Seminar Verifiable Presentations 2.0 – Austausch, Holder Binding und Replay-Schutz

Behandelt wird der vollständige Austausch vom Presentation Request über Wallet-Auswahl und Holder-Freigabe bis zur Prüfung durch den Verifier. Besondere Schwerpunkte sind Challenge, Domain, Audience, Holder Binding, Mehrfach-Credentials, selektive Offenlegung, Replay-Schutz und nachvollziehbare Policy-Entscheidungen.

Inhaltsverzeichnis

• Einordnung
• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Presentation-Modell
• Presentation Request
• Wallet-Verarbeitung
• Challenge, Domain und Audience
• Holder Binding
• Mehrere Credentials und kombinierte Aussagen
• Selektive Offenlegung
• Replay- und Weitergabeschutz
• Verifier-Entscheidung und Fehlerfälle
• Praktische Übungen
• Methodik
• Einordnung im Seminarprogramm

Einordnung

Der Schwerpunkt liegt auf sichere und datensparsame Präsentation von Credentials. Die Inhalte werden von der fachlichen Anforderung über Datenmodell und Protokoll bis zu Validierung, Fehlerbehandlung und betrieblichen Kontrollen entwickelt.

Zielgruppe

Wallet- und Verifier-Entwicklung, Backend- und API-Architektur, IAM, Security Engineering, Datenschutztechnik, Integration und Qualitätssicherung.

Voraussetzungen

Kenntnisse des VC Data Model 2.0, der Issuer-Holder-Verifier-Rollen und grundlegender Proof-Prüfung.

Lernziele

• Credential und Presentation fachlich und technisch abgrenzen
• Presentation Requests minimal und eindeutig formulieren
• Challenge, Domain und Audience sicher verwalten
• Holder Binding passend zum Anwendungsfall umsetzen
• mehrere Credentials und abgeleitete Nachweise kombinieren
• Replay, Weitergabe und Cross-Protocol-Nutzung verhindern
• Verifier-Entscheidungen schichtweise und datensparsam gestalten

Seminarinhalte

Modul 1: Presentation-Modell

1. Schritt 1: Das übermittelte Präsentationsobjekt wird von den enthaltenen Credentials getrennt.
2. Schritt 2: Der Presentation-Proof bestätigt den aktuellen Austauschkontext, während Credential-Proofs die Aussagen der Issuer schützen.
3. Schritt 3: Holder, Subject und Präsentierender werden nicht automatisch gleichgesetzt.
4. Schritt 4: Die benötigte Bindungsstärke wird aus dem Missbrauchsrisiko des Geschäftsprozesses abgeleitet.

Modul 2: Presentation Request

1. Schritt 1: Der Verifier beschreibt Zweck, akzeptierte Credential-Typen, Issuer-Kriterien und benötigte Claims.
2. Schritt 2: Eine frische Challenge und eine eindeutige Domain werden erzeugt.
3. Schritt 3: Optionale Anforderungen an Holder Binding, Gültigkeit, Status und Disclosure werden explizit angegeben.
4. Schritt 4: Übermäßige oder widersprüchliche Anforderungen werden vor Übermittlung verhindert.

Modul 3: Wallet-Verarbeitung

1. Schritt 1: Herkunft und Integrität der Anfrage werden geprüft.
2. Schritt 2: Geeignete Credentials werden nach Typ, Issuer, Gültigkeit, Status und Offenlegungsmöglichkeit gefiltert.
3. Schritt 3: Die Wallet minimiert die offenzulegenden Claims und zeigt Empfänger sowie Zweck an.
4. Schritt 4: Der Benutzer oder eine autorisierte Policy gibt die konkrete Auswahl frei.

Modul 4: Challenge, Domain und Audience

1. Schritt 1: Challenge-Werte werden zufällig, kurzlebig und einmalig erzeugt.
2. Schritt 2: Domain und Audience werden aus der vertrauenswürdigen Verifier-Konfiguration abgeleitet.
3. Schritt 3: Die Wallet bindet den Präsentationsproof exakt an diese Werte.
4. Schritt 4: Der Verifier prüft Gleichheit, Zeitfenster und Nichtwiederverwendung, bevor Credential-Inhalte ausgewertet werden.

Modul 5: Holder Binding

1. Schritt 1: Es wird entschieden, ob Besitz eines bestimmten Schlüssels, Kontrolle einer Wallet oder bloße Übermittlung genügt.
2. Schritt 2: Ein Holder-Schlüssel wird dem Präsentationsproof oder einem separaten Key-Binding-Nachweis zugeordnet.
3. Schritt 3: Der Verifier prüft die Beziehung zwischen Holder, Credential und angefordertem Bindungsmodell.
4. Schritt 4: Bei Delegation oder Vertretung werden Rollen und Berechtigungen ausdrücklich nachgewiesen.

Modul 6: Mehrere Credentials und kombinierte Aussagen

1. Schritt 1: Jedes Credential wird unabhängig auf Proof, Zeit, Status und Issuer-Vertrauen geprüft.
2. Schritt 2: Claims aus unterschiedlichen Quellen werden nur nach einer festgelegten Join- und Konfliktpolicy kombiniert.
3. Schritt 3: Widersprüche, unterschiedliche Gültigkeitszeiträume und uneinheitliche Subject-Bindung werden erkannt.
4. Schritt 4: Die Fachentscheidung dokumentiert, aus welchem Credential jede verwendete Aussage stammt.

Modul 7: Selektive Offenlegung

1. Schritt 1: Der Verifier fordert nur die tatsächlich benötigten Aussagen an.
2. Schritt 2: Die Wallet wählt zwischen vollständigem Credential, abgeleitetem Proof oder mehreren granularen Credentials.
3. Schritt 3: Disclosure-Nachweis und Präsentationsbindung werden gemeinsam, aber als getrennte Prüfschritte behandelt.
4. Schritt 4: Nicht offengelegte Claims dürfen weder aus Fehlermeldungen noch aus Metadaten ableitbar werden.

Modul 8: Replay- und Weitergabeschutz

1. Schritt 1: Challenge-Einmaligkeit wird in einem transaktionssicheren Speicher durchgesetzt.
2. Schritt 2: Kurze Zeitfenster begrenzen die Verwendbarkeit abgefangener Präsentationen.
3. Schritt 3: Domain- und Audience-Bindung verhindern Nutzung bei einem anderen Verifier oder Protokoll.
4. Schritt 4: Verdächtige Wiederholungen werden erkannt, ohne vollständige Präsentationen langfristig zu speichern.

Modul 9: Verifier-Entscheidung und Fehlerfälle

1. Schritt 1: Präsentationsproof und Protokollbindung werden zuerst geprüft.
2. Schritt 2: Danach folgen Credential-Prüfungen und Trust-Policy.
3. Schritt 3: Fehlende Anforderungen, ungültige Einzelcredentials und widersprüchliche Claims erhalten klare interne Ergebnisse.
4. Schritt 4: Die externe Antwort nennt nur erforderliche Korrekturen und gibt keine sensiblen Policy-Details preis.

Praktische Übungen

• Entwurf eines datensparsamen Presentation Request
• Erzeugung einer Präsentation mit Challenge- und Domain-Bindung
• Replay-Test mit wiederverwendeter Challenge
• Prüfung einer Präsentation mit mehreren Credentials
• Vergleich verschiedener Holder-Binding-Varianten

Methodik

Fachliche Einordnung, strukturierte Demonstrationen, gemeinsame Modellierung, angeleitete Implementierungs- und Prüfaufgaben, Negativtests sowie Auswertung typischer Fehlersituationen. Die Übungen verwenden synthetische Beispieldaten und werden schrittweise von einem kontrollierten Normalfall zu Manipulations-, Grenz- und Ausfallszenarien erweitert.

Einordnung im Seminarprogramm

Empfohlen nach VC-Grundlagen und Issuing/Holding/Verifying. Der Kurs ist Grundlage für selektive Offenlegung, Privacy Engineering und fortgeschrittene Verifier-Implementierung.