Parolalardan Kanıta: VLEI Kimlik Doğrulayıcı Doğrulanabilir Organizasyonel Rolleri Nasıl Oluşturur?

Esatus AG CIO'su Dr. Andre Kudra, GLEIF ile işbirliği içinde geliştirilen vLEI Authenticator'ın, bir kişinin rolünü ve kurumsal yetkisini otomatik olarak doğrulayan bir oturum açma sürecini etkinleştirmek için vLEI'nin kimlik ve erişim yönetimi sistemlerinde kullanımını nasıl işlevsel hale getirdiğine dair teknik bir derinlemesine inceleme sunuyor.

---

---

Dijital kimlik yönetiminde kimlik doğrulama hala varsayımlara dayanmaktadır. Bize bir kullanıcının kim olduğunu iddia ettiğini söyleyen kimlik bilgilerini, parolaları veya belirteçleri doğrularız, ancak nadiren kimi temsil ettiklerini veya hangi yetkiyle hareket ettiklerini söyleriz . Esatus AG CIO'su Dr. Andre Kudra, daha önce adresinde GLEIF ile işbirliği içinde geliştirilen vLEI Authenticator'ın güven iddiaları yerine kriptografik kanıtlara dayanan doğrulanabilir kurumsal kimlik ve yetkilendirilmiş roller oluşturarak bu boşluğu nasıl doldurduğunu açıklamıştı. Bu devam yazısında Dr. Kudra, vLEI Authenticator'ı destekleyen teknik temelleri derinlemesine inceliyor.

"Kim" yeterli olmadığında

Kurumsal sistemlerde kullanıcılar birey olarak oturum açar. Ancak uyum denetimleri, tedarikçi kabulü, veri erişimi ve düzenleyici raporlama gibi birçok süreç, kişinin arkasındaki kuruluş ve bu kuruluş içindeki resmi rolü hakkında bilgi gerektirir. Buna ek olarak, geleneksel kimlik sistemleri, hatta federasyon veya SSO tabanlı olanlar bile, "X kullanıcısı Y şirketine aittir" gibi iddialara dayanır Bu iddialar kriptografik olarak doğrulanabilir değildir ve dizin bakımına veya sözleşmeye dayalı güvene bağlıdır.

Doğrulanabilir Tüzel Kişi Kimlik Kodu (vLEI) bu sınırlamaları ele alır. Authentic Chained Data Container (ACDC) teknolojisini ve Key Event Receipt Infrastructure (KERI) protokolünü kullanan bu kimlik, kuruluşlar için GLEIF yönetiminde Yetkili vLEI Tahsis Eden Kurumlar (QVIs) tarafından verilen dijital bir kimliktir. Bir kuruluşun resmi olarak var olduğunu ve belirli kişilerin onun adına hareket etmeye yetkili olduğunu doğrular. Tüm bilgiler kriptografik olarak güvence altına alınmıştır, makinede okunabilir ve GLEIF'in vLEI ekosistemi içinde doğrulanabilir.

Bir Resmi Kurumsal Rol (OOR) veya Katılım Bağlamı Rolü (ECR) kimlik bilgisi ile birleştirildiğinde, bir vLEI yalnızca bir kişinin hangi kuruluşa ait olduğunu değil, aynı zamanda örneğin CFO, uyum görevlisi veya yetkili temsilci olarak yerine getirdikleri işlevi de ifade edebilir.

VLEI Authenticator bu kavramı gerçek dünyadaki Kimlik ve Erişim Yönetimi (IAM) sistemlerinde işler hale getirir. İşte nasıl çalıştığı.

Kimlikten doğrulamaya: Pratik bir mimari

VLEI Authenticator, Servis Sağlayıcı Arayüzü (SPI) aracılığıyla açık kaynaklı IAM çözümü olan Keycloak ile entegre olur. Keycloak'un kendisini değiştirmez ancak kimlik doğrulama akışını ek bir doğrulama adımıyla genişletir.

Bir kullanıcı "vLEI ile Oturum Aç" seçeneğini seçtiğinde, Keycloak süreci esatus tarafından geliştirilen orkestrasyon katmanı olan SOWL'a devrediyor. SOWL, cüzdanlar, doğrulayıcılar ve verenler gibi merkezi olmayan kimlik bileşenleri ile kurumsal IAM altyapıları arasında köprü kurar. Doğrulanabilir kimlik bilgilerinin talep edilmesini, sunulmasını ve doğrulanmasını koordine eder, ardından normal OpenID Connect (OIDC) veya SAML belirtecini yayınlayan Keycloak'a imzalı bir doğrulama sonucu döndürür.

Uygulamada, sürecin çoğu arka planda otomatik olarak çalışır. Bu, bir kullanıcının bakış açısından, bir vLEI ile oturum açmanın, seçeneği seçmek ve cüzdanlarındaki kimlik bilgisi sunumunu onaylamak kadar basit olduğu anlamına gelir.

Aşağıdaki sıra, perde arkasında neler olduğunu açıklamaktadır:

1. Kullanıcı Nextcloud gibi bir uygulamada "vLEI ile Oturum Aç" seçeneğini seçer.
2. Keycloak, SOWL kimlik doğrulama akışını tetikler.
3. SOWL, kullanıcının KERIa Cloud Wallet'ından OOR veya ECR vLEI kimlik bilgilerini isteyen KERIAuth tarayıcı uzantısı ile etkileşime girer.
4. Cüzdan, doğrulanabilir sunumun doğrulayıcıya gönderilebilmesi için doğrulanabilir bir sunum ve imza başlıkları oluşturur.
5. Daha sonra doğrulanabilir sunumu ve imza başlıklarını KERIAuth uzantısı aracılığıyla SOWL'a geri gönderir.
6. SOWL sunumu, GLEIF yönetiminde KERI güven zinciri aracılığıyla özgünlüğü ve bütünlüğü kontrol eden vLEI Doğrulayıcıya iletir.
7. Doğrulandıktan sonra, SOWL sonucu Keycloak'a onaylatır, bu da kimlik doğrulamayı tamamlar ve erişim belirtecini verir.

Bu akışta parolalar isteğe bağlıdır ve mevcut kullanıcı adı-parola girişleriyle uyumluluk korunur. Oturum açma işlemi yalnızca hem kurumsal kimlik bilgisi (vLEI) hem de rol kimlik bilgisi (OOR veya ECR) geçerli, kriptografik olarak imzalanmış ve yetkili bir düzenleyiciye kadar izlenebilirse başarılı olur. GLEIF bunu vLEI güven zinciri olarak adlandırmaktadır.

SOWL: Doğrulanabilir Kimlik Bilgilerinin Kurumsal Ölçekte Çalışmasını Sağlama

Referans verildiği üzere SOWL, esatus tarafından farklı sistemlerde doğrulanabilir kimlik bilgilerini yönetmek için geliştirilmiş bir platform katmanıdır. Tasarımı AB Mimari Referans Çerçevesi (ARF) ile uyumludur ve OpenID4VCI ve OpenID4VP gibi standartların yanı sıra SD-JWT ve mDoc gibi kimlik bilgisi formatlarını da destekler.

VLEI Authenticator kullanım durumunda, SOWL üç temel yetenek sağlar:

1. Orkestrasyon: Güven alanlarını ayrı tutarken cüzdanlar, doğrulayıcılar ve IAM sistemleri arasındaki akışı koordine etmek.
2. Standardizasyon: Keycloak'un ve gelecekte potansiyel olarak diğer IAM sistemlerinin doğrulama sonuçlarını kimlik doğrulama kararları olarak kullanabilmesi için tek tip REST arayüzlerinin ortaya çıkarılması.
3. Uyum ve denetlenebilirlik: her doğrulama olayının günlüğe kaydedilmesini, tekrarlanabilir olmasını ve GLEIF'in yönetim modeliyle uyumlu olmasını sağlar .

Doğrulama mantığını IAM sistemlerinden ayıran SOWL, mevcut altyapıların yeniden tasarlanmadan doğrulanabilir kimlik bilgilerini kullanmasına olanak tanır. Kurumsal kontrol ve izlenebilirliği korurken güven sınırlarını merkezi olmayan kimlik alanına genişletir.

Yönetim ve kriptografiyi birleştirme

VLEI ekosisteminde yönetim ve kriptografi el ele çalışır. GLEIF, LEI'ler ve vLEI'ler için kuralları ve güven çıpalarını tanımlar ancak bunları düzenlemez. QVI'lar, tüzel kişi vLEI'lerinin yanı sıra OOR kimlik bilgileri için tanımlanmış Yönetim kapsamında yayınlar ve tüzel kişiler kendi ECR kimlik bilgilerini yönetir. Bu katmanlı güven modeli yönetim, düzenleme, doğrulama ve erişim kontrolünü tek bir zincirde birleştirir:

• GLEIF küresel yönetim ve güven çıpaları sağlar.
• QVI'lar ve Tüzel Kişiler kimlik bilgilerini düzenler.
• Bağımsız doğrulayıcılar bunları kriptografik olarak doğrular.
• Keycloak gibi IAM sistemleri sonuçları SOWL aracılığıyla tüketir.

Sonuç olarak, kimlik doğrulama sadece yerel bir güven kararı değil, yönetilen ve doğrulanabilir bir süreç haline geliyor.

Gerçek dünya entegrasyonu bize ne öğretti?

VLEI tabanlı kimlik doğrulama, verimli bir kurumsal ortamda test edilip uygulanarak önemli dersler ortaya çıkarılmıştır:

• Entegrasyon: Keycloak'taki SPI yaklaşımı modüler, düşük eforlu entegrasyona izin verdi.
• Kullanıcı deneyimi: Oturum açma akışı sezgiseldir ve parolalara dayanmaz.
• Güvenlik: Emanet cüzdanları işlemleri basitleştirir ancak kullanılabilirlik gerektirir; parolalar anahtar koruması için gerekli olmaya devam eder.
• Performans: Doğrulama saniyeler içinde tamamlanır: Doğrulama saniyeler içinde tamamlanır.
• Kararlılık: KERIAuth aracılığıyla tarayıcı tabanlı sunum sağlam ve birlikte çalışabilir olduğunu kanıtladı.

Sonuç, doğrulanabilir kimlik bilgileri aracılığıyla bir kişinin rolünü ve kurumsal yetkisini otomatik olarak doğrulayan bir oturum açma sürecidir. Kuruluşlar hem kurumsal kimliklerini hem de çalışanlarının kendi adlarına hareket etme yetkilerini doğrulamak için vLEI Authenticator'ı başarıyla kullandı. Verilere erişim yalnızca doğrulamadan sonra verildi. Bu süreç saniyeler sürdü ve genellikle saatler veya günler süren manuel incelemelerin yerini aldı.

GLEIF'in ekosistemindeki dağıtım, doğrulanabilir kimlik doğrulamanın gerçek dünyada kullanıma hazır olduğunu gösterirken, bir sonraki sorgulama birlikte çalışabilirliktir. Gelecekteki çalışmalar, Kimlik Doğrulayıcının Avrupa Dijital Kimlik (EUDI) İş Cüzdanı gibi cüzdan tabanlı kimlik çerçeveleriyle entegre edilmesine odaklanmaktadır. KERI/ACDC ve SD-JWT VC farklı temellere dayansa da, her ikisi de ortak bir ilkeyi paylaşmaktadır: kriptografi ile doğrulanan dağıtılmış güven. Bu mimariler arasında köprü kurmak, kurumsal IAM'i Avrupa'nın dijital kimlik altyapısına bağlayarak "güveni" bir varsayımdan ziyade paylaşılan bir operasyonel katmana dönüştürecektir.

Giriş yapmaktan güven oluşturmaya

VLEI Authenticator, kurumsal kimlik ve yetkilendirilmiş rollerin mevcut mimarileri bozmadan kurumsal sistemlere nasıl yerleştirilebileceğini göstermektedir. GLEIF'in yönetimi, doğrulanabilir kimlik bilgileri ve SOWL'un orkestrasyonunu birleştirerek, kimlik doğrulama tasarımla doğrulanabilir, kriptografik olarak kanıtlanabilir, denetlenebilir ve politika odaklı hale gelir.

Bu, kurumsal erişimin paylaşılan sırlara değil, kuruluşlar ve sektörler arasında paylaşılan, doğrulanabilir gerçeğe dayandığı bir geleceğe işaret etmektedir.

---