Een wallet unit attestation (WUA) is een cryptografisch ondertekend certificaat dat bewijst dat een specifieke instantie van een EUDI-wallet authentiek, veilig en tamper-evident is. Het wordt uitgegeven aan elke afzonderlijke wallet unit, niet aan de gebruiker, en het vormt de technische basis voor vertrouwen in elke eIDAS 2.0-transactie. De onderstaande secties beantwoorden de meest gestelde vragen over hoe wallet unit attestations in de praktijk werken.
Hoe bewijst een wallet unit attestation dat een wallet betrouwbaar is?
Een wallet unit attestation bewijst betrouwbaarheid door een cryptografisch verifieerbare verklaring te geven dat een specifieke wallet unit is aangemaakt door een gecertificeerde wallet provider, draait op een veilig apparaat en voldoet aan de beveiligingsvereisten die zijn vastgelegd onder Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt. Zonder deze attestation heeft een relying party geen manier om te bevestigen dat zij interactie heeft met een legitieme wallet in plaats van een frauduleuze imitatie.
Wanneer je attestaties uit jouw EUDI-wallet presenteert aan een dienstverlener, controleert die dienstverlener niet alleen jouw identiteitsgegevens. Hij controleert ook of de wallet zelf vertrouwd kan worden. De wallet unit attestation maakt dit mogelijk door de wallet unit te koppelen aan een gecertificeerde wallet solution en te bevestigen dat de onderliggende hardware- en softwareomgeving voldoet aan de vastgestelde beveiligingsnormen.
Dit mechanisme beschermt zowel gebruikers als relying parties. Voor gebruikers betekent het dat hun wallet niet kan worden nagebootst door kwaadaardige software die zich voordoet als een legitieme EUDI-wallet. Voor relying parties betekent het dat zij attestaties met vertrouwen kunnen accepteren, wetende dat de walletomgeving onafhankelijk is gecertificeerd.
Wie geeft wallet unit attestations uit in eIDAS 2.0?
Wallet unit attestations worden uitgegeven door de gecertificeerde wallet providers die de EUDI-wallet solutions ontwikkelen en onderhouden. Deze providers zijn doorgaans lidstaatautoriteiten of private entiteiten die officieel zijn erkend door een lidstaat. De uitgiftedienst functioneert als onderdeel van de walletinfrastructuur en geeft een nieuwe attestation uit aan elke wallet unit tijdens de installatie en daarna met regelmatige tussenpozen.
De wallet provider is verantwoordelijk voor het waarborgen dat alleen wallet units die daadwerkelijk voldoen aan de vereiste beveiligings- en conformiteitscriteria een attestation ontvangen. Dit betekent dat de provider de apparaatomgeving moet evalueren, de integriteit van de walletapplicatie moet bevestigen en de attestation moet ondertekenen met een sleutel die zelf is opgenomen in een vertrouwde lijst die wordt bijgehouden onder het eIDAS-vertrouwenskader.
Deze vertrouwensketen is essentieel. Een relying party kan een wallet unit attestation alleen verifiëren omdat zij de ondertekeningssleutel van de uitgevende provider kan herleiden naar een erkende en geauditeerde bron binnen de Europese vertrouwensinfrastructuur, via de nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists.
Welke informatie bevat een wallet unit attestation?
Een wallet unit attestation bevat technische metadata over de wallet unit zelf, niet over de gebruiker. In de kern bevat het een publieke sleutel die uniek is voor die wallet unit, de identiteit van de wallet provider, een geldigheidsperiode en claims over het beveiligingsniveau van de walletomgeving. Het bevat geen persoonsgegevens.
Meer specifiek bevat de attestation doorgaans:
- Een cryptografische publieke sleutel gekoppeld aan die specifieke wallet unit
- De identificator en certificeringsstatus van de wallet provider
- De naam en versie van de wallet solution
- Het zekerheidsniveau van de apparaat- en softwareomgeving
- Een uitgiftetijdstempel en vervaldatum
- Een digitale handtekening van de attestatiedienst van de wallet provider
Deze structuur zorgt ervoor dat de attestation de technische betrouwbaarheid van een wallet unit kan bevestigen zonder iets te onthullen over de persoon die deze gebruikt. Privacy is by design geborgd, wat aansluit bij de dataminimalisatieprincipes die ten grondslag liggen aan eIDAS 2.0 en het EUDI-wallet-kader.
Wat is het verschil tussen een wallet unit attestation en een PID?
Een wallet unit attestation en een Person Identification Data (PID)-attestatie dienen volledig verschillende doeleinden. Een wallet unit attestation beschrijft de wallet unit zelf en bevestigt dat het een gecertificeerde en betrouwbare omgeving is. Een PID beschrijft de gebruiker en bevat geverifieerde identiteitsattributen zoals naam, geboortedatum en nationaliteit.
De PID wordt uitgegeven door de identiteitsautoriteit van een lidstaat en opgeslagen in de wallet. Het is de attestatie die je presenteert wanneer een dienst moet verifiëren wie je bent. De wallet unit attestation wordt uitgegeven door de wallet provider en reist mee met attestatiepresentaties om te bevestigen dat de wallet die de PID presenteert zelf betrouwbaar is.
In de praktijk zal een relying party vaak beide controleren. Ze willen weten dat de identiteitsgegevens die ze ontvangen afkomstig zijn van een legitieme persoon en dat ze zijn gepresenteerd vanuit een veilige, gecertificeerde wallet unit. De twee componenten vervullen afzonderlijke rollen in het algehele vertrouwensmodel. Voor organisaties in de financiële dienstverlening of andere gereguleerde sectoren is dit onderscheid van belang bij het ontwerpen van verificatieworkflows die zowel aan identiteitszekerheid als aan technische vertrouwensvereisten moeten voldoen.
Wanneer wordt een wallet unit attestation geverifieerd tijdens een eIDAS 2.0-transactie?
Een wallet unit attestation wordt geverifieerd op het moment dat een relying party een attestatiepresentatie ontvangt van een EUDI-wallet. Dit gebeurt automatisch en in realtime als onderdeel van het presentatieprotocol, waarbij OID4VP als uitwisselingsprotocol wordt gebruikt. Het systeem van de relying party controleert de attestation voordat identiteitsgegevens worden geaccepteerd, zodat de walletomgeving voldoet aan het vereiste vertrouwensniveau voordat de transactie wordt voortgezet.
Het verificatieproces omvat drie afzonderlijke controles:
- Verificatie van de handtekening van de wallet provider tegen de relevante nationale trusted list
- Controle van de intrekkingsstatus via statusinformatie van de wallet provider
- Verificatie van de wallet unit attestation zelf, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
Alleen de eerste controle kan volledig offline plaatsvinden. De intrekkingscontrole en de validatie van de wallet unit attestation vereisen contact met externe bronnen. Het is daarom niet correct om te stellen dat een wallet unit attestation volledig offline kan worden geverifieerd.
Concreet verloopt het proces als volgt:
- De gebruiker start een attestatiepresentatie vanuit zijn EUDI-wallet
- De wallet stuurt de gevraagde attestatie samen met zijn wallet unit attestation
- Het systeem van de relying party haalt de publieke sleutel van de wallet provider op uit de relevante trusted list
- De handtekening op de wallet unit attestation wordt geverifieerd aan de hand van die publieke sleutel
- Het systeem bevestigt dat de attestation nog binnen de geldigheidsperiode valt en niet is ingetrokken
- Als alle controles slagen, worden de attestatiegegevens geaccepteerd en wordt de transactie voortgezet
Vanuit het perspectief van de gebruiker voelt de interactie niet anders dan het presenteren van een digitaal document. Achter de schermen wordt echter in seconden een volledige vertrouwensketen geverifieerd.
Kan een wallet unit attestation worden ingetrokken, en wat gebeurt er dan?
Ja, een wallet unit attestation kan door de wallet provider worden ingetrokken. Intrekking vindt doorgaans plaats wanneer een wallet unit is gecompromitteerd, wanneer het apparaat waarop deze draait als verloren of gestolen is gemeld, wanneer een beveiligingslek in de wallet solution wordt ontdekt, of wanneer de gebruiker de wallet verwijdert. Eenmaal ingetrokken, wordt de attestation opgenomen in statusinformatie die relying parties in realtime kunnen raadplegen.
Wanneer een relying party een wallet unit attestation controleert en vaststelt dat deze is ingetrokken, wordt de transactie afgewezen. De dienst accepteert geen attestaties van die wallet unit, zelfs als de attestaties zelf geldig zijn. Dit is een belangrijke beveiliging: het zorgt ervoor dat een gestolen apparaat of een gecompromitteerde wallet unit niet langer kan worden gebruikt voor identiteitstransacties, zelfs als de aanvaller nog geldige attestaties heeft die in de wallet zijn opgeslagen.
Vanuit het perspectief van de gebruiker betekent intrekking van een wallet unit attestation niet het permanent verlies van attestaties. Een gebruiker kan de wallet opnieuw installeren of opnieuw activeren op een nieuw of hersteld apparaat, waarna de wallet provider een nieuwe wallet unit attestation uitgeeft voor de nieuwe wallet unit. De onderliggende identiteitsattestaties, zoals de PID, worden vervolgens opnieuw uitgegeven door de bevoegde autoriteit en opnieuw gekoppeld aan de nieuwe wallet unit via het standaard uitgifteproces. Privésleutels verlaten het beveiligde middel niet, waardoor kopiëren naar een nieuw toestel niet mogelijk is en heruitgifte de enige weg is.
Deze intrekkingsmogelijkheid is een van de redenen waarom het EUDI-wallet-kader een hoger zekerheidsniveau biedt dan veel bestaande digitale identiteitsoplossingen. Organisaties die onderzoeken hoe ze conforme identiteitsoplossingen kunnen implementeren, zullen merken dat ondersteuning voor verificatie van wallet unit attestations en intrekkingscontrole een kernvereiste is voor elke eIDAS 2.0-klare integratie.
Wat betekent dit voor relying parties in de praktijk?
Een relying party die EUDI-wallet-attestaties wil accepteren, moet zich registreren bij de bevoegde nationale autoriteit conform CIR (EU) 2025/848 van 6 mei 2025 voordat walletdata kan worden opgevraagd. Per intended use legt de relying party vast welke attributen en attestaties worden gevraagd. Een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd en kan gevolgen hebben voor de registratie.
Publieke instanties moeten genotificeerde EUDI-wallets accepteren voor onlinediensten waarvoor elektronische identificatie vereist is vanaf 24 december 2026. Voor private relying parties in gereguleerde sectoren, waaronder banken en financiële dienstverlening, gezondheidszorg, telecom, energie en transport, geldt de acceptatieplicht onder artikel 5f van Verordening (EU) 2024/1183 vanaf 24 december 2027. Micro- en kleine ondernemingen met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro zijn van de private acceptatieplicht uitgezonderd.
Het is goed om te benoemen wat eIDAS 2.0 op dit punt niet regelt: nationale vormvereisten voor specifieke transacties blijven nationaal recht, en hergebruik van via de wallet verkregen KYC-gegevens wordt mede bepaald door AML-regelgeving en sectorale regels. De wallet unit attestation bevestigt de betrouwbaarheid van de walletomgeving, maar vervangt niet de zelfstandige AVG-grondslag die een relying party nodig heeft voor de verwerking van ontvangen persoonsgegevens.
Hoe de ID Connector van TrustTech wallet unit attestation-verificatie ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor wallet unit attestation-verificatie ondersteunt de ID Connector concreet:
- Verificatie van de handtekening van de wallet provider tegen de relevante nationale trusted lists conform ETSI TS 119 612 en de EU List of Trusted Lists
- Controle van de intrekkingsstatus van de wallet unit attestation via statusinformatie van de wallet provider
- Validatie van de wallet unit attestation, waarmee wordt vastgesteld dat de presenterende wallet op een gecertificeerde wallet solution draait
- Bewaking van de geregistreerde attributenscope conform CIR (EU) 2025/848, zodat verzoeken buiten de geregistreerde scope worden gesignaleerd
- Hergebruik van geverifieerde identiteitsdata voor onboarding, authenticatie en complianceworkflows
- Gekwalificeerd tekenen via een aangesloten gekwalificeerde trust service provider
De ID Connector is relevant voor organisaties in financiële dienstverlening, gezondheidszorg, farmacie en de publieke sector die zich voorbereiden op de deadlines van 24 december 2026 en 24 december 2027. Klaar voor de volgende stap? Neem contact op met TrustTech om te bespreken hoe jouw organisatie de ID Connector kan inzetten voor eIDAS 2.0-conforme verificatie.