Elektroniska identiteter i AKKA vid Uppsala universitet SWAMIDs ...

Avdelningen för IT och inköp
Universitetsförvaltningen
Pål Axelsson
Postadress:
Box 887
751 08 Uppsala
Gatuadress:
Lägerhyddsvägen 2, hus 3
752 37 Uppsala
Telefon:
018 - 471 7918
Telefax:
018 - 471 7876
Hemsida:
www.its.uu.se
Epost:
Pal.Axelsson@its.uu.se
Division for IT and Procurement
University Administration
Pål Axelsson
Postal address:
Box 887
SE-751 08 Uppsala
SWEDEN
Visiting address:
Lägerhyddsvägen 2, building 3
SE-752 37 Uppsala
SWEDEN
Telephone:
+46 18 - 471 7918
Telefax:
+46 18 - 471 7876
Web site:
www.its.uu.se
E-mail:
Pal.Axelsson@its.uu.se
2010-07-02
Version 2.1
1 (7)
Elektroniska identiteter i AKKA vid Uppsala universitet
Detta PM beskriver de olika typer av elektroniska identiteter som finns i
Uppsala universitets katalogsystem AKKA. PMet är framtaget med tre syften;
Dels för att kortfattat beskriva AKKAs identitetstyper. Dels för att definiera
förtroendenivå enligt NIST Electronic Authentication Guideline Version 1.0.2 1
och OMB E-Authentication Guidance for Federal Agencies 2 för identitetstyperna.
Och dels för att definiera om en viss identitetstyp får delta i Swedish
Academic Identity Federation 3 – nedan kallat SWAMID.
I detta PM är det bara säkerställandet att en viss identitet tillhör en viss person
och identitetens livscykel som bedöms mot SWAMIDs Definition av
förtroendenivåer gällande identitetsutgivande 4 , se bilaga 1.
SWAMIDs relation till förtroendenivåer
För att en identitet ska få delta i identitetsfederationen SWAMID krävs att det
inte finns något som hindrar att identiteten kan uppfylla LoA2.
AKKAs relation till förtroendenivåer
Här följer en beskrivning av alla identitetstyper i AKKA inkl. förtroendenivåklassificering
och definition av eventuellt deltagande i SWAMID. De två senare
sammanfattas först i tabellen nedan och sedan kommer en längre beskrivning.
Identitetstyp Förtroendenivå SWAMID
Personalidentitet LoA2 Ja
Studerandeidentitet LoA2 Ja
Funktionsidentitet LoA1 Nej
Studentorganisationsidentitet LoA1 Nej
Extern identitet LoA1 Nej
Gästidentitet LoA2 Nej
Tillfällig identitet
LoA1 Nej
1 NIST Special Publication 800-63 Version 1.0.2, Electronic Authentication Guideline,
april 2006, http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63V1_0_2.pdf
2 Executive Office of the President, Office of Management and Budget Memorandum
M-04-04, E-Authentication Guidance for Federal Agencies, 16 december 2003,
http://www.whitehouse.gov/omb/memoranda/fy04/m04-04.pdf
3 SWAMID, http://www.swamid.se
4 SWAMIDs Definition av förtroendenivåer gällande identitetsutgivande,
http://www.swamid.se/pub/jsp/polopoly.jsp?d=2981&a=56553

2 (7)
I samband med överlämnandet av den elektroniska identiteten övergår ansvaret
för att endast avsedd person/personer använder den elektroniska identiteten till
innehavaren av den elektroniska identiteten. Personen/personerna bär sedan
ansvaret för att rapportera in förlust av den elektroniska identiteten och andra
händelser som kan medföra att suveränitet över den elektroniska identiteten inte
längre kan garanteras.
Personalidentitet
Personal vid Uppsala universitet har möjlighet att ha en elektronisk identitet
under den period som de är anställda vid Uppsala universitet. Till personal
räknas även personer som av prefekt/motsv. anses vara verksam vid
institutionen/motsvarande utan att inneha en formell anställning – s.k. person
med anställningsliknande förhållande.
När den katalogansvarige vid institutionen/motsvarande lägger in en anställning
på en person i universitetskatalogen har de även möjlighet att aktivera den
elektroniska identiteten för den anställde. Uppgifter om den elektroniska
identiteten skickas i slutet kuvert adresserat till den anställdes adress vid
institutionen eller hämtas mot uppvisande av giltig identitetshandling på
IT-stöd. Med avseende på detta uppfylls LoA2 enligt definitionen i inledningen.
Förtroendenivå LoA4 kan uppfyllas om identitetsinformation såsom lösenord
endast lämnas ut i samband med uppvisande av giltig identitetshandling. Detta
kan genomföras på flera sätt, t.ex. lämna ut informationen mot uppvisande av
giltig identitetshandling på särskilda utlämningsställen eller skicka
informationen med hjälp av rekommenderad post. Vidare är det möjligt att
registrera att giltig svensk legitimationshandling eller pass för utländska
medborgare har kontrollerats av särskilda handläggare.
Den elektroniska identiteten avslutas automatiskt när den sista anställningen tas
bort på personen ur universitetskatalogen.
Studerandeidentitet
Studerande vid Uppsala universitet har möjlighet att ha en elektronisk identitet
så länge som de är aktivt studerande vid universitetet. Med aktivt studerande
menas för grundutbildningsstuderande att den studerande är registrerad på kurs
eller har resultatregistrering på en kurs innevarande termin och för en forskarstuderande
att denne har en aktivitetsgrad större än 0 % innevarande eller
föregående termin.
Den studerande söker elektronisk identitet antingen via en elektronisk blankett –
där personnummer och pinkod som är utskickad med post till aktuell adress i
Uppdok/ Ladok används för identifiering – eller via en pappersblankett.

Uppgifter om den elektroniska identiteten kan lämnas ut enligt eget val efter
ansökan och kontroll av att den studerande är aktivt studerande innevarande
termin på tre olika sätt:
- hämtas elektroniskt på särskild webbsida där identifiering sker med
personnummer och samma pinkod som användes vid den elektroniska
ansökan (kan bara användas i kombination med elektronisk ansökan),
- skickas i slutet kuvert till aktuell adress i Uppdok/Ladok eller
- hämtas mot uppvisande av legitimation på särskilda utlämningsställen.
Förtroendenivå LoA4 kan uppfyllas om identitetsinformation såsom lösenord
endast lämnas ut i samband med uppvisande av giltig identitetshandling på
samma sätt som för identitetstypen personal. I övriga fall uppfylls LoA2.
3 (7)
Terminsvis kontrolleras att den studerande fortfarande är aktivt studerande, om
inte stängs kontot automatiskt av 15 februari om senaste registrering var
föregående vårtermin och 15 september om senaste registrering var föregående
hösttermin. Undantagsvis kan en studerande behålla sin identitet även om denne
inte f.n. studerar vid Uppsala universitet, t.ex. vid utbytesstudier utomlands eller
innehar ett arvoderat förtroendeuppdrag i kår, nation eller annan
studentorganisation.
Funktionsidentitet
Institutioner/motsvarande vid universitetet har ofta behov av e-postadresser där
innehavaren av en viss e-postadress växlar men behovet av kontinuitet är stort
med avseende på tillgång till gamla e-postkonversationer eller där flera personer
delar på en och samma e-postadress och behöver kunna ta del av e-postkonversationerna.
Funktionsidentiteter används även för utrustning som behöver kunna autentisera
mot någon tjänst, såsom nätinloggning, eller kunna skicka och ta emot e-post,
t.ex. kopiatorer.
Förtroendenivå LoA2 kan inte uppnås då det inte är säkert att det är en enskild
person som innehar identiteten. Med avseende på detta kan dessa identiteter inte
användas inom SWAMID.
De elektroniska identiteterna avslutas först när institutionen/motsvarande
meddelar att de inte längre vill använda dem eller då ansvariga för hanteringen
av elektroniska identiteter genomför en revision av funktionsidentiteter och inte
får information om att identiteten ska fortsätta att vara aktiv.
Studentorganisationsidentitet
Godkända studentorganisationer vid Uppsala universitet kan få elektroniska
identiteter efter att ordförande/förste kurator/motsvarande har skickat in en
skriftlig begäran om att etablera en eller flera elektroniska identiteter. Brev med
uppgifter om den elektroniska identiteten skickas till av organisationen angiven
adress. Med godkänd studentorganisation vid Uppsala universitet menas en
studentorganisation som blivit godkänd av chefen för studerandebyrån. Villkor
för godkännandet innebär i korthet att studentorganisationen har verksamhet
avsedd för studerande vid universitetet.

4 (7)
Förtroendenivå LoA2 kan inte uppnås då det inte är säkert att det är en enskild
person som innehar identiteten. Med avseende på detta kan dessa identiteter inte
användas inom SWAMID.
De elektroniska identiteterna avslutas först när studentorganisationen meddelar
att de inte längre vill använda dem eller då ansvariga för hanteringen av
elektroniska identiteter genomför en revision av identiteter för studentorganisationer
och inte får kontakt med organisationen.
Extern identitet
Vid vissa tillfällen behöver personer som inte är verksamma vid universitetet
enligt ovan en elektronisk identitet för att komma åt olika för identiteten
identifierade IT-tjänster. Dessa elektroniska identiteter skapas och delas ut i
särskild ordning.
Förtroendenivå LoA2 kan inte uppnås då det inte är säkert att det är en enskild
person som innehar identiteten. Med avseende på detta kan dessa identiteter inte
användas inom SWAMID.
Den elektroniska identiteten avslutas antingen då den verksamhet vid
universitetet som begärt den elektroniska identiteten meddelar att den ska
upphöra eller då ansvariga för elektroniska identiteter genomför en revision och
inte får information om att identiteten ska fortsätta att vara aktiv.
Gästidentitet
Det främsta sättet för besökanden från andra lärosäten att få tillgång till det
trådlösa nätet vid Uppsala universitet är via eduroam 5 . Eduroam kan dock bara
användas av de besökare vars hemmaorganisationer deltar i samarbetet
eduroam. Med avseende på detta kan övriga besökare vid behov bli tilldelade en
gästidentitet för nätanvändning vid besöket av universitetet.
All personal är generellt delegerad rätten att utfärda max fem samtidiga gästidentiteter
där dessa kan vara giltiga i max sju dygn. Den generella rättigheten
att utfärda gästidentiteter kan inskränkas efter beslut av prefekt/motsv. Särskilt
definierade personer har rätt att utfärda ett obegränsat antal gästidentiteter med
en giltighet på max 30 dagar avsett för konferenser och längre besök vid en
institution/motsv.
Giltig identitetshandling ska kontrolleras vid utlämnade av identiteten vilket
medför LoA2 men med avseende på att den som innehar identiteten inte är
knuten till Uppsala universitet kan identiteten inte användas i SWAMID.
Den elektroniska identiteten avslutas antingen vid den tidpunkt som definierats
när identiteten skapades eller tidigare om behov finns.
5 eduroam – Educational Roaming Infrastructure, http://www.eduroam.org

5 (7)
Tillfällig identitet
Personer som tillfälligt besöker universitetet och behöver använda IT-tjänster
vid universitetet – undantaget nätaccess – kan få en tillfällig identitet. I samband
med konferenser eller större möten kan det hända att flera personer delar på den
tillfälliga identiteten. Tillfälliga identiteter delas ut i särskild ordning av
definierade anställda vid universitetet.
Förtroendenivå LoA2 kan inte uppnås då det inte är säkert att det är en enskild
person som innehar identiteten. Med avseende på att dessa identiteter inte
behöver tillhöra personer knutna till Uppsala universitet eller att det inte är
säkert att en enskild person innehar identiteten kan identiteten inte användas i
SWAMID.
Den elektroniska identiteten avslutas antingen vid den tidpunkt som har begärts
av den verksamhet vid universitetet som ansökt om den eller då ansvariga för
elektroniska identiteter genomför en revision och inte får information om att
identiteten ska fortsätta att vara aktiv.

Bilaga 1
Definition av förtroendenivåer gällande identitetsutgivande 6
I NIST Electronic Authentication Guideline 7 definieras fyra förtroendenivåer -
eng. Level of Assurance, nedan förkortat LoA. I bedömningen av den totala
förtroendenivån ingår flera områden; identitetshantering,
inloggningsmekanismer och överföring av genomförd inloggning.
I området identitetshantering ingår hanteringen av elektroniska identiteters,
även känt som användaridentitet, användarkonto, och datorkonto, hela
livscykeln, d.v.s. från att de skapas till att de avvecklas. Nedan definieras
kortfattat förtroendenivåer med utgångspunkt utifrån med vilken säkerhet en
utlämnare av en elektronisk identitet kan verifiera mottagarens identitet.
Definitionen är anpassad efter svenska förhållanden främst med avseende på
identitetsfederationen för den högre utbildningen i Sverige, SWAMID
(http://www.swamid.se).
I samband med överlämnandet av den elektroniska identiteten övergår ansvaret
för att endast avsedd person använder identiteten till innehavaren av den
elektroniska identiteten. Personen bär sedan ansvaret för att rapportera in förlust
av den elektroniska identiteten och andra händelser som kan medföra att
personen inte längre kan garantera suveränitet över den elektroniska identiteten.
En identitet med högre förtroendenivå uppfyller även kraven för en lägre, det
vill säga en identitet som uppfyller LoA2 uppfyller även LoA1.
LoA1 - obekräftad användare
LoA1 innebär att det finns liten eller ingen möjlighet att fastställa vem som
innehar och använder en elektronisk identitet. Exempel på elektroniska
identiteter av typen LoA1 är Windows Live-konto och Google-konto.
LoA2 - bekräftad användare
LoA2 innebär att det finns rimlig möjlighet att fastställa vem som innehar och
använder en elektronisk identitet. Vem som ursprungligen tar emot identiteten
fastställs genom att identiteten styrks vid utlämnade av identitetsinformation
eller att identitetsinformationen skickas till en postadress – till exempel
folkbokföringsadressen eller arbetsplatsens adress – där det är sannolikhet att
den person som identitetsinformationen tillhör även är den person som ta del av
den informationen.
LoA3 - kontrollerad användare
LoA3 innebär att det finns god möjlighet att fastställa vem som innehar och
använder en elektronisk identitet. Detta säkerställs via kontroll av giltig
identitetshandling vid utlämnade av identitetsinformation. Med giltig
identitetshandling menas nationellt identitetskort, pass, körkort, SIS-godkänt
identitetskort och e-legitimation.
6 SWAMIDs Definition av förtroendenivåer gällande identitetsutgivande,
http://www.swamid.se/pub/jsp/polopoly.jsp?d=2981&a=56553
7 NIST Special Publication 800-63 Version 1.0.2, april 2006,
http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63V1_0_2.pdf

7 (7)
LoA4 - verifierad användare
LoA4 innebär att det finns mycket god möjlighet att fastställa vem som innehar
och använder en elektronisk identitet. Med avseende på att detta PM är
begränsat till identitetsutgivande är det ingen skillnad mellan LoA3 och LoA4
förutom att e-legitimation inte får användas.