@gerege-systems/eid-mongolia-sdk 0.1.0

package/dist/index.d.cts

@@ -0,0 +1,447 @@
+import { X509Certificate, KeyObject } from 'node:crypto';
+
+interface HttpConfig {
+    /** RP-API суурь URL, /v3 хүртэл. Ж: https://ca.eidmongolia.mn/v3 */
+    baseUrl: string;
+    /** API secret (rp_sk_…) — Authorization: Bearer-д орно. */
+    apiSecret: string;
+    /** Дуудлагын timeout (мс). Default 15000. Long-poll нь өөрийн уртыг дамжуулна. */
+    timeoutMs?: number;
+    /**
+     * undici Dispatcher — mTLS client cert тохируулахад. RP тал:
+     *   new Agent({ connect: { cert, key, ca } })
+     * Дамжуулсан бол fetch дуудлага бүрд хэрэглэнэ. Зөвхөн Node орчинд.
+     */
+    dispatcher?: unknown;
+    /** Тест/custom орчинд fetch-ийг орлуулах (default — global fetch). */
+    fetchImpl?: typeof fetch;
+}
+declare class Http {
+    private readonly cfg;
+    constructor(cfg: HttpConfig);
+    post(path: string, body: unknown, timeoutMs?: number): Promise<unknown>;
+    get(path: string, timeoutMs?: number): Promise<unknown>;
+    private request;
+}
+
+/** Сертификатын баталгаажуулалтын түвшин (eIDAS LoA). QUALIFIED — хууль ёсны гарын үсэгт. */
+type CertificateLevel = "ADVANCED" | "QUALIFIED" | "QSCD";
+/** Гарын үсгийн протокол: auth → ACSP_V2, sign → RAW_DIGEST_SIGNATURE (Smart-ID v3). */
+type SignatureProtocol = "ACSP_V2" | "RAW_DIGEST_SIGNATURE";
+/** Гарын үсгийн алгоритм. rsassa-pss анхдагч; ecdsa-with-SHA256 — хуучин threshold-ECDSA cert. */
+type SignatureAlgorithm = "rsassa-pss" | "sha256WithRSAEncryption" | "sha384WithRSAEncryption" | "sha512WithRSAEncryption" | "ecdsa-with-SHA256";
+/** Hash алгоритм (Smart-ID v3 нэршил). Хуучин "SHA256" нэршил SDK-д БАЙХГҮЙ. */
+type HashAlgorithm = "SHA-256" | "SHA-384" | "SHA-512";
+/** Урсгалын төрөл — хариуны signature.flowType; RP өөрийн санал болгосонтой тулгана. */
+type FlowType = "QR" | "App2App" | "Web2App" | "Notification";
+/** rsassa-pss хариуны параметр (signature.signatureAlgorithmParameters). */
+interface SignatureAlgorithmParameters {
+    hashAlgorithm: HashAlgorithm | string;
+    maskGenAlgorithm?: {
+        algorithm: string;
+        parameters?: {
+            hashAlgorithm: string;
+        };
+    };
+    saltLength?: number;
+    trailerField?: string;
+}
+/**
+ * Auth session-ийн ACSP_V2 контекст — RP ХҮСЭЛТЭД илгээсэн утгууд. validator энэ + хариугаар
+ * payload-ийг дахин угсарна. Session эхлүүлэхэд SDK өөрөө бөглөнө; RP үүнийг хадгална.
+ */
+interface AcspContext {
+    rpChallenge: string;
+    relyingPartyName: string;
+    brokeredRpName: string;
+    /** Илгээсэн base64 МӨР (дахин serialize хийхгүй). */
+    interactions: string;
+    initialCallbackUrl: string;
+    /** RP-ийн санал болгосон урсгалууд — хариуны flowType эдгээрийн нэг байх ёстой. */
+    flowTypes: FlowType[];
+    signatureAlgorithm: SignatureAlgorithm;
+    hashAlgorithm: HashAlgorithm;
+}
+/**
+ * Interaction — иргэний утсан дээр харагдах харилцан үйлдэл. displayTextAndPIN нь PIN асууж
+ * текст харуулна (хамгийн түгээмэл). text60 — 60 тэмдэгт хүртэл; text200 — 200 хүртэл.
+ */
+interface Interaction {
+    type: "displayTextAndPIN" | "confirmationMessage" | "confirmationMessageAndVerificationCodeChoice";
+    displayText60?: string;
+    displayText200?: string;
+}
+/** Session-ийн төлөв. RUNNING — иргэн хариу өгөөгүй; COMPLETE — дууссан (endResult-ыг үз). */
+type SessionState = "RUNNING" | "COMPLETE";
+/**
+ * endResult — COMPLETE session-ийн эцсийн үр дүн.
+ *   OK                        — амжилттай (signature/cert бэлэн)
+ *   USER_REFUSED*             — иргэн татгалзсан
+ *   TIMEOUT                   — иргэн хугацаанд хариу өгөөгүй
+ *   DOCUMENT_UNUSABLE         — гэрчилгээ/төхөөрөмж ашиглах боломжгүй
+ *   WRONG_VC                  — баталгаажуулах код таарсангүй
+ */
+type EndResult = "OK" | "USER_REFUSED" | "USER_REFUSED_DISPLAYTEXTANDPIN" | "USER_REFUSED_VC_CHOICE" | "USER_REFUSED_CONFIRMATIONMESSAGE" | "USER_REFUSED_CERT_CHOICE" | "TIMEOUT" | "DOCUMENT_UNUSABLE" | "WRONG_VC" | "PROTOCOL_FAILURE" | string;
+/**
+ * Push (notification) session эхлүүлсний хариу. vc — иргэний дэлгэцэд ХАРУУЛАХ 5 оронтой
+ * баталгаажуулах код: утсан дээрх кодтой ижил эсэхийг НҮДЭЭР тулгах зориулалттай.
+ *
+ * VC нь ПИН БИШ — RP нь үүнийг хэрэглэгчээр оруулуулж болохгүй, зөвхөн харуулна. (PIN1 нь
+ * 4 оронтой; VC-г 5 оронтой болгосон нь хэрэглэгч андуурч PIN-ий талбарт оруулаад PIN
+ * блок болохоос сэргийлсэн зориудын ялгаа.)
+ */
+interface NotificationSession {
+    sessionId: string;
+    /** Verification Code — иргэний утсан дээр харагдах код. RP UI-даа ижлийг харуулна (man-in-the-middle хамгаалалт). */
+    vc: string | null;
+    /** RP-ийн илгээсэн санамсаргүй challenge (base64). Хариуны signature-ийг үүний эсрэг шалгана. */
+    rpChallenge: string;
+    /** Auth session-д validator-т өгөх контекст (sign session-д undefined). */
+    acsp?: AcspContext;
+}
+/** Device-link (QR/App2App) session. Иргэн QR уншиж эсвэл deeplink дарж нэгдэнэ. */
+interface DeviceLinkSession {
+    sessionId: string;
+    sessionToken: string | null;
+    sessionSecret: string | null;
+    /** QR/deeplink үүсгэх суурь URL. */
+    deviceLinkBase: string | null;
+    rpChallenge: string;
+    acsp?: AcspContext;
+}
+/** Session poll-ийн нэгтгэсэн үр дүн (validator-т орох түүхий материал). */
+interface SessionResult {
+    state: SessionState | string;
+    endResult: EndResult | null;
+    documentNumber: string | null;
+    /** Иргэний X.509 гэрчилгээ (DER, base64). cert chain validation-д орно. */
+    certificateDerB64: string | null;
+    certificateLevel: CertificateLevel | string | null;
+    /** Гарын үсгийн утга (base64). rpChallenge/digest-ийн эсрэг баталгаажна. */
+    signatureValueB64: string | null;
+    signatureAlgorithm: string | null;
+    signatureProtocol: string | null;
+    /** ACSP_V2 (auth): серверийн санамсаргүй (base64), утасны challenge (base64url), урсгал. */
+    serverRandom: string | null;
+    userChallenge: string | null;
+    flowType: string | null;
+    signatureAlgorithmParameters: SignatureAlgorithmParameters | null;
+    interactionTypeUsed: string | null;
+    /**
+     * Байгууллагын нэрийн өмнөөс (нэвтрэлт эсвэл гарын үсэг) байсан бол — СЕРВЕР төлөөллийн
+     * эрхийг session үүсэх үед шалгасны баталгаа. null бол ердийн хувь хүний session.
+     * RP энэ талбарыг л итгэж уншина (клиентийн сонголтод биш). docs/ORG_LOGIN.md.
+     */
+    onBehalfOf: OrgResult | null;
+}
+/** Session-ий байгууллагын блок — байгууллага + тухайн иргэний эрх (бүртгэлээс real-time). */
+interface OrgResult {
+    /** `NTRMN-<улсын бүртгэлийн дугаар>`. */
+    orgEtsi: string;
+    orgName: string | null;
+    /** Албан тушаал (ж: "Захирал"). Эрх хураагдсан бол null. */
+    role: string | null;
+    /** ADMIN | MANAGER. Эрх хураагдсан бол null. */
+    rightType: string | null;
+}
+/** RP-ийн нэвтрэх мэдээлэл — бүх дуудлагад хэрэгтэй таних тэмдэг + secret. */
+interface RpCredentials {
+    /** relying_parties-д бүртгэлтэй RP UUID. */
+    rpUUID: string;
+    /** Иргэнд харагдах RP нэр (≤32 байт UTF-8). */
+    rpName: string;
+    /** API secret (rp_sk_…). Зөвхөн backend-д хадгална — браузерт ХЭЗЭЭ Ч задлахгүй. */
+    apiSecret: string;
+}
+
+interface AuthDefaults {
+    certificateLevel: CertificateLevel;
+}
+interface AuthOptions {
+    /** Энэ session-д certLevel-ийг дарж бичих (default — client-ийн тохиргоо). */
+    certificateLevel?: CertificateLevel;
+    /**
+     * Same-device App2App буцах URL (notification). Өгвөл initialCallbackUrl-аар илгээнэ.
+     *
+     * Query-д буцах browser-ийн hint нэмэхийг ЗӨВЛӨНӨ (`?retScheme=` iOS / `?retPkg=` Android) —
+     * эс бөгөөс апп системийн default browser-оор буцаж, иргэн эхэлсэн цонхоо алддаг.
+     * Жагсаалт: docs/RP_GEREGE_INTEGRATION.md §1.1b.
+     */
+    callbackUrl?: string;
+    /**
+     * Байгууллагаар нэвтрэх (docs/ORG_LOGIN.md) — байгууллагын ETSI (`NTRMN-<register>`).
+     * Иргэн тухайн байгууллагыг ТӨЛӨӨЛӨН нэвтэрнэ: сервер төлөөллийн эрхийг шалгаж
+     * (эрхгүй бол 403), утсанд байгууллагын нэрийг харуулж, дууссан session-ий хариунд
+     * `onBehalfOf` блок (orgEtsi/orgName/role/rightType) буцаана.
+     *
+     * (!) Байгууллага нь ГАРЫН ҮСЭГ ЗУРАГДАХ өгөгдөлд (ACSP_V2) ОРОХГҮЙ — холбоос нь
+     * серверийн баталгаа. RP энэ талбарыг өөрөө шалгаж болохгүй, session хариунаас уншина.
+     */
+    onBehalfOf?: string;
+    /** Гарын үсгийн алгоритм (default rsassa-pss). */
+    signatureAlgorithm?: SignatureAlgorithm;
+    /** ACSP_V2 payload-ийн hash (default SHA-512 — Smart-ID v3 жишээтэй ижил). */
+    hashAlgorithm?: HashAlgorithm;
+}
+declare class AuthApi {
+    private readonly http;
+    private readonly creds;
+    private readonly defaults;
+    constructor(http: Http, creds: RpCredentials, defaults: AuthDefaults);
+    /** v3 nested body + validator-т хэрэгтэй контекст (ижил утгуудаас — байт зөрөхгүй). */
+    private baseBody;
+    private parseNotification;
+    private parseDeviceLink;
+    /** Push — РД/иргэний дугаар/ETSI-ээр (сервер төрлийг таьна). Иргэний утас руу мэдэгдэл очно. */
+    notificationByEtsi(id: string, interactions: Interaction[], opts?: AuthOptions): Promise<NotificationSession>;
+    /** Push — баримтын дугаараар (тодорхой төхөөрөмж рүү). */
+    notificationByDocument(documentNumber: string, interactions: Interaction[], opts?: AuthOptions): Promise<NotificationSession>;
+    /** QR/App2App — нэр томьёололгүй (иргэн хэн болохыг урьдчилж мэдэхгүй). QR код үүсгэхэд. */
+    deviceLinkAnonymous(interactions: Interaction[], opts?: AuthOptions): Promise<DeviceLinkSession>;
+    /** QR/App2App — тодорхой иргэн (РД/civil_id/ETSI). */
+    deviceLinkByEtsi(id: string, interactions: Interaction[], opts?: AuthOptions): Promise<DeviceLinkSession>;
+}
+
+interface SignDefaults {
+    certificateLevel: CertificateLevel;
+}
+interface SignOptions {
+    certificateLevel?: CertificateLevel;
+    /**
+     * Same-device App2App буцах URL. Query-д буцах browser-ийн hint нэмэхийг ЗӨВЛӨНӨ
+     * (`?retScheme=` iOS / `?retPkg=` Android) — docs/RP_GEREGE_INTEGRATION.md §1.1b.
+     */
+    callbackUrl?: string;
+    /** digest-ийн hash (default SHA-256). digest-ийг өөрөө бэлдсэн бол тааруулна (урт = hLen). */
+    hashAlgorithm?: HashAlgorithm;
+    /** Гарын үсгийн алгоритм (default rsassa-pss; PKCS#1 v1.5 нь deprecated). */
+    signatureAlgorithm?: SignatureAlgorithm;
+    /**
+     * Байгууллагын нэрийн өмнөөс гарын үсэг (docs/ORG_LOGIN.md) — байгууллагын ETSI
+     * (`NTRMN-<register>`). Сервер төлөөллийн эрхийг шалгаж (эрхгүй бол 403), утсанд
+     * байгууллагын нэрийг харуулж, session хариунд `onBehalfOf` блок буцаана. Гарын үсэг
+     * өөрөө иргэний PIN2 гэрчилгээгээр — байгууллага нь digest-д ОРОХГҮЙ.
+     */
+    onBehalfOf?: string;
+}
+declare class SignApi {
+    private readonly http;
+    private readonly creds;
+    private readonly defaults;
+    constructor(http: Http, creds: RpCredentials, defaults: SignDefaults);
+    private body;
+    private parse;
+    /**
+     * Бэлэн digest-ээр push sign (РД/civil_id/ETSI). Баримт (PDF/файл)-ын байтын SHA-256
+     * digest-ийг гаднаас бэлдэж өгнө — текст бус бинар баримтад тохиромжтой.
+     */
+    digestByEtsi(id: string, digestB64: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
+    /** Бэлэн digest-ээр push sign — баримтын дугаараар (auth-аас гарсан documentNumber дээр). */
+    digestByDocument(documentNumber: string, digestB64: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
+    /** Текстийн SHA-256 digest-ийг дотроо тооцоод push sign (богино текст баримтад тохиромжтой). */
+    textByEtsi(id: string, text: string, interactions: Interaction[], opts?: SignOptions): Promise<NotificationSession>;
+}
+
+/** RP-API-ийн session JSON-ийг SessionResult болгон задална (rpclient.ts-тэй ижил mapping). */
+declare function parseSessionResult(raw: unknown): SessionResult;
+declare class SessionApi {
+    private readonly http;
+    constructor(http: Http);
+    /** Нэг удаагийн long-poll. serverPollMs хүртэл хүлээнэ. */
+    poll(sessionId: string, serverPollMs?: number): Promise<SessionResult>;
+    /**
+     * COMPLETE болтол давтаж poll хийнэ. maxWaitMs дуустал хүлээгээд гараагүй бол сүүлчийн
+     * (RUNNING) үр дүнг буцаана — дуудагч endResult==null-ийг TIMEOUT мэт боловсруулна.
+     */
+    waitForResult(sessionId: string, opts?: {
+        maxWaitMs?: number;
+        serverPollMs?: number;
+    }): Promise<SessionResult>;
+}
+
+/**
+ * RevocationChecker — иргэний cert revoke хийгдсэн эсэхийг шалгах hook (OCSP/CRL).
+ * Сүлжээний I/O шаардсан тул async. RP нь cert доторх AIA (OCSP) / CDP (CRL) URL-аар
+ * хэрэгжүүлнэ. "good" = хүчинтэй, "revoked" = цуцлагдсан, "unknown" = тогтоогдсонгүй.
+ */
+type RevocationStatus = "good" | "revoked" | "unknown";
+type RevocationChecker = (cert: X509Certificate, issuer: X509Certificate | undefined) => Promise<RevocationStatus>;
+interface TrustConfig {
+    /**
+     * Trust anchor (Root CA) PEM-үүд. Cert chain эдгээрийн аль нэг хүрэх ёстой.
+     * ⚠️ Production-д ЗААВАЛ өг — хоосон бол ValidationError шиднэ (allowUntrusted-аар л
+     * үл тоомсорлоно — зөвхөн dev/тест).
+     */
+    trustAnchorsPem?: string[];
+    /** Intermediate CA PEM-үүд (leaf ↔ root хооронд). */
+    intermediatesPem?: string[];
+    /** Шаардах certLevel (default QUALIFIED). ADVANCED тохируулбал доод түвшин зөвшөөрнө. */
+    requiredLevel?: CertificateLevel;
+    /** Cert validity шалгахад зөвшөөрөх цагийн зөрүү (мс, default 0). */
+    clockSkewMs?: number;
+    /**
+     * Trust anchor өгөөгүй ч баталгаажуулалт үргэлжлүүлэхийг ИЛ зөвшөөрнө (default false).
+     * ⚠️ true бол cert-ийг trust anchor хүртэл chain хийхгүй — зөвхөн dev/тест.
+     */
+    allowUntrusted?: boolean;
+    /**
+     * Revocation (OCSP/CRL) шалгагч hook. Тохируулаагүй бол revocation ШАЛГАХГҮЙ
+     * (QUALIFIED non-repudiation-д RP-ийн үүрэг — checkRevocation-г үзнэ үү).
+     */
+    revocation?: RevocationChecker;
+    /**
+     * Revocation шийдвэрийн горим: "hard-fail" — "unknown"-г татгалзана (default
+     * revocation тохируулсан үед); "soft-fail" — "unknown"-г зөвшөөрнө.
+     */
+    revocationMode?: "hard-fail" | "soft-fail";
+}
+/** Баталгаажсан иргэний таних мэдээлэл (auth). */
+interface VerifiedIdentity {
+    documentNumber: string;
+    /** Иргэний X.509 гэрчилгээ — subject-д РД/нэр. RP цааш parse хийж болно. */
+    certificate: X509Certificate;
+    /** Cert subject DN (түүхий). Ж: "C=MN, CN=..., SERIALNUMBER=PNOMN-...". */
+    subject: string;
+    certificateLevel: string;
+}
+/** Баталгаажсан гарын үсэг (sign). */
+interface VerifiedSignature {
+    documentNumber: string;
+    signatureValueB64: string;
+    signatureAlgorithm: string | null;
+    certificate: X509Certificate;
+    subject: string;
+}
+declare class ResponseValidator {
+    private readonly anchors;
+    private readonly intermediates;
+    private readonly requiredLevel;
+    private readonly skew;
+    private readonly allowUntrusted;
+    private readonly revocation?;
+    private readonly revocationMode;
+    constructor(trust?: TrustConfig);
+    /**
+     * Auth session-ийн хариуг бүрэн шалгаж, баталгаажсан иргэнийг буцаана.
+     * @param acsp — session эхлүүлэхэд SDK-ийн буцаасан `acsp` контекст (RP хадгалсан).
+     */
+    validateAuth(result: SessionResult, acsp: AcspContext): VerifiedIdentity;
+    /**
+     * Sign session-ийн хариуг бүрэн шалгаж, баталгаажсан гарын үсгийг буцаана.
+     * @param hashAlgorithm — digest-ийг үүсгэсэн hash (хүсэлтэд илгээсэнтэй ижил; default SHA-256).
+     */
+    validateSign(result: SessionResult, digestB64: string, hashAlgorithm?: string): VerifiedSignature;
+    /**
+     * Хариуны signatureAlgorithm + hashAlgorithm-ийг RP-ийн хүссэнтэй тулгана (downgrade хаалт).
+     * ecdsa-with-SHA256 (хуучин cert) хүссэн rsassa-pss-ийн оронд ирэхийг зөвшөөрнө — SHA-256-аар л.
+     */
+    private algorithmOf;
+    /** state/endResult, cert байгаа эсэх, chain, validity, certLevel — нийтлэг шалгалт. */
+    private precheck;
+    private checkValidity;
+    private checkLevel;
+    /** leaf-ээс эхлэн issuer-ийг intermediates/anchors дотроос олж, anchor хүртэл chain зангидна. */
+    private verifyChain;
+    /** leaf-ийн шууд issuer-ийг trust pool-оос буцаана (revocation шалгагчид issuer хэрэгтэй). */
+    private findIssuer;
+    /**
+     * checkRevocation — тохируулсан RevocationChecker hook-оор cert-ийн revoke төлвийг
+     * шалгана. revocation тохируулаагүй бол no-op (true буцаана). "revoked" үед, мөн
+     * hard-fail горимд "unknown" үед ValidationError шиднэ. validateAuth/Sign-ийн дараа
+     * дуудна (тэдгээр нь sync; revocation нь сүлжээ I/O тул async).
+     */
+    checkRevocation(cert: X509Certificate): Promise<void>;
+}
+/** Payload (auth) дээрх гарын үсэг — алгоритмаар салаалж node:crypto verify. */
+declare function verifyPayloadSignature(payload: Buffer, sigB64: string, key: KeyObject, alg: string, hash: string): boolean;
+/** Prehashed digest (sign) дээрх гарын үсэг. RSA: raw public op + EMSA-PSS-VERIFY / PKCS#1 DigestInfo. */
+declare function verifyPrehashedSignature(digest: Buffer, sigB64: string, key: KeyObject, alg: string, hash: string): boolean;
+
+interface ClientConfig {
+    /** RP-API суурь URL (/v3-гүйгээр — SDK нэмнэ). Ж: https://ca.eidmongolia.mn */
+    baseUrl: string;
+    /** RP таних мэдээлэл + API secret. */
+    credentials: RpCredentials;
+    /** Default certLevel (auth/sign бүрд). Default QUALIFIED. */
+    defaultCertificateLevel?: CertificateLevel;
+    /** HTTP timeout (мс). */
+    timeoutMs?: number;
+    /** undici Dispatcher (mTLS client cert). */
+    dispatcher?: unknown;
+    /** fetch орлуулагч (тест). */
+    fetchImpl?: typeof fetch;
+    /** Trust anchor (Root CA) — validator-д. Production-д ЗААВАЛ. */
+    trust?: TrustConfig;
+}
+declare class EidClient {
+    readonly auth: AuthApi;
+    readonly sign: SignApi;
+    readonly session: SessionApi;
+    readonly validator: ResponseValidator;
+    constructor(cfg: ClientConfig);
+}
+
+/** SHA-256 digest, base64. Текст эсвэл байтаас. Sign flow-ийн baримтын digest үүсгэхэд. */
+declare function sha256Base64(data: string | Uint8Array): string;
+/** Санамсаргүй RP challenge (default 64 байт), base64. Auth flow-д replay-ээс хамгаална. */
+declare function randomChallenge(bytes?: number): string;
+/**
+ * interactions массивыг RP-API v3-ийн base64 мөр болгоно. RP энэ МӨРИЙГ хадгалж
+ * validator-т өгнө (дахин serialize хийхгүй — JSON байт зөрж болно).
+ */
+declare function interactionsToBase64(interactions: Interaction[]): string;
+/** ACSP_V2 payload-ийн бүх орц (Smart-ID v3 §ACSP_V2 digest calculation). */
+interface AcspV2Params {
+    /** default "smart-id" (серверийн SMARTID_ACSP_SCHEME_NAME-тэй ижил). */
+    schemeName?: string;
+    serverRandom: string;
+    rpChallenge: string;
+    userChallenge: string;
+    relyingPartyName: string;
+    brokeredRpName?: string;
+    interactions: string;
+    interactionTypeUsed: string;
+    initialCallbackUrl?: string;
+    flowType: FlowType | string;
+}
+/** ACSP_V2 payload — UTF-8 байт (гарын үсэг ЭНЭ дээр). */
+declare function buildAcspV2Payload(p: AcspV2Params): Buffer;
+/** HASH_{hashAlgorithm}(payload). */
+declare function acspV2Digest(p: AcspV2Params, hashAlgorithm: HashAlgorithm | string): Buffer;
+
+/** Бүх SDK алдааны суурь. */
+declare class EidError extends Error {
+    constructor(message: string);
+}
+/** HTTP 401 — API secret буруу/байхгүй. Тохиргооны (RP secret) алдаа. */
+declare class AuthenticationError extends EidError {
+}
+/** HTTP 403 — IP allowlist/mTLS зөвшөөрөөгүй. Танай серверийн IP бүртгэгдээгүй байж магадгүй. */
+declare class ForbiddenError extends EidError {
+}
+/** RP-API-аас ирсэн бусад HTTP алдаа (4xx/5xx). status ба хариуны биеийг агуулна. */
+declare class ApiError extends EidError {
+    readonly status: number;
+    readonly body: string;
+    constructor(status: number, body: string);
+}
+/** Сүлжээ/timeout — upstream хариу өгсөнгүй. */
+declare class NetworkError extends EidError {
+}
+/**
+ * Session амжилтгүй дууссан (endResult ≠ OK): TIMEOUT, USER_REFUSED*, DOCUMENT_UNUSABLE гм.
+ * endResult-оор салгаж RP UI-д тохирох мессеж харуулна.
+ */
+declare class SessionFailedError extends EidError {
+    readonly endResult: string;
+    constructor(endResult: string);
+}
+/**
+ * Хариуны баталгаажуулалт бүтэлгүйтсэн — cert chain итгэлцэлгүй, signature challenge-тэй
+ * таарсангүй, эсвэл certLevel хүрэлцээгүй. ЭНЭ алдаа гарвал хариунд ИТГЭХГҮЙ
+ * (хуурамч/proxy хийгдсэн байж болзошгүй).
+ */
+declare class ValidationError extends EidError {
+}
+
+export { type AcspContext, type AcspV2Params, ApiError, AuthApi, type AuthDefaults, type AuthOptions, AuthenticationError, type CertificateLevel, type ClientConfig, type DeviceLinkSession, EidClient, EidError, type EndResult, type FlowType, ForbiddenError, type HashAlgorithm, Http, type HttpConfig, type Interaction, NetworkError, type NotificationSession, ResponseValidator, type RevocationChecker, type RevocationStatus, type RpCredentials, SessionApi, SessionFailedError, type SessionResult, type SessionState, SignApi, type SignDefaults, type SignOptions, type SignatureAlgorithm, type SignatureAlgorithmParameters, type SignatureProtocol, type TrustConfig, ValidationError, type VerifiedIdentity, type VerifiedSignature, acspV2Digest, buildAcspV2Payload, interactionsToBase64, parseSessionResult, randomChallenge, sha256Base64, verifyPayloadSignature, verifyPrehashedSignature };