Internetstiftelsen i Sverige.

Internetstiftelsen i Sverige https://www.youtube.com/watch?v=pfnaugrf4_q

IIS som federationsoperatör

Agenda Beskrivning av federationen Sambi Begrepp, arkitektur, komponenter Hur Sambi fungerar Organisation och arbetsformer Teknisk struktur SAML, metadata, rika klienter Nuläge Medlemmar, pågående arbete och utveckling, granskningar Hur man kommer igång Bli medlem, metadata, erfarenheter

Beskrivning av federationen Sambi

Vad är en identitetsfederation? En identitetsfederation är en sammanslutning av organisationer som har kommit överens om att lita på varandras elektroniska identiteter och behörighetsstyrande attribut för att underlätta användarnas åtkomst till elektroniska tjänster och skydda den personliga integriteten.

Bakgrund & Historia 2007 Swamid - Den tekniska förebilden 2011 SIS/TK450 - Skolfederation 2012 De 16 principerna för samverkan IT-forum, Kommunförbundet Stockholms län, KSL 2012 Förstudie Sambi, för sektorn vård, omsorg och e-hälsa Ett samarbete mellan ehälsomyndigheten, Inera och IIS Värd att läsa!

Sambi SAMVERKAN Teknisk standard Gemensam infrastruktur Krav på säkerhet Behörighetsstyrande attribut

Traditionell inloggning Användarorganisation Användare E-tjänst Vad är det för fel på det här då? www.e-service.se www.e-service.se Användarnamn ********** DB

Exempel på problem med traditionell inloggning Administration av behörigheter/tjänst Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport www.e-service.se www.e-service.se Användarnamn ********** DB

Federerad inloggning ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR INTYGSUTGIVARE SITHS E-LEG ID ATTRIBUTS- REGISTER INTYG pseudonym + attribut E-TJÄNST

Undvik olika integrationer Användar- Organisation A IdP SP Tjänsteleverantör e-tjänst Användar- Organisation B IdP SP Tjänsteleverantör e-tjänst Användar- Organisation C IdP SP Tjänsteleverantör e-tjänst

En standard för integrationen FEDERATION Gemensam regler, standard och infrastruktur ANVÄNDARORGANISATIONER TJÄNSTELEVERANTÖRER

Omfattning för Sambi attributshantering De attribut för behörighetsstyrning som sänds i intyget från Användarorganisationen Inte förbjudet för tjänsten att använda ytterligare attribut T.ex. efter inloggningen hämta attribut från annan lämplig katalog 19

Statusrapport för attributförvaltningen

Stöd för versionshantering Namngivningen för attribut i Sambi stödjer versionshantering genom att major-version av attributet ingår i dess namn. Exempel där major-versionen är 1 : http://sambi.se/attributes/1/personalidentitynumber Exempel på användning Nedan är ett exempel på användning av attributen i SAML2.0 intyg: <saml2:attribute Name="http://sambi.se/attributes/1/personalIdentityNumber" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="personalIdentityNumber"> <saml2:attributevalue xmlns:xsi="http://www.w3.org/2001/xmlschema-instance" xsi:type="xs:string" >191212121212</saml2:AttributeValue> </saml2:attribute>

Samverkan mellan Sambi och katalogtjänster Sambi står för en gemensam standard och regler, inte en attributkatalog HSA, EK etc är viktiga attributkataloger för Sambi Gemensamt intresse av attributkvalité

Tillit - Sambi Federationen skall fungera som en nationell mötesplats för säkra e-tjänster genom en lösning som bygger på tillit och skydd för den personliga integriteten Skydd av verksamheternas information är också centralt! Åtkomst ska kunna ske av endast behöriga

Tillit? Vi kan ha tillit till någon utan att ha fullständig information om denna Inte bara en tro på människors goda avsikter, utan en välgrundad tro att vissa principer är uppfyllda

Tillitsnivåer - ett koncept för identiteter i federationer LoA, Level of Assurance LoA 1 LoA 2 LoA 3 LoA 4 OBS! Ingen eller liten tillit till identiteten Typ Facebook, Google, Hotmail Begränsad tillit till identiteten AD-identitet, företagsinternt, domänspecifikt Hög tillit till identiteten Svensk e-legitimation, SITHS, Pass, körkort Mycket hög tillit till identiteten Klassningen gäller endast för identiteter, inte för de behörighetsstyrande attributen.

Sambis Tillitsramverk Syftet är att medlemmarna ska känna tillit till varandra eftersom de vet att medlemmarna uppnår en känd säkerhetsnivå. Ramverket är uppdelat i följande delar Generella krav E-legitimationsutfärdare Attributsutgivare Identitetsintygsutgivare Tjänsteleverantör

Sambis Tillitsramverk och granskning Syftet med granskning och godkännande: Ge förlitande parter en försäkran om att vissa principer är uppfyllda utan att alla behöver ha direkt insyn

Rätt avtalspart är en viktig del i Sambis förtroendekedja 1. Lagar och föreskrifter Riktlinjer för medlemskap i Sambi Godkänna medlemskap i Sambi Federationsoperatörens ansvar 2. Garant för att endast behöriga Användarorganisation blir medlemmar i federationen 3. Kontroll av att rätt organisationsuppgifter för medlemmen läggs in i federationens metadata Användarorganisationens ansvar 4. Utfärdare av korrekt SAML-intyg Tjänsteleverantörens ansvar 5. Kontroll av organisationsuppgiften i SAML-intyget stämmer överens med metadata för Användarorganisationen 6. Kontroll av övriga behörighetsstyrande attribut 7. Beslut om åtkomst till E-tjänsten

SEKTORN Ökad säkerhet Stimulera utveckling ANVÄNDARORGANISATION Valfrihet att välja sin egen lösning Enklare tjänsteintegration Enhetlig administration av användare TJÄNSTELEVERANTÖR Slippa administration av användare Enklare integration av användarorganisationer ANVÄNDARE SSO, en inloggning till alla tjänster

Målgrupper för Sambi enligt förstudierapporten Kommuner Privata omsorgsgivare Apoteksaktörer Veterinärer Landsting Tandläkare Privata vårdgivare Regionförbund... Myndigheter Invånare Informationsinfrastruktur

Tänkbara medlemmar? (1/2) 4 departement, 20 statliga myndigheter och 20 forskningsinstitutioner 21 landsting 291 kommuner 1 284 apoteksaktörer 1 933 tandläkarmottagningar

Tänkbara medlemmar? (2/2) 15 000 privata vård- och omsorgsgivare 1000-tals offentliga vård- och omsorgsgivare 1 185 företag med veterinärverksamhet Leverantörer, färdtjänst, varor, journalsystem, läkemedel, etc. Patienter, exempel: diabetes appar för barn

Hur Sambi fungerar

Sambis styrgrupp

Organisation och styrning Styrgrupp Arbetsgrupp (referensgrupp) Federationsoperatör Federationstjänstens förvaltningsråd Tillitsgranskningstjänstens förvaltningsråd Ändringsråd Attributförvaltningsgrupp Federationstjänst Tillitsgranskningstjänst Medlem, blivande medlem, leverantör

Sambis federationsdrift idag Medlemshantering Metadatahantering Drift av infrastrukturen Attributförvaltning Tilliten till identiteter och attribut Attributförvaltning Information

Teknisk struktur

SAML 2.0 Assertions Protocols Bindings Information om användaren Authentication statements (hur användaren har autentiserats) Attribute statements (användarens attribut) Authorization decision statements (information för att avgöra användarens rättigheter) Paketering och hantering av SAML-element Assertion Query and Request Protocol Authentication Request Protocol Artifact Resolution Protocol Mappar SAML-protokoll till andra protokoll SAML SOAP Binding (based on SOAP 1.1) Reverse SOAP (PAOS) Binding HTTP Redirect (GET) Binding HTTP POST Binding HTTP Artifact Binding SAML URI Binding Profiles Beskriver hur ovanstående kombineras SSO Profiles Artifact Resolution Profile för en specifik tillämpning Assertion Query/Request Profile Name Identifier Mapping Profile SAML Attribute Profiles

Sambi är en standard, INTE en central meddelandeväxel Ej central inloggning ANVÄNDARORGANISATIONER TJÄNSTELEVERANTÖRER

Traditionell inloggning Användarorganisation Användare E-tjänst Vad är det för fel på det här då? www.e-service.se www.e-service.se Användarnamn ********** DB

Exempel på problem med traditionell inloggning som SAML angriper Administration av behörigheter/tjänst Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport www.e-service.se www.e-service.se Användarnamn ********** DB

Exempel på inloggning med SAML Intyg Välkommen! Intyg 2 3 1 www.e-service.se DB

Exemplet väcker några frågor Hur vet IdP:n vilken tjänst användaren vill ansluta till? Hur vet e-tjänsten att den kan lita på intyget från IdP:n? Vad är det för information i intyget?

Information i intyget (förenklat) Name ID Ex. transient / persistent ID (pseudonym) Iuerfn#y873yniuw%eyr847 Användarens attribut Namn: Kalle Karlsson E-post: kalle.karlsson@ronneby.se Organisation: Ronneby Vårdcentral Roll: Läkare Livslängd Giltig till och med 2016-02-25/13:54

<SAML Response> Exempel på hur ett SAML Response Message kan se ut i verkligheten

Hur vet tjänsten att den kan lita på intyget? Intyg www.e-service.se X.509 Certifikat Metadata Out of Band Certifikat Metadata

Hur vet IdP:n vilken tjänst användaren vill ansluta till? Exempel: IdP-initierad inloggning idp.iis.se/sso=www.e-service1.se* Intyg Iis.se/portal Välkommen! e-service1 e-service2 Intyg 2 3 1 e-service3 www.e-service1.se

Betyder det att SAML-inloggning alltid kräver att det finns en användarportal?

Initiering av SAML-inloggning IdP-initierad inloggning Inloggningen startar hos användarorganisationen som i det tidigare exemplet SP-initierad inloggning Inloggningen startar hos e-tjänsten.

SP-initierad inloggning Intyg www.e-service.se www.e-service.se Intyg DB 3 2 Välkommen! Logga in med Sambi 4 Begäran Begäran 1

<SAML AuthnRequest> Exempel på hur en SAML Request kan se ut i verkligheten

Hur vet e-tjänsten vilken IdP som kan ställa ut intyg för användaren?

IdP-discovery (exempel) Tjänsten tillhandahåller en unik URL för respektive användarorganisation (www.iis.e-service.se, www.skatteverket.e-service.se) Tjänsten känner till användarorganisationens IP-adressrymd Tjänsten listar alla aktuella IdP:er i en anvisningstjänst och användaren får aktivt välja sin IdP E-tjänster kan använda flera smarta metoder i kombination för att underlätta autentiseringen av användaren

Anvisningstjänst OrganizationDisplayName 2 Anvisningstjänst Borås 5 E-tjänst SP 3 Borås Gävle 4 1 Krokom Gävle Allt informationsutbyte sker genom omdirigering av användarens webbläsare Krokom

Administration av behörigheter Inloggning per tjänst Lösenord per tjänst Säkerhetskrav Lösenordssupport www.e-service.se www.e-service.se Användarnamn **********

Men Vi har nya problem i en annan dimension

Anslutning mellan parter Certifikat Metadata Out of Band Certifikat Metadata www.e-service.se Förutsätter att parterna enats om: Teknik/standard Tillämpning Information Format Tillit/säkerhet Rutiner

Användarorganisationens perspektiv Följ min standard! IdP

E-tjänstens perspektiv Följ min standard! IdP IdP IdP SP Följ min standard! Följ min standard!

Sektorns perspektiv En integration per anslutning IdP IdP SP SP IdP SP Hundratals eller tusentals organisationer

En standard för integrationen FEDERATION Gemensam standard och infrastruktur

Gemensam standard Sambis tekniska krav SAML 2.0 Implementationsprofil egov2 2.0 beskriver vilka delar av SAML som måste implementeras Deploymentprofilen saml2int beskriver vilka delar av SAML som måste vara i bruk samt hur dessa ska användas Namnstandard för anvisningstjänst Attributsprofiler

Gemensam infrastruktur Aggregerat metadataregister signerat med federationens nyckel Central anvisningstjänst Verktyg för validering av metadata Testmiljö

Aggregerat metadataregister Metadata Certifikat Metadata Certifikat Metadata Certifikat Aggregerad och publicerad metadata Metadata+certifikat 1 Metadata+certifikat 2 Metadata+certifikat 3 Metadata+certifikat 4 Metadata+certifikat 5 Metadata+certifikat 6 / / Aggregerat metadata Signera och publicera Metadata Certifikat Metadata Certifikat Metadata Certifikat Federationsoperatör

Aggregerad metadata Skolfederation

Anvisningstjänst - exempel

Sammanfattning - övergripande arkitektur ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR INTYGSUTGIVARE SITHS E-LEG ID ATTRIBUTS- REGISTER INTYG pseudonym + attribut E-TJÄNST MEDLEMSREGISTER

Övningsuppgift - korv 2 Homer äter korven 1 Den grillade korven förbereds för att ätas 3 Homer grillar en korv

Övningsuppgift - SAML Nisse har just kommit till jobbet och har ännu inte loggat in i någonstans. Innan han gör något annat vill han klara av ett ärende i tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. I vilken ordning händer nedanstående? idp.krokom.se Användarnamn Lösenord Logga in Välkommen! Logga in med: E-post lösenord www.service.se Välkommen Nisse! www.service.se Välj din intygsutfärdare Borås Gävle Krokom IdP:n har ställt ut ett intyg och dirigerar Nisse tillbaka till SP:n som skickade begäran. service.se har identifierat vilken IdP Nisse använder och dirigerar honom vidare med en AuthnRequest (begäran om intyg). Nisse vill till tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. Nisse vill logga in via en federation. Eftersom han gick direkt till tjänstens webbsida så känner den inte till vilken IdP Nisse använder, utan dirigerar honom till en anvisningstjänst. service.se har många olika typer av användare och erbjuder därför flera olika alternativ för inloggning.

Övningsuppgift - SAML SAML-implementationen i exemplet är inte ett föredöme avseende användarvänlighet. Användaren ställs inför flera val i olika sammanhang under inloggningsflödet. Överkurs: Hur skulle en mer användarvänlig implementation kunna se ut? 4 2 5 1 3 idp.krokom.se Användarnamn Lösenord Logga in Välkommen! Logga in med: E-post lösenord www.service.se Välkommen Nisse! www.service.se Välj din intygsutfärdare Borås Gävle Krokom IdP:n har ställt ut ett intyg och dirigerar Nisse tillbaka till SP:n som skickade begäran. service.se har identifierat vilken IdP Nisse använder och dirigerar honom vidare med en AuthnRequest (begäran om intyg). Nisse vill till tjänsten service.se. Tjänsten finns inte i portalen på Nisses företag. Nisse vill logga in via en federation. Eftersom han gick direkt till tjänstens webbsida så känner den inte till vilken IdP Nisse använder, utan dirigerar honom till en anvisningstjänst. service.se har många olika typer av användare och erbjuder därför flera olika alternativ för inloggning.

Kom ihåg det här Inloggning här! Intyg med användarinformation via omdirigering av webbläsare Intyg www.e-service.se Välkommen! Användarnamn Intyg 2 ********** 3 1 www.e-service.se DB

Nuläge

Medlemmar Användarorganisationer Stockholms stad Stockholms Läns Landsting Danderyds kommun E-tjänster SLL Beställningsportalen ehälsomyndigheten

Godkända parter 2017-09-25

Pågående arbeten Sambiombud Sambiombudets uppgift är att förenkla anslutning till Sambi för Användarorganisationer genom att själv eller tillsammans med underleverantörer tillhandahålla en färdig paketlösning för Användarorganisationens identitetshantering. Sambiombudet ska bistå Användarorganisationen med hjälp för att säkerställa att Användarorganisationen lever upp till kraven i Sambis Tillitsramverk. Detta kan omfatta lösningar och tjänster för uppföljning av informationssäkerhet, eid, attributkatalog, identitetsintygsutgivning, incidenthantering, rapportering, övervakning samt medlemsansökning för Sambi. Behörighetsmodell Genom att ta fram ett för vård- och omsorg gemensamt ramverk för behörighetsstyrning, med bred täckning över det behov av behörighetsstyrning som finns i medarbetarnas ITstöd, och som baseras på överenskomna attribut i en federation, skapas goda förutsättningar för en väl fungerande och skalbar behörighetsstyrning i verksamheternas ITstöd.

Hur man kommer igång

Förberedelser Syfte och tillämpning Ledningssystem för informationssäkerhet Tekniska förmågor (IdP/SP, attributregister med mera) Resurser och kompetenser

Övergripande steg i processen Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

Tid (1/3) Avtal Tillitsdeklarera Besked om ev komplettering Eventuell komplettering granskning Kund Max 10 dagar Kund Max 30 dagar Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

Tid (2/3) Avtal Tillitsdeklarera Besked om ev komplettering Eventuell komplettering granskning Kund Max 10 dagar Kund Max 30 dagar Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata Tekniska förberedelser och tester Teknisk anslutning till Sambi Kund 1 dag

Tid (3/3) Processerna kan initieras samtidigt för att reducera ledtid för anslutning Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

Hjälp att komma igång Intresseanmälan Använda Trial-miljö Tillitsdeklaration Avtal Produktion

Process för att ansluta till Sambi Godkänd tillitsgranskning Anslutningsavtal och kontaktblankett Metadata

Tillitsgranskningsprocessen

Vad granskas? De generella kraven i Sambis Tillitsramverk, vilka utgörs av generella krav på verksamheten, säkerhetsarbetet, kryptografisk säkerhet, ansvar för underleverantörer, handlingars bevarande och tillhandahållande av information För användarorganisationer och deras underleverantörer granskas Tillitsramverkets specifika krav på hanteringen av deras funktioner för e- legitimationsutfärdare, attribututgivare och identitetsintygsutgivare För tjänsteleverantör och deras underleverantörer granskas hur de uppfyller Tillitsramverkets specifika krav för tjänsteleverantörer

Granskningsobjekt ANVÄNDARORGANISATION TJÄNSTELEVERANTÖR IDP SP SITHS E-LEG ID ATTRIBUTS- REGISTER E-TJÄNST

Avtal och bilagor Anslutningsavtal Definitioner för Sambi Tekniska krav Tillitsramverk Föreskrifter för Sambis Federationsoperatör Avgifter https://www.sambi.se/medlemskap/anslutningsavtal/

Uppgifter för medlemskap

Ladda upp metadata https://www.sambi.se/teknik/metadata/lamna-nytt-metadata/

Tekniska miljöer i Sambi

Kostnad

Utmaningar Arvet, behov av att federationsanpassa tjänster och system Enas om gemensamma attribut för sektorn ett ledningssystem för informationssäkerhet (LIS) som baseras på ISO/IEC 27001 eller motsvarande Börja i tid! Se till att kravställa nya tjänster så att de är federationsanpassade.

Information www.sambi.se Nyhetsbrev allmänna tekniska Seminarier och workshops Kurser Arbetsgruppens möten

Kontakt info@sambi.se robert.sundin@iis.se