| dc.description.abstract | Internettdekningen her i landet blir stadig bedre, og mange velger å ta i bruk nettbaserte tjenester. Dette er i tråd med regjeringens ønske om å effektivisere offentlig og privat sektor ved å anvende IKT der det er mulig. Flere og flere tjenester legges på nett, og en økende mengde av disse er knyttet til brukerens identitet. Personaliserte tjenester stiller krav til en god elektronisk identitetsforvaltning, som innebærer autentisering av brukeren og autorisasjon for spesifikke ressurser. Med en god identitetsforvaltning kan den som tilbyr tjenestene være sikker på at man har med riktig person å gjøre. Noen mulige former for autentisering er brukernavn og passord, digitale sertifikater og biometri. Brukernavn og passord er en mye brukt løsning, men mange tjenester foretrekker også digitale sertifikater.
Denne rapporten ser på to systemer for storskala identitetsforvaltning, nemlig Sikkerhetsportalen og FEIDE. Begge systemene autentiserer sine brukere med utgangspunkt i brukernes elektroniske identitet, og gjør det mulig å tilby sikre tjenester på nett. Oppgaveteksten nevner en rekke aspekter systemene kan sammenlignes med hensyn til, en viktig del av denne rapporten er derfor å avgrense aspektene og å utarbeide analysekriterier i form av spørsmål som besvares for hvert av de to systemene. De aspektene som særlig vektlegges i rapporten er organisering og sikkerhetsantakelser, meldingskompleksitet og robusthet. Til sammen beskriver disse aspektene systemenes oppbygning og virkemåte, hvor systemene brukes og hvilke tjenester de tilbyr, hvordan meldingene går og hvordan disse er sikret, hva systemene gjør for å sikre robusthet mot feilsituasjoner, og mye mer. Kriteriene gir informasjon som er nødvendig for å forstå systemene, og de danner grunnlag for en evaluering og sammenligning av systemene. De mindre tekniske aspektene kostnadsfaktorer og brukervennlighet er inkludert for å gjøre analysen mest mulig komplett, men disse vies liten oppmerksomhet i diskusjonsdelen.
I forbindelse med oppgaven er en eksperimentell del utført. Sertifikater som utstedes for bruk med Sikkerhetsportalen studeres i det første av to eksperimenter, et eksperiment som er ment å skulle bidra til forståelse av sertifikatenes sentrale funksjon i Sikkerhetsportalsystemet, og til å se hvor brukervennlig Sikkerhetsportalen er for sine sluttbrukere. I et andre eksperiment foretas en integrasjon mot FEIDE, som illustrerer hvordan man kan integrere FEIDE-innlogging i egne tjenester. Eksperimentet er ment å bidra til forståelse rundt hvilke integrasjonsmuligheter som finnes, hvordan kommunikasjonen går i FEIDE og hvordan bruk av billetter gjør autentisering og attributthenting mulig på en sikker måte.
Sikkerhetsportalen tilbyr et sett av sikkerhetstjenester, og skal gjøre det lettere for det offentlige å tilby sikre elektroniske tjenester. Bruk av Sikkerhetsportalen vil være obligatorisk for alle statlige virksomheter med behov for elektronisk ID og signatur, og anbefalt også for kommunene. Sikkerhetsportalen bygger på PKI, og bruker offentlig-nøkkel sertifikater for identifisering av sine brukere. Hvert brukersted tilknyttet Sikkerhetsportalen har et grensesnitt mot en sentral sikkerhetsserver, som tar seg av all kommunikasjon mot Sikkerhetsportalen. Sluttbrukere trenger derfor kun å forholde seg til brukerstedet de ønsker å benytte en tjeneste fra, og ikke til selve Sikkerhetsportalen. Sikkerhetsportalen på sin side bruker tjenester fra ulike leverandører av PKI-tjenester, og skjuler disse leverandørene for brukerstedene. Sluttbrukere av Sikkerhetsportalen har et sertifikat, som i tillegg til å brukes for autentisering også kan brukes for signering og kryptering.
Utdanningssektoren har òg et økende behov for å kunne identifisere sine studenter og ansatte på en sikker elektronisk måte. FEIDE er et system som autentiserer brukere tilknyttet norske utdanningsinstitusjoner via en sentral innloggingstjeneste, med en målsetning om å få organisasjonenes lokale identitetsforvaltning på en felles form. I likhet med Sikkerhetsportalen er FEIDE et desentralisert system, informasjonen om FEIDEs brukere ligger ikke i den sentrale delen av systemet, men ute hos den enkelte organisasjon. I Sikkerhetsportalen ligger informasjon om brukere derimot i brukernes egne sertifikater. Når en FEIDE-bruker ønsker å logge på en FEIDE-tjeneste sendes han til den sentrale innloggingstjenesten hvor han oppgir brukernavn og passord. Opplysningene sjekkes mot brukerens lokale organisasjon, og hvis de stemmer autentiseres brukeren. Den sentrale innloggingstjeneren utfører altså autentiseringen via brukerens lokale FEIDE-løsning, og kan på forespørsel hente ut nødvendig informasjon om brukeren.
Mens Sikkerhetsportalen er knyttet til bruk av offentlig-nøkkel sertifikater, er FEIDE uavhengig av autentiseringsløsning. For FEIDE er PKI en av flere muligheter, men i dag er det brukernavn og passord som er utbredt. Begge systemene har rutiner og mekanismer på plass som ivaretar et godt personvern, og i begge systemene er personlig og sikkerhetsrelatert informasjon sikret under sending. Systemene er designet for å være robuste og motstandsdyktige mot at utenforstående skal kunne utilgjengeliggjøre tjenesten eller skaffe seg uautorisert tilgang til informasjon eller utstyr. | |
