DigiD Application Programming Interface - Logius

More documents

Recommendations

Info

| DigiD Application Programming Interface | 16 augustus 20104 Praktische AspectenIn deze sectie worden praktische aspecten belicht voor de implementatievan de koppeling met DigiD.4.1 ProtocolVoor deze interface wordt HTTP met SSL (HTTPS) gebruikt.4.2 Secure Socket Layer (SSL)DigiD gebruikt Secure Socket Layer (SSL) voor de communicatie met deburger. DigiD gebruikt daarnaast ook SSL voor zijn authenticatiedienst (deWebservice) voor Webdiensten. SSL biedt een uitstekende mogelijkheidom een veilige verbinding op te zetten, waarbij de Webdienst er zeker vankan zijn dat zij met DigiD communiceert door het server-certificaat vanDigiD te verifiëren. Webdiensten dienen echter wel de nodige maatregelente nemen waarbij het certificaat van DigiD, zoals die in productie wordtgebruikt, wordt vertrouwd.4.3 Sessie ManagementEr zijn feitelijk twee relevante sessies met betrekking tot DigiD, (1) tijdenshet authenticatie proces waarbij DigiD een unieke, tijdelijke identifiergebruikt voor een authenticatiesessie en (2) na authenticatie, wanneer deWebdienst de identiteit van de geauthenticeerde gebruiker vast moethouden.4.4 Tijdens AuthenticatieDigiD identificeert een authenticatie sessie met een unieke identifier, derid . Bij initiatie van authenticatie krijgt de Webdienst deze terug in hetantwoord van DigiD. Bij verificatie van authenticatie moet de Webdienstdezelfde rid meegeven als die tijdens de initiatie van authenticatieverkregen is. DigiD neemt zelf de nodige maatregelen om ervoor tezorgen dat niet bestaande of niet meer geldige lopende authenticatiesessies worden misbruikt door aanvallers 4 . Webdiensten moeten misbruikook herkennen door te controleren of de rid die ze krijgen in een antwoordvan DigiD geldig is. Dit moet worden gecontroleerd worden tegen een lijstvan lopende authenticatie sessies met DigiD.In de praktijk kan het voorkomen dat gebruikers niet terugkeren bij deWebdienst omdat ze de authenticatie niet voltooien. Het is aan te radendat Webdiensten verlopen sessies met DigiD verwijderen uit hun lijst vanlopende sessies als onderdeel van een efficiënt sessie management.4.5 Na AuthenticatieHet belangrijkste doel van authenticatie is niet de authenticatie zelf maarde sessie die daarna moet worden opgebouwd, gebaseerd op dat moment,met die gebruiker, met die browser van dat IP-adres, etc.De API van DigiD is betrekkelijk eenvoudig en dit resulteert dan ook ineen eenvoudige situatie op het moment na authenticatie. De Webdienstkrijgt van DigiD een identificerend gegeven van de gebruiker en zal dit4 Onder misbruik wordt verstaan een replay attack waarbij een voormalig antwoord van DigiD wordtverstuurd door een aanvaller.Pagina 12 van 14
| DigiD Application Programming Interface | 16 augustus 2010moeten gebruiken om een sessie met die gebruiker op te zetten en tebehouden.Meestal kiezen Webdienstbouwers om een geauthenticeerde sessie teimplementeren in de vorm van tijdelijke sessies geïdentificeerd door eenuniek en niet te raden reeks van tekens (sessie-id). Dit sessie-id wordtdan opgeslagen in de browser als non-persistent cookie en komt bij elkverzoek van de browser naar de Webdienst mee. De Webdienst moet dancontroleren of dit inderdaad een geldige sessie is. Hierbij is het deverantwoordelijkheid van de Webdienst bouwer om een sessiemechanisme te bouwen danwel te vertrouwen op software componentenzoals de gebruikte Webserver of andere services.Pagina 13 van 14
Page 3: | DigiD Application Programming Int
Page 6 and 7: | DigiD Application Programming Int
Page 14: | DigiD Application Programming Int

DigiD Application Programming Interface - Logius

Create successful ePaper yourself

Delete template?

Save as template?