Verifiable Credentialsのセキュリティ的考慮事項
DID/VCの周辺技術を調べています。DID/VCの概要を知りたい方は デジタルアイデンティティウォレットとは？｜注目される背景とサービス化の論点 | NRIセキュア ブログ などご参照ください。
今回は、VCを取り扱う上で注意すべきセキュリティ的考慮事項についてサーベイしました。仕様ドキュメント・論文・講演をスコープにして探し、以下の4つのドキュメントについてまとめました。
- 仕様
- W3C - “Verifiable Credentials Data Model v2.0” ドラフト
- W3C - “Verifiable Credentials Data Model v1.1” 勧告
- 論文
- “SoK: Trusting Self-Sovereign Identity” (Krul et al., 2024)
- 講演
- “Attacking Decentralized Identity” (DEFCON 31, 2023)
実装者として気付かされる点が多く最も有用だったのは “Verifiable Credentials Data Model v2.0” ドラフトでした。また、脅威シナリオの種類が一番豊富だったのは “SoK: Trusting Self-Sovereign Identity” でした。この2つに関しては厚めに取り上げています。
それぞれのドキュメントのサーベイ結果はやや長くなっているので、まず始めにまとめを記載します。まとめは是非ご覧いただき、興味のあるドキュメントについては詳細を読んでいただければと思います。
