Status:
Målgrupp: Taktiskt utskott och de arbetsgrupper som ska bidra i steg 2
Syfte: Skapa en gemensam bild av vad vi försöker lösa i steg 2 och hur vi vill att det ska fungera, så att det fortsatta arbetet drar åt samma håll
Detta dokument beskriver vad SIB vill åstadkomma med steg 2 i Taktisk färdplan - Federationsplattform. Det beskriver riktning, bärande principer och ansvarsfördelning. Det beskriver inte lösningar i detalj.
Dokumentet är avsiktligt formulerat så att det går att invända mot genom att uttryckligen hålla isär:
Federationsplattformen är den gemensamma normativa grunden. Federationskontexterna är tillämpningar av den. Det som beskrivs här ska normeras på plattformsnivå.
Steg 2 innehåller två leveranser som ska hållas isär där egenskapsintyg och företrädarskap löser olika problem. De kan komma att dela "mekanismer", men de ska inte förklaras som samma sak.
Steg 1 gör det möjligt för en mottagande part att verifiera vilken teknisk komponent som anropar, vilken organisation som ansvarar för komponenten, och enligt vilka krav komponentens metadata har registrerats. Det är grunden för allt som följer. Innan en part säkert vet vem som anropar saknar frågor om egenskaper och behörigheter fäste.
För många informationsutbyten räcker det inte. Två saker återstår som mottagaren behöver kunna avgöra maskinellt:
Steg 2 löser dessa två saker. Tilliten är fortsatt maskin- och organisationsbaserad. Användare tillkommer först i senare steg.
I OpenID Federation finns en teknisk bärare som kallas trust mark. Den är i sig bara en bärare. När vi talar om egenskapsintyg menar vi den bäraren plus en verksamhetsmässig innebörd, en angiven tillitsgrund, en identifierad ägare, tillåtna utfärdare, dokumenterade krav för utfärdande och en definierad ansvarsfördelning. Det är den verksamhetsmässiga inramningen som är vår leverans i steg 2, inte den tekniska bäraren.
Egenskapsintyg är det normerande begreppet inom Samordnad identitet och behörighet. Enskilda aktörer kan använda andra ord i sina egna sammanhang, men i plattformens artefakter heter det egenskapsintyg.
Ett egenskapsintyg är inte ett åtkomstbeslut. Det är underlag. Den mottagande parten avgör själv vilken betydelse intyget har tillsammans med annan information som parten har rätt att använda, och ansvarar för det beslutet.
Egenskapsintyg som är digitalt stämplade utgör urkunder. Osant intygande är därmed straffsanktionerat. Det är ett skäl till att utfärdarrollen kan komma att behöva begränsas samt medföra höga krav på spårbart underlag . Den närmare rättsliga innebörden behöver utvecklas under arbetet.
Detta är en styrande principen i hela steg 2 och den bör läsas först.
Egenskapsintyg ska inte användas för att spegla uppgifter som finns i en betrodd källa och som kan kontrolleras maskinellt mot den källan. Sådana uppgifter kontrolleras mot källan. Egenskapsintyg används där egenskapen konstitueras av en prövning mot ett regelverk, eller där ingen maskinellt tillgänglig betrodd källa finns. |
Skälet är att en spegling riskerar att skapa en parallell sanning. Uppgiften finns då på två ställen, med två livscykler, och de riskerar att glida isär.
T.ex. om en nationell betrodd källa för vårdgivare ändrar en uppgift om en vårdgivare ska det slå igenom direkt, inte via ett intyg som behöver återkallas.
Principen bygger på en distinktion som vi vill etablera som gemensamt språk:
| Källburen egenskap | Granskningsburen egenskap | |
|---|---|---|
| Exempel | Organisationen är vårdgivare enligt IVO | Systemet uppfyller kraven för en viss typ av tjänst |
| Var sanningen finns | I en extern betrodd källa | I den prövning som utförts |
| Vad utfärdaren gör | Speglar en uppgift som någon annan äger | Konstituerar faktumet genom sin prövning |
| Vid förändring | Källan ändras och intyget blir osant | Förutsättningarna ändras och intyget ska återkallas |
| Huvudrisk | Parallell struktur som divergerar från källan | Prövningsordningens kvalitet och uthållighet |
Principen förutsätter något vi inte själva levererar i steg 2. Nationella betrodda källor behöver exponeras inom federationen som skyddade resurser, på samma sätt som vilken resursserver som helst, så att en part kan slå mot dem inför ett åtkomstbeslut. En sådan källa är då per definition en behörighetskälla som frågas, inte en egenskap som förmedlas.
Principen behöver också en ventil. Om en källa i praktiken inte finns tillgänglig maskinellt kan det finnas realiseringsskäl att tillfälligt, eller åtminstone medvetet och kontrollerat, spegla uppgiften i ett intyg. Hur och när sådana undantag bör tillämpas återstår att utreda i det fortsatta arbetet.
Öppna frågor:
Detta är kärnan i modellen. Tilliten till vad ett intyg betyder och tilliten till att ett enskilt intyg är äkta är två olika saker och bärs av olika roller. Om de blandas ihop uppstår förväntningen att federationsoperatören godkänner intygens sakinnehåll, vilket varken är möjligt eller önskvärt.
Två nya roller tillkommer i rollmodellen utöver ledningsaktör, federationsoperatör, anslutningsoperatör och federationsmedlem:
Rollerna är åtskilda även när samma juridiska person innehar båda. En anslutningsoperatör kan mycket väl inneha utfärdarrollen, men då är det samma juridiska person i två roller, inte en sammanslagen roll. En federationsmedlem är däremot inte utfärdare. Medlemskapet handlar om att publicera protokollentiteter, medan utfärdarrollen är en central federationsroll.
Hypotes. Hur ansvaret fördelas mellan roller:
| Roll | Går i god för | Går inte i god för |
|---|---|---|
| Ledningsaktör | Att en federationsbetrodd egenskapsintyg har en godkänd ägare och en dokumenterad innebörd | Egenskapens sakinnehåll eller hur den ska värderas |
| Egenskapsintygsägare | Innebörd, tillitsgrund, krav för utfärdande, tillåtna utfärdare och att prövningsordningen bakom kraven håller | Det enskilda utfärdandet |
| Egenskapsintygsutfärdare | Att det enskilda intyget utfärdats enligt kraven, att underlaget är tillräckligt och spårbart, och att intyget återkallas när förutsättningarna brister | Att uppgifter som lämnats som underlag är korrekta |
| Federationsoperatör | Att utfärdaren är registrerad och betrodd i federationskontexten och att intyget är tekniskt verifierbart | Innebörd eller sakinnehåll |
| Mottagande part | Sin egen användning av intyget i beslutet |
Att federationsoperatören enbart går i god för äkthet och utfärdarens betroddhet är ett ställningstagande. Annat ställningstagande skulle innebära att federationsoperatören måste förstå varje sektors verksamhetsnära tillämpning för att kunna svara för vad ett intyg betyder vilket skalar sämre.
Hypotes. Det är ledningsaktören som utser eller godkänner egenskapsintygsägare, eftersom det är ett verksamhetsmässigt erkännande av en aktör som normerande inom en sektor eller domän, snarare än en operativ registrering. Federationsoperatören ansvarar för att utfärdare registreras och blir verifierbara i metadata inom kontexten. Detta behöver prövas och beslutas i steg 2.
Ägarrollen är den viktigaste fragmenteringsspärren i hela modellen. Om många aktörer definierar snarlika egenskaper som betyder nästan samma sak men uttrycks olika, kommer en kommun att behöva påvisa samma sak flera gånger mot olika mottagare. Det är en kostnadsfrivande kravfragmentering vi bör motverka.
Det finns därför skäl att begränsa vilka som kan vara egenskapsintygsägare, åtminstone inledningsvis. Begränsning bör ske på kvalificerande kriterier snarare än på organisationsform. Möjliga kriterier:
Vi vill vara öppna med att en begränsning också medför risker som behöver diskuteras vidare:
Öppen fråga. Ska en snävare avgränsning gälla initialt i BAS, till exempel till statliga myndigheter, som ett lärandeval snarare än en princip? I så fall bör den vara uttryckligen tidsbegränsad och motiveras med lärandebehovet.
Öppen fråga. Hur etableras en ny egenskapsintygstyp, och hur prövas den mot redan befintliga typer så att vi inte får snarlika dubbletter? Detta är den mekanism som faktiskt bär fragmenteringsspärren och den finns ännu inte beskriven någonstans.
Ansvaret för att prövningen bakom ett egenskapsintyg faktiskt är tillräcklig bör ligga hos egenskapsintygsägaren av följande skäl:
En distribuerad ansvarsfördelning är en förutsättning för att modellen ska skala. Ansvaret ska ligga där rådigheten finns.
Öppen fråga. Behöver plattformen ändå normera formerna för granskning, till exempel krav på oberoende, dokumentation eller granskningsstandard, även om ansvaret ligger hos ägaren? Finns behov av någon form av gemensam minsta ordning för att intyg ska kunna värderas över kontextgränser?
Ett egenskapsintyg ska ha dokumenterade giltighetsvillkor och ska kunna återkallas eller upphöra när de krav som låg till grund för intyget inte längre är uppfyllda. Utfärdaren ska ha rutiner för hela livscykeln, inklusive felaktigt utfärdade intyg.
Öppen fråga. Behöver även egenskapsintygstyper omprövas periodiskt, och vad händer med utfärdade intyg när en typ ändras eller upphör? Går detta att generalisera
Del 2: Företrädarskap
xxxxx