Tofaktorautentisering og FeideKommunesamling - temamøte for IT-personell i kommunerGardermoen, 2011-11-15

Snorre Løvåssnorre.lovas@iktsenteret.no @snorrelohttp://www.slideshare.com/snorrelo

http://www.rb.no/lokale_nyheter/article5615982.ece

Tofaktorautentisering

Tofaktor/tonivå/tostegs autentiseringTilgjengelige faktorer:

• Noe personen vet -  for eksempel et passord• Noe personen har -  for eksempel en passordkalkulator/kodekort• Noe personen er - for eksempel et fingeravtrykk

Eksempler på noe en har:

3

Hva ønsker dere å oppnå?

Sikrere identifisering av brukeren?Ekstra sjekk ved viktige operasjoner?Ekstra sjekk om brukeren fremdeles er den som logget

inn?Signering?

Logging, historie og deteksjon?

4

Autentisering på Nivå X

Definert i Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig sektor

Risikonivå 1 – 4 => Sikkerhetsnivå 1-4Setter forskjellige krav:

• Krav til autentiseringsfaktor(er)• Krav til utlevering til bruker• Krav til sikring av autentiseringsfaktorer ved lagring• Krav til uavviselighet• Krav til offentlig godkjenning

5

Autentisering på Nivå 3

Krav til autentiseringsfaktor(er)• To faktorer, hvorav en er dynamisk

Krav til utlevering til bruker• Post til folkeregistrert adresse. Utsendelsesprosedyren skal ha

integrert tilleggssikring som sørger for at sannsynligheten for at feil person tar løsningen i bruk minimaliseres

Krav til sikring av autentiseringsfaktorer ved lagring• Dynamiske kan være kopierbare. Statiske kan ikke være

kopierbare

6

Autentisering på Nivå 3 (forts)

Krav til uavviselighet• Det skal foreligge rutiner og logger, som gjør at det er rimelig

sikkert at kommunikasjonsparten står bak en handling eller et informasjonselement

Krav til offentlig godkjenning• Ingen krav

Alle løsninger på et høyere nivå vil kunne benyttes på et lavere sikkerhetsnivå

7

Tofaktor autentisering eller Nivå 3 på tjenester

Hva er det dere ønsker?• Autentisering med to faktorer?• Nivå 3 etter rammeverket?

Hvor grovkornet skal en være?• Ekstra beskyttelse for hele tjenesten eller funksjoner i tjenesten?• For alle brukere, spesielle brukergrupper?

Hvem bestemmer hva som skal beskyttes ekstra?• Feide (KD, UNINETT, IKT-senteret)?• Hver tjenesteleverandør?• Hver kunde/skoleeier?• ”Fellesskapet” (Feide, tjenesteleverandøren, kundene av tjenesten)?

8

Noen konsekvenser ved innføring av tofaktor / Nivå 3 i Feide

Datakvalitet• Strengere krav til kontinuerlig datakvalitet på knytning mellom person

og autentiseringsfaktorer, utlevering og tilbaketrekking

Tekniske endringer i • Feides innloggingstjeneste • Hver tjeneste som skal benytte tofaktor

Kostnader• Sannsynligvis transaksjonskostnad pr autentisering (uansett hvem

som ender med å ta kostnaden)• En-faktor: 2,3 øre pr innlogging i snitt for fylkeskommunene våren

2011• Tofaktor med SMS: Regn med ca 30 øre pr innlogging

9

Single Sign-on

Single Sign-on er en separat problemstilling fra autentiseringsfaktorer og sikkerhetsnivå. Men relatert…

Skal den sikrere identifiseringen av brukeren ved to-faktor også gi single sign-on på dette sikkerhetsnivået?

Hvem bestemmer om single sign-on skal være tillatt eller ikke?

10

Single sign-on mellom tjenester på et risikonivå medfører ikke automatisk at en person må autentisere seg på et høyre sikkerhetsnivå.

Feide og eID/Id-porten i dag

Feide• Målgruppe: Personer i

utdanningssektoren• Tjenester: Alle som gir en

merverdi for sektoren

• Desentralisert lagring, sentral innlogging

• Lokalt lagres en del informasjon om personer i sektoren

• Identifikator: Feide-id

ID-porten• Målgruppe: Lovlige

innbyggere i Norge (over 13) • Tjenester: Offentlige tjenester

rettet mot innbyggere

• Sentralisert lagring, sentral innlogging

• Sentralt lagres litt om alle innbyggere

• Identifikator: Fødselsnummer

11

Feide og eID/Id-porten i dag

Feide• Sikkerhetsnivå: ”Nivå 2-ish”.

Ikke innpassa i rammeverket

• Autentisering: en-faktor, kan økes

• Brukskostnad: Fastpris etter type og størrelse

ID-porten• Sikkerhetsnivå: Nivå 3 og

Nivå 4

• Autentisering: tofaktor

• Brukskostnad: Gratis 2011/ Ukjent/Volumbasert

12

Noen mulige tofaktorløsninger med Feide og Id-porten

Viser noen tekniske muligheter• Dette er ikke en uttømmende liste

Ser helt bort i fra • Målgrupper• Tillatte tjenester• Avtaleverk osv

Ikke diskutert med Difi/FAD

13

Null-alternativet, tjenestene må sørge for tofaktor selv

14

• Hver tjeneste må implementere tofaktor

• Kan ende ut med mange forskjellige løsninger

• Ingen endringer i Feide og hos skoleeierne

Feide tilbyr to-faktor autentisering

15

• Feide må legge til støtte for tofaktor

• En felles måte for metode for alle Feide-tjenester(?)

• Ingen tekniske endringer hos skoleeierne

Id-porten for tofaktor og Feide enfaktor som innlogging i tjeneste

16

• Bruker må forholde seg til to innloggingsløsninger

• Hver tjeneste må tilpasse seg to innloggingstjenester

• Hver tjeneste må inneholde fødselsnummer

• Ingen endringer i ID-porten, Feide og hos skoleeierne

Id-porten som to-faktor-løsning for innlogging i Feide

17

• En innloggingstjeneste for tjenestene

• Feide må kunne lese all info i alle Feide-LDAPene hele tiden

Logging, historie og deteksjon

Er konsekvensene størst ved at noen kommer inn og ser informasjon?

Eller er det at informasjon blir endret/slettet og at dette ikke blir oppdaget?

20

Logging, historie og deteksjon

21

Min anbefaling

Kjør en risikoanalyse på tjenestene og finn ut hva det er dere ønsker

For tofaktor autentisering finn ut om det er tofaktor eller Nivå 3 dere ønsker

Er det et behov for bedre logging, historie og deteksjon av endringer? I tillegg til eller i stedet for to-faktor?

Diskuter gjerne med oss og Feide om mulige løsninger og de tilhørende konsekvensene for helheten og for hver av dere

22

Mer informasjon

Feide i skolen http://uninettabc.no/feide/

Feide http://feide.no/

Difi – Elektronisk ID http://www.difi.no/elektronisk-id

Rammeverk for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig sektor http://bit.ly/mF4qyO

23