Seminar swiyu – Generic Verifier, DCQL und Trust-Prüfung

Der Generic Verifier muss angeforderte Nachweise datensparsam beschreiben und eingehende Präsentationen kryptografisch, semantisch und vertrauensbezogen bewerten. Das Seminar verbindet Deployment, DCQL, OID4VP, Request Objects, JWE, Status und Trust Registry zu einer vollständigen Verifikationsstrecke.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Generic Verifier, Management API und öffentliche OID4VP-Endpunkte sicher betreiben
• DCQL-Abfragen und Verifikationszwecke präzise und datensparsam formulieren
• OID4VP-Antworten einschließlich JWE, Key Binding, Status und Claims korrekt validieren
• Trust-Prüfung, Fehlerklassifikation, Monitoring und automatisierte Tests aufbauen

Zielgruppe

Verifier- und Backend-Entwickler, Integrationsarchitekten, DevOps, Security Engineers, Datenschutz, Fachverantwortliche und QA.

Voraussetzungen

Gute Kenntnisse zu OAuth, JWT, JWE, REST, JSON und Public-Key-Kryptografie. swiyu-DID, Trust Registry und SD-JWT VC müssen grundsätzlich bekannt sein.

Seminarinhalte

1. Schritt 1: Verifier-Architektur und Schutzbedarf modellieren

   Fachsystem, Management API, OID4VP-Endpunkte, Datenbank, DID Resolver, Trust Registry, Statusabruf und Ergebnisrückgabe werden mit Datenklassifikation und Netzgrenzen beschrieben.

2. Schritt 2: Dienst sicher bereitstellen

   Container, persistente Konfiguration, TLS, externe URL, Health Checks, interne API-Absicherung, Datenbankrechte und getrennte Umgebungen werden reproduzierbar aufgebaut.

3. Schritt 3: Verifier DID und Schlüssel anbinden

   Authentication-Verifikation, Signaturschlüssel, Request-Object-Erstellung und passende DID Verification Method werden geprüft. Schlüsselrotation und Profilversionen werden vorbereitet.

4. Schritt 4: Verifier-Metadaten konfigurieren

   Öffentliche Client Metadata, unterstützte Formate, Algorithmen, JWE-Parameter, Redirect- oder Response-Endpunkte und datenschutzrelevante Angaben werden konsistent veröffentlicht.

5. Schritt 5: Verifikationszweck definieren

   Zweckname, Beschreibung, Rechts- oder Geschäftsgrund, benötigte Credential-Typen und minimale Claims werden dokumentiert. Der Zweck wird von der technischen Abfrage getrennt, aber eindeutig verknüpft.

6. Schritt 6: DCQL-Abfrage erstellen

   Credentials, Claim-Pfade, alternative Nachweise, optionale Claims und Kombinationen werden in DCQL modelliert. Abfragen werden auf Übererhebung, Mehrdeutigkeit und Wallet-Kompatibilität geprüft.

7. Schritt 7: OID4VP-Anfrage initiieren

   Request Object, Nonce, State, Response URI, Deep Link, Sitzung und Ablauf werden erzeugt. Replay, Request-Verwechslung und unzulässige Wiederverwendung werden verhindert.

8. Schritt 8: Präsentation entschlüsseln und binden

   JWE, VP Token beziehungsweise formatbezogene Antwort, Audience, Nonce, State, Key Binding und Wallet-Nachweis werden vor jeder fachlichen Entscheidung validiert.

9. Schritt 9: Credential vollständig prüfen

   Issuer-Signatur, DID-Auflösung, SD-JWT-Disclosures, vct, Gültigkeit, Token Status List und angeforderte Claims werden mit eindeutigen technischen Resultaten bewertet.

10. Schritt 10: Trust und Policy prüfen

    Issuer-DID, Trust Statement, Trust Registry, akzeptierte Rollen, Credential-Typ und Verifikationszweck werden zu einer fachlichen Vertrauensaussage verbunden.

11. Schritt 11: Ergebnisse sicher an das Fachsystem übergeben

    Minimierte Claims, Prüfergebnis, Fehlergrund, Nachweiszeitpunkt, Audit-ID und Aufbewahrungsregel werden ohne unnötige Rohdaten an den Geschäftsprozess zurückgegeben.

12. Schritt 12: Tests und Betrieb absichern

    Mock Wallet, DCQL-Varianten, ungültige Disclosures, falsche Nonces, abgelaufene Credentials, Statuswechsel, Trust-Verlust, Registry-Ausfall und Last werden automatisiert getestet und überwacht.

Praxisübungen

• Generic Verifier mit getrennten Management- und OID4VP-Zonen bereitstellen
• Datensparsame DCQL-Abfrage für mehrere alternative Nachweise entwickeln
• JWE- und Key-Binding-Prüfung anhand positiver und negativer Antworten nachvollziehen
• Trust- und Statusentscheidungen mit klaren Fehlerklassen implementieren
• Ende-zu-Ende-Testfolge mit Mock Wallet automatisieren

Methodik

Fachvortrag, Deployment- und API-Labor, DCQL-Workshop, Payload-Analyse, Trust- und Statusprüfungen sowie Testautomatisierung. Vier Tage sind erforderlich, weil sichere Anfrageerstellung, kryptografische Verarbeitung, fachliche Trust-Entscheidung und Betriebsabsicherung getrennt geübt werden.