Samarbeidsgruppemøte i Altinn Bank. ID – Implementering Lillestrøm, 05. 10. 07 - 06. 10. 07 1
Sak 4 Innføring av Bank ID i Altinn Bakgrunn: Sak: Brønnøysundregistrenes behov for å få Bank. ID som autentiserings- og signeringsløsning i Altinn. Som en del av Brønnøysundregistrenes arbeid med overgang til elektronisk forvaltning har Løsøreregisteret lenge arbeidet med å få til elektronisk innsending av tinglysingsmeldinger med signatur fra pantsetter. Forskriften som bl. a. fastsetter nivå på denne signaturen (kvalifisert elektronisk sertifikat på nivå ”person høy”) ble iverksatt i mai d. å. All elektronisk datafangst ved Brønnøysundregistrene skal, i de tilfeller innsender er definert som en del av næringslivet, skje gjennom Altinn. Løsøreregisterets kunder er i overveiende grad bank og finans. Som kjent har en samlet norsk banknæring utviklet en felles elektronisk id; Bank. ID. Løsøreregisteret finner det derfor naturlig å arbeide for å tilby en signeringsløsning der Bank. ID er en av flere signeringsløsninger. Med dette som bakgrunn utarbeidet Brønnøysundregistrene i sommer en kravspesifikasjon der det ble bedt om en løsningsbeskrivelse som innbefatter Bank. ID som signeringsløsning på ovennevnte nivå. Løsningsbeskrivelsen fra Accenture forelå kun få dager før fristen til å melde endringer i Altinn 5. 2 gikk ut. For å klare en eventuell produksjonssetting før frysperioden, ble det gjort en bestilling til Accenture på den tekniske siden I ettertid har det vært gjennomført avklaringer med Eindomsinfo. og Sivilavd. /Justis mht. eventuell nødvendighet for ytterligere løsningstilpasninger for eiendomspant. 2
Sak 4 Innføring av Bank ID i Altinn Gjennomføringen er avhengig av to parallelle løp : 1. Teknisk løsning: • Avklare tekniske løsning / mulighet for implementering av løsning og produksjonssetting i versjon 5. 2, sammen med PSAN 18. februar 2008. • Løsning m/tilpasninger for tinglysning med signering vha. Bank-Id for BR/Løsøre • Løsning m/tilpasninger for eiendomspant med signering vha. Bank-Id via Eiendomsinfo • Tjenesteutvikling / tilrettelegging av de nye tjenestene i Altinn 2. Merkantile avklaringer: • Avklare avtalemessige forhold rundt Bank-Id, og med tjenesteeier(e). • Avklare anskaffelsesmodell. • Avklare kostnader og finansiering • Gjennomføre nødvendige administrative avklaringer, i en prosess med berørte parter i Altinn. Denne prosessen er innledet i Altinn styringsråd, og prosessen startes på samarbeidsgruppemøte 5. november 2007. Beslutning om produksjonssetting blir ikke tatt før begge løp har gitt produksjonsklare grunnlag. 3
Sak 4 Innføring av Bank ID i Altinn Prosessen Fra referat fra Styringsrådsmøte : Sak : ”Status Bank ID: ASF har sendt en forespørsel og fått et svar fra Accenture om at systemteknisk kan dette gjennomføres med mulighet for både nivå 3 og nivå 4. For å klare en eventuell produksjonssetting før frysperioden, er det gjort en bestilling til Accenture på den tekniske siden. Eventuell produksjonssetting er avhengig av at det kan utarbeides avtale med Bank-id og at nødvendig dialog gjennomføres med de berørte parter i Altinn. Lånekassen, SKD og NAV er aktuelle i dette arbeidet. Det vil komme en direkte henvendelse til Lånekassen, SKD og NAV om deltakelse. Dette vil gå ganske fort og en innkalling til møte vil komme i løpet av en uke. Kommentarer i møtet: Når det gjelder Bank-ID må man unngå en isolert prosess hos BR. Her er det kjørt en baklengs prosess i forhold til de tjenesteeierne som jobber med dette. BR bør ha en dialog med Lånekassen og NAV før avtaler ferdigstilles og utvikling starter. Prosessen burde ha vært kjørt på forhånd og beslutningene etterpå. I neste styringsrådsmøte må disse prosessene være klare og konkrete planer være lagt. ” Kommentarer etter møtet: Det vises til referat fra Altinn Styringsråd 22. oktober. Når det gjelder konsekvensvurderingen av å ta i bruk Bank. ID, har vi tatt opp dette også i styringsgruppen for Altinn II og etterlyser nå en prosess før avtaler eller beslutninger tas. 4
Sak 4 Innføring av Bank ID i Altinn Invitasjon fra ASF: Lånekassen, SKD, NAV og BR inviteres hermed til deltagelse i arbeidet med å utarbeide konsekvensanalyse og beslutningsunderlag for eventuell innføring av Bank-Id som autentiserings- og signeringsløsning i Altinn. Andre deltagere er selvfølgelig velkomne. ASF kaller inn til første møte, som skal avholdes innen 15. november. Kom gjerne med forslag til møtetidspunkt. 5
Bakgrunn for innføring av Bank. ID • Tinglysing av løsøre har kjørt et pilotprosjekt med en bank – Elektronisk levering av tinglysingsdokumenter i forbindelse med salgspant – Manglet digital signatur • For å kunne gå videre med løsningen: – Tilgjengelig for alle aktører – Digital signatur • Løsningen etableres i Altinn • Forutsetning for at banker skal ta dette i bruk: – Innføring av Bank. ID i Altinn 6
Litt om Bank. ID • Banknæringen har etablert Bank. ID samarbeidet i regi av Finansnæringens Hovedorganisasjon og Sparebankforeningen • Det er BBS som har utviklet og drifter første versjon av Bank. ID 7
Deltakere i Bank. ID samarbeidet: • Bankene: – Arbeidet med Bank. ID infrastruktur utføres av ulike arbeidsgrupper hvor bankene deltar aktivt. • Bankenes standardiseringskontor (BSK): – Ansvar for utforming av policy, standarder og sikkerhetskrav. – Kontrollansvar med tanke på at kvalitetskrav overholdes. – Har en teknisk koordinator for Bank. ID. • Finansnæringens Hovedorganisasjon (FNH) og Sparebankforeningen: – Leder og organiserer arbeidet med Bank. ID infrastruktur, via den felles organisering – En Bank. ID koordinator er tilsatt for å koordinere alle aktiviteter i Bank. ID Samarbeidet. 8
Litt om Bank. ID • Bank. ID er basert på en metode og teknologi som kalles Public Key Infrastructure (PKI). – Teknologien er basert på bruk av et nøkkelpar, en privat (hemmelig) og en offentlig nøkkel – I tillegg brukes et sertifikat ”elektronisk legitimasjon”, til å knytte innehaverens identitet til den offentlige nøkkelen. 9
Litt om Bank. ID – fortsetter • Sterk kryptering – Ingen krypteringsnøkler er mindre enn 1024 bits for RSAkrypteringsfunksjon • Sentrallagret løsning hvor sertifikat og nøkkelpar lagres sentralt • Sluttbruker må oppgi fødselsnummer for å identifisere seg • Sluttbruker får tilgang til sine sentrallagrede sertifikat og nøkkler ved en to-faktor autentisering – Statisk passord samt PIN-kode (pinkodegenerator) 10
Sertifikat typer Bankid har flere typer sertifikater: • Personsertifikater – brukes av privatpersoner • Ansattsertifikater – brukes av personer som opptrer på vegne av en virksomhet eller organisasjon • Brukerstedssertifikater – brukes av nettsteder I forhold til Altinn skal man benytte Personsertifikat 11
Bank. ID – følgene funksjoner tilbys: • • • Bestilling av sertifikater Utstedelse av sertifikater Revokering av sertifikater (permanent sperring) Suspendering av sertifikater (tidsbegrenset sperring) Gjeninnsetting av sertifikater (åpning av tidsbegrenset sperrede sertifikater) Fornyelse av sertifikater Validering av engangspassord Sentral lagring og bruk av private og offentlige nøkler Formidling av statusinformasjon om sertifikater Administrasjon av sertifikater og tilleggsinformasjon 12
CA – Sertifikat utsteder • Certification Authority (Myndighet som utsteder og trekker tilbake sertifikater) • Felles Rot-CA – Eies i fellesskap av Sparebankenes servicekontor og Finansnæringens servicekontor – Rot-CA utsteder sertifikater til bankenes nivå 1 -CA’er • Nivå 1 -CA – eies av en enkeltbank eller bankgruppering/samarbeidende banker – Brukes til å utstede og trekke tilbake sertifikater til kunder i en deltagende Bank. ID bank 13
CA – Sertifikat utsteder – fortsetter • RA - Registration Authority – Myndighet som identifiserer en kunde som søker om sertifikat – Hver enkeltbank eller bankgruppering/samarbeidende banker • VA - Validation Authority – Myndighet som bekrefter/avkrefter gyldigheten til et sertifikat – Mottar CRL - Certificate Revocation List (Sperreliste for sertifikater) fra Nivå 1 -CA – BBS 14
Konseptuel modell Sentral infrastruktur - BBS Sentral server & lagring Root CA Signerings modul CA VA CA Bank A - RA Bank. ID klient WEB applikasjon m/Bank. ID server Bank B - RA Distribuert infrastruktur 15
Altinn • Områder som tas i bruk i forbindelse med Bank. ID – Identifisering og autentifisering – Signering • Implementeres likt med Buypass så langt som det er mulig 16
Signering i Altinn ved hjelp av PKI • Det bygges opp en datastreng som består av: – Dataene i oppgavesettet (XFD), hvor både hoved og underskjema inkluderes – Hash representasjon av printversjonen (XFT) – Hash representasjon av binære filvedlegg • Datastrengen – Ny hash representasjon av hele datastrengen – Den kompakte hash representasjonen sendes til signering • Innholdet som signeres bygges opp på samme måte: – Buypass – Bank. ID • Samme funksjonalitet skal implementeres for begge løsningene 17
Status for implementering ü Utarbeidet Overordnet og detaljert design ü Ferdig utviklet • I Systemtest hos Leverandøren • Oppstart Akseptansetest uke 46 18
Åpne spørsmål • Tilgjengeliggjøre Bank. ID generelt eller kun for spesielle tjenester? – Kun tilgjengelig for Tinglysing og dem som ønsker å benytte dette? • Bank. ID sidestilles med Buypass? – Bankid inn på nivå 3 eller nivå 4 i Altinn – Splitting av nivå i forhold til autentisering og signering? • Få en verifikasjon på likheter/forskjeller fra Leverandøren mellom – Bank. ID – Buypass 19
Скачать презентацию Samarbeidsgruppemøte i Altinn Bank ID Implementering Lillestrøm
6f0e0e1af6d0e4e59cb67c63c4378f71.ppt