פרטי כניסה דיגיטליים הם מסמכים שניתן לאמת באמצעות הצפנה, ומשמשים לאימות, להרשאה או למתן מידע מאומת על משתמש. המסמכים האלה – כמו רישיונות נהיגה בנייד (mDL), דרכונים דיגיטליים ומסמכי זיהוי – מאוחסנים באופן מאובטח בארנקים דיגיטליים.
קבלת תעודות מזהות באינטרנט
Google מפתחת סביבה עסקית פתוחה, מאובטחת, פרטית ומבוססת-תקנים לארנקים דיגיטליים. באמצעות שילוב של W3C Digital Credentials API, גורמים מסתמכים (אפליקציות ואתרים) יכולים לבקש בצורה חלקה הוכחה ניתנת לאימות של הזהות והגיל מ-Google Wallet של המשתמש, או מכל ארנק דיגיטלי תואם אחר, תוך שמירה מקסימלית על הפרטיות.
תרחישים לדוגמה של שימוש בתעודות מזהות ב-Google Wallet
- אימות גיל: בקשת אימות גיל לפני רכישת פריטים שחלה עליהם הגבלת גיל או גישה למקומות שחלה עליהם הגבלת גיל.
- אימות זהות: בקשת שם וכתובת כדי לאמת את הזהות של אדם לצורך עמידה בהוראות הדין או מניעת הונאות.
- זכויות נהיגה: אימות היכולת של אדם לנהוג (לדוגמה, כששוכרים רכב).
למה כדאי לשלב את Google Wallet?
שילוב Digital Credentials API מספק ערך אסטרטגי, ומאפשר לכם לאמת בצורה חלקה מאפייני זהות באינטרנט ללא עלות, במגוון מכשירים ודפדפנים.
- ללא תשלום: ממשק API אחד שמאפשר לבקש ולאחזר פרטי כניסה מ-Google Wallet (ומארנקים תואמים אחרים) ללא עלות.
- תאימות ותקנים: המערכת מבוססת על תקנים פתוחים גלובליים, כולל W3C Digital Credentials, OpenID4VP ו-ISO 18013-5/7. כך אפשר להבטיח תאימות לסביבות גלובליות של שירותי אימות זהות, בהתאם למסגרת eIDAS 2.0 של האיחוד האירופי.
- בכל הדפדפנים ובכל המכשירים: מנגנון מאוחד שפועל בצורה חלקה באינטרנט וב-Android. הוא תומך בשימוש בכמה ארנקים במקביל, כך שהמשתמשים יכולים לבחור ביניהם וליהנות מיכולת פעולה הדדית.
- אותות מהימנים שאפשר לאמת: לא מסתמכים רק על מידע שהמשתמשים מצהירים עליו. לקבל מאפייני זהות וגיל חתומים באופן קריפטוגרפי ממנפיקים פרטיים מהימנים או ממנפיקים ממשלתיים (לרשימת המנפיקים הנתמכים).
- חוויית משתמש חלקה: אפליקציית Google Wallet מותקנת ביותר מ-3 מיליארד מכשירי Android ביותר מ-200 מדינות. המשתמשים יכולים להציג את פרטי הכניסה שלהם באופן מקורי באפליקציה או באינטרנט, עם מינימום חיכוך.
שמירה על פרטיות והוכחות באפס ידיעה (ZKP)
מערכות של זהות דיגיטלית שמסתמכות על שיתוף ישיר של נתונים דורשות לעיתים קרובות מהמשתמשים לשתף יותר מדי מידע אישי. כדי לפתור את הבעיה הזו, Google Wallet תומך בהוכחות באפס ידיעה (ZKP) בנוסף למסמכי mdoc קיימים מסוג ISO 18013-7.
הוכחת אפס ידיעה היא שיטה קריפטוגרפית שמאפשרת למשתמשים להוכיח טענה (לדוגמה, "אני מעל גיל 18") בלי לחשוף את הנתונים הבסיסיים בפועל (לדוגמה, תאריך הלידה המדויק שלהם).
- חשיפה סלקטיבית: אתם מבקשים רק את המאפיינים המינימליים שנדרשים לתרחיש לדוגמה שלכם.
- אי-יכולת קישור: העסקאות קשורות למכשיר. הוכחת אפס ידיעה מבטיחה שהמנפיק, הגורם המסתמך או Google לא יוכלו לזהות או לעקוב אחרי הצגת התעודה.
- אין מעקב בשרת: Google לא שומרת נתונים שקשורים לפרטי הכניסה בשרתים שלה. כל הנתונים מאוחסנים באופן מקומי ומאובטח במכשיר של המשתמש, במאגר מהימן.
- הסכמת המשתמש: אפליקציות לא יכולות לשלוח שאילתות לארנק באופן סמוי. כדי להגן על הפרטיות, המשתמש צריך להפעיל את ה-API, ונדרש אימות משתמש (נתונים ביומטריים, קוד אימות או קו ביטול נעילה) לפני שיתוף הנתונים המשותפים.
חווית משתמש
בין אם המשתמשים מאמתים את הגיל שלהם כדי לצפות בתוכן מוגבל ובין אם הם משתפים את הזהות שלהם כדי להצטרף לשירות, התהליך פשוט וקל.
1. תהליך רגיל באפליקציה או באתר
כשמשתמש לוחץ על הכפתור "אימות באמצעות תעודה מזהה דיגיטלית", הכלי Credential Manager (ב-Android) או הדפדפן מתאימים את הבקשה לפרטי הכניסה שעומדים בדרישות.
 |
 |
 |
 |
 |
| המשתמש מתבקש לאמת את הגיל באפליקציה או באתר | המשתמש רואה את פרטי הכניסה הזמינים שעומדים בדרישות | המשתמש רואה דף אישור ב-Google Wallet | המשתמש מבצע אימות כדי לאשר את השיתוף | הנתונים שנשלחים לאפליקציה או לאתר |
הערות חשובות
- האפליקציה או האתר יכולים ליצור את נקודת הכניסה ל-API בדרכים שונות. כמו שמוצג בשלב 1, מומלץ להציג כפתור כללי כמו "אימות באמצעות תעודה מזהה דיגיטלית", כי אנחנו צופים שעם הזמן יהיו זמינות דרך ה-API אפשרויות נוספות מעבר ל-Google Wallet.
- מסך הבחירה בשלב 2 מוצג על ידי Android. התעודות המתאימות נקבעות לפי התאמה בין לוגיקת הרישום שכל ארנק מספק לבין הבקשה שנשלחת על ידי הצד המסתמך.
- שלב 3 מוצג על ידי Google Wallet. במסך הזה ב-Google Wallet יופיעו השם, הלוגו ומדיניות הפרטיות שהמפתח סיפק.
2. תהליך במכשירים שונים
המשתמשים יכולים להשתמש במכשיר שלהם כדי להציג פרטי כניסה למכשיר אחר (לדוגמה, הצגת תעודה מזהה בדפדפן אינטרנט שמותאם למחשבים). צריך להשתמש ב-Bluetooth כדי לזהות מכשירים קרובים וליצור חיבור.
 |
 |
 |
 |
| משתמש שמתבקש לאמת את הגיל באתר במחשב | המשתמש רואה קוד QR כדי להמשיך את המצגת באמצעות הנייד | המשתמש מציג את פרטי הכניסה מהטלפון | אימות המשתמש הושלם |
הערה: תהליך חוצה-מכשירים זמין רק אם השותף הטמיע בקשות חתומות.
3. תהליך כשאין תעודה מזהה דיגיטלית זמינה
אם למשתמש אין פרטי כניסה או שאפליקציית Wallet לא מותקנת אצלו, אפשר להפנות אותו ליצירת פרטי כניסה או להתקנת האפליקציה בצורה חלקה. משתמשים שלא התקינו את האפליקציה מועברים לחנות Play. אם האפליקציה מותקנת אצלם אבל אין להם תעודה מזהה, הם יכולים ליצור אותה בלי לצאת מהאפליקציה שלכם, באמצעות ממשק משתמש שמוצג בחצי מסך.
תהליך הוספה של תעודה מזהה דיגיטלית
 |
 |
 |
| המשתמש מתבקש לאמת את הגיל באפליקציה או באתר | משתמש שמוצגת לו האפשרות לבחור ארנק כדי להוסיף תעודה מזהה דיגיטלית | המשתמש מועבר ל-Google Wallet כדי להוסיף תעודה מזהה דיגיטלית |
הערה: התהליך הזה מוצע כרגע לגורמים שמסתמכים על אימות זהות (RP) ומבקשים מסמכי זיהוי.
אין תעודה מזהה דיגיטלית זמינה
אם המשתמש בוחר באפשרות "אימות באמצעות תעודה מזהה דיגיטלית" והגורם המסתמך לא מבקש מסמכי זיהוי, או שלמשתמש אין תעודה מזהה שעומדת בדרישות, תוצג הודעת השגיאה הזו.
 |
 |
| המשתמש מתבקש לאמת את הגיל באפליקציה או באתר | למשתמשים שאין להם תעודה מזהה דיגיטלית מוצגת הודעת שגיאה |
השלבים הבאים
רוצים לקבל תעודות מזהות דיגיטליות? מתחילים עם בחירת המסלול כדי לבחור בין אימות באמצעות גורם מסתמך, רשם מאמת ואימות פנים אל פנים, ופועלים לפי מדריך ההטמעה המפורט.
בשאלות הנפוצות בנושא זהות דיגיטלית ופרטי כניסה מפורטות שאלות נפוצות על תהליך ההצטרפות והתחלת העבודה.
קבלת תעודות מזהות באופן אישי (אופליין)
התעודות המזהות ב-Google Wallet מבוססות על התקן הבינלאומי ISO 18013-5 לרישיונות נהיגה בנייד. כלומר:
- כל הנתונים בתעודה המזהה מגובים בחתימה קריפטוגרפית לאימות מאובטח ופשוט
- אפשר להציג תעודות מזהות בקלות באמצעות הצמדה של המכשיר לתקשורת NFC או סריקה של קוד QR, והנתונים מועברים באמצעות BLE
- המשתמשים יכולים לבדוק את הנתונים שהתבקשו לשתף לפני שהם משתפים אותם, והם צריכים לשתף רק את הפרטים שרלוונטיים לעסקה ולא את כל התעודה המזהה.
- המשתמשים חייבים לאמת את הזהות שלהם במכשיר לפני השיתוף
- כל מכשיר שמקבל תעודות מזהות מ-Google Wallet יכול לקבל תעודות מזהות מכל אפליקציה או ארנק אחרים שמיישמים את התקן הזה
- לא צריך להוסיף לרשימת ההיתרים כדי לקרוא רישיונות נהיגה דיגיטליים: אם מסוף הקורא שלכם כבר תומך באחזור mdoc בתקן ISO/IEC 18013-5, אתם יכולים לבקש רישיונות נהיגה דיגיטליים (
org.iso.18013.5.1.mDL) מ-Google Wallet בלי לחכות להוספה לרשימת ההיתרים או להצטרפות (הערה: כרגע יש תמיכה במסמכי זיהוי רק להצגה אונליין, ולא באופן אישי)
פרטים מלאים על ההטמעה זמינים במאמר אישור פנים אל פנים (אופליין).
כדי לראות איך משתמשים בתעודות מזהות ב-Google Wallet, אתם יכולים לצפות בסרטון הזה שמדגים איך מציגים תעודה מזהה: