Status: UTKAST

Målgrupp: Taktiskt utskott och de arbetsgrupper som ska bidra i steg 2

Syfte: Skapa en gemensam bild av vad vi försöker lösa i steg 2 och hur vi vill att det ska fungera, så att det fortsatta arbetet drar åt samma håll

Om dokumentet

Detta dokument beskriver vad Samordnad identitet och behörighet vill åstadkomma med steg 2 i Taktisk färdplan - Federationsplattform. Det beskriver riktning, bärande principer och ansvarsfördelning. Det beskriver inte lösningar i detalj.

Dokumentet är avsiktligt formulerat så att det går att invända mot genom att uttryckligen hålla isär: 

• Ställningstaganden. 
• Hypotes. 
• Öppna frågor.

Federationsplattformen är den gemensamma normativa grunden. Federationskontexterna är tillämpningar av den. Det som beskrivs här ska normeras på plattformsnivå.

Steg 2 innehåller två leveranser som ska hållas isär där egenskapsintyg och företrädarskap löser olika problem. De kan komma att dela "mekanismer", men de ska inte förklaras som samma sak.

Utgångspunkt: vad steg 1 ger och varför det inte räcker

Steg 1 gör det möjligt för en mottagande part att verifiera vilken teknisk komponent som anropar, vilken organisation som ansvarar för komponenten, och enligt vilka krav komponentens metadata har registrerats. Det är grunden för allt som följer. Innan en part säkert vet vem som anropar saknar frågor om egenskaper och behörigheter fäste.

För många informationsutbyten räcker det inte. Två saker återstår som mottagaren behöver kunna avgöra maskinellt:

• Vilka egenskaper har den anropande parten? Att veta att det är kommun X eller system Y räcker inte om beslutet om åtkomst förutsätter att motparten till exempel är vårdgivare, är ett journalsystem, eller uppfyller vissa krav på hur användarens identitet hanteras.
• För vems räkning sker anropet? Många organisationer driver inte sina egna system. Om en tjänsteleverantör driftar en tjänst åt en kommun är det kommunen som är den verkliga avsändaren av begäran. Om mottagaren prövar leverantören i stället för kommunen blir prövningen felaktig.

Steg 2 löser dessa två saker. Tilliten är fortsatt maskin- och organisationsbaserad. Användare tillkommer först i senare steg.

Del 1: Egenskapsintyg

Vad ett egenskapsintyg är

I OpenID Federation finns en teknisk bärare som kallas trust mark. Den är i sig bara en bärare. När vi talar om egenskapsintyg menar vi den bäraren plus en verksamhetsmässig innebörd, en angiven tillitsgrund, en identifierad ägare, tillåtna utfärdare, dokumenterade krav för utfärdande och en definierad ansvarsfördelning. Det är den verksamhetsmässiga inramningen som är vår leverans i steg 2, inte den tekniska bäraren.

Egenskapsintyg är det normerande begreppet inom Samordnad identitet och behörighet. Enskilda aktörer kan använda andra ord i sina egna sammanhang, men i plattformens artefakter heter det egenskapsintyg.

Ett egenskapsintyg är inte ett åtkomstbeslut. Det är underlag. Den mottagande parten avgör själv vilken betydelse intyget har tillsammans med annan information som parten har rätt att använda, och ansvarar för det beslutet.

Egenskapsintyg som är digitalt stämplade utgör urkunder. Osant intygande är därmed straffsanktionerat. Det är ett skäl till att utfärdarrollen kan komma att behöva begränsas samt medföra höga krav på spårbart underlag . Den närmare rättsliga innebörden behöver utvecklas under arbetet.

"Källprincipen"

Detta är en styrande principen i hela steg 2 och den bör läsas först.

Skälet är att en spegling riskerar att skapa en parallell sanning. Uppgiften finns då på två ställen, med två livscykler, och de riskerar att glida isär. 

T.ex. om en nationell betrodd källa för vårdgivare ändrar en uppgift om en vårdgivare ska det slå igenom direkt, inte via ett intyg som behöver återkallas.

Principen bygger på en distinktion som vi vill etablera som gemensamt språk:

Principen förutsätter något vi inte själva levererar i steg 2. Nationella betrodda källor behöver exponeras inom federationen som skyddade resurser, på samma sätt som vilken resursserver som helst, så att en part kan slå mot dem inför ett åtkomstbeslut. En sådan källa är då per definition en behörighetskälla som frågas, inte en egenskap som förmedlas.

Principen behöver också en ventil. Om en källa i praktiken inte finns tillgänglig maskinellt kan det finnas realiseringsskäl att tillfälligt, eller åtminstone medvetet och kontrollerat, spegla uppgiften i ett intyg. Hur och när sådana undantag bör tillämpas återstår att utreda i det fortsatta arbetet.

Öppna frågor:

• Under vilka förutsättningar får spegling av en källburen egenskap ske, hur länge, och vem godkänner det?

Roller och vem som går i god för vad

Detta är kärnan i modellen. Tilliten till vad ett intyg betyder och tilliten till att ett enskilt intyg är äkta är två olika saker och bärs av olika roller. Om de blandas ihop uppstår förväntningen att federationsoperatören godkänner intygens sakinnehåll, vilket varken är möjligt eller önskvärt.

Två nya roller tillkommer i rollmodellen utöver ledningsaktör, federationsoperatör, anslutningsoperatör och federationsmedlem:

• Egenskapsintygsägare. Den aktör som ansvarar för en egenskapsintygstyps innebörd, tillitsgrund, krav för utfärdande och vilka som får utfärda den. Ägaren är den normerande aktören för egenskapen.
• Egenskapsintygsutfärdare. Den aktör som utfärdar enskilda intyg enligt ägarens definition och krav.

Rollerna är åtskilda även när samma juridiska person innehar båda. En anslutningsoperatör kan mycket väl inneha utfärdarrollen, men då är det samma juridiska person i två roller, inte en sammanslagen roll. En federationsmedlem är däremot inte utfärdare. Medlemskapet handlar om att publicera protokollentiteter, medan utfärdarrollen är en central federationsroll.

Hypotes. Hur ansvaret fördelas mellan roller:

Att federationsoperatören enbart går i god för äkthet och utfärdarens betroddhet är ett ställningstagande. Annat ställningstagande skulle innebära att federationsoperatören måste förstå varje sektors verksamhetsnära tillämpning för att kunna svara för vad ett intyg betyder vilket skalar sämre.

Hypotes. Det är ledningsaktören som utser eller godkänner egenskapsintygsägare, eftersom det är ett verksamhetsmässigt erkännande av en aktör som normerande inom en sektor eller domän, snarare än en operativ registrering. Federationsoperatören ansvarar för att utfärdare registreras och blir verifierbara i metadata inom kontexten. Detta behöver prövas och beslutas i steg 2.

Vem som ska få äga egenskapsintyg

Ägarrollen är den viktigaste fragmenteringsspärren i hela modellen. Om många aktörer definierar snarlika egenskaper som betyder nästan samma sak men uttrycks olika, kommer en kommun att behöva påvisa samma sak flera gånger mot olika mottagare. Det är en kostnadsfrivande kravfragmentering vi bör motverka.

Det finns därför skäl att begränsa vilka som kan vara egenskapsintygsägare, åtminstone inledningsvis. Begränsning bör ske på kvalificerande kriterier snarare än på organisationsform. Möjliga kriterier:

• ett normerande mandat inom den domän egenskapen avser, genom författning, uppdrag eller erkänd samordnande roll
• uthållig förvaltningsförmåga över tid, eftersom en egenskapsintygstyp är långlivad och måste omprövas och kunna återkallas
• transparent, dokumenterad och icke-diskriminerande kravutformning
• oberoende i förhållande till dem som ska uppfylla kraven, alltså ingen kommersiell fördel av hur kraven utformas
• godkännande av ledningsaktören, med möjlighet till återkallelse

Vi vill vara öppna med att en begränsning också medför risker som behöver diskuteras vidare:

• Om aktörer med reellt normeringsbehov utestängs är det troliga utfallet att de bygger egen ordning utanför modellen. Då ökar fragmenteringen i stället för att minska.
• Alla domäner har ingen sektorsmyndighet. Kommunal sektor är det tydliga exemplet.
• Om varje ny egenskap kräver att en myndighet tar ägarskap riskerar staten att bli flaskhals.

Öppen fråga. Ska en snävare avgränsning gälla initialt i BAS, till exempel till statliga myndigheter, som ett lärandeval snarare än en princip? I så fall bör den vara uttryckligen tidsbegränsad och motiveras med lärandebehovet.

Öppen fråga. Hur etableras en ny egenskapsintygstyp, och hur prövas den mot redan befintliga typer så att vi inte får snarlika dubbletter? Detta är den mekanism som faktiskt bär fragmenteringsspärren och den finns ännu inte beskriven någonstans.

Granskning och efterlevnad

Ansvaret för att prövningen bakom ett egenskapsintyg faktiskt är tillräcklig bör ligga hos egenskapsintygsägaren av följande skäl:

• Kunskapen finns där. Ägaren är den som normerar egenskapen och därmed den enda som kan bedöma om en prövning svarar mot vad egenskapen ska betyda.
  • Alternativet centraliserar ett orimligt ansvar. Om federationsoperatören eller ledningsaktören skulle svara för granskningens kvalitet inom alla domäner skulle Digg behöva förstå all verksamhetsnära tillämpning i hela offentlig sektor. Det är inte görbart, och det skulle dessutom motsäga att federationsoperatören enbart går i god för äkthet.

En distribuerad ansvarsfördelning är en förutsättning för att modellen ska skala. Ansvaret ska ligga där rådigheten finns.

Öppen fråga. Behöver plattformen ändå normera formerna för granskning, till exempel krav på oberoende, dokumentation eller granskningsstandard, även om ansvaret ligger hos ägaren? Finns behov av någon form av gemensam minsta ordning för att intyg ska kunna värderas över kontextgränser?

Giltighet och förändring

Ett egenskapsintyg ska ha dokumenterade giltighetsvillkor och ska kunna återkallas eller upphöra när de krav som låg till grund för intyget inte längre är uppfyllda. Utfärdaren ska ha rutiner för hela livscykeln, inklusive felaktigt utfärdade intyg.

Öppen fråga. Behöver även egenskapsintygstyper omprövas periodiskt, och vad händer med utfärdade intyg när en typ ändras eller upphör? Går detta att generalisera

Del 2: Företrädarskap

xxxxx