Seminar Curity Identity Server – Verifiable Credentials und OpenID4VCI Pilotierung

Das zweitägige Pilotseminar behandelt die Ausgabe digitaler Nachweise mit dem Curity Token Service. W3C-Verifiable-Credential-Modelle, VC SD-JWT, Issuer, Wallet, Credential Endpoint, Metadaten, Pre-Authorized Code Flow, Rich Authorization Requests, DIDs, Claims, Selective Disclosure, Schlüssel, Datenschutz, Interoperabilität und Pilotabnahme werden in einer isolierten Referenzumgebung erprobt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Issuer-, Wallet-, Holder- und Verifier-Rollen sowie Vertrauensgrenzen einordnen.
• W3C-VC- und VC-SD-JWT-Datenmodelle für einen Pilot-Use-Case gestalten.
• Credential Endpoint, Metadaten und Pre-Authorized Code Flow konfigurieren.
• RAR, Claims, Selective Disclosure, DIDs und Schlüsselanforderungen kontrolliert erproben.
• Pilotgrenzen, Datenschutz, Interoperabilität und Produktionsreife transparent bewerten.

Schrittweise Seminarinhalte

1. VCI-Rollen und Vertrauensmodell

Schwerpunkt: Issuer, Holder, Wallet, Verifier, Authorization Server, Credential Endpoint, Trust Framework, Datenfluss und Bedrohungen.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „VCI-Rollen und Vertrauensmodell“ anhand von Issuer, Holder, Wallet, Verifier, Authorization Server, Credential Endpoint, Trust Framework, Datenfluss und Bedrohungen erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein abgestimmtes Pilot- und Vertrauensmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. Credential-Datenmodelle und Claims

Schwerpunkt: W3C VC, VC SD-JWT, Typen, Context, Schema, Issuer, Subject, Claims, Selective Disclosure und Datenminimierung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Credential-Datenmodelle und Claims“ anhand von W3C VC, VC SD-JWT, Typen, Context, Schema, Issuer, Subject, Claims, Selective Disclosure und Datenminimierung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein versioniertes Credential-Schema für den Pilot dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Token Profile und Credential-Metadaten

Schwerpunkt: Verifiable-Credential-Konfiguration, Credential Endpoint, Expose Metadata, Signing Keys, Formate, Typen und Service Roles.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Token Profile und Credential-Metadaten“ anhand von Verifiable-Credential-Konfiguration, Credential Endpoint, Expose Metadata, Signing Keys, Formate, Typen und Service Roles erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine funktionsfähige Issuer-Basis dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Pre-Authorized Code Flow

Schwerpunkt: Credential Offer, Pre-Authorized Code, PIN oder Transaction Code, Token Request, Credential Request, Nonce, Ablaufzeiten und Fehlerfälle.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Pre-Authorized Code Flow“ anhand von Credential Offer, Pre-Authorized Code, PIN oder Transaction Code, Token Request, Credential Request, Nonce, Ablaufzeiten und Fehlerfälle erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen vorautorisierten Ausgabeablauf dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. RAR, DIDs und Selective Disclosure

Schwerpunkt: authorization_details, Credential Types, Access Token Bindung, DID-Methoden, Holder Binding, Disclosure-Auswahl und Interoperabilität.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „RAR, DIDs und Selective Disclosure“ anhand von authorization_details, Credential Types, Access Token Bindung, DID-Methoden, Holder Binding, Disclosure-Auswahl und Interoperabilität erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten erweiterten Pilotflow dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Sicherheit, Datenschutz und Pilotabnahme

Schwerpunkt: Schlüssel, Replay, Walletverlust, Widerruf, Logging, personenbezogene Daten, Standardsreife, Kompatibilität, Exit-Kriterien und Roadmap.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Sicherheit, Datenschutz und Pilotabnahme“ anhand von Schlüssel, Replay, Walletverlust, Widerruf, Logging, personenbezogene Daten, Standardsreife, Kompatibilität, Exit-Kriterien und Roadmap erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen belastbaren Pilotbericht mit Produktionskriterien dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Modellierung eines digitalen Nachweises mit minimalen und selektiv offenlegbaren Claims.
• Konfiguration eines Credential Endpoints und Durchführung eines Pre-Authorized Code Flows.
• Negativtests für abgelaufenen Code, falschen Nonce, unzulässigen Credential-Typ und Schlüsselbindung.
• Erstellung einer Pilotbewertung mit Interoperabilitäts-, Datenschutz- und Reifegradkriterien.

Zielgruppe und Voraussetzungen

Zielgruppe: Identity- und Wallet-Architektur, Innovationsteams, Security Engineering, öffentliche oder regulierte Digitalisierungsprogramme und erfahrene Curity-Administration.

Voraussetzungen: Gute OAuth-/OIDC-, JWT- und Kryptografie-Grundkenntnisse; das Format ist als kontrollierte Pilotierung und nicht als unkritische Produktionsfreigabe angelegt.

Didaktik und Arbeitsweise

Fachliche Einordnung und Demonstration wechseln mit strukturierten Hands-on-Labs. Jede Übung beginnt mit einem definierten Ausgangszustand, enthält Positiv- und Negativtests und endet mit einer dokumentierten Abnahme sowie einem wiederholbaren Arbeitsablauf.