eID Mongolia¶
Production · Давхарга 1 — Identity / PKI цөм ·
Репо: eid-platform-mn · eidmongolia.mn
Монголын үндэсний eID платформ (Smart-ID / eIDAS маягийн). Экосистемийн бүх танилт, гарын үсэг эцсийн дүндээ энд тулна. Нэг кодоос eID Mongolia ба Gerege брэнд хоёуланг app variant-аар үйлчилдэг.
Юу хийдэг вэ?¶
- Иргэнийг таних, нэвтрүүлэх — QR код, мобайл deep-link, эсвэл иргэний регистрийн дугаараар push илгээж баталгаажуулах.
- Хууль зүйн хүчинтэй гарын үсэг — PDF-д PAdES гарын үсэг, RFC 3161 цагийн тэмдэгтэй.
- Гэрчилгээний бүх мөчлөг — олголт (CA), хүчинтэй эсэхийг шалгах (OCSP/CRL), хүчингүй болгох.
- KYC — DAN-аар баталгаажуулж, амьд байдлыг нүүр таниулгаар шалгана.
Гол крипто шийдэл¶
2-of-2 threshold ECDSA¶
Гарын үсгийн хувийн түлхүүр нэг ч газар бүрэн оршдоггүй. Түлхүүр хоёр хуваагдана: нэг хэсэг нь хэрэглэгчийн утсанд, нөгөө хэсэг нь серверт. Гарын үсэг зурахад хоёр тал хоёулаа оролцох ёстой (Lindell протоколын 3 шатлалт хувилбар).
Үүний утга: утас хулгайлагдсан ч гарын үсэг зурах боломжгүй; сервер эвдэрсэн ч мөн адил. Аль нэг тал дангаараа хэрэглэгчийн нэрийн өмнөөс гарын үсэг зурж чадахгүй.
Давхар түлхүүр, давхар гэрчилгээ¶
Иргэн бүр хоёр гэрчилгээтэй:
| Гэрчилгээ | PIN | Зориулалт |
|---|---|---|
| Authentication | PIN1 | Систем рүү нэвтрэх |
| Signing | PIN2 | Хууль зүйн хүчинтэй гарын үсэг |
Энэ салангид байдал нь чухал: нэвтрэх үйлдэл нь хэзээ ч гарын үсэг зурсан гэсэн үг болохгүй. Гарын үсэг нь тусдаа PIN, тусдаа түлхүүр, тусдаа зөвшөөрөл шаардана — non-repudiation-ийн үндэс.
Идентификатор¶
| Төрөл | Формат | Жишээ загвар |
|---|---|---|
| Хувь хүн | PNOMN-<civil_id> |
ETSI ID стандарт |
| Байгууллага | NTRMN-<registration> |
ETSI ID стандарт |
Дотоод таних дугаар нь civil_id (иргэний регистрийн дугаар). Идентификаторын
том/жижиг үсгийн дүрмийг Нийтлэг зарчим
хуудаснаас үзнэ үү.
Бүтэц¶
| Хэсэг | Технологи | Үүрэг |
|---|---|---|
server/ |
Go (chi + pgx) | RP-API backend: enroll, threshold signing, CA/OCSP/CRL, admin, KYC |
web/ |
Next.js | Browser RP demo — QR / push нэвтрэлт ба гарын үсэг |
admin/ |
Next.js | Admin консол — RP / хэрэглэгч / гэрчилгээ / session удирдлага |
ios/ |
Swift | GeregeSmartID SPM SDK + eID Mongolia апп |
android/ |
Kotlin / Compose | mn.eidmongolia.smartid SDK + жишээ апп |
desktop/ |
Swift + .NET | macOS / Windows RP client + USB token kit |
sdk/ |
TypeScript | RP-талын web SDK |
PKI үйлчилгээ¶
| Үйлчилгээ | Хаяг | Тайлбар |
|---|---|---|
| CA | eidmongolia.mn |
Гэрчилгээ олгох эрх бүхий байгууллага |
| OCSP | ocsp.eidmongolia.mn |
Гэрчилгээний хүчинтэй байдлыг real-time шалгах |
| CRL | CA-аас нийтэлнэ | Хүчингүй болсон гэрчилгээний жагсаалт |
| TSA | tsa.timeserver.mn |
RFC 3161 цагийн тэмдэг |
Түлхүүр хамгаалалт: HSM ашиглана — on-prem төхөөрөмж болон cloud HSM хоорондоо failover хийх байдлаар тохируулагдсан.
X-Road-ийн CA үүрэг
eID Mongolia нь X-Road Mongolia-ийн итгэлцлийн үйлчилгээ (CA, OCSP) үүргийг мөн гүйцэтгэдэг. Тиймээс Давхарга 1 нь Давхарга 0-д итгэлцлийн үндсийг өгдөг — экосистем дэх цорын ганц зөвшөөрөгдсөн «доогуур» хамаарал.
Нэгдэх зам (RP)¶
3 дагч тал eID-тэй хоёр янзаар холбогдоно:
1. SSO-гоор дамжуулан (санал болгож буй). Апп нь Gerege SSO-той OIDC RP болж холбогдоно; eID нэвтрэлт нь SSO дээр явагдана. Ихэнх тохиолдолд энэ л зөв сонголт — та PKI код бичихгүй, зөвхөн стандарт OIDC хэрэгжүүлнэ.
2. Шууд RP болох. Гүн интеграц (тухайлбал өөрийн гар утасны апп дотор eID урсгал суулгах) шаардлагатай үед eID дээр шууд RP болж бүртгүүлнэ. Энэ тохиолдолд iOS / Android / TypeScript SDK-уудыг ашиглана.
RP ↔ rp_app дүрэм
eID дээр зөвхөн RP бүртгэгддэг. Нэг RP доор олон апп/дэд систем байвал
тэдгээрийг rp_app / rp_app_url талбараар дамжуулна — лог болон хэрэглэгчийн
дэлгэц дээр аль апп хүсэлт гаргасныг ялгаж харуулна. Апп бүрт тусдаа RP
бүртгүүлэх шаардлагагүй.
Wire-нийцтэй байдал¶
Go сервер, iOS SDK, Android SDK гурвуулаа нэг тогтмол протокол ярина. Крипто сериалчлал нь бүх талд byte-identical байх ёстой. Энэ гэрээ нь frozen golden vector-ээр түгжигдсэн — дэлгэрэнгүйг Технологийн стек хуудаснаас үзнэ үү.
Дэлгэрэнгүй баримт¶
Платформын бүрэн техникийн баримт (RP интеграцийн алхмууд, SDK лавлах, PKI/CA
onboarding, admin консолын гарын авлага) нь eid-platform-mn репо доторх өөрийнх нь
баримтын сайтад байрлана. Гол бүлгүүд:
- Ойлголт — 2 гэрчилгээт eID · Идентификаторууд · Хувь хүний PKI
- Интеграц (RP) — RP интеграц · Gerege интеграц · RP дэд систем · TypeScript SDK · Web RP demo · Байгууллага нэвтрүүлэх
- Клиент SDK / Апп — iOS · Android · биометр түлхүүр · macOS · Windows · USB token kit
- Оператор — Admin консол · Олон хэл
- PKI / CA — CA onboarding · Паспортын passive authentication · Царай таниулах