Seminar Credo TypeScript – OpenID4VC Wallet: Credentials empfangen und präsentieren

Das dreitägige Seminar konzentriert sich auf die Holder- und Wallet-Seite von OpenID4VC. Credential Offers, Wallet-Metadaten, Autorisierungsflüsse, Proofs, Credential-Speicherung, Presentation Requests, Credential-Auswahl, Consent, Status und Recovery werden als robuste TypeScript-Komponenten implementiert.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Credential Offers und Issuer-Metadaten sicher verarbeiten.
• Autorisierungs- und Token-Flows aus Wallet-Sicht implementieren.
• Credentials formatgerecht prüfen, speichern und darstellen.
• Presentation Requests auswerten und datensparsame Antworten erzeugen.
• Consent, Status, Fehlerfälle, Recovery und Tests walletgerecht gestalten.

Schrittweise Seminarinhalte

1. Wallet-Rollen, Sessions und Metadaten

Schwerpunkt: Wallet-Instanz, Holder, Issuer Sessions, Verifier Sessions, Wallet-Metadaten, unterstützte Formate, Algorithmen, Redirects und Zustandsablage.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Wallet-Rollen, Sessions und Metadaten“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Wallet-Instanz, Holder, Issuer Sessions, Verifier Sessions, Wallet-Metadaten, unterstützte Formate, Algorithmen, Redirects und Zustandsablage modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Wallet-Protokollmodell dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

2. Credential Offer Intake

Schwerpunkt: QR, Deep Link, URI-Parsing, Offer by Value oder Reference, Issuer Discovery, Credential Configurations, Ablauf, Host-Prüfung und Nutzerbestätigung.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Credential Offer Intake“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von QR, Deep Link, URI-Parsing, Offer by Value oder Reference, Issuer Discovery, Credential Configurations, Ablauf, Host-Prüfung und Nutzerbestätigung modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren Offer-Einstieg dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

3. Authorization Code Flow aus Wallet-Sicht

Schwerpunkt: Authorization Request, PKCE, Redirect-Verarbeitung, State, Browserwechsel, Session-Bindung, Abbruch, Wiederaufnahme und Fehleranzeige.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Authorization Code Flow aus Wallet-Sicht“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Authorization Request, PKCE, Redirect-Verarbeitung, State, Browserwechsel, Session-Bindung, Abbruch, Wiederaufnahme und Fehleranzeige modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen robusten browsergestützten Flow dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

4. Pre-Authorized Code und Transaction Code

Schwerpunkt: Code-Annahme, Transaction Code, Eingabeschutz, Versuche, Token-Abruf, Replay, Ablauf, Nutzerinformation und Recovery.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Pre-Authorized Code und Transaction Code“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Code-Annahme, Transaction Code, Eingabeschutz, Versuche, Token-Abruf, Replay, Ablauf, Nutzerinformation und Recovery modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen sicheren vereinfachten Issuance-Flow dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

5. Proof, Credential Request und Speicherung

Schwerpunkt: Holder Key, C Nonce, Proof, Formatparameter, Credential Response, Signaturprüfung, Claim-Normalisierung, Statusreferenz, Wallet Record und Dubletten.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Proof, Credential Request und Speicherung“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Holder Key, C Nonce, Proof, Formatparameter, Credential Response, Signaturprüfung, Claim-Normalisierung, Statusreferenz, Wallet Record und Dubletten modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis ein geprüft gespeichertes Credential dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

6. Presentation Request Intake

Schwerpunkt: Authorization Request, Request Object, Verifier-Identität, Presentation Definition, Nonce, State, Response Mode, Redirect und Vertrauensanzeige.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Presentation Request Intake“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Authorization Request, Request Object, Verifier-Identität, Presentation Definition, Nonce, State, Response Mode, Redirect und Vertrauensanzeige modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis eine validierte Präsentationsanfrage dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

7. Credential-Auswahl, Consent und Präsentation

Schwerpunkt: Matching, Claim-Minimierung, Formatwahl, Holder Binding, VP Token, Presentation Submission, Vorschau, Einwilligung, Versand und Ergebnis.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Credential-Auswahl, Consent und Präsentation“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Matching, Claim-Minimierung, Formatwahl, Holder Binding, VP Token, Presentation Submission, Vorschau, Einwilligung, Versand und Ergebnis modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen datensparsamen Wallet-Präsentationsprozess dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

8. Lifecycle, Security und Tests

Schwerpunkt: Statuscache, Ablauf, Löschung, verlorene Session, bösartige Links, manipulierte Metadaten, Replay, Privacy Logs, Test-Issuer, Test-Verifier und Gerätetests.

1. Anwendungsfall, Schutzbedarf, Eingaben, Ausgaben und messbare Abnahmekriterien für den Themenblock „Lifecycle, Security und Tests“ erfassen.
2. Die relevanten Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Statuscache, Ablauf, Löschung, verlorene Session, bösartige Links, manipulierte Metadaten, Replay, Privacy Logs, Test-Issuer, Test-Verifier und Gerätetests modellieren und verbindliche Konfigurationsentscheidungen festlegen.
3. Die erforderlichen TypeScript-Komponenten, Credo-Module, Provider, Konfigurationen oder Prozessschritte in einer kontrollierten Laborumgebung implementieren.
4. Funktion, Berechtigungen, Schlüsselverwendung, Protokollzustände, Datenpersistenz und Fehlerverhalten mit definierten Positiv- und Negativfällen prüfen.
5. Als Arbeitsergebnis einen vollständigen Wallet-Prüf- und Betriebsleitfaden dokumentieren, fachlich abnehmen und als wiederholbaren Entwicklungs- oder Betriebsstandard festhalten.

Praxisübungen und Laborszenarien

• Einlesen und Validieren eines Credential Offers.
• Durchführung beider Issuance-Autorisierungsvarianten.
• Normalisierung und Speicherung eines Credentials mit Statusreferenz.
• Auswertung einer Presentation Definition und Erstellung einer Einwilligungsansicht.
• Erzeugung und Versand einer Präsentation mit Negativtests für Replay und manipulierte Redirects.

Zielgruppe und Voraussetzungen

Zielgruppe: Wallet- und TypeScript-Entwicklung, Mobile- und Webanwendungsteams, IAM-Architektur, Security Engineering und technische Testteams.

Voraussetzungen: Gute TypeScript-Kenntnisse; Grundlagen in OAuth 2.0, HTTP, JWT und digitalen Credentials; Credo-Grundkenntnisse.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar mit Demonstrationen, strukturierten Implementierungsschritten, Code-Reviews, praktischen Übungen und kontrollierten Fehlerfällen verbunden. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Lösungen reproduzierbar weiterentwickelt und in den Betrieb überführt werden können.