數位身分證件與憑證常見問題

本頁面提供與 Google 錢包整合數位身分和憑證的常見問題解答。

新手上路

問：新合作夥伴如何逐步加入，成為依賴方 (RP)？

答：請按照「選擇您的路徑」中的逐步指南操作。

問：RP 新手上路程序通常需要多久時間？

答：新手上路程序通常需要 3 到 5 個工作天。

問：提交信賴方 (RP) 申請後，如何追蹤申請狀態？

答：如果 5 天後仍未收到回覆，請透過 wallet-identity-rp-support@google.com 聯絡支援團隊。

問：哪裡可以找到 RP 新手上路表單和官方開發人員說明文件？

A：

問：我們提供的資訊 (例如產品名稱和標誌) 會如何用於產品體驗？

答：產品名稱和標誌會顯示在面向使用者的同意畫面，協助使用者辨識是哪個依賴方要求提供數位身分證件。產品體驗中也可能包含網址和政策連結。

問：如果我們只打算使用沙箱環境進行開發和測試，是否需要簽署《服務條款》？

答：不需要，接受《服務條款》並非測試的必要步驟。

問：哪裡可以找到參考實作、程式碼範例或試用版應用程式，以便開始使用？

A：

驗證者註冊商

問：什麼是驗證者註冊商？運作方式為何？

答：驗證者註冊機構會做為憑證授權單位，負責註冊下游用戶端 (終端 RP)。終端 RP 不會直接與 Google 錢包互動。

問：驗證機構註冊商及其下游客戶的新手上路程序為何？

答：請參閱「驗證者註冊商指南」中的步驟。

問：這與直接整合 RP 有何不同？

答：驗證者註冊商會管理客戶的信任關係，並代表客戶處理與 Google 錢包的整合事宜，而直接 RP 則會自行管理與 Google 的設定。

問：在驗證者註冊商中，誰會加入 Google 設定的許可清單：驗證者註冊商、終端 RP，還是兩者？

答：Google 會將驗證機構註冊商的根 CA 憑證加入許可清單。接著，驗證者註冊機構會為每個下游端 RP 核發新的分葉憑證。

問：資料如何在終端 RP、驗證者註冊機構和 Google 錢包之間傳輸？

答：驗證者註冊商會代表終端 RP，將 API 要求傳送至 Google 錢包。Google 錢包會將加密的憑證資料傳回驗證者註冊機構，由該機構處理資料，並將最終信號傳送至終端 RP。

答：不會。驗證者註冊商可以選擇不顯示詳細資料。

問：根 CA 和 RP 憑證允許的金鑰類型和曲線為何？

答：憑證應使用 P-256 / ECDSA 產生。

問：我們可以在根 CA 和 RP 分葉憑證之間，使用中繼簽署者憑證嗎？

答：可以。您可以安全地儲存長期根憑證 (例如儲存在 HSM 中)，不常簽署作業中繼憑證。這些中繼憑證可用於簽署最終 RP 分葉憑證，在發生資料侵害事件時，可更輕鬆地輪換憑證，而不會影響根憑證。

問：憑證的必要效期為何？

答：根 CA 憑證的效期為 10 年，完全可以接受。一般來說，端點 RP 分葉憑證應遵循約 1 年的更新時間表，確保在發生問題時能有效輪替。

問：我們是否需要為每個依賴方 (RP) 客戶管理個別的分葉憑證？

答：可以。在初始推出期間，集結網站必須為每個下游 RP 管理個別憑證。這樣一來，系統就能為每個 RP 進行顯示設定，並準確追蹤濫用行為。雖然這會增加大規模作業的負擔，但我們打算在初步推出後，重新評估潛在替代方案 (例如使用 RP 中繼資料雜湊)。

問：合作夥伴可以同時擁有多張有效認證嗎？

答：可以，這項設定支援每個 RP 或集結網站有多個有效憑證，適合以多個商家名稱營運的合作夥伴。

問：辨別名稱 (主體) 的格式應為何？

答：每個合作夥伴的辨別名稱在全域範圍內都不得重複。Google 會使用這個靜態 ID 監控傳入的合作夥伴要求，並確保生態系統的信任度。

問：網域繫結如何運作？來源是否需要嵌入憑證？

答：網域不一定要直接嵌入憑證本身。而是使用 API 呼叫中的預期來源參數，執行網域驗證。此外，多個網域可以順暢地與單一憑證建立關聯。如果是未簽署的要求，系統會使用網域或應用程式套件名稱，以及指紋執行繫結。

問：在白標體驗中，驗證使用者介面可以省略集結網站詳細資料嗎？

答：是，驗證者中繼資料中的匯總資訊 (例如名稱、標誌、網址和隱私權政策) 完全可選填。這樣一來，您就能提供完全白標的解決方案，只向使用者顯示最終 RP 詳細資料。

問：我們需要提供哪些資訊，才能開始在沙箱環境中測試？

答：從技術角度來看，您只需要提供沙箱根憑證。沙箱環境與正式環境完全相同。

問：驗證者註冊商 (集結網站) 與直接 RP 的新手上路程序有何不同？

答：集結網站的程序會稍有不同。簽署《驗證者註冊商服務條款》後，您需要填寫兩份表單：一份是主要表單，用於確立您的驗證者註冊商身分；另一份是精簡表單，用於註冊個別 RP。提交 RP 時，通常需要附上整合過程的錄影，審查程序一般需要 2 到 3 個工作天。

問：如果客戶打算擔任中介商，或向其他實體轉售驗證服務，我們是否可以為其提供服務？

答：不會。Google 目前的模式和偏好是直接與驗證機構註冊商 (匯總商) 及其直接終端 RP 合作，而非支援巢狀經銷商或中介商模式。

技術整合和 API

問：要求的基礎通訊協定為何？支援哪些版本？

答：主要通訊協定是 OpenID for Verifiable Presentations (OpenID4VP) 1.0 版。

問：Google 支援哪些 ISO 18013-7 附錄 (例如附錄 B、C、D) 的 mDL 出示方式？

答：Google 支援附錄 D [目前為草稿] (使用 DC API 的 OpenID4VP)。

問：如何正確建構 API 要求，在單一使用者顯示畫面中要求多個憑證？

答：在同一個 JSON 要求中，應透過單一 dcql 查詢物件要求這兩種憑證類型。

問：API 是否允許要求一般憑證，而不列出所有可能的憑證類型？

答：不行。

問：API 如何處理年齡驗證？我們能否要求確切的出生日期，還是只能要求「超過 X 歲」的信號？

答：兩者都支援。您可以要求birth_date、age_in_years或隱私權保護「超過 X」信號。零知識證明 (ZKP) 也可用於是/否信號。

問：PKI 基礎架構有哪些需求？

答：RP 需要 PKI 才能簽署要求。驗證器註冊商會自行擔任 CA。

問：我們可以使用現有的憑證嗎？還是需要取得 Google 簽署的新憑證？

答：RP 必須取得由 Google 或驗證者註冊機構簽署的新憑證。如果是驗證器註冊商，只要按照說明文件中的「建立信任」步驟操作，Google 就會信任您的根憑證。

答：整個請求應在伺服器端產生。在 Android 上，請使用 Credman API；在網路上，請使用 Digital Credentials (DC) API。

問：開發人員可以使用哪些偵錯、記錄和觀測工具？

答：合作夥伴可以使用 wallet-identity-rp-support@google.com 支援別名。不提供特定的記錄或觀測工具。

憑證和資料

問：各國家/地區支援哪些數位身分證件、核發機構和憑證？

答：請參閱「支援的核發機構和憑證」一文，查看支援的地區。

問：何時會支援新國家/地區的憑證？

答：我們正積極新增支援區域，請查看支援的發卡機構頁面，瞭解最新資訊。

問：核發機構更新憑證時，使用者會收到通知嗎？

答：會，使用者會收到通知，系統也會自動套用更新。

測試與環境

問：如何存取沙箱環境，測試完整的端對端流程？

答：沙箱網址為：沙箱模式。

問：如果合作夥伴不在正式推出服務的地區，該如何加入測試許可清單？

答：請將測試錢包的 Gmail ID 透過電子郵件傳送至 wallet-identity-rp-support@google.com。

問：如何啟用測試網站或應用程式，讓任何擁有正式版憑證的人都能展示？

答：合作夥伴必須完成標準 RP 新手上路流程，包括沙箱影片示範。

使用者體驗 (UX)

問：如果使用者在啟動驗證流程時，沒有數位身分證件或未安裝 Google 錢包應用程式，會發生什麼情況？

答：如果使用者未安裝應用程式，系統會將他們導向 Play 商店。沒有 ID 的使用者則可透過半螢幕 UI 建立 ID。

問：我們能否透過程式輔助方式，偵測使用者是否已在錢包中儲存數位身分證件，再向他們顯示驗證選項？

答：不行，API 必須由使用者叫用，才能保護隱私。

問：我們能否要求使用者先以生物特徵辨識技術解鎖裝置，再出示憑證？

答：根據預設，使用者必須通過驗證 (生物辨識、PIN 碼或解鎖圖案)，且無法停用這項功能。

答：不行，Google 錢包會依字母順序重新排列。

資訊安全與法規遵循

問：我們的用途涉及與第三方重新分享使用者資料。《服務條款》是否允許這種做法？

答：可以，但可能須遵守相關限制，詳情請參閱服務條款。

問：有哪些文件可供我們瞭解數位身分解決方案的安全性、可靠性和無障礙功能，以確保符合法規？

答：合作夥伴可以參考 Trail of Bits 的安全性審查。

進階功能和藍圖

問：零知識證明 (ZKP) 如何保護隱私權，同時驗證年齡？

答：零知識證明 (ZKP) 是一種密碼學方法，可讓個人 (證明者) 向驗證者證明自己擁有特定身分資訊或符合特定條件 (例如年滿 18 歲、持有有效憑證)，而不必透露實際基礎資料。

問：如何處理不同版本的 ZK 電路？

答：RP 必須導入 ZK 驗證器服務，才能要求最新的可用電路。

問：如何在手機和穿戴式裝置等多部裝置上共用及管理憑證？

答：憑證會佈建到單一裝置，無法共用。

其他

問：如果護照遭撤銷，Google 會如何處理身分憑證撤銷事宜？

答：使用者可以透過 Google 帳戶設定刪除憑證，也可以回報裝置遺失，撤銷憑證。

問：如何撤銷 mDL？這是即時資訊嗎？

答：可以由使用者觸發，或由核發機構 (監理所) 推送。如果裝置連上網路，就會即時更新；否則，短期安全性物件 (MSO) 將會過期。

問：RP 的金鑰輪替政策為何？

答：建議每年輪替一次。

問：Digital Credentials API 支援的最低 Android 版本為何？

答：Android 9 (API 級別 28) 以上版本。

問：支援 Digital Credentials API 的最低 Chrome 版本為何？

答：Chrome 128 以上版本。

問：哪些瀏覽器支援 Digital Credentials API？

答：如要查看瀏覽器支援詳情，請前往 https://digitalcredentials.dev/ecosystem-support

問：新國家/地區推出後，哪些使用者可以新增身分證件？

答：系統會根據使用者在 Play 商店中的國家/地區設定，判斷是否提供存取權。

問：Digital Credentials API 是否支援 iOS？

答：可以，API 支援 Safari 等瀏覽器。不過，Apple 不支援 OpenID4VP。