Verify with Wallet APIの概要

Apple Developer Webサイトの「Certificates, Identifiers, & Profiles（証明書、ID、プロファイル）」セクションで、以下の操作を行います。

1. マーチャントIDを作成します。マーチャントIDをすでにお持ちで、Apple Payで使用している場合は、ここで再利用できます。
2. マーチャントIDの「Identity Access Certificate（IDアクセス証明書）」を作成します。これは、「Edit or Configure a Merchant ID（マーチャントIDの編集または設定）」ページの「Identity（ID）」タブに表示されます。
   1. 暗号化証明書の秘密鍵は、APIから返されたencryptedDataを復号するためにサーバで使用されます。
3. アプリIDに「In App Identity Presentment（アプリでのID提示）」機能を追加します。これは、「Edit your App ID Configuration（アプリIDの設定を編集）」ページの「Additional Capabilities（追加機能）」タブに表示されます。
4. アプリIDに「In App Identity Presentment Merchant IDs（アプリでのID提示のマーチャントID）」機能を追加し、関連付けられているマーチャントIDを選択します。
5. これらの変更を含むプロビジョニングプロファイルを新規作成します。

また、アプリのエンタイトルメントplistファイルを手動で構成する必要があります。

エンタイトルメント1：

エンタイトルメントを申請して、エンタイトルメントの取得が必要な本人確認書類のタイプを選択します。

"com.apple.developer.in-app-identity-presentment": {
		"document-types": [
			"us-drivers-license"
		],
		"elements": [
			"given-name",
			"family-name",
			"portrait",
			"address",
			"issuing-authority",
			"document-expiration-date",
			"document-number",
			"driving-privileges",
			"age",
			"date-of-birth"
		]
	},

エンタイトルメントのリストをフィルタリングして、エンタイトルメントを申請したものだけにします。

エンタイトルメント2：

"com.apple.developer.in-app-identity-presentment.merchant-identifiers": [
		“your-merchant-id-goes-here”
	]

Apple Payで同じマーチャントIDを使用している場合でも、このエンタイトルメントを追加する必要があります。Apple Payのcom.apple.developer.in-app-paymentsエンタイトルメントは、本人確認では認識されません。

ブラウザベースのオンライン提示では、W3Cが定めるmDoc request APIをサポートする予定です。最終的な定義は未定ですが、適切なプライバシーとセキュリティのガイドラインを満たすサードパーティアプリからの適合するID認証情報を提示することが可能になります。

APIの使用をテストするには、いくつかの方法があります。

• iOSシミュレータを使用する：シミュレータにはモックデータがプリロードされており、APIとの統合をテストできます。シミュレータのモックデータからの応答を検証するために必要なキーやその他のリソースについて、詳しくはサンプルデータとシミュレータキーバンドルをダウンロードしてください。
• iOSデバイスの場合：ウォレットおよびApple mDL Developer Integratorプロファイルをインストールすると、APIは実際のデバイス署名を含むモックデータを返しますが、発行者の署名は返しません。
• テストサンプル：サンプルデータとシミュレータキーバンドルには、検証に必要なキーと証明書を網羅した応答のサンプルが含まれています。このサンプルを使用して、応答検証ロジックをテストできます。

身分証明書の情報のリクエストには、PKIdentityNationalIDCardDescriptorを使用します。

注：日本固有のエレメントは、API region（APIの地域）をJPに設定した場合にのみ取得できます。

ISO/IEC 18013-5の仕様がサポートする名前空間では、本人確認書類内にさまざまなエレメントを共存させることができます。ISO/IEC 18013-5は、org.iso.18013.5.1名前空間内で標準的なエレメントを定めています。米国自動車管理者協会（AAMVA）は、米国の運転免許証に固有の追加情報を含む独自の名前空間を定めています。

Verify with Walletでサポートされている名前空間とエレメントについて、詳しくはPKIdentityDriversLicenseDescriptorのドキュメントをご参照ください。

ISO/IEC 18013-5は、運転免許証に関連するorg.iso.18013.5.1名前空間内で標準的なエレメントを定めています。ISO/IEC 23220-2は、写真付き身分証明書を記述するためのorg.iso.23220.1内の汎用名前空間を定めています。日本政府は、日本のマイナンバーカードに固有の追加のデータエレメントを含む独自の名前空間として、org.iso.23220.1.jpを定めています。

Verify with Walletでサポートされている名前空間とエレメントについて、詳しくはPKIdentityNationalIDCardDescriptorのドキュメントをご参照ください。

はい。リクエストの「住所」エレメントで、番地、市区町村、都道府県／州（該当する場合）、国、郵便番号を取得できます。

日本のマイナンバーカードの住所フィールドには、総務省が全国の都道府県と市区町村に定めた5桁のコードである「都道府県コード及び市区町村コード」も記載されています。詳しくは、https://www.soumu.go.jp/denshijiti/code.htmlをご参照ください。

証明書番号とは、運転免許証番号、パスポート番号、またはマイナンバーカードに記載されたマイナンバー（日本のすべての市民および居住者に付与される12桁の個人識別番号。マイナンバーの使用は適用される法令に準拠します）などの、身分証明書番号を指します。

年齢は、ユーザーの年齢（歳）です。年齢しきい値は、ユーザーが特定の年齢を超えているかどうかを示すブール値です。たとえば、ユーザーが42歳の場合は以下のようになります。

• 年齢は42を返します
• AgeThresholdElementWithAge:18はtrueを返します
• AgeThresholdElementWithAge:65はfalseを返します

ユーザーが特定の年齢以上／未満かを確認するだけでよい場合は、最もプライバシーに配慮したアプローチである年齢しきい値のエレメントを使用する必要があります。

発行機関とは、ISO 18013-5の仕様に記載されている「発行機関」、「発行地域」、「発行国」、「国連識別記号」エレメントを指します。

APIでは、姓と名の2つの名前のエレメントが定められています。これらは、ISO 18013-5の仕様で定められている「given_name」と「family_name」のエレメントに対応します。名をリクエストすると（リクエスト可能な場合）、AAMVAの名前空間から「given_name_truncation」、「aka_given_name」、「name_suffix」、「aka_suffix」のエレメントが返されます。同様に、姓をリクエストすると（リクエスト可能な場合）、AAMVAの名前空間から「family_name_truncation」と「aka_family_name」のエレメントが返されます。

ISO 18013-5の仕様には、ミドルネームのエレメントは含まれていません。通常、ミドルネームは名（given name）フィールドに含まれますが、最終的には各発行者の裁量に委ねられます。

これらの免許証の種類が発行者から提供されたものである場合は、それらは運転特権の構造に含まれます。運転特権の構造は、ISO/IEC 18103-5のセクション7.2.4で定められています（https://www.iso.org/standard/69084.htmlを参照）。

米国の運転免許証について、AAMVAには「国内運転特権」と呼ばれる独自のバリエーションがあり、使用可能な場合は返されます（12ページ：https://www.aamva.org/assets/best-practices,-guides,-standards,-manuals,-whitepapers/mobile-driver-s-license-implementation-guidelines-1-2を参照）。

応答の暗号化を解除する際に、セッショントランスクリプトオブジェクトを作成します。セッショントランスクリプトは、HPKE復号化中に「info」パラメータとして使用され、ISO 18013-5で定義されるデバイス署名の検証の際に再度使用されます。詳しくは、「ウォレットIDリクエストの確認」をご参照ください。

IACA（発行機関認証局）証明書は信頼の基点であり、ID認証情報が州の車両管理局、日本政府、Appleなどの正当な発行者によって作成されたことを確認するために使用されます。

Verify with Wallet APIで使用されるIACA証明書は、上記のリストの通りです。ウォレットのIDから返された情報を認証するには、サーバがこれらのIACA証明書を信頼する必要があります。

身分証明書が正当な発行者によって作成され、正しいデバイスで提示されたことを確認するには、サーバで応答を検証する必要があります。検証をスキップしたり、アプリ内で検証を実行したりすると、悪意のあるユーザーによる本人確認書類の改ざんに対して脆弱になります。

ID認証情報の発行者（州の車両管理局、日本政府、またはAppleなど）は、発行機関のエレメントをリクエストすることで確認できます。または、ID認証情報の署名証明書に対応するIACA証明書から発行者を確認することもできます。