Registeringsregler

Identitets- och organisationskontroll

1.1 Organisationskoppling

Anslutningsoperatör ska verifiera att:

  • LE är kopplad till rätt federationsmedlem (juridisk person).

  • organization_identifier och organization_name överensstämmer med medlemskapet.

  • Registreringen initieras av behörig företrädare enligt anslutningspolicy.

Syfte: Förhindra att en aktör registrerar komponenter i annan organisations namn.

1.2 Entity Identifier (entity_id)

Anslutningsoperatör ska verifiera att:

  • entity_id är en HTTPS-URI.

  • Host ligger inom federationsmedlemmens kontrollerade domän.

  • Domänkontroll är styrkt (DNS, PKI eller likvärdig verifiering).

  • Identifieraren inte skapar förväxlingsrisk.

Syfte: Förhindra domänkapning och identitetsförväxling.

1.3 Authority Hints (Vill vi begränsa det?)

Anslutningsoperatör ska verifiera att:

  • authority_hints pekar på rätt överordnad (IM).

  • LE inte kan etablera trust chain via oavsedd federation.

Syfte: Förhindra federation-hoppning.

2. Komponent- och delegationskontroll

2.1 Rollbegränsning

Anslutningsoperatör ska säkerställa att:

  • LE registreras med endast tillåten protokollroll (OP, RP, AS eller Resource).

  • Multipla roller under samma entity_id inte tillåts om det inte uttryckligen är beslutat.

  • LE inte innehåller federation_entity-metadata.

Syfte: Förhindra rollförväxling och oavsiktlig policydelegering.

2.2 Delegering (Bör detta begränsas i en "gemensam" policy!?)

Anslutningsoperatör ska i Subordinate Statement ange:

  • max_path_length: 0 (om inte särskilt undantag beslutas).

Syfte: Förhindra vidaredelegering och oavsiktlig hierarkibildning.

3. Endpoint- och trafikbindning

3.1 HTTPS-krav

Anslutningsoperatör ska verifiera att alla endpoints:

  • är HTTPS

  • använder giltigt servercertifikat

Gäller t.ex.:

  • authorization_endpoint

  • token_endpoint

  • userinfo_endpoint

  • jwks_uri

  • PAR-endpoint

  • redirect_uris

3.2 Domänkonsistens (Hur fungerar detta med hosted entities!?)

Anslutningsoperatör ska säkerställa att:

  • Endpoint-host är konsistent med entity_id-host eller godkänt subdomänträd.

  • Redirect URIs är exakt matchade och domänkontrollerbara.

  • jwks_uri ligger inom kontrollerbar domän.

Syfte: Förhindra endpoint-spoofing och token-exfiltration.

4. Kryptografisk basnivå

4.1 Federationsnycklar

Anslutningsoperatör ska verifiera att:

  • JWKS innehåller endast publika nycklar.

  • Nycklar uppfyller federationens minimikrav (t.ex. RSA ≥ 2048 bitar eller godkänd EC).

  • kid är unika.

  • Nyckelmaterial tillhör LE.

4.2 Protokollnycklar

Anslutningsoperatör ska säkerställa att:

  • jwks och jwks_uri inte kombineras i strid med profil.

  • Algoritmer följer federationens whitelist.

  • Algoritmen none inte tillåts.

  • Svaga eller symmetriska algoritmer inte används om federationen kräver asymmetrisk signering.

Syfte: Förhindra kryptografisk downgrade.

5. Protokollrestriktioner

5.1 Redirect URI (RP)

Anslutningsoperatör ska verifiera:

  • HTTPS

  • Exakt matchning (inga wildcards)

  • Inga fragment

  • Domänkontrollerbarhet

5.2 Client Authentication (RP)

Anslutningsoperatör ska begränsa:

  • token_endpoint_auth_method enligt federationens krav (t.ex. private_key_jwt).

  • Tillåtna signeringsalgoritmer.

5.3 Scope- och funktionsbegränsning (AS/OP)

Anslutningsoperatör ska säkerställa att:

  • scopes_supported är förenliga med federationens scope-policy.

  • LE inte annonserar odefinierade federationskritiska scopes.

5.4 ACR / Tillitsnivå

Anslutningsoperatör ska säkerställa att:

  • acr_values_supported inte överstiger tilldelad tillitsnivå.

  • LE inte kan självdeklarera högre LoA än vad som är beslutat.

Syfte: Förhindra falsk säkerhetsnivå.

6. Metadata-konsistens

Anslutningsoperatör ska kontrollera att:

  • Metadata är konsistent (entity_id, endpoints, jwks_uri, redirect_uris).

  • Otillåtna extensions inte förekommer.

7. Spårbarhet och dokumentation

Anslutningsoperatör/IM ska journalföra:

  • Organisationsverifiering

  • Domänverifiering

  • Nyckelverifiering

  • Endpoint-kontroll

  • Tillämpad policyversion

  • Beslut och beslutsfattare

Underlag ska kunna uppvisas vid revision.

8. Teknisk effekt vid publicering

Anslutningsoperatör ska säkerställa att:

  • Entity Configuration är validerbar.

  • Subordinate Statement är korrekt signerad.

  • Registreringspolicy-identifierare är inkluderad.

  • Tillitskedjan etableras korrekt.

9. Vid uppdatering eller nyckelbyte

Anslutningsoperatör ska:

  • Riskbedöma ändringen.

  • Kräva ny kontroll vid ändring av:

    • Domän

    • Nycklar

    • Endpoints

    • Organisationskoppling

  • Säkerställa kontrollerad nyckelrotation.

  • No labels