Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Copyright© Siemens IT Solutions and Services All rights reserved. Sdílení uživatelských identit ve státní správě Marta Vohnoutová Siemens IT Solutions and Services ISSS 2008

Strana 2Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Sdílení uživatelských identit ve státní správě  Možnosti využití tzv. Federated Identity pro komunikaci a výměnu informací ve státní správě.  Vzhledem k tomu, kam se v současné době elektronizace státní správy ubírá a jaké úkoly má státní správa na tomto poli před sebou, jsou vlastnosti Federation Identity (dále FID) velmi lákavé.

Strana 3Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Co je Identity Management Agenda Přístup k aplikacím jiných organizací Princip Federated Identity Mapování identit Trocha teori - něco o standardech Co by mohla implementace FID přinést státní správě

Strana 4Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Co je Identity Management Když přistupuje uživatel k aplikacím vlastní domény, nechce se hlásit ke každé aplikaci zvlášť. Již se jednou autentizoval při přihlášení do domény. Toto řeší tzv.SingleSignOn Každá organizace se také snaží, aby měla informace o uživatelích a jejich uživatelských oprávněních pod kontrolou a na jednom místě, pokud je to možné. Toto řeší tzv. Identity Management Je také žádoucí mít plně pod kontrolou přístup k datům a systém přidělování přístupových oprávnění k jednotlivým aplikacím. Toto řeší tzv. Access Management

Strana 5Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Přístup k aplikacím a datům jiných organizací Co když však má uživatel komunikovat s aplikací, která není v jeho doméně, ale patří jiné organizaci? Co teď? Odpovědí je Federated Identity

Strana 6Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Princip Federated Identity Velmi trefným přirovnáním je podoba s pasy. Naše vlastní země (zde naše doména) nám vydá pas opravňující nás navštívit cizí země (domény jiných organizací). Je to tak proto, že se země dohodly, že budou důvěřovat dokladu vydaného jinou zemí. V pasu má jeho nositel některé údaje, např. datum platnosti pasu, které jsou důležité pro to, jestli mu bude povolen vstup nebo nikoliv. Stejně tak funguje i FID. Aby mohla FID fungovat, musí si organizace navzájem důvěřovat. To ovšem neznamená, že nutně musí důvěřovat i jednotlivým uživatelům, princip je opět stejný s pasem, který může nositel padělat. Na důvěře se musí dohodnout organizace vstupující do FID. Tato důvěra však není slepá, je zabezpečena velmi důsledně prostředky FID.

Strana 7Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Princip Federated Identity

Strana 8Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Jaké informace se může Service Provider o uživateli dozvědět? Takových informací je celá řada  Informace o identitě uživatele  Atributy – doplňující informace o uživateli, jméno, příjmení, pozice v organizaci apod.  Autorizační oprávnění  Servisní informace – sem patří např. jednoznačné označování zpráv (tzv. assertions), identifikace vydavatele zprávy (v našem případě IP organizace A), časová razítka, elektronické podpisy apod. Jde tedy o zabezpečení a důvěryhodnost FID komunikace

Strana 9Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Mapování identit Je zde ještě jeden nezodpovězený problém.  FID musí totiž pracovat ve velmi heterogenním prostředí. Každá organizace má svůj systém práce s identitami - řekněme, že jedna používá např. Active Directory, druhá Siemens DirX Identity.  Jde tedy o různé formáty dat, různé logiky tvorby účtů apod.  Proto musí být před každým nasazením FID provedeno mapování identit.

Strana 10Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Ach ty standardy….. Kvůli tomu, že FID musí pracovat v heterogenním prostředí, je velmi důležité, aby se držel platných standardů. V oblasti FID existuje komise OASIS Security Services Technical Committee (SSTC), která stojí za tvorbou standardů používaných FID. K nejdůležitějším patří:  Security Assertion Markup Language (SAML), díky kterému mohou komunikovat v rámci FID různé subjekty heterogenního prostředí  WS-* specifikace (mezi které patří např. WS-Trust, WS-Security, WS-Federation) je zabezpečení v rámci SOAP.

Strana 11Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Co by mohla implementace FID přinést státní správě? Oběh dokumentů a dat mezi organizacemi (workflow) po implementaci FID Komunikace veřejnosti se státní správou

Strana 12Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Co by mohla implementace FID přinést státní správě? Přístup k aplikacím jiných organizací po implementaci FID Komunikace orgánů státní správy mezi sebou Uživatel se přihlásí ke své doméně – to je všechno, co musí udělat, aby mohl přistupovat k aplikacím, datům nebo si vyměňovat dokumenty s dalšími členy FID. FID se již postará o to, aby jeho autentizace, uživatelská oprávnění a případně další nutné údaje byly bezpečně doručeny. Podle údajů o uživateli, které aplikace v jiném orgánu státní správy prostřednictvím FID obdrží pak buď umožní přístup uživatele ke své aplikaci nebo ho odmítne. Díky auditu je každá akce zaznamenána a tedy i zpětně dohledatelná.

Strana 13Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Závěr  Tlak na přístup k aplikacím a datům, na výměnu informací a dokumentů a na vzájemnou komunikaci ve státní správě je dnes velký.  Implementace FID přispívá k tomu, aby tyto procesy byly také bezpečné a ve své podstatě jednoduché.  FID by byl velmi dobrým doplněním:  Portálů státní správy jako jsou CzechPoint, eSMO, Portál státní správy apod.  Elektronických podatelen  Datových schránek  Workflow  Propojení aplikací apod. Efekt nasazení FID ve státní správě by byl velký. Znamenal by zjednodušení, zprůhlednění a vyšší zabezpečení vzájemné komunikace a výměny informací mezi státní správou a občanem nebo mezi orgány státní správy navzájem.

Strana 14Duben 2008 Copyright © Siemens IT Solutions and Services 2008.All rights reserved. Děkuji za pozornost ! Marta Vohnoutová Siemens IT Solutions and Services, s.r.o. Evropská 33a, Praha 6 URL: