Dernière édition Attention: Le pdf pèse environ 17 - BFH-TI - Berner ...

BSc in InformatikBIBEBUVA«Circle of Trust» SuisseID SP-CASIT-Security / Betreuer: Gerhard HassensteinExperte: Prof. Dr. Torsten BraunAufgabe dieser Bachelor Thesis war es, eine Lösung zu finden, wie innerhalb der SuisseID Umgebung eineVertrauensbeziehung zwischen Service Providern und Claim Assertion Services hergestellt werden kann.Unsere Lösung sieht vor, dass die Komponenten über eine Verwaltungsstelle Metadaten austauschen undso eine Vertrauensbeziehung herstellen können. Das Konzept wurde anschliessend in einer Pilotumgebungrealisiert.Mit der SuisseID wurde im Maisind für Funktionsnachweise, dieIdee2010 ein standardisierter elektro-darüber hinausgehen, zusätzlicheDie Claim Assertion Infrastructurenischer Identitätsnachweis einge-Funktionsregister (Claim Assertionbasiert technisch auf dem offenenführt, welcher die Möglichkeit zurServices – CAS) notwendig.Standard SAML 2.0 des OASISsicheren, vertrauenswürdigen Authentifikationbietet.MotivationKonsortiums. Dieser Standardsieht vor, den Aufbau von Vertrau-Da für viele Prozesse bei einemDa die CAS externer Anbieterensbeziehungen durch den Aus-Service Provider (SP) ein Identi-nicht Teil der Core Infrastructuretausch von Metadaten zu realisie-tätsnachweis alleine nicht genügt,sind, besteht zwischen SP undren. Im Software Development KitSandro Leoniist es notwendig, dass weitere Ei-CAS kein gegebenes Vertrauens-der SuisseID-Projekt, welchesgenschaftenvertrauenswürdigverhältnis. Diese Vertrauensbezie-Referenzcharakter besitzt, ist dieüberprüft werden können. Solchehung ist aber in vielen Fällen dieVerwendung von Metadaten nochEigenschaften können beispiels-Grundlage dafür, dass ein solchernicht vorgesehen.weise der Beruf (Notar, Arzt, Apo-Dienst überhaupt angeboten, be-Das Konzept sieht vor für den Auf-theker) oder die Mitgliedschaft beiziehungsweise in Anspruch ge-bau von Vertrauensbeziehungeneinem Verein sein. Diese Eigen-nommen werden kann.zwischen CAS und SP SAML Me-schaften nennt man zusammen-Bei einer kleinen Anzahl von CAStadaten zu benutzen, die über einefassend Funktionsnachweise. Da-und SP ist es möglich, Vertrauens-zusätzliche Komponente, der Me-mit ein SP solche Funktionsnach -beziehungen zwischen den Kom-tadata Registry (MDR), ausge-weise anfordern kann, beschreibtponenten bilateral zu regeln. Wirdtauscht werden. Dazu ist vorgese-der SuisseID Standard dazu einedie Infrastruktur aber grösser,hen, dass CAS und SP ihreoffene Infrastruktur, die sogenannteClaim Assertion Infrastructureskaliert diese Methode unzureichend.Der organisatorische undMetadaten an den gemeinsamenVertrauensanker senden könnenTobias Merz(CAI). Diese besteht aus dem Iden-technisch administrative Aufwandund sich damit bei einer Vertrau-tity Provider (IdP), der personenbe-wäre zu gross.ens-Community anmelden. Fürzogene Informationen liefert unddie Vertrauensgemeinschaft, imdie Authentifizierung vornimmt.Konzept «Circle of Trust» genannt,Da der IdP aber nur eine be-müssen bestimmte Regeln gelten.schränkte Auswahl an Core Attri-Diese Regeln werden bei der Re-buten liefern kann (die Daten, diegistrierung bei der MDR manuellauch im Pass vorhanden sind)überprüft. Durch die Delegationder Überprüfung und der Verteilungder Metadaten, skaliert der«Circle of Trust» auch bei einerwachsenden Anzahl von Mitgliederngut. Innerhalb des «Circle ofKevin SchneiderTrust» vertraut jede Komponentejeder anderen, sofern sie ihr nichtexplizit das Vertrauen abspricht.»Übersicht Circle of TrustWorkflow Metadaten Austauschti.bfh.ch171