OpenID4VP

Grunnflyten

1. Verifier bygger et request object eller et request_uri.
2. Brukeren sendes til walleten med request_uri eller authorization_request.
3. Walleten validerer requesten, viser relevant innhold og bygger en presentasjon.
4. Svaret postes tilbake til verifierens response_uri.

Hva som binder svaret

• nonce binder svaret til utfordringen.
• state binder svaret til relying partys transaksjon.
• response_uri eller redirect_uri binder svaret til riktig mottaker.
• I signeringscaser kommer i tillegg klientsertifikatbinding og senere mTLS-uthenting.

Vanlige avslag

• Utløpt eller feil request_uri
• Manglende nonce i signeringsflyt
• Ugyldig callback eller feil forventning til direct_post
• Trust- eller sertifikatavvik som gjør at verifieren ikke kan bindes på forventet måte

Pentest-spor

Test replay av gamle request objects, bytt ut callbacken, manipuler state, og prøv å hente signaturer med annet klientsertifikat enn det som ble brukt i request-bindingen.