Seminar swiyu – Swiss Profiles für SD-JWT VC, OID4VCI und OID4VP

Die Swiss Profiles konkretisieren internationale Spezifikationen für die swiyu Trust Infrastructure. Das Seminar untersucht die verbindlichen Zusammenspiele von DID, SD-JWT VC, selektiver Offenlegung, Status, OCA, OID4VCI, OID4VP, Request Objects, JWE und Trust Protocol.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Die Swiss-Profile-Familie und ihre gegenseitigen Abhängigkeiten sicher einordnen
• SD-JWT VC, Disclosures, Key Binding und Statusmechanismen korrekt modellieren und prüfen
• OID4VCI- und OID4VP-Parameter einschließlich Profilversionen und Sicherheitsvorgaben anwenden
• Profilkonformität mit Metadaten-, Payload- und Ende-zu-Ende-Testvektoren absichern

Zielgruppe

Protokoll- und Backend-Entwickler, Wallet-Teams, Datenmodellierer, Integrationsarchitekten, Security Engineers und technische QA.

Voraussetzungen

Sichere Kenntnisse zu JWT, JWS, JWE, OAuth 2.0, OpenID Connect, JSON und Public-Key-Kryptografie. Grundverständnis von SD-JWT ist empfohlen.

Seminarinhalte

1. Schritt 1: Swiss-Profile-Landschaft strukturieren

   Anchor, Issuance, Trust, Verifiable Credentials, Verification und OCA werden mit ihren Verantwortungsgrenzen, Versionen und Querverweisen in einer Profilmatrix erfasst.

2. Schritt 2: DID- und Schlüsselbezug verstehen

   Issuer- und Verifier-DIDs, Verification Methods, Signaturzwecke, ECDSA-P-256-Anforderungen, DID-Auflösung und Schlüsselrotation werden in die Protokoll- und Credential-Prüfung eingeordnet.

3. Schritt 3: SD-JWT-Grundstruktur analysieren

   Issuer-Signed JWT, Hash-Algorithmus, Disclosures, Digest-Zuordnung, nicht offengelegte Claims und Rekonstruktion der sichtbaren Claim-Menge werden anhand kontrollierter Beispiele geprüft.

4. Schritt 4: SD-JWT VC modellieren

   vct, iss, iat, cnf, Status, fachliche Claims, Credential Type Metadata und Integritätsbezüge werden als vollständiges Profilobjekt entwickelt.

5. Schritt 5: Selektive Offenlegung und Key Binding prüfen

   Offenlegungsentscheidung, KB-JWT, Nonce, Audience, Holder- oder Device-Bindung und Schutz vor Wiederverwendung werden als Verifier-Prüfkette implementiert.

6. Schritt 6: Token Status List integrieren

   Statusreferenz, Index, Bits, Signatur, Cache, Suspendierung und Widerruf werden mit Datenschutz- und Verfügbarkeitsanforderungen verbunden.

7. Schritt 7: OCA-Darstellung anbinden

   Capture Base, Overlays, Mehrsprachigkeit, sensible Attribute, Formate und der referenzierte Rendering-Bezug werden so modelliert, dass Wallet-Darstellung und Claim-Semantik konsistent bleiben.

8. Schritt 8: Swiss Profile Issuance anwenden

   Credential Offer, DPoP- oder profilbezogene Bindung, Authorization und Token, Proof, Credential Request, Deferred Flow, Metadaten und Fehler werden in der vorgegebenen Reihenfolge geprüft.

9. Schritt 9: Swiss Profile Verification anwenden

   Request Object, Client Metadata, OID4VP, DCQL, Response Mode, JWE, Nonce, State, Algorithmen und Validierung der Antwort werden Schritt für Schritt umgesetzt.

10. Schritt 10: Trust Protocol einbeziehen

    Trust Statements, Verifizierbarkeit, Status und Verifikationszwecke werden vom technischen Besitz eines DID getrennt und in die fachliche Akzeptanzentscheidung integriert.

11. Schritt 11: Profilversionen und Änderungen steuern

    Versionskennung, Metadatenänderung, Abwärtskompatibilität, Feature Flags, Migration und Testabdeckung werden als kontrollierter Release-Prozess behandelt.

12. Schritt 12: Konformitätstests erstellen

    Golden Credentials, Disclosures, Issuance- und Verification-Flows, ungültige Algorithmen, falsche Versionen, Trust- und Statusfehler werden als wiederholbare Testvektoren dokumentiert.

Praxisübungen

• Swiss-Profile-Abhängigkeitsmatrix erstellen
• SD-JWT VC mit selektiv offenlegbaren Claims modellieren und validieren
• OID4VCI- und OID4VP-Payloads auf Profilkonformität prüfen
• Token-Status- und Key-Binding-Negativtests entwickeln
• Profilversionswechsel mit Kompatibilitäts- und Migrationstest planen

Methodik

Fachvortrag, Spezifikations- und Payload-Analyse, kryptografische Demonstrationen, Modellierungsübungen und Testvektoren. Drei Tage sind notwendig, weil Credential-Format, Issuance- und Verification-Profil jeweils eigene Regeln besitzen und erst gemeinsam eine konforme Implementierung ergeben.