From 462a32c2c05a91384de81d155f85867d58fe5702 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?Martin=20Lindstr=C3=83=C2=B6m?= Date: Fri, 30 Aug 2019 11:53:21 +0200 Subject: [PATCH] IS-50 Sweden Connect logo MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Made sure to remove elegnämnden references and updated reference lists. --- ELN-0600 - Tekniskt ramverk - Introduktion.md | 360 +++++++++++------- ...t Profile for the Swedish eID Framework.md | 7 +- ELN-0603 - Registry for Identifiers.md | 6 +- ...ification for the Swedish eID Framework.md | 29 +- ...r using DSS in Central Signing Services.md | 72 ++-- ...te Profile for Central Signing Services.md | 99 +++-- ...ification for the Swedish eID Framework.md | 262 +++++++------ ELN-0613 - Signature Activation Protocol.md | 34 +- ...lection in SAML Authentication Requests.md | 12 +- versions.md | 8 +- 10 files changed, 514 insertions(+), 375 deletions(-) diff --git a/ELN-0600 - Tekniskt ramverk - Introduktion.md b/ELN-0600 - Tekniskt ramverk - Introduktion.md index 0632e84..e9d6833 100644 --- a/ELN-0600 - Tekniskt ramverk - Introduktion.md +++ b/ELN-0600 - Tekniskt ramverk - Introduktion.md @@ -1,8 +1,8 @@ - + -# En introduktion till E-legitimationsnämndens Tekniska ramverk +# En introduktion till Sweden Connect Teknisk ramverk -### 2018-06-19 +### 2019-08-28 *ELN-0600* @@ -16,7 +16,7 @@ 1.2. [Tillitsramverk och säkerhetsnivåer](#tillitsramverk-och-saekerhetsnivaaer) - 1.3. [Tjänst för insamling, administration och publicering av metadata](#tjaenst-foer-insamling,-administration-och-publicering-av-metadata) + 1.3. [Tjänst för insamling, administration och publicering av metadata](#tjaenst-foer-insamling-administration-och-publicering-av-metadata) 1.4. [Anvisningstjänst](#anvisningstjaenst) @@ -24,7 +24,7 @@ 1.6. [Underskrift](#underskrift) - 1.7. [E-legitimationsnämndens tekniska ramverk och eIDAS](#e-legitimationsnaemndens-tekniska-ramverk-och-eidas) + 1.7. [Tekniskt ramverk och eIDAS](#tekniskt-ramverk-och-eidas) 1.7.1. [Autentiseringar med utländska e-legitimationer](#autentiseringar-med-utlaendska-e-legitimationer) @@ -37,20 +37,34 @@ 2. [**Tekniska specifikationer**](#tekniska-specifikationer) 2.1. [SAML-profiler](#saml-profiler) + + 2.1.1. [Deployment Profile for the Swedish eID Framework](#deployment-profile-for-the-swedish-eid-framework) - 2.2. [Specifikationer för identitetsfederationer som följer E-legitimationsnämndens tekniska ramverk](#specifikationer-foer-identitetsfederationer-som-foeljer-e-legitimationsnaemndens-tekniska-ramverk) - - 2.2.1. [Register för identifierare definierade av E-legitimationsnämnden](#register-foer-identifierare-definierade-av-e-legitimationsnaemnden) - - 2.2.2. [Attributspecifikation](#attributspecifikation) + 2.1.2. [Swedish eID Framework - Registry for identifiers](#swedish-eid-framework-registry-for-identifiers) + + 2.1.3. [Attribute Specification for the Swedish eID Framework](#attribute-specification-for-the-swedish-eid-framework) + + 2.1.4. [Entity Categories for the Swedish eID Framework](#entity-categories-for-the-swedish-eid-framework) - 2.2.3. [Specifikationer av entitetskategorier](#specifikationer-av-entitetskategorier) + 2.1.5. [eIDAS Constructed Attributes Specification for the Swedish eID Framework](#eidas-constructed-attributes-specification-for-the-swedish-eid-framework) + + 2.1.6. [Implementation Profile for BankID Identity Providers within the Swedish eID Framework](#bankid-profile) + + 2.1.7. [Principal Selection in SAML Authentication Requests](#principal-selection-in-saml-authentication-requests) - 2.3. [Specifikationer för Underskriftstjänst](#specifikationer-foer-underskriftstjaenst) + 2.2. [Specifikationer för Underskrift](#specifikationer-foer-underskrift) + + 2.2.1. [Implementation Profile for using OASIS DSS in Central Signing Services](#implementation-profile-oasis-dss) + + 2.2.2. [DSS Extension for Federated Central Signing Services](#dss-extensions) + + 2.2.3. [Certificate Profile for Certificates Issued by Central Signing Services ](#certificate-profile-css) + + 2.2.4. [Signature Activation Protocol for Federated Signing](#signature-activation) 3. [**Referenslista**](#referenslista) - 3.1. [E-legitimationsnämnden](#e-legitimationsnaemnden) + 3.1. [E-legitimationsnämnden, DIGG](#e-legitimationsnaemnden) 3.2. [Övriga referenser](#oevriga-referenser) @@ -60,19 +74,17 @@ ### 1.1. Översikt -E-legitimationsnämndens tekniska ramverk är anpassat för +Sweden Connect Tekniskt Ramverk är anpassat för identitetsfederationer som baseras på SAML 2.0. Förlitande parter erhåller identitetsintyg i ett standardiserat format -från en identitetsintygstjänst, i detta ramverk benämnd -legitimeringstjänst. Legitimeringstjänsterna tillhandahålls av, i -federationen, godkända leverantörer av intygstjänster. +från en legitimeringstjänst1. -Detta innebär också att e-tjänster som kräver underskrift inte längre -behöver anpassas efter olika användares e-legitimationer för att skapa -elektroniska underskrifter. Istället överlåter e-tjänsten detta till en -underskriftstjänst där användare med stöd av legitimering via -intygstjänsten ges möjlighet att underteckna elektroniska handlingar. +E-tjänster som kräver underskrift behöver inte anpassas efter olika +användares e-legitimationer för att skapa elektroniska underskrifter. +Istället överlåter e-tjänsten detta till en underskriftstjänst där användare +med stöd av legitimering via en legitimeringstjänst ges möjlighet att underteckna +elektroniska handlingar. Inom federationen intar e-tjänster och motsvarande förlitande parter rollen som Service Provider (SP) medan legitimeringstjänster som @@ -92,16 +104,17 @@ Då såväl personidentitetsuppgifter som andra attribut kopplat till användare tillhandahålls genom identitetsintyg och attributsintyg, kan alla typer av e-legitimationer som förlitande part har avtal om och som ingår i federationen användas för legitimering mot en e-tjänst som -kräver såväl personnummer/samordningsnummer som ytterligare information -om juridisk behörighet, även om e-legitimationen inte innehåller några -specifika personuppgifter (t.ex. koddosor för generering av -engångslösenord). +kräver såväl personnummer som ytterligare information, även om +e-legitimationen inte innehåller några specifika personuppgifter +(t.ex. koddosor för generering av engångslösenord). ![](img/sweeid-overview1.jpg) Figur 1: *Illustration av kommunikationen mellan de olika tjänsterna inom en identitetsfederation.* +> \[1\]: Legitimeringstjänst benämns i annan dokumentation från DIGG också som identitetstjänst och intygstjänst. I detta dokument används dock uteslutande benämningen legitimeringstjänst. + ### 1.2. Tillitsramverk och säkerhetsnivåer @@ -109,7 +122,7 @@ Grunden för vilken säkerhetsnivå som tillämpas när en användare legitimerar sig är den tillitsnivå avseende e-legitimationen som e-tjänsten kräver. För att dessa säkerhetsnivåer ska kunna vara jämförbara inom ramen för federationen definieras fyra tillitsnivåer (1 -– 4) i Tillitsramverket för Svensk e-legitimation \[EidTillit\] och tre +– 4) i Tillitsramverket för Svensk e-legitimation \[[EidTillit](#eidtillit)\] och tre tillitsnivåer (låg, väsentlig, hög) i EU-förordningen eIDAS. Alla som utfärdar identitetsintyg måste visa att hela den process som ligger till grund för utfärdandet av identitetsintyg uppfyller kraven i den @@ -127,11 +140,11 @@ efterfrågade tillitsnivån, detta innefattar bl.a. - Krav på fastställande av den e-legitimationssökandens identitet. - + ### 1.3. Tjänst för insamling, administration och publicering av metadata En SAML-federation tillhandahåller information om federationens -deltagare genom s.k. metadata. Som deltagare i en federation räknas +deltagare genom SAML metadata. Som deltagare i en federation räknas såväl aktörer som levererar legitimerings- och attributtjänster i federationen som förlitande parter, d.v.s. aktörer som konsumerar dessa tjänster, t ex. e-tjänster. @@ -141,19 +154,13 @@ deltagares tjänster, inklusive de uppgifter som krävs för ett säkert informationsutbyte mellan deltagarna. Metadata måste hållas uppdaterat av respektive part och överensstämma med avtalade förhållanden. -Det viktigaste syftet med metadata är att tillhandahålla de nycklar som -krävs för säker kommunikation och informationsutväxling mellan tjänster. +Det viktigaste syftet med metadata är att tillhandahålla de nycklar/certifikat +som krävs för säker kommunikation och informationsutväxling mellan tjänster. Utöver nycklar innehåller metadata även annan information som är viktig för samverkan mellan tjänster t ex. adresser till funktioner som krävs, information om tillitsnivåer, tjänstekategorier, användargränssnittsinformation mm. -Identitetsfederationer förutsätter att legitimeringstjänster och -e-tjänster litar på varandra och därmed kan verifiera de signaturer som -används i kommunikationen mellan parterna. Rent tekniskt baseras denna -tillit på att respektive aktörer litar på varandras -signeringscertifikat. - En identitetsfederation definieras av ett register i XML-format som är signerat med federationsoperatörens certifikat. Filen innehåller information om identitetsfederationens medlemmar inklusive deras @@ -181,6 +188,8 @@ som gör sitt val och användaren, tillsammans med dennes val, styrs tillbaka till e-tjänsten som nu vet till vilken legitimeringstjänst användaren ska skickas för legitimering. +> För närvarande finns ingen gemensam anvisningstjänst för Sweden Connect-federationen. + ### 1.5. Integration hos förlitande part @@ -188,42 +197,44 @@ Förlitandeparter, t.ex. e-tjänster, integrerar mot legitimeringstjänster genom standardiserade meddelanden och konsumerar identitetsintyg vilka också har standardiserade format. -E-legitimationsnämndens tekniska ramverk bygger på interoperabilitetsprofilen ” SAML2int -Profile – SAML 2.0 Interoperability Profile” -\[[SAML2Int](http://saml2int.org/profile/current/)\]. Profilen stöds av -ett flertal kommersiella produkter och Open Source-lösningar, vilket -underlättar integrationsarbetet hos e-tjänster. +Sweden Connect tekniskt ramverk bygger på interoperabilitetsprofilen +”SAML V2.0 Deployment Profile for Federation Interoperability” +\[[SAML2Int](#saml2int)\]. Profilen stöds av ett flertal kommersiella +produkter och Open Source-lösningar, vilket underlättar integrationsarbetet +hos e-tjänster. Många e-tjänster använder fristående autentiseringslösningar vilket innebär att en anpassning av integrationen för att följa -E-legitimationsnämndens tekniska ramverk får en begränsad påverkan på -e-tjänsten som sådan. +tekniskt ramverk får en begränsad påverkan på e-tjänsten som sådan. ### 1.6. Underskrift -Vid underskrift blir det med E-legitimationsnämndens tekniska ramverk +Vid underskrift blir det med Sweden Connect tekniskt ramverk möjligt att använda olika typer av e-legitimationer, även sådana som inte är certifikatbaserade, utan att speciella anpassningar i e-tjänsten -behövs. Orsaken är att det är det elektroniskt utställda +behövs. Anledningen är att det är det elektroniskt utställda identitetsintyget (som används för identifiering av användare vid underskrift) har samma format oavsett vilken typ av e-legitimation som användaren använder. En underskriftstjänst har som syfte att möjliggöra underskrift inom -identitetsfederationer som följer E-legitimationsnämndens tekniska -ramverk med stöd av alla typer av e-legitimationer som erbjuder -tillräcklig grad av säkerhet. +identitetsfederationer som följer tekniskt ramverk med stöd av alla +typer av e-legitimationer som erbjuder tillräcklig grad av säkerhet. -Genom att upphandla och införa en underskriftstjänst kan en förlitande -part som ingår i en sådan federation låta en användare skriva under en -elektronisk handling med stöd av den upphandlande underskriftstjänsten. +Genom att upphandla1 och införa en underskriftstjänst kan en förlitande +part som ingår i federationen låta en användare skriva under en +elektronisk handling med stöd av underskriftstjänsten. Användarens elektroniska signatur och tillhörande signeringscertifikat skapas av underskriftstjänsten efter det att användaren accepterat att -skriva under genom att legitimera sig mot underskriftstjänsten. +skriva under genom att legitimera sig mot underskriftstjänsten2. + +> \[1\]: Det är också möjligt att själv implementera en underskriftstjänst baserat på specifikationerna i tekniskt ramverk, eller på annat sätt införskaffa en underskriftstjänst. - -### 1.7. E-legitimationsnämndens tekniska ramverk och eIDAS +> \[2\]: Viktigt att påpeka är att det är av största vikt att användaren upplever det som att denne skriver under en handling. Därför ska ett underskriftsflöde användas för de e-legitimationer som stödjer detta i samband med "legitimering för underskrift". + + +### 1.7. Tekniskt ramverk och eIDAS EU-förordningen ([910/2014](http://eur-lex.europa.eu/legal-content/SV/TXT/PDF/?uri=CELEX:32014R0910&from=EN)) om elektronisk identifiering och betrodda tjänster, eIDAS, ställer krav på svenska offentliga organ att erkänna de @@ -236,15 +247,14 @@ land. #### 1.7.1. Autentiseringar med utländska e-legitimationer De tekniska specifikationerna för eIDAS bygger, såsom -E-legitimationsnämndens tekniska ramverk, på SAML-standarder, och även +tekniskt ramverk, på SAML-standarder, och även om likheterna är många finns även skillnader i dessa specifikationer. En svensk e-tjänst ska dock inte förhålla sig direkt till eIDAS tekniska specifikationer. Nedanstående bild illustrerar hur -E-legitimationsnämndens eIDAS-nod (*eIDAS-connector*) agerar som en brygga -mellan andra länder och en svensk federation då en person autentiseras +den svenska eIDAS-noden (*eIDAS-connector*) agerar som en brygga +mellan andra länder och den svenska federationen då en person autentiseras med en utländsk e-legitimation mot en svensk e-tjänst. -E-legitimationsnämndens eIDAS-nod följer E-legitimationsnämndens tekniska -ramverk. +Den svenska eIDAS-noden följer tekniskt ramverk. ![](img/eidas-flow.jpg) @@ -259,12 +269,11 @@ Flödet är enligt följande: 3. E-tjänsten skapar en legitimeringsbegäran enligt detta tekniska ramverk och styr användaren till den svenska eIDAS-noden (*connector*) - som E-legitimationsnämnden ansvarar för. eIDAS-noden uppträder som - en legitimeringstjänst (*Identity Provider*) i federationen/-erna in + som DIGG ansvarar för. eIDAS-noden uppträder som + en legitimeringstjänst (*Identity Provider*) i federationen in mot svenska förlitande parter vilket innebär att kommunikation med denna tjänst utförs på samma sätt som mot övriga - legitimeringstjänster inom federationer som följer - E-legitimationsnämndens tekniska ramverk. + legitimeringstjänster inom federationer som följer tekniskt ramverk. 4. Den mottagna begäran behandlas och eIDAS-noden visar upp en valsida där användaren väljer ”sitt land”1. Den svenska eIDAS-noden @@ -286,34 +295,37 @@ Flödet är enligt följande: 7. Detta intyg styrs nu vidare till den svenska eIDAS-noden. Noden tar emot intyget och validerar dess korrekthet. I samband med att intyget transformeras från eIDAS-format till ett intyg utformat - enligt E-legitimationsnämndens tekniska ramverk anropar noden också + enligt tekniskt ramverk anropar noden också en attributtjänst för att, om möjligt, givet eIDAS-attribut erhålla attribut som stöds av den svenska e-tjänsten (t.ex. slå upp ett - svenskt person- eller samordningsnummer givet ett eIDAS - *PersonIdentifier*-attribut). + svenskt personnummer givet ett eIDAS *PersonIdentifier*-attribut)2. 8. Slutligen postas ett intyg, på ett format som uppfyller - E-legitimationsnämndens tekniska ramverk, till e-tjänsten. + tekniskt ramverk, till e-tjänsten. 9. Förlitande part kompletterar eventuellt med ytterligare information och avgör om användaren ska ges till åtkomst till tjänsten. -Svenska e-tjänster behöver således endast stödja E-legitimationsnämndens -tekniska ramverk för att kunna hantera en autentisering utförd med en +Svenska e-tjänster behöver således endast stödja +tekniskt ramverk för att kunna hantera en autentisering utförd med en europeisk e-legitimation. Dock måste e-tjänsten kunna hantera den -identitet som presenteras, vilket inte nödvändigtvis är ett personnummer -eller samordningsnummer. Det kan alltså hända att en e-tjänst -autentiserar en användare via eIDAS-ramverket, men att användarens +identitet som presenteras, vilket inte nödvändigtvis är ett personnummer. +Det kan alltså hända att en e-tjänst autentiserar en användare via +eIDAS-ramverket, men att användarens presenterade identitet inte går att använda hos e-tjänsten. Mer om detta i kapitlet 1.7.3 nedan. > \[1\]: Egentligen väljer användaren till vilken ”eIDAS Proxy-tjänst” som begäran ska skickas vidare till. Detta är beroende landstillhörigheten för användarens e-legitimationsutfärdare. +> \[2\]: I skrivande stund (augusti 2019) finns ingen attributtjänst som utför koppling mellan eIDAS-identiteter och svenska personnummer. + + #### 1.7.2. Underskrifter med utländska e-legitimationer -Inom ramen för detta tekniska ramverk tillämpas en modell för -elektronisk underskrift som kallas federerad underskrift. En +Som redan beskrivits tillämpas en modell för +elektronisk underskrift inom ramen för detta tekniska ramverk +som kallas federerad underskrift. En serverbaserad underskriftstjänst knyts till e-tjänsten som i sin tur begär underskrift. När en användare skriver under ett dokument skickar e-tjänsten en underskriftsbegäran till underskriftstjänsten. @@ -384,75 +396,81 @@ eller en utländsk medborgare som har sådan anknytning till svenska myndigheter att denne tilldelats ett styrkt samordningsnummer. Det faktum att en person med utländsk e-legitimation innehar ett svenskt -personnummer eller samordningsnummer är normalt sett inte känt för den +personnummer är normalt sett inte känt för den utländska legitimeringstjänsten och denna information ingår därför inte i identitetsintyg från landet där personen legitimeras. Den svenska -noden har däremot möjlighet att fråga en attributtjänst i Sverige2 om +noden har däremot möjlighet att fråga en attributtjänst i Sverige1 om det finns ett registrerat personnummer eller samordningsnummer för den legitimerade personen och kan, om så är fallet, påföra sådan information i det identitetsintyg som skickas till e-tjänsten. -> \[2\]: Om en sådan kommer att finnas i enlighet med Skatteverkets förslag till regeringen i oktober 2016. +> \[1\]: I skrivande stund (augusti 2019) finns ingen attributtjänst som utför koppling mellan eIDAS-identiteter och svenska personnummer. #### 1.7.4. Svenska e-legitimationer i utländska e-tjänster -Sverige har möjlighet att anmäla svenska e-legitimationer på tillitsnivå låg (low), väsentlig (substantial) och hög (high) enligt eIDAS. Det finns en politisk vilja i Sverige att låta innehavare av svenska e-legitimationer logga in i utländska tjänster. +Sverige har möjlighet att anmäla svenska e-legitimationer på tillitsnivå låg (low), väsentlig (substantial) och hög (high) enligt eIDAS. Det finns en politisk vilja i Sverige att låta innehavare av svenska e-legitimationer logga in i utländska tjänster1. -En begäran om legitimering från en utländsk e-tjänst ställs till E-legitimationsnämndens eIDAS-nod (Proxy-tjänst) via en s.k. eIDAS-connector i e-tjänstens land. -I den svenska eIDAS-noden väljer användaren med vilken svensk e-legitimation denne önskar autentisera sig, varpå en legitimeringsbegäran till den legitimeringstjänst (*Identity Provider*) som hanterar vald e-legitimation skickas. Denna begäran är utformad enligt E-legitimationsnämndens tekniska ramverk vilket innebär att en svensk legitimeringstjänst inte behöver förhålla sig till eIDAS tekniska specifikationer. +En begäran om legitimering från en utländsk e-tjänst ställs till E-den svenska eIDAS-noden (proxy-tjänst) via en s.k. eIDAS-connector i e-tjänstens land. +I den svenska eIDAS-noden väljer användaren med vilken svensk e-legitimation denne önskar autentisera sig, varpå en legitimeringsbegäran till den legitimeringstjänst (*Identity Provider*) som hanterar vald e-legitimation skickas. Denna begäran är utformad enligt tekniskt ramverk vilket innebär att en svensk legitimeringstjänst inte behöver förhålla sig till eIDAS tekniska specifikationer. -Användaren autentiseras hos den svenska legitimeringstjänsten och ett identitetsintyg ställs ut (enligt E-legitimationsnämndens tekniska ramverk). Detta intyg mottas av den svenska eIDAS Proxy-tjänsten och omvandlas till ett intyg enligt eIDAS specifikationer innan det skickas vidare till den utländska eIDAS-connectorn och därpå till den anropande e-tjänsten (*Service Provider*). +Användaren autentiseras hos den svenska legitimeringstjänsten och ett identitetsintyg ställs ut (enligt tekniskt ramverk). Detta intyg mottas av den svenska eIDAS Proxy-tjänsten och omvandlas till ett intyg enligt eIDAS specifikationer innan det skickas vidare till den utländska eIDAS-connectorn och därpå till den anropande e-tjänsten (*Service Provider*). -När en svensk e-legitimation används för inloggning utomlands har Sverige möjlighet att skicka med antingen det svenska personnumret som personidentitetsbegrepp, eller en pseudonym. Denna fråga och andra villkor för att använda svenska e-legitimationer i utländska e-tjänster utreds under 2017 i en offentlig utredning ([N 2016:01 Utredningen om effektiv styrning av nationella digitala tjänster](http://www.sou.gov.se/n-201601-utredningen-om-effektiv-styrning-av-nationella-digitala-tjanster-i-en-samverkande-forvaltning/)), som ska redovisas till regeringen 2017-12-31. +> \[1\]: Projektet för att anmäla svenska e-legitimationer för användande inom eIDAS-samarbetet påbörjas under september 2019. ## 2. Tekniska specifikationer Detta kapitel innehåller specifikationer och profiler för -identitetsfederationer som följer E-legitimationsnämndens tekniska +identitetsfederationer som följer Sweden Connect tekniskt ramverk, och vissa kringliggande tjänster. Där inget annat nämns är dessa dokument normativa för leverans av tjänster inom -identitetsfederationer som implementerar E-legitimationsnämndens -tekniska ramverk. +identitetsfederationer som implementerar +tekniskt ramverk. ### 2.1. SAML-profiler -Identitetsfederationer som följer E-legitimationsnämndens tekniska ramverk är uppbyggda -kring ”Deployment Profile for the Swedish eID Framework” \[EidProfile\]. Denna profil utgår från -”SAML2int profile – SAML 2.0 Interoperability Profile” \[[SAML2Int](http://saml2int.org/profile/current/)\]. +Identitetsfederationer som följer Sweden Connect tekniska ramverk är uppbyggda +kring ”Deployment Profile for the Swedish eID Framework”, [\[EidProfile](#eidprofile)\]. Denna profil utgår från +”SAML V2.0 Deployment Profile for Federation Interoperability” \[[SAML2Int](#saml2int)\], men innehåller också regler och riktlinjer specifika för Sweden Connect tekniskt ramverk. + + +#### 2.1.1. Deployment Profile for the Swedish eID Framework - -### 2.2. Specifikationer för identitetsfederationer som följer E-legitimationsnämndens tekniska ramverk +”Deployment Profile for the Swedish eID Framework”, [\[EidProfile](#eidprofile)\], är huvuddokumentet för tekniskt ramverk och specificerar bland annat: - -#### 2.2.1. Register för identifierare definierade av E-legitimationsnämnden +- Hur SAML metadata ska byggas upp och tolkas. + +- Hur formatet av en legitimeringsbegäran ska se ut. + +- Hur en legitimeringsbegäran ska behandlas, och hur ett identitetsintyg ska konstrueras, verifieras och behandlas. + +- Krav på säkerhet. + +- Specifika SAML-krav för underskriftstjänster och "legitimering för underskrift". + + +#### 2.1.2. Swedish eID Framework - Registry for identifiers Implementering av en infrastruktur för Svensk e-legitimation kräver olika former av identifierare för att representera objekt i -datastrukturer. Dokumentet ”Registry for identifiers assigned by the -Swedish e-identification board” \[EidRegistry\] definierar strukturen -för identifierare som tilldelats av E-legitimationsnämnden, samt ett +datastrukturer. Dokumentet ”Swedish eID Framework - Registry for identifiers”, \[[EidRegistry](#eidregistry)\], definierar strukturen +för identifierare som tilldelats inom ramen för tekniskt ramverk, samt ett register över definierade identifierare. - -#### 2.2.2. Attributspecifikation + +#### 2.1.3. Attribute Specification for the Swedish eID Framework -Dokumentet ”Attribute Specification for the Swedish eID Framework” -\[EidAttributes\] deklarerar de SAML attributprofiler som används inom +Specifikationen ”Attribute Specification for the Swedish eID Framework”, +\[[EidAttributes](#eidattributes)\], deklarerar de SAML attributprofiler som används inom identitetsfederationer som följer tekniskt ramverk inklusive de som ansluter till eIDAS via den svenska eIDAS-noden. -Dokumentet ”eIDAS Constructed Attributes Specification for the Swedish -eID Framework” \[EidConstrAttributes\] specificerar processer och regler -för hur ID-attribut konstrueras baserat på attribut som tas emot vid -legitimering mot eIDAS. - - -#### 2.2.3. Specifikationer av entitetskategorier + +#### 2.1.4. Entity Categories for the Swedish eID Framework -Entitetskategorier (Entity Categories) används inom federationen för tre +Entitetskategorier (Entity Categories) används inom federationen för ett antal olika syften: - Service Entity Categories – Används i federationens metadata för att @@ -465,84 +483,142 @@ syften: - Service Type Entity Categories – Används för att representera olika tjänstetyper inom federationen. + +- Service Contract Entity Categories - Används av tjänster för att annonsera + avtalsformer och liknande. + +- General Entity Categories - Entitetskategorier som inte faller inom ramen + för någon av de ovanstående typerna. + +Specifikationen ”Entity Categories for the Swedish eID Framework” +\[[EidEntCat](#eidentcat)\] specificerar de entitetskategorier som definieras av tekniskt ramverk och beskriver dess betydelse. + + +#### 2.1.5. eIDAS Constructed Attributes Specification for the Swedish eID Framework + +Specifikationen ”eIDAS Constructed Attributes Specification for the Swedish +eID Framework”, \[[EidConstrAttributes](#eidconstrattributes)\], specificerar processer och regler +för hur ID-attribut konstrueras baserat på attribut som tas emot vid +legitimering mot eIDAS. + + +#### 2.1.6. Implementation Profile for BankID Identity Providers within the Swedish eID Framework + +Specifikationen "Implementation Profile for BankID Identity Providers within the Swedish eID Framework", \[[EidBankID](#eidbankid)\], definierar regler för hur en legitimeringstjänst som implementerar stöd för BankID skall utformas. + +> **Notera:** Denna specifikation är inte normativ för uppfyllande av tekniskt ramverk. Den är endast relevant för legitimeringstjänster som implementerar stöd för BankID samt e-tjänster som använder dessa. + + +#### 2.1.7. Principal Selection in SAML Authentication Requests -Dokumentet ”Entity Categories for the Swedish eID Framework” -\[EidEntCat\] specificerar de entitetskategorier som definieras av -E-legitimationsnämnden och beskriver dess betydelse. +Specifikationen "Principal Selection in SAML Authentication Requests", \[[EidPrincipalSel](#eidprincipalsel)\], definierar en utökning till SAML som möjliggör för en förlitande part att informera en legitimeringstjänst vilken identitet den önskar ska legitimeras. - -### 2.3. Specifikationer för Underskriftstjänst + +### 2.2. Specifikationer för Underskrift Detta stycke innehåller referenser till de dokument vilka definierar -underskriftstjänster inom federationer som följer E-legitimationsnämndens tekniska +underskriftstjänster inom federationer som följer Sweden Connect tekniskt ramverk. + +#### 2.2.1. Implementation Profile for using OASIS DSS in Central Signing Services + Implementationsprofilen ”Implementation Profile for Using OASIS DSS in -Central Signing Services” \[EidDSSProfile\] specificerar en profil för +Central Signing Services”, \[[EidDSSProfile](#eiddssprofile)\], specificerar en profil för underskriftsbegäran och respons enligt OASIS standarden ”Digital -Signature Service Core Protocols, Elements, and Bindings” -\[[DSS](http://docs.oasis-open.org/dss/v1.0/oasis-dss-core-spec-v1.0-os.doc)\], -och utökar denna med definitioner specificerade i ”DSS Extension for -Federated Central Signing Services” \[EidDSSExt\]. - -Vidare definieras en certifikatprofil ”Certificate profile for -certificates issued by Central Signing services” \[EidCertProf\] som -specificerar innehåll i signeringscertifikat. Denna profil tillämpar en -ny certifikatextension till stöd för signeringstjänsten, Authentication -Context Certificate Extension \[AuthContext\], vilken beskriver hur -”Authentication Context” representeras i X.509 certifikat. +Signature Service Core Protocols, Elements, and Bindings”, +\[[DSS](#dss)\]. + + +#### 2.2.2. DSS Extension for Federated Central Signing Services + +”DSS Extension for Federated Central Signing Services”, \[[EidDSSExt](#eiddssext)\], är en påbyggnad av +OASIS standarden ”Digital Signature Service Core Protocols, Elements, and Bindings”, \[[DSS](#dss)\], där definitioner som behövs för underskrift enligt tekniskt ramverk specificeras. + + +#### 2.2.3. Certificate Profile for Certificates Issued by Central Signing Services + +Certifikatprofilen ”Certificate profile for certificates issued by Central Signing services”, \[[EidCertProf](#eidcertprof)\], specificerar innehåll i signeringscertifikat. Denna profil tillämpar en +ny certifikatextension till stöd för underskriftstjänster. + +Denna profil refererar till "Authentication Context Certificate Extension", \[[AuthContext](#authcontext)\], vilken beskriver hur ”Authentication Context” representeras i X.509 certifikat. + + +#### 2.2.4. Signature Activation Protocol for Federated Signing + +Specifikationen "Signature Activation Protocol for Federated Signing", \[[EidSigAct](#eidsigact)\], definierar ett "Signature Activation Protocol" (SAP) för implementation av "Sole Control Assurance Level 2" (SCAL2) enligt standarden "prEN 419241 - Trustworthy Systems Supporting Server Signing". ## 3. Referenslista -### 3.1. E-legitimationsnämnden +### 3.1. E-legitimationsnämnden, DIGG + **\[EidTillit\]** -> [Tillitsramverk för Svensk e-legitimation version 1.3](http://elegnamnden.github.io/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.3.pdf) -> -> [Tillitsramverk för Svensk e-legitimation version 1.4](http://elegnamnden.github.io/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.4.pdf) - Börjar gälla 2018-08-20. +> [Tillitsramverk för Svensk e-legitimation - 2018-158](https://docs.swedenconnect.se/technical-framework/mirror/digg/Tillitsramverk-for-Svensk-e-legitimation-2018-158.pdf) + **\[EidProfile\]** -> [Deployment Profile for the Swedish eID Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0602_-_Deployment_Profile_for_the_Swedish_eID_Framework.html). +> [Deployment Profile for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0602_-_Deployment_Profile_for_the_Swedish_eID_Framework.html). + **\[EidRegistry\]** -> [Registry for identifiers assigned by the Swedish e-identification -> board](http://elegnamnden.github.io/technical-framework/latest/ELN-0603_-_Registry_for_Identifiers.html). +> [Swedish eID Framework - Registry for identifiers](https://docs.swedenconnect.se/technical-framework/updates/ELN-0603_-_Registry_for_Identifiers.html). + **\[EidAttributes\]** -> [Attribute Specification for the Swedish eID Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0604_-_Attribute_Specification_for_the_Swedish_eID_Framework.html). +> [Attribute Specification for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0604_-_Attribute_Specification_for_the_Swedish_eID_Framework.html). + + +**\[EidEntCat\]** +> [Entity Categories for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0606_-_Entity_Categories_for_the_Swedish_eID_Framework.html). + **\[EidConstrAttributes\]** > [eIDAS Constructed Attributes Specification for the Swedish eID -> Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0611_-_eIDAS_Constructed_Attributes_Specification_for_the_Swedish_eID_Framework.html). +> Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0611_-_eIDAS_Constructed_Attributes_Specification_for_the_Swedish_eID_Framework.html). -**\[EidEntCat\]** -> [Entity Categories for the Swedish eID Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0606_-_Entity_Categories_for_the_Swedish_eID_Framework.html). + +**\[EidBankID\]** +> [Implementation Profile for BankID Identity Providers within the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0612_-_BankID_Profile_for_the_Swedish_eID_Framework.html). + + +**\[EidPrincipalSel\]** +> [Principal Selection in SAML Authentication Requests](https://docs.swedenconnect.se/technical-framework/updates/ELN-0614_-_Principal_Selection_in_SAML_Authentication_Requests.html). + **\[EidDSSProfile\]** > [Implementation Profile for Using OASIS DSS in Central Signing -> Services](http://elegnamnden.github.io/technical-framework/latest/ELN-0607_-_Implementation_Profile_for_using_DSS_in_Central_Signing_Services.html). +> Services](https://docs.swedenconnect.se/technical-framework/latest/ELN-0607_-_Implementation_Profile_for_using_DSS_in_Central_Signing_Services.html). + **\[EidDSSExt\]** -> [DSS Extension for Federated Central Signing Services](http://elegnamnden.github.io/technical-framework/latest/ELN-0609_-_DSS_Extension_for_Federated_Signing_Services.html). +> [DSS Extension for Federated Central Signing Services](https://docs.swedenconnect.se/technical-framework/latest/ELN-0609_-_DSS_Extension_for_Federated_Signing_Services.html). + **\[EidCertProf\]** > [Certificate profile for certificates issued by Central Signing -> services](http://elegnamnden.github.io/technical-framework/latest/ELN-0608_-_Certificate_Profile_for_Central_Signing_Services.html). +> services](https://docs.swedenconnect.se/technical-framework/latest/ELN-0608_-_Certificate_Profile_for_Central_Signing_Services.html). + + +**\[EidSigAct\]** +> [Signature Activation Protocol for Federated Signing](https://docs.swedenconnect.se/technical-framework/updates/ELN-0613_-_Signature_Activation_Protocol.html). ### 3.2. Övriga referenser + **\[SAML2Int\]** -> [SAML2int profile v0.2.1 – SAML 2.0 Interoperability -> Profile](http://saml2int.org/profile/current/). +> [SAML V2.0 Deployment Profile for Federation Interoperability](https://kantarainitiative.github.io/SAMLprofiles/saml2int.html). + **\[DSS\]** > [OASIS Standard – Digital Signature Service Core Protocols, Elements, > and Bindings Version 1.0, April 11, > 2007](http://docs.oasis-open.org/dss/v1.0/oasis-dss-core-spec-v1.0-os.doc). + **\[AuthContext\]** > [RFC-7773: Authentication Context Certificate Extension](https://tools.ietf.org/html/rfc7773). diff --git a/ELN-0602 - Deployment Profile for the Swedish eID Framework.md b/ELN-0602 - Deployment Profile for the Swedish eID Framework.md index bf13174..0107513 100644 --- a/ELN-0602 - Deployment Profile for the Swedish eID Framework.md +++ b/ELN-0602 - Deployment Profile for the Swedish eID Framework.md @@ -2,7 +2,7 @@ # Deployment Profile for the Swedish eID Framework -### Version 1.6 - 2019-05-22 - **Draft version** +### Version 1.6 - 2019-08-28 - **Draft version** *ELN-0602-v1.6* @@ -1298,11 +1298,11 @@ response with the status code `urn:oasis:names:tc:SAML:2.0:status:AuthnFailed`. **\[EidAttributes\]** -> [Attribute Specification for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/latest/ELN-0604_-_Attribute_Specification_for_the_Swedish_eID_Framework.html). +> [Attribute Specification for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0604_-_Attribute_Specification_for_the_Swedish_eID_Framework.html). **\[EidTillit\]** -> [Tillitsramverk för Svensk e-legitimation - version 1.4](https://docs.swedenconnect.se/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.4.pdf) +> [Tillitsramverk för Svensk e-legitimation - 2018-158](https://docs.swedenconnect.se/technical-framework/mirror/digg/Tillitsramverk-for-Svensk-e-legitimation-2018-158.pdf) **\[EidEntCat\]** @@ -1334,6 +1334,7 @@ response with the status code `urn:oasis:names:tc:SAML:2.0:status:AuthnFailed`. - In order to facilitate algorithm interoperability between peers additions concerning "Metadata Profile for Algorithm Support" \[[SAML2MetaAlgSupport](#saml2metaalg)\] was added. Section 2.1.1 was updated with a section defining how preferred algorithms are declared in metadata, and sections 5.2, 6.1 and 7.2.1 was updated with requirements for algorithm selection during signing and encryption. - Section 5.3, "Message Content", was re-structured with sub-chapters for requested authentication contexts, scoping and principal selection. - The `PrincipalSelection` and `RequestedPrincipalSelection` extensions were introduced to sections 2.1.3, 5.3.3 and 7.2. +- The link for the "Tillitsramverk för Svensk e-legitimation" specification was updated. **Changes between version 1.4 and 1.5:** diff --git a/ELN-0603 - Registry for Identifiers.md b/ELN-0603 - Registry for Identifiers.md index c47945e..ac309b3 100644 --- a/ELN-0603 - Registry for Identifiers.md +++ b/ELN-0603 - Registry for Identifiers.md @@ -2,7 +2,7 @@ # Swedish eID Framework - Registry for identifiers -### Version 1.6 - 2019-08-20 - *Draft version* +### Version 1.6 - 2019-08-28 - *Draft version* *ELN-0603-v1.6* @@ -472,7 +472,7 @@ The following OIDs are defined in the ASN.1 declarations in [3.2.1](#asn1-declar **\[TillitRamv\]** -> [Tillitsramverk för Svensk e-legitimation version 1.4](http://elegnamnden.github.io/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.4.pdf). +> [Tillitsramverk för Svensk e-legitimation - 2018-158](https://docs.swedenconnect.se/technical-framework/mirror/digg/Tillitsramverk-for-Svensk-e-legitimation-2018-158.pdf). **\[AuthContExt\]** @@ -534,6 +534,8 @@ The following OIDs are defined in the ASN.1 declarations in [3.2.1](#asn1-declar - Section 3.1.9.2, "eIDAS Connector Aliases", defining the URI format for representing country affiliation of eIDAS connector services, was added. +- - The link for the "Tillitsramverk för Svensk e-legitimation" specification was updated. + **Changes between version 1.4 and version 1.5:** - Added identifier for the service property entity category `http://id.elegnamnden.se/sprop/1.0/scal2` diff --git a/ELN-0604 - Attribute Specification for the Swedish eID Framework.md b/ELN-0604 - Attribute Specification for the Swedish eID Framework.md index f101721..fd50c9b 100644 --- a/ELN-0604 - Attribute Specification for the Swedish eID Framework.md +++ b/ELN-0604 - Attribute Specification for the Swedish eID Framework.md @@ -1,10 +1,10 @@ - + # Attribute Specification for the Swedish eID Framework -### Version 1.5 - 2018-06-19 +### Version 1.6 - 2019-08-28 - *Draft version* -*ELN-0604-v1.5* +*ELN-0604-v1.6* --- @@ -571,16 +571,16 @@ following attribute: **\[SKV704\]** > [Skatteverket, SKV 704 Utgåva 8, -> Personnummer](http://elegnamnden.github.io/technical-framework/mirror/skv/skv704-8.pdf). +> Personnummer](https://docs.swedenconnect.se/technical-framework/mirror/skv/skv704-8.pdf). **\[SKV707\]** > [Skatteverket, SKV 707, Utgåva 2, -> Samordningsnummer](http://elegnamnden.github.io/technical-framework/mirror/skv/skv707-2.pdf). +> Samordningsnummer](https://docs.swedenconnect.se/technical-framework/mirror/skv/skv707-2.pdf). **\[SKV709\]** -> [Skatteverket, SKV 709, Utgåva 8, Organisationsnummer](http://elegnamnden.github.io/technical-framework/mirror/skv/skv709-8.pdf). +> [Skatteverket, SKV 709, Utgåva 8, Organisationsnummer](https://docs.swedenconnect.se/technical-framework/mirror/skv/skv709-8.pdf). **\[X.520\]** @@ -604,30 +604,33 @@ following attribute: **\[TillitRamv\]** -> [Tillitsramverk för Svensk e-legitimation version 1.3](http://elegnamnden.github.io/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.3.pdf) -> -> [Tillitsramverk för Svensk e-legitimation version 1.4](http://elegnamnden.github.io/technical-framework/mirror/elegnamnden/Tillitsramverk-for-Svensk-e-legitimation-1.4.pdf) - Valid from 2018-08-20. +> [Tillitsramverk för Svensk e-legitimation - 2018-158](https://docs.swedenconnect.se/technical-framework/mirror/digg/Tillitsramverk-for-Svensk-e-legitimation-2018-158.pdf) + **\[EidDeployProf\]** -> [Deployment Profile for the Swedish eID Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0602_-_Deployment_Profile_for_the_Swedish_eID_Framework.html). +> [Deployment Profile for the Swedish eID Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0602_-_Deployment_Profile_for_the_Swedish_eID_Framework.html). **\[ConstructedAttr\]** > [eIDAS Constructed Attributes Specification for the Swedish eID -> Framework](http://elegnamnden.github.io/technical-framework/latest/ELN-0611_-_eIDAS_Constructed_Attributes_Specification_for_the_Swedish_eID_Framework.html). +> Framework](https://docs.swedenconnect.se/technical-framework/updates/ELN-0611_-_eIDAS_Constructed_Attributes_Specification_for_the_Swedish_eID_Framework.html). **\[eIDAS\_Attr\]** -> [eIDAS SAML Attribute Profile, 28 October 2016](https://ec.europa.eu/cefdigital/wiki/download/attachments/46992719/eIDAS%20SAML%20Attribute%20Profile%20v1.1_2.pdf). +> [eIDAS SAML Attribute Profile, version 1.2, 21 May 2019](https://docs.swedenconnect.se/technical-framework/mirror/eidas/eIDAS_SAML_Attribute_Profile_v1.2-FINAL.pdf). **\[SigSAP\]** -> [Signature Activation Protocol for Federated Signing](http://elegnamnden.github.io/technical-framework/latest/ELN-0613_-_Signature_Activation_Protocol.html). +> [Signature Activation Protocol for Federated Signing](https://docs.swedenconnect.se/technical-framework/updates/ELN-0613_-_Signature_Activation_Protocol.html). ## 5. Changes between versions +**Changes between version 1.5 and version 1.6:** + +- References were updated to point at the latest versions of the "Tillitsramverk för Svensk e-legitimation" and "eIDAS SAML Attribute Profile" specifications. + **Changes between version 1.4 and version 1.5:** - Section 3.2.3 was updated with a reference to the SAP specification as source for defining the content of the `sad` attribute. diff --git a/ELN-0607 - Implementation Profile for using DSS in Central Signing Services.md b/ELN-0607 - Implementation Profile for using DSS in Central Signing Services.md index 89446f7..2dc15d6 100644 --- a/ELN-0607 - Implementation Profile for using DSS in Central Signing Services.md +++ b/ELN-0607 - Implementation Profile for using DSS in Central Signing Services.md @@ -1,10 +1,10 @@ - + # Implementation Profile for using OASIS DSS in Central Signing Services -### Version 1.3 - 2018-06-19 +### Version 1.4 - 2019-08-28 - *Draft version* -*ELN-0607-v1.3* +*ELN-0607-v1.4* --- @@ -242,7 +242,7 @@ Service MUST reject the sign request. ##### 2.1.3.4. IdentityProvider -This element MUST be present, specifying the SAML EntityID of the +This element MUST be present, specifying the SAML entityID of the Identity Provider that MUST be used to authenticate the signer. The Signing Service MUST NOT generate the requested signature unless the signer is successfully authenticated through this Identity Provider. @@ -251,12 +251,12 @@ signer is successfully authenticated through this Identity Provider. ##### 2.1.3.5. Sign Requester This element MUST be present, specifying the identity of the Requesting -Service in the form of its SAML EntityID. +Service in the form of its SAML entityID. ##### 2.1.3.6 SignService -This element MUST be present, specifying the SAML EntityID of the +This element MUST be present, specifying the SAML entityID of the Signing Service that is the target of this sign request. @@ -280,7 +280,7 @@ Provider MAY display for the user before obtaining the user’s consent to sign. The message MAY be provided in clear text or in encrypted form. The attribute `MustShow` MUST be set to `true` if the Identity Provider is required to show this message to the user. When the message is provided -in encrypted form, the `DisplayEntity` attribute MUST include the EntityID +in encrypted form, the `DisplayEntity` attribute MUST include the entityID of the Identity Provider holding the private decryption key. The encryption key included in the metadata of the identified Identity Provider SHOULD be used to encrypt the message. @@ -295,7 +295,7 @@ attributes for each tag other than those listed in the following table: | HTML Tags | Type | Allowed attributes | | --- | --- | --- | | h1, h2, h3, h4 | Headings | style | -| div, span, p | Section | style | +| div, span, p | Section | style | | table, tr, td | Table | style | | b, strong | Highlight | style | | i, u, br | Format |   | @@ -416,7 +416,7 @@ The Signing Service MAY use an Attribute Authority as complementary source to obtain requested attribute values, as long as the identity assertion provided by the specified Identity Provider is sufficient to uniquely identify the signer. The Sign Requester MAY provide one or more -SAML EntityID identifiers of Attribute Authorities in +SAML entityID identifiers of Attribute Authorities in `` elements, which could be used to obtain an attribute value for the requested attribute. @@ -587,7 +587,7 @@ equivalent to the following implementation example:

Note: Since your browser does not support JavaScript, you must press the Continue button once to proceed.

-
+
@@ -632,7 +632,7 @@ equivalent to the following implementation example:
- +