PatientEnrollmentCredential

Met een PatientEnrollmentCredential wordt bewezen dat een bepaalde patient is ingeschreven bij een zorgaanbieder. Dit credential is de VC‑tegenhanger van het SAML AORTA‑inschrijftoken en wordt gebruikt om patiënt‑ en behandelrelatiecontext vast te stellen voorafgaand aan de uitgifte van een AORTA access token.

VCs worden gemodelleerd conform het W3C Verifiable Credentials Data Model en geserialiseerd als JWT (VC‑JWT). De VC heeft een JWT Header, JWT Payload en JWT Signature zoals hieronder gedefineerd.

JWT Header

De JWT header van deze VC bevat de volgende velden:

Voorbeeld did:x509 JWT header

{
  "alg": "RS256",
  "typ": "JWT",
  "kid": "did:x509:0:sha256:WE4P5dd8DnLHSkyHaIjhp4udlkF9LqoKwCvu9gl38jk::subject:O:Autoriteit::san:otherName:00000000#0",
  "x5c": [
    "",
    "",
    ""
  ],
  "x5t#S256": "WE4P5dd8DnLHSkyHaIjhp4udlkF9LqoKwCvu9gl38jk"
}

JWT Payload

De JWT Payload van deze Verifiable Credential bevat de volgende velden:

Het domein dat wordt gebruikt in een did:web identifier moet een top-level domain hebben met voldoende betrouwbaarheid en juridische afdwingbaarheid. Binnen AORTA is het gebruik van het .nl verplicht. Dit waarborgt dat domeinnamen vallen onder Nederlands recht en dat de SIDN als registerhouder voldoende garanties biedt ten aanzien van eigenaarschap en geschilbeslechting.

Voor de PatientEnrollmentCredential is het credentialSubject het object dat de claims bevat waarmee de inschrijving (behandelrelatie) van de patient wordt bewezen. Het subject van dit credential is de inschrijving (behandelrelatie) bij een zorgaanbieder en niet de patiënt als persoon en niet de zorgaanbieder als zelfstandige identiteit. Het credentialSubject bevat de volgende attributen:

Voorbeeld van de JWT body van een PatientEnrollmentCredential:

{
  "iss": "did:x509:0:sha256:YmFzZTY0...dHJ1c3Q=::san:otherName:2.16.528.1.1007.99.2110-1-12345678-Z-90001234-01.015-12345678",
  "sub": "did:web:huisarts-delinden.nl",
  "jti": "urn:uuid:a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "nbf": 1740000000,
  "exp": 1786320000,
  "vc": {
    "@context": [
      "https://www.w3.org/2018/credentials/v1",
      "http://gis-nl.example/"
    ],
    "type": [
      "VerifiableCredential",
      "PatientEnrollmentCredential"
    ],
    "issuanceDate": "2025-02-20T00:00:00Z",
    "expirationDate": "2026-08-08T00:00:00Z",
    "credentialSubject": {
      "id": "did:web:huisarts-delinden.nl",
      "@type": "HealthcareProvider",
      "hasEnrollment": {
        "@type": "PatientEnrollment",
        "issuedTo": {
          "@type": "HealthcareProvider",
          "identifier": {
            "@type": "Identifier",
            "system": "http://fhir.nl/fhir/NamingSystem/ura",
            "value": "12345678"
          }
        },
        "patient": {
          "@type": "Patient",
          "identifier": {
            "@type": "Identifier",
            "system": "http://fhir.nl/fhir/NamingSystem/bsn",
            "value": "999911234"
          }
        },
        "enrolledBy": {
          "@type": "HealthcareWorker",
          "identifier": {
            "@type": "Identifier",
            "system": "http://fhir.nl/fhir/NamingSystem/uzi-nr-pers",
            "value": "90001234"
          }
        }
      }
    }
  }
} 

JWT Signature

De JWT Signature van een Verifiable Credential borgt de integriteit en herkomst van de JWT en de daarin opgenomen VC. De JWT signature MOET worden geplaatst over de base64url‑gecodeerde JWT header en payload conform JWS (RFC 7515).

• De JWT MOET worden ondertekend door de issuer van de VC.

• De issuer van het credential wordt geïdentificeerd via de iss‑claim in de JWT payload.

• De kid‑claim in de JWT header MOET verwijzen naar de signing key waarmee de JWT is ondertekend.

• De signing key MOET overeenkomen met het leaf-certificaat waarmee de JWT is ondertekend.

• De relatie tussen de signing key en de issuer MOET worden vastgesteld via validatie van de X.509-certificaatketen tegen geaccepteerde PKI-trust anchors (zoals PKIoverheid en UZI).

Verificaties van het PatientEnrollmentCredential

De credential MOET voldoen aan de specificaties van de betreffende credential, inclusief eventuele de normatieve structuur en inhoudelijke eisen zoals gedefinieerd.

Daarnaast moeten de volgende verificaties plaatsvinden. Indien één van de onderstaande verificaties faalt wordt de credential als ongeldig beschouwd. Het systeem MAG stoppen bij de eerste geconstateerde fout en hoeft niet alle verificaties uit te voeren.

• Verificatie van de JWT-signature:

  • De JWT signature MOET cryptografisch correct zijn en succesvol valideren over de JWT header en payload.

  • De credential MOET zijn ondertekend door de issuer van de VC zoals geïdentificeerd in de iss claim van de JWT payload.

• Verificatie van DID en sleutelbinding

  • Het DID‑document van de issuer van de credential MOET worden geresolveerd conform de toepasselijke DID‑methode.

  • De signing key waarmee de credential is ondertekend MOET via de kid‑claim herleidbaar zijn tot het DID‑document van de issuer.

  • De signing key MOET voorkomen in de assertionMethod van het DID‑document van de issuer.

  • De issuer DID van de credential MOET een geaccepteerde trust anchor bevatten, passend bij het type credential. Het type trust anchor is afhankelijk van het credential‑type.

• Verificatie van sleutelgeldigheid:

  • De signing key MOET worden geresolveerd via key‑resolutie, waarbij de nbfvan het credential als referentietijdstip wordt gebruikt.

  • De signing key MOET geldig zijn geweest op het referentietijdstip en MAG NIET verlopen of ingetrokken zijn vóór de issuanceDate van het credential.

• Verificatie van geldigheid in tijd:

  • De credential MOET geldig zijn op het moment van gebruik.

  • De credential MAG NIET herroepen zijn. Deze controle wordt vooralsnog niet uitgevoerd.

    • Indien vc.credentialStatus aanwezig is, MOET de revocatiestatus worden gecontroleerd.

• Verificatie deelname GBC:

  • De identiteit van de credential issuer (iss) MOET worden vastgesteld als een vertrouwde GBC‑deelnemer. Op termijn zal deze controle uitgevoerd worden door een controle in ZORG-AB. Vooralsnog zal de controle worden uitgevoerd tegen een interne lijst van vertrouwde GBC deelnemers.

• did:web specifieke validaties:

  • Het domein dat wordt gebruikt in een did:web identifier moet een top-level domain hebben met voldoende betrouwbaarheid en juridische afdwingbaarheid. Binnen AORTA is het gebruik van het .nl verplicht. Dit waarborgt dat domeinnamen vallen onder Nederlands recht en dat de SIDN als registerhouder voldoende garanties biedt ten aanzien van eigenaarschap en geschilbeslechting.

• PatientEnrollmentCredentialspecifieke verificaties:

  • Het vc.type MOET PatientEnrollmentCredential bevatten.

  • Het pastype in de iss claim MOET gelijk zijn aan Z (zorgverlenerpas) of N (Medewerkerspas op naam).

  • De geldigheidsduur van het credential MAG maximaal 18 maanden bedragen.

  • Indien een verloopdatum is opgenomen, MOET deze voor de expires‑datum van de signing key zijn.