Seminar EUDI Wallet – Issuing von PID, EAA und QEAA

Das Seminar entwickelt Issuing-Dienste für Personenidentifizierungsdaten sowie elektronische und qualifizierte Attributsbestätigungen. Es behandelt fachliche Semantik, autoritative Datenquellen, Identitätsprüfung, Ausstellerrollen, Autorisierung, Credential-Konfiguration, Formate, Schlüsselbindung, Status, Aktualisierung, Widerruf, Batch- und Deferred-Issuance, Datenschutz, Sicherheit und Betrieb.

Drei Seminartage sind erforderlich, weil ein belastbarer Issuer sowohl fachliche Datenqualität und Governance als auch Protokoll, Kryptografie, Status und Betriebsprozesse beherrschen muss. Die Dauer ermöglicht die Spezifikation und prototypische Umsetzung eines vollständigen Issuing-Flows.

Inhaltsübersicht

1. Nachweisprodukt, Semantik und Governance
2. Identitätsprüfung und Autorisierung
3. Issuer-Metadaten und Credential-Konfiguration
4. Token- und Credential-Endpunkte
5. Credential-Erzeugung und Formate
6. Status, Aktualisierung und Lebenszyklus
7. Deferred, Batch und großvolumige Ausstellung
8. Datenschutz, Sicherheit und Betrieb
9. Lernziele und Zielgruppe
10. Praxisanteil und Arbeitsunterlagen

Lernziele

• PID-, EAA- und QEAA-Anforderungen und Rollen unterscheiden.
• Autoritative Datenquellen und fachliche Credential-Semantik definieren.
• OpenID4VCI-basierte Issuing-Flows sicher entwerfen.
• Format, Schlüsselbindung, Status, Aktualisierung und Widerruf umsetzen.
• Issuer-Betrieb, Datenschutz und Nachweisführung prüfbar gestalten.

Zielgruppe

Issuer- und Registerteams, Architektur, Entwicklung, PKI und Schlüsselmanagement, Produktmanagement, Datenverantwortliche, öffentliche Verwaltung, qualifizierte Vertrauensdienste, Datenschutz, Informationssicherheit und Betrieb.

Voraussetzungen

Grundkenntnisse von REST, OAuth/OIDC, digitalen Signaturen und Datenmodellen. Erfahrungen mit Registern oder Attributsdiensten sind hilfreich.

Seminarinhalte

1. Nachweisprodukt, Semantik und Governance

Definition von Credential-Zweck, Claims, Schema, Datenherkunft, Ausstellerverantwortung, Vertrauensniveau und zulässiger Nutzung.

1. Schritt 1: fachliche Aussage, Zielgruppe und erwartete Entscheidungen des Nachweises festlegen.
2. Schritt 2: Claims mit Semantik, Datentyp, Quelle, Aktualität und Qualitätsregel beschreiben.
3. Schritt 3: Ausstellerrolle, Freigaben, Änderungsprozess und Verantwortlichkeit bestimmen.
4. Schritt 4: Credential-Profil gegen Überoffenlegung, Mehrdeutigkeit und missbräuchliche Nutzung prüfen.

2. Identitätsprüfung und Autorisierung

Verknüpfung von Antrag, Identitäts- oder Berechtigungsprüfung, Nutzerkonto, Vorautorisierung und autorisiertem Issuing.

1. Schritt 1: zulässige Onboarding- und Identitätsprüfpfade nach Assurance-Anforderung definieren.
2. Schritt 2: Antrag, Nutzer, Wallet und auszustellenden Datensatz eindeutig aneinander binden.
3. Schritt 3: Authorization-Code-, Pre-Authorized-Code- und weitere zulässige Flows bewerten.
4. Schritt 4: Replay, Code-Diebstahl, Fehlbindung und unberechtigte Ausstellung mit Kontrollen verhindern.

3. Issuer-Metadaten und Credential-Konfiguration

Discovery, angebotene Credential-Konfigurationen, unterstützte Formate, Algorithmen, Proofs, Endpunkte und Versionierung.

1. Schritt 1: Issuer-Fähigkeiten und Credential-Konfigurationen vollständig inventarisieren.
2. Schritt 2: Metadaten mit Format, Claims, Bindung, Anzeige und kryptografischen Optionen definieren.
3. Schritt 3: Kompatibilität und Capability Negotiation mit Wallet-Varianten prüfen.
4. Schritt 4: Versionierung und deprecating changes ohne unkontrollierten Bruch planen.

4. Token- und Credential-Endpunkte

Sicherer Ablauf von Autorisierung, Token-Ausgabe, Nonce, Proof of Possession, Credential Request und Response.

1. Schritt 1: Sequenz mit Zuständen, Tokens, Nonces, Schlüsseln und Gültigkeiten modellieren.
2. Schritt 2: Client- und Wallet-Bindung sowie Proof-Prüfung am Credential-Endpunkt implementieren.
3. Schritt 3: Fehlerantworten, Wiederholung, Rate Limits und Transaktionskonsistenz definieren.
4. Schritt 4: positive und negative Flows mit protokollnahen Testfällen verifizieren.

5. Credential-Erzeugung und Formate

Erzeugung signierter Nachweise in unterstützten Formaten einschließlich selektiver Offenlegung, Datentypen und Key Binding.

1. Schritt 1: fachliches Datenmodell in formatgerechte Claims und Namensräume abbilden.
2. Schritt 2: Signatur-, Disclosure- und Schlüsselbindungsparameter sicher auswählen.
3. Schritt 3: Credential mit deterministischen Validierungs- und Interoperabilitätstests erzeugen.
4. Schritt 4: Schema-, Semantik- und Kryptografiefehler vor Auslieferung abfangen.

6. Status, Aktualisierung und Lebenszyklus

Gültigkeit, Statusinformationen, Sperrung, Widerruf, Erneuerung, Re-Issuing und Änderungen autoritativer Daten.

1. Schritt 1: Lebenszyklusereignisse und verantwortliche Datenquellen erfassen.
2. Schritt 2: Gültigkeitsdauer und Statusverfahren nach Risiko und Aktualitätsbedarf bestimmen.
3. Schritt 3: Änderung, Sperrung und Erneuerung mit Wallet- und Relying-Party-Auswirkungen modellieren.
4. Schritt 4: Massenänderung oder kompromittierte Ausstellung in einem Recovery-Szenario behandeln.

7. Deferred, Batch und großvolumige Ausstellung

Asynchrone Verarbeitung, mehrere Credentials, Transaktionsstatus, Idempotenz und Kapazitätssteuerung.

1. Schritt 1: synchronen, verzögerten und gebündelten Issuing-Bedarf nach Prozessmerkmalen unterscheiden.
2. Schritt 2: Transaktionskennung, Polling, Benachrichtigung und Zeitgrenzen definieren.
3. Schritt 3: Idempotenz, Teilfehler und Wiederanlauf für Batch-Ausstellung sicherstellen.
4. Schritt 4: Last, Rate Limits und Missbrauchsschutz mit messbaren SLOs auslegen.

8. Datenschutz, Sicherheit und Betrieb

Minimale Datennutzung, Trennung von Datenquelle und Aussteller, Schlüsselmanagement, Monitoring, Audit und Support.

1. Schritt 1: Datenflüsse, Protokolle und unnötige Kopien entlang des Issuing-Prozesses analysieren.
2. Schritt 2: Signaturschlüssel, Zertifikate, Secrets und administrative Zugriffe absichern.
3. Schritt 3: fachliche und technische Ereignisse mit datensparsamer Auditspur definieren.
4. Schritt 4: Betriebsfehler, Schlüsselwechsel und Ausfall der Datenquelle mit Runbooks behandeln.

Praxisanteil

• Definition eines PID- oder Attribut-Credential-Profils.
• Modellierung und prototypische Umsetzung eines OpenID4VCI-Flows.
• Entwurf von Status-, Erneuerungs- und Betriebsverfahren.

Arbeitsunterlagen

Die Arbeitsunterlagen enthalten strukturierte Checklisten, Vorlagen und Referenzmodelle für die unmittelbare Weiterarbeit im Projekt. Im Seminar werden insbesondere folgende Artefakte erstellt oder vorbereitet:

• Credential-Produkt- und Governanceprofil
• Issuing-Autorisierungsmodell
• Issuer-Metadaten- und Capability-Katalog
• Issuing-Sequenz und API-Spezifikation
• Credential-Generator und Formatprofil
• Credential-Lifecycle- und Statuskonzept
• Skalierbares Issuing-Verfahren
• Issuer-Sicherheits- und Betriebskonzept