SAFE. Die Übersicht. SAFE Secure Access to Federated ejustice/e-government Einmal registriert - immer akzeptiert

Transkript

1 SAFE Die Übersicht SAFE Secure Access to Federated ejustice/e-government Einmal registriert - immer akzeptiert Die Verbreitung von SAFE wird in der Zukunft weiter voranschreiten. Da wir in der Diskussion mit verschiedenen Fachgruppen der Bund-Länder- Kommission für Informationstechnik in der Justiz, der Bundesnotarkammer, der Bundesrechtsanwaltskammer und mit Entwicklerverbünden festgestellt haben, dass die Grundzüge zur Nutzung von SAFE besser kommuniziert werden müssen, sind diese im Folgenden in diesem Dokument SAFE - Die Übersicht und in dem Dokument SAFE - Prozesshandbuch, in dem detaillierter als hier möglich, die CR und Planungsprozesse dargestellt werden, zusammengefasst. Stand:

2 SAFE - Grundkonzeption ð SAFE - Secure Access to Federated ejustice/e-government - stellt Anwendungen sichere elektronische Identitäten (eids) für Personen und Organisationen zur Verfügung. ð SAFE ermöglicht die Föderierung via Trust-Domains für die eids (Einmal registriert - immer akzeptiert) ð Die Kommunikation der Trust-Domains untereinander sowie die Kommunikation zwischen SAFE und den Fachanwendungen erfolgt über Schnittstellen entsprechend offener Standards (z.b. SAML-Token). SAFE findet als Konzept und auch als Softwaresystem entsprechend der Beschlusslage der Bund-Länder-Kommission für Informationstechnik in der Justiz (BLK) breite Anwendung finden. Es ist aufgrund seiner übergreifenden Anwendungsmöglichkeiten auf Vorschlag der Justizministerkonferenz als Koordinierungsprojekt des IT-Planungsrats aufgenommen. Daher ist grundsätzlich die kostenlose Weitergabe des Softwaresystems SAFE an öffentliche Partner nach Abstimmung mit der BLK (über die BLK-AG IT-Standards) möglich. SAFE beinhaltet ein Rollenmodul zur Nutzung als eid-system in beliebigen Fachverfahren. Die BLK hat die BLK-AG IT-Standards in der Justiz mit der Koordination der Arbeiten und den Abstimmungen zu SAFE sowie mit der Veröffentlichung der Dokumentationen über die Redaktion des Justizportals beauftragt. 1 1 BLK-AG IT-Standards Ansprechpartner: Vorsitz: Justizministerium BW, Jürgen Ehrmann, Koordinatorin für den Vorsitz: Daniela Freiheit; Projektleitung SAFE: OLG Düsseldorf, Meinhard Wöhrmann 2

3 Folgende fachliche und technische Dokumentation liegt auf vor: Fachkonzept SAFE SAFE-Die Übersicht SAFE-Die Rollen SAFE-Prozesshandbuch SAFE Grobkonzept Abstract of the Core Concepts of SAFE Glossar zum SAFE Feinkonzept SAFE-Feinkonzept - Dokument 1 SAFE-Feinkonzept - Dokument 2 SAFE-Feinkonzept - Dokument 3 SAFE-Feinkonzept - Dokument 4 SAFE-Feinkonzept - Dokument 5 SAFE Sachstand Die SAFE-Konzeption ist für Justiz und Verwaltungen im Rahmen der Migration des Registrierungsdienstes im Elektronischen Gerichts- und Verwaltungspostfach (EGVP) seit Juni 2011 als Softwaresystem realisiert und erstmals eingesetzt worden. In diesem Zusammenhang wird SAFE im Auftrag der BLK bei IT-NRW betrieben. Mit der Version SAFE 1.5 wurde ein Rollenmodell ergänzt. SAFE erfüllt seit der Einführung der Version 1.6 die Voraussetzungen für die Anbindung des Zentralen Vollstreckungsportals sowie der Zentralen Vollstreckungsgerichte. In Version SAFE 1.7 wurde die Anbindung an den Virtuellen Attribut-Service zur Suche in verschiedenen SAFE-Instanzen umgesetzt. Zudem ist SAFE für die neuen SAFE-IDs gerüstet. In der Zwischenzeit wurde mit Unterstützung des BMI ein Fachkonzept zur Anbindung der eid-funktion des Personalausweises erarbeitet. Die Umsetzung geht mit der Bereitstellung eines generischen Registrierungsclients einher. Die Bereitstellung ist für Mitte 2015 geplant. 3

4 SAFE-Grundsätze Aus der SAFE - Grundkonzeption ergeben sich die folgenden SAFE-Grundsätze: ð Für die Föderierung (also den Aufbau weiterer Trust-Domains) muss über die BLK (BLK-AG ERV und BLK-AG IT-Standards) eine Vertrauensvereinbarung (um die Vertrauensstellung mit der SAFE-Domäne der Justiz - betrieben bei IT-NRW und ggf. weiteren Justizdomänen und Verwaltungsdomänen und den dort abgelegten eids sicherzustellen) abgestimmt und abgeschlossen werden. ð Die BLK-AG IT-Standards veröffentlicht die SAFE-Domänen, für die von den Justiz- und Verwaltungsdomäne von SAFE eine Vertrauensstellung gewährt wird, unter ð Fachliche Anforderungen an neue Rollen und Rechte sind über die BLK-AG IT-Standards in das SAFE - Rollenmodell aufzunehmen. Auch die Konfiguration neuer SAFE-Rollen wird durch die BLK-AG IT-Standards veranlasst. ð Die jeweils aktuellen SAFE-Schnittstellen und die von der BLK-AG IT- Standards freigegebenen Rollen sind zu beachten. Die Schnittstellenbeschreibung ist im jeweils aktuellen Fachkonzept unter veröffentlicht. Das Rollenmodell ist in dem Dokument SAFE-Die Rollen ebenso auf veröffentlicht. ð Change Requests für das Softwaresystem SAFE werden durch die BLK-AG IT-Standards geprüft und - ggf. im Auftrag und auf Kosten eines Dritten, wenn dies so vereinbart ist - beauftragt bzw. der BLK vorgelegt. Da die BLK und ihre Arbeitsgruppen keine juristische Person darstellen, erfolgen Beauftragungen und Vertragsschlüsse für die BLK / BLK-AG IT-Standards dann durch die Zentrale IT-Beschaffungsstelle beim OLG Köln (ZIB). 4

5 SAFE-Grundsätze für die Anbindung an Fachanwendungen Derzeit wird SAFE als eid-system ð im EGVP, ð im Zentralen Testamentsregister (ZTR) der Bundesnotarkammer, ð durch das Vollstreckungsportal des Bundes und der Länder und ð durch die zentralen Vollstreckungsgerichte genutzt. Für die Nutzung durch weitere Fachanwendungen sind folgende Grundsätze zu beachten: ð WebService-Schnittstelle SAFE wird aus den Fachverfahren heraus über die im Fachkonzept unter veröffentlichten WebService-Schnittstellen angesprochen. SAFE direkt aufzurufen ist nicht sinnvoll und nicht erforderlich. ð Fachliche Festlegung von Authentisierungslevel und Rollen Es ist Aufgabe der Fachabteilungen bzw. der einschlägigen Entwicklerverbünde, einheitliche und verbindliche Rollen für weitere Anwendungsgebiete sowie das erforderliche Authentisierungslevel festzulegen. Die fachlich verbindlich abgestimmten Rollen (Rollentyp, Rollenwerte, Pflichtattribute, bestätigungspflichtige Attribute und optionale Attribute sowie das Authentisierungslevel) sind der BLK-AG IT-Standards zur Prüfung und Umsetzung (Konfiguration der Rollen in SAFE) zu übergeben. Die Ausführungen sollen auch eine Namenskonvention für die gewünschten Pflichtattribute und optionalen Attribute enthalten, um eine einheitliche Registrierung zu gewährleisten. Für jede Anwendung muss ein bestimmtes Authentisierungslevel festgelegt werden, auf dessen Grundlage ein Authentisierungsmittel ausgewählt wird. Mit diesem Authentisierungsmittel erfolgt dann die Anmeldung bei der jeweiligen Anwendung. Für das EGVP werden beispielsweise Softwarezertifikate genutzt, die mit dem EGVP-Client erzeugt werden können. Für das Zentrale Testamentsregister erfolgt die Authentifizierung über Benutzername und Kennwort. 5

6 ð Anlage und Pflege der eids in SAFE über das jeweilige Fachverfahren Um fachverfahrensspezifische eids mit deren Rollen und Rechte anzulegen und zu pflegen (und dabei z.b. anwendungsspezifische Plausibilitäten und Auswahllisten anzubieten) sind in den Fachverfahren neben den Schnittstellen zur Abfrage der eids und deren Berechtigungen (SAML- Token) im laufenden Betrieb über die o.g. WebService-Schnittstellen auch Funktionalitäten zur Anlage und Pflege der eids der Nutzer (Registrierungsmodul) vorzusehen. Daneben wird ab Mitte 2015 auch ein generischer Registrierungsclient bereitgestellt. ð Grundsätzlich eine eid je Nutzer für alle Anwendungen Jede Identität soll von nur einer SAFE-Instanz repräsentiert werden. D.h. alle Identitäten müssen eine sogenannte Heimatdomäne haben. Dieser eid können verschiedene Rollentypen (Anwendungsfelder) zugeordnet werden. So kann sich ein Nutzer mit seiner (einzigen) eid z.b. beim EGVP oder beim Testamentsregister authentifizieren, wenn er über beide Rollentypen verfügt. Die jeweilige Anwendung kann jedoch nicht auslesen, welche anderen Anwendungen ein Nutzer nutzen darf. Auch werden jeweils nur die Attribute (Daten des Nutzers) von einer Anwendung ausgelesen, die zur Übermittlung an diese Anwendung freigegeben worden sind. Aus Datenschutzgründen kann nur der Nutzer selbst einsehen, über welche Rollentypen (und zugehörigen Rollenwerte sowie sonstige Attribute) er verfügt. ð Koordinierung, Freigabe und Veröffentlichung durch die BLK-AG IT- Standards in der Justiz Die BLK-AG IT-Standards stellt über den Prüf- und Umsetzungsprozess sowie durch die Veröffentlichung des entsprechend fortgeschriebenen Fachkonzepts unter die Einheitlichkeit sicher und ist federführender Ansprech- und Abstimmungspartner für die Fachgruppen bzw. Entwicklerverbünde. Um die Fachgruppen bzw. Entwicklerverbünde bei der fachlichen Konzeption zu unterstützen, kann die BLK-AG IT-Standards Beratungsleistungen und Workshops organisieren. Bitte wenden Sie sich an die o.g. Ansprechpartner das BLK-AG IT-Standards. 6

7 Anlage und Pflege von eids im Softwaresystem SAFE SAFE ist - s.o. - als Softwaresystem für Justiz und Verwaltung realisiert. In diesem Softwaresystem, das im Rahmen des EGVP, des ZTR/VZR, für das Vollstreckungsportal und die Zentralen Vollstreckungsgerichte genutzt wird, sind - um eine flexible ggf. landesspezifische Organisation der Anlage und Pflege von eids zu ermöglichen - folgende Konzepte implementiert: Einfache oder gesicherte Registrierung SAFE ermöglicht sowohl die einfache als auch die gesicherte Registrierung von Nutzern. Bei der gesicherten Registrierung erfolgt nach Eingabe der Nutzerdaten eine Bestätigung durch einen sogenannten Identitätsadministrator, s.u.. Nutzer des EGVP mit dem Rollenwert bürger können sich beispielsweise selbst registrieren, also die einfache Registrierung nutzen. Sie sind dann sofort für den Dienst EGVP freigeschaltet. Für das Testamentsregister und das Zentrale Vollstreckungsportal erfolgt eine gesicherte Registrierung. Administrationslevel Durch das hierarchische Konzept ist eine flexible und an den fachlichen Notwendigkeiten - ggf. auch landesspezifisch unterschiedliche - ausgerichtete Organisation von Anlage und Pflege der eids möglich: Konfigurationsadministrator Der Zugangsadministrator kann durch Konfiguration Rollentypen und entsprechende Rollenwerte sowie Pflichtattribute und optionale Attribute anlegen, ändern und löschen entsprechend dem aktuell gültigen Fachkonzept SAFE unter (Der Konfigurationsadministrator für die SAFE-Domäne der BLK- Mitglieder ist bei der BLK-AG IT-Standards angesiedelt.) Zugangsadministrator Der Zugangsadministrator registriert und verwaltet die Identitätsadministratoren. Die Zugangsadministration ist auf Länderebene angesiedelt. In jedem Bundesland und dem Bund gibt es einen Zugangsadministrator und einen Vertreter. Der Zugangsadministrator kann nur Identitätsadministratoren für sein Bundesland sehen, registrieren und verwalten. Identitätsadministratoren Der Identitätsadministrator bestätigt (und verwaltet und pflegt) Nutzer seines Bundeslandes für den oder die Rollentypen, für die er Administratorenrechte besitzt. Er kann jedoch nicht einsehen, welche anderen Rollentypen der Nutzer evt. innehat. Es können beliebig viele Identitätsadministratoren eingerichtet werden. 7

8 SAFE-Rollenmodell Eine SAFE-Rolle setzt sich zusammen aus einem Rollentyp und einem Rollenwert. Der Rollentyp bezeichnet ein Anwendungsumfeld. Ein Rollentyp kann z.b. die Anwendung(sgruppe) bezeichnen (beispielsweise EGVP, ZTR, ZVR, Vollstreckungsportal), die mit SAFE interagiert. Für jeden Rollentyp können mehrere Rollenwerte definiert werden. Die Rollenwerte dienen den angebundenen Anwendungen zur Zuordnung von Rechten. Jede Identität kann zu jedem Rollentyp einen oder mehrere Rollenwerte besitzen. Es ist möglich, dass ein Rollentyp für mehrere Anwendungen genutzt wird. Die einzelnen Rollen sind in dem Dokument SAFE-Die Rollen auf veröffentlicht. 8

9 SAFE Attribute Eine Identität kann - neben Rollentyp und Rollenwerten - die folgenden Attribute, die ihr übergreifend über alle Rollentypen zugeordnet sind, besitzen: eine eindeutige, vom System vergebene SAFE ID (Nutzer-ID) derzeit z.b.: safe-sp neue Abbildungsvorschrift, gültig ab circa Mitte 2015: allgemeine Attribute (persönliche Daten) o Organisation o Behördenbezeichnung/Organisationszusatz o Anrede o Titel o Vorname o Nachname o Straße o Hausnummer o PLZ o Ort o Bundesland o Land o o D o Telefon o Mobiltelefon o Fax o Externe ID Dieses Attribut wird für die automatische Adressierung von Postfachinhabern in der EGVP-Anwendung genutzt. (Mapping der XJustiz-Gerichts-ID. Es darf nur für einen einzigen Account pro Gericht angegeben sein und ist deshalb für andere Rollentypen nur unter diesen Einschränkungen nutzbar. o Gruppe Dieses Attribut wird für die OSCI-gestützte Kommunikation mit der DEHSt genutzt und ist für andere Rollentypen nicht brauchbar. o Kennziffer Dieses Attribut wird für die automatische Ermittlung der Organisation der Identität genutzt. Bei Gerichten muss die XJustiz-ID verwendet werden. o Kennziffer-Präfix Dieses Attribut soll die Zugehörigkeit zu einer bestimmten Obermenge von Organisationen beschreiben. z.b. Obermenge Justiz, Untermengen Gericht, Staatsanwaltschaft... 9

10 Authentifizierungsmittel o ein oder mehrere Authentisierungszertifikate für die Authentifizierung o ein Benutzername und Kennwort für die Authentifizierung o Personalausweis (ab Version SAFE 1.8) spezielle Attribute für den OSCI-gestützten elektronischen Rechtsverkehr o ein Verschlüsselungszertifikat o URL des OSCI-Managers o Zertifikat des OSCI-Managers 10