Seminar OpenID4VC – Selective Disclosure in Issuance und Presentation

Seminarprofil

Das Seminar integriert selective-disclosure-fähige Credentials in OpenID-basierte Issuance- und Presentation-Flows. Im Labor werden Credential Offer, Authorization, Proof of Possession, Credential Endpoint, Verifier Requests, Response Modes, Nonces und sichere Wallet-Verarbeitung umgesetzt.

Lernziele

• OpenID4VCI- und OpenID4VP-Rollen, Endpunkte und Sicherheitsgrenzen korrekt modellieren
• Credential-Konfigurationen und Format-Metadaten für SD-JWT VC und weitere Formate verarbeiten
• Authorization Code und Pre-Authorized Code Flows sicher implementieren
• Presentation Requests datensparsam gestalten und Antworten robust validieren
• Replay, Mix-up, Phishing, Redirect- und Downgrade-Risiken durch Tests beherrschen

Inhaltsübersicht

1. Protokoll- und Vertrauensarchitektur
2. Credential Issuer Metadata
3. Credential Offer
4. Authorization Code Flow
5. Pre-Authorized Code Flow
6. Proof und Credential Request
7. Credential Response und Deferred Issuance
8. Verifier Request und DCQL
9. Response Modes und sichere Übergabe
10. Präsentationsvalidierung
11. Wallet UX und Consent
12. End-to-End- und Angriffstests

Seminarinhalte

Schritt 1: Protokoll- und Vertrauensarchitektur

Authorization Server, Credential Issuer, Wallet, Verifier und Digital Credential API werden als getrennte Rollen betrachtet. Discovery und Metadaten werden nur nach Herkunfts- und Konsistenzprüfung vertraut.

Schritt 2: Credential Issuer Metadata

Issuer-, Authorization- und Credential-Endpunkte sowie unterstützte Konfigurationen werden verarbeitet. Format, Scope, Binding, Proof-Typ und Anzeigeinformationen werden in eine lokale Capability-Struktur überführt.

Schritt 3: Credential Offer

Credential Offers per URI oder eingebettetem Objekt werden validiert. Issuer-Bezug, Configuration Identifier, Grants und benutzerinitiierter Kontext müssen zusammenpassen.

Schritt 4: Authorization Code Flow

PKCE, State, Redirect URI und Benutzerautorisierung werden in einen sicheren Flow integriert. Mix-up- und Code-Interception-Angriffe werden mit Negativtests nachgestellt.

Schritt 5: Pre-Authorized Code Flow

Der vereinfachte Ausgabeweg wird mit Transaktionscode, kurzer Gültigkeit und Bindung an einen konkreten Vorgang abgesichert. Social Engineering und Weitergabe von QR-Codes werden im Threat Model berücksichtigt.

Schritt 6: Proof und Credential Request

Die Wallet beweist Schlüsselbesitz oder erfüllt die geforderte Binding-Methode. Nonce-Verwendung, Audience, Algorithmus-Policy und Wiederholungsbehandlung werden serverseitig implementiert.

Schritt 7: Credential Response und Deferred Issuance

Sofortige und verzögerte Ausgabe werden verarbeitet. Transaktionsbezug, Polling, Fehlercodes, Verschlüsselung und idempotente Wiederaufnahme werden getestet.

Schritt 8: Verifier Request und DCQL

Der Verifier formuliert eine minimale Anfrage nach Credential-Typen, Claims und Alternativen. Auswahlregeln werden so gestaltet, dass Wallets keine unnötigen Informationen oder Credential-Bestände preisgeben.

Schritt 9: Response Modes und sichere Übergabe

Direkte Posts, verschlüsselte Antworten und browser- oder gerätevermittelte Übergaben werden verglichen. Origin-Bindung, Redirect-Ziele und Cross-Device-Flows erhalten besondere Aufmerksamkeit.

Schritt 10: Präsentationsvalidierung

State, Nonce, Audience, Response Integrity, Credential-Proof, Holder Binding, Status und fachliche Policy werden in klarer Reihenfolge geprüft. Erst danach werden Claims an die Fachanwendung übergeben.

Schritt 11: Wallet UX und Consent

Die Wallet zeigt anfragende Stelle, Zweck, angeforderte Aussagen und alternative Credentials verständlich an. Dark Patterns, implizite Zustimmung und unklare Verifier-Namen werden vermieden.

Schritt 12: End-to-End- und Angriffstests

Issuer, Wallet und Verifier werden in einer Laborstrecke verbunden. Replay, falsche Redirects, manipulierte Metadaten, Downgrade und übermäßige Claim-Anfragen bilden den Abschluss.

Praxisanteil

• Credential Offer und Authorization Flow implementieren
• SD-JWT-VC-Ausgabe mit Proof und Nonce durchführen
• Datensparsamen Presentation Request erstellen und verifizieren
• Replay-, Redirect-, Metadaten- und Downgrade-Negativtests ausführen

Zielgruppe

Entwickler von Issuern, Wallets und Verifiern, IAM- und API-Architekten, Security Engineers und Integrationstester

Voraussetzungen

Erfahrung mit OAuth 2.0 oder OpenID Connect sowie Grundlagen von Verifiable Credentials und JWT