Seminar Verifier Engineering und sichere Integration von Altersnachweisen

Der Verifier ist der Punkt, an dem kryptografische Gültigkeit in eine geschäftliche Zugriffsentscheidung überführt wird. Fehler in Zustandsbindung, Policy oder Protokollierung können die Schutzwirkung des gesamten Systems aufheben.

Die Schulung baut einen nachvollziehbaren Prüfpfad auf und testet ihn systematisch gegen Manipulation, Wiederholung und übermäßige Datenerhebung.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe und Voraussetzungen
• Format und Schwerpunkte
• Seminarinhalte
• Praxisübungen
• Arbeitsunterlagen

Zielsetzung

Das Seminar entwickelt einen sicheren Verifier für datenschutzfreundliche Altersnachweise. Es behandelt minimale Präsentationsanforderungen, Transaktionszustand, Challenge und Domänenbindung, Credential- und Proof-Prüfung, Schlüssel- und Statusauflösung, Fachentscheidung, Autorisierungstoken, Session-Sicherheit, Fehlerbehandlung, Datenschutz, Monitoring und Tests.

Zielgruppe und Voraussetzungen

Zielgruppe: Backend- und Identity-Entwicklung, Security Engineering, technische Architektur, API-Teams, DevOps, Testautomation und technische Anwendungsbetreuung.

Voraussetzungen: Sichere Kenntnisse von Web- und API-Entwicklung, Sessions, Public-Key-Kryptografie und automatisierten Tests. Kenntnisse zu Credential-Formaten sind hilfreich.

Format und Schwerpunkte

Zwei Tage sind notwendig, weil Request-Erzeugung, Proof-Verifikation, Session- und API-Integration, Security Tests und Betrieb als zusammenhängende Komponente praktisch bearbeitet werden.

Seminarinhalte

Modul 1: Verifier-Policy definieren

1. Schritt 1: Zweck, Altersschwelle, akzeptierte Issuer, Formate, Algorithmen, Gültigkeit und Statusregeln festlegen.
2. Schritt 2: Nur notwendige Claims und Prädikate anfordern.
3. Schritt 3: Policy-Version, Freigabe und Änderungsprozess nachvollziehbar dokumentieren.

Modul 2: Präsentationsanforderung erzeugen

1. Schritt 1: Challenge, State, Audience, Domäne und Ablauf serverseitig erstellen und speichern.
2. Schritt 2: Request eindeutig an Sitzung, Zweck und erwartete Antwort binden.
3. Schritt 3: Keine sensiblen Daten oder dauerhaft nutzbaren Kennungen in URLs und Frontendzustand übertragen.

Modul 3: Antwort sicher entgegennehmen

1. Schritt 1: Transport, Content Type, Größe, Parsergrenzen und erlaubte Formate prüfen.
2. Schritt 2: State, Sitzung, Challenge und einmalige Verwendung vor kostenintensiver Kryptografie validieren.
3. Schritt 3: Fehlerfälle ohne detaillierte Oracle-Informationen und ohne Speicherung des vollständigen Proofs behandeln.

Modul 4: Credential und Proof verifizieren

1. Schritt 1: Schlüssel, Issuer, Typ, Schema, Signatur beziehungsweise ZK-Proof und Holder-Bindung prüfen.
2. Schritt 2: Gültigkeit, Status, Domäne, Challenge, Audience und angeforderte Altersschwelle verifizieren.
3. Schritt 3: Unbekannte Algorithmen, mehrdeutige Typen und unvollständige Claims strikt ablehnen.

Modul 5: Fachentscheidung und Autorisierung trennen

1. Schritt 1: Technisches Verifikationsergebnis in eine klar definierte fachliche Entscheidung überführen.
2. Schritt 2: Kurzlebiges, zweckgebundenes Autorisierungstoken statt Credential oder Proof an Folgesysteme geben.
3. Schritt 3: Wiederverwendung, Privilegienausweitung und Zugriff über alternative Endpunkte verhindern.

Modul 6: Web- und API-Angriffsflächen absichern

1. Schritt 1: Replay, Relay, CSRF, Session Fixation, Open Redirect, SSRF und Injection-Szenarien testen.
2. Schritt 2: Rate Limits, Größenlimits, Timeouts und Circuit Breaker für kryptografische Prüfungen setzen.
3. Schritt 3: Key- und Statusauflösung gegen Cache Poisoning, Downgrade und manipulierte Metadaten schützen.

Modul 7: Datenschutz und Protokollierung begrenzen

1. Schritt 1: Nur Status, Zeit, Policy-Version, pseudonyme Transaktionsreferenz und technischen Fehlercode protokollieren.
2. Schritt 2: Geburtsdatum, Identität, vollständiges Credential, Proof und stabile Wallet-Kennung aus Logs fernhalten.
3. Schritt 3: Löschfristen, Supportzugriff und Trennung von Betriebs- und Analytikdaten umsetzen.

Modul 8: Test, Monitoring und Betrieb etablieren

1. Schritt 1: Positiv-, Negativ-, Ablauf-, Status-, Last- und Interoperabilitätstests automatisieren.
2. Schritt 2: Fehlerrate, Latenz, abgelehnte Algorithmen, Statusprobleme und Missbrauchsmuster überwachen.
3. Schritt 3: Runbooks für Schlüsselwechsel, Trust-Ausfall, hohe Fehlablehnung und Sicherheitsvorfall erstellen.

Praxisübungen

1. Übung 1: Verifier-Policy und minimalen Presentation Request erstellen.
2. Übung 2: Zustandsmaschine für Request, Antwort und Einmalverwendung implementieren.
3. Übung 3: Proof-Prüfpfad mit Negativfällen testen.
4. Übung 4: Autorisierungstoken und geschützten Fachendpunkt anbinden.
5. Übung 5: Log- und Monitoringkonzept datensparsam prüfen.

Arbeitsunterlagen

• Verifier-Policy-Vorlage
• Request- und Session-Zustandsmodell
• Proof-Prüfreihenfolge
• Security- und Negativtestkatalog
• Log-, Monitoring- und Runbook-Checkliste