Presentasjon lastes. Vennligst vent

Presentasjon lastes. Vennligst vent

1 eNorge 2009 – det digitale spranget 969 PKI – hva er det og hva kan det brukes til? Litt om åpne standarder mv. Katarina de Brisis Avdelings for IT-politikk.

Liknende presentasjoner


Presentasjon om: "1 eNorge 2009 – det digitale spranget 969 PKI – hva er det og hva kan det brukes til? Litt om åpne standarder mv. Katarina de Brisis Avdelings for IT-politikk."— Utskrift av presentasjonen:

1 1 eNorge 2009 – det digitale spranget 969 PKI – hva er det og hva kan det brukes til? Litt om åpne standarder mv. Katarina de Brisis Avdelings for IT-politikk

2 2 eNorge 2009 – det digitale spranget Nettverkssamfunnet Norge har en svært nettorientert befolkning Share of households with Internet-connection Source: OECD, ICT database and Eurostat, Community Survey on ICT usage in households 2002, June Included in the OECD Information Technology Outlook 2004

3 3 eNorge 2009 – det digitale spranget eNorge offensiv politikk for IT-samfunnet Enkeltmennesket i det digitale Norge En samordnet og brukertilpasset offentlig sektor Innovasjon og vekst i norsk næringsliv

4 4 eNorge 2009 – det digitale spranget En samordnet og brukertilpasset offentlig sektor Kommunikasjon internt i det offentlige skal skje elektronisk Felles og forpliktende politikk for bruk av åpne standarder Felles og obligatorisk sikkerhetsportal og standard for bruk av PKI

5 5 eNorge 2009 – det digitale spranget Asymmetrisk kryptografi - digital signatur Privat signeringsnøkkel Offentlig signeringsnøkkel Privat autentiseringsnøkkelOffentlig autentiserinsgnøkkel Offentlig krypteringsnøkkelPrivat krypteringsnøkkel 23700yyGhNNjZZ0868 Avtale om.. Med hilsen Avtale om.. Med hilsen Avtale om.. Med hilsen gZZ45xxxCYY 9i6hhbg SignererVerifiserer Sender SignererVerifiserer Sender Sender tilbake Sender KryptererDekrypterer AVSENDERMOTTAKER

6 6 eNorge 2009 – det digitale spranget Hvordan virker digital signatur

7 7 eNorge 2009 – det digitale spranget Navneautoritet Sertifi- serings- autoritet Katalog Registrerings- autoritet Kortutsteder Nøkkel- generator Lokalt system med kortleser kort kort m/ sertifikat eller kun sertifikat forespørsel om sertifisering kort m/sertifikat P P P=personalisering Leverandør av kortleser

8 8 eNorge 2009 – det digitale spranget Signatur Sertifikatpolicy, profil (standard) Et sikkert system Sertifikatutsteder Signatar/ avsender Mottaker eller valideringstjener Sertifikat Sert. Peker til sertifikatpolicy (OID)= tillitsnivå Tilsyn Sjekk sertifikat- status Sjekk utsteder- status Åpen PKI tillitsmodell Statusinfor- masjon om utsteder Sertifikat status informasjon Nøkkellager, programvare for bruk av EID Nøkkellager, programvare for bruk av EID

9 9 eNorge 2009 – det digitale spranget BankID-infrastruktur Bank (Sertifikatkontroll) Sertifikatholder Tjenesteavtale Sertifikatmottaker (Tjenestetilbyder) Interbank regler Kommunikasjons- behov VA-forespørsel

10 10 eNorge 2009 – det digitale spranget Hvorfor elektronisk ID og –signatur (PKI)? Det har blitt stadig klarere at en infrastruktur for elektronisk ID og signatur er avgjørende for å realisere mange nye elektroniske tjenester. Det er vanskelig og dyrt å rulle ut og vedlikeholde nye sikkerhetsmekanismer, og offentlige virksomheter kan ikke gjøre dette hver for seg. Borgere har allerede altfor mange passord og PIN-koder å forholde seg til. Dette må forenkles. Elektronisk ID og signatur er den sikkerhetsmekanismen som møter fremtidens krav til sikkerhet og funksjonalitet.

11 11 eNorge 2009 – det digitale spranget Anvendelsesområder Web-tjenester for publikum, autentisering og signering, formidling av vedtak fra forvaltningen E-post fra publikum til forvaltning Utveksling av informasjon/dokumenter mellom offentlige virksomheter Pålogging som ansatt eller som profesjonell Signering av meldinger, som ansatt eller som profesjonell, direkte eller indirekte Person- sertifikater Virksomhets- sertifikater Person- sertifikater anskaffet i yrkes- sammenheng Virksomhets- sertifikater Virksomhets- sertifikater

12 12 eNorge 2009 – det digitale spranget Web-tjenester for publikum Pålogging / autentisering Signering Sesjon som sikres (krypteres) med SSL Sjekk av nettstedets SSL-sertifikat Borger Offentlig nettsted Personsertifikat brukt til autentisering mot web-tjeneste og evt. signering

13 13 eNorge 2009 – det digitale spranget E-post mellom publikum og forvaltning Borger Offentlig nettsted Postmottak/ ekspedisjon Signert og kryptert Melding som epost Signert/ autentisert Melding over web Personsertifikat brukt til pålogging på nettsted eller signering av epost Mottagers virksomhetssertifikat eller SSL brukes for kryptering

14 14 eNorge 2009 – det digitale spranget Sikker utveksling av informasjon og dokumenter mellom offentlige virksomheter Postmottak/ ekspedisjon Postmottak/ ekspedisjon Saksbehandler Eksempel 1 :Manuell bruk av sertifikat i ekspedisjon og postmottak Signeres med avsenders Virksomhetssertifikat, krypteres med mottagers. ( epost ) Adresseliste m. mottageres Sertifikater (offentlig krypterings nøkkel) Eget Virksomhets- sertifikat (privat signeringsnøkkel) Eget Virksomhets- sertifikat (privat krypteringsnøkkel) Signert og kryptert melding

15 15 eNorge 2009 – det digitale spranget Sikker utveksling av informasjon og dokumenter mellom offentlige virksomheter Eksempel 2: System-til-system kommunikasjon. Automatisert og integrert med virksomhetens arkiv- og saksbehandlingssystemer. Signert og kryptert melding Arkiv-/ saksbehandlingssystem (epost / web services / filutveksling) Arkiv-/ saksbehandlingssystem Modul for automatisert sikker postgang Modul for automatisert sikker postgang Saksbehandler Adresseliste m. mottageres sertifikater (offentlig krypterings nøkkel) Eget Virksomhets- sertifikat (privat signeringsnøkkel) Eget Virksomhets- sertifikat (privat krypteringsnøkkel)

16 16 eNorge 2009 – det digitale spranget PKI som sikkerhetsmekanisme internt i virksomheten Single SignOn PKI-basert pålogging Til flere systemer PKI-basert pålogging til tynne klienter Citrix Applikasjoner/ fagsystemer som krever den ansattes e-signering Autentisering Signering Ansatt med sertifikat autorisert av virksomheten til internt bruk Applikasjoner/ fagsystemer i virkosmheten ”Ansatt”-sertifikat brukt til autentisering mot interne systemer og evt. signering

17 17 eNorge 2009 – det digitale spranget Strategi for elektronisk ID og signatur (utbredelse av PKI i offentlig sektor) Rammeavtale om en felles sikkerhetsportal for offentlige elektroniske tjenester (2005). Obligatorisk for statlige virksomheter, anbefalt i kommunene. Offentlige godkjenningsordning(er) for leverandører av eID og e-signatur på nivå Høyt og Standard samt Virksomhet (ultimo 2005) Rammeavtaler om elektronisk ID og signatur for virksomheter og personer til bruk internt i offentlig sektor (2006) Rammeavtaler inngåes og forvaltes av Brønnøysundregistrene, på vegne av staten og kommunene Godkjent av regjeringen

18 18 eNorge 2009 – det digitale spranget Sikkerhetsnivåer – eID og e-signatur Person Høyt: kvalifisert sertifikat, to-faktor autentisering for tilgang til privat nøkkel, nøkkel lagret i sikker modul, som en server i nettet eller et smartkort Person Standard: SEID-serifikat, utlevering til adresse fra folkeregisteret, enkel autentisering for tilgang til privat nøkkel, nøkkel lagret i programvare, kan ha tidsbegrenset bruk Virksomhet: SEID-sertifikat, utlevering som for kvalifisert sertifikat, tilgangskontroll til privat nøkkel på server, kan også finnes i en sikker modul

19 19 eNorge 2009 – det digitale spranget Verdikjede – PKI markedet Brukersteder (Offentlig sektor, bedrifter) Brukere (Ansatte, privatpersoner, bedrifter) Sluttprodukt Betydelig verdiøkning gjennom bl.a.:  Merkevare/branding  Policy for bestilling og utlevering av sertifikater  Distribusjon/bærere  Utvidede garantier, support  Sperring Høye variable kostnader Bruk av PKI-baserte ID-tjenester Sikring av IT-systemer Tilby tjenester som krever høy sikkerhet Bruk av tjenester sikret med PKI-baserte ID- funksjoner Sikker signert/kryptert e-post Leverandører av PKI-baserte ID-tjenester Halvfabrikata/”råvare” Teknologisk infrastruktur som danner grunnlag for bruk av digitale signaturer og sertifikater Meget høye faste kostnader CA-tjenester Sertifikatutstedelse Hvis formell utsteder: Garantist overfor brukerstedet Vedlikehold og sperring av sertifikater Sperrelister PKI-Fabrikk Felles Operasjonell Infrastruktur (FOI)

20 20 eNorge 2009 – det digitale spranget Aktøroversikt Norge 2005 PKI-fabrikk Sluttbruker marked Telenor ErgoGroup/ Posten Bank 1 Andre (Buypass, Commfides) Leverandør av PKI baserte ID-tjenester Andre (Nasjonale/ utenlandske) Bank n Brukersteder Brukere BBS (BankID, ZebSign ID, Community ID og eventuelle andre brandede sertifikater )

21 21 eNorge 2009 – det digitale spranget Felles sikkerhetsportal eID lev. 1 Andre Sikkerhetsportal Etater/ kommunerMin sideAltInn Borgere og næringsliv eID lev. 2 Integrasjonsmodul eID/e-signatur Reg. tjeneste

22 22 eNorge 2009 – det digitale spranget Felles sikkerhetsportal - forutsetninger eID-leverandørene sørger for utrulling av eID til borgere og brukere i næringslivet; disse løsninger skal kunne gjenbrukes mot offentlige elektroniske tjenester eID-leverandørenes løsninger skal være godkjent mhp at de oppfyller Kravspesifikasjon for PKI i offentlig sektor Leverandøren av sikkerhetsportalen skal sørge for å integrere / omfatte flest mulig leverandører av eID i det norske markedet som er godkjent, og som kan tilby konkurransedyktige prisvilkår Leverandøren av sikkerhetsportalen skal påta seg totalansvaret for tjenester som tilbys, også fra underleverandører (av eID), både juridisk og teknisk Leverandøren av sikkerhetsportalen skal forplikte seg til en tidsplan for levering av alle tjenester som er spesifisert i Konkurransegrunnlaget

23 23 eNorge 2009 – det digitale spranget Felles sikkerhetportal - tjenester Autentisering med eID mot webtjenester (med Person Høyt, Person Standard og Virksomhet) Formidling av elektronisk identitet mot webtjenester (single sign-on / felles pålogging) Autentisering med eID fra fagsystemer Autentisering med eID utstedt under RTVs rammeavtale og med eID som benyttes i Altinn i dag Signering av brev, skjema og filer Signering og kryptering av e-post Kryptering generelt Titrodd digitalt arkiv (over signerte dokumenter) Bestillingstjeneste for Person Standard, Person Høyt og Virksomhet Tjenester fremhevet i rødt skal leveres innen

24 24 eNorge 2009 – det digitale spranget Felles sikkerhetsportal - status Kontrakt tildelt til Bankenes betalingssentral AS Avtalen signert Pågående dialog med bankene med henblikk på å integrere BankID i portalen Arbeidet med etablering av nødvendig infrastruktur i BBS og hos pilotbrukere pågår. Pilotbrukere: Altinn med tilknyttede etater, MinSide med tilknyttede etater; en kommune? Prosjektet rettet mot etablering av en bestillingstjeneste for Person Standard startet opp (kartlegging av eksisterende autentiseringsløsninger hos ulike etater) MOD har avsendt et brev om sikkerhetsportalen til 1400 statlige virksomheter

25 25 eNorge 2009 – det digitale spranget Godkjenningsordninger Ny forskrift til Lov om elektronisk signatur fra NHD, hjemlet i ny §16a om frivillige selvdeklarasjonsordninger for sertifikatutstedere – er på høring tom Endring i eForvaltningsforskriften (Forskrift om elektronisk kommunikasjon med og i forvaltningen), §27. Det skal innføres et nytt ledd, 27-4, med krav om deltakelse i ordningen etablert med NHDs nye forskrift - sendt på høring av MOD med frist MOD arbeider for øvrig med prinsipper for forvaltning av Kravspesifikasjonen for PKI MOD og NHD tar sikte på at nødvendige beslutninger er på plass senest

26 26 eNorge 2009 – det digitale spranget Åpne standarder og åpen kildekode - målsetninger i eNorge : forvaltningsstandarder for data- og dokumentutveksling er etablert 2006: bruk av åpne standarder, tjenesteorientert arkitektur og åpen kildekode er innarbeidet i planverk 2008: data- og dokumentutveksling tilfredsstiller forvaltningsstandardene 2008: alle skjemaer bygger på felles brukergrensesnitt 2009: alle nye IT-systemer i offentlig sektor bruker åpne standarder

27 27 eNorge 2009 – det digitale spranget Åpne standarder vs. åpen kildekode Åpen standard: –er anerkjent og vedlikeholdt av en ikke-kommersiell organisasjon, transparent prosess for vedlikehold –er publisert, tilgjengelig for alle mot en mindre avgift –er ikke patentbeskyttet –kan gjenbrukes uten forbehold. (de jure standarder og de facto standarder) Åpen kildekode: –tar utgangspunkt i Open Source Initiative med ulike typer lisenser for bruk av kildekoden –har ingen spesielle begrensninger for bruksmåten –kan tilpasses til eget formål/videreutvikles –Kan spres til andre brukere (fritt eller mot avgift), med samme bruksbetingelser

28 28 eNorge 2009 – det digitale spranget Utredningsarbeid Arbeidsgruppe nedsatt av MOD i samråd med Koordineringsorganet for eForvaltning (KoeF) Bred sammensetning av arbeidsgruppe og referansegrupper Oppstart , rapport levert Høringsfrist 15. september Nær 80 uttalelser ”Bruk av åpne IT-standarder og åpen kildekode i offentlig sektor”

29 29 eNorge 2009 – det digitale spranget Kort om rapportens forslag Standardiseringsarbeid må prioriteres høyt Videre forsøk med åpen kildekode – avventende og pragmatisk holdning Helhetlig arkitekturtenkning (tjenesteorientering) Flere nivåer av interoperabilitet (teknisk, semantisk, organisatorisk) Organisering: standardiseringsråd i tilknytning til KoeF 24 forslag til tiltak

30 30 eNorge 2009 – det digitale spranget Høringsuttalelsene: Hovedpunkter i tilbakemeldingene Initiativet ønskes velkommen, med en viss utålmodighet… Behov for å behandle åpne standarder og åpen kildekode separat Åpne standarder oppfattes som viktigere enn åpen kildekode Betydelig polarisering i synet på åpen kildekode Behov for bedre økonomibetraktninger og tydeliggjøring av sammenhenger mellom overordnete mål og virkemidler Fremdriftsplan er ambisiøs, men riktig

31 31 eNorge 2009 – det digitale spranget Høringsuttalelsene: Spesifikt om åpne standarder Ulike definisjoner av åpenhet Uenighet om åpenhet som absolutt kriterium Ulike oppfatninger om strengheten i et fremtidig regime (muligheter for unntak?) Generell tilslutning til et fremtidig standardiseringsråd underlagt KoeF –Faktisk arbeid med standarder kan gjøres i/med miljøer som sitter tett på problemstillingene (domenevis) –Behov for tett samarbeid med internasjonale standardiseringsprosesser Høyest prioritert tiltak: etablering av katalog over forvaltningsstandarder

32 32 eNorge 2009 – det digitale spranget Høringsuttalelsene: Spesifikt om åpen kildekode Hovedsyn 1 (forkjempere): Monopolbekjempelse; prinsipielt valg; kostnadseffektivt; stimulans for norsk IKT-næring Hovedsyn 2 (pragmatikere): beste løsning bør velges; åpen k.k. er noen ganger best; bestrider kostnadskalkyler; sårbarhet (kompetanse) Høyest prioritert tiltak: utarbeide veiledning for offentlige virksomheter om bruk av åpen kildekode Tiltaket ”erfaringsbasert prosjekt” får blandet tilbakemelding (kan være forsinkende)

33 33 eNorge 2009 – det digitale spranget Oppfølging? Katalog over forvaltningsstandarder Standardiseringsråd for IT i offentlig sektor Forankring av standardene – regelverk, veiledninger, insentivordninger mv.


Laste ned ppt "1 eNorge 2009 – det digitale spranget 969 PKI – hva er det og hva kan det brukes til? Litt om åpne standarder mv. Katarina de Brisis Avdelings for IT-politikk."

Liknende presentasjoner


Annonser fra Google