من كلمات المرور إلى الإثبات: كيف تقوم أداة مصادقة vLEI Authenticator بإنشاء أدوار تنظيمية يمكن التحقق منها

يقدم الدكتور أندريه كودرا، الرئيس التنفيذي للمعلومات في شركة esatus AG، نظرة تقنية متعمقة حول كيفية قيام أداة مصادقة vLEI Authenticator، التي تم تطويرها بالتعاون مع GLEIF، بتفعيل استخدام vLEI في أنظمة إدارة الهوية والوصول لتمكين عملية تسجيل الدخول التي تتحقق تلقائيًا من دور الشخص وسلطته التنظيمية.

---

---

في إدارة الهوية الرقمية، لا تزال المصادقة تعتمد على الافتراضات. نحن نتحقق من بيانات الاعتماد أو كلمات المرور أو الرموز المميزة التي تخبرنا بمن يدعي المستخدم أنه هو، ولكن نادراً ما يخبرنا من يمثله أو تحت أي سلطة يتصرف. وقد شرح الدكتور أندريه كودرا، الرئيس التنفيذي للمعلومات في شركة esatus AG، سابقًا كيف أن أداة المصادقة من خلال vLEI Authenticator - التي تم تطويرها بالتعاون مع GLEIF - تسد هذه الفجوة من خلال إنشاء هوية مؤسسية وأدوار مفوضة يمكن التحقق منها، مبنية على إثبات التشفير بدلاً من تأكيدات الثقة. في هذه المتابعة، يتعمق الدكتور كودرا في الأسس التقنية التي تقوم عليها أداة مصادقة vLEI Authenticator.

عندما لا تكون كلمة "من" كافية

في أنظمة المؤسسات، يقوم المستخدمون بتسجيل الدخول كأفراد. ولكن العديد من العمليات، مثل عمليات تدقيق الالتزام، وإعداد الموردين، والوصول إلى البيانات، وإعداد التقارير التنظيمية، تتطلب معرفة المؤسسة التي تقف وراء الشخص ودوره الرسمي داخلها. بالإضافة إلى ذلك، تعتمد أنظمة الهوية التقليدية، حتى تلك المستندة إلى أنظمة الهوية الموحدة أو المستندة إلى SSO، على تأكيدات مثل "المستخدم X ينتمي إلى الشركة Y." هذه الادعاءات لا يمكن التحقق منها تشفيرياً وتعتمد على صيانة الدليل أو الثقة التعاقدية.

يعالج معرّف الكيان القانوني القابل للتحقق (vLEI) هذه القيود. فباستخدام تقنية حاوية البيانات المتسلسلة الموثوقة (ACDC) وبروتوكول البنية التحتية لاستلام الأحداث الرئيسية (KERI)، فهي عبارة عن بيانات اعتماد رقمية للمؤسسات، صادرة عن الجهة المؤهلة لإصدار معرّفات الكيانات القانونية القابلة للتحقق (QVIs) تحت حوكمة GLEIF. وهو يتحقق من أن المؤسسة موجودة رسميًا وأن أفرادًا محددين مخولين بالتصرف نيابةً عنها. وتكون جميع المعلومات مؤمنة تشفيريًا وقابلة للقراءة الآلية وقابلة للتحقق منها داخل منظومة GLEIF للكيانات القانونية الإلكترونية المُصنّفة.

عندما تقترن ببيانات اعتماد الدور التنظيمي الرسمي (OOR) أو دور سياق المشاركة (ECR)، يمكن لمعرّف هوية vLEI أن يُعبّر ليس فقط عن المؤسسة التي ينتمي إليها الشخص، بل أيضًا عن الوظيفة التي يؤديها، على سبيل المثال، كمدير مالي أو مسؤول الالتزام أو ممثل مفوض.

تقوم أداة مصادقة vLEI Authenticator بتفعيل هذا المفهوم في أنظمة إدارة الهوية والوصول (IAM) في العالم الحقيقي. إليك كيفية عمله.

من الهوية إلى التحقق: بنية عملية

تتكامل أداة مصادقة vLEI Authenticator مع Keycloak، وهو حل إدارة الهوية والوصول مفتوح المصدر، عبر واجهة مزود الخدمة (SPI). لا يقوم بتعديل Keycloak نفسه ولكنه يوسع تدفق المصادقة بخطوة تحقق إضافية.

عندما يختار المستخدم "تسجيل الدخول باستخدام vLEI"، يقوم Keycloak بتفويض العملية إلى SOWL، وهي طبقة التنسيق التي طورتها esatus. تعمل SOWL على الربط بين مكونات الهوية اللامركزية مثل المحافظ وأجهزة التحقق وجهات الإصدار مع البنى التحتية لإدارة شؤون الموظفين (IAM) الخاصة بالمؤسسة. وتقوم بتنسيق الطلب والعرض والتحقق من صحة بيانات الاعتماد القابلة للتحقق، ثم تقوم بإرجاع نتيجة تحقق موقعة إلى Keycloak، والتي تصدر رمز OpenID Connect (OIDC) أو رمز SAML المميز المعتاد.

عملياً، يتم تشغيل معظم العملية تلقائياً في الخلفية. هذا يعني أنه من وجهة نظر المستخدم، فإن تسجيل الدخول باستخدام vLEI بسيط مثل تحديد الخيار وتأكيد عرض بيانات الاعتماد في محفظته.

يصف التسلسل التالي ما يحدث خلف الكواليس:

1. يختار المستخدم "تسجيل الدخول باستخدام vLEI" في تطبيق مثل Nextcloud.
2. يقوم Keycloak بتشغيل تدفق مصادقة SOWL.
3. يتفاعل SOWL مع ملحق المتصفح KERIAuth، والذي يطلب بيانات اعتماد المستخدم OOR أو ECR vLEI من محفظة KERIa Cloud Wallet الخاصة به.
4. تقوم المحفظة بإنشاء عرض تقديمي قابل للتحقق وعناوين التوقيع، بحيث يمكن إرسال العرض التقديمي القابل للتحقق إلى المدقق.
5. ثم تقوم المحفظة بإرجاع العرض التقديمي القابل للتحقق ورؤوس التوقيع عبر امتداد KERIAuth إلى SOWL.
6. تقوم SOWL بإعادة توجيه العرض التقديمي إلى أداة التحقق من vLEI، والتي تتحقق من المصداقية والتكامل من خلال سلسلة ثقة KERI تحت حوكمة GLEIF.
7. وبمجرد التحقق من صحة العرض، تؤكد SOWL النتيجة إلى Keycloak، الذي يكمل المصادقة ويصدر رمز الوصول.

تُعد كلمات المرور اختيارية في هذا التدفق، ويتم الحفاظ على التوافق مع عمليات تسجيل الدخول الحالية التي تتم باستخدام اسم المستخدم وكلمة المرور. لا تنجح عملية تسجيل الدخول إلا إذا كانت بيانات الاعتماد المؤسسية (vLEI) وبيانات اعتماد الدور (OOR أو ECR) صالحة وموقعة تشفيريًا ويمكن تتبعها إلى جهة إصدار معتمدة. وتطلق GLEIF على ذلك سلسلة الثقة الخاصة ببيانات اعتماد vLEI.

SOWL: جعل بيانات الاعتماد القابلة للتحقق منها تعمل على نطاق المؤسسة

كما هو مشار إليه، فإن SOWL هي طبقة منصة طورتها esatus لإدارة بيانات الاعتماد القابلة للتحقق عبر أنظمة متنوعة. يتماشى تصميمها مع الإطار المرجعي للهندسة المعمارية للاتحاد الأوروبي (ARF) ويدعم المعايير مثل OpenID4VCI و OpenID4VP، بالإضافة إلى تنسيقات بيانات الاعتماد مثل SD-JWT و mDoc.

في حالة استخدام مصادقة vLEI Authenticator، يوفر SOWL ثلاث قدرات أساسية:

1. التنسيق: تنسيق التدفق بين المحافظ وأجهزة التحقق وأنظمة IAM مع الحفاظ على نطاقات الثقة منفصلة.
2. التوحيد القياسي: تعريض واجهات REST الموحدة بحيث يمكن ل Keycloak، وربما أنظمة IAM الأخرى في المستقبل، استهلاك نتائج التحقق كقرارات مصادقة.
3. الالتزام وقابلية التدقيق: ضمان تسجيل كل حدث تحقق، وقابلية التكرار، والتوافق مع نموذج الحوكمة لـ GLEIF.

ومن خلال فصل منطق التحقق عن أنظمة إدارة عمليات التحقق من الهوية (IAM)، تسمح SOWL للبنى التحتية الحالية باستخدام بيانات الاعتماد القابلة للتحقق دون إعادة تصميمها. كما أنه يوسع حدود الثقة في مجال الهوية اللامركزية مع الحفاظ على التحكم المؤسسي وإمكانية التتبع.

الجمع بين الحوكمة والتشفير

في منظومة vLEI، تعمل الحوكمة والتشفير جنبًا إلى جنب في منظومة vLEI. تحدد GLEIF القواعد وأسس الثقة لمعرّفات الكيانات القانونية ومعرّفات الكيانات القانونية الافتراضية ولكنها لا تصدرها. تُصدر الكيانات القانونية بموجب حوكمة محددة لمعرّفات الكيانات القانونية الافتراضية وكذلك بيانات اعتماد الكيانات القانونية بيانات اعتمادها الخاصة بها. يربط نموذج الثقة متعدد الطبقات هذا بين الحوكمة والإصدار والتحقق والتحكم في الوصول في سلسلة واحدة:

• توفر GLEIF مرتكزات الحوكمة والثقة العالمية.
• تُصدر مؤسسات التحقق الكمي والكيانات القانونية بيانات الاعتماد.
• تقوم جهات التحقق المستقلة بالتحقق من صحتها تشفيريًا.
• تستهلك أنظمة IAM مثل Keycloak النتائج عبر SOWL.

والنتيجة هي أن المصادقة تصبح عملية محكومة وقابلة للتحقق، وليس مجرد قرار ثقة محلي.

ما علمنا إياه التكامل في العالم الحقيقي

تم اختبار المصادقة المستندة إلى vLEI ونشرها في بيئة مؤسسية منتجة، مما كشف عن دروس رئيسية واضحة:

• التكامل: سمح نهج SPI في Keycloak بالتكامل المعياري منخفض الجهد.
• تجربة المستخدم: تدفق تسجيل الدخول بديهي ولا يعتمد على كلمات المرور.
• الأمان: محافظ الحفظ تبسط العمليات ولكنها تتطلب التوافر؛ وتظل عبارات المرور ضرورية لحماية المفاتيح.
• الأداء: يكتمل التحقق في غضون ثوانٍ.
• الاستقرار: أثبت العرض المستند إلى المتصفح عبر KERIAuth قوته وقابليته للتشغيل البيني.

والنتيجة هي عملية تسجيل الدخول التي تتحقق تلقائيًا من دور الشخص والسلطة التنظيمية من خلال بيانات اعتماد يمكن التحقق منها. وقد نجحت المؤسسات في استخدام أداة مصادقة vLEI Authenticator للتحقق من هوية الشركة وتفويض الموظفين للتصرف نيابةً عنها. ولم يتم منح الوصول إلى البيانات إلا بعد التحقق. وقد استغرقت العملية ثوانٍ واستبدلت المراجعات اليدوية التي تستغرق عادةً ساعات أو أيام.

وفي حين أن النشر داخل منظومة GLEIF يُظهر أن المصادقة القابلة للتحقق جاهزة للاستخدام في العالم الحقيقي، فإن التحدي التالي هو قابلية التشغيل البيني. يركز العمل المستقبلي على دمج أداة المصادقة مع أطر عمل الهوية القائمة على المحفظة مثل محفظة الأعمال الأوروبية للهوية الرقمية (EUDI). على الرغم من أن KERI/ACDC و SD-JWT VC يعتمدان على أسس مختلفة، إلا أن كلاهما يشتركان في مبدأ مشترك: الثقة الموزعة التي تم التحقق منها بواسطة التشفير. ومن شأن الربط بين هاتين البنيتين أن يربط بين إدارة عمليات إدارة الأصول والعمليات (IAM) للمؤسسات والبنية التحتية للهوية الرقمية في أوروبا، مما يحول "الثقة" إلى طبقة تشغيلية مشتركة بدلاً من افتراض.

من تسجيل الدخول إلى بناء الثقة

توضح أداة المصادقة vLEI Authenticator كيف يمكن تضمين الهوية المؤسسية والأدوار المفوضة في أنظمة المؤسسات دون تعطيل البنى الحالية. من خلال الجمع بين حوكمة GLEIF، وبيانات الاعتماد القابلة للتحقق منها، وتنسيق SOWL، تصبح المصادقة قابلة للتحقق من خلال التصميم، ويمكن إثباتها تشفيريًا، وقابلة للتدقيق، وقائمة على السياسات.

وهذا يشير إلى مستقبل لا يعتمد فيه الوصول المؤسسي على الأسرار المشتركة ولكن على حقيقة مشتركة يمكن التحقق منها عبر المؤسسات والقطاعات.

---