Tillit, varför då? Sunetdagarna våren 2017 Pål Axelsson pax@sunet.se

I begynnelsen… När SWAMID skapades 2007 hade ett regelverk tagits fram av en arbetsgrupp inom samarbetsorganisationen SWAMI Regelverket reglerade hur federationen skulle skötas och hur lärosäten blev medlemmar i federationen. Tilliten var implicit, dvs. vi känner och litar på varandra…

Men alla gör ju på samma sätt som jag… När SWAMID funnits några år fanns det en tilltro bland lärosätena om att andra lärosäten gör ungefär som vi själva när det gäller kontohantering I verkligen såg det helt annorlunda ut! En del lärosäten skickade ut inloggningsuppgifter via e-post till alla nyantagna studenter, e-postadressen kom från antagningen Andra lärosäten krävde legitimation och underskriven blankett

Det var dags för ett nytag… 2010 kände vi som jobbade med SWAMID att den implicita tilliten behövde kompletteras med en explicit och dokumenterad tillit SWAMIDs policyramverk skrevs om för att möjliggöra teknisk tillit runt hur federationen sköts och används organisatorisk tillit runt hur federationen är organiserad SUNET blir huvudman för federationen kommande tillitsprofiler för medlemsorganisationer

Tillitspyramiden för användare AL4: Går ej att använda i federation! AL3: Vet mycket väl vem personen är (verifierad). Personen har uppvisat legitimation och personuppgifter är delvis hämtade från annan källa. Exempel: Svensk E-legitimation AL2: Vet vem personen är (bekräftad). Uppgifterna är delvis hämtade från annan källa. Exempel: Universitet eller högskola AL1: Vet att det är en person (obekräftad). Personuppgifterna är självuppgivna. Exempel: Facebook och Google

SWAMID Identity Assurance Level 1 Profile Klar hösten 2013 och 23 medlemmar uppfyller idag SWAMID AL1 SWAMID Identity Assurance Level 1 Profile Tillitsprofilen SWAMID AL1 innebär: att det är en person som innehar och använder kontot (obekräftad användare) att informationen knuten till kontot ofta är uppgiven av och ansvaras för av användaren själv att medlemsorganisationens identitetshanteringssystem uppfyller minst kraven i SWAMID AL1 och visar detta genom en Identity Management Practice Statement (IMPS) att granskning sker genom årlig egenkontroll https://www.swamid.se/policy/assurance/al1/

SWAMID Identity Assurance Level 2 Profile Klar hösten 2015 och 8 medlemmar uppfyller idag SWAMID AL2 SWAMID Identity Assurance Level 2 Profile Tillitsprofilen SWAMID AL2 innebär: att lärosätet vet vem personen är som innehar och använder kontot (bekräftad användare) att lärosätet ansvarar för personinformationen att det finns högre krav på inloggningssäkerhet än i SWAMID AL1 att SWAMID granskar att IMPS uppfyller kraven i SWAMID AL2 att SWAMID genomför årlig kontroll av att IMPS fortfarande gäller i övrigt en utökning av SWAMID AL1 med några få tilläggskrav https://www.swamid.se/policy/assurance/al2/

Varför satsa på SWAMID AL2 Med SWAMID AL2 är det säkrare att utgå att det är rätt person som använder inloggningen Om du som identitetsutfärdare inte är säker på vem som användaren är så kan du inte skicka nationellt unikt identifierande uppgifter såsom personnummer, därför ska du aldrig skicka personnummer för en användare på SWAMID AL1 Vissa tjänster kommer att kräva SWAMID AL2 TCS Personal gör det idag, andra kommer att göra detta i framtiden

Men den implicita tilliten? Tilliten i SWAMID baseras på – Jag gör som vi alla gör, om du litar på dig själv så kan du lita på mig 20% Teknisk tillit 30% Federationsorganisatorisk tillit 50% Att medlemsorganisationerna uppfyller tillitsprofiler Och ytterligare 100% att vi litar på varandra! Jag vet vad jag gör – lita på mig

Mer information… Allmänt om SWAMIDs federationspolicy https://www.sunet.se/swamid/policy/ Praktisk hjälp till SWAMIDs medlemmar gällande tillitsprofiler https://wiki.swamid.se/display/SWAMID/SWAMID+Identity+Assurance Kontakta SWAMID https://www.sunet.se/swamid/kontakt/