검증 가능 자격 증명 위조 방어 v1.0

증인 목록 자격 증명은 credentialSubject가 WitnessList 유형이고 증인 목록 속성 (witnessSeed, witnessLength, witnessCount, 및 encodedWitnesses)을 직접 담는 검증 가능 자격 증명이다. 발급자는 증인 목록 자격 증명에 서명하기 위해 별도의 키 쌍을 사용해야 하며(SHOULD) — 양자 이후 서명 방식을 사용할 수 있다(MAY). 이는 그 제공하는 보호가 일반 서명 키가 손상된 뒤에도 검증될 수 있을 때에만 의미가 있기 때문이다.

자격 증명의 type 배열은 WitnessListCredential을 포함해야 한다(MUST).

{
  "@context": [
    "https://www.w3.org/ns/credentials/v2",
    "https://w3id.org/vc-forgery-defense/v1rc1"
  ],
  "id": "https://issuer.example/witnesses/1",
  "type": ["VerifiableCredential", "WitnessListCredential"],
  "issuer": "did:example:issuer",
  "validFrom": "2024-01-15T00:00:00Z",
  "credentialSubject": {
    "type": "WitnessList",
    "witnessSeed": "26ea4078-968d-4d98-aba7-695610c0dfb6",
    "witnessLength": 128,
    "witnessCount": 131072,
    "encodedWitnesses": "uQYF16SSSbR_LrMZFbFvbGkn8B7ggEZtov3KVL..."
  },
  "proof": {
    "type": "DataIntegrityProof",
    "cryptosuite": "eddsa-rdfc-2022",
    "comment": "MAY use a post-quantum cryptosuite here",
    "verificationMethod": "did:example:issuer#pq-key-1",
    "proofPurpose": "assertionMethod",
    "proofValue": "z..."
  }
}

WitnessListCredentials가 발급자에 의해 공간 제약이 있는 매체(예: 대형 자격 증명을 위한 웹)를 통해 배포될 때는, 이를 CBOR-LD로 인코딩하여 바이트로 전송하는 것이 권장된다(RECOMMENDED).

명시적 모드에서 사용될 때, 보호되는 검증 가능 자격 증명은 그 credentialStatus 배열에(또는 유일한 credentialStatus 값으로) 증인 목록 항목을 포함할 수 있다(MAY).

항목의 type은 WitnessListEntry이어야 한다(MUST). Verifiable Credential Bitstring Status List의 statusListCredential 속성 패턴을 따라, 이 항목은 명시적인 witnessListCredential 속성을 통해 그 증인 목록 자격 증명을 참조하며, 그 값은 해당 자격 증명의 URL이다. 항목의 id가 있는 경우, 이는 항목에 대한 선택적(OPTIONAL) 고유 식별자이며, 목록을 찾는 데 사용되지 않는다.

witnessListCredential

REQUIRED. 이 자격 증명에 대한 증인 목록 자격 증명으로 역참조되는 URL. 이 속성은 Verifiable Credential Bitstring Status List의 statusListCredential와 유사한 속성이다.

witnessIndex

REQUIRED. 참조된 목록에서 이 자격 증명의 증인 위치를 지정하는 양의 정수(1부터 시작). 0보다 커야 하며(MUST) witnessCount를 초과해서는 안 된다(MUST NOT).

{
  "@context": [
    "https://www.w3.org/ns/credentials/v2",
    "https://w3id.org/vc-forgery-defense/v1rc1"
  ],
  "id": "https://issuer.example/credentials/1234",
  "type": ["VerifiableCredential", "ExampleDegreeCredential"],
  "issuer": "did:example:issuer",
  "validFrom": "2024-01-15T00:00:00Z",
  "credentialStatus": [
    {
      "id": "https://issuer.example/status/1#94567",
      "type": "BitstringStatusListEntry",
      "statusPurpose": "revocation",
      "statusListIndex": "94567",
      "statusListCredential": "https://issuer.example/status/1"
    },
    {
      "type": "WitnessListEntry",
      "witnessListCredential": "https://issuer.example/witnesses/1",
      "witnessIndex": 94567
    }
  ],
  "credentialSubject": {
    "id": "did:example:holder",
    "degree": {"type": "BachelorDegree", "name": "Computer Science"}
  },
  "proof": { ... }
}

다음 알고리즘은 N개의 자격 증명 해시 집합에 대한 증인 목록을 생성한다. 입력: 원하는 witnessIndex 값의 순서대로 정렬된 N개의 해시 배열과 증인 길이 b (기본값 128). 출력: 증인 시드와 인코딩된 증인.

1. 암호학적으로 안전한 난수 생성기를 사용하여 UUID v4 값 seed를 생성한다 [RFC4122].
2. seedBytes를 seed의 16바이트 표현으로 둔다. 이는 하이픈을 제거한 뒤 16진수 숫자를 빅엔디언 바이트 시퀀스로 디코딩하여 얻는다.
3. data를 N × b비트의 0으로 채워진 비트 배열로 둔다.
4. 각 정수 i에 대해 0부터 N-1까지(포함) 다음을 수행한다.
   1. msg를 입력 배열의 i번째 자격 증명 해시로 둔다.
   2. hash를 seedBytes || msg의 연결에 SHA-256 [FIPS-180-4]을 적용한 출력으로 둔다.
   3. w를 hash의 최상위 b비트로 둔다.
   4. w를 data의 비트 오프셋 (i − 1) × b에 최상위 비트 우선으로 쓴다.
5. encodedWitnesses를 data의 multibase-base64url 인코딩으로 두고, 접두사 문자 u를 앞에 붙인다 [MULTIBASE].
6. seed와 encodedWitnesses를 반환한다.

다음 알고리즘은 증인 목록 생성의 출력을 서명된 검증 가능 자격 증명으로 감싼다.

1. 입력 N 및 b로 증인 목록 생성을 실행하여, seed와 encodedWitnesses를 생성한다.
2. 다음을 포함하는 서명되지 않은 자격 증명을 구성한다.
   • type에 WitnessListCredential 포함
   • credentialSubject.type을 WitnessList로 설정
   • credentialSubject.witnessSeed를 seed로 설정
   • credentialSubject.witnessLength를 b로 설정
   • credentialSubject.witnessCount를 N으로 설정
   • credentialSubject.encodedWitnesses를 encodedWitnesses로 설정
3. 자격 증명에 서명한다. 키 침해 — 양자 키 침해 포함 — 에 대한 보호가 필요한 경우, 발급자는 보호되는 자격 증명에 서명하는 데 사용한 것과 구별되는 키 쌍 및 양자 이후 서명 방식을 사용해야 한다(SHOULD).
4. 서명된 자격 증명을 반환한다.

다음 알고리즘은 주어진 자격 증명의 증인이 유효한지 검증한다. 입력: 해석된 증인 목록 자격 증명, 자격 증명 해시, 그리고 증인 인덱스 i.

1. 증인 목록 자격 증명의 모든 증명을 검증한다. 어떤 증명이라도 실패하면 오류를 반환한다.
2. subject를 증인 목록 자격 증명의 credentialSubject로 둔다.
3. seed를 subject.witnessSeed로 둔다.
4. b를 subject.witnessLength로 둔다.
5. N을 subject.witnessCount로 둔다.
6. i < 1 또는 i > N이면, 인덱스가 범위를 벗어났음을 나타내는 오류를 반환한다.
7. encodedWitnesses를 subject.encodedWitnesses로 둔다.
8. encodedWitnesses가 문자 u로 시작하는지 검증한다. 그렇지 않으면 오류를 반환한다.
9. encodedWitnesses의 첫 문자 뒤 부분 문자열을 base64url로 디코딩한 결과를 data로 둔다.
10. data에서 오프셋 (i − 1) × b부터 i × b − 1까지의 비트를 최상위 비트 우선으로 추출한다. 이를 storedW로 둔다.
11. seedBytes를 seed의 16바이트 표현으로 둔다. 이는 하이픈을 제거한 뒤 16진수 숫자를 빅엔디언 바이트 시퀀스로 디코딩하여 얻는다.
12. msg를 입력 자격 증명 해시로 둔다.
13. hash를 seedBytes || msg의 SHA-256 [FIPS-180-4]으로 둔다.
14. computedW를 hash의 최상위 b비트로 둔다.
15. storedW가 computedW와 같으면 valid를 반환한다. 그렇지 않으면 invalid를 반환한다.

암시적 모드에서는 보호되는 자격 증명이 수정되지 않는다. 증인 목록에 대한 어떤 참조도 자격 증명 자체에 나타나지 않는다. 검증자는 대역 외 정보 — 일반적으로 자격 증명의 기존 credentialStatus 항목에서 파생된 정보 — 를 사용하여 증인 목록을 찾고, 상태 목록 인덱스를 증인 인덱스로 재사용한다.

이 모드는 다음을 요구한다(REQUIRES).

• 보호되는 자격 증명에는 증인 목록의 위치와 1:1로 대응하는 인덱스를 가진 BitstringStatusListEntry(또는 동등한 항목)가 있다.
• 발급자는 주어진 상태 목록 URL을 대응하는 증인 목록 자격 증명 URL에 매핑하는 검색 메커니즘 — 예를 들어 well-known 엔드포인트 또는 DID 문서의 항목 — 을 게시한다.

// 보호되는 자격 증명은 다음을 가진다:
//   credentialStatus.statusListCredential = "https://issuer.example/status/1"
//   credentialStatus.statusListIndex      = "94567"

// 검증자는 발급자 메타데이터에서 증인 목록 URL을 발견한다:
// GET https://issuer.example/.well-known/witness-lists
// -> { "https://issuer.example/status/1":
//      "https://issuer.example/witnesses/1" }

// 증인 인덱스 = 94567 (상태 목록 인덱스와 동일)
// 실행: i = 94567로 Verify a Credential Witness

명시적 모드에서는 보호되는 자격 증명이 그 credentialStatus 안에 증인 목록 항목을 포함한다. 항목의 witnessListCredential 속성은 증인 목록 자격 증명 URL을 제공하고, witnessIndex는 목록 내 1부터 시작하는 위치를 지정한다. 검색 메커니즘은 필요하지 않다.

명시적 모드는 다른 credentialStatus 항목 (예: 폐지를 위한 BitstringStatusListEntry)과 공존할 수 있다(MAY). 둘 다 있는 경우, witnessIndex가 상태 목록 인덱스와 같을 필요는 없다.

독립형 모드에서는 증인 목록이 어떤 상태 목록 인프라와도 독립적으로 사용된다. 자격 증명에 대한 증인 인덱스의 할당은 특정 애플리케이션 또는 사용 사례에 의해 정의된다. 증인 목록 자격 증명은 자격 증명, 애플리케이션 계층 레코드 또는 외부 레지스트리에서 참조될 수 있다(MAY) — 참조 메커니즘은 이 명세의 범위를 벗어난다.

양자 능력을 갖춘 공격자는 기존(예: ECDSA) 공개 키에 대응하는 개인 키를 복구할 수 있다. 발급자가 증인 목록 자격 증명에 양자 이후 서명 방식으로 서명했다면, 그 목록에 있는 자격 증명의 서명 키가 깨진 뒤에도, 양자 이후 키가 안전하게 유지되는 한 검증자는 여전히 증인 목록을 신뢰할 수 있다.

발급자는 그 증인 목록 자격 증명이 포괄하는 자격 증명이 상당한 가치 또는 긴 유효 기간을 가질 때마다 증인 목록 자격 증명에 양자 이후 서명 방식으로 서명해야 한다(SHOULD).

증인 시드는 증인 목록 자격 증명의 credentialSubject에 나타나며, 증인 목록 자격 증명을 얻은 모든 당사자에게 보인다. 이는 의도된 설계이다 — 검증자는 증인을 다시 계산하기 위해 시드가 필요하다. 검증을 특정 검증자 집합으로 제한하려는 발급자는 증인 목록 자격 증명의 배포를 그에 맞게 제한해야 한다(SHOULD).

인덱스 i의 위조된 자격 증명은 2^−b의 확률로 증인 검증을 통과한다. 여기서 b는 증인 길이이다. 기본값 b = 128에서 이 확률은 약 2.9 × 10⁻³⁹이다.

구현은 b가 32보다 작은 값을 허용해서는 안 된다(MUST NOT). 상당한 가치가 있는 자격 증명에는 최소 64가 권장된다(RECOMMENDED).

증인은 일반적으로 충돌에 강한 방식으로 계산되어야 하며(SHOULD), 두 번째 원상 공격에 강한 방식으로 계산되어야 한다(MUST).

검증자는 그 내용을 신뢰하기 전에 증인 목록 자격 증명의 증명을 검증해야 한다(MUST). 검증자는 네트워크 노출 및 서비스 거부 위험을 줄이기 위해 해석된 증인 목록 자격 증명을 그 유효 기간 동안 캐시해야 한다(SHOULD).

목록이 포괄하는 발급된 검증 가능 자격 증명의 수에 정확히 맞춘 witnessCount를 사용하면, 발급자 프로세스에 관한 정보가 두 가지 방식으로 유출된다.

• 어느 한 시점의 총 증인 수는 공격자에게 그 시점에 발급된 VC가 얼마나 존재하는지 알려준다.
• 시간에 따른 총 증인 수를 추적하면 공격자는 단위 시간당 몇 개의 VC가 발급되는지 알 수 있다.

첫 번째 유출을 완화하기 위해, 발급자는 고정된 witnessCount 값을 사용해야 한다(SHOULD). 이를 통해 모든 증인 목록에서 총 증인 수가 변하지 않도록 하고, 임의 데이터 증인 자리표시자는 시간이 지남에 따라 VC에 대응하는 증인으로 대체된다.

이것은 첫 번째 유출을 완화하는 데 충분하다 - 그러나 공격자는 시간이 지남에 따라 어떤 증인 값이 바뀌는지 추적함으로써 여전히 얼마나 많은 증인이 "실제"인지, 그리고 얼마나 많은 VC가 발급되고 있는지 추적할 수 있다. 이를 해결하기 위해, 발급자는 WitnessListCredential을 갱신할 때마다 무작위 증인 시드를 다시 생성해야 한다(MUST).

게시된 증인 목록 자격 증명을 수정된 버전으로 교체할 수 있는 공격자는 위조 방지 메커니즘을 우회할 수 있다. 발급자는 무결성이 보호되는 채널을 통해 증인 목록 자격 증명을 게시해야 하며(MUST), 짧은 유효 기간과 빈번한 재발급을 함께 사용해야 한다(SHOULD).

발급자는 증인 목록 자격 증명의 유일한 작성자이며, 목록이 갱신될 때마다 증인 시드를 다시 생성해야 한다(REQUIRED) (7.5 발급자 정보 유출 참조). 따라서 발급자는 이전에 발급한 자격 증명을 부인할 수 있다. 즉, 해당 자격 증명의 증인이 없거나 변경된 새로운 증인 목록 자격 증명을 게시하면, 최신 목록에 대해 증인을 다시 계산하는 검증자는 불일치를 얻고, 그 밖에는 진짜인 자격 증명을 거부하게 된다. 위조와 달리, 이 동작은 정당한 발급자가 할 수 있으며 메커니즘만으로는 방지될 수 없다. 게시된 모든 목록이 유효하게 서명된 자격 증명이기 때문이다.

이후의 부인에도 발급의 증거가 유지되기를 요구하는 의존 당사자는, 자신들이 의존한 증인 목록 자격 증명을 그 증명 및 유효 기간과 함께 보관(캐시 또는 아카이브)해야 한다(SHOULD). 각 증인 목록 자격 증명은 validFrom 값을 가진 서명된 검증 가능 자격 증명 자체이므로, 부인 이전에 게시된 목록에 대해 검증된 자격 증명은 여전히 그 이전 목록 시점에 진짜였음을 보여줄 수 있다. 캐시된 서명 목록은 발급자가 그 시점에 해당 자격 증명을 증명했음을 보여주는 지속적인 증거이다. 게시된 목록에 대한 독립적인 아카이브, 공증 또는 투명성 로그 증인은 발급자의 게시 이력을 부인 불가능하게 만들어 이 보증을 강화한다.

witnessCount 값은 배치 내 자격 증명의 최대 수를 드러낸다. 발급자는 개별 보유자가 목록 내 위치로 식별되지 않도록 큰 집합 크기(최소 131072개 항목)를 사용해야 한다(MUST). 이러한 집합의 모든 슬롯은, 증인을 생성하는 데 사용된 해시가 검증 가능 자격 증명에 대응하는지 여부와 관계없이 채워져야 한다.

증인 목록 자격 증명을 가져오는 것은 검증이 발생하고 있음을 호스트에게 드러낼 수 있는 네트워크 요청을 생성한다. 검증자는 증인 목록 자격 증명을 캐시해야 하며(SHOULD), 목록을 가져올 때 개인정보 보호 보존 네트워크 전송을 사용할 수 있다(MAY). 발급자는 상관 가능성을 줄이기 위해 CDN 또는 콘텐츠 주소 지정 시스템을 통해 증인 목록을 제공해야 한다(SHOULD).