sou · GYB3104 · 2010-12-23 00:00:00 — Kravställningarna runt kvalificerade certifikat ställer inga specifika krav på nyckelbärarens kvalitet. En e-legitimation utgiven av en bank med smart kort som nyckelbärare kan anses vara mer tillförlitlig än ett kvalificerat certifikat med mjuk nyckelbärare utfärdat av en identitetsutfärdare som inte har en tidigare relation med e-legitimationsinnehavaren. Internationell samverkan runt identifiering baseras inom ramen för dagens aktiviteter inom på federationsteknik och dess ramverk för tillitsnivåer. Inom ramen för har ett ramverk definierats för tillitsnivåer med 4 nivåer som i stora drag är kompatibelt med det internationella ramverket Kantara Identity Asurance Framework som även ligger till grund för de tillitsnivåer som vi avser definiera i . Nivå 4 av tillitsnivåer förutsätter kvalificerade certifikat samt hårda nyckelbärare. Nivå 3 och lägre förutsätter inte att kvalificerade certifikat används och tillåter mjuka nyckelbärare. Det är värt att notera att det inte räcker med att ett certifikat är kvalificerat för att uppnå STORK tillitsnivå 4. Även om dagens leverantörer av e-legitimationer konverterar och ger ut kvalificerade certifikat så uppnås därmed inga fördelar inom ramen för internationell samverkan med mindre än att man även kräver att alla nyckelbärare ska vara hårda (ex smarta kort). Enligt STORK uppfyller såväl certifikat med mjuk nyckelbärare som koddosor utan certifikat kraven för nivå 3. Även om vi i kräver kvalificerade certifikat men tillåter mjuka nyckel- bärare, som vi inte tillåter icke kvalificerade certifikat eller icke certifikatbaserade lösningar, så är vi därmed i klar disharmoni med det Europeiska ramverket eftersom vi har dragit en linje rakt igenom tillitsnivå 3. Om vill harmonisera med så ska nivå 4 kräva kvalificerade certifikat och hårda nyckelbärare medan nivå 3 ska tillåta icke kvalificerade certifikat och alternativa autentiseringsmetoder med motsvarande säkerhetsnivå. Om vi i inte avser kväva nivå 4 för alla e-tjänster (vilket torde vara orimligt) så måste även icke kvalificerade certifikat tillåtas i federationen om tillitsramverk (för nivå 3) ska harmonisera med övriga . 7Juridiska frågor om säkerhetsnivå I ett beslut av Europeiska kommissionen (2009/767/EG) om åtgärder för att underlätta användningen av förfaranden på elektronisk väg genom gemensamma kontakt- punkter har kommissionen uttalat sig bl.a. angående användande av elektroniska signaturer (artikel 1). Där framgår att medlems- staterna ska kräva att en användning av avancerad elektronisk signatur baserad på ett kvalificerat certifikat, endast om det är motiverat på grundval av en ändamålsenlig bedömning av berörda risker. En identitetsfederation har ingen direkt koppling till elektroniska underskrifter eftersom den är till för identifiering. Krav på elektroniska underskrifter kan hanteras i en separat signeringstjänst. Det kan därför vara mindre lämpligt att motverka eller utmönstra identifiering med alternativa metoder. Till saken hör också att det inte någonstans i svensk lagstiftning eller författningsreglering krävs en kvalificerad elektronisk signatur (se 2 § signaturlagen där kvalificerad elektronisk signatur definieras som en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning). Hur lätt det är att blanda samman dessa begrepp framgår emellertid av bl.a. Karnovkommentaren till lagen (2005:807) om ersättning för viss mervärdesskatt för kommuner och landsting. Där sägs följande i not 15 till 9 §: Bestämmelsen är utformad efter mönster av 10 kap. 26 § skatte- betalningslagen (1997:483) och 4 kap. 4 § lagen (2001:1227) om självdeklarationer och kontrolluppgifter, se prop. 2005/06:7, s. 29 f. Att kravet på underskrift får uppfyllas med elektroniska medel innebär att det finns en kvalificerad elektronisk signatur (kursiverat här). Detta följer av 17 § lagen (2000:832) om kvalificerade elektroniska signa- turer. De aktuella blanketterna finns normalt endast som ifyllnadsbara pdf-blanketter på . Ett studium av regeringens proposition 2005/06:7 Vissa kommunalekonomiska frågor visar på samma missförstånd. Där sägs följande: I andra stycket anges vad som är ett elektroniskt dokument. Att kravet på underskrift ska anses som uppfyllt med elektroniska medel innebär att det finns en kvalificerad elektronisk signatur. Detta följer av 17 § lagen (2000:832) om kvalificerade elektroniska signaturer. Påståendena är felaktiga. I 9 § andra stycket nämnda lag föreskrivs nämligen att med ett elektroniskt dokument avses en upptagning som har gjorts med hjälp av automatiserad databehandling och vars innehåll och utställare kan verifieras genom ett visst tekniskt förfarande. Denna definition kräver inte att den elektroniska signaturen ska vara kvalificerad; jfr motsvarande misstag i prop. 2001/02:25 s. 172. En näraliggande slutsats – från juridiska och praktiska utgångs- punkter – är därmed att det kan vara lämpligt att undvika en begreppsapparat som missförståtts av så många och som bygger på en teknikstyrd terminologi som genererar ständiga diskussioner och behov av klargöranden. Ett praktiskt alternativ är att bygga på sådana tillitsnivåer och anslutning till en identitetsfederation som övervägs inom detta projekt. Identitetsutfärdare kommer att klassas i enlighet med den tillitsnivå de erbjuder och varje tjänstetyp för varje e-tjänsteleverantör kommer att deklarera vilken tillitsnivå de kräver. Det är därför väldigt enkelt att hantera flera tillitsnivåer i federationen. Inom ramen för den fördelning av pengar som sker till identitetsutfärdare borde det finnas utrymme för olika ersättningsnivåer beroende på vilken tillitsnivå man tillhandahåller, alternativt viktad mot vilken tillitsnivå som e-tjänsten krävt. Ett realistiskt alternativ till att kräva kvalificerade certifikat för medlemskap i federationen är att vi i definierar tillitsnivåer som harmoniserar med internationella standarder och Europeiska normer med eventuella tillägg för Svenska förhållanden inom ramen för de internationella ramverken. Nivå 3 kan då inte kräva kvalificerade certifikat medan nivå 4 troligen gör detta i kombination med krav på hårda nyckelbärare. Inom ramen för den upphandlingsmodell för identifierings- tjänster som tas fram bör man vidare ha möjlighet att anpassa ersättningsnivå till identitetsutfärdare beroende på vilken tillitsnivå de tillhandahåller. Teknisk sammanfattning av infrastrukturen för Denna sammanfattning av Infrastrukturen för Svensk e- legitimation är riktad till läsare som är bekanta med federations- teknik enligt SAML 2.0 och de tekniker som i övrigt ligger till grund för utfärdande och användning av e-legitimationer för identifiering och signering. 2Grundstruktur och skillnader mot dagens infrastruktur Infrastrukturen för identifiering inom ramen för Svensk e- legitimation bygger på en federativ modell enligt protokollet SAML 2.0. Detta innebär inga skillnader för utfärdande och utformning i förhållande till dagens e-legitimationer. Samma e-legitimationer som används inom nuvarande infrastruktur kommer att kunna användas inom ramen för en federativ modell. Den stora skillnaden är att Service Providers SP (i utredningen kallade E-tjänsteleverantörer) inte kommer i direkt kontakt med användarnas e-legitimationer utan istället får ett identitetsintyg i form av en SAML assertion från e-legitimations- utfärdarens Identity Provider (IdP). I en traditionell SAML-relation innebär detta att myndigheters e-tjänster intar rollen som service provider (SP) och att e- legitimationsutfärdarna intar rollen som Identity Provider (IdP) och därmed den part för vilken användaren identifierar sig, oavsett vilken e-tjänst som användaren avser att logga in på. Övergången från att hantera e-legitimationer direkt till att konsumera Identitetsintyg i form av SAML assertions innebär även att de identitetsuppgifter som förmedlas till e-tjänsten kan anpassas efter e-tjänstens behov. När e-tjänsten kräver personnummer ska denna information ingå i identitetsintyget men om e-tjänsten istället kräver andra uppgifter som exempelvis organisations- nummer och ID inom organisationen kan informationen i identitetsintyget anpassas till e-tjänstens behov oavsett vilken e- legitimation som användaren använt för att legitimera sig. För de fall där e-tjänsten behöver mer information om användaren som loggar in, exempelvis uppgift om juridisk behörighet kan en fråga ställas till en Attribute Authority – AA (I utredningen benämnd Attributsutfärdare) som genom en attribute query (attributsförfrågan) kan erhålla nödvändig kompletterande information. Härvid kan teoretiskt sett alla typer av e-legitimationer, även de som inte innehåller några specifika personuppgifter så som kod- dosor för generering av engångslösenord, användas för inloggning mot en myndighet som kräver såväl personnummer som ytterligare information om juridisk behörighet. Grunden för vilken säkerhetsnivå som tillämpas när en användare legitimerar sig är den tillitsnivå som e-tjänsten kräver. För att dessa säkerhetsnivåer ska kunna vara jämförbara inom ramen för federationen definieras fyra tillitsnivåer (levels) för federationen genom ett tillitsramverk. Alla IdP som utfärdar Identitetsintyg till anslutna e-tjänster måste visa att hela den process som ligger till grund för utfärdandet av identitetsintyg uppfyller kraven i den efterfrågade tillitsnivån, detta innefattar bl.a. Krav på utfärdandeprocessen. Krav på själva e-legitimationen och dess användning. Krav på utfärdaren av e-legitimationen. Mer information om tillitsramverket tillhandahålls i Bilaga 9. För att infrastrukturen ska kunna erbjuda identifiering med hög säkerhetsnivå måste bl.a. Identitetsintyg med identitetsuppgifter signeras och krypteras från IdP till e-tjänst. Detta kräver att parterna har tillgång till varandras publika nycklar dels för verifiering av signaturer och dels för kryptering av data. Vidare behöver e-tjänsters krav på attribut och tillitsnivåer finnas tillgängliga så att en IdP kan leverera ett identitetsintyg med lämplig information om användare till e-tjänsterna. För att underlätta spridning av denna information på ett tillförlitligt sätt lagras sådan information i ett centralt register med s.k. metadata. Dessa metadata hålls tillgänglig för de aktörer som behöver den. Varje IdP måste ha tillgång till information om alla e- tjänster och e-tjänsterna behöver information om varje IdP och attributstjänst. Metadatainformationen tillhandahålls i signerad form, signerad av den federationsoperatör som administrerar federationen och dess tillhörande registeruppgifter. 5.1Grundläggande syfte och funktion Genom federationens metadata vet varje e-tjänst vilken IdP som ska identifiera en användare med en specifik typ av e-legitimation och som ska utfärda ett Identitetsintyg för användaren. För att detta ska kunna ske måste dock e-tjänsten veta vilken e- legitimation som användaren kan och vill använda. E-tjänsten kan så som sker låta en användare välja vilken av alla tillgängliga e- legitimationer som användaren vill använda men detta blir opraktiskt i takt med att antalet alternativ ökar. En discovery service (i utredningen benämnd Anvisningstjänst) kan i samarbete med varje användare komma ihåg vilken e- legitimation som användaren använt tidigare mot andra e-tjänster och därmed skapa förenklade dialoger där användarens tidigare val av e-legitimation kommer upp som förval. Utredningen förordar att en discovery service ska erbjudas i två versioner, en där användaren omdirigeras till discovery service enligt standardiserat SAML protokoll och ett där en dynamisk webbsida från e-tjänsten kan anpassas till användarens förval genom s.k. AJAX anrop till discoverytjänsten. Dessa alternativ finns närmare beskrivna i bilaga 16. 5.2Förhållande mellan IdP och utfärdare av e- legitimation Det är viktigt att användarens val av e-legitimation blir begriplig för användaren. Detta innebär att användaren endast ska behöva välja typ av e-legitimation för att e-tjänsten ska kunna hänvisa användaren till rätt IdP för identifiering. är det viktigt att användaren inom ramen för Infrastrukturen för svensk e-legitimation känner igen sig vid varje identifieringstillfälle. Det är därför betydelsefullt att användaren alltid identifierar sig för samma IdP oberoende av vilken e-tjänst inom infrastrukturen som kräver legitimering. Varje typ av e-legitimation från en specifik utfärdare måste vidare kopplas till ett namn på e-legitimationen som användaren känner igen och kan relatera till i det gränssnitt för val av e- legitimationer som skapas i samverkan med infrastrukturens discovery service. Detta namn återfinns även i federationens metadata för respektive IdP. Det är dessa metadata som utgör grunden för att såväl skapa val-gränssnitt för användare som att koppla användarens val till en viss IdP. För att garantera att varje typ av e-legitimation representeras av ett för användaren begripligt namn och att detta endast kopplas samman med en IdP, är e-legitimationsutfärdaren ansvarig för definition av namn för dennes olika typer av e-legitimationer samt att specificera en och endast en godkänd IdP för vare typ av e- legitimation. 6 Integration i e-tjänster Hantering av SAML Assertions är väldigt enkelt då de stöds av en lång rad färdiga produkter och i allt större utsträckning stöds som standard i olika miljöer och verktyg för att införa webb- tjänster. Eftersom Identitetsintyg följer ett standardiserat format behöver e-tjänster i den federativa modellen inte anpassas ytterligare om nya aktörer i egenskap av identitetsutfärdare tecknar avtal med federationsoperatören (). Integrationen av färdiga e-tjänster mot den nya infrastrukturen är därför förhållandevis enkel. För de parter som avser att skapa en ny e-tjänst, utgör integration med den federative infrastrukturen en generellt sett försumbar kostnad i jämförelse med vad det kostar att skapa själva e-tjänsten. 6.1Integration med lokala federationer existerar många befintliga identitetsfederationer som är uppbyggda på liknande sätt som identitetsfederationen för Svensk e-legitimation. En sådan "lokal" identitetsfederation kan innefatta e-tjänster som nyttjar en IdP inom den lokala federationen för att erhålla identitetsintyg som följer lokala konventioner, men där denna e-tjänst likväl vill tillåta att användare ska kunna identifiera sig via identitetsfederationen för Svensk e-legitimering. Detta kan enkelt lösas genom att den lokala IdP:n i den lokala federationen uppträder som en IdP Proxy enligt följande modell: En IdP Proxy agerar som en IdP inom en lokal federation mot e- tjänster i den lokala federationen men utgör en registrerad Service Provider (e-tjänst) i federationen för Svensk e- legitimation. En användare med Svensk e-legitimation som loggar in på en e-tjänst som är ansluten till den lokala federationen överförs till IdP Proxy som i enlighet med lokala konventioner konstaterar att användaren ska identifieras genom federationen för Svensk e-legitimation. Användaren anvisas till och identifieras av den IdP som är kopplad till användarens e-legitimation och ett identitetsintyg returneras till IdP Proxy. IdP Proxy aggregerar vid behov ytterligare information om användaren och returnerar sedan ett lokalt identitetsintyg till e-tjänsten i den lokala federationen. För att underlätta discovery i den lokala federationen så att användaren kan ges en korrekt uppsättning val av e-legitimationer för inloggning som även inkluderar e-legitimationer som bara hanteras inom federationen för Svensk e-legitimation, kan lämplig metadata om IdP tjänster i federationen för Svensk e-legitimation inkluderas i den lokala federationens metadataregister. I nuvarande infrastruktur sker signeringen i användarens klient av den information som skickas från e-tjänsten. Detta kräver dels att e-tjänsten kan skicka information som ska signeras på ett sätt som är anpassat till användarens lokala klientprogramvara och e- legitimation, dels att användarens e-legitimation är certifikat- baserad och kan användas för att skapa en elektronisk signatur enligt gällande standards. Elektroniska signaturer som skapas i dagens modell kan endast verifieras av parter som har avtal med e-legitimationsutfärdaren för åtkomst till spärrinformation. Detta omöjliggör i praktiken för utländska myndigheter att verifiera en signatur skapad med en svensk e-legitimation. I en ny modell där det kan förekomma e-legitimationer som inte kan användas för signering krävs en annan lösning som inte kräver att e-tjänsten inför anpassningar mot varje typ av e- legitimation och klientprogramvara, och för alla användare att signera, även de som innehar en icke certifikatbaserade e-legitimationer, och för utländska aktörer att verifiera en signatur som är skapad med stöd av en svensk e-legitimation. Utredningen har föreslagit att en central signeringstjänst ska övervägas för att tillgodose dessa behov. Olika förslag på lösningar presenteras i Bilaga 17. Teknisk beskrivning av infrastrukturen för Svensk e-legitimation Det tekniska ramverket beskriver hur identitetsfederationen implementeras tekniskt. är baserad på den internationella standarden SAML v2.0 specificerad i [SAML2Core]. SAML är en flexibel standard som inte reglerar implementationen av aktuella identitetsfederationer på detaljnivå. För att kunna federera med SAML på ett effektivt sätt behöver ett antal vägval göras och dokumenteras. Den tekniska dokumentationen utgörs av dessa vägval och närmare reglering av hur standarden används. Grundtanken vid framtagandet av det tekniska ramverket har varit att i så stor utsträckning som möjligt använda internationellt vedertagna tekniska profiler för federering och SAML. Det är viktigt att noggrant specificera format och innehåll för de elektroniska intyg som kommuniceras mellan identitetsintygstjänst (IdP), e-tjänsteleverantör (SP), och attributintygstjänst. Syftet är att förenkla kommunikationen mellan parter i identitetsfederationen utan att skapa onödiga begränsningar. Som bakgrund presenteras nedan det tänkta informationsflödet vid en inloggning till en webbtjänst i identitetsfederationen. (1, 3) (2) Identitetsintygstjänst 1.Användaren ansluter till e-tjänsten. 2.E-tjänsteleverantören skickar användaren vidare till ett inloggnings- formulär hos identitetsintygstjänsten med hjälp av en identitets- förfrågan. 3.Efter framgångsrik autentisering utfärdas ett identitetsintyg som skickas tillbaka till e-tjänsteleverantören. Detta intyg beskrivs ingående i avsnitt 2 i attributspecifikation [AttrSpec]. 4.Om e-tjänsteleverantören behöver ytterligare information om användaren kan denna hämtas från en attributintygstjänst via en attributförfrågan. Denna process beskrivs närmare i avsnitt 3 i attributspecifikationen. Attributintyg används för att e-tjänsteleverantörer ska kunna hämta användarattribut som inte är kända för identitetsintygstjänsten. Exempel på sådana attribut kan vara organisationstillhörighet, roll, behörighets- information etc. Det finns ingen teoretisk begränsning i vilken information som kan kommuniceras via attribut. Det är dock viktigt att påpeka att en attributsförfrågan skiljer sig från en auktorisationsfråga. En attributsförfrågan besvarar frågan: Vilka egenskaper har detta subjekt? En auktorisationsförfrågan besvarar frågor av typen: Får detta subjekt genomföra åtgärd X. auktorisationsfrågor kan inte besvaras med ett attributsintyg. Identitetsfederering via SAML är baserat på att identitetsintygsgivarna och e-tjänsteleverantörerna litar på varandra och därmed kan verifiera de signaturer som används i SAML-kommunikationen. Rent tekniskt så baseras denna tillit på att respektive parter litar på varandras URL:er och tillhörande servercertifikat. Tillitsprocessen automatiseras via användning av SAML metadata [SAML2Meta]. Specifikationen av metadata är framtagen av OASIS för att underlätta administration av större federationer. Federationen definieras då av ett register i XML-format som är signerat med federationsoperatörens certifikat. Filen innehåller information om identitetsfederationens medlemmar inklusive deras servercertifikat. Eftersom metadatafilen är signerad räcker det med att jämföra ett servercertifikat med dess motsvarighet i metadatat. En infrastruktur baserad på ett centralt federationsregister förutsätter att registret uppdateras kontinuerligt samt att federationsmedlemmarna alltid använder den senaste versionen av filen. För att kunna använda metadata krävs en central aggregator som kontinuerligt hämtar lokal metadata från federationsdeltagarna och uppdaterar och signerar federationsregistret. Mjukvarukrav på hantering av lokal metadata beskrivs i federationens implementationsprofil [ImpProf]. Inom identitetsfederationen används federationsregister definierade av metadatafiler publicerade av federationsoperatören. Registren kommer att innehålla följande typer av information: Information om identitetsintygsgivare och attributintygsgivare Information om e-tjänsteleverantörer, såväl offentliga som kommersiella från näringslivet. Hantering och innehåll i metadata specificeras i [MetaSpec]. Svensk eID-federation använder SAML, version 2.0 eller högre. SAML v2.0 är en mycket omfattande standard som definierar ett antal så kallade användningsprofiler. Av de tillgängliga profilerna används följande. SAML Web Browser SSO Profile definierad i [SAML2Prof]. Profilen används för federerad autentisering mot e-tjänster. SAML Assertion Query/Response Profile definierad i [SAML2Core] och [SAML2Prof]. Profilen används för attributförfrågningar och attributsintyg. IdP Discovery Profile definierad i [IdPDisco]. Profilerna är relativt generellt hållna och lämnar många beslut öppna till de faktiska implementationerna. Dokumenten listade i detta avsnitt reglerar normativt hur förloppen beskrivna i kapitel 1 och 2 realiseras inom svensk eID-federation. Samtliga dokument förutom SAML2Int är framtagna som del av utredningens arbete. SAML2Int är en samling av större akademiska identitetsfederationer vilka tillsammans tagit fram en profil [SAML2Int] som reglerar typisk användning av Web Browser SSO Profile. Istället för att göra om deras arbete väljer vi att istället peka på denna profil som riktlinje för användning av Web Browser SSO. Det är nödvändigt att specificera format och innehåll på de elektroniska intyg som skickas mellan identitetsintygstjänst, e-tjänsteleverantörer och attributintygstjänst. Detta regleras i attributspecifikationen [AttrSpec]. Attributspecifikationen pekar tillbaka på Web Browser SSO för hantering av identitetsintyg och Assertion Query/Response Profile för attributsintyg. Federationen hålls samman av tre stycken federationsregister. Innehåll, uppdatering och publicering av dessa register beskrivs i specifikation av metadata [MetaSpec]. En anvisningstjänst tillhandahåller en tjänst till e-tjänsteleverantörer som underlättar processen att fastställa vilken identitetsintygstjänst som ska autentisera en användare. Anvisningstjänsten beskrivs närmare i [AnvTj]. Mjukvara som ska användas inom Infrastrukturen för Svensk e- legitimation förväntas leva upp till kraven i implementationsprofilen [ImpProf]. Utredningen kring bildandet av en ny e-legitimations- nämnd FI 2010:05, Anvisningstjänst, 2010 Utredningen kring bildandet av en ny e-legitimations- nämnd FI 2010:05, Attributspecifikation, 2010 Specification, Identity Provider Protocol and Profile, 2008. Utredningen kring bildandet av en ny e- legitimationsnämnd FI 2010:05, Implementation Utredningen kring bildandet av en ny e-legitimations- nämnd FI 2010:05, Specifikation av metadata, 2010 [SAML2Core] OASIS Standard, Assertions and Protocols for the Assertion Markup Language (SAML) V2.0, 2005. [SAML2Int] SAML2Int, Interoperable SAML 2.0 Profile, <http:///profile/current> [SAML2Prof] OASIS Standard, Profiles for the Assertion Markup Language (SAML) V2.0, 2005