DigiD Application Programming Interface - Logius

| DigiD Application Programming Interface | 16 augustus 20104 Praktische AspectenIn deze sectie worden praktische aspecten belicht voor de implementatievan de koppeling met DigiD.4.1 ProtocolVoor deze interface wordt HTTP met SSL (HTTPS) gebruikt.4.2 Secure Socket Layer (SSL)DigiD gebruikt Secure Socket Layer (SSL) voor de communicatie met deburger. DigiD gebruikt daarnaast ook SSL voor zijn authenticatiedienst (deWebservice) voor Webdiensten. SSL biedt een uitstekende mogelijkheidom een veilige verbinding op te zetten, waarbij de Webdienst er zeker vankan zijn dat zij met DigiD communiceert door het server-certificaat vanDigiD te verifiëren. Webdiensten dienen echter wel de nodige maatregelente nemen waarbij het certificaat van DigiD, zoals die in productie wordtgebruikt, wordt vertrouwd.4.3 Sessie ManagementEr zijn feitelijk twee relevante sessies met betrekking tot DigiD, (1) tijdenshet authenticatie proces waarbij DigiD een unieke, tijdelijke identifiergebruikt voor een authenticatiesessie en (2) na authenticatie, wanneer deWebdienst de identiteit van de geauthenticeerde gebruiker vast moethouden.4.4 Tijdens AuthenticatieDigiD identificeert een authenticatie sessie met een unieke identifier, derid . Bij initiatie van authenticatie krijgt de Webdienst deze terug in hetantwoord van DigiD. Bij verificatie van authenticatie moet de Webdienstdezelfde rid meegeven als die tijdens de initiatie van authenticatieverkregen is. DigiD neemt zelf de nodige maatregelen om ervoor tezorgen dat niet bestaande of niet meer geldige lopende authenticatiesessies worden misbruikt door aanvallers 4 . Webdiensten moeten misbruikook herkennen door te controleren of de rid die ze krijgen in een antwoordvan DigiD geldig is. Dit moet worden gecontroleerd worden tegen een lijstvan lopende authenticatie sessies met DigiD.In de praktijk kan het voorkomen dat gebruikers niet terugkeren bij deWebdienst omdat ze de authenticatie niet voltooien. Het is aan te radendat Webdiensten verlopen sessies met DigiD verwijderen uit hun lijst vanlopende sessies als onderdeel van een efficiënt sessie management.4.5 Na AuthenticatieHet belangrijkste doel van authenticatie is niet de authenticatie zelf maarde sessie die daarna moet worden opgebouwd, gebaseerd op dat moment,met die gebruiker, met die browser van dat IP-adres, etc.De API van DigiD is betrekkelijk eenvoudig en dit resulteert dan ook ineen eenvoudige situatie op het moment na authenticatie. De Webdienstkrijgt van DigiD een identificerend gegeven van de gebruiker en zal dit4 Onder misbruik wordt verstaan een replay attack waarbij een voormalig antwoord van DigiD wordtverstuurd door een aanvaller.Pagina 12 van 14