Кратко

  • 24 сентября W3C выпустил первый проект отдельной Group Note о модели угроз для Verifiable Credentials Data Model v2.1. Черновик самой модели данных от 20 сентября уже содержал краткий, ненормативный перечень рисков.
  • В записке развёрнуты 25 угроз: для целей спецификации, реализации, развёртывания, внешней среды и зависимых технологий. Их число не показывает частоту происшествий или готовность защитных мер.
  • Подлинное удостоверение может быть выдано не тому человеку, опасно отображено или принято не для того случая. Group Note Draft не является одобренной W3C Recommendation.

Система может честно сообщить: документ выпущен указанным эмитентом, подпись совпадает, запись не отозвана. И при этом помочь мошеннику. Если эмитент ошибся в момент установления личности, он мог выдать настоящее удостоверение на имя другого человека. Последующая проверка подтвердит именно подлинность ошибки. В новом документе W3C это угроза T25. Степень проверки личности выбирает эмитент, а полагаться на её результат в своём сценарии решает принимающая организация. Модель данных сама не проводит исходную проверку заново.

Новость датирована 24 сентября 2026 года: рабочая группа опубликовала подробный анализ в отдельной Verifiable Credentials Data Model Threat Model v2.1 Group Note Draft. Но перечень нельзя объявлять совершенно новым. В Working Draft модели данных от 20 сентября ненормативное приложение A уже кратко описывало эти категории и случаи. Отдельная записка добавляет механизмы атак, предлагаемые ответы и затронутые компоненты. Её польза — в возможности спросить о реальных действиях каждого участника, а не в новом числителе опасностей.

Две угрозы названы целевыми для спецификации, семь отнесены к реализации, одиннадцать — к развёртыванию, четыре — к внешним факторам и одна — к зависимым технологиям. Это классификация, а не рейтинг тяжести. Даже T25 находится среди целевых угроз, хотя подробный текст прямо говорит: модель данных не способна сама назначить качество идентификации у эмитента. Кроме того, словарь процессов в документе содержит определения, помеченные как предварительные. Ни рубрика, ни термин не свидетельствуют о действующей защите.

Угроза T1 показывает разницу между проверяемостью и правилом приёма. Изменение защищённых утверждений можно обнаружить, проверив механизм защиты. Если же доказательство целиком снято, криптографии нечего проверять. Принимающей стороне нужна политика, которая требует доказательство там, где она полагается на заявление эмитента. Удостоверения без доказательства допустимы для собственных заявлений предъявителя и промежуточной обработки, но их нельзя незаметно выдать за подтверждённое сообщение эмитента.

Другая граница проходит через программу. По T2 корректная подпись может сопровождать содержимое с исполняемой разметкой. Целостность данных не гарантирует безопасного вывода в кошельке или интерфейсе проверяющего; потребуются меры обработки недоверенного ввода. По T24 подлинность и положительный статус также не доказывают уместность документа для выбранной цели. Оценка источника и природы утверждения остаётся за тем, кто принимает решение.

Практический учёт мог бы связать значимые угрозы с владельцем, моментом решения, выбранной мерой и свидетельством её работы. Это редакционный вывод Daniel Kade, а не предписанная W3C форма. В записке упоминается и возможность слежения через запросы статуса, но здесь не повторяется отдельная тема Bitstring Status List v1.1 — сокращённый указатель и выбор statusPurpose. Главное в этом тексте — пробел ответственности на пути от выпуска до использования удостоверения.

Следует различать статус документов. Версия модели 2.0 стала W3C Recommendation в мае 2025 года. Версия 2.1 остаётся Working Draft, а новая модель угроз — не одобренная W3C Group Note Draft. Документ не подтверждает безопасность конкретного поставщика, не описывает установленный инцидент и не даёт статистики внедрения. Он лишь позволяет точнее сформулировать вопрос к тем, кто обещает доверие: кто именно выполняет нужную проверку и где это можно увидеть?

Источники