الشهادة ​

تمثّل شهادة DAT في سلسلة واحدة النطاق الزمني والخوارزميات والمفاتيح اللازمة لإصدار الرموز والتحقق منها.

cid.start.duration.ttl.sig-alg.crypto-alg.sig-key.crypto-key

النطاق الزمني ​

• تستطيع الشهادة إصدار DAT من start إلى start + duration، مع شمول اللحظتين.
• يظل DAT الصادر صالحًا لمدة ttl بدءًا من وقت إصداره.
• تظل الشهادة مطلوبة للتحقق حتى start + duration + ttl، ويمكنها التحقق عند تلك اللحظة بالضبط أيضًا.

إذا حُذفت الشهادة فور انتهاء فترة الإصدار، فلن يكون من الممكن التحقق من رموز DAT الصادرة مسبقًا. يتعامل المدير وCMS مع قابلية الإصدار وقابلية التحقق كلًا على حدة.

معرّف الشهادة وتدوير المفاتيح ​

cid هو العقد العام الذي يعرّف المفاتيح والنطاق الزمني. لا تستبدل مفاتيح cid قائم بمفاتيح أخرى. عند تدوير المفاتيح، أنشئ شهادة جديدة واستخدم cid جديدًا. تزامن الخدمات الشهادة الجديدة مسبقًا، وتزيل الشهادة السابقة بعد انتهاء صلاحية جميع رموز DAT الصادرة بها.

خوارزميات التوقيع ​

يستخدم HMAC المفتاح نفسه للتوقيع والتحقق، لذا فإن إعطاء المفتاح إلى خادم التحقق يمكّنه من الإصدار أيضًا. وفي البيئات التي يجب أن تفصل صلاحية الإصدار، استخدم ECDSA وشهادات التحقق فقط.

خوارزميات التشفير ​

أسماء الخوارزميات جزء من عقد wire. ولا تُستبدل بالأسماء المستعارة المستخدمة في JWT.

الشهادات الكاملة وشهادات التحقق فقط ​

تتضمن شهادة ECDSA الكاملة المفتاح الخاص اللازم للتوقيع. ولا تحتفظ شهادة التحقق فقط إلا بمفتاح ECDSA العام، لكنها تُبقي مفتاح AES اللازم لفك تشفير secure. لذلك تستطيع خدمة التحقق فقط فحص DAT وفك تشفيره، لكنها لا تستطيع إصدار DAT جديد.