Portalverbund mit weiteren Benutzerkreisen

Transkript

1 Prtalverbund mit weiteren Benutzerkreisen Kurzbeschreibung: Whitepaper PV-ErwBK interner Entwurf Die Kmmunikatin zwischen Prtalen im Prtalverbund war bisher auf öffentlich-rechtliche Körperschaften beschränkt. Die vrhandenen und zukünftigen Verbindungen außerhalb der Prtalverbundvereinbarung sllen technisch und rechtlich auf einen gemeinsamen Nenner gebracht werden, um eine Vielzahl vn bilateralen Regelungen und Prtkllen zu vermeiden. Autr: Rainer Hörbe Prjektteam / Arbeitsgruppe: Q-PV Beiträge vn: Wilfried Cnnert Franz Grandits Peter Pfläging Stelle: Vrgelegt am: Angenmmen am: Abgelehnt am: Inhalt 1 Zusammenfassung Einleitung Bisherige Entwicklung Ksten, Nutzen, Risken Ziele der Erweiterung Knzept Anwendungsfälle für die Erweiterung Bildungsprtalverbund Unternehmen Prvider Agrar- und Umweltbereich Gesundheits- und Szialbereich Umsetzung des Prtalverbunds über mehrere Dmänen Vraussetzungen Struktur Vertrauensstellung Zertifikate für Stamm- und Anwendungsprtale Status Qu Änderungsbedarf Erweiterung des Prtalverbundprtklls... 12

2 1 Zusammenfassung Für die Kmmunikatin zwischen Organisatinen der Verwaltung wurde der Prtalverbund erflgreich eingeführt. Die Infrastruktur des Prtalverbunds wird zum Teil auch für den Zugang vn Persnen und Organisatinen außerhalb der Verwaltung genutzt. Aus den unten angeführten Anwendungsfällen Bildungsprtalverbund, B2G, Agrarbereich und Gesundheitssektr ergibt sich aus bestehenden und zukünftigen Anwendungen ein erhebliche Ptential um anwendungsspezifisches Identity Management auf ein Verbundsystem umzustellen. Das Nutzenptential liegt in flgenden Punkten: Eine Vielzahl vn bilateralen Nutzungsvereinbarungen, Sicherheitsrichtlinien und Prtkllen kann auf multilaterale reduziert werden. Die Delegatin der Benutzer- und Rechteverwaltung spart redundante Geschäftsprzesse ein. In unterschiedlichen Bereichen der öffentlichen Hand kann Infrastruktur gemeinsam genutzt werden und dadurch Entwicklungs- der Lizenzksten eingespart werden Die technische Offenheit der Prtalstruktur ermöglicht die Kexistenz unterschiedlicher Authentifizierungsverfahren wie Bürgerkarte, Sftwarezertifikate und UserID/Passwrt. Dadurch können Anwendungen rasch ausgerllt werden und die Umstellung auf die aufwändigere Smartcardtechnlgie kann entsprechend der Benutzerakzeptanz erflgen. Identity-Management im Verbund ist eine Basiskmpnente für eine Service Orientierte Architektur, die wiederum zu besserer und einfacherer Integratin vn Anwendungen führt. PV-ErwBK.dc 2/12

3 2 Einleitung 2.1 Bisherige Entwicklung Der Vergleich der beiden Skizzen vn 2002 und 2006 zeigt, dass der Prtalverbund vn einer überschaubaren Vernetzung mit der Möglichkeit Prbleme ad hc zu lösen, zu einem kmplexeren Verbund mit der Ntwendigkeit einer stärkeren Regulierung gewachsen ist: In den nächsten Jahren wurden weitere Benutzerkreise, auch außerhalb der Prtalverbundvereinbarung, angebunden: PV-ErwBK.dc 3/12

4 2.2 Ksten, Nutzen, Risken Die Ksten für die Einbindung weiterer Benutzerkreise in den Prtalverbund sind vn mehreren Faktren abhängig. Wird bereits ein PV-kmpatibles Prtal betrieben, wird die technische Anpassung geringfügig sein. Ist eine neue Infrastruktur einzurichten, sind neben den Lizenzksten (0.. mehrere 10,000 ) die Ksten für Anpassung, Integratin der Benutzer- und Rechteverwaltung, Betriebsumgebung, Inbetriebnahme, Wartung und Betrieb zu berechnen. Alternativ kann die Funktinalität auch als Service bei einem Prvider eingekauft werden. Der direkt quantifizierbare Nutzen liegt einerseits bei den Einsparungen für die redundante Benutzerführung, andererseits bei der Knslidierung vn Sicherheitsfunktinen in der Prtalinfrastruktur, was für Anbieter mehrerer Anwendungen perative Einsparungen bringt. W die Administrierbarkeit vn redundanten Benutzerrechten in unterschiedlichen Systemen an ihre Grenzen stößt, entsteht der indirekte Nutzen durch die Einführung neuer Anwendungen. Die Verpflichtung zur Kntrlle vn Berechtigungen ist eine rechtliche Vrgabe, die in stark zersplitterten Systemen in der Praxis unerfüllt bleibt. Die Struktur des Prtalverbunds ermöglicht wesentlich bessere Kntrllen. Das technische Risik ist gering, da der Prtalverbund auf gut eingeführten Technlgien (SSL, HTTP, SOAP) aufgebaut ist und sich in Umgebungen mit hher Transaktinslast und Verfügbarkeit bewährt hat. Mittelfristig könnte die Anfrderung entstehen, dass zur Integratin SAML-kmpatibler Prdukte PVP auch als SAML-Prfil implementiert werden muss Ziele der Erweiterung Der Schwerpunkt der Erweiterung des Prtalverbundes liegt in der Organisatin weiterer Benutzerkreise nach dem Schema des Prtalverbunds. Anwendungsverantwrtlichen innerhalb und außerhalb der Verwaltung sll die Möglichkeit eröffnet werden Benutzern verschiedener Benutzerkreise den Zugriff auf ihre Anwendungen einzuräumen. Dabei sllte auf Webanwendungen zurückgegriffen werden, bei denen Benutzer bereits registriert sind. Bei den meisten Anwendungen lässt sich eine Prtalintegratin im Rahmen der bestehenden Technlgie realisieren, wdurch ein günstiges Ksten/Nutzen- Verhältnis erwartet werden kann. 1 Die aktuelle Architektur unterstützt SAML nur als Authentifizierungsmethde am Stammprtal PV-ErwBK.dc 4/12

5 3 Knzept 3.1 Anwendungsfälle für die Erweiterung Bildungsprtalverbund Das Unterrichtsministerium hat die Errichtung eines Prtalverbundes für Bildungsinhalte beauftragt, w Lehrer und Schüler (später auch Eltern) auf Inhalte des Bildungssektrs zugreifen können werden. Neben der Vereinheitlichung der Infrastruktur ist die Vermeidung vn Redundanzen in der Benutzerverwaltung und der Authentifizierung erwünscht, wenn Lehrer auf Inhalte im Verwaltungs- und Bildungsbereich zugreifen (z.b. Skrates, Gehaltsabrechnung). Der umgekehrte Fall ist auch denkbar: Dass e-learning- Cntent der Verwaltung angebten wird. Die Authentifizierung im Bildungsprtalverbund wird für die Kntrlle der Nutzungsrechte der Inhalte benötigt, darüber hinaus sind keine Infrmatinen über die Benutzer an die Anwendung zu übermitteln. Das ist nicht kmpatibel mit den Anfrderungen der Sicherheitsklasse 1 nach der Prtalverbundvereinbarung, entsprechend muss für diesen Fall eine Knventin geschaffen werden Unternehmen Ca. 25 Unternehmen betreiben derzeit ein eigenes PVP-kmpatibles Stammprtal, um auf das ZMR zuzugreifen, über weitere KMUs greifen auf das ZMR über Stammprtale vn Prvidern zu. In Zukunft könnten Unternehmen auf Verwaltungsanwendungen anderer Ämter zugreifen, etwa bei Statistik, Finanz und Justiz. Durch eine Einbindung der Kammern könnte die Unternehmereigenschaft verlässlich verwaltet werden, eine Delegatin der Rechte könnte direkt durch das Unternehmen realisiert werden. Vr allem für grße Unternehmen ist eine zentrale Rechteverwaltung im Unternehmen interessant, da s eine Kntrlle der vergebenen Rechte und erflgten Zugriffe einfach realisierbar ist. In vielen dieser Bereiche ist eine umfassende Vereinbarung im Sinne der PVV nicht sinnvll der öknmisch, etwa bei der Abgabe vn Statistikmeldungen. Für diese Klasse vn Anwendungsfällen ist das Knzept zu erweitern Prvider Die Knstellatin, dass kstenpflichtige Anwendungen der Verwaltung für Bürger und KMU über Prvider angebten werden, hne dass der Benutzer eine Persnenbindung benötigt, kmmt neben dem ZMR auch für andere Anwendungen wie Grund- und Firmenbuch vr. PVP kann hier zur Vereinheitlichung der Prtklle verwendet werden. PV-ErwBK.dc 5/12

6 3.1.4 Agrar- und Umweltbereich Ähnlich wie beim Agrarbereich gibt es einen Bestand vn jeweils mehreren 10,000 Benutzern in Anwendungen unterschiedlicher Organisatinen, wie Landwirtschaftsministerium, LFRZ, AMA, Statistik und Landwirtschaftskammer, mit ptentiell sehr grßen Überschneidungen. Mit der Einrichtung eines Agrarprtals, in dem diese Benutzerstämme zusammengeführt werden, könnte eine Knslidierung erreicht werden. Im kleineren Ausmaß gibt es Benutzergruppen in Frschung und NGOs, denen Zugriffsrechte etwa für CMS-Systeme eingerichtet werden Gesundheits- und Szialbereich Für die Geschäftsfälle zwischen Krankenanstalten öffentlicher Betreiber und den Bereichen Szialversicherung, Statistik und Standesamt ist die derzeitige Prtalverbundvereinbarung ausreichend. Andere Anwendungsfälle betreffen Benutzer, die nicht in den Geltungsbereich der PVV fallen. S haben Amtsärzte z.b. diverse Bezüge (Aufsicht, Untersuchung) zu Stellen, die nicht als beliehene Unternehmen einzustufen sind, wie niedergelassene Ärzte, Sanitätsdienste, Heime, Aptheken und Schulen. Wegen der starken Vernetzung zwischen Gesundheits- und Szialbereich wäre zu überlegen hier einen Benutzerkreis nach einheitlichen Richtlinien zu schaffen. Die Benutzergruppen aus diesem Bereich sind hne Anspruch auf Vllständigkeit: Private Krankenanstalten Kuranstalten und Heilbäder Alten- und Pflegeheime Aptheken Leichenbestatter Gesundheitsdienstanbieter (niedergelassene Ärzte, Hebammen, Therapeuten,..) Sachverständige Sachwalter Hilfswerk Sanitätsdienste Kindergärten und Hrte Vereine zur Szialbetreuung Der Nutzen der Einbindung in ein Prtal ist vr allem drt gegeben, w Organisatinen überreginal tätig sind und z.b. mit Bezirkshauptmannschaften unterschiedlicher Länder kmmunizieren. PV-ErwBK.dc 6/12

7 3.2 Umsetzung des Prtalverbunds über mehrere Dmänen Vraussetzungen Es sind unabhängig vn der Organisatinsfrm flgende Anfrderungen aus der Vertrauensstellung zwischen Stammprtal und Anwendungsverantwrtlichem abzuleiten: Die rganisatrischen und sicherheitstechnischen Bedingungen der Anwendungsverantwrtlichen müssen durchgesetzt werden können. Es muss ein einheitliches Sicherheitsverständnis geben, da snst das Sicherheitsniveau reduziert werden könnte, der wieder bilaterale Sicherheitsvereinbarungen mit ihren unerwünschten Nebenwirkungen geschaffen würden Struktur Für die Erweiterung um weitere Benutzerkreise außerhalb der Verwaltung sind zentralisierte Strukturen für Registratur, Sicherheitsverträge, Zertifizierung, Verwaltung und Revisin wegen der zu kmplexen Abhängigkeiten nicht sinnvll. Der hier vrgeschlagene Mittelweg zwischen bilateralen Verträgen (wie bereits im Fall Fehler! Verweisquelle knnte nicht gefunden werden. gezeigt) und einer einheitlichen Vereinbarung für alle Teilnehmer ist: Der erweiterte Prtalverbund wird in Prtalverbunddmänen (PV-Dmänen) eingeteilt, die jeweils eine dmänenspezifische Prtalverbundvereinbarung (PVV) haben. PV-Dmänen werden aus den Klassen der zugriffsberechtigten Stellen gebildet. Neben dem Depsitar wir ein Organisatr ernannt, der die einheitliche Vereinbarung der Dmäne erstellt und deren Umsetzung rganisiert. Pr Dmäne werden eigene Verträge nach dem Muster der PVV der Verwaltung geschlssen und Depsitare definiert. Der Depsitar richtet den Verzeichnisdienst der Dmäne ein. Anwendungsverantwrtliche entscheiden, welche Vereinbarungen ausreichend sicher sind um darauf aufbauend Benutzerrechte zu delegieren. Für den Anwendungsverantwrtlichen ist keine Mitgliedschaft in der jeweiligen Dmäne der Benutzer erfrderlich. Sie müssen sich aber Beim Zugriff prüft die Anwendung 2, b die Definitin des Anwendungsrechts einen Zugriff aus der Dmäne des Stammprtals erlaubt. Anwendungsverantwrtliche gehen eine Publikatinspflicht (entsprechend 4 und 5 der PVV) ein. Die Publikatin erflgt in strukturierter Frm über den Verzeichnisdienst der Dmäne. 2 technisch gesehen das AWP PV-ErwBK.dc 7/12

8 Beispiel für den Dmänen übergreifenden Zugriff: Die Benutzer sind in die Dmänen Gesundheit, Bildung, Verwaltung, Landwirtschaft und Wirtschaft zusammengefasst. PV-Teilnehmer treten dem PV ihrer Dmäne bei, was beim Depsitar veröffentlicht wird. Zugriffsberechtigte Stellen werden in Sicherheitsvereinbarungen verpflichtet, diese wiederum verpflichten die Endbenutzer. Anwendungsverantwrtliche räumen den PV-Teilnehmern unterschiedlicher Dmänen Zugriffsrechte auf ihre Anwendungen ein. Der Zugriff aus unterschiedlichen Dmänen erflgt über eine einheitliche Infrastruktur, die durch PVP und SecClass standardisiert sind. Die in den Dmänen verwendeten CAs werden über eine gemeinsame Rt- CA quersigniert. PV-ErwBK.dc 8/12

9 Für jede Dmäne sind neben der PV-Vereinbarung vm Depsitar weitere Daten zu publizieren: Definitin und Kennzeichnung der Teilnehmer der Prtalverbundsdmäne (z.b. mit einem Namensraum des OrgKZ) Nutzungsbedingungen Vm Anwendungsverantwrtlichen sind weiters zu publizieren: Daten der Anwendung und Anwendungsrechte Teile der Vereinbarung, die sich gut frmalisieren lassen, sllen in geeigneter Frm, etwa über einen Verzeichnisdienst mit dem Schema ldap.gv.at, in strukturierter Frm kmmuniziert werden. Aus diesen Überlegungen ergibt sich flgende Vertrauensstellung: Vertrauensstellung PV-ErwBK.dc 9/12

10 3.3 Zertifikate für Stamm- und Anwendungsprtale Serverzertifikate für Anwendungsprtale bieten Stammprtalen die Möglichkeit zu verifizieren b das Anwendungsprtal zur Dmäne im Hstnamen gehört. Bei der Knfiguratin sll der Stammprtal-Administratr überprüfen, b die Dmäne gültig ist und für wen das Zertifikat ausgestellt wurde. Bei Stammprtalen im Prtalverbund ist die Anfrderung an die Authentizität höher: Der Anwendungsverantwrtliche delegiert die Benutzer- und Rechteverwaltung an den Stammprtalbetreiber. Smit muss für jedes Stammprtal gewährleistet sein, dass der Betreiber die PV-Vereinbarung der Dmäne unterzeichnet hat, der Betreiber nur zugriffsberechtigte Stellen am Stammprtal führt, die wiederum die ntwendigen Pflichten für die Teilnahme am Prtalverbund übernmmen haben, und das Stammprtals (durch ein Zertifikat) sicher authentifiziert wird. Eine Verifikatin des Hstnamens im Zertifikat durch einen Reverse DNS-Lkup des Anwendungsprtals ist aus netzwerktechnischen Gründen nicht praktikabel und sll daher keine zwingende Vraussetzung für die Kmmunikatin sein Status Qu Stammprtale verwenden Serverzertifikate kmmerzieller Anbieter (z.b. A-Trust, Trustcenter.de und Thawte) der der PrtalV-CA des BMI. Behörden sllten Serverzertifikate mit Verwaltungseigenschaft verwenden, wfür es derzeit nur Zertifikate vn A-Trust und dem BMI gibt. Anwendungsprtale verwenden Zertifikate kmmerzieller Anbieter. Die Zertifikate der Stammprtale werden in den jeweiligen Prtalen registriert, wbei auch die rechtlichen Vraussetzungen des Stammprtals geprüft werden. Für die nahe Zukunft 3 ist die zentrale Registratur vn Stammprtalen durch das BKA und die Publikatin unter ldap.gv.at geplant. Damit wird die mehrfache Registratur an den Anwendungsprtalen eliminiert. Da mit dem Stammprtal auch gleich das dazu gehörende Zertifikat registriert wird, sind CA und Verwaltungseigenschaft sekundär Änderungsbedarf Eliminierung der Verwaltungseigenschaft Die Auflage, dass Serverzertifikate vn Verwaltungsrganisatinen eine Verwaltungseigenschaft 4 haben müssen, sllte aus flgenden Gründen wieder fallen gelassen werden: 3 Im Anschluss an die Erstbefüllung dieser Daten durch das BMI 4 PV-ErwBK.dc 10/12

11 1. Die Verwaltungseigenschaft ist etwas vage spezifiziert: Trifft sie nur für Behörden zu, der für Ämter in wirtschaftlichen Tätigkeiten? Auch bei Privaten, die als Organwalter staatlicher Auftraggeber tätige werden, ergeben sich Abgrenzungsprbleme. Z.B.: Warum haben BRZG und LFRZ die Verwaltungseigenschaft, nicht aber ASFINAG und Kmmunalnet? Würden sie Ntare in behördlicher Funktin bekmmen? 2. Die Beziehung zum Prtalverbund (PVV der PV-DASI) ist spezifischer als die Verwaltungseigenschaft und macht diese smit überflüssig. 3. Die krrekte Verwaltung vn Zertifikaten stellt an manche Organisatinen bereits hhe Anfrderungen, eine Prüfung vn Zertifikatsattributen würde möglicherweise nicht vllständig umgesetzt werden, weil die technische Umsetzung vn der Entwicklungswerkzeugen nicht gut unterstützt wird Zertifikatsmanagement Die Verwaltung der Zertifikate passiert auf mehreren Stellen: Die in den Dmänen des erweiterten PV genutzten CAs werden vn einer gemeinsamen Rt-CA quersigniert. Die Zertifikatsattribute (Seriennummer, Issuer) der Stammprtale einer Dmäne werden vm jeweiligen Depsitar in einem vertrauenswürdigen Verzeichnis knfrm zu ldap.gv.at veröffentlicht. Der Anwendungsprtalbetreiber kann die Zertifikate pr Dmäne akzeptieren der einzeln registrieren. PV-ErwBK.dc 11/12

12 3.4 Erweiterung des Prtalverbundprtklls Der PVP-Tken sll s erweiterbar gemacht werden, dass dmänenspezifische Attribute übermittelt werden können, hne dass Prtale, die diese Erweiterungen nicht kennen, dadurch beeinträchtigt werden. Erweiterungspunkte sllen unter anderem in den Kategrien Authentifizierung, Autrisierung und Accunting gemacht werden. Der flgende Erweiterungsvrschlag ist für den Fall gedacht, dass zwischen den Sicherheitsklassen 0 und 1 eine weitere Abstufung einzuführen wäre. Das Datenmdell des PVP-Tkens wäre für diesen Zweck zu ergänzen: Für Benutzer der Sicherheitsklasse 0 ist der Grad der Identifikatin und der Authentifizierung anzugeben: Identifikatinsstufe des Benutzers: Annym: Benutzer ist nicht authentifiziert Nicht identifiziert: Benutzer ist authentifiziert, aber keiner Persn zugerdnet Identifiziert: Benutzer ist einer Persn zugerdnet Gesicherte Identität: Benutzer ist amtlich identifiziert Authentifizierungsstufe nicht authentifiziert Authentifizierung durch Wissen Authentifizierung durch Wissen und Besitz (kpierbar 5 ) Authentifizierung durch Wissen und Besitz (nicht kpierbar 6 ) 5 TAN-Liste, Zertifikat auf Speicherkarte der Festplatte 6 Zertifikat auf Smartcard PV-ErwBK.dc 12/12