Kansalaisen tunnistus- ja maksamispalvelu VETUMA Tietotekniikkaosasto Ismo Aulaskari 6.10.2009.

Esitys aiheesta: "Kansalaisen tunnistus- ja maksamispalvelu VETUMA Tietotekniikkaosasto Ismo Aulaskari 6.10.2009."— Esityksen transkriptio:

1 Kansalaisen tunnistus- ja maksamispalvelu VETUMA Tietotekniikkaosasto Ismo Aulaskari 6.10.2009

2 VETUMA Verkkotunnistautuminen ja maksaminen, Kansalaisen tunnistus- ja maksamispalvelu VETUMA Fujitsu Services OY:n kehittämä ja ylläpitämä autentikointiportaali Tarjoaa yhdenmukaisen avoimen tunnistautumisrajapinnan organisaatioille useilla eri vahvoilla autentikointimenetelmillä, muistuttaa pankkien Tupasta Käyttäjän tunnistaminen, sähköiset allekirjoitukset, maksatus

3 VETUMA.. jatkuu Palvelusta vastaa valtiovarainministeriö ja sen tuottaa Fujitsu Services Oy, hanke aloitettu vuonna 2004. Tavoitteena hankkia yhteisesti ja levittää koko julkishallinnon käyttöön yhteinen verkkotunnistamisen ja - maksamisen alusta. Alkuvaiheessa verkkotunnistamisen ja maksamisen alustan otti käyttöön 60 kuntaa valtionhallinnon virastojen ja laitosten, ja korkeakoulujen ohella “Verkkotunnistamisen ja -maksamisen alusta rahoitetaan keskitetysti valtion budjettivaroin 2009 loppuun asti.” Lähde: suomi.fi

4 Vahva autentikointi VETUMA tukee tällä hetkellä tunnistusta Tupas-pankkitunnuksilla HST-sähköisellä henkilökortilla (ns. kansalaisvarmenne, myöntäjänä poliisi)‏ Tulossa OPM:n organisaatiovarmenne (?)‏ Mobiilivarmenteet (?)‏

5 Vetuma.pm Fujitsu Services myy valmista toolkitia Java- ja.NET- alustoille, sisältää valmiita VETUMA-komponentteja ja sorsakoodia HY:lla toteutettu HAKA-pilottina Perl-kielinen avoimen lähdekoodin toteutus VETUMA-rajapintaa käyttävästä autentikointimoduulista Puhdas Perl-toteutus TY:n Tupas.pm:n hengessä Vetuma.pm tukee VETUMA-tunnistusta Tupaksella ja varmennekorteilla(lue: kaikkia VETUMA-portaalin vahvempia tunnistustapoja)‏

6 Vetuma.pm – toiminta, vanha sovelluskohtainen asennus 1)Käyttäjä tulee HY:n Vetuma-kirjautumissivulle 2)Käyttäjä ohjataan VETUMA-palveluun 3)Käyttäjä autentikoi itsensä henkilökortilla tai pankin palvelussa 4)Käyttäjän henkilötunnus palautetaan HY:lle 5)Käyttäjä etsitään HY:n LDAP-hakemistosta hetun avulla 6)Käyttäjälle luodaan sessio 7)Käyttäjä ohjataan tunnistamisen vaatineeseen palveluun

7 Sittemmin tapahtunutta Sovelluskohtaisia VETUMA-asiakkaita on turha ylläpitää Ne on kaikenlisäksi vielä työläitä asentaa Joten kaikessa mikä ei vaadi äärimmäistä tehokkuutta ja kustomoitavuutta: Keskitetään HY:n Vetuma-tunnistuspalvelu Asennetaan tunnistusta vaativien palveluiden eteen yksinkertainen Apache+mod_perl-kombo Käsitellään sovelluksissa samalla tavalla kuin esim. Shibboleth-tunnistus

8 Vetuma.pm, toiminta, keskitetty asennus (suositellaan!)‏ 1)Käyttäjä saapuu suojattavan sovelluksen suojatulle sivulle 2)Sovellusta suojaavan Apachen mod_perl-moduuli ohjaa käyttäjän HY:n keskitetylle Vetuma-kirjautumis-sivulle 3)Käyttäjä tunnistautuu Valtion IT-palvelukeskuksen VETUMA-portaalissa 4)Käyttäjä ohjataan alkuperäiseen sovellukseen, Apacheen asetetaan käyttäjän henkilötunnus ympäristömuuttujaksi, tarvittaessa muutakin käyttäjän dataa 5)Mod_perl-valvoo käyttäjän session voimassaoloa SOAP- kutsuilla kirjautumispalvelimelle, ohjaa tarvittaessa uuteen kirjautumiseen

9 Käyttötarkoitukset HY:llä Salasananvaihtopalvelu Uusien opiskelijoiden rekisteröinti ja käyttölupien itseaktivointi Avoimen yliopiston käyttäjien rekisteröinti Kertakäyttösalasanalistojen luonti Vahvaa tunnistautumista vaativat (ei-korkean volyymin) palvelut, kuten kadunmiesten tunnistaminen Esim. vahva työasemaautentikointi halvempi toteuttaa organisaation sisäisestä lähteestä

10 Pilottiprojektin kotisivu http://www.helsinki.fi/~aulaskar/tietos/vetuma/doc.html Koodi ja dokumentaatio julkaistu osana HAKA- pilottivaatimuksia Vetuma.pm astunut tuotantoon HY:llä 2007 sopimusten solminnan jälkeen opiskelijakäyttölupien aktivointipalveluna ja salasanojen resetointipalveluna Fujitsun sopimus Pankkisopimukset VRK-sopimukset Valmiutta VETUMA-tunnistuksen korvaamiseksi Tupas- tunnistuksella ylläpidetään jos kustannukset nousevat 2010

11 Kysyttävää? Keskitetty asennus, Apachen konfiguraatio: https://svn.it.helsinki.fi/repos/lupa/tyokalut_ja_esimerkit/vetuma/keskitetty/mod_p erl/ https://svn.it.helsinki.fi/repos/lupa/tyokalut_ja_esimerkit/vetuma/keskitetty/mod_p erl/ JSF-viewhandler: https://svn.it.helsinki.fi/repos/lupa/tyokalut_ja_esimerkit/vetuma/keskitetty/jsf/