GOVERNIKUS AUTENT DIE LÖSUNG FÜR IHR IDENTITÄTSMANAGEMENT

Transkript

1 1 GOVERNIKUS AUTENT DIE LÖSUNG FÜR IHR IDENTITÄTSMANAGEMENT

2 2 3 WACHSENDE ANFORDERUNG IM UMGANG MIT DIGITALEN IDENTITÄTEN FLEXIBLE UND INTEROPERABLE IDENTITÄTSSZENARIEN Der Umgang mit elektronischen Identitäten ist eine komplexe Herausforderung. Die Heterogenität der IT-Systeme, in denen Identitäten und Berechtigungen in den unterschiedlichsten Facetten gespeichert und verwendet werden, macht das Management von Identitäten mit der Fülle von Anforderungen an Wirtschaftlichkeit, Einfachheit und Risikominimierung schier unmöglich. Zudem nehmen der Bedarf und auch der Anspruch an den Schutz personenbezogener Daten stark zu. Identitäts- und Datendiebstahl sind große Sicherheitsrisiken, die es zu verhindern gilt. Daraus ergibt sich die Forderung nach einer expliziten Berechtigungsstruktur für den Zugriff auf Daten, die wiederum auf gespeicherten Identitäten beruht. Betrachtet man darüber hinaus den Trend hin zu immer mehr Vereinfachungen der Anwendung auf Seiten der Nutzer, ist die Herausforderung an die IT-Architektur immens. Gleichzeitig steigt bei weiterer Globalisierung und Stärkung des europäischen Binnenmarktes die Erwartungshaltung an gegenseitiger Anerkennung der unterschiedlichen nationalen Identitätstoken bzw. -systeme. Mehr denn je bedarf es von daher einer intelligenten Vernetzung und somit Föderation von Systemen und verteilten Identitäten. MULTIAUTHENTISIERUNGS- STRATEGIE MIT GOVERNIKUS AUTENT Neben dem sicheren Transport von vertraulichen Daten ist eine der Hauptanforderungen im E-Government die Authentisierung der Kommunikationsteilnehmer. Für den Umgang mit elektronischen Identitäten, also dem sicheren Identifizieren sowie dem Zulassen berechtigter und der Verhinderung unberechtigter Zugriffe auf Inhalte und Dienstleistungen, wurde Governikus Autent als eine umfassende Identitätsmanagementlösung konzipiert und realisiert. Auch unter den Gesichtspunkten Single Sign-On und Interoperabilität lassen sich sichere und föderierte Kommunikationsinfrastrukturen mit Governikus Autent umsetzen. Darüber hinaus wird im Kontext der eidas-verordnung der Umgang mit europäischen Identitäten ermöglicht. Anwendung des IT-Planungsrates BESTANDTEIL DER ANWENDUNG GOVERNIKUS Als Bestandteil der Anwendung Governikus des IT-Planungsrates kann Governikus Autent von Bund, Ländern und den meisten ihrer Kommunen ohne weitere Lizenzkosten abgerufen werden. MODERNES FÖDERIERTES IDENTITÄTSMANAGEMENT

3 4 5 FUNKTIONSSCHWERPUNKTE und flexible Identitätsmanage Sicheres Identifizieren der Kommunikationspartner Benutzerverwaltung und Management rund um den Identitätslebenszyklus Verzeichnisdienstfunktion TYPISCHE HERAUSFORDERUNGEN IM UMGANG MIT IDENTITÄTEN Sie wollen ein Servicekonto etablieren und die Interoperabilität zu anderen Servicekonten oder einem Portalverbund gewährleisten? Governikus Autent verwendet offene Industriestandards und eignet sich daher hervorragend für das Identitätsmanagement und stellt somit eine wichtige Basiskomponente beim Aufbau von Servicekonten dar. Aktuell wird Governikus Autent bei der Pilotierung und Erprobung der interoperablen Servicekonten eingesetzt. Darüber hinaus wird die Interoperabilität zu anderen Servicekonten im Portalverbund sichergestellt. Aufgrund der Vielzahl von Authentisierungsund Integrationsmöglichkeiten lässt sich Governikus Autent als zentrale Single Sign-On-Lösung (SSO) einsetzen. Sie möchten mehrere Identitätslösungen bündeln und suchen nach einer Möglichkeit der Föderation verschiedener Identitätsinstanzen? Um die Verwaltung von und den Zugriff auf digitale Identitäten im elektronischen Rechtsverkehr zu zentralisieren, kann der Autent Server beispielsweise als SAFE-konformer Identitätsprovider eingesetzt werden und für Authentisierungsanfragen mit SAFE-Instanzen anderer Vertrauensdomänen kommunizieren. Natürlich kann Governikus Autent auch für föderierte Identitätslösungen in Wirtschaft und Verwaltung außerhalb des elektronischen Rechtsverkehrs eingesetzt werden. SAFE ( Secure Access to Federated e-justice / e-government )... ist ein Projekt der Justiz, das offene technische Standards für föderierte ID-Management-Systeme vorgibt, um eine einheitliche und sichere Kommunikationsinfrastruktur im elektronischen Rechtsverkehr sicherzustellen. FÖDERATION & SINGLE-SIGN-ON

4 6 7 NOTIFIZIERTE EUROPÄISCHE eids GEMÄSS EIDAS-VERORDNUNG Gemäß der eidas-verordnung müssen notifizierte europäische Identitäten in Ihren Diensten und Angeboten akzeptiert werden. Sie wollen diese Interoperabilität gewährleisten? Ab schreibt die eidas-verordnung die verbindliche Akzeptanz notifizierter europäischer eids vor, wenn Sie die Nutzung der Online-Ausweisfunktion in Ihrem Diensteangebot integriert haben. Governikus Autent wird im Rahmen des von der EU geförderten Projekts TREATS (TRans-European AuThentication Services) so erweitert, dass künftig sämtliche notifizierten europäischen Identifikationsmittel unterstützt werden. Alle Erweiterungen werden direkt im Identitätsmanagementsystem umgesetzt und stehen sofort allen angeschlossenen Systemen zur Verfügung. Das Projekt öffnet der Verwaltung in Deutschland erstmals die eid-infrastruktur des Personalausweises für den EU-weiten Zugang mit Identifizierungsmitteln anderer Mitgliedstaaten. Das Projekt wird als CEF-Vorhaben (Connecting Europe Facility der EU-Strategie Europa 2020) gefördert und soll unter der Konsortialführung von Governikus Ende Oktober 2017 abgeschlossen sein. eidas READY

5 8 9 Autent Frontend Autent ID Connect LEISTUNGSMERKMALE AUTENT SERVER Offene Schnittstellen Der Autent Server bietet zu den Diensteanbietern bzw. anderen Identitätsinstanzen folgende offene, standardisierte Schnittstellen: Autent Server MODULARE BESTANDTEILE SAML 2.0 Web Browser SSO Profil Secure Token Service WS-Trust eid-service nach BSI TR (Online-Ausweisfunktion und eidas) JSon Web Token Open ID connect (in Planung für 2017) Governikus Autent ist modular aufgebaut und setzt sich aus drei Komponenten zusammen. BASISKOMPONENTE AUTENT SERVER Als zentrale Basiskomponente von Governikus Autent ermöglicht der Autent Server die Authentifizierung digitaler Identitäten und zentralisiert die Datenverwaltung. Der Zugriff auf den Autent Server erfolgt authentisiert und über standardisierte Schnittstellen, wie beispielsweise SPML, Rest (SCIM), SAML und WebServices. Ein umfangreiches Rollenkonzept schützt die hinterlegten Daten vor unberechtigter Einsicht und Manipulation. Je nach sicherheitskritischem Einsatzszenario und Anforderung unterstützt der Autent Server unterschiedliche Authentisierungsmethoden: Authentisierung mit der Online-Ausweis funktion des Personalausweises bzw. elektronischem Aufenthaltstitel (besonders hohes Authentisierungsniveau) eidas-konforme Authentisierung Zertifikatsbasierte Authentisierung (Softwarezertifikate, Signaturkarten) Authentisierung mit Benutzername und Passwort SAML-Proxy-Authentisierung Authentisierung durch eine manuelle Identitätsbestätigung (geplant) Modularität Mandantenfähigkeit Die Architektur des Autent Servers ist modular aufgebaut. Zukünftige Anforderungen und Erweiterungen lassen sich damit leichter umsetzen. Für projektspezifische Implementierungen sind Erweiterungsmöglichkeiten vorgesehen, über die auch sonstige proprietäre Systeme angesprochen werden können. TR Konformität (BSI-Zertifizierung voraussichtlich Q4/2017) OFFENE INDUSTRIESTANDARDS

6 10 11 Benutzerverwaltung mit dem Autent Frontend Über eine Weboberfläche wird mit dem Autent Frontend eine Benutzerverwaltung mit Funktionen sowohl für registrierte Benutzer/Identitäten (Self-Service) als auch für sogenannte Identitätsadministratoren zur Verfügung gestellt. Self-Service für Benutzer Delegierte Benutzerverwaltung über einen Identitätsadministrator Um ein harmonisches und in das Zielszenario eingebettetes Look & Feel für die Anwender erzeugen zu können, sind die grafischen Oberflächen des Autent Frontends konfigurierbar. Nutzer haben die Möglichkeit, Einstellungen des eigenen Kontos zu verwalten und zu ändern. Bestimmten Personen kann die Rolle eines Identitätsadministrators zugewiesen werden. Diese Personen können über das Autent Frontend die Identität einer Person oder eines Unternehmens manuell bestätigen und weitere Nutzer zu einer bestimmten Gruppe hinzufügen. Auf diese einfache Weise ist künftig auch die Verwaltung von Unternehmenskonten möglich. SCHRIFTFORM- WAHRUNG UNABHÄNGIG EINFACH SELF-SERVICE DELEGIERTE BENUTZERVERWALTUNG AUTENT FRONTEND INTEROPERABEL FLEXIBEL

7 12 13 DAS ZENTRALE MODUL FÜR SERVICEKONTEN Berechtigte Identitätsadmins können Daten von Personen verwalten Identitätsadmins Autent ID Connect Konzipiert als Erweiterungsmodul zum Autent Server, ist Autent ID Connect das zentrale Modul für Servicekonten und Portalverbünde und gewährleistet die Interoperabilität zu anderen Servicekonten im Portalverbund. Nutzer können ihre Daten nach Login ändern Self-Service Kontoverwaltung Autent Frontend Benutzerverwaltung Vereinfachte Anbindung Schriftformwahrung Durch den Einsatz von Autent ID Connect wird Service Providern die technische Anbindung erleichtert, da die komplexe SAML-Anbindung an einen eid-server/service komplett durch diese Komponente übernommen wird. Der Architektur des Autent Servers ist modular aufgebaut. Zukünftige Anforderungen und Erweiterungen lassen sich damit leichter umsetzen. Für projektspezifische Implementierungen sind Erweiterungsmöglichkeiten vorgesehen, über die auch sonstige proprietäre Systeme angesprochen werden können. Nutzer Onlinedienste Portale / Fachverfahren Login Fachverfahren delegieren die Authentisierung, falls erforderlich Delegierte Authentisierung Identitätenspeicher Autent Server Autent ID Connect Ein Zertifikat für mehrere Onlinedienste Neben den technischen und gesetzlichen Vorteilen sorgt Autent ID Connect auch für eine finanzielle und organisatorische Entlastung. Anstatt je Onlineangebot ein Berechtigungszertifikat zu beantragen und einzubinden, reicht ein einziges Zertifikat für die Anbindung von mehreren Onlinediensten aus.

8 14 15 PORTALVERBUND Land A UNTERSTÜTZUNG INTEROPERABLER SERVICE / UNTERNEHMENSKONTEN Nutzer Nutzer Nutzer Nutzer kann auf Servicedienste anderer Bundesländer zugreifen Nutzer kann auf Servicedienste anderer Bundesländer zugreifen Portale/Fachverfahren Land B Portale/Fachverfahren Land C Portale/Fachverfahren Servicekonto SPEZIFIKATION zum interoperablen Servicekonto Bereits im Herbst 2013 hat der IT-Planungsrat die Strategie für eid und andere Vertrauensdienste im E-Government verabschiedet, Beschlüsse zur Umsetzung getroffen und entsprechende Maßnahmen auf den Weg gebracht. Ein Schwerpunkt der eid-strategie liegt im Bereich der Servicekonten. Immer mehr Behörden, Kommunen und Länder nutzen Servicekonten zur digitalen Bereitstellung ihrer Dienstleistungen. Mit dem sog. interoperablen Servicekonto soll Nutzern künftig die Möglichkeit geboten werden, sich über ein einmal eingerichtetes Konto für die Nutzung unterschiedlicher Verwaltungsdienstleistungen zu identifizieren. Mehrwert und Nutzen liegen auf der Hand: Nutzer können sich mit ihrem vertrauten Servicekonto bei allen Verwaltungsdienstleistungen in Deutschland und perspektivisch in der Europäischen Union identifizieren. Hierbei handelt es sich um einen wesentlichen Aspekt im Sinne von Single Sign-On (SSO). Im Zuge der Konzeption sowie Umsetzung eines beispielhaften Prototyps wurde Governikus Autent von Nordrhein-Westfalen zum Aufbau eines interoperablen Servicekontos als Basiskomponente genutzt. In der ersten Ausbaustufe werden Servicekonten für natürliche Personen umgesetzt. Danach folgt die Möglichkeit zur Registrierung juristischer Personen (Unternehmenskonto). Die Erweiterung zum Unternehmenskonto wird eng mit den Bedarfsträgern aus Bund und Ländern abgestimmt und realisiert. Die Pilotierung erfolgt zwischen Nordrhein-Westfalen und Bayern. Die aus den Erkenntnissen resultierenden Anpassungen an Governikus Autent stehen Bund, Ländern und Kommunen über die Anwendung Governikus des IT-Planungsrates zum Aufbau eigener Servicekonten zur Verfügung. Innerhalb eines Landes sind die Identitäten lokal im jeweiligen Servicekonto abgelegt. Für das Login an dem Fachverfahren eines anderen Landes melden sich die Benutzer einfach wie gewohnt an ihrem lokalen Servicekonto an. Die Übermittlung der Daten zum gewünschten Fachverfahren übernehmen gemäß der Spezifikation zum interoperablen Servicekonto die zwei jeweils involvierten Servicekonten, nämlich des eigenen Landes und des Landes, in dem das gewünschte Fachverfahren betrieben wird. Die Interoperabilität des Prototyps zwischen den Servicekonten von NRW und Bayern wird über die IdP-Proxy-Funktionalität von Governikus Autent hergestellt. Bei der angewandten SAML-Proxy-Authentisierung ist der IdP-Proxy ein Vermittler, der seinen Dienst bei der Authentisierung zwischen Clients, Diensteanbietern und IdPs verrichtet.

9 16 17 VORTEILE VON Basiskomponenten für Portal- und eakten-szenarien Das Identitätsmanagement für Portalund eakten-szenarien lässt sich mit den Komponenten von Governikus Autent flexibel umsetzen und gewährleistet darüber hinaus die Interoperabilität zu anderen Identitätslösungen. Modularität und Flexibilität Durch den modularen Aufbau von Governikus Autent lassen sich die unterschiedlichsten Einsatzszenarien je nach Bedarf ganz flexibel und unabhängig von den anzubindenden Fachverfahren realisieren. eidas-ready eidas READY Der Umgang mit europäischen Identitäten gemäß der eidas-verordnung wird durch Governikus Autent ermöglicht. Wirtschaftlichkeit Governikus Autent steht über die Anwendung Governikus des IT-Planungsrates dem Bund, den Ländern und den Kommunen ohne zusätzliche Lizenzkosten zur Verfügung. Der Betrieb kann wahlweise im eigenen Rechenzentrum oder als eid-service erfolgen. Interoperabilität und Föderation Alle Schnittstellen von Governikus Autent richten sich an offenen nationalen und internationalen Standards aus. Da sich mit Governikus Autent ein zentraler Identitätsdienst, der Single Sign-On (SSO) unterstützt, aufbauen lässt, kann dieser von unterschiedlichen Portalen genutzt werden. Er eignet sich somit hervorragend für föderierte Szenarien, wie z.b. interoperable Service- bzw. Unternehmenskonten. Zukunftssicherheit / Investitionsschutz Alle künftigen Erweiterungen werden direkt im Identitätsmanagementsystem umgesetzt und stehen sofort sämtlichen angeschlossenen Systemen zur Verfügung. Im Gegensatz zu proprietären Lösungen gewährleistet Governikus Autent ein hohes Maß an Flexibilität und Investitionsschutz. Darüber hinaus ist über die Anwendung Governikus des IT-Planungsrates die kontinuierliche Weiterentwicklung entsprechend aktueller Markt- und Gesetzesanforderungen gesichert.

10 18 19 GOVERNIKUS AUTENT IM EINSATZ (AUSZUG) SOFTWARE- ANFORDERUNGEN Einsatz im Kontext Servicekonten Governikus unterstützt KDN beim Aufbau eines interoperablen Servicekontos (Prototypische Umsetzung zwischen Nordrhein-Westfalen und Bayern). In Rheinland-Pfalz verwendet die Komm- Wis ebenfalls Autent-Komponenten für das Servicekonto. Eigenbetrieb Elster ITDZ IT.N (IdP-Proxy) RZ Ravensburg-Lippe Bundesrechtsanwaltskammer (bea) Betrieb bei Governikus (eid-service) United Internet Cosmos Direkt Techniker Krankenkasse Bundesagentur für Arbeit Citeq AKDB Insgesamt sind ca. 110 Berechtigungszertifikate auf den Governikus-Servern eingebunden. Betriebssystem Datenbank Application- Server Servlet-Engine Technologie Microsoft Windows Server SUSE Linux Enterprise Server Red Hat Enterprise Linux Ubuntu Microsoft SQL MySQL Oracle MariaDB JBoss Enterprise Application Platform Oracle JDK TOMCAT JAVA

11 Die Governikus KG ist ein seit 1999 etablierter IT-Lösungsanbieter für Sicherheit und Rechtsverbindlichkeit elektronischer Kommunikation und elektronischer Dokumente. Gegründet als bremen online services im Jahr 1999, beschäftigt sich die Governikus KG intensiv mit dem Schutz personenbezogener Daten. Als Pionier im E-Government- und E-Justice-Bereich liegt der Fokus des Portfolios auf der Unterstützung zur Digitalisierung der Verwaltungsprozesse, die auch im Rahmen der Digitalen Agenda der Bundesregierung gefordert wird. Das Governikus-Portfolio liefert wichtige Bausteine für den gesamten Lebenszyklus elektronischer Dokumente und für eine sichere elektronische Kommunikation. Die Lösungen der Governikus KG gliedern sich in die Themenschwerpunkte Sichere Identitäten, Sichere Kommunikation sowie Sichere Daten. Innerhalb der Suiten liefert die Governikus KG beispielsweise Komponenten, Produkte und Lösungen für die Authentisierung mit dem Personalausweis, den im E-Government etablierten OSCI-Protokollstandard für eine starke Ende-zu-Ende-Verschlüsselung in und mit der Verwaltung bzw. im EGVP-Verbund der Justiz, intelligente Multikanalkommunikation, Signaturanwendungskomponenten sowie die beweiswerterhaltende Langzeitaufbewahrung gemäß TR-ESOR. Governikus GmbH & Co. KG Am Fallturm Bremen, Germany Tel: Fax: kontakt@governikus.de Zahlreiche Komponenten aus dem Governikus-Gesamtportfolio stehen als Anwendungen des IT-Planungsrates Governikus und Governikus MultiMessenger dem Bund, den Ländern sowie ihren Kommunen u.a. zur Umsetzung der Nationalen E-Government-Strategie zur Verfügung. Die Anwendung Governikus ist gemäß Common Criteria evaluiert, SigG-bestätigt, eidas-konform und wird ständig gemäß aktueller nationaler und internationaler Gesetzeslagen und Strategien weiterentwickelt. Stand März 2017