk menguji dan hal yang perlu diperiksa pada pustaka apa pun yang Anda pilih.

• Jalankan uji kesesuaian di conformance.eudi.dev, yang disebut dalam catatan rilis ARF v3.0.0.^[1]
• Baca dokumentasi implementasi referensi di docs.eudi.dev.^[1]
• Pelajari verifikator yang sudah dipublikasikan. National Bank of Moldova merilis verifikator demo beserta kode sumbernya untuk lembaga keuangan.^[12]
• Pastikan pustaka tersebut mengikuti HAIP, bukan hanya spesifikasi dasarnya.^[1]
• Pastikan edisi ISO/IEC 18013-7 mana yang diimplementasikannya.^[2][8]

Cara Didit membantu verifikasi Dompet EUDI

Penerimaan Dompet EUDI segera hadir di Didit. Fitur ini ada dalam peta jalan kami, selaras dengan jadwal Dompet EUDI, dalam alur kerja yang sama dengan yang Anda gunakan saat ini. Anda sudah dapat memverifikasi orang dari jarak jauh sekarang.

• Lima eID nasional sudah berjalan di Didit saat ini melalui dompet ID digital: MitID, BankID Swedia, Finnish Trust Network, Smart-ID, dan Mobile-ID. Lihat verifikasi eID.
• Semua pengguna lainnya menggunakan verifikasi dokumen dengan pembacaan chip NFC, deteksi keaktifan, dan pencocokan wajah. Satu pemeriksaan KYC lengkap berbiaya $0.33.
• Penyaringan AML berjalan dalam alur yang sama dengan biaya $0.20.

Dokumentasi dompet menjelaskan cara mengaktifkan eID per negara.

Pertanyaan yang sering diajukan

Sumber

1. Architecture and Reference Framework v3.0.0, eu-digital-identity-wallet di GitHub, rilis 23 Juli 2026.
2. Peraturan Pelaksana Komisi (EU) 2026/1731, EUR-Lex, Jurnal Resmi tanggal 22 Juli 2026.
3. Peraturan Pelaksana Komisi (EU) 2024/2977 tentang data identifikasi orang, EUR-Lex, Jurnal Resmi tanggal 4 Desember 2024.
4. OpenID for Verifiable Presentations 1.0, OpenID Foundation, Spesifikasi Final.
5. OpenID for Verifiable Presentations 1.0 Final Specification Approved, OpenID Foundation, 10 Juli 2025.
6. Regulation (EU) 2024/1183 (eIDAS 2), EUR-Lex, Jurnal Resmi tanggal 30 April 2024.
7. Seri ISO/IEC 18013, surat izin mengemudi seluler, halaman standar ISO.
8. ISO/IEC 18013-7, halaman standar ISO.
9. Digital Credentials, draf W3C.
10. Digital Credentials API shipped, Chrome for Developers.
11. Panduan pengembang EVO Wallet, Pemerintah Moldova, egov4dev.
12. Verifikator demo BNM, Pemerintah Moldova, egov4dev.
13. Solusi verifikasi usia UE, portal teknis, ageverification.dev.

SD-JWT VC dan mdoc (ISO/IEC 18013-5) adalah dua format pengodean untuk janji yang sama: atribut bertanda tangan yang dikendalikan pengguna. Lihat cara Didit menangani penerimaan dompet di halaman solusi Dompet EUDI, dan semua skema nasional di skema eID per negara.