RP интеграц — иргэнээр нэвтрэлт ба гарын үсэг

Өргөдлийн форм бөглөнө — оператор шалгаж баталсны дараа RP бүртгэгдэж, API secret олгогдоно. Формд:

• Нэр — танай үйлчилгээний нэр (иргэнд харагдана, ж: «Хаан Банк»)
• Зорилго — AUTH / SIGN / CERT (хэрэгцээгээрээ)
• App2App буцах host (сонголт) — гар утаснаас иргэнийг буцаах домэйн
• mTLS cert subject (сонголт) — production-д client cert шаардана

Өргөдөл өөрөө ямар ч эрх үүсгэхгүй. Батлагдсаны дараа UUID ба API secret (rp_sk_…) олгогдоно. Secret зөвхөн нэг удаа харагдана — даруй найдвартай хадгалаарай (танай backend-д л, нууцаар). IP allowlist-ыг оператор батлахдаа тохируулна.

# API-аар шууд бас илгээж болно:
curl -X POST https://eidmongolia.mn/v3/rp-applications \
  -H "Content-Type: application/json" \
  -d '{"orgName":"Хаан Банк","orgRegister":"9999999",
       "contactName":"Б. Бат","contactEmail":"bat@khanbank.mn",
       "purpose":"AUTH,SIGN"}'
# → 202 {"id":"<uuid>","status":"PENDING"}   төлөв: GET /v3/rp-applications/<uuid>

RP-API дуудлага бүрд Authorization: Bearer <secret> header илгээнэ. Secret-гүй эсвэл буруу бол 401 буцна. IP allowlist тохируулсан бол зөвшөөрөгдөөгүй IP-ээс 403.

Authorization: Bearer rp_sk_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Content-Type: application/json

Иргэнийг РД, иргэний дугаар эсвэл ETSI-ээр заана (аль нь ч болно — сервер таьна). Иргэний утас руу push очно.

curl -X POST https://eidmongolia.mn/v3/authentication/notification/etsi/<РД-эсвэл-civil_id> \
  -H "Authorization: Bearer $RP_SECRET" \
  -H "Content-Type: application/json" \
  -d '{
    "relyingPartyUUID": "<танай-UUID>",
    "relyingPartyName": "Хаан Банк",
    "certificateLevel": "QUALIFIED",
    "signatureProtocol": "ACSP_V2",
    "signatureProtocolParameters": {
      "rpChallenge": "'"$(openssl rand -base64 64 | tr -d '\n')"'",
      "signatureAlgorithm": "rsassa-pss",
      "signatureAlgorithmParameters": {"hashAlgorithm": "SHA-512"}
    },
    "interactions": "'"$(echo -n '[{"type":"displayTextAndPIN","displayText60":"Хаан Банк-д нэвтрэх"}]' | base64 | tr -d '\n')"'"
  }'

# Хариу: {"sessionID":"...","vc":{"type":"alphaNumeric5","value":"12345"}}
# vc.value — иргэний утсан дээр харагдах 5 оронтой баталгаажуулах код (VC). UI-даа ХАРУУЛНА.
# VC нь ПИН БИШ — зөвхөн нүдээр тулгах зориулалттай, хэрэглэгчээр оруулуулж БОЛОХГҮЙ
# (PIN1 нь 4 оронтой; VC 5 орон нь андуурч PIN блок болохоос сэргийлсэн зориудын ялгаа).

Баримтын SHA-256 digest (base64)-ийг илгээнэ. Иргэн PIN2-оор хууль ёсны (non-repudiation) гарын үсэг зурна.

# 1) Баримтын digest
DIGEST=$(printf '%s' "Зээлийн гэрээ №42" | openssl dgst -sha256 -binary | base64)

# 2) Sign session
curl -X POST https://eidmongolia.mn/v3/signature/notification/etsi/<РД-эсвэл-civil_id> \
  -H "Authorization: Bearer $RP_SECRET" \
  -H "Content-Type: application/json" \
  -d '{
    "relyingPartyUUID": "<танай-UUID>",
    "relyingPartyName": "Хаан Банк",
    "certificateLevel": "QUALIFIED",
    "signatureProtocol": "RAW_DIGEST_SIGNATURE",
    "signatureProtocolParameters": {
      "digest": "'"$DIGEST"'",
      "signatureAlgorithm": "rsassa-pss",
      "signatureAlgorithmParameters": {"hashAlgorithm": "SHA-256"}
    },
    "interactions": "'"$(echo -n '[{"type":"displayTextAndPIN","displayText60":"Гэрээнд гарын үсэг зурах"}]' | base64 | tr -d '\n')"'"
  }'

# Хариу: {"sessionID":"...","vc":{"type":"alphaNumeric5","value":"56789"}}

sessionID-аар session-ийн төлвийг асууна. Long-poll — иргэн баталгаажуулмагц (эсвэл timeoutMs дуустал) шууд буцна.

curl "https://eidmongolia.mn/v3/session/<sessionID>?timeoutMs=30000" \
  -H "Authorization: Bearer $RP_SECRET"

# COMPLETE болоход:
# {
#   "state": "COMPLETE",
#   "result": { "endResult": "OK", "documentNumber": "..." },
#   "signature": { "value": "MEQCI…", "signatureAlgorithm": "ecdsa-with-SHA256" },
#   "cert": { "value": "MIID…" }   // иргэний X.509 гэрчилгээ (subject-д РД, нэр)
# }

endResult: OK бол амжилттай. signature.value нь баримтын гарын үсэг, cert.value нь иргэнийг таних гэрчилгээ (eIDAS qualified).