Seminar EUDI Wallet – OpenID4VCI, OpenID4VP und ISO mdoc

Das technische Intensivseminar behandelt die Protokolle und Formate der Ausstellung und Präsentation verifizierbarer Nachweise. Im Mittelpunkt stehen OpenID4VCI, OpenID4VP, OAuth-/OIDC-Grundlagen, Issuer- und Verifier-Metadaten, Autorisierungsvarianten, Proofs und Nonces, Credential-Angebote, Presentation Requests, Response Modes, ISO mdoc, SD-JWT VC, Schlüsselbindung, Status, Trust und Interoperabilität.

Vier Seminartage sind notwendig, weil Issuing, Presentation, mehrere Credential-Formate, Kryptografie, Metadaten, Trust und Negativtests praktisch implementiert und miteinander verglichen werden. Die Dauer ermöglicht eine funktionsfähige Referenzintegration statt einer reinen Protokollübersicht.

Inhaltsübersicht

1. Protokollgrundlagen und Sicherheitsmodell
2. OpenID4VCI Discovery und Credential Offer
3. OpenID4VCI Autorisierung und Token
4. Credential Request, Proof und Ausgabe
5. OpenID4VP Request und Wallet-Verarbeitung
6. OpenID4VP Response und Verification
7. ISO mdoc und mdoc-Präsentation
8. SD-JWT VC und selektive Offenlegung
9. Status, Trust und Interoperabilität
10. Lernziele und Zielgruppe
11. Praxisanteil und Arbeitsunterlagen

Lernziele

• OpenID4VCI- und OpenID4VP-Flows auf Nachrichten- und Sicherheitsniveau verstehen.
• Issuer-, Wallet- und Verifier-Metadaten interoperabel konfigurieren.
• ISO mdoc und SD-JWT VC fachlich und technisch vergleichen.
• Proofs, Nonces, Schlüsselbindung, Status und Trust korrekt prüfen.
• Positive und negative Ende-zu-Ende-Flows implementieren und testen.

Zielgruppe

Backend- und Mobile-Entwicklung, Softwarearchitektur, Integration, Security Engineering, technische Tester, Issuer-, Wallet- und Verifier-Teams sowie technische Produktverantwortung.

Voraussetzungen

Sichere Kenntnisse von HTTP, REST, JSON, OAuth 2.0 und digitalen Signaturen. Programmiererfahrung für die Übungen ist erforderlich.

Seminarinhalte

1. Protokollgrundlagen und Sicherheitsmodell

Rollen, Endpunkte, Token, Redirects, Browser- und App-Kanäle, Angreifermodelle sowie Wiederverwendung von OAuth- und OIDC-Mechanismen.

1. Schritt 1: Issuer, Wallet, Authorization Server, Verifier und Relying Party komponentenseitig abgrenzen.
2. Schritt 2: Assets, Tokens, Codes, Nonces, Schlüssel und Vertrauensannahmen inventarisieren.
3. Schritt 3: Front-Channel-, Back-Channel- und App-Übergänge in Sequenzdiagrammen darstellen.
4. Schritt 4: Replay, Redirect-Manipulation, Token-Diebstahl und Mix-up als Basisszenarien prüfen.

2. OpenID4VCI Discovery und Credential Offer

Issuer-Metadaten, Authorization-Server-Metadaten, Credential-Konfigurationen, Credential Offers und Capability Negotiation.

1. Schritt 1: Discovery-Endpunkte und Metadatenfelder für eine Referenzkonfiguration erstellen.
2. Schritt 2: Credential-Konfigurationen mit Format, Claims, Bindung und Algorithmen beschreiben.
3. Schritt 3: Credential Offer für autorisierte und vorautorisierte Abläufe erzeugen.
4. Schritt 4: unbekannte, widersprüchliche und nicht unterstützte Fähigkeiten robust behandeln.

3. OpenID4VCI Autorisierung und Token

Authorization Code, Pre-Authorized Code, PKCE, PIN beziehungsweise Transaktionscode, Token-Ausgabe, Nonce und Zustandsbindung.

1. Schritt 1: passenden Autorisierungsflow nach Nutzerinteraktion und Assurance auswählen.
2. Schritt 2: State, PKCE, Redirect und Transaktionsbindung vollständig implementieren.
3. Schritt 3: Token, Nonce, Gültigkeit und Scope sicher verarbeiten.
4. Schritt 4: Code-Replay, falschen Client, abgelaufene Werte und Brute-Force als Negativtests ausführen.

4. Credential Request, Proof und Ausgabe

Proof of Possession, Wallet-Schlüssel, Credential-Endpunkt, Batch, Deferred Issuance, Verschlüsselung und Fehlerbehandlung.

1. Schritt 1: Proof mit korrekter Audience, Nonce, Zeit und Schlüsselreferenz erzeugen.
2. Schritt 2: Issuer-seitige Proof-, Token- und Konfigurationsprüfung implementieren.
3. Schritt 3: Credential oder Transaktionsreferenz formatgerecht ausgeben und speichern.
4. Schritt 4: Teilfehler, Wiederholung, Idempotenz und ungültige Algorithmen testen.

5. OpenID4VP Request und Wallet-Verarbeitung

Presentation Request, Client- und Request-Metadaten, Credential-Anforderungen, Response Modes und Wallet-Auswahl.

1. Schritt 1: Verifier-Anforderung mit Zweck, Claims, Formaten und Nonce erstellen.
2. Schritt 2: Anfragenden und Request-Objekt vor der Credential-Auswahl prüfen.
3. Schritt 3: passende Credentials und minimale Offenlegung anhand der Anfrage bestimmen.
4. Schritt 4: Zustimmung, Teilmenge, fehlenden Nachweis und Abbruch als Wallet-Zustände implementieren.

6. OpenID4VP Response und Verification

Erzeugung und Prüfung von Präsentationen, Audience, Nonce, State, Session-Bindung, Signaturen, Status und fachlicher Ergebnisübergabe.

1. Schritt 1: Präsentationsantwort an Wallet-Schlüssel, Verifier und Sitzung binden.
2. Schritt 2: Response über unterstützten Modus sicher an den Verifier übertragen.
3. Schritt 3: Format-, Signatur-, Disclosure-, Status- und Trust-Prüfungen ausführen.
4. Schritt 4: technische Fehler in eindeutige fachliche Entscheidungs- und Supportcodes übersetzen.

7. ISO mdoc und mdoc-Präsentation

Namensräume, Datenelemente, Issuer-Signed- und Device-Signed-Strukturen, Mobile Security Object, Gerätesignatur und Remote- beziehungsweise Proximity-Nutzung.

1. Schritt 1: mdoc-Dokumenttyp, Namensräume und Datenelemente für ein Beispiel modellieren.
2. Schritt 2: Issuer-Signed-Struktur und Integritätsbezug der Datenelemente erzeugen.
3. Schritt 3: Device Authentication und Session-Bindung für die Präsentation umsetzen.
4. Schritt 4: selektive Offenlegung, Reader-Anfrage und Manipulationsfälle verifizieren.

8. SD-JWT VC und selektive Offenlegung

Claims, Disclosures, Hash-Bindung, Holder beziehungsweise Key Binding, Präsentationszusammenstellung und Verifikation.

1. Schritt 1: offene und selektiv offenlegbare Claims eines Credential-Profils definieren.
2. Schritt 2: Disclosures erzeugen und kryptografisch an das signierte Credential binden.
3. Schritt 3: minimale Präsentation mit Key Binding und Verifier-Kontext erstellen.
4. Schritt 4: fehlende, vertauschte, wiederverwendete und manipulierte Disclosures testen.

9. Status, Trust und Interoperabilität

Ausstellervertrauen, Zertifikate, Registrierungsinformationen, Statusmechanismen, Algorithmen, Profile und Umgang mit Versionsänderungen.

1. Schritt 1: Trust-Anker und Verifier-Entscheidungskette für beide Formate modellieren.
2. Schritt 2: Status- und Gültigkeitsprüfung mit Cache-, Ausfall- und Datenschutzregeln implementieren.
3. Schritt 3: Capability- und Algorithmusabweichungen in Interoperabilitätstests abdecken.
4. Schritt 4: Profiländerungen mit Versionsmatrix, Regression und kontrollierter Migration behandeln.

Praxisanteil

• Implementierung eines vollständigen OpenID4VCI-Ablaufs.
• Implementierung einer OpenID4VP-Präsentation mit Verifier-Prüfung.
• Erzeugung und Vergleich eines ISO-mdoc- und eines SD-JWT-VC-Nachweises.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Protokoll- und Bedrohungsübersicht
• Issuer-Metadaten und Credential Offer
• Autorisierungs- und Token-Implementierung
• OpenID4VCI-Credential-Endpunkt
• OpenID4VP-Request-Verarbeitung
• Verifier- und Response-Implementierung
• ISO-mdoc-Referenznachweis
• SD-JWT-VC-Referenznachweis
• Trust- und Interoperabilitätsprofil