2021-05-25 xID打ち合わせ
JWT の仕様的な話
Section titled “JWT の仕様的な話”- JSON 全体に署名してシグネチャ部分に秘密鍵で暗号化しておく
- JWT のヘッダーに公開鍵（もしくはそのリポジトリ）を入れておくことでサーバに問い合わせせずとも検証できるようになる
- JWT.io とかに投げるとバリード検証できる、サーバーロジック関係なしに
JWT ヘッダの検証鍵に関わる KV について
Section titled “JWT ヘッダの検証鍵に関わる KV について”JWT ヘッダの検証鍵に関わる KV について以下の通り。jku にて鍵置き場を指定し、kid で鍵を特定する形参考
- jku : {URL to JWK Set}
- kid : {Key ID}
アクティベート詳細
Section titled “アクティベート詳細”- QR コード持っている人はトップ画面に QR コード表示する必要なくログインボタンんだけで良い
第三者への権限付与
Section titled “第三者への権限付与”- 第三者に展開するときに、QR コードの仕様は同じにする
- 出力する値の差は、父親の生年月日に、ｘ ID オンリーは常に同じ
- 機種変更時、自分の生年月日を入れて QR コード生成して、スクショっとって、移せる
- 窓口で母親の宛名で父親に QR コードを出す
- QR コードはサーバーの署名が必要なので生成時にサーバーリクエスト
- シリアルは発行単位、1 個作成、1 個リボーく（同時に有効なのは１こまで）
- 役所で紙で発行する分はリボークは不要
QR コード紛失
Section titled “QR コード紛失”- 紛失時の処理として、シリアルが有効かチェックするだけで、アクティベートは不要
- JWT の内容は変わらない
- シリアルノリボークは、アプリの QR コード印刷時というフローへ
パスワード紛失対応
Section titled “パスワード紛失対応”再発行の原則
Section titled “再発行の原則”- クレデンシャルの再発行時は、同じ本人確認レベルで発行する必要がある
- 身元確認からやり直し
- もしくは物理所持を２つとか
- 最低でも QR コードの確認が必要になる
- １．窓口
- ２．メール、電話番号 SMS（ログイン時に登録必要）
- アプリの中から送られてきたものに制限する