Ausstellung von Nachweisen mittels „Authorization Server“ und „Issuer“

Für die Ausstellung der kryptographisch geschützten elektronischen Attributs-bescheinigungen im Sinne von Artikel 3 (44) (NonQEAA), Artikel 3 (46) (QEAA) oder Artikel 3 (47) (PubEAA) in die „d-you“ hinein wird das „OpenID for Verifiable Credential Issuance 1.0“ Protokoll (OID4VCI) genutzt, das durch die Teilkomponenten „Authorization Server“ und „Issuer“ des „EUDI-Wallet Adapter“ umgesetzt wird. Um bei Bedarf ein hohes Maß an Sicherheit gewährleisten zu können, muss neben dem grundlegenden OID4VCI-Protokoll wieder das „OpenID4VC High Assurance Interoperability Profile 1.0“ (HAIP) berücksichtigt werden, das wiederum in ETSI TS 119 472-3 weiter für den Einsatz im EUDI-Ökosystem profiliert wurde.

Pre-Authorized Code Flow und Authorization Code Flow

In der OID4VCI-Spezifikation sind für die Ausstellung von elektronischen Attributs-bescheinigungen zwei grundlegende Abläufe definiert, die sich danach unterscheiden, ob die Identifizierung, Authentisierung und Autorisierung des Nutzers bereits vor dem Start des Ausstellungsprozesses erfolgt ist („Pre-Authorized Code Flow“) oder ob dies in einer integrierten Weise während des Ausstellungsprozesses erfolgen muss („Authorization Code Flow“). Hierbei kann der technisch etwas einfachere „Pre-Authorized Code Flow“ vorzugsweise für die Ausstellung von Nachweisen auf einem eher niedrigeren Sicherheitsniveau genutzt werden, während mit einem sicherheitstechnisch entsprechend ausgestalteten „Authorization Code Flow“ auch Nachweise auf einem hohen Sicherheitsniveau ausgestellt werden können.

Im Anhang D.2 (Attack Potential Resistance) der OID4VCI-Spezifikation sind hierfür die vier Sicherheitsstufen „iso_18045_high“, „iso_18045_moderate“, „iso_18045_enhanced-basic“ und „iso_18045_basic“ definiert, die sich auf den im Bereich der Sicherheitsevaluation etablierten internationalen Standard ISO/IEC 18045 stützen und letztlich unterschiedlich tiefgehende Schwachstellenanalysen voraussetzen. Welches Sicherheitsniveau für eine bestimmte elektronische Attributsbescheinigung zwingend benötigt wird oder angemessen ist, hängt vom spezifischen Anwendungsfall ab und muss im Einzelfall geklärt und im entsprechenden „Rulebook“ dokumentiert werden.

Die Nachweisformate mdoc und SD-JWT VC

Die technischen Formate der elektronischen Attributsbescheinigungen, die von der „d-you“ und somit auch vom „EUDI-Wallet Adapter“ unterstützt werden müssen, ergeben sich aus Artikel 8 und ANNEX II der hierfür relevanten Durchführungsverordnung (EU) 2024/2979, die kürzlich durch die Durchführungsverordnung (EU) 2026/1731 geändert wurde und nun auf den Europäischen Standard ETSI TS 119 472-1 verweist, in dem die beiden Formate SD-JWT VC auf Basis von JSON und „mdoc“ gemäß ISO/IEC 18013-5 auf Basis von CBOR näher profiliert sind. Diese beiden Nachweisformate legen unmittelbar die Syntax der Attributsbescheinigungen fest und bestimmen gleichzeitig die technischen Rahmenbedingungen für die statisch festgelegte Semantik und fachliche Bedeutung der verarbeiten Attribute.

Die Syntax und Semantik der einzelnen Attribute („claims“) in den Attributsbescheinigungen („credentials“) ist bei mdoc durch den Namensraum („NameSpace“), den Dokumententyp („DocType“) und den Pfad („path“) zum jeweiligen Attribut präzise festgelegt. In ähnlicher Form ist bei SD-JWT VC der Nachweistyp („Verifiable Credential Type“) durch das „vct“ Element genau spezifiziert und durch entsprechende Pfade können auch hier einzelne Attribute präzise angesprochen werden. Eine Besonderheit des SD-JWT VC-Formats ist das „aka_vcts“ Attribut, mit dem auf verwandte Nachweistypen verwiesen werden kann, was letztlich die positive Entwicklung des EUDI-Ökosystems begünstigen könnte.

Diese Attributspezifikationen werden im „EUDI-Wallet Adapter“ in JSON konfiguriert und können bei Bedarf in einer wohldefinierten Weise nach XML und in beliebige andere Datenformate oder UML-Diagramme konvertiert werden, was sich insbesondere bei komplexeren Datenstrukturen, wie z.B. einer elektronischen Geburtsurkunde, als sehr nützlich erweist.

(ID:50981065)