Seminar W3C VC 2.0 Intensivseminar – Architektur, Kryptografie, Datenschutz und Betrieb

Das fünftägige Intensivformat fasst sämtliche Themen des modularen Programms in einer durchgängigen Lernstrecke zusammen. Es reicht von Rollen, Datenmodell und Migration über JSON-LD, Issuing, Presentations, Data Integrity, EdDSA, ECDSA und BBS bis zu Status Lists, Lifecycle, Privacy, Security, Test, Trust Governance und produktivem Betrieb. Die Breite entspricht dem Gesamtportfolio; einzelne Spezialthemen werden kompakter behandelt als in den jeweiligen Vertiefungsseminaren.

Inhaltsverzeichnis

• Einordnung
• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Gesamtarchitektur und Rollen
• VC Data Model 2.0
• JSON-LD und Kanonisierung
• Issuing und Wallet-Verarbeitung
• Verifiable Presentations
• Data Integrity
• EdDSA, ECDSA und Kryptoagilität
• BBS und selektive Offenlegung
• Bitstring Status Lists
• Credential Lifecycle
• Privacy Engineering
• Security Engineering
• Test, Diagnose und Interoperabilität
• Trust Governance und Betrieb
• Praktische Übungen
• Methodik
• Einordnung im Seminarprogramm

Einordnung

Der Schwerpunkt liegt auf vollständiger Überblick über das gesamte VC-2.0-Seminarportfolio. Die Inhalte werden von der fachlichen Anforderung über Datenmodell und Protokoll bis zu Validierung, Fehlerbehandlung und betrieblichen Kontrollen entwickelt.

Zielgruppe

Architektur, erfahrene Entwicklung, technische Programm- und Produktleitung, Security Engineering, IAM, Datenschutztechnik sowie Teams, die in kurzer Zeit ein vollständiges Gesamtbild und eine belastbare Umsetzungsgrundlage benötigen.

Voraussetzungen

Sichere Kenntnisse in JSON, APIs, digitaler Identität und asymmetrischer Kryptografie. Praktische Entwicklungs- oder Architekturkenntnisse sind erforderlich.

Lernziele

• das vollständige VC-2.0-Ökosystem architektonisch einordnen
• interoperable Credential- und Presentation-Modelle entwerfen
• Data-Integrity-Proofs und Kryptosuiten fundiert auswählen
• Status, Lifecycle, Datenschutz und Security zusammenführen
• Issuer-, Wallet- und Verifier-Pipelines bewerten
• Test-, Governance- und Betriebsmodelle planen
• Migration und produktive Einführung in eine priorisierte Roadmap überführen

Seminarinhalte

Modul 1: Gesamtarchitektur und Rollen

1. Schritt 1: Issuer, Holder, Subject, Wallet, Verifier, Statusdienst und Trust Authority werden abgegrenzt.
2. Schritt 2: Issuance, Speicherung, Präsentation, Prüfung und Lifecycle werden als zusammenhängende Prozesskette modelliert.
3. Schritt 3: Trust Boundaries und Verantwortlichkeiten werden je Komponente festgelegt.
4. Schritt 4: Der konkrete Anwendungsfall wird gegen das Rollen- und Vertrauensmodell geprüft.

Modul 2: VC Data Model 2.0

1. Schritt 1: Kontext, Typen, Issuer, credentialSubject, Claims und Kennungen werden korrekt zusammengesetzt.
2. Schritt 2: validFrom, validUntil, Status und ergänzende Metadaten werden fachlich abgegrenzt.
3. Schritt 3: Eigene Credential-Typen werden minimal, semantisch eindeutig und versionierbar modelliert.
4. Schritt 4: Unterschiede zu 1.1 werden in eine Migrations- und Kompatibilitätsstrategie überführt.

Modul 3: JSON-LD und Kanonisierung

1. Schritt 1: Kompakte Darstellung, expandierte Semantik und RDF-Graph werden nachvollzogen.
2. Schritt 2: Eigene Kontexte werden geschützt und versioniert.
3. Schritt 3: Kanonisierung erzeugt deterministische Eingaben für kryptografische Verfahren.
4. Schritt 4: Kontextauflösung, Ressourcenlimits und Interoperabilität werden abgesichert.

Modul 4: Issuing und Wallet-Verarbeitung

1. Schritt 1: Authentisierung, Fachautorisierung und Claim-Herkunft werden vor der Ausgabe geprüft.
2. Schritt 2: Credential-Vorlage, Statusreferenz und Proof werden deterministisch erzeugt.
3. Schritt 3: Idempotenz und Zustellfehler werden mit einer Transaktionszustandsmaschine behandelt.
4. Schritt 4: Die Wallet validiert, speichert, klassifiziert und verwaltet das Credential sicher.

Modul 5: Verifiable Presentations

1. Schritt 1: Der Verifier erstellt eine minimale Anfrage mit Challenge und Domain.
2. Schritt 2: Die Wallet wählt Credentials und Offenlegungsumfang datensparsam aus.
3. Schritt 3: Presentation-Proof und Holder Binding binden den Austausch an Kontext und kontrollierenden Schlüssel.
4. Schritt 4: Replay, Weitergabe und Cross-Protocol-Nutzung werden durch Einmaligkeit, Audience und kurze Zeitfenster begrenzt.

Modul 6: Data Integrity

1. Schritt 1: Proof-Konfiguration, Transformation, Kanonisierung, Hashbildung und Signatur werden als Pipeline verstanden.
2. Schritt 2: proofPurpose und Verification Method werden gegen Controller und Autorisierung geprüft.
3. Schritt 3: Proof Sets und Proof Chains erhalten explizite Akzeptanz- und Abhängigkeitsregeln.
4. Schritt 4: Kryptografische Gültigkeit bleibt von Trust- und Fachentscheidung getrennt.

Modul 7: EdDSA, ECDSA und Kryptoagilität

1. Schritt 1: Kryptosuiten werden nach Datenmodell, Kanonisierung, Schlüsseltyp und Plattformunterstützung ausgewählt.
2. Schritt 2: RDF-basierte und JSON-basierte Varianten werden in ihren Interoperabilitätsgrenzen verglichen.
3. Schritt 3: Schlüsselrepräsentation, Rotation und algorithmische Migration werden geplant.
4. Schritt 4: Testvektoren sichern kanonische Bytes, Digest und Signaturergebnis.

Modul 8: BBS und selektive Offenlegung

1. Schritt 1: Ein Basisproof schützt die vollständige Aussagemenge.
2. Schritt 2: Die Wallet wählt offenzulegende Aussagen und erzeugt einen nonce-gebundenen abgeleiteten Proof.
3. Schritt 3: Der Verifier prüft nur die offengelegten Aussagen und den abgeleiteten Nachweis.
4. Schritt 4: Unlinkability wird gegen verbleibende Korrelation durch Kennungen, Claim-Kombinationen und Metadaten bewertet.

Modul 9: Bitstring Status Lists

1. Schritt 1: Statuszweck, Index, Listengröße und Partitionierung werden geplant.
2. Schritt 2: StatusListCredential und StatusListEntry werden erzeugt und signiert.
3. Schritt 3: Verifier dekodieren, dekomprimieren und lesen den referenzierten Statuswert.
4. Schritt 4: Caching, TTL, Aktualität, Rollback, Hochverfügbarkeit und Datenschutz werden in Betriebsregeln überführt.

Modul 10: Credential Lifecycle

1. Schritt 1: Vor-Gültigkeit, Gültigkeit, Ablauf, Refresh, Aussetzung, Reaktivierung, Widerruf und Ersatz werden als Zustände modelliert.
2. Schritt 2: Zeitprüfung und Statusprüfung bleiben getrennte, kombinierbare Kontrollen.
3. Schritt 3: Issuer, Wallet und Verifier erhalten konsistente Übergangs- und Fehlerregeln.
4. Schritt 4: Nachweisführung und Löschung werden in eine Lifecycle-Policy integriert.

Modul 11: Privacy Engineering

1. Schritt 1: Datenflüsse und Korrelationsmerkmale werden entlang des gesamten Systems erfasst.
2. Schritt 2: Claims, Kennungen, Offenlegung und Statusabrufe werden minimiert.
3. Schritt 3: Wallet und Verifier setzen Zwecktransparenz und Datensparsamkeit technisch um.
4. Schritt 4: Logs, Supportdaten und Telemetrie werden auf notwendige technische Informationen begrenzt.

Modul 12: Security Engineering

1. Schritt 1: Parser, Kontexte, Schlüssel, Proofs, Presentations, Statuslisten und Verwaltungs-APIs werden als Angriffsflächen bewertet.
2. Schritt 2: Replay, Algorithmusverwechslung, Schlüsselmissbrauch, Rollback und Verfügbarkeitsangriffe erhalten konkrete Kontrollen.
3. Schritt 3: Supply Chain, Deployment, Geheimnisverwaltung und Incident Response werden einbezogen.
4. Schritt 4: Restriktive Eingangsvalidierung und sichere Fehlerbehandlung verhindern permissive Fallbacks.

Modul 13: Test, Diagnose und Interoperabilität

1. Schritt 1: Testschichten für Datenmodell, Kontext, Kanonisierung, Proof, Zeit, Status, Trust und Fachpolicy werden aufgebaut.
2. Schritt 2: Goldene Referenzfälle und gezielte Negativtests machen Änderungen reproduzierbar.
3. Schritt 3: Issuer, Wallet und Verifier werden in einer Interoperabilitätsmatrix kombiniert.
4. Schritt 4: Diagnose bleibt ursachengenau, ohne Credential-Inhalte oder Schlüsselmaterial in Standardlogs abzulegen.

Modul 14: Trust Governance und Betrieb

1. Schritt 1: Issuer-Zulassung, Credential-Typen, Verification Policies und Schlüsselrollen werden governancefest definiert.
2. Schritt 2: Änderungen, Versionen, Status-SLOs und Incident-Prozesse werden verbindlich geregelt.
3. Schritt 3: Monitoring, Hochverfügbarkeit, Wiederanlauf und Auditnachweise werden datensparsam geplant.
4. Schritt 4: Pilot, Härtung, Migration und Produktivfreigabe werden in einer priorisierten Roadmap zusammengeführt.

Praktische Übungen

• Modellierung eines vollständigen Credential-Anwendungsfalls
• Erzeugung und Prüfung von Credential und Presentation
• Vergleich von Data-Integrity-Kryptosuiten
• Ableitung eines selektiv offengelegten Nachweises
• Erzeugung und Validierung einer Bitstring Status List
• Threat Modeling und Privacy Review
• Aufbau einer End-to-End-Testmatrix
• Entwurf von Governance- und Produktionsroadmap

Methodik

Fachliche Einordnung, strukturierte Demonstrationen, gemeinsame Modellierung, angeleitete Implementierungs- und Prüfaufgaben, Negativtests sowie Auswertung typischer Fehlersituationen. Die Übungen verwenden synthetische Beispieldaten und werden schrittweise von einem kontrollierten Normalfall zu Manipulations-, Grenz- und Ausfallszenarien erweitert.

Einordnung im Seminarprogramm

Das Intensivformat bildet das gesamte Seminarprogramm in komprimierter Form ab. Für Implementierungsdetails, spezielle Kryptografie, Statuslistenbetrieb oder Governance empfehlen sich anschließend die jeweiligen Vertiefungsmodule.