راهنمای ثبت نام تأییدکننده

نمای کلی

این بخش، فرآیند گام به گامِ ثبت‌نام‌کنندگانِ تأییدکننده برای استفاده از سرویس هویت گوگل والت را شرح می‌دهد.

به عنوان یک ثبت‌کننده تأیید (برای مثال، یک شرکت IDV که از طرف سایر نهادها تأیید می‌کند)، شما به عنوان مرجع صدور گواهی (CA) خود عمل می‌کنید و درخواست‌های هویت را برای طرفین متکی به پایانه (RP) که مدیریت می‌کنید، امضا می‌کنید.

فرآیند جذب و استخدام

مرحله ۱: بررسی کسب و کار و شرایط خدمات (ToS)

  • شرایط خدمات را بپذیرید و اطلاعات خود را ارسال کنید: فرم پذیرش ثبت‌نام تأییدکننده را پر کنید تا شرایط خدمات ثبت‌نام تأییدکننده Google Wallet را بپذیرید و ثبت‌نام خود را آغاز کنید.

مرحله ۲: ایجاد اعتماد (راه‌اندازی مرکز صدور گواهی ریشه)

کیف پول گوگل از مدل زنجیره اعتماد (Chain of Trust) استفاده می‌کند.

  • ارسال گواهی ریشه: گواهی ریشه CA خود را به گوگل ارائه دهید.
  • گوگل گواهی ریشه شما را به فروشگاه اعتماد گوگل والت اضافه می‌کند و به آن اجازه می‌دهد تا هرگونه گواهی که برای RP های نهایی شما صادر می‌کنید را تأیید کند.

مرحله ۳: پایان دادن به فرآیند جذب RP

برای هر End RP که امضا می‌کنید، باید:

  • به گوگل اطلاع دهید: از فرم پذیرش مشتری ثبت‌کننده‌ی تأییدکننده برای اطلاع‌رسانی به گوگل در مورد RP جدید و کاربرد مورد نظر آن استفاده کنید.
  • پیکربندی فراداده: اطلاعات نمایشی RP (نام، لوگو، URL سیاست حفظ حریم خصوصی) را وارد کنید و یک نام متمایز (موضوع) منحصر به فرد جهانی در گواهی آنها تنظیم کنید.

مشخصات فنی

الف. مشخصات گواهینامه

درخواست‌ها باید توسط گواهی‌های استاندارد X.509 v3 که با استفاده از P-256 / ECDSA تولید می‌شوند و حاوی یک افزونه سفارشی گوگل هستند، امضا شوند:

  • شناسه‌ی داخلی سفارشی: 1.3.6.1.4.1.11129.10.1
  • بحرانی بودن: غیر بحرانی.
  • محتوا: یک هش SHA256 از RelyingPartyMetadataBytes ، که در یک OCTET STRING ASN.1 کدگذاری شده است.

ب. طرحواره فراداده (CBOR)

متادیتا باید با فرمت CBOR کدگذاری شود.

; in CDDL for CBOR encoding
; schemaVersion = "v1"

RelyingPartyMetadataBytes = #6.24(bstr .cbor RelyingPartyMetadata)


RelyingPartyMetadata = {
  "schema_version": tstr,
  "display": DisplayInfo,
  "aggregator_info": DisplayInfo  ; Optional: include to show your branding alongside the RP
}

DisplayInfo = {
  "display_name": tstr,
  "logo_uri": tstr,             ; See note below on brand guidelines
  "privacy_policy_uri": tstr
}

logo_uri باید از دستورالعمل‌های برند کیف پول گوگل (Google Wallet) پیروی کند.

ج. ادغام OpenID4VP

متادیتای کدگذاری شده‌ی base64url را در شیء client_metadata قرار دهید:

{
  "client_metadata": {
    "vp_formats_supported": { ... },
    "gw_rp_metadata_bytes": "<base64url encoding of RelyingPartyMetadataBytes>"
  },
  "nonce": "...",
  "response_mode": "dc_api",
  "response_type": "vp_token"
}

انطباق و ابطال

  • نظارت بر سوءاستفاده: گوگل فعالیت‌های مخرب RP را رصد می‌کند و در صورت مشاهده هرگونه سوءاستفاده، شما را مطلع خواهد کرد.
  • ابطال سریع: شما موظف هستید که به سرعت گواهینامه‌های مربوط به RPهای سوءاستفاده‌گر را ابطال کرده و فهرست به‌روز شده‌ی ابطال گواهینامه (CRL) را منتشر کنید.
  • حسابرسی: گوگل گزارش‌های ناشناس را نگهداری می‌کند تا اطمینان حاصل کند که درخواست‌های RP با موارد استفاده ثبت‌شده آنها مطابقت دارند.

مراحل بعدی

برای شروع فرآیند استخدام، با نماینده گوگل خود تماس بگیرید و گواهی‌نامه پیشنهادی Root CA و فهرست اولیه End RP های خود را ارائه دهید.