Seminar Verifiable Credentials – Status, Widerruf, Signaturen und Schlüssel

Die Zuverlässigkeit eines Credentials hängt nicht nur von seiner Ausstellung ab. Verifier müssen Integrität, Ausstelleridentität, Gültigkeit und aktuellen Status sicher und datensparsam prüfen können; Betreiber benötigen belastbare Schlüssel- und Incident-Prozesse.

Inhaltsübersicht

1. Kapitel 1: Integritäts- und Signaturmodelle
2. Kapitel 2: Ausstelleridentität und Vertrauensanker
3. Kapitel 3: Schlüsselgenerierung, Schutz und Rotation
4. Kapitel 4: Credential-Status und Widerruf
5. Kapitel 5: Privacy, Cache und Verfügbarkeit
6. Kapitel 6: Kompromittierung und Incident Response

Zielsetzung

Die Lernziele verbinden fachliche Einordnung, strukturierte Modellierung und schrittweise Umsetzung. Nach Abschluss stehen dokumentierte Arbeitsartefakte für Projekt, Architektur, Datenmanagement oder Betrieb zur Verfügung.

• Signatur- und Datenintegritätsmodelle für Credentials bewerten
• Ausstelleridentität und Vertrauensanker sicher auflösen
• Schlüsselgenerierung, Schutz, Rotation und Recovery planen
• Status, Suspendierung, Widerruf und Ablauf datensparsam umsetzen
• Kompromittierungs-, Cache- und Betriebsfälle testen

Zielgruppe

• Security-, PKI- und Identity-Architektur
• Credential-, Wallet- und Verifier-Engineering
• Trust-Service- und Statusdienstbetrieb
• DPP- und Supply-Chain-Plattformteams
• Audit, Datenschutz und technische Qualitätssicherung

Voraussetzungen

Grundkenntnisse zu Verifiable Credentials, digitalen Signaturen oder PKI sind empfohlen. Tiefe Kryptografiekenntnisse werden nicht vorausgesetzt.

Didaktische Einordnung

Drei Tage sind erforderlich, weil kryptografische Nachweise, Identitätsauflösung, Schlüsselbetrieb, Statusmechanismen, Privacy und Vorfallmanagement zusammengehören. Die Übungen umfassen Kompromittierung, Rotation, Cache und Massenwiderruf. Vorgesehen sind 3 Seminartage mit Fachimpulsen, moderierter Modellierung, Demonstrationen, Fallstudien, Prüfschritten und dokumentierten Praxisarbeiten.

Kapitel 1: Integritäts- und Signaturmodelle

Inhaltsverzeichnis des Kapitels: Proof versus eingebettete Signatur; Data Integrity; JOSE- und COSE-basierte Credential-Formate; Kanonisierung, Algorithmenprofil und Verifikation

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Proof versus eingebettete Signatur fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Data Integrity als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: JOSE- und COSE-basierte Credential-Formate in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Kanonisierung, Algorithmenprofil und Verifikation anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Für zwei Credential-Formate wird ein Verifikationsprofil mit erlaubten Algorithmen, Parametern und Fehlern erstellt.

Kapitel 2: Ausstelleridentität und Vertrauensanker

Inhaltsverzeichnis des Kapitels: DID und kontrollierte Identifikatoren; Zertifikate und organisationsgebundene Identitäten; Key Discovery und Identifier Binding; Trust Registry und lokale Policy

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: DID und kontrollierte Identifikatoren fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Zertifikate und organisationsgebundene Identitäten als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Key Discovery und Identifier Binding in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Trust Registry und lokale Policy anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Verifier-Ablauf zur Auflösung von Ausstelleridentität, Schlüssel und fachlicher Berechtigung wird spezifiziert.

Kapitel 3: Schlüsselgenerierung, Schutz und Rotation

Inhaltsverzeichnis des Kapitels: Entropie, Algorithmus und Schlüssellänge; HSM, KMS, Wallet und Zugriffskontrolle; Rotation, Überlappung und historische Verifikation; Backup, Recovery und Schlüsselzerstörung

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Entropie, Algorithmus und Schlüssellänge fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: HSM, KMS, Wallet und Zugriffskontrolle als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Rotation, Überlappung und historische Verifikation in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Backup, Recovery und Schlüsselzerstörung anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Key-Management-Plan mit Rollen, Zeitplan, Übergang, Audit und Notfallmaßnahmen wird erstellt.

Kapitel 4: Credential-Status und Widerruf

Inhaltsverzeichnis des Kapitels: Statusreferenz und Status List; gültig, suspendiert, widerrufen und abgelaufen; Update, Verteilung und Konsistenz; einzelner und massenhafter Widerruf

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Statusreferenz und Status List fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: gültig, suspendiert, widerrufen und abgelaufen als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Update, Verteilung und Konsistenz in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: einzelner und massenhafter Widerruf anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Statusdienst wird mit Zustandsmodell, Aktualisierungsprozess, Signatur und Testdaten entworfen.

Kapitel 5: Privacy, Cache und Verfügbarkeit

Inhaltsverzeichnis des Kapitels: Statusabfrage ohne Tracking; Korrelations- und Timingrisiken; Cache-Control, Aktualität und Offline-Prüfung; DDoS-Schutz, Replikation und Fallback

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Statusabfrage ohne Tracking fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Korrelations- und Timingrisiken als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Cache-Control, Aktualität und Offline-Prüfung in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: DDoS-Schutz, Replikation und Fallback anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein datenschutzorientiertes Statusprüfprofil wird anhand von Online-, Cache- und Offline-Szenarien bewertet.

Kapitel 6: Kompromittierung und Incident Response

Inhaltsverzeichnis des Kapitels: Erkennung und Beweissicherung; Schlüsselwiderruf und Credential-Auswirkung; Kommunikation, Ersatz und Wiederherstellung; Post-Incident-Review und Kontrollverbesserung

Das Kapitel verbindet fachliche Definitionen, Datenverantwortung, technische Umsetzung und überprüfbare Freigabekriterien zu einem nachvollziehbaren Arbeitsablauf.

1. Schritt 1: Erkennung und Beweissicherung fachlich einordnen, Begriffe und Systemgrenzen abgrenzen sowie die Relevanz für den konkreten Anwendungsfall dokumentieren.
2. Schritt 2: Schlüsselwiderruf und Credential-Auswirkung als Daten-, Rollen- und Regelwerk erfassen, Verantwortlichkeiten zuordnen und messbare Prüfkriterien festlegen.
3. Schritt 3: Kommunikation, Ersatz und Wiederherstellung in einen technischen oder organisatorischen Lösungsbaustein überführen, Schnittstellen, Zustände und Ausnahmefälle beschreiben.
4. Schritt 4: Post-Incident-Review und Kontrollverbesserung anhand eines positiven und eines negativen Testfalls verifizieren, Abweichungen bewerten und die Freigabeunterlagen vervollständigen.

Praxisarbeit: Ein Tabletop-Szenario für kompromittierte Issuer-Schlüssel wird mit Entscheidungen, Statusupdates und Recovery durchgespielt.

Arbeitsunterlagen

Enthalten sind strukturierte Checklisten, Rollen- und Datenmatrizen, Modellierungsvorlagen, Testfallmuster, Entscheidungstabellen und ein auf das Seminarthema zugeschnittenes Arbeitsbeispiel. Die Unterlagen unterstützen die unmittelbare Übertragung in Projekt- und Betriebsdokumentationen.