Protokoll · BringPass

Drei Grenzen. Keine universelle Vermittlungsstelle.

A

Lokale Steuerung

PROFILE.IMPORT → SELECT → PRESENT

Die Anwendung des Besitzers verwaltet Profile und Schlüsselreferenzen. Diese Befehle bleiben auf Token-Seite.

B

Präsentation für Bestandssysteme

TOKEN → [existing value / exchange] → READER

Nur der bestehende Barcode, QR-Inhalt oder NFC-Anwendungsaustausch überschreitet diese Grenze. Keine BringPass-Nachrichtenhülle.

C

Nativer Austausch

CHALLENGE → PROOF → RESULT

Zusammenarbeitende Seiten authentifizieren den Anbieter, weisen Kontrolle nach und bestätigen die konkrete Änderung.

Der native Austausch ist optional. Er wird nicht zwischen einen Bestandsleser und dessen Backend geschaltet.

Wer muss etwas ändern?

Klasse	Protokollkenntnis des Anbieters	Arbeit auf Token-Seite	Auswirkung beim Anbieter
`C0` Bestehendes Zugangsmittel	Keine native Protokollkenntnis	Ein erlaubtes bestehendes Zugangsmittel auswählen oder wiederverwenden.	Keine Softwareänderung beim Anbieter. Bestehende Regeln gelten weiter.
`C1` Profil auf Token-Seite	Bestandsleser bleibt unverändert	Zugelassenes Format oder bestehende Anwendung auf Token-Seite nachbilden.	Keine Softwareänderung beim Anbieter. Übliche Registrierung und Tests bleiben nötig.
`C2` Native Zusammenarbeit	Beide Seiten verstehen das Protokoll	Authentifizierte Challenges, Nachweise und Lebenszyklusbestätigungen austauschen.	Beide Seiten implementieren das Protokoll; vorhandene Leserhardware kann nutzbar sein.
`X` Nicht unterstützte Kombination	Kein akzeptierter Zugangsmittelpfad	Hardware, Schlüssel, Anwendung oder Registrierungsregeln passen nicht.	Zusammenarbeit oder andere Zugangsmittel nötig. Nicht stillschweigend als C1 ausweisen.

Dies sind Kompatibilitätsklassen, keine Sicherheitsstufen. Registrierung, Nutzung, Sperrung und Rückzug getrennt bewerten. „Keine Protokollkenntnis“ bedeutet nicht „funktioniert nicht“.

Ein Profil bestimmt, was präsentiert wird.

Das „interne Protokoll“ beschreibt die Schnittstelle auf Besitzerseite zwischen Profilverwaltung, sicherem Schlüsselspeicher und Ausgabetreibern. Es kann in einer App liegen oder zwischen Verwaltungs-App und Karte aufgeteilt sein.

Es wählt eine Darstellung; es erfindet keine Fähigkeiten, die dem Zugangsmittel fehlen. Importierte Profile sind Daten, keine beliebig ausführbaren Plug-ins.

PROFILE.SELECT("library")
PROFILE.PRESENT()

// Legacy scanner sees only:
00481720

PROFILE.IMPORT

Ein begrenztes, vom Besitzer freigegebenes Profil vorbereiten; Format und Herkunft prüfen.

PROFILE.SELECT

Explizit auswählen oder einen tatsächlich authentifizierten Anbieterkontext verwenden.

PROFILE.PRESENT

Die zugelassene Darstellung an Renderer oder bestehenden NFC-Treiber übergeben.

PROFILE.SUSPEND

Lokale Nutzung unterbinden. Andere Kopien und verlorene Geräte bleiben unberührt.

PROFILE.REMOVE

Lokal vergessen. Ohne Bestätigung keine Sperrung beim Anbieter melden.

Woher weiß der Token, welcher Anbieter anfragt?

Oft weiß er es nicht. Ein Scanner liefert keine authentifizierte Identität; dieselbe NFC-Anwendungskennung kann von vielen Anbietern verwendet werden. Ohne echte Anbieterauthentifizierung ist eine explizite Auswahl nötig. Eine feste Funk-UID wird durch einen Profilwechsel nicht zu einer anderen paarweisen Kennung.

Android HCE: Anwendungsauswahl und UID-Grenzen

Vier Vorgänge. Unterschiedliche Wirkungen.


        REGISTER

Zugangsmittel registrieren

Einen neuen Schlüssel oder zulässigen Bestandswert mit dem vorhandenen Konto verknüpfen. Ein weiteres Gerät erzeugt kein weiteres Konto.

USE

Beziehung nutzen

Präsentieren oder Kontrolle nachweisen. Der Anbieter prüft weiterhin aktuelle Mitgliedschaft und Berechtigung. Eine Signatur allein gewährt nichts.


        REVOKE

Ein Zugangsmittel sperren

Ein verlorenes, gestohlenes oder ausgemustertes Zugangsmittel bei diesem Anbieter sperren. Andere eigenständige Zugangsmittel und die Beziehung bleiben.


        RETRACT

Registrierung zurückziehen

Der Besitzer zieht die BringPass-Beziehung bei einem Anbieter zurück. Deren Zugangsmittel sperren, nicht das zugrunde liegende Konto oder unabhängige Anbieterkarten.

Rückzug bezeichnet hier die vorgeschlagene Aufhebung dieser Registrierung. Er ist keine Vertragskündigung, Kontolöschung oder DSGVO-Löschung. Lokales Vergessen ist ein eigener Vorgang.

Was überschreitet tatsächlich die Grenze?

Kompatibilität Vorgang Verwaltungsweg

Nachrichtenansicht · Illustration, kein Vorgang wird gesendet

BESITZER → TOKEN  PROFILE.SELECT(library)
TOKEN → LESER     00481720
SERVICESTELLE     Bestehende Kontoprüfung, Karte hinzufügen, Eindeutigkeit, Test.
                  Kein BringPass-Befehl erreicht den Leser.

Auch die Registrierung im Bestand braucht den üblichen Registrierungsschritt beim Anbieter.

Inhalt nativer Nachrichten

CHALLENGE  version · suite · operation · transaction · provider
           relationship · target · nonce · expiry · context

PROOF      same operation and transaction · relationship · credential
           target · hash(signed challenge) · new key only for REGISTER

RESULT     same operation and transaction · hash(signed proof)
           outcome · state · revision · effective scope

Den Anbieter vor Offenlegung der Beziehung authentifizieren. Den gesamten Challenge-Kontext signieren. Bei Nutzung den gespeicherten Schlüssel prüfen, nicht einen vom Anfragenden angebotenen Schlüssel. Die Bestätigung an den exakten Antrag binden.

Gleicher Lebenszyklus. Zwei Verwaltungswege.

Vorgang	Servicestelle	Selbstbedienung
`REGISTER`	Personal wählt und prüft das Konto; liest den Wert oder startet eine native Challenge; verknüpft und testet.	Ein bereits authentifiziertes Konto nutzen. Bestandsregistrierung funktioniert nur, wenn das bestehende Portal sie bereits unterstützt; native Registrierung bindet die Challenge an diese Sitzung.
`USE`	Gewähltes Zugangsmittel präsentieren; der Anbieter führt die bestehende Prüfung oder native Nachweisprüfung durch.	Für reguläre Nutzung ist keine Servicestelle nötig. Native Anwesenheits- oder Nutzerverifikationsanforderungen folgen den Regeln des Vorgangs.
`REVOKE`	Kontoberechtigung erneut prüfen, exakt die verlorene Verknüpfung sperren und Leser über bestehende Mechanismen aktualisieren. Keine Signatur der verlorenen Karte nötig.	Ein unabhängiges registriertes Zugangsmittel plus Verwaltungsberechtigung oder das geprüfte Wiederherstellungsverfahren des Anbieters nutzen. Ein reiner Nutzungsschlüssel darf seine Ersetzung nicht selbst autorisieren.
`RETRACT`	Antrag des Besitzers bestätigen und alle BringPass-Verknüpfungen dieser Beziehung zurückziehen. Konto nach bestehenden Regeln erhalten.	Den Umfang der gesamten Beziehung bestätigen, Anbieterbestätigung abwarten, dann lokale Profile entfernen. Ohne passende Bestandsportal-Funktion ist die Servicestelle zuständig, nicht versteckte Automatisierung.

Verloren, ausgetauscht oder schon ausgegeben?

Geplanter Wechsel: neues eigenständiges Zugangsmittel registrieren, testen, altes sperren. Verlust: erst Kontoberechtigung wiederherstellen und gefährdeten Zugang sperren, dann Ersatz registrieren. Bestehende optische Karte: erlaubte Wiedergabe kann den Ausstellerwert beibehalten, doch alle Kopien werden gemeinsam gesperrt.

Diese Schritte erfolgen je betroffenem Anbieter. Es gibt keinen zentralen Sperrdienst und keine Zusage, dass Offline-Leser eine Änderung sofort erfahren.

Eine lesbare Vereinbarung, kein vorgeschriebener Webdienst.

Python und JavaScript enthalten ausführbare Referenzen für Token und Anbieter mit allen vier Vorgängen, echten Ed25519-Signaturen sowie Bestätigungs- und Wiederholungsprüfungen. Elf weitere Sprachen zeigen denselben Lebenszyklus über explizite Prüfungs- und Transaktionsschnittstellen.

Beide Seiten ansehen Protokollentwurf herunterladen Nachrichtenschema Lokale Profilvereinbarung

Sicherheits- und Implementierungsgrenzen

Referenzverfahren und Bytekodierung sind experimentell, kein universelles Smartcard-Profil. Anbieterbindung, Kontoberechtigung und lokale Zustimmung müssen von vertrauenswürdigen Adaptern kommen. Produktivbetrieb braucht dauerhaften atomaren Zustand, geprüfte Geräteanbindungen, Wiederherstellung und Maßnahmen gegen Weiterleitungsangriffe. Eine Signatur ist kein Nähebeweis.

Die Beispiele bestätigen nur den maßgeblichen Online-Datenbestand. Sie behaupten keine Offline-Berechtigungsprüfung, sofortige Sperrung aller Leser, sichere Schlüssellöschung oder fertige Hardwareintegration.

Kryptografie- und Plattformquellen

Innen ein Modell. Außen die Sprache des Lesers.