E-legitimationsdagen. Metadata Underskriftstjänst Praktisk implementering och demo. Stefan Santesson

Transkript

1 E-legitimationsdagen Metadata Underskriftstjänst Praktisk implementering och demo Stefan Santesson

2 Införande av metadatatjänst Metadata

3 Överblick Metadata Behov av metadata Leverans av metadata Aggregering Registrering Kontroll av metadata Hämtning av metadata Metadata som stöd för val av e- legitimation

4 Behov av metadata Nycklar Tjänstespecifika adresser (URL:er) Tjänstekategori Tillitsnivåer Gränssnittsinformation Krav på attribut Organisation Kontaktuppgifter

5 Metadata som stöd för val av e-legitimation Metadata måste ge tilltäckligt stöd för ett funktionellt användargränssnitt för val av e- legitimation Namn på legitimeringstjänst som har en naturlig koppling till användarens e- legitimation Logotyp Stöd för filtrering Tillitsnivåer Tjänstekategori

6 Leverans av metadata Aggregering Deltagare gör sin aktuella signerade metadata tillgänglig via fast URL URL och nyckel för verifiering av metadata överförs till metadatatjänsten Viss förändring av metadata genom aggregering kan kräva godkännande av administratör (ex nyckel och tjänstenamn) Registrering Metadatatjänsten tillhandahåller funktioner för att vid behov registrera uppgifter om en tjänsts metadata

7 Metadatatjänsten System för administration av Metadata Deltagare i federationen Legitimeringstjänst E-tjänst Attributtjänst PDP tjänst etc Registrera uppgifter Registreringsfunktion Kontrollfunktion (Testa ursprung, överensstämmelse med federationens metadataprofil, avtal mm) Metadata Feed (från deltagare och andra agregatorer) Metadata Aggregeringsfunktion Metadata Signering och publicering av Metadata

8 Kontroll av metadata All metadata kontrolleras innan den accepteras Behörig uppgiftslämnare Överensstämmelse med avtal Organisationsnamn Namn på Legitimeringstjänster Mm Överensstämmelse med federationens tekniska ramverk (metadataprofil)

9 Validering och test av metadata

10 Hämtning av metadata Metadata signeras och publiceras med jämna tidsintervall Rekommenderad hämtningsintervall (cacheduration) Giltighetstid (validuntil) Metadata kan vid behov publiceras tidigare än vid nästa planerade tillfälle. Metadata är åtkomlig via fast URL och är nedladdningsbar som ett signerat XML dokument

11 Konfigurera hämtning av metadata Konfigurera metadata URL Konfigurera hämtningsintervall, mm Konfigurera nyckel för validering Ex Shibboleth: <MetadataProvider type="chaining"> <MetadataProvider type="xml" uri= backingfilepath="eid2-test-1.0.xml" reloadinterval="7200 legacyorgnames="true"> <MetadataFilter type="requirevaliduntil" maxvalidityinterval=" "/> <MetadataFilter type="signature" certificate="eid2-signer.crt"/> </MetadataProvider> </MetadataProvider>

12 Val av legitimeringstjänst

13 Superenkel Implementeringstyper Central anvisning Enkel Integrerad anvisning

14 DEMO - Implementeringstyper

15 Implementering central anvisning 1. Konfigurera URL för central anvisning i autentiseringsservern Ex Shibboleth: <SSO discoveryprotocol="samlds" discoveryurl=" SAML2 </SSO> 2. Peka användaren direkt mot skyddad tjänst

16 Implementering integrerad anvisning Ingen central konfigurering I användarens login-sida (html) 1. Importera JavaScript för anvisning 2. Starta JavaScript för anvisning 3. Logga in användaren med vald tjänst

17 JavaScript för anvisning Starta anvisning $.eid2disco({ discodiv: "discohtmlcontainername", success: function (entityid) { idplogin(entityid); }, error: function (message) { errorfunction(message); } }); Logga in användaren (ex mot shibboleth) function idplogin(entityid){ window.location = " + encodeuricomponent(entityid) + "&target="+encodeuricomponent(" }

18 Skydda integrerad anvisning mot Single-Point-of-Failure Skapa egen datafeed för anvisningsdata Ex genom proxy/cache av centralt tillhandahållen datafeed. Peka JavaScript för anvisning mot egen datafeed: $.eid2disco({ jsonp: false, discofeed: " storagefeed: " discodiv: "discohtmlcontainername", success: function (entityid) { idplogin(entityid); }, error: function (message) { errorfunction(message); } });

19 Koppla på E-tjänsten mot Svensk E-legitimation Följande är klart Metadata är skapad och levererad Metadata hämtning är konfigurerat Integration mot signeringstjänst är klar Funktion för anvisning är på plats Då återstår I princip bara: Konfigurera legitimeringsbegäran mot legitimeringstjänst (AuthnRequest) Konfigurera mottagning av attribut Öppna upp e-tjänster för den nya typen av autentisering

20 Underskriftstjänst

21 Underskriftstjänst E-tjänster överför användare till underskriftstjänsten för elektronisk underskrift Det elektroniska dokumentet för underskrift överförs inte (endast underlag för skapande av underskriften) Underskriftstjänsten levererar en underskrift kopplat till dokumentet (inte ett komplett underskrivet dokument) E-tjänsten bereder dokument som skall skrivas under och fogar samman dokumentet med den erhållna underskriften E-tjänsten lagrar bevismaterial för framtida behov.

22 CS Support Service Underskriftstjäns t E-tjänst E-tjänstesystem Stödsystem för underskrift SpSupport Java API Nycklar och certifikat

23 Begär underskrift 6 Sign request Underskriftstjäns t 2 5 Jag vill XHTMLSign request skriva under form 1 E-tjänst SpSupport Java API E-tjänstesystem 3 Handling för underskrift 4 XHTML Sign request form Stödsystem för underskrift Nycklar och certifikat

24 Returnera underskrift 1 XHTMLSign response form Underskriftstjäns t 2 Sign response 6 Receipt Underskriven handling 5 E-tjänst SpSupport Java API E-tjänstesystem 3 Sign response 4 Underskriven handling Stödsystem för underskrift Nycklar och certifikat

25 Validering av underskrift E-tjänst Underskriven handling 1 SpSupport Java API 2 Underskriven handling 3 Resultat (Arkiveringsbart) Valideringstjänst (ex TSL Trust)

26 Flöde för signering med underskriftstjänsten Underskriftstjänst Användare Webbläsare E-tjänst som begär underskrift Internt stödsystem för underskrift Hämta webbsida Webbsida för att skriva under W e b b s i d a Vill skriva under Hämta sign request signrequest XHTML form Skapa SignReque st Sign Create signrespons e POST signrequest Autentisering/accept signresponse XHTML form F F signrequest XHTML form POST signresponse POST signeddoc (signresponse) signeddoc Resultatsida Skapa underskrive t dokument W e b b s i d s i d a

27 Demo - Underskriftstjänst

28 Stefan Santesson - stefan@aaa-sec.com Frågor