Mobiilivarmenteet Hakassa Henri Mikkonen Haka-seminaari

Sisältö Projektin taustaa ETSI-204 sekvenssi Integraatiovaihtoehdot SAML-pohjaiseen federaatioon Shibboleth IdP 2.x integraatio 2

Projektin taustaa Hakan toimintasuunnitelmassa “keskitetty vahva tunnistus” o “Vuoden 2015 lopussa Haka-luottamusverkosto on pilotoinut vahvan ja heikon tunnistamisen menetelmiä korkeakouluissa” JulkICTLab –kehitysprojekti/pilotti alkoi kesällä 2014 o mahdollistaminen-haka-luottamusverkostossa/ mahdollistaminen-haka-luottamusverkostossa/ o Osapuolina Elisa Oyj, CSC ja HY 3

4 ETSI-204 sekvenssi

5 Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X” Mobile Signature Service Provider (MSSP) 1 Puhelinnumero Spam-estokoodi

6 Mobile Signature Service Provider (MSSP) 1 2 ETSI 204: MSS_SignatureReq Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

7 Mobile Signature Service Provider (MSSP) ETSI 204: MSS_SignatureResp Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

8 Mobile Signature Service Provider (MSSP) “Allekirjoita pyyntö CSC-ABCD palvelulta Haka-tunnistus.” Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

9 Mobile Signature Service Provider (MSSP) “Tunnistuspyyntö CSC-ABCD palvelulta Haka-tunnistus.” Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

10 Mobile Signature Service Provider (MSSP) PIN-koodi Allekirjoitus Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

11 Mobile Signature Service Provider (MSSP) ETSI 204: MSS_StatusReq 7 Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

12 Mobile Signature Service Provider (MSSP) ETSI 204: MSS_StatusResp 8 Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

13 Mobile Signature Service Provider (MSSP) “Sinut on tunnistettu” Appilication Provider (AP) “Palvelu X” Appilication Provider (AP) “Palvelu X”

14 Integraatiovaihtoehdot

15 Identity Provider (IDP) MSSP Service Provider (SP) IDM System IDM System SAML 2.0 e.g. LDAP

16 Identity Provider (IDP) MSSP Service Provider (SP) IDM System IDM System SAML 2.0 e.g. LDAP ETSI-204 plugin ETSI-204 plugin

17 Identity Provider (IDP) MSSP Service Provider (SP) IDM System IDM System SAML 2.0 e.g. LDAP ETSI-204 plugin ETSI-204 plugin ETSI-204

Suora IDP/SP ETSI-204 -integraatio ETSI-204 protokollan toteutus voi olla työlästä riippuen ohjelmointikielestä o Valmiita kirjastoja ei löydy kaikille tekniikoille Useita MSSP –asiakkuuksia federaation sisällä o Useita samantyyppisiä sopmuksia 18

19 Identity Provider (IDP) MSSP Service Provider (SP) IDM System IDM System SAML 2.0 e.g. LDAP ETSI-204 Federation Mobile Authn Service Federation Mobile Authn Service plugin Service plugin REST Service plugin Service plugin REST Puhelinnumero (Spam-estokoodi) hetu, satu, address, age, , mobile gender, givenName, surName, validUntil Another Service Service plugin Service plugin REST

Keskitetty (REST-)palvelu Helpompi sovellusintegraatio, toteutuskielestä riippumatta o Mahdollisimman yksinkertainen REST-protokolla o Request-viestien sisältö HTTP GET –parametreina o Vastausviestien sisältö JSON -formaatissa Keskitetty palvelu on ainoa asiakas mobiilioperaattorin näkökulmasta o Yksinkertaisempi sopimustenhallinta o Mahdollisuus sisällyttää myös luottamusverkostolle kiinnostavia lisäattribuutteja muista järjestelmistä Ensimmäinen versio toteutuksesta pilottikäytössä CSC:llä o Yhteys Elisan tuotantopalvelimille 20

Shibboleth IdP 2.x integraatio Ensimmäinen versio toteutuksesta valmis o Shibboleth IdP 2.x login handler o Asennusohjeet ja lähdekoodi (Apache 2.0 -lisenssillä) julkaistu o Login handler käytössä CSC:n tuotantopalvelimella o Elisa, Sonera ja DNA –liittymät tuettuna o Ei havaittuja vakausongelmia 21

22 Shibboleth IdP v2 Shibboleth IdP v2 MSSP Service Provider (SP) IDM System IDM System SAML 2.0 LDAPETSI-204 Federation Mobile Authn Service Federation Mobile Authn Service Mobiili- varmenne plugin REST Puhelinnumero (Spam-estokoodi) hetu, satu, address, age, , mobile gender, givenName, surName, validUntil mobile -> uid