1. Identitets- och organisationskontroll

1.1 Organisationskoppling

Anslutningsoperatör ska verifiera att:

• LE är kopplad till rätt federationsmedlem (juridisk person).

• organization_identifier och organization_name överensstämmer med medlemskapet.

• Registreringen initieras av behörig företrädare enligt anslutningspolicy.

Syfte: Förhindra att en aktör registrerar komponenter i annan organisations namn.

1.2 Entity Identifier (entity_id)

Anslutningsoperatör ska verifiera att:

• entity_id är en HTTPS-URI.

• Host ligger inom federationsmedlemmens kontrollerade domän.

• Domänkontroll är styrkt (DNS, PKI eller likvärdig verifiering).

• Identifieraren inte skapar förväxlingsrisk.

Syfte: Förhindra domänkapning och identitetsförväxling.

1.3 Authority Hints (Vill vi begränsa det?)

Anslutningsoperatör ska verifiera att:

• authority_hints pekar på rätt överordnad (IM).

• LE inte kan etablera trust chain via oavsedd federation.

Syfte: Förhindra federation-hoppning.

2. Komponent- och delegationskontroll

2.1 Rollbegränsning

Anslutningsoperatör ska säkerställa att:

• LE registreras med endast tillåten protokollroll (OP, RP, AS eller Resource).

• Multipla roller under samma entity_id inte tillåts om det inte uttryckligen är beslutat.

• LE inte innehåller federation_entity-metadata.

Syfte: Förhindra rollförväxling och oavsiktlig policydelegering.

2.2 Delegering (Bör detta begränsas i en "gemensam" policy!?)

Anslutningsoperatör ska i Subordinate Statement ange:

• max_path_length: 0 (om inte särskilt undantag beslutas).

Syfte: Förhindra vidaredelegering och oavsiktlig hierarkibildning.

3. Endpoint- och trafikbindning

3.1 HTTPS-krav

Anslutningsoperatör ska verifiera att alla endpoints:

• är HTTPS

• använder giltigt servercertifikat

Gäller t.ex.:

• authorization_endpoint

• token_endpoint

• userinfo_endpoint

• jwks_uri

• PAR-endpoint

• redirect_uris

3.2 Domänkonsistens (Hur fungerar detta med hosted entities!?)

Anslutningsoperatör ska säkerställa att:

• Endpoint-host är konsistent med entity_id-host eller godkänt subdomänträd.

• Redirect URIs är exakt matchade och domänkontrollerbara.

• jwks_uri ligger inom kontrollerbar domän.

Syfte: Förhindra endpoint-spoofing och token-exfiltration.

4. Kryptografisk basnivå

4.1 Federationsnycklar

Anslutningsoperatör ska verifiera att:

• JWKS innehåller endast publika nycklar.

• Nycklar uppfyller federationens minimikrav (t.ex. RSA ≥ 2048 bitar eller godkänd EC).

• kid är unika.

• Nyckelmaterial tillhör LE.

4.2 Protokollnycklar

Anslutningsoperatör ska säkerställa att:

• jwks och jwks_uri inte kombineras i strid med profil.

• Algoritmer följer federationens whitelist.

• Algoritmen none inte tillåts.

• Svaga eller symmetriska algoritmer inte används om federationen kräver asymmetrisk signering.

Syfte: Förhindra kryptografisk downgrade.

5. Protokollrestriktioner

5.1 Redirect URI (RP)

Anslutningsoperatör ska verifiera:

• HTTPS

• Exakt matchning (inga wildcards)

• Inga fragment

• Domänkontrollerbarhet

5.2 Client Authentication (RP)

Anslutningsoperatör ska begränsa:

• token_endpoint_auth_method enligt federationens krav (t.ex. private_key_jwt).

• Tillåtna signeringsalgoritmer.

5.3 Scope- och funktionsbegränsning (AS/OP)

Anslutningsoperatör ska säkerställa att:

• scopes_supported är förenliga med federationens scope-policy.

• LE inte annonserar odefinierade federationskritiska scopes.

5.4 ACR / Tillitsnivå

Anslutningsoperatör ska säkerställa att:

• acr_values_supported inte överstiger tilldelad tillitsnivå.

• LE inte kan självdeklarera högre LoA än vad som är beslutat.

Syfte: Förhindra falsk säkerhetsnivå.

6. Metadata-konsistens

Anslutningsoperatör ska kontrollera att:

• Metadata är konsistent (entity_id, endpoints, jwks_uri, redirect_uris).

• Otillåtna extensions inte förekommer.

7. Spårbarhet och dokumentation

Anslutningsoperatör/IM ska journalföra:

• Organisationsverifiering

• Domänverifiering

• Nyckelverifiering

• Endpoint-kontroll

• Tillämpad policyversion

• Beslut och beslutsfattare

Underlag ska kunna uppvisas vid revision.

8. Teknisk effekt vid publicering

Anslutningsoperatör ska säkerställa att:

• Entity Configuration är validerbar.

• Subordinate Statement är korrekt signerad.

• Registreringspolicy-identifierare är inkluderad.

• Tillitskedjan etableras korrekt.

9. Vid uppdatering eller nyckelbyte

Anslutningsoperatör ska:

• Riskbedöma ändringen.

• Kräva ny kontroll vid ändring av:

  • Domän

  • Nycklar

  • Endpoints

  • Organisationskoppling

• Säkerställa kontrollerad nyckelrotation.