Digital post Snitflader Bilag F Sikkerhed Version 6.2

Transkript

1 Digital post Snitflader Bilag F Sikkerhed Version 6.2 1

2 F.1 INTRODUKTION... 5 F.2 HENVISNINGER... 5 F.3 ROLLER OG RETTIGHEDER... 6 F.3.1 IDENTIFIKATION AF SLUTBRUGER TYPE... 6 F.3.2 ADGANG TIL DIGITAL POST OPRETTELSESFLOW... 6 F.3.3 ADGANG TIL ADMINISTRATIONSPORTALEN OPRETTELSESFLOW... 6 F.3.4 ROLLEBASERET ADGANGSKONTROL... 6 F.3.5 ROLLETILDELING... 6 F.3.6 OVERSIGT OVER ROLLER FOR EN VIRKSOMHED... 7 F.3.7 OVERSIGT OVER ROLLER FOR EN MYNDIGHED... 8 F.3.8 OVERSIGT OVER SYSTEM ROLLER... 9 F.4 CRUD OPERATIONSMODEL F.4.1 OBJEKTER F.4.2 VIRKSOMHEDSROLLER F LRA (VIRK) F LRA UDVIDET F ADMINISTRATOR (VIRK) F POSTFORDELER F.4.3 MYNDIGHEDSROLLER F POSTFORDELER F SYSTEMADMINISTRATOR F MYNDIGHEDSMEDARBEJDER F POSTADMINISTRATOR F LRA F ADMINISTRATOR F SUPERADMINISTRATOR F ØS ADMINISTRATOR F.4.4 BORGER ROLLEN F.4.5 SYSTEM ROLLER F AFSENDERSYSTEM F REGISTER F AFHENTNINGSSYSTEM F PORTAL F.5 OPSÆTNING AF SLUTBRUGERE F.6 E-BOKS GLOBAL ADMINISTRATOR ROLLEN F.7 PORTALINTEGRATION VIA IFRAME F.8 SYSTEM TIL SYSTEM ADGANG VIA REST / WEBSERVICE KALD F.8.1 SIKKERHEDSARKITEKTUR Digital post Snitflader - Bilag F: Sikkerhed version 6.1 2

3 F.8.2 VALIDERINGER SOM UDFØRES VED HVERT SYSTEMKALD F.8.3 IDENTIFIKATION AF SYSTEM F.8.4 OPSÆTNING AF ET SYSTEM FØR SYSTEM TIL SYSTEM KALD F.8.5 SIKRE FEJLKODER F.8.6 PÅLIDELIGHED F.9 VIRUSSKANNING Digital post Snitflader - Bilag F: Sikkerhed version 6.1 3

4 Versionshistorik Version Udgivelsesdato Ændringer 6.2 Præciseret afsnit F Afsnittet 'Identifikation af slutbruger type' er tilføjet Afsnittet 'Adgang til Digital post oprettelsesflow' er tilføjet. Afsnittet 'Adgang til Administrationsportalen oprettelsesflow' er tilføjet. Afsnittet 'Rolletildeling' er tilføjet. Afsnittet 'Oversigt over roller for en virksomhed' er ændret. Rollerne Administrator og LRA er tilføjet. LBA er ændret til LRA udvidet. Følgende CRUD objekter er blevet præciseret: Bilag, Brugeradministration, Delegerede Alle (adgangshaver), Egen sikker boks, Egne sikre bokse, Egne tilmeldinger, Egne tilmeldingsgrupper, Meddelelser, Notifikationer, Stamdata. Følgende CRUD objekter er tilføjet: Brugeradmin LRA, Delegerede Mine (adgangshaver), Testbrugere, Videresendelse. Opdaterede roller i CRUD modellen: LRA udvidet, Administrator (VIRK), Systemadministrator, LRA, Administrator, Borger. Afsnittet 'Sikkerhedsarkitektur / Systemkald på vegne af bruger er opdateret i forhold til 'x-onbehalf-of'. Afsnit om virusskanning er tilføjet. Myndighedsrollen Superadministrator er tilføjet. Digital post Snitflader - Bilag F: Sikkerhed version 6.1 4

5 F.1 Introduktion Dette dokument henvender sig til administratorer, som ønsker at oprette medarbejdere for virksomheder og myndigheder, samt udviklere og arkitekter, som ønsker viden om sikkerheden i forbindelse med system til system integration med Digital post. Det skal bemærkes, at for privatpersoner, dvs. borgere, som anvender en Digital post, er der intet at opsætte. De får automatisk tildelt rollen Borger og har dermed fuld adgang til deres Digital post boks. F.2 Henvisninger Følgende dokumenter indeholder information, som er relevant for dette bilag: Digital post - Snitflader indeholder den overordnede beskrivelse af Digital post s system-til-system snitflader. Dokumentet indeholder også en begrebsliste, som beskriver alle Digital post relaterede begreber, der er anvendt i dette dokument. Disse begreber er i dette dokument skrevet med kursiv og det forudsættes i dette dokument, at læseren er fortrolig med begreberne. Digital post Snitflader - Bilag F: Sikkerhed version 6.1 5

6 F.3 Roller og rettigheder I dette afsnit beskrives sammenhængen mellem roller og rettigheder i Digital post. F.3.1 Identifikation af slutbruger type Der skelnes i det følgende mellem følgende typer af slutbrugere: F.3.2 Borgere som identificeres ved at de er autentificeret med et CPR-nummer. Virksomheder som identificeres ved at de er autentificeret med et CVR-nummer. Myndigheder som identificeres ved at de er autentificeret med et CVR-nummer samtidig med at de optræder på en liste af CVR-numre som på forhånd er godkendt som værende myndigheder. Adgang til Digital post oprettelsesflow Borgere som forsøger at logge på som endnu ikke er tilmeldt Digital post bliver sendt til et oprettelsesflow hvor de kan tilmelde sig Digital post. For virksomheder og myndigheder gælder at de kun har adgang til oprettelsesflowet såfremt det certifikat brugeren er logget på med har status af LRA. F.3.3 Adgang til Administrationsportalen oprettelsesflow Myndigheder som forsøger at logge på administrationsportalen som endnu ikke er tilsluttet bliver sendt til et tilslutningsflow. Dette flow starter med at verificere at brugeren er en myndighedsbruger (CVR-nummeret fra certifikatet skal optræde i en liste med godkendte myndigheder). Derudover skal certifikatet have status af LRA. Såfremt dette kriterie er opfyldt er myndigheden i stand til at anmode om tilslutning. Efter at en tilslutningsaftale er fremsendt og returneret vil der blive åbnet for adgang til administrationsportalen. F.3.4 Rollebaseret adgangskontrol Modellen for adgangskontrol er rollebaseret (RBAC) der sikre en nem administration og at en slutbruger kun opnår de rettigheder der er nødvendige for det pågældende arbejdsområde. Modellen består af følgende elementer: F.3.5 Slutbrugere. Slutbrugeren identificeres entydigt i forbindelse med logon via NemLogin / VIRK BRS SSO. Roller. En slutbruger tildeles én rolle. Rettigheder. Hver rolle har tilknyttet en eller flere rettigheder. Hver af disse rettigheder giver adgang til en eller flere operationer for et objekt. Eksempelvis har en myndighedsmedarbejder en rettighed som bemyndiger vedkommende til at til- og afmelde en borger til at modtage meddelelser fra myndigheden. Rolletildeling Rolletildelingen afhænger af typen af slutbruger: Borgere får altid tildelt rollen Borger. Virksomhedsbrugere som logger på via et certifikat der har status af LRA får tildelt rollen LRA (virk) eller LRA udvidet afhængig af hvad virksomheden har valgt i Digital post Snitflader - Bilag F: Sikkerhed version 6.1 6

7 forbindelse med oprettelsen. Det er muligt at ændre den LRA rolle (LRA eller LRA udvidet) som LRA er tildeles efterfølgende. Medarbejdere i en virksomhed der ikke er LRA kan få tildelt en rolle via Digital post. Se afsnit F.3.6 for en oversigt over samtlige virksomhedsroller. Myndighedsbrugere som logger på via et certifikat der har status af LRA for tildelt rollen LRA. For medarbejdere i en myndighed der ikke er LRA kan rollen opsættes via administrationsportalen. Når myndigheden ikke har tildelt mindst en bruger med rollen myndighedsmedarbejder og en myndighedsbruger logger på som hverken er LRA eller har fået tilknyttet en specifik rolle vil denne få tildelt rollen Myndighedsmedarbejder. Hvorvidt et certifikat har status af LRA caches. Derfor kan der gå op til en time førend en ændring af et certifikats LRA status slår igennem. F.3.6 Oversigt over roller for en virksomhed Nedenfor ses en oversigt over de roller der findes for en virksomhed i Digital post. For en eksakt specifikation af rettighederne henvendes til CRUD modellen i et senere afsnit. En slutbruger for en virksomhed kan via VIRK tildeles én af nedenstående roller: Rolle Postfordeler Administrator (virk) Funktioner - Læse meddelelser - Initiere og besvare meddelelser til myndighed. - Slette meddelelser. - Videresende meddelelser til myndighed. - Videresende meddelelser via ikke sikker e-post. - Læse og slette notifikationer. - Acceptere, se og slette delegerede (adgangshaver) - Se og opdatere stamdata for virksomheden - Foretage brugeradministration. - Se, oprette, opdatere og slette tilmeldinger. - Acceptere, se og slette alle delegerede (adgangshaver) - Oprette, opdatere, se og slette delegerede (adgangsgiver) - Oprettelse, opsætning og sletning af afhentningssystem. - Fuld administration af sikker e-postkasse ved videresendelse. - Læse og slette notifikationer. LRA (virk) LRA udvidet - Nedlægge virksomhedens egen sikre boks - Se og opdatere stamdata. - Foretage brugeradministration. - Konfigurere hvilken rolle LRA er tildeles (LRA / LRA udvidet). - Nedlægge virksomhedens egen sikre boks - Se og opdatere stamdata for virksomheden - Foretage brugeradministration. - Konfigurere hvilken rolle LRA er tildeles (LRA / LRA udvidet). - Se, oprette, opdatere og slette tilmeldinger. - Acceptere, se og slette alle delegerede (adgangshaver) - Oprette, opdatere, se og slette delegerede (adgangsgiver) - Oprettelse, opsætning og sletning af afhentningssystem. - Fuld administration af sikker e-postkasse ved videresendelse. Digital post Snitflader - Bilag F: Sikkerhed version 6.1 7

8 Rolle Funktioner Har derudover de samme rettigheder som Postfordeler. F.3.7 Oversigt over roller for en myndighed Nedenfor ses en oversigt over myndighedens roller. For en eksakt specifikation af rettighederne henvendes til CRUD modellen i et senere afsnit. Her skelnes mellem de funktioner der er til rådighed i myndighedens sikre boks og administrationsportalen. En slutbruger, som arbejder i en myndighed, kan tilgå myndighedens sikre boks via en af nedenstående roller. Rolle Postfordeler Administrator Funktioner - Læse meddelelser i Digital post. - Besvare meddelelser i Digital post. - Slette meddelelser i myndighedens Digital post. - Videresende meddelelser til myndighed. - Læse og slette notifikationer. - Acceptere, se og slette delegerede (adgangshaver) - Se og opdatere myndighedens sikre boks (stamdata) - Se, oprette, opdatere og slette tilmeldinger. - Læse og slette notifikationer. - Acceptere, se og slette delegerede (adgangshaver) - Oprette, se og slette delegerede (adgangsgiver) Bemærk at administrator rollen også har rettigheder i e-boks administrationsportalen (det er den samme rolle). En slutbruger, som arbejder i en myndighed, kan tilgå administrationsportalen via én af følgende roller. Rolle Systemadministrator Myndighedsmedarbejder Postadministrator Funktioner - Oprette, redigere og slette myndighedens egne tilmeldingsgrupper - Oploade bilag. - Opsætning af afsendersystem, register, portal og afhentningssystem (ikke oprettelse). - Oprettelse af alle servicebeskedmodtagere. - Oprettelse af alle sikre bokse til at modtage meddelelser (foreløbig oprettelse der skal godkendes af slutbruger). - Oprette og slette tilmeldinger for alle slutbrugere til myndighedens egne tilmeldingsgrupper. - Fremsøge og se egne afsendelser til borgere / virksomheder. Digital post Snitflader - Bilag F: Sikkerhed version 6.1 8

9 Rolle Administrator Funktioner - Se, oprette, redigere og slette myndighedens postkasser. - Tilslutte afsendersystem, register, portal og afhentningssystem (dvs. oprette men ikke opsætte). - Se statistik forbrug for myndighedens anvendelse. - Brugeradministration: se, oprette, opdatere og slette Bemærk at Administrator rollen også har rettigheder i myndighedens egen sikre boks (det er den samme rolle). LRA ØS administrator - Tilslutte myndigheden til Digital post og angive Administrator. - Se statistik overordnet (tilsluttede myndigheder og slutbrugere) F.3.8 Oversigt over system roller Et system har kun adgang til at udføre de funktioner der ligger indenfor dets funktionsområde. Nedenfor er vist en oversigt over de mulige systemtyper. For en eksakt specifikation af rettighederne henvendes til CRUD modellen i et senere afsnit. Systemtype Afsendersystem Portal Register Afhentningssystem Funktioner - Oprette, opdatere, og se afsendelser. - Forespørge om bruger ønsker en specifik indholdstype. - Hente forudbestilt tilmeldings-/ændringsliste. - Søge i tidligere afsendelser - Annullerer og udskyde planlagt afsendelse. - Hente egne tilmeldinger for en slutbruger. - Til- og afmelde egne tilmeldinger for en slutbruger. - Se liste over seneste egne meddelelser for en slutbruger. - Se antal ulæste egne meddelelser for en slutbruger. - Hente liste/ændringsliste med egne tilmeldinger samt stamdata for egne slutbrugere - Oprette og slette egne tilmeldinger online. - Oprette og opdatere egne slutbrugeres sikre boks online. - Virksomhed / myndighed henter meddelelser via system til system kald. Digital post Snitflader - Bilag F: Sikkerhed version 6.1 9

10 F.4 CRUD operationsmodel I det følgende gennemgås for hver rolle de objekter de har adgang til samt hvilke operationer de kan udføre på objektet, dvs. om rollen kan oprette (C), læse (R), opdatere (U), samt slette (D) objektet. I det følgende gennemgås hver enkelt rolle. F.4.1 Objekter Nedenfor ses en liste med de objekter der refereres i rettighederne. Hvis objektet står med kursiv er det et begreb der er defineret i begrebslisten (se afsnittet henvisninger for en reference til dokumentet). Der refereres i definitionen til hvilken type operation der kan udføres: oprette (C), læse (R), opdatere (U), samt slette (D) objektet. Objekt Afsendelser Afsendersystem Afhentningssystem Bilag Brugeradministration Brugeradmin LRA Delegerede Alle (adgangshaver) Definition Afsendte meddelelser. Tilhører altid et afsendersystem. Refererer meddelelser som myndigheden har afsendt via et afsendersystem. De bliver til meddelelser hos modtageren når de er afsendt. En afsendelse kan tilbagekaldes. Afsendelser kan ses via administrationsportalen. (C) retten til at afsende, (U) retten til at opdatere en planlagt forsendelse, (D) retten til at tilbagekalde en afsendelse. Et system som myndigheden har opsat via administrationsportalen. (C) retten til at tilslutte systemet, (U) retten til at konfigurere det, (D) retten til at nedlægge det. Et system som myndigheden har opsat via administrationsportalen til at hente post. (C) retten til at tilslutte systemet, (U) retten til at konfigurere det, (D) retten til at nedlægge det. Myndighedens egne bilag. (C) retten til at oploade et bilag. (R) retten til at læse et allerede oploadet bilag samt downloade dette. (U) retten til at redigere bilag. Brugerrettighedsstyring - adgang til egen sikker boks og for myndigheder også administrationsportalen: (C) retten til at oprette, (U) opdatere, (R) læse og (D) slette. Giver dog aldrig ret til ændre brugerens egen rolletildeling. Brugeradministration af LRA: (U) Retten til at opdatere hvilken rolle en LRA logger på med ved næste logon. Administration af hvilke sikre bokse denne sikre boks har adgang til. Administrationen gælder både alle brugerspecifikke adgange (via RID) samt generel adgang (ingen RID). (R) retten til at se hvilke bokse der er adgang til, (U) retten til at acceptere og afvise Digital post Snitflader - Bilag F: Sikkerhed version

11 adgang til andre bokse. (D) at adgang til en anden boks kan slettes. Selve adgangen til at læse meddelelser i den sikre boks der opnås adgang til kræver at den pågældende bruger har den fornødne rettighed, dvs. meddelelser (R). Delegerede Mine (adgangshaver) Delegerede (adgangsgiver) Egne Meddelelser Egen sikker boks Egne sikre bokse Egne slutbrugere Egne tilmeldinger Egne tilmeldingsgrupper Egen tilmeldingsliste Administration af hvilke brugerspecifikke adgange den pågældende bruger af denne sikre bokse (identificeret via sin RID) har til andre bokse. (R) retten til at se hvilke bokse brugeren har individuel adgang til via sin RID, (U) retten til at acceptere og afvise individuel adgang til en sikker boks. (D) at adgang til en anden boks kan slettes. Angiver at andre har adgang til denne sikre boks. (C) retten til at give andre adgang. (R) retten til at se hvem der har adgang (U) retten til at ændre andres adgang, (D) retten til at fjerne andres adgang. Meddelelser der vedrører en myndighed. Afhængig af konteksten kan det være myndighedens / virksomhedens / borgerens Digital post der refereres til. (D) retten til at nedlægge boksen. Oprettelse kræver adgang til oprettelsesflowet (se F.3.2). For en myndighed er egne sikre bokse alle de sikre bokse som har en tilmelding der vedrører en af myndighedens egne tilmeldingsgrupper. (R) retten til at læse stamdata for egne sikre bokse. (U) retten til at opdatere stamdata for egne sikre bokse. Samtlige slutbrugere der har en tilmelding der vedrører denne myndigheds egen sikre boks. Samtlige slutbrugeres tilmeldinger der vedrører denne myndigheds egen sikre boks. (C) retten til at tilmelde en ny slutbruger heriblandt oprettelse af servicebeskedmodtager, (D) retten til at afmelde en slutbruger. De tilmeldingsgrupper denne myndigheds sikre boks udstiller til slutbrugerne. (C) retten til at oprette en tilmeldingsgruppe. (R) retten til at læse konfigurationen for en tilmeldingsgruppe. (U) retten til at opdatere en tilmeldingsgruppe. En forudbestilt liste der beskriver hvilke slutbrugere der er tilmeldt de forskellige indholdstyper / tilmeldingsgrupper for en myndighed / et afsendersystem. Digital post Snitflader - Bilag F: Sikkerhed version

12 Meddelelser Meddelelsesliste Notifikationer Portal Postkasser Register Slutbruger tilmeldinger Stamdata Statistik forbrug Statistik overordnet Testbrugere Tilmeldinger Videresendelse Indkomne meddelelser samt meddelelser som slutbrugeren har afsendt / videresendt. (R) retten til at læse en meddelelse heriblandt et dataudsnit af de meddelelser som der opnås adgang til som adgangshaver, (C) retten til at sende, (U) retten til at videresende (funktionalitet afhænger af slutbrugertypen), (D) retten til at slette. Liste af meddelelser hvor indholdet ikke er tilgængeligt. (R) adgang til at hente liste med meddelelser. Hændelser som slutbrugeren bliver præsenteret for i Digital post efter login. (R) retten til at se notifikationer. (D) retten til at slette en notifikation. Et system som myndigheden har opsat via administrationsportalen. (C) retten til at tilslutte systemet, (U) retten til at konfigurere det, (D) retten til at nedlægge det. Angiver hvordan slutbrugeren kan kontakte myndigheden. Et system der kan opsættes. Se begrebslisten. (C) retten til at tilslutte systemet, (U) retten til at konfigurere det, (D) retten til at nedlægge det. En slutbrugers tilmeldinger til tilmeldingsgrupper. (C) tilmelding, (D) afmelding. Stamoplysninger for den sikre boks ( og telefonnummer). For myndighed er det yderligere kontaktoplysninger i administrationsportalen. (R) retten til at læse disse. (U) retten til at opdaterer disse. Statistik for myndighedens forbrug af Digital post. (R) retten til at se myndighedens eget forbrug i Digital post. Statistik for den samlede anvendelse af Digital post på tværs af myndigheder. (R) Retten til at se statistik på tværs af alle myndigheder. (R) adgang til testbrugere i integrationstestmiljøet. Denne sikre boks tilmeldinger til tilmeldingsgrupper. (R) retten til at se tilmeldinger (C) retten til at oprette en tilmelding, (U) retten til at opdatere, (D) retten til at slette en tilmelding. Opsætning af videresendelse. (C) retten til at opsætte en adresse der videresendes til. (R) Digital post Snitflader - Bilag F: Sikkerhed version

13 status for vidersendelse. (U) opdatere adresse for videresendelse. (D) slette videresendelse. F.4.2 Virksomhedsroller F LRA (VIRK) Objekt \ Operation C R U D Egen sikker boks Brugeradministration Brugeradmin LRA Stamdata F LRA udvidet Rollen giver fuld adgang til Digital post. Den gør det muligt for en enkeltmandsvirksomhed at anvende systemet med kun en medarbejder. Objekt \ Operation C R U D Egen sikker boks Brugeradministration Brugeradmin LRA Stamdata Tilmeldinger Delegerede (adgangsgiver) Afhentningssystem Videresendelse Meddelelser Notifikationer Delegerede Alle (adgangshaver) Digital post Snitflader - Bilag F: Sikkerhed version

14 F Administrator (VIRK) Objekt \ Operation C R U D Brugeradministration Stamdata Tilmeldinger Delegerede (adgangsgiver) Afhentningssystem Videresendelse Notifikationer Delegerede Alle (adgangshaver) F Postfordeler Objekt \ Operation C R U D Meddelelser Notifikationer Delegerede Mine (adgangshaver) F.4.3 Myndighedsroller F Postfordeler Operation C R U D Meddelelser Notifikationer Delegerede Mine (adgangshaver) Digital post Snitflader - Bilag F: Sikkerhed version

15 F Systemadministrator Operation C R U D Egne Tilmeldingsgrupper Bilag Afsendersystem Afhentningssystem Portal Register Postkasser Testbrugere Afsendelser F Myndighedsmedarbejder Operation C R U D Egne sikre bokse Egne Tilmeldinger F Postadministrator Operation C R U D Afsendelser F LRA Operation C R U D Egen sikker boks Brugeradministration Digital post Snitflader - Bilag F: Sikkerhed version

16 Operation C R U D Stamdata F Administrator Objekt \ Operation C R U D Stamdata Tilmeldinger Delegerede Alle (adgangshaver) Delegerede (adgangsgiver) Notifikationer Postkasser Afsendersystem Afhentningssystem Portal Register Statistik forbrug Brugeradministration Testbrugere F Superadministrator Denne rolle er summen af rollerne Administrator og Systemadministrator. F ØS administrator Objekt \ Operation C R U D Statistik overordnet Digital post Snitflader - Bilag F: Sikkerhed version

17 F.4.4 Borger rollen Objekt \ Operation C R U D Egen sikker boks Stamdata Meddelelser Notifikationer Tilmeldinger Delegerede Alle (adgangshaver) Delegerede (adgangsgiver) Videresendelse Digital post Snitflader - Bilag F: Sikkerhed version

18 F.4.5 System roller F Afsendersystem Objekt \ Operation C R U D Afsendelser Egne tilmeldinger Egen tilmeldingsliste F Register Objekt \ Operation C R U D Egne tilmeldinger Egne sikre bokse Tilmeldingsliste F Afhentningssystem Objekt \ Operation C R U D Meddelelser F Portal Objekt \ Operation C R U D Egne tilmeldinger Meddelelsesliste Digital post Snitflader - Bilag F: Sikkerhed version

19 F.5 Opsætning af slutbrugere En Administrator kan som nævnt oprette brugere og angive deres rolle via administrationsportalen. Dette er illustreret i nedenstående skærmbillede. F.6 e-boks global administrator rollen Udover de ovenfor nævnte roller, eksisterer der en speciel rolle: e-boks global administrator. Denne rolle giver adgang til et administrationsmodul. Via dette modul er det muligt at oprette nye slutbrugere samt ændre eksisterende slutbrugeres rolle. Desuden er det via dette modul muligt at tilslutte nye myndighed. Efter tilslutningen kan en Administrator logge på via administrationsportalen. Modulet er et internt e-boks værktøj som ikke er tilgængeligt for eksterne, således er det kun e-boks ansatte der kan tildeles denne rolle. Digital post Snitflader - Bilag F: Sikkerhed version

20 F.7 Portalintegration via IFrame Når Digital post anvendes via IFrame integration skal følgende regler overholdes. Digital post finder selv ud af hvilken rolle den pågældende slutbruger har og tilpasser sig herefter. Digital post anvender NemLog-in / VIRK BRS SSO og overholder de regler VIRK BRS opstiller. Serviceaftager skal tage højde for følgende: Digital post forudsætter, at hovedvinduet hvori IFramen vises, har foretaget logon via NemLog-in / VIRK BRS SSO. Digital post forudsætter, at hovedapplikationen ikke timer ud. Digital post viser aldrig et logon vindue og indeholder ikke knapper til logout. URL en der skal anvendes fremgår af administrationsportalen. F.8 System til system adgang via REST / WebService kald F.8.1 Sikkerhedsarkitektur Den anvendte sikkerhedsarkitektur er beskrevet detaljeret i Sikkerhedsmodeller for OIOREST version 1.0 ( udgivet af IT & Telestyrelsen. Her resumeres modellerne og de tilhørende krav: Sikring af systemkald (model 1 i ovenstående reference) anvendes ved integration af afsendersystem, register og virksomhed. Kravene er: Serviceaftager sender forespørgsel og modtager synkront et svar. Serviceudbyder kræver anvendelse af SSL med påkrævet klientautentifikation (2 vejs SSL). Serviceaftager skal anvende et V-OCES. Serviceaftager skal via en input parameter system-id oplyse serviceudbyder om hvilket system, der forespørger. De enkelte systemers id fremgår af administrationsportalen. Digital post verificerer, at den pågældende serviceaftager, som er identificeret via ovenstående certifikat må anvende det angivne system. Systemkald på vegne af bruger (model 2 i ovenstående reference) anvendes ved portalintegration (ikke at forveksle med portalintegration via iframe). Udover ovenstående krav gælder desuden: Serviceaftager skal autentificere slutbrugeren via fællesoffentlig single sign-on løsning baseret på SAML 2.0. Serviceaftager skal overføre slutbrugerens identitet via feltet -On-Behalf-Of i HTTP headeren: o For borgere skal angives CPR-nummer, eksempelvis CPR: Digital post Snitflader - Bilag F: Sikkerhed version

21 F.8.2 For virksomheder og myndigheder: slutbrugeren har logget på via et MOCES certifikat. Feltet -On-Behalf-Of skal være udfyldt med slutbrugerens certifikats subject serial number. Serviceudbyder anvender værdien i -On-Behalf-Of til at bestemme slutbrugerens rolle. For myndigheder og virksomheder er rollen opsat via Digital post. På baggrund af denne rolle bestemmes slutbrugerens specifikke rettigheder. Valideringer som udføres ved hvert systemkald Systemer, der forespørger, identificere sig via et input parameter og disse informationer anvendes ved hvert kald til at verificere følgende: Systemrettigheder: Det verificeres, hvorvidt det system der forespørger har de fornødne rettigheder til at udføre det ønskede kald. Brugerrettigheder: Ved portalintegration via REST verificeres det at slutbrugeren har den påkrævede rettighed til at udføre den ønskede funktion. Kontekstspecifikke rettigheder: På trods af at et afsendersystem har ret til at afsende, er det ikke alle indholdstyper, det må afsende. Dette er et eksempel på kontekst specifik sikkerhed, hvor det verificeres, om indholdstypen er tilknyttet til afsendersystemet. Tilsvarende kan en afsender kun søge i egne afsendelser og en virksomhed eller borger kan kun hente egen post. Ved adgang til en anden slutbrugers boks er det kun de specifikt angivne mapper, der er adgang til. Hvis blot en af ovenstående regler ikke er opfyldt, returneres en fejl, og kaldet gennemføres ikke. F.8.3 Identifikation af system Som nævnt under sikkerhedsarkitektur beskrivelsen, inkluderer alle forespørgsler en input parameter sysid som angiver systemet. Det gælder afsendersystemer, registre, portaler samt ved hent post. Årsagen til at det ikke er nok at identificere systemet via det certifikat systemet har tilknyttet, skyldes situationen hvor en driftsleverandør stiller det samme system til rådighed for flere myndigheder eller virksomheder. I denne situation er det ønskværdigt for driftsleverandøren ikke at have et unikt certifikat for hver eneste myndighed/virksomhed som anvender systemet. I stedet kan driftsleverandøren anvende sit eget V-OCES certifikat. Konsekvensen heraf er, at eksempelvis flere afsendersystemer kan anvende det samme certifikat. Som det fremgår af det næste afsnit kan et afsendersystem / register konfigureres forskellig fra myndighed til myndighed som anvender systemet. Derfor er det specifikke system nødt til at identificere sig. F.8.4 Opsætning af et system før system til system kald For at kunne foretage system til system kald skal der ske en opsætning i administrationsportalen. For myndigheder. Myndighedens Administrator skal via administrationsportalen oprette afsendersystem. Efterfølgende kan myndighedens Systemadministrator opsætte og vedligeholde systemet ligeledes i administrationsportalen. Digital post Snitflader - Bilag F: Sikkerhed version

22 For virksomheder. Virksomhedens LRA skal godkende en tilslutning. Vedkommende kan derefter selv opsætte systemet. Alle systemtyper (afsendersystem / portal / registre / afhentningssystem) kræver at et certifikat er oploadet via administrationsportalen. Dette certifikat anvendes til at sikre transporten af data mellem serviceaftagers og serviceudbyders (e-boks) servere og identificerer den pågældende afsender. Opsætningsparametre for afsendersystem / registre. Et afsendersystem kan hente tilmeldingslister indeholdende de slutbrugere som ønsker afsendelser fra dette system. Ligeledes kan registre hente stamdatalister indeholdende alle de brugere som er tilmeldt specifikke tilmeldingsgrupper dog kun tilmeldingsgrupper, som er knyttet til et eller flere afsendersystemer for den pågældende afsender hvor registret er oprettet. Da begge typer af lister kan være meget omfattende, er det muligt at angive at det kun er ændringer der ønskes. Dette opsættes via administrationsportalen på det pågældende afsendersystem / register. Afhentningssystem Både virksomheder og myndigheder, som er tilmeldt Digital post, har mulighed for via system til system kald at hente meddelelser fra indbakken i deres Digital post boks. Det kræver en opsætning som beskrevet ovenfor. For at undgå at meddelelsen bliver slettet uden at være modtaget, skal sletning ske i et efterfølgende kald. Praktiske forhold Myndigheden/virksomheden skal være opmærksom på følgende: Myndigheden/virksomheden skal angive et V-OCES certifikat for hvert system (afsendersystem, register, portal, afhentningssystem). Der anvendes SSL version 3.0 med nøglelængde på 128 bit. Myndigheden/virksomheden har pligt til selv at opsætte producerer, der håndterer fornyelse af serviceaftagers certifikater. Det er myndigheden/virksomhedens ansvar løbende at undersøge om deres certifikatet er spærret. Digital post foretager ikke spærrecheck. F.8.5 Sikre fejlkoder Hvilke fejlkoder der returneres fra REST operationerne, bliver altid vurderet i en sikkerhedsmæssig sammenhæng, så de ikke kan anvendes til at få uvedkommende informationer om systemet og slutbrugerne. Dette princip anvendes overalt og garanterer, at eksterne ikke kan foretage konklusioner om boksens eksistens på baggrund af fejlkoder. Digital post Snitflader - Bilag F: Sikkerhed version

23 F.8.6 Pålidelighed Alle operationer er idempotente. Herved sikres pålideligheden ved, at man i tilfælde af fejl eller uvished om, hvorvidt et request blev (færdig-)behandlet (timeout), kan gentage pågældende request, indtil man med sikkerhed kan afgøre at requestet er færdigbehandlet. De gentagne requests påvirker ikke resultatet i forhold til kun at sende et request. F.9 Virusskanning Der foretages virusskanning af samtlige dokumenter som slutbrugere oploader til deres Digitale post konto. Såfremt en virus detekteres vil dokumentet blive afvist. Dette garanterer, at samtlige vedhæftninger på meddelelser der afhentes / videresendes fra Digital post forudgående vil være skannet for virus. Meddelelser og vedhæftninger der afleveres til Digital post via REST afsendersystem og SMIME snitfladen skannes ligeledes for virus. Såfremt en virus detekteres afvises forsendelsen med en fejlkode der oplyser herom. Digital post Snitflader - Bilag F: Sikkerhed version