Page History

Tillit i federationer

Strukturerad tillit mellan parter i en federation behövs för att möjliggöra säker och effektiv informationsdelning mellan olika organisationer. Detta är särskilt viktigt inom offentlig förvaltning där komplexa värdenätverk kräver samordnad digital infrastruktur. Tillit kan delas in i tre huvudsakliga områden:

• Verksamhetstillit – baserat på lagar och reglering.

• Informationstillit – etableras via informationssäkerhet och gemensamma överenskommelser.

• Teknisk tillit – genom tekniska standarder och säkerhetskrav.

Tillitsobjekt

Inom en federation förmedlar federationens aktörer strukturerad information som parterna behöver kunna lita på. Dessa är kan beskrivas som tillitsobjekt:

• MetadataInnehåller information om organisationer, intygsutgivning och tekniska anslutningar. Valideras och verifieras av federationsoperatören.

  • Egenpublicerad metadata

  • Betrodd metadata (publicerad av kontrollerad och betrodd part i federationen)

• Intyg
  Förmedlar påståenden om en användare, såsom autentisering och attribut. Intygsförmedling sker direkt mellan parter.

• Intygsbegäran
  Initierar en identitet- eller åtkomstförfrågan baserat på ett intyg. Viktigt med säker hantering och syftesbegränsning.

• Kontext
  En ram inom vilken övriga tillitsobjekt verkar. Kontexter kan påverka interoperabilitet och säkerhetskrav

Exempel på vilken typ av tillit som förmedlas av vilket tillitsobjekt

★ = stark koppling, ◉ = viss koppling, ❍ = ingen direkt koppling

Funktionsobjekt

Funktionsobjekt är

...

de tekniska funktioner och processer som tillsammans är det som skapar tillitsobjekten.

De fungerar alltså som byggstenar för tillitsobjekten, och varje tillitsobjekt

...

inkluderar ett antal specifika funktionsobjekt

• Användaridentifiering –
Hur identiteten säkerställs
• Säkerställer en användares identitet, ofta genom metoder som tvåfaktorsautentisering (2FA).
   Information: Autentiseringsuppgifter (t.ex.
2FA)
• lösenord, engångskoder), identifierande attribut.
• Autentiseringsmetod –
Teknik
• Den tekniska metod som används för autentisering
(
• , t.ex.
lösenord,
• e-legitimation
).

• Attributshantering – Process för korrekthet i användarattribut.

• eller lösenord.
   Information: Användaruppgifter och autentiseringsmedel.
• Attributkälla – System som tillhandahåller attribut, t.ex. katalogtjänster eller användarregister.
   Information: Lagrade attributvärden kopplade till användare eller organisationer.
  • Attributhantering – Process för att säkerställa korrekta och aktuella användarattribut.
     Information: Användarattribut
  Attributkälla – Källsystem
  • (t.ex.
  kataloger) för attribut
  • namn, roll, behörighet), valideringsregler.
• Intygsutfärdare – Komponenter Komponent som genererar utfärdar intyg (assertions) om användare, t.ex. IdP)en IdP.
   Information: Verifierad identitet och attribut, samt syftet med intyget.
• Åtkomstkontroll – Komponenter Komponent som kontrollerar åtkomst (om användare får åtkomst till en resurs.
   Information: Åtkomstpolicy, användaridentitet, attribut och kontext.
• Metadatapublicering – Komponent som publicerar metadata om andra entiteter, t.ex. SP)som Trust Anchor, Intermediates, Trustmark Issuers
   Information: Verifierad metadata om andra aktörer.
  • Federationsanslutning –
  Process för teknisk anslutning till federationen
  • Teknisk process för att ansluta en part till federationen.
     Information: Metadata, certifikat, endpoint-information.
  • Organisationsanslutning – Process för att säkerställa
  rätt organisationstillhörighet.

• Specialobjekt – Komplexa externa komponenter som kan beröra flera tillitsobjekt.

 Tekniska komponenter

Exempel på vilka tillitsmärken som krävs för en teknisk komponent:

Komponenten Auktorisationstjänst behöver inneha 3 tillitsmärken utifrån vilka funktioner/förmågor som Auktorisationtjänsten tillhandahåller till federationen.

• • att en organisation har rätt att vara med i federationen.
     Information: Organisationsdata, behörigheter, kontaktuppgifter.
• Metadatavalidering – Komponent som slår upp och validerar metadata från andra.
   Information: Publicerad metadata, signerad information, valideringsregler.
• Åtkomstbegäran – Komponent som begär ett intyg, exempelvis en klient eller e-tjänst.
   Information: Identitet, attribut, begärd resurs.

Komponenter i federationsinfrastrukturen

Alla funktionsobjekt representeras inte i federationen, vilket innebär att det är den tekniska komponenten som beskrivs med metadata i federationen. Tex komponenten Auktorisationstjänst omfattar eller inkluderar ett antal funktionsobjekt. 

Övriga tillitsskapande objekt