Internetstiftelsen i Sverige.

Transkript

1

2 Sambi

3 Internetstiftelsen i Sverige

4

5

6

7 IIS som federationsoperatör

8 Agenda Beskrivning av federationen Sambi Begrepp, arkitektur, komponenter Hur Sambi fungerar Organisation och arbetsformer Teknisk struktur SAML, metadata, rika klienter Nuläge Medlemmar, pågående arbete och utveckling, granskningar Hur man kommer igång Bli medlem, metadata, erfarenheter

9 Beskrivning av federationen Sambi

10 Vad är en identitetsfederation? En identitetsfederation är en sammanslutning av organisationer som har kommit överens om att lita på varandras elektroniska identiteter och behörighetsstyrande attribut för att underlätta användarnas åtkomst till elektroniska tjänster och skydda den personliga integriteten.

11 Bakgrund & Historia 2007 Swamid - Den tekniska förebilden 2011 SIS/TK450 - Skolfederation 2012 De 16 principerna för samverkan IT-forum, Kommunförbundet Stockholms län, KSL 2012 Förstudie Sambi, för sektorn vård, omsorg och e-hälsa Ett samarbete mellan ehälsomyndigheten, Inera och IIS Värd att läsa!

12 Sambi SAMVERKAN Teknisk standard Gemensam infrastruktur Krav på säkerhet Behörighetsstyrande attribut

13 Traditionell inloggning Användarorganisation Användare E-tjänst Vad är det för fel på det här då? Användarnamn ********** DB

14 Exempel på problem med traditionell inloggning Administration av behörigheter/tjänst Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport Användarnamn ********** DB

15 Federerad inloggning ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR INTYGSUTGIVARE SITHS E-LEG ID ATTRIBUTS- REGISTER INTYG pseudonym + attribut E-TJÄNST

16 Undvik olika integrationer Användar- Organisation A IdP SP Tjänsteleverantör e-tjänst Användar- Organisation B IdP SP Tjänsteleverantör e-tjänst Användar- Organisation C IdP SP Tjänsteleverantör e-tjänst

17 En standard för integrationen FEDERATION Gemensam regler, standard och infrastruktur ANVÄNDARORGANISATIONER TJÄNSTELEVERANTÖRER

19 Omfattning för Sambi attributshantering De attribut för behörighetsstyrning som sänds i intyget från Användarorganisationen Inte förbjudet för tjänsten att använda ytterligare attribut T.ex. efter inloggningen hämta attribut från annan lämplig katalog 19

20 Statusrapport för attributförvaltningen

21 Statusrapport för attributförvaltningen

22 Stöd för versionshantering Namngivningen för attribut i Sambi stödjer versionshantering genom att major-version av attributet ingår i dess namn. Exempel där major-versionen är 1 : Exempel på användning Nedan är ett exempel på användning av attributen i SAML2.0 intyg: <saml2:attribute Name=" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="personalIdentityNumber"> <saml2:attributevalue xmlns:xsi=" xsi:type="xs:string" > </saml2:AttributeValue> </saml2:attribute>

23 Samverkan mellan Sambi och katalogtjänster Sambi står för en gemensam standard och regler, inte en attributkatalog HSA, EK etc är viktiga attributkataloger för Sambi Gemensamt intresse av attributkvalité

25 Tillit - Sambi Federationen skall fungera som en nationell mötesplats för säkra e-tjänster genom en lösning som bygger på tillit och skydd för den personliga integriteten Skydd av verksamheternas information är också centralt! Åtkomst ska kunna ske av endast behöriga

26 Tillit? Vi kan ha tillit till någon utan att ha fullständig information om denna Inte bara en tro på människors goda avsikter, utan en välgrundad tro att vissa principer är uppfyllda

27 Tillitsnivåer - ett koncept för identiteter i federationer LoA, Level of Assurance LoA 1 LoA 2 LoA 3 LoA 4 OBS! Ingen eller liten tillit till identiteten Typ Facebook, Google, Hotmail Begränsad tillit till identiteten AD-identitet, företagsinternt, domänspecifikt Hög tillit till identiteten Svensk e-legitimation, SITHS, Pass, körkort Mycket hög tillit till identiteten Klassningen gäller endast för identiteter, inte för de behörighetsstyrande attributen.

28 Sambis Tillitsramverk Syftet är att medlemmarna ska känna tillit till varandra eftersom de vet att medlemmarna uppnår en känd säkerhetsnivå. Ramverket är uppdelat i följande delar Generella krav E-legitimationsutfärdare Attributsutgivare Identitetsintygsutgivare Tjänsteleverantör

29 Sambis Tillitsramverk och granskning Syftet med granskning och godkännande: Ge förlitande parter en försäkran om att vissa principer är uppfyllda utan att alla behöver ha direkt insyn

30 Rätt avtalspart är en viktig del i Sambis förtroendekedja 1. Lagar och föreskrifter Riktlinjer för medlemskap i Sambi Godkänna medlemskap i Sambi Federationsoperatörens ansvar 2. Garant för att endast behöriga Användarorganisation blir medlemmar i federationen 3. Kontroll av att rätt organisationsuppgifter för medlemmen läggs in i federationens metadata Användarorganisationens ansvar 4. Utfärdare av korrekt SAML-intyg Tjänsteleverantörens ansvar 5. Kontroll av organisationsuppgiften i SAML-intyget stämmer överens med metadata för Användarorganisationen 6. Kontroll av övriga behörighetsstyrande attribut 7. Beslut om åtkomst till E-tjänsten

32 SEKTORN Ökad säkerhet Stimulera utveckling ANVÄNDARORGANISATION Valfrihet att välja sin egen lösning Enklare tjänsteintegration Enhetlig administration av användare TJÄNSTELEVERANTÖR Slippa administration av användare Enklare integration av användarorganisationer ANVÄNDARE SSO, en inloggning till alla tjänster

33 Målgrupper för Sambi enligt förstudierapporten Kommuner Privata omsorgsgivare Apoteksaktörer Veterinärer Landsting Tandläkare Privata vårdgivare Regionförbund... Myndigheter Invånare Informationsinfrastruktur

34 Tänkbara medlemmar? (1/2) 4 departement, 20 statliga myndigheter och 20 forskningsinstitutioner 21 landsting 291 kommuner apoteksaktörer tandläkarmottagningar

35 Tänkbara medlemmar? (2/2) privata vård- och omsorgsgivare 1000-tals offentliga vård- och omsorgsgivare företag med veterinärverksamhet Leverantörer, färdtjänst, varor, journalsystem, läkemedel, etc. Patienter, exempel: diabetes appar för barn

36 Hur Sambi fungerar

37 Sambis styrgrupp

38 Organisation och styrning Styrgrupp Arbetsgrupp (referensgrupp) Federationsoperatör Federationstjänstens förvaltningsråd Tillitsgranskningstjänstens förvaltningsråd Ändringsråd Attributförvaltningsgrupp Federationstjänst Tillitsgranskningstjänst Medlem, blivande medlem, leverantör

39 Sambis federationsdrift idag Medlemshantering Metadatahantering Drift av infrastrukturen Attributförvaltning Tilliten till identiteter och attribut Attributförvaltning Information

40 Teknisk struktur

41 SAML 2.0 Assertions Protocols Bindings Information om användaren Authentication statements (hur användaren har autentiserats) Attribute statements (användarens attribut) Authorization decision statements (information för att avgöra användarens rättigheter) Paketering och hantering av SAML-element Assertion Query and Request Protocol Authentication Request Protocol Artifact Resolution Protocol Mappar SAML-protokoll till andra protokoll SAML SOAP Binding (based on SOAP 1.1) Reverse SOAP (PAOS) Binding HTTP Redirect (GET) Binding HTTP POST Binding HTTP Artifact Binding SAML URI Binding Profiles Beskriver hur ovanstående kombineras SSO Profiles Artifact Resolution Profile för en specifik tillämpning Assertion Query/Request Profile Name Identifier Mapping Profile SAML Attribute Profiles

42 Sambi är en standard, INTE en central meddelandeväxel Ej central inloggning ANVÄNDARORGANISATIONER TJÄNSTELEVERANTÖRER

43 Traditionell inloggning Användarorganisation Användare E-tjänst Vad är det för fel på det här då? Användarnamn ********** DB

44 Exempel på problem med traditionell inloggning som SAML angriper Administration av behörigheter/tjänst Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport Användarnamn ********** DB

45 Exempel på inloggning med SAML Intyg Välkommen! Intyg DB

46 Exemplet väcker några frågor Hur vet IdP:n vilken tjänst användaren vill ansluta till? Hur vet e-tjänsten att den kan lita på intyget från IdP:n? Vad är det för information i intyget?

47 Information i intyget (förenklat) Name ID Ex. transient / persistent ID (pseudonym) Iuerfn#y873yniuw%eyr847 Användarens attribut Namn: Kalle Karlsson E-post: kalle.karlsson@ronneby.se Organisation: Ronneby Vårdcentral Roll: Läkare Livslängd Giltig till och med /13:54

48 <SAML Response> Exempel på hur ett SAML Response Message kan se ut i verkligheten

49 Hur vet tjänsten att den kan lita på intyget? Intyg X.509 Certifikat Metadata Out of Band Certifikat Metadata

50 Hur vet IdP:n vilken tjänst användaren vill ansluta till? Exempel: IdP-initierad inloggning idp.iis.se/sso= Intyg Iis.se/portal Välkommen! e-service1 e-service2 Intyg e-service3

51 Betyder det att SAML-inloggning alltid kräver att det finns en användarportal?

52 Initiering av SAML-inloggning IdP-initierad inloggning Inloggningen startar hos användarorganisationen som i det tidigare exemplet SP-initierad inloggning Inloggningen startar hos e-tjänsten.

53 SP-initierad inloggning Intyg Intyg DB 3 2 Välkommen! Logga in med Sambi 4 Begäran Begäran 1

54 <SAML AuthnRequest> Exempel på hur en SAML Request kan se ut i verkligheten

55 Hur vet e-tjänsten vilken IdP som kan ställa ut intyg för användaren?

56 IdP-discovery (exempel) Tjänsten tillhandahåller en unik URL för respektive användarorganisation ( Tjänsten känner till användarorganisationens IP-adressrymd Tjänsten listar alla aktuella IdP:er i en anvisningstjänst och användaren får aktivt välja sin IdP E-tjänster kan använda flera smarta metoder i kombination för att underlätta autentiseringen av användaren

57 Anvisningstjänst OrganizationDisplayName 2 Anvisningstjänst Borås 5 E-tjänst SP 3 Borås Gävle 4 1 Krokom Gävle Allt informationsutbyte sker genom omdirigering av användarens webbläsare Krokom

58 Administration av behörigheter Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport Användarnamn **********

59 Men Vi har nya problem i en annan dimension

60 Anslutning mellan parter Certifikat Metadata Out of Band Certifikat Metadata Förutsätter att parterna enats om: Teknik/standard Tillämpning Information Format Tillit/säkerhet Rutiner

61 Användarorganisationens perspektiv Följ min standard! IdP

62 E-tjänstens perspektiv Följ min standard! IdP IdP IdP SP Följ min standard! Följ min standard!

63 Sektorns perspektiv En integration per anslutning IdP IdP SP SP IdP SP Hundratals eller tusentals organisationer

64 En standard för integrationen FEDERATION Gemensam standard och infrastruktur

65 Gemensam standard Sambis tekniska krav SAML 2.0 Implementationsprofil egov2 2.0 beskriver vilka delar av SAML som måste implementeras Deploymentprofilen saml2int beskriver vilka delar av SAML som måste vara i bruk samt hur dessa ska användas Namnstandard för anvisningstjänst Attributsprofiler

66 Gemensam infrastruktur Aggregerat metadataregister signerat med federationens nyckel Central anvisningstjänst Verktyg för validering av metadata Testmiljö

67 Aggregerat metadataregister Metadata Certifikat Metadata Certifikat Metadata Certifikat Aggregerad och publicerad metadata Metadata+certifikat 1 Metadata+certifikat 2 Metadata+certifikat 3 Metadata+certifikat 4 Metadata+certifikat 5 Metadata+certifikat 6 / / Aggregerat metadata Signera och publicera Metadata Certifikat Metadata Certifikat Metadata Certifikat Federationsoperatör

68 Aggregerad metadata Skolfederation

69 Anvisningstjänst - exempel

70

71 Sammanfattning - övergripande arkitektur ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR INTYGSUTGIVARE SITHS E-LEG ID ATTRIBUTS- REGISTER INTYG pseudonym + attribut E-TJÄNST MEDLEMSREGISTER

72 Övningsuppgift - korv 2 Homer äter korven 1 Den grillade korven förbereds för att ätas 3 Homer grillar en korv

73 Övningsuppgift - SAML Nisse har just kommit till jobbet och har ännu inte loggat in i någonstans. Innan han gör något annat vill han klara av ett ärende i tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. I vilken ordning händer nedanstående? idp.krokom.se Användarnamn Lösenord Logga in Välkommen! Logga in med: E-post lösenord Välkommen Nisse! Välj din intygsutfärdare Borås Gävle Krokom IdP:n har ställt ut ett intyg och dirigerar Nisse tillbaka till SP:n som skickade begäran. service.se har identifierat vilken IdP Nisse använder och dirigerar honom vidare med en AuthnRequest (begäran om intyg). Nisse vill till tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. Nisse vill logga in via en federation. Eftersom han gick direkt till tjänstens webbsida så känner den inte till vilken IdP Nisse använder, utan dirigerar honom till en anvisningstjänst. service.se har många olika typer av användare och erbjuder därför flera olika alternativ för inloggning.

74 Övningsuppgift - SAML SAML-implementationen i exemplet är inte ett föredöme avseende användarvänlighet. Användaren ställs inför flera val i olika sammanhang under inloggningsflödet. Överkurs: Hur skulle en mer användarvänlig implementation kunna se ut? idp.krokom.se Användarnamn Lösenord Logga in Välkommen! Logga in med: E-post lösenord Välkommen Nisse! Välj din intygsutfärdare Borås Gävle Krokom IdP:n har ställt ut ett intyg och dirigerar Nisse tillbaka till SP:n som skickade begäran. service.se har identifierat vilken IdP Nisse använder och dirigerar honom vidare med en AuthnRequest (begäran om intyg). Nisse vill till tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. Nisse vill logga in via en federation. Eftersom han gick direkt till tjänstens webbsida så känner den inte till vilken IdP Nisse använder, utan dirigerar honom till en anvisningstjänst. service.se har många olika typer av användare och erbjuder därför flera olika alternativ för inloggning.

75 Kom ihåg det här Inloggning här! Intyg med användarinformation via omdirigering av webbläsare Intyg Välkommen! Användarnamn Intyg 2 ********** DB

76 Nuläge

77 Medlemmar Användarorganisationer Stockholms stad Stockholms Läns Landsting Danderyds kommun E-tjänster SLL Beställningsportalen ehälsomyndigheten

78 Godkända parter

79 Godkända parter

80 Pågående arbeten Sambiombud Sambiombudets uppgift är att förenkla anslutning till Sambi för Användarorganisationer genom att själv eller tillsammans med underleverantörer tillhandahålla en färdig paketlösning för Användarorganisationens identitetshantering. Sambiombudet ska bistå Användarorganisationen med hjälp för att säkerställa att Användarorganisationen lever upp till kraven i Sambis Tillitsramverk. Detta kan omfatta lösningar och tjänster för uppföljning av informationssäkerhet, eid, attributkatalog, identitetsintygsutgivning, incidenthantering, rapportering, övervakning samt medlemsansökning för Sambi. Behörighetsmodell Genom att ta fram ett för vård- och omsorg gemensamt ramverk för behörighetsstyrning, med bred täckning över det behov av behörighetsstyrning som finns i medarbetarnas ITstöd, och som baseras på överenskomna attribut i en federation, skapas goda förutsättningar för en väl fungerande och skalbar behörighetsstyrning i verksamheternas ITstöd.

81 Hur man kommer igång

82 Förberedelser Syfte och tillämpning Ledningssystem för informationssäkerhet Tekniska förmågor (IdP/SP, attributregister med mera) Resurser och kompetenser

83 Övergripande steg i processen Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

84 Tid (1/3) Avtal Tillitsdeklarera Besked om ev komplettering Eventuell komplettering granskning Kund Max 10 dagar Kund Max 30 dagar Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

85 Tid (2/3) Avtal Tillitsdeklarera Besked om ev komplettering Eventuell komplettering granskning Kund Max 10 dagar Kund Max 30 dagar Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata Tekniska förberedelser och tester Teknisk anslutning till Sambi Kund 1 dag

86 Tid (3/3) Processerna kan initieras samtidigt för att reducera ledtid för anslutning Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

87 Hjälp att komma igång Intresseanmälan Använda Trial-miljö Tillitsdeklaration Avtal Produktion

88 Process för att ansluta till Sambi Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

89 Tillitsgranskningsprocessen

90 Vad granskas? De generella kraven i Sambis Tillitsramverk, vilka utgörs av generella krav på verksamheten, säkerhetsarbetet, kryptografisk säkerhet, ansvar för underleverantörer, handlingars bevarande och tillhandahållande av information För användarorganisationer och deras underleverantörer granskas Tillitsramverkets specifika krav på hanteringen av deras funktioner för e- legitimationsutfärdare, attribututgivare och identitetsintygsutgivare För tjänsteleverantör och deras underleverantörer granskas hur de uppfyller Tillitsramverkets specifika krav för tjänsteleverantörer

91 Granskningsobjekt ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR IDP SP SITHS E-LEG ID ATTRIBUTS- REGISTER E-TJÄNST

93 Avtal och bilagor Anslutningsavtal Definitioner för Sambi Tekniska krav Tillitsramverk Föreskrifter för Sambis Federationsoperatör Avgifter

94 Uppgifter för medlemskap

96 Ladda upp metadata

97

98 Tekniska miljöer i Sambi

99 Kostnad

100 Utmaningar Arvet, behov av att federationsanpassa tjänster och system Enas om gemensamma attribut för sektorn ett ledningssystem för informationssäkerhet (LIS) som baseras på ISO/IEC eller motsvarande Börja i tid! Se till att kravställa nya tjänster så att de är federationsanpassade.

101 Information Nyhetsbrev allmänna tekniska Seminarier och workshops Kurser Arbetsgruppens möten

102 Kontakt