SD-JWT VC
SD-JWT VC ist ein bei der IETF entwickeltes Format für verifizierbare Nachweise, bei dem der Aussteller Hashes signiert und der Inhaber einzelne Angaben gezielt offenlegt.
Jede offengelegte Angabe ist eine Disclosure, deren Hash im signierten Teil stehen muss. Eine Disclosure, die dort nicht referenziert ist, macht den Nachweis ungültig. Für Mandate erlaubt das Format, den Umfang offenzulegen und persönliche Angaben zurückzuhalten.
Beispiel
Ein Mandat als SD-JWT VC besteht aus einem signierten Kern, mehreren Disclosures und optional einem Key-Binding-JWT. Der Agent legt nur die nötigen Disclosures vor und beweist mit dem Key-Binding-JWT, dass er der rechtmässige Inhaber ist.
Abgrenzung
Ein einfaches JWT legt alle Angaben offen. SD-JWT VC erlaubt die selektive Offenlegung und bindet den Nachweis an einen Inhaberschlüssel. Das W3C-Datenmodell für Verifiable Credentials ist eine Alternative mit anderer Kodierung.
In der Praxis
- Achten Sie auf einen klaren Typ (vct) für jede Art von Nachweis, etwa für Mandate und Agent Passports getrennt. So kann eine Prüfstelle Formate eindeutig unterscheiden.
- Verlangen Sie bei der Vorlage ein Key-Binding-JWT mit Empfänger und Zeitpunkt, damit ein abgefangener Nachweis nicht von Dritten wiederverwendet werden kann.
- Legen Sie nur die Disclosures offen, die für die Prüfung nötig sind; alle übrigen Angaben bleiben verborgen und trotzdem durch die Signatur geschützt.
Bezug zu KYA
KYA prüft SD-JWT VC vollständig: Signatur, Disclosures, Key Binding, Gültigkeit, Umfang, Widerruf und Delegation. Das Format ist die Grundlage für Mandate und Agent Passports im Prüfprofil.
Zugehöriger Prüfschritt: Kryptografische Integrität (cryptographic_integrity). Sind Signaturen, Disclosures, Hash-Ketten und Manifest unverändert?
Häufige Fragen
Was ist SD-JWT VC?
Ein Format der IETF für digitale Nachweise auf Basis von JSON Web Tokens, mit selektiver Offenlegung und optionaler Bindung an einen Inhaberschlüssel.
Wo wird SD-JWT VC eingesetzt?
Unter anderem in der Schweizer E-ID, in der europäischen EUDI-Wallet und in Verfahren für Agenten-Zahlungen wie Verifiable Intent.
Wie unterscheidet sich SD-JWT VC von einem normalen JWT?
Ein normales JWT zeigt immer alle Angaben. SD-JWT VC enthält nur Hashwerte der Angaben, die einzeln offengelegt werden können.
Ist SD-JWT VC ein fertiger Standard?
SD-JWT VC wird in der IETF entwickelt und ist bereits in staatlichen Wallets und Zahlungsverfahren im Einsatz. Die zugrunde liegenden Bausteine wie JWS sind seit Jahren standardisiert.
Kann KYA SD-JWT VC ohne Internet prüfen?
Ja. Die Prüfung rechnet vollständig im Browser oder im Prüfkern. Schlüssel des Ausstellers und Statuslisten hinterlegt die Prüfstelle vorab; es werden keine Daten übertragen.