SD-JWT VC dhidi ya mdoc (ISO/IEC 18013-5): ulinganisho wa miundo ya Pochi ya EUDI

Ilipitiwa mara ya mwisho: 5 Oktoba 2026 · Si ushauri wa kisheria

SD-JWT VC ni hati tambulishi inayothibitishika iliyofungashwa kama JSON Web Token iliyotiwa saini, ambayo madai yake yanaweza kufichuliwa moja moja. mdoc ni hati ya simu katika muundo wa ISO/IEC 18013-5, kiwango kilichoandikwa kwanza kwa leseni za udereva za simu. Architecture and Reference Framework (ARF) ya Pochi ya Utambulisho wa Kidijitali ya EU (EUDI Wallet) inaorodhesha miundo yote miwili kuwa ya lazima kwa pochi. Inaorodhesha pia muundo wa tatu, W3C Verifiable Credentials Data Model 2.0, kuwa wa hiari na "umekusudiwa kwa EAA zisizo na sifa rasmi pekee".^[1]

Mwongozo huu unalinganisha miundo hiyo miwili kwa wasanidi programu wanaojenga mthibitishaji. Unatumia ARF v3.0.0, maandishi ya OpenID for Verifiable Presentations (OpenID4VP) 1.0 na Jarida Rasmi (Official Journal). PID inamaanisha data ya utambulisho wa mtu.

SD-JWT VC ni nini

ARF inaeleza "SD-JWT-based Verifiable Credentials" kama muundo wa data na kanuni za uchakataji za kueleza hati tambulishi zinazothibitishika, ambapo SD-JWT "inamaanisha 'Selectively Disclosable JSON Web Token'".^[1] Inajumuisha usimbaji wa JSON, utaratibu wa uthibitisho wenye ufichuzi teule, na ufungaji wa kifaa wa hiari.^[1]

Katika OpenID4VP kitambulisho cha muundo ni dc+sd-jwt, na hoja (query) hutaja aina ya hati tambulishi kupitia vct_values.^[4] Mfano wa vipimo hivyo wa payload iliyotolewa, uliofupishwa hadi digest mbili kati ya nane zake:^[4]

{ "_sd": [ "jsu9yVulwQQlhFlM_3JlzMaSFzglhQG0DpfayQwLUK4", "TGf4oLbgwd5JQaHyKVQZU9UdGE0w5rtDsrZzfUaomLo" ], "vct": "https://credentials.example.com/identity_credential", "_sd_alg": "sha-256", "cnf": { "jwk": { "kty": "EC", "crv": "P-256" } } }

mdoc (ISO/IEC 18013-5) ni nini

ISO/IEC 18013-5 inafafanua sifa za leseni, usimbaji wake katika Concise Binary Object Representation (CBOR), namespaces zinazozuia vitambulisho kugongana, utaratibu wa uthibitisho wenye ufichuzi teule, ufungaji wa kifaa wa lazima, na ubadilishanaji wa ukaribu.^[1]

Ni muundo wa data wa leseni pekee unaohusu udereva. ARF inabainisha kwamba vipengele vingine vyote "ni vya jumla na vinaweza kutumika kwa aina nyingine yoyote ya uthibitisho, zikiwemo PID".^[1]

OpenID4VP inaeleza hati tambulishi hizi kuwa "zimesimbwa katika CBOR na kulindwa kwa kutumia COSE_Sign1" na inazipa kitambulisho cha muundo mso_mdoc. Hoja (query) hutaja aina ya hati kupitia doctype_value.^[4]

Jinsi ufichuzi teule unavyofanya kazi katika kila muundo

Ufichuzi teule humwezesha mtumiaji kushiriki baadhi ya sifa na kuficha zilizobaki, huku mthibitishaji akiendelea kukagua saini ya mtoaji. eIDAS 2 inazitaka pochi kuwezesha hili.^[6] ARF inauita utaratibu wa SD-JWT "salted hashes" na inasema "kidhana unafanana kabisa na utaratibu unaotumika kwa madhumuni hayo hayo katika [ISO/IEC 18013-5]".^[1]

Utaratibu mmoja, usimbaji wa aina mbili.^[1][4]

Katika mfano hapo juu, safu ya _sd hubeba muhtasari (digests) wa SHA-256. Kila ufichuzi ni safu yenye thamani nasibu, jina la dai na thamani ya dai. Kwa jina la kwanza ni ["2GLC42sKQveCfGfryNRN9w", "given_name", "John"], na hashi yake ndiyo muhtasari wa kwanza katika orodha. Mthibitishaji hukokotoa hashi ya kila ufichuzi anaoupokea na kutafuta muhtasari huo katika maudhui yaliyosainiwa (payload).^[4]

Madai hulengwa kwa njia tofauti. Kwa kitambulisho cha JSON, njia ya madai ni orodha ya funguo kama ["address", "street_address"]. Kwa mdoc, njia hiyo "ina vipengele viwili vya aina ya string": nafasi ya majina na kitambulisho cha kipengele cha data, kwa mfano ["org.iso.18013.5.1", "first_name"].^[4]

Ufungaji wa ufunguo (key binding) na ushirikishaji wa kifaa (device engagement)

Ufungaji wa kifaa (device binding) huunganisha kitambulisho na funguo zilizohifadhiwa katika pochi ya mtumiaji, hivyo hakiwezi kunakiliwa. Mthibitishaji hukikagua kwa kuiomba pochi isaini data mpya nasibu kwa ufunguo binafsi unaolingana na ufunguo wa umma ulio ndani ya kitambulisho.^[1] Majina yanatofautiana: "Katika [ISO/IEC 18013-5] unaitwa 'mdoc authentication'. Katika [SD-JWT VC] unaitwa 'key binding'."^[1]

Ufungaji wa kifaa ni lazima kwa PID katika miundo yote miwili.^[1][4]

Kwa SD-JWT VC, kanuni katika OpenID4VP ni kali. Wakati require_cryptographic_holder_binding ni true, ambayo ndiyo chaguo-msingi, pochi "LAZIMA irudishe SD-JWT" pamoja na Key Binding JWT. Dai la nonce lazima liwe sawa na nonce ya ombi lako, na aud lazima iwe sawa na Client Identifier yako. Isipokuwa kupitia Digital Credentials API, ambapo lazima iwe sawa na origin yako ikitanguliwa na origin:.^[4]

Ushirikishaji wa kifaa (device engagement) ni wa mdoc pekee. Katika mtiririko wa ukaribu, mtumiaji anaonyesha msimbo wa QR au anawasilisha lebo ya NFC. Lebo hiyo inabeba kile ambacho kisomaji kinahitaji ili kufungua muunganisho wa NFC, Bluetooth Low Energy au Wi-Fi Aware na kujenga juu yake chaneli iliyothibitishwa na iliyosimbwa, bila muunganisho wa intaneti kati ya vifaa hivyo viwili.^[1]

Uwasilishaji wa ukaribu kwa mdoc (ISO/IEC 18013-5), kwa muhtasari.^[1]

Kile ambacho mtumiaji anaona:

Itifaki za uwasilishaji: OpenID4VP, ISO/IEC 18013-7 na uwasilishaji wa karibu

ARF inaorodhesha kile ambacho pochi hushughulikia: ISO/IEC 18013-5 kwa uwasilishaji wa karibu, na OpenID4VP au ISO/IEC 18013-7 kwa uwasilishaji wa mbali.^[1]

Itifaki ipi hubeba muundo upi, kwa mujibu wa ARF.^[1]

Uthibitisho wa SD-JWT VC "hauwezi kutumika katika uwasilishaji wa karibu". ISO/IEC 18013-7 "inaweza kutumika tu kuomba na kuwasilisha uthibitisho katika muundo unaotii [ISO/IEC 18013-5]". OpenID4VP "inafaa tu kwa mitiririko ya miamala ya uwasilishaji wa mbali" na hubeba miundo yote miwili.^[1] OpenID4VP 1.0 ikawa Final Specification tarehe 10 Julai 2025.^[5]

ARF haipendekezi mipango maalum ya URI kati ya vifaa tofauti, kwa sababu mitiririko hiyo "iko hatarini kwa mashambulizi ya hadaa na ya upitishaji", na inataja Digital Credentials API kama mbadala.^[1] API hiyo bado ni rasimu ya W3C, na Chrome 141 huiwasha kwa chaguo-msingi.^[9][10] ISO inaorodhesha vipimo vya kiufundi vya 2024 vya 18013-7 kuwa vimeondolewa na kubadilishwa, huku toleo la tatu likiwa linaandaliwa, kwa hivyo hakikisha ni toleo gani msimbo wako unalenga.^[7][8] Maelezo ya maombi yamo katika mwongozo wa mthibitishaji wa OpenID4VP.

Kile ambacho Kanuni ya Utekelezaji (EU) 2026/1731 inahitaji kwa PID

Kanuni ya kwanza kuhusu miundo ya PID, Kanuni ya Utekelezaji (EU) 2024/2977, ilisema PID "itatolewa katika miundo miwili": ISO/IEC 18013-5:2021 na Verifiable Credentials Data Model 1.1.^[2][3] Sheria ya marekebisho ya Julai 2026 ilibadilisha sentensi hiyo. Sasa PID "itatolewa kwa mujibu wa viwango vilivyowekwa katika Kiambatisho II cha Kanuni ya Utekelezaji (EU) 2024/2979, vifungu 5 (muundo wa SD-JWT VC) na 6 (muundo wa ISO/IEC-mdoc)".^[2]

1. 4 Desemba 2024Kanuni ya kwanza2024/2977: 18013-5 na VCDM 1.1.
2. 22 Julai 2026Imerekebishwa2026/1731: SD-JWT VC na mdoc.
3. 23 Julai 2026ARF v3.0.0Imeoanishwa na sheria za marekebisho.
4. 24 Desemba 2026Mwisho wa muda wa pochiPochi moja kwa kila Nchi Mwanachama.
5. 11 Agosti 2028Picha ya usoSharti la picha ya uso linatumika, isipokuwa mtumiaji akichagua waziwazi kujiondoa, pale inapohusika.

Jinsi sheria kuhusu miundo ya PID ilivyobadilika.^[1][2][3][6]

Sheria hiyo hiyo inaweka wasifu wawili wa uwasilishaji katika kiambatisho chake cha Kanuni ya Utekelezaji (EU) 2024/2982: "wasifu wa ISO/IEC-mdoc" na "wasifu wa OpenID4VC-HAIP".^[2]

• Tuma cheti chako cha usajili: kipengele kimoja cha verifier_info "kitajumuisha cheti cha usajili".^[2]
• Tumia cheti chako cha ufikiaji kama cheti cha mwisho (leaf certificate) pamoja na Kiambishi awali cha Kitambulisho cha Mteja (Client Identifier Prefix) x509_hash.^[2]
• Fuata "Kiambatisho C cha ISO/IEC 18013-7:2025" kwa mdoc kupitia Digital Credentials API.^[2]

Usajili umeelezwa katika mwongozo wa mhusika anayetegemea pochi ya EUDI, na ratiba katika tarehe za mwisho za pochi ya EUDI kwa 2026 na 2027.

SD-JWT VC dhidi ya mdoc (ISO/IEC 18013-5): jedwali la ulinganisho

Kutoka ARF, isipokuwa safu ya PID (Kanuni ya Utekelezaji 2026/1731) na safu mbili za mwisho (OpenID4VP 1.0).^[1][2][4]

Leseni za udereva za simu nchini Marekani zinajengwa juu ya ISO/IEC 18013-5 kwa matumizi ya ukaribu.^[7][8] Suluhisho la EU la uthibitishaji wa umri linataja uthibitisho wa maarifa sifuri (zero-knowledge proof) kama utaratibu wake wa lazima wa uwasilishaji, "huku uwasilishaji wa kawaida wa mDoc ukiwa mbadala".^[13] EVO Wallet ya Moldova inaeleza OpenID4VP 1.0 pamoja na mdoc ya ISO/IEC 18013-5, yenye wasifu kwa mujibu wa HAIP 1.0.^[11]

Muundo upi mhusika anayetegemea lazima auunge mkono

Vitengo vya pochi vinashughulikia miundo yote miwili, na PID inatolewa katika miundo yote miwili.^[1][2] Maandiko yaliyosomwa kwa mwongozo huu hayana kifungu chochote kinachomlazimu mhusika anayetegemea kuomba miundo yote miwili. Tafsiri ya kivitendo: mthibitishaji wa mbali anaweza kuomba muundo wowote kati ya hiyo, na kisomaji kisicho na muunganisho wa intaneti kinahitaji mdoc, muundo pekee unaofanya kazi katika ukaribu.^[1]

Digital Credentials Query Language (DCQL) katika OpenID4VP inaruhusu ombi moja kubeba hoja ya dc+sd-jwt na hoja ya mso_mdoc sambamba; vipimo vinaonyesha ombi la aina hiyo.^[4] Kwa mujibu wa ARF, mhusika anayetegemea anathibitisha sahihi ya mtoaji dhidi ya nanga ya uaminifu kutoka Orodha ya Kuaminika (Trusted List) au Orodha ya Taasisi Zinazoaminika (List of Trusted Entities), anakagua ubatilishaji kupitia orodha ya hali au orodha ya ubatilishaji, na anathibitisha ufungaji wa kifaa.^[1]

Chini ya eIDAS 2, Kanuni (EU) 2024/1183, kila Nchi Mwanachama lazima itoe angalau pochi moja ifikapo 24 Desemba 2026, na wahusika binafsi wanaotegemea ambao wanatakiwa kutumia uthibitishaji imara wa mtumiaji lazima waikubali kwa ombi la mtumiaji ifikapo 24 Desemba 2027, huku biashara ndogo sana na ndogo zikiwa zimesamehewa.^[6] Hali ya kila nchi iko katika kifuatiliaji cha uzinduzi wa EUDI Wallet.

Maktaba na zana za majaribio

Vyanzo vya mwongozo huu havitaji maktaba yoyote ya chanzo huria, kwa hivyo sehemu hii haitaji yoyote. Hata hivyo, vinaeleza mahali pa kufanya majaribio na nini cha kukagua katika maktaba yoyote utakayochagua.

• Endesha majaribio ya ulinganifu kwenye conformance.eudi.dev, yaliyotajwa katika maelezo ya toleo la ARF v3.0.0.^[1]
• Soma nyaraka za utekelezaji wa marejeleo kwenye docs.eudi.dev.^[1]
• Jifunze kutoka kwa mthibitishaji aliyechapishwa: Benki ya Taifa ya Moldova ilitoa mthibitishaji wa maonyesho pamoja na msimbo wake wa chanzo kwa ajili ya taasisi za fedha.^[12]
• Thibitisha kwamba maktaba inafuata HAIP, si vipimo vya msingi pekee.^[1]
• Thibitisha ni toleo gani la ISO/IEC 18013-7 inalotekeleza.^[2][8]

Jinsi Didit inavyosaidia katika uthibitishaji wa pochi ya EUDI

Ukubalikaji wa pochi ya EUDI unakuja hivi karibuni kwenye Didit. Uko kwenye ramani yetu ya maendeleo, unaendana na ratiba ya pochi ya EUDI, na utakuwa ndani ya mtiririko uleule wa kazi unaoutumia leo. Unaweza kuthibitisha watu kwa mbali sasa hivi.

• eID tano za kitaifa zinafanya kazi kwenye Didit leo kupitia pochi za kitambulisho cha kidijitali: MitID, BankID Sweden, Finnish Trust Network, Smart-ID na Mobile-ID. Tazama uthibitishaji wa eID.
• Wengine wote hutumia uthibitishaji wa hati pamoja na usomaji wa chipu ya NFC, ukaguzi wa uhai na ulinganishaji wa uso. Ukaguzi kamili wa KYC unagharimu $0.33.
• Uchunguzi wa AML unafanyika katika mtiririko uleule kwa $0.20.

Nyaraka za pochi zinaonyesha jinsi eID zinavyowashwa kwa kila nchi.

Maswali yanayoulizwa mara kwa mara

Vyanzo

1. Architecture and Reference Framework v3.0.0, eu-digital-identity-wallet kwenye GitHub, toleo la tarehe 23 Julai 2026.
2. Kanuni ya Utekelezaji ya Kamisheni (EU) 2026/1731, EUR-Lex, Gazeti Rasmi la tarehe 22 Julai 2026.
3. Kanuni ya Utekelezaji ya Kamisheni (EU) 2024/2977 kuhusu data ya utambulisho wa mtu, EUR-Lex, Gazeti Rasmi la tarehe 4 Desemba 2024.
4. OpenID for Verifiable Presentations 1.0, OpenID Foundation, Vipimo vya Mwisho.
5. Vipimo vya Mwisho vya OpenID for Verifiable Presentations 1.0 Vimeidhinishwa, OpenID Foundation, 10 Julai 2025.
6. Kanuni (EU) 2024/1183 (eIDAS 2), EUR-Lex, Gazeti Rasmi la tarehe 30 Aprili 2024.
7. Mfululizo wa ISO/IEC 18013, leseni ya udereva ya simu, ukurasa wa kiwango wa ISO.
8. ISO/IEC 18013-7, ukurasa wa kiwango wa ISO.
9. Digital Credentials, rasimu ya W3C.
10. Digital Credentials API imezinduliwa, Chrome for Developers.
11. Mwongozo wa wasanidi wa EVO Wallet, Serikali ya Moldova, egov4dev.
12. Mthibitishaji wa majaribio wa BNM, Serikali ya Moldova, egov4dev.
13. Suluhisho la EU la uthibitishaji wa umri, tovuti ya kiufundi, ageverification.dev.

SD-JWT VC na mdoc (ISO/IEC 18013-5) ni miundo miwili ya usimbaji wa ahadi ileile: sifa zilizotiwa saini ambazo mtumiaji anazidhibiti. Angalia jinsi Didit inavyoshughulikia ukubalikaji wa pochi kwenye ukurasa wa suluhisho la pochi ya EUDI, na kila mpango wa kitaifa katika mipango ya eID kwa nchi.