Seminar Credo TypeScript – OpenID4VC Issuer- und Verifier-Entwicklung

Das dreitägige Seminar entwickelt OpenID4VC-basierte Issuer- und Verifier-Dienste mit Credo und TypeScript. Metadaten, Credential Offers, Autorisierung, Token, Proofs, Credential-Ausgabe, Presentation Definitions, Verifikation, Status, Security und Interoperabilität werden in einer vollständigen Referenzlösung umgesetzt.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• OpenID4VC-Rollen, Endpunkte, Metadaten und Vertrauensbeziehungen einordnen.
• Credential-Angebote und Autorisierungsvarianten sicher implementieren.
• Credential-Ausgabe mit Proof-, Format- und Statusprüfung umsetzen.
• Presentation Requests erstellen und Antworten zuverlässig verifizieren.
• Security, Interoperabilität, Fehlerbehandlung und Betrieb standardisieren.

Schrittweise Seminarinhalte

1. OpenID4VC-Architektur und Metadaten

Schwerpunkt: Issuer, Wallet, Verifier, Authorization Server, Endpunkte, Discovery, Credential Configurations, Client- und Wallet-Metadaten, Trust und Versionierung.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „OpenID4VC-Architektur und Metadaten“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Issuer, Wallet, Verifier, Authorization Server, Endpunkte, Discovery, Credential Configurations, Client- und Wallet-Metadaten, Trust und Versionierung modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Protokoll- und Metadatenmodell dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

2. Issuer-Konfiguration und Credential Offer

Schwerpunkt: Credential-Konfigurationen, Formate, Claims, Anzeigeinformationen, Offer by Value oder Reference, Ablauf, Single Use, QR und Deep Link.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Issuer-Konfiguration und Credential Offer“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Credential-Konfigurationen, Formate, Claims, Anzeigeinformationen, Offer by Value oder Reference, Ablauf, Single Use, QR und Deep Link modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein validiertes Credential-Angebot dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

3. Authorization Code und Pre-Authorized Code

Schwerpunkt: Authorization Request, PKCE, Redirect URI, Pre-Authorized Code, Transaction Code, Benutzerbindung, Session, Consent und Abbruch.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Authorization Code und Pre-Authorized Code“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Authorization Request, PKCE, Redirect URI, Pre-Authorized Code, Transaction Code, Benutzerbindung, Session, Consent und Abbruch modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis zwei funktionsfähige Autorisierungsprofile dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

4. Token, Nonce und Proof

Schwerpunkt: Token-Endpunkt, Access Token, C Nonce, Proof of Possession, Key Binding, DPoP-Optionen, Wiederverwendung, Zeitwerte und Fehlerantworten.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Token, Nonce und Proof“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Token-Endpunkt, Access Token, C Nonce, Proof of Possession, Key Binding, DPoP-Optionen, Wiederverwendung, Zeitwerte und Fehlerantworten modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen abgesicherten Token- und Proof-Prozess dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

5. Credential-Ausgabe und Formatverhandlung

Schwerpunkt: Credential Request, Signatur, W3C VC, SD-JWT VC oder mdoc, Batch, Deferred Issuance, Verschlüsselung, Response, Audit und Idempotenz.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Credential-Ausgabe und Formatverhandlung“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Credential Request, Signatur, W3C VC, SD-JWT VC oder mdoc, Batch, Deferred Issuance, Verschlüsselung, Response, Audit und Idempotenz modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Issuance-Service dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

6. Presentation Definition und Verifier Request

Schwerpunkt: Input Descriptors, Constraints, Formate, Claim-Anforderungen, Authorization Request, Request Object, Nonce, State, Response URI und Session.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Presentation Definition und Verifier Request“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Input Descriptors, Constraints, Formate, Claim-Anforderungen, Authorization Request, Request Object, Nonce, State, Response URI und Session modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine präzise Präsentationsanforderung dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

7. Presentation Response und Verifikation

Schwerpunkt: Response Modes, VP Token, Presentation Submission, Signatur, Holder Binding, Claim-Auswertung, Status, Zeitwerte, Trust und fachliches Ergebnis.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Presentation Response und Verifikation“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Response Modes, VP Token, Presentation Submission, Signatur, Holder Binding, Claim-Auswertung, Status, Zeitwerte, Trust und fachliches Ergebnis modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen belastbaren Verifier-Prozess dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

8. Security, Tests und Interoperabilität

Schwerpunkt: Redirect-Angriffe, Replay, Mix-up, SSRF, Key Confusion, Algorithmusauswahl, Testvektoren, Wallet-Matrix, Negativtests, Logs und Monitoring.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Security, Tests und Interoperabilität“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Redirect-Angriffe, Replay, Mix-up, SSRF, Key Confusion, Algorithmusauswahl, Testvektoren, Wallet-Matrix, Negativtests, Logs und Monitoring modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen produktionsnahen Sicherheits- und Abnahmekatalog dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

Praxisübungen und Laborszenarien

• Konfiguration eines Issuers mit mehreren Credential-Konfigurationen.
• Ausgabe über Authorization Code und Pre-Authorized Code.
• Erstellung einer Presentation Definition mit Format- und Claim-Einschränkungen.
• Verifikation einer gültigen und mehrerer manipulierten Präsentationen.
• Interoperabilitätstest gegen eine getrennte Wallet-Implementierung.

Zielgruppe und Voraussetzungen

Zielgruppe: TypeScript- und Backend-Entwicklung, IAM- und SSI-Architektur, Issuer- und Verifier-Teams, Security Engineering und Integrationsentwicklung.

Voraussetzungen: Gute TypeScript- und HTTP-Kenntnisse; Grundlagen in OAuth 2.0, JSON Web Tokens, Public-Key-Kryptografie und Credo.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar mit Demonstrationen, strukturierten Implementierungsschritten, Code-Reviews, praktischen Übungen und kontrollierten Fehlerfällen verbunden. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Lösungen reproduzierbar weiterentwickelt und in den Betrieb überführt werden können.