Seminar Security Testing für Proofing-, Wallet- und Bridge-Komponenten

Das Seminar entwickelt eine risikobasierte Teststrategie für Identitätsprüfung, Wallet-Protokolle, Credential-Verifikation, Gateway-Policies und IAM-Brücken. Funktionale Negativtests, Protokollmissbrauch, API-Angriffe, Resilienz, Datenschutzkontrollen und End-to-End-Manipulationen werden methodisch kombiniert.

Der Aufbau führt von der fachlichen und technischen Einordnung über klar definierte Entscheidungs- und Integrationsschritte bis zu überprüfbaren Arbeitsartefakten. Jeder Themenblock wird schrittweise erläutert und in einer praktischen Aufgabe angewendet.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Modul 1: Teststrategie und Angriffsmodell
6. Modul 2: Proofing- und Fraud-Tests
7. Modul 3: Wallet- und Credential-Protokolltests
8. Modul 4: Gateway-, Policy- und API-Tests
9. Modul 5: IAM-Brücken und Lifecycle-Tests
10. Modul 6: Befund, Re-Test und Freigabe
11. Praxisübungen

Einordnung und Zielsetzung

Das Seminar entwickelt eine risikobasierte Teststrategie für Identitätsprüfung, Wallet-Protokolle, Credential-Verifikation, Gateway-Policies und IAM-Brücken. Funktionale Negativtests, Protokollmissbrauch, API-Angriffe, Resilienz, Datenschutzkontrollen und End-to-End-Manipulationen werden methodisch kombiniert.

Im Mittelpunkt stehen nachvollziehbare Entscheidungen, sichere technische Übergaben, datensparsame Verarbeitung und ein belastbarer Betrieb. Die Seminarergebnisse werden als Modelle, Entscheidungstabellen, Testfälle oder Umsetzungsskizzen dokumentiert.

Zielgruppe

Security Testing, Penetration Testing, Quality Engineering, DevSecOps, Identity Engineering, Security Architecture und technische Revision

Voraussetzungen

Praktische Erfahrung mit APIs, Websicherheit und digitalen Identitätsabläufen

Lernziele

• Teststrategie und Angriffsmodell fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Proofing- und Fraud-Tests fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Wallet- und Credential-Protokolltests fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Gateway-, Policy- und API-Tests fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• IAM-Brücken und Lifecycle-Tests fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Befund, Re-Test und Freigabe fachlich einordnen, schrittweise bearbeiten und mit überprüfbaren Kriterien dokumentieren.
• Abhängigkeiten zwischen Identitätsprüfung, Wallet, Gateway und IAM erkennen und in ein konsistentes Zielbild überführen.
• Sicherheits-, Datenschutz-, Betriebs- und Interoperabilitätsanforderungen in Abnahmekriterien übersetzen.

Seminarinhalte

Modul 1: Teststrategie und Angriffsmodell

Testumfang und Prioritäten werden aus Architektur, Assets, Vertrauensgrenzen und Missbrauchsfällen abgeleitet.

1. Schritt 1: System Under Test und Abhängigkeiten abgrenzen.
2. Schritt 2: Kritische Assets und Entscheidungen identifizieren.
3. Schritt 3: Angriffs- und Fehlerhypothesen formulieren.
4. Schritt 4: Testarten, Umgebungen und Freigabekriterien planen.

Modul 2: Proofing- und Fraud-Tests

Identitätsprüfungen werden gegen manipulierte Evidenzen, Kanalangriffe und Prozessumgehung getestet.

1. Schritt 1: Dokument-, Biometrie- und Geräteangriffe klassifizieren.
2. Schritt 2: Replay, Injection, Deepfake und Social Engineering simulieren.
3. Schritt 3: Signalaggregation und Schwellenwerte prüfen.
4. Schritt 4: Eskalation, Ablehnung und Analystenprozess bewerten.

Modul 3: Wallet- und Credential-Protokolltests

Issuance und Presentation werden mit positiven, negativen und interoperablen Testfällen abgesichert.

1. Schritt 1: Metadaten, Requests, Tokens und Credentials variieren.
2. Schritt 2: Nonce, Audience, Binding und Signatur manipulieren.
3. Schritt 3: Ablauf, Status, Widerruf und Formatabweichungen testen.
4. Schritt 4: Fehlerverhalten und Informationspreisgabe bewerten.

Modul 4: Gateway-, Policy- und API-Tests

Routing, Claim Mapping und API-Schutz werden auf Umgehung und Fehlkonfiguration geprüft.

1. Schritt 1: Authentisierung, Autorisierung und Eingabevalidierung testen.
2. Schritt 2: Policy-Konflikte, fehlende Claims und LoA-Grenzen provozieren.
3. Schritt 3: Fallback, Retry und Idempotenz unter Fehlerbedingungen prüfen.
4. Schritt 4: Rate Limits, Replay-Schutz und sichere Fehlerausgabe verifizieren.

Modul 5: IAM-Brücken und Lifecycle-Tests

Token-, Assertion-, Provisionierungs- und Kontenflüsse werden über Systemgrenzen hinweg geprüft.

1. Schritt 1: OIDC-, SAML- und SCIM-Verträge in Negativfällen testen.
2. Schritt 2: Claim-Transformation und Privilegiengrenzen überprüfen.
3. Schritt 3: Account Linking, Deprovisionierung und Recovery angreifen.
4. Schritt 4: Korrelation und Auditierbarkeit über alle Komponenten validieren.

Modul 6: Befund, Re-Test und Freigabe

Ergebnisse werden reproduzierbar bewertet und in belastbare Abnahmeentscheidungen überführt.

1. Schritt 1: Evidenz, Auswirkung und Reproduktionsschritte dokumentieren.
2. Schritt 2: Risiko unter Berücksichtigung von Assurance und Geschäftsprozess bewerten.
3. Schritt 3: Abhilfe und kompensierende Kontrollen prüfen.
4. Schritt 4: Re-Test, Rest­risiko und Freigabe nachvollziehbar festhalten.

Praxisübungen

1. Übung 1: Erstellung eines risikobasierten Security-Testplans. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
2. Übung 2: Simulation manipulierter Proofing-Evidenz. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
3. Übung 3: Negativtests für Issuance und Presentation. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
4. Übung 4: Policy- und API-Missbrauchstests. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
5. Übung 5: End-to-End-Test einer IAM-Brücke. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.
6. Übung 6: Bewertung und Re-Test eines Sicherheitsbefunds. Ausgangslage und Ziel werden abgegrenzt, das Artefakt wird schrittweise erstellt und anschließend anhand fachlicher, technischer und organisatorischer Prüfkriterien bewertet.