Innehållsförteckning

Klicka nedan för att visa innehållsförteckning

Expandera

title	Visa innehållsförteckning

Expandera

title	Visa revisionshistorik

Version

Datum

Innehållsförteckning

Revisionshistorik

Klicka nedan för att visa revisionshistorik

minLevel	1
maxLevel	4
outline	true
exclude	Innehållsförteckning\|Revisionshistorik
type	list
printable	false

...

Revisionshistorik

Klicka nedan för att visa revisionshistorik

Expandera

title	Visa revisionshistorik

...

Aktör/Beställare

...

Utförare

...

Metod

...

Kommentar

...

Användare

...

Nationell spärrfunktion hos Telia Kundtjänst

...

Telefon till 020-32 32 62

...

Ej funktionscertifikat

...

Användare

...

Användare

...

Mina sidor

...

Ej funktionscertifikat

...

Användare

...

ID-administratör

SITHS Admin

...

Användare/Innehavare

...

SITHS Föraltning

...

SITHS Admin

...

Vid anmälan om missbruk

...

ID-administratör

...

ID-administratör

...

SITHS Admin

...

SITHS PA

...

SITHS Förvaltning

...

SITHS Admin

...

Kortproduktion

...

Kortproduktion

...

Via API om det är problem att producera kort

Realisering av spärr

När en spärr har begärts av respektive Utförare kan det beroende på metod för kontroll ta en viss tid innan ett system kan få uppdaterad information om detta och använda den för att neka en användare att logga in.

OCSP

Är en metod där ett system kontrollerar ett certifikat åt gången

För denna metod realiseras spärren I princip omedelbart

Varje OCSP-svar får en tidsstämpel som säger hur länge svaret får användas av förlitande part. För SITHS gäller:

notBefore → Tidpunkt då frågan ställs
notAfter → 48 h framåt från notBefore

CRL

Är en metod där ett system kan hämta en lista över samtliga spärrade certifikat per certifikatsutfärdare

För denna metod finns en ledtid på upp till 65 minuter. En ny spärrlista ges ut av CA var 60:e minut, samt att det finns en cache på 5 minuter innan ny hämtas till den server (CDP) som är avlämningspunkt mot förlitande part.

Varje CRL får en tidsstämpel som säger hur länge den får användas av en förlitande part, för SITHS gäller:

Spärrlistor för slutanvändare och funktionscertifikat:

lastUpdate → Tidpunkten då CRL skapas av CA
nextUpdate → 72h från lastUpdate

Spärrlistor utfärdande CAs:

Legitimering och Underskrift av användare

Legitimering och underskrift av användare kan ske med olika tekniker. Samtliga är förknippade med någon form av inloggningsmetod, ofta med en tillhörande applikation som installeras på användarens dator.

I SITHS finns i dagsläget två applikationer som används för att möjliggöra användning av SITHS e-legitimation vid legitimering och underskrift av användare:

SITHS eID appen som även innefattar Mobilt SITHS
Net iD

Applikationer för användning av SITHS e-legitimation

Här hittar du information om och länkar/instruktioner för hur du hämtar de applikationer som användaren behöver vid användning av SITHS e-legitimation: Programvaror och tillbehör för SITHS

Referensarkitekturer för Legitimering och Underskrift

Ineras har tillsammans med kommuner och regioner tagit fram arkitekturdokument för hur tjänster med behov av legitimering och underskrift ska integrera mot infrastrukturen för legitimering och underskrift av användare:

Klicka nedan för att läsa mer om Referensarkitekturerna

Expandera

title	Referensarkitekturer för Legitimering och Underskrift

Filmer som beskriver referensarkitekturerna återfinns här: Referensarkitekturer för IAM och e

Version	Datum	Författare	Kommentar
1.0	2021-01-22

Team

SITHS Förvaltning	Etabering av sidan.
1.1	2021-02-02

Team

SITHS Förvaltning	Tillägg av avsnitt kring Inloggning till Windows och ändring av struktur på sidan.
1.2	2021-02-11

Team

SITHS Förvaltning	Uppdatering av hur spärrkontroll fungerar
1.21	2021-02-15

Team

SITHS Förvaltning	Teknisk beskrivning av SITHS Root CA ersatt av denna sida
1.22	2021-02-22

Team

SITHS Förvaltning	Tillägg av information om plattformskrav för SITHS Admin och Mina sidor
1.23	2021-03-01

Team

SITHS Förvaltning

Tillägg av information om att stänga av strömspartläge och använda så nya kortläsardrivrutiner som möjligt.

Inledning

Användning av SITHS e-legitimation

Användning av SITHS-certifikat kan delas in enligt nedan vid inloggning till tjänster:

Mutual TLS:
- Användare - för legitimering och underskrift av användare med hjälp av Net iD
- Servrar - för identifiering av tjänster vid kommunikation mellan IT-system
Out-of-band authentication: för legitimering och underskrift av en användare med hjälp av SITHS eID

Övrig användning av SITHS-kort

SITHS-kort har även följande funktioner;

Inloggning till Windows
Inloggning till Citrix
Som visuell ID-handling
Inpassering, parkering etc. med hjälp av RFID (MIFARE Classic EV1)
Magnetband
Streckkod

För fullständig specifikation över beställningsbara SITHS-kort se Kortspecifikation och tillbehör med bilder - Bilaga 1.2 (Pdf)

Teknisk information om SITHS Certifikatsutfärdare

Sökvägar och brandväggsöppningar

Här hittar du information om sökvägar och brandväggsöppningar för SITHS: Nätverksinställningar - Certifikatsutfärdare

Rot- och utfärdarcertifikat (Installation av tillit)

Här hittar du information om SITHS rot- och utfärdarcertifikat, samt vad som gäller kring installation av tillit till dessa: Rot- och utfärdarcertifikat

Spärr och spärrkontroll

Ett certifikat kan spärras för att förhindra vidare användning. Detta kan ske när man ska avsluta sin anställning, när man har tappat bort sitt SITHS eID eller när en server ska avvecklas.

Klicka nedan om du vill läsa mer om hur SITHS spärrkontroll

...

title	Visa information om hur spärr fungerar inom SITHS

Beställning och utförande av spärr

En spärr inom SITHS kan utföras enligt följande matris

1.3	25 maj 2021	SITHS Förvaltning	Tillägg av rubrik för SITHS Testsida
1.31	10 juni 2021	SITHS Förvaltning	Mindre textjusteringar och tillägg av spärrlistors giltighetstid för Utfärdande CAs
1.32	21 juni 2021	SITHS Förvaltning	Tillägg av information om pin-cache.
1.33	23 juni 2021	SITHS Förvaltning	Lagt till information om Underskrift och Förnyad autentisering utan Net iD Enterprise/Plugin
1.34	13 aug. 2021	SITHS Förvaltning	Uppdaterade informationen om RFID och MIFARE
1.35	3 feb. 2022	SITHS Förvaltning	Lade in avgränsare mellan avsnitt
1.36	7 feb. 2022	SITHS Förvaltning	Lade till länk till Edge i IE11 Mode för både Mina Sidor och SITHS-Admins plattformskrav
1.37	23 feb. 2022	SITHS Förvaltning	Lade till länk till Edge i IE11 Mode för både Mina Sidor och SITHS-Admins plattformskrav
1.38	29 juni 2022	SITHS Förvaltning	Lade till länkar till information om alternativa sätt att logga in i Windows med SITHS eID-appen och information om begränsad support för användning av SITHS eID-appen tillsammans med virtualiserade klientplattformar (VDI)
1.40	7 juli 2022	SITHS Förvaltning	Justerade information om olika varianter av inloggning för Windows: Interaktiv inloggning till Windows-dator Stöd för ytterligare autentiseringslösningar för inloggning till applikationer efter inloggningen till Windows-datorn Förtydliganden kring Pin-cache/Pin-SSO
1.41	26 aug. 2022	SITHS Förvaltning	Lade till länk till sida om hur inläsning av SITHS-kort går till på Windows och beskrivningar av de två olika autentiseringslösningarna Out-of-band och Dubbelriktad TLS (mTLS)
2.0	7 sep. 2022	SITHS Förvaltning	Stor ombearbetning av strukturen för sidan
2.1	26 sep. 2022	SITHS Förvaltning	Lade till Windows 11 för os krav för siths-admin och Mina sidor.2.
2.11	30 sep. 2022	SITHS Förvaltning	Lade till information om SAC PKCS#11 på Linux och information om IgelOS gällande tunna klienter på Linux. Lade till information om den kommande MacOS. Lade till länk till projektets sida om nya IP-adresser för SITHS certifikatutfärdare efter flytten under 2023. Omstrukturering av sidan för att flytta upp information om Autentiseringslösningar och olika varianter av appar ovanför information om utfärdande och PKI.
2.12	11 okt. 2022	SITHS Förvaltning	Länkade in information om avsändande e-postservrar som Telia använder när SITHS Admin skickar e-post till användare/funktionsbrevlådor. Dessa brukar behöva läggas till som tillåtna i organisationens SPAM-filter. Detta för att tillåta att SITHS Admin skickar e-post för organisationens egen e-postdomän om det är denna som konfigurerats som avsändande e-postserver i SITHS Admin
2.13	14 okt. 2022	SITHS Förvaltning	Lade till information om att Windows Push Notifications User Service (WpnUserService) måste köras för att SITHS eID-appen inte ska krascha på Citrix.
2.14	19 okt. 2022	SITHS Förvaltning	Flyttade ut information om användning av SITHS på tunna klienter till en egen sida för att kunna direkt länka. Sidan länkas dock fortfarande in i detta dokument.
2.15	26 okt. 2022	SITHS Förvaltning	Tillägg av information om att IgelOS kräver att man inaktiverar apparmor för att SAC PKCS#11 ska fungera.
2.16	2 mars 2023	SITHS Förvaltning	Förtydligade information om att HSA-id ej finns i Sektor 15 för MIFARE på Reservkort.
2.17	3 mars 2023	SITHS Förvaltning	Lade till information om publicering till HSA och information om värdena som publiceras.
2.18	5 maj 2023	SITHS Förvaltning	Inkluderat sidor med information om Certifikatutfärdare och tillit till dessa samt information om sökvägar och brandväggsöppningar istället för länkar man måste följa.
2.19	10 jan. 2024	SITHS Förvaltning	Tillägg av kompatibilitetsinformation om SITHS eID Portal
2.20	1 mars 2024	SITHS Förvaltning	Borttag av Net iD samt SCS

...

Inledning

Referensarkitekturer för Legitimering och Underskrift

Inera har tillsammans med kommuner och regioner tagit fram arkitekturdokument för hur tjänster med behov av legitimering och underskrift ska integrera mot infrastrukturen för legitimering och underskrift av användare:

Klicka nedan för att läsa mer om Referensarkitekturerna

Expandera

title	Referensarkitekturer för Legitimering och Underskrift

Filmer som beskriver referensarkitekturerna återfinns här: Referensarkitekturer för IAM och e-underskrift, deras realisering på Inera - YouTube

Dokument som beskriver referensarkitekturerna:

Referensarkitektur för Identitet och åtkomsthantering - på denna länk hittar du dokumentet som beskriver: Referensarkitekturen för Identitet och åtkomsthantering
Referensarkitekturen för Elektronisk underskrift och stämpel - Referensarkitekturen för Elektronisk underskrift och stämpel

SITHS eID och Mobilt SITHS

På nedan sidor hittar du information om den nya SITHS eID appen och Mobilt SITHS samt filmer och bilder som ytterligare beskriver Utfärdande av Mobilt SITHS, samt legitimering och underskrift med SITHS eID appen:

Info
SITHS eID appen är under införande och är primärt till för legitimering och underskrift i tjänster som stödjer Referensarkitekturen för Identitet och åtkomsthantering

Net iD Enterprise

Det vanligaste just nu är att tjänster kombination av nedan:

Inbyggd funktionalitet i webbläsaren/applikationen och operativsystemet i kombination med Net iD eller;
Net iD plugin (legacy)

För inloggning med SITHS-kort till Windows eller via MTLS i en webbläsare/egenutvecklad applikation används inbyggd funktionalitet i operativsystemet i kombination med import av certifikat från SITHS-kortet med hjälp av Net iD Enterprise

Info
Net iD Client är en annan produkt från SecMaker med liknande funktionalitet som Net iD Enterprise. Net iD Client ingår inte i Ineras avtal med Telia och stöds därför inte av Inera i dagsläget.

Mutual TLS för legitimering med SITHS och Net iD

Klicka nedan för att läsa mer om hur Mutual TLS för legitimering med SITHS och Net iD fungerar

Expandera

title	Mutual TLS för legitimering med SITHS och Net iD

Net iD används för att importera certifikat från SITHS-kortet till den certifikatshanterare som finns på datorn. Tjänsten, som användaren ska logga in i, integrerar i sin tur via webbläsaren mot operativsystemets inbyggda funktioner för att be användaren presentera ett inloggningsceritfikat.

Exakt hur detta utförs rent praktiskt och hur användareupplevelsen blir varierar med vilken typ och version av:

tjänstens servermjukvara
användarens operativsystem
användarens webbläsare (för webbaserade tjänster)
eventuell övrig användarapplikation

Förutsättningar

Användaren behöver ha en så ny version av Net iD som möjligt - Programvaror och tillbehör för SITHS
Både servern som driftar tjänsten och ofta användarens klientdator måste ha:
- Tillit till rätt Certifikatsutfärdare inom SITHS - Rot- och utfärdarcertifikat
- Brandväggsöppningar för spärrkontroll och byggande av tillitskedja - Sökvägar och brandväggsöppningar - Certifikatsutfärdare
Säkerställ att kortläsaren inte har strömsparläge aktiverat. Detta görs antingen i Datorns BIOS, Via enhetshanteraren eller genom inställningar i drivrutinerna för den enhet som används
Säkerställ att använda så nya drivrutiner som möjligt för kortläsaren och att dessa laddas ner från tillverkaren av kortläsaren istället för via Windows Update

Info
På SITHS-korten finns även Telia e-leg för användaren. Att anvvända dessa certifikat vid legitimering av användaren är förenat med en avgift för varje legitimering/spärrslagning. För att använda detta krävs ett separat avtal med Telia.

Net iD plugin för legitimering och/eller underskrift med SITHS

Info
Net iD plugin stöds i dagsläget endast på Internet Explorer 11 förutsatt att användarens klientdator tillåter att det körs

Klicka nedan för att läsa mer om Net iD plugin

Expandera

title	Net iD plugin för legitimering och/eller underskrift med SITHS

Användning av Net iD plugin har med tiden kommit att bli allt svårare att vidmakthålla då webbläsarutvecklarna tagit bort alternativt begränsat stödet för de API:er, NPAPI (Chrome/Firefox) och ActiveX (Internet Explorer), som använts av tredjepartsmjukvaror som Net iD plugin.

Numer kan Net iD plugin endast användas via Active X i webbläsaren Internet Explorer 11. Detta förutsätter också att användarens klientdator tillåter körning av ActiveX plugins (disabled by default) och att just SecMakers plugin för Net iD tillåts (default deny). Detta kan styras med hjälp av AD-kontrollerade Grupp principer (GPO).

För support kring användning av Net iD plugin hänvisas kunden till att teckna extra supportavtal med SecMaker som är leverantör av Net iD.

Vid underskrift via Net iD plugin används en annan kod, Underskriftskoden.

Underskrift med Net iD Plugin

Info

Underskrift med Net iD är beroende av Net iD plugin och lösningen skiljer sig för varje implementation.

Ineras nya Underskriftstjänst följer specifikationer från Digitaliseringsmyndigheten (DIGG), läs mer här: Underskriftstjänsten

Expandera

title	Underskrift med Net iD Plugin

Användning av Net iD plugin har med tiden kommit att bli allt svårare att vidmakthålla då webbläsarutvecklarna tagit bort stöd för det API:er som använts av tredjepartsmjukvara som Net iD plugin. Numer kan detta endast realiseras via Internet Explorer 11 och Active X.

För support kring användning av Net iD plugin hänvisas kunden till att teckna extra supportavtal med SecMaker som är leverantör av Net iD.

Två stora skillnader när det kommer till underskrifter med hjälp av Net iD plugin och Ineras nya Underskriftstjänst är:

Underskriftslösningen med Net iD plugin blir proprietär för varje tjänst som bygger en integration mot Net iD plugin. Varpå hela ansvaret för den juridiska giltigheten för underskriften vilar på den organisation som utvecklat och/eller beställt utveckling av den tjänst som integrerar mot Net iD plugin för att skapa elektroniska underskrifter
Formatet för själva underskriften hanteras helt av den egna tjänsten. Ineras Underskriftstjänst följer DIGGs specifikationer och använder nationellt och internationellt godkända underskriftsformat.

Net iD SSO/pin-cache

Klicka nedan för att läsa mer om Net iD SSO/pin-cache

Expandera

title	Net iD SSO/pin-cache

Vid användning av SITHS med Net iD finns funktioner som gör att pin-koden för legitimering inte behöver anges vid varje ny begäran.

Detta är ett måste för användarupplevelsen vid exempelvis inloggning till Windows. Det har också gett ett mervärde vid inloggning till tjänster som inte följer Referensarkitekturen för Identitet- och åtkomsthantering där man istället åstadkommer samma samma Single Sign-On upplevelse för alla tjänster med hjälp av stödet i standarderna SAMLv2 och OIDC.

Flöden för legitimering och underskrift

Om du expanderar nedan fält finns flödesbilder för legitimering och underskrift med Net iD (Mutual TLS respektive SITHS eID (Out-of-Band)

...

title	Flöden för legitimering respektive underskrift med SITHS eID appen

Legitimering med SITHS eID

...

Underskrift med SITHS eID

...

title	Flöden för legitimering respektive underskrift med Net iD

Legitimering med Mutuals TLS och Net iD

...

Underskrift med Net iD

...

Inloggning till Windows

Info

Inloggning till Windows fungerar med SITHS-kort och Net iD Enterprise. Hjälp med att aktivera detta och support vid problem hanteras dock inte via Inera.

Om din organisation inte känner sig säker på att kunna hantera detta med egna resurser rekommenderar vi att ni upphandlar hjälp på området eller köper till extra supportavtal med våra nuvarande underlevernatörer SecMaker eller Cygate

Inloggning till Windows med SITHS e-legitimation på SITHS-kort

Klicka nedan för att läsa mer om inloggning till Windows med SITHS e-legitimation på SITHS-kort

Expandera

title	Inloggning till Windows med SITHS e-legitimation på SITHS-kort

Om användaren har ett användarnamn (domäninloggningsnamn) angivet i HSA när certifikatet eller kortet beställs inkluderas det i certifikatet som ett “User Principal Name”. Certifikatet får då också övriga egenskaper som behövs för att fungera för interaktiv inloggning till Windows

Därefter kan man följa instruktioner från Microsoft för hur man implementerar stöd för inloggning till Microsoft AD med certifikat från en tredjepartsutfärdare (SITHS), se Guidlines for enabling smart card logon with third-party certification authorities

I dagsläget används klientprogramvaran Net iD Enterprise för att ge stöd för interaktiv inloggning till Windows tillsammans med SITHS e-legitimation på SITHS-kort.

Net iD

Net iD Enterprise importerar certifikaten från SITHS-kortet till Windows egen certifikatslagring. Detta följer samma logik som Mutual TLS för legitimering med SITHS och Net iD

Beroende på vilken paktering av Net iD som används kan man också skräddarsy användarupplevelsen vid inloggning till AD med egen grafik på inloggningsskärmen.

Det finns också pakteringar av Net iD som använder Windows egna funktioner, men som bara tillför stöd för SITHS-korten, Net iD installeras då som en så kallad minidriver som används under Microsofts egen BaseCSP

Andra tekniker för inloggning till Windows med SITHS eID inkl. Mobilt SITHS

Info
Utredning pågår, vi kommer att komplettera med referensmaterial

Inloggning till Citrix

Avsnittet ska skrivas

Funktionscertifikat - Legitimering av server

Avsnittet ska kompletteras

För att utfärda SITHS Funktionscertifikat se SITHS Funktionscertifikat - Användarguide

Utfärda SITHS eID till kort

SITHS Admin

SITHS Admin används av ID-admintiratörer de organisationer som är anslutna till SITHS. I SITHS Admin jobbar ID-administratörer exempelvis med att:

Beställa SITHS eID till kort och reservkort för användare i sina organisationer
Beställa SITHS Funktionscertifikat till servrar och tjänster i sina organisationer

Sökvägar för inloggning i respektive miljö för SITHS Admin hittar du här: Nätverksinställningar för SITHS Certifikatsutfärdare

Plattformskrav

Operativsystem: Windows 10

Webbläsare: Internet Explorer 11

Info
ActiveX plugin från SecMaker (PluginCtl Class) respektive Gemalto (CaptureX) måste också tillåtas

Klientprogramvaror:

Net iD Enterprise
SIS Capture Station - för ID-administratörer som beställer Ordinarie SITHS-kort från Thales kortfabrik.

Mina sidor

Mina sidor används av en användare för att hantera SITHS eID på sitt SITHS-kort. Exempelvis om hen ska hämta nya certifikat, spärra SITHS eID eller ta bort gamla certifikat.

Sökvägar för inloggning i respektive miljö för SITHS Mina sidor hittar du här: Nätverksinställningar för SITHS Certifikatsutfärdare

Plattformskrav

Operativsystem: Windows 10

Webbläsare: Internet Explorer 11

Info
ActiveX plugin från SecMaker (PluginCtl Class) måste också tillåtas

Klientprogramvara: Net iD Enterprise

RFID - Inpassering, parkering och lunchautomater mm.

SITHS-kort används också för Inpassering, paerkering och lunchautomater hos många kunder. I detta sammanhang är det inte e-legitimationen på SITHS-kortet som används. Istället används en annan teknik och ett annat chip som också finns på SITHS-kortet.

...

Övrig användning av SITHS-kort

SITHS-kort har även följande funktioner;

Inloggning till Windows
Inloggning till Citrix
Som visuell ID-handling
Inpassering, parkering etc. med hjälp av RFID (MIFARE Classic EV1)
Magnetband
Streckkod

För fullständig specifikation över beställningsbara SITHS-kort se Kortspecifikation och tillbehör med bilder - Bilaga 1.2 (Pdf)

...

Autentiseringslösningar för SITHS
Ankare
#autentiseringslosningar_for_siths
#autentiseringslosningar_for_siths

Vid användning av SITHS för att legitimera medarbetare krävs att tjänsten implementerar en eller flera av de autentiseringslösningar som erbjuds för att konsumera SITHS e-legitimation. All användning av SITHS e-legitimation för användare bör ske enligt Referensarkitekturen för Identitet och åtkomsthantering

Expandera

title	Visa mer information om SITHS Autentiseringslösningar

Inkludera sida

	Autentiseringslösningar för SITHS
	Autentiseringslösningar för SITHS

...

Applikationer för användning av SITHS e-legitimation

Här hittar du information om och länkar/instruktioner för hur du hämtar de applikationer som användaren behöver vid användning av SITHS e-legitimation: Programvaror och tillbehör för SITHS

Applikationer för out-of-band (SITHS eID-apparna inkl. Mobilt SITHS)

På nedan sidor hittar du information om den nya SITHS eID appen och Mobilt SITHS samt filmer och bilder som ytterligare beskriver Utfärdande av Mobilt SITHS, samt legitimering och underskrift med SITHS eID appen:

Info
SITHS eID-appen är under införande och är primärt till för legitimering och underskrift i tjänster som stödjer Referensarkitekturen för Identitet och åtkomsthantering

Flöden för legitimering och underskrift med out-of-band

Expandera

title	Flöden för legitimering respektive underskrift med SITHS eID appen

Legitimering med SITHS eID

Lucidchart

pageCount	1
autoUpdate	true
align	left
type	rich
autoSize	1
macroId	9e93c55f-29e9-4a77-96ef-aa16c55f7862
pages
instanceId	674ee3b4-0aa5-36fc-b851-9fe526cc2041
width	700
documentId	ac2d9f5d-7a62-435c-87f6-dbbe8d36e6d6
documentToken	ac2d9f5d-7a62-435c-87f6-dbbe8d36e6d6\|115406879\|358875327\|SNnclBYz/1uZdOMd+vFl19GcCKD+fGi8k/hDQZOzCW0=
updated	1662558101812
height	500

Underskrift med SITHS eID

Lucidchart

pageCount	1
autoUpdate	true
align	left
type	rich
autoSize	1
macroId	ae37d44b-1df5-48a6-b00c-0aac222ae7b5
pages
instanceId	674ee3b4-0aa5-36fc-b851-9fe526cc2041
width	700
documentId	bec967b9-89ee-4a9f-a0ba-3c92bd11d282
documentToken	bec967b9-89ee-4a9f-a0ba-3c92bd11d282\|115406879\|358875327\|lfqGQ4cOLTEzXpT9y38Mm3tMmVF/Ao8nOmtjUlXG7Mk=
updated	1662558077888
height	500

Applikationer för dubbelriktad TLS (mTLS)

SITHS eID-appen för Windows

Från och med version 2.0 av SITHS eID-appen för Windows kommer detta finnas paketeringar som installerar stöd för båda autentiseringslösningarna out-of-band och dubbelriktad TLS (mTLS).

För mer information om SITHS eID för Windows se:

...

Inloggning och autentisering på Windows

Inkludera sida

	Inloggning och autentisering i Windows
	Inloggning och autentisering i Windows

Inläsning av SITHS eID på kort i Windows

Expandera

title	Visa information om hur SITHS eID-certifikat från läses in från SITHS-kortet och hur de hanteras på Windows

Inkludera sida

	Inläsning av SITHS eID på kort i Windows
	Inläsning av SITHS eID på kort i Windows

...

Inloggning och autentisering på MacOS

Info
Utveckling av SITHS eID-app för MacOS är beställt. Mer information kommer.

...

Inloggning och autentisering på Linux

Inkludera sida

	Inloggning och autentisering på Linux
	Inloggning och autentisering på Linux

...

Användning av SITHS på tunna klienter och virtualiserade klientplattformar (VDI)

Inkludera sida

	Användning av SITHS på tunna klienter och virtualiserade klientplattformar (VDI)
	Användning av SITHS på tunna klienter och virtualiserade klientplattformar (VDI)

...

Utfärdande av SITHS eID

SITHS Admin (gamla lösningen)

Info
SITHS Admin och gamla Mina sidor avvecklas under 2024 och ersätts av SITHS eID Portal och SITHS eID Mina sidor

Expandera

title	Visa information om lösningen som avvecklas 2024

Inkludera sida

	Utfärdande av SITHS eID - SITHS Admin och Mina sidor (Telia)
	Utfärdande av SITHS eID - SITHS Admin och Mina sidor (Telia)

SITHS eID Portal

Info
SITHS eID Portal lanseras under 2024

Inkludera sida

	Utfärdande av SITHS eID - SITHS eID Portal och Mina sidor
	Utfärdande av SITHS eID - SITHS eID Portal och Mina sidor

...

Publicering till HSA

SITHS publicerar viss information om kort och certifikat till personobjekt och funktionsobjekt i HSA

Expandera

title	Visa information om publicering till HSA

Inkludera sida

	Publicering till HSA
	Publicering till HSA

...

SITHS Testsida

Inkludera sida

	Information om SITHS Testsida
	Information om SITHS Testsida

...

Funktionscertifikat - Legitimering av server

Avsnittet ska kompletteras

För att utfärda SITHS Funktionscertifikat se SITHS Funktionscertifikat - Användarguide

...

Sökvägar och brandväggsöppningar

Här hittar du information om sökvägar och brandväggsöppningar för SITHS

Expandera

title	Visa information om sökvägar och brandväggsöppningar

Inkludera sida

	Nätverksinställningar för SITHS
	Nätverksinställningar för SITHS

...

Teknisk information om SITHS Certifikatsutfärdare

Rot- och utfärdarcertifikat (Installation av tillit)

Här hittar du information om SITHS rot- och utfärdarcertifikat, samt vad som gäller kring installation av tillit till dessa

Expandera

title	Visa information om rot- och utfärdarcertifikat för SITHS (installation av tillit)

Inkludera sida

	PKI-struktur och rotcertifikat
	PKI-struktur och rotcertifikat

Spärr och spärrkontroll

Ett certifikat kan spärras för att förhindra vidare användning. Detta kan ske när man ska avsluta sin anställning, när man har tappat bort sitt SITHS eID eller när en server ska avvecklas.

Klicka nedan om du vill läsa mer om hur SITHS spärrkontroll

Expandera

title	Visa information om hur spärr fungerar inom SITHS

Beställning och utförande av spärr

En spärr inom SITHS kan utföras enligt följande matris

Aktör/Beställare	Utförare	Metod	Kommentar
Användare	Nationell spärrfunktion hos Telia Kundtjänst	Telefon till 020-32 32 62	Ej funktionscertifikat
Användare	Användare	Mina sidor	Ej funktionscertifikat
Användare	ID-administratör	SITHS Admin
Användare/Innehavare	SITHS Föraltning	SITHS Admin	Vid anmälan om missbruk
ID-administratör	ID-administratör	SITHS Admin
SITHS PA	SITHS Förvaltning	SITHS Admin
Kortproduktion	Kortproduktion	Via API om det är problem att producera kort

Realisering av spärr

När en spärr har begärts av respektive Utförare kan det beroende på metod för kontroll ta en viss tid innan ett system kan få uppdaterad information om detta och använda den för att neka en användare att logga in.

OCSP

Är en metod där ett system kontrollerar ett certifikat åt gången

För denna metod realiseras spärren I princip omedelbart

Varje OCSP-svar får en tidsstämpel som säger hur länge svaret får användas av förlitande part. För SITHS gäller:

notBefore → Tidpunkt då frågan ställs
notAfter → 48 h framåt från notBefore

CRL

Är en metod där ett system kan hämta en lista över samtliga spärrade certifikat per certifikatsutfärdare

För denna metod finns en ledtid på upp till 65 minuter. En ny spärrlista ges ut av CA var 60:e minut, samt att det finns en cache på 5 minuter innan ny hämtas till den server (CDP) som är avlämningspunkt mot förlitande part.

Varje CRL får en tidsstämpel som säger hur länge den får användas av en förlitande part, för SITHS gäller:

Spärrlistor för certifikat till slutanvändare och funktionscertifikat:

lastUpdate → Tidpunkten då CRL skapas av CA
nextUpdate → 72h från lastUpdate

Spärrlistor som utfärdas av Root CA för utfärdande CAs:

lastUpdate → Tidpunkten då CRL skapas manuellt då rooten är offline
nextUpdate → ~12 månader

Legitimering och underskrift av användare kan ske med olika tekniker. Samtliga är förknippade med någon form av inloggningsmetod, ofta med en tillhörande applikation som installeras på användarens dator.

I SITHS finns i dagsläget två applikationer som används för att möjliggöra användning av SITHS e-legitimation vid legitimering och underskrift av användare:

SITHS eID appen som även innefattar Mobilt SITHS

...

RFID - Inpassering, parkering och lunchautomater mm.

SITHS-kort används också för Inpassering, paerkering och lunchautomater hos många kunder. I detta sammanhang är det inte e-legitimationen på SITHS-kortet som används. Istället används en annan teknik och ett annat chip som också finns på SITHS-kortet.

I dagsläget används MIFARE Classic EV 1 som teknik för RFID. För att ta del av den A-nyckel som behövs för att kunna läsa information i sektor 14 & 15 kontakta Inera support.

För support kring inköp av läsare och integration av SITHS-kortet för dessa användningsområden hänvisas till era egna leverantörer för dessa lösningar.

Expandera

title	Detaljerad beskrivning av MIFARE-kodning för SITHS-kort

Mifarekodning

Användning av sektorer

Sektor 0

Block 2 - MAD information
- Carelink AID A00C i MAD position 14 oh 15

Sektor 14

På alla kortprodukter kodas de 16 sista siffrorna kortets serienummer i sektor 14 på både block 0 och block 1.

Block 0 – ASCII
- Block0Sector14 = 30 38 33 35 32 35 34 30 31 31 30 35 39 37 30 32
- ASCIIDecode(Block0Sector14) = 0835254011059702
Block 1 – 2 binära heltal, SystemNo och CardNo
- Block1Sector14 = 00 7F 73 1C 00 A8 C1 F6 00 00 00 00 00 00 00 00
- SystemNo = Int32(00 7F 73 1C)
- CardNo = Int32(00 A8 C1 F6)
- SystemNo + CardNo = 0835254011059702
Block 2 - Innehåller det statiska värdet ”1.3KNR”.

Sektor 15

Info
Personaliseras inte av SITHS på Reservkort

På de kortprodukter som i fabrik förses med HSA-id certifikat kodas dessutom HSA-id i sektor 15.

Block 0 används till den första delen av HSA-id (HSA-id prefix) upp till 16 ASCII tecken. Om HSA-id inte tar upp 16 bytes på sektorn nulltermineras strängen med 0x00
Block 1 används till den andra delen av HSA-id (HSA-id suffix) upp till 16 tecken ASCII. Om HSA-id inte tar upp 16 bytes på sektorn nulltermineras strängen med 0x00

Bindestrecket som separerar prefix och suffix utelämnas. {hsa-id prefix}-{hsa-id suffix}

Övriga sektorer

Får användas fritt av Ineras kunder.

Applikations ID

Health Services Carelink AB, dvs Inera AB, är registerar som ägare AID ”A00C” hos NXP.

Specifikationen beskriver att informationen läggs på en sektor med 4 block men skulle likaväl läggas på en sektor med 16 block. I detta fall så kommer MAD2 att användas.

Åtkomststyrning och kryptering

Sektor 0

Låst så att endast Leverantör av Kortproduktionstjänst kan ändra i MAD

Nyckel	Värde	Rättighet
A	A0 A1 A2 A3 A4 A5	Läs
B	Hemlig nyckel som ägs av leverantör av kortproduktionstjänst	Skriv

Sektor 14 & 15

Sektor 14 och 15 är skrivskyddade och är ej publikt åtkomliga varken för läsning eller skrivning. Kontakta Inera support om du behöver det hemliga värde som används som A- och B-nyckel och som kan användas för att läsa dessa sektorer

Nyckel	Värde	Rättighet
A	Hemlig nyckel som ägs av Inera AB	Läs
B	Hemlig nyckel som ägs av Inera AB	Läs

Övriga sektorer

Lämnas orörd med standard accessvillkor och nycklar

Nyckel	Värde	Rättighet
A	FF FF FF FF FF FF	Läs
B	FF FF FF FF FF FF	Läs

MIFARE-dokument

Nedan finns en specifikation över vilken information som skrivs i detta chip och hur den kodas:

SITHS MIFARE Classic specifikation

För att ta del av den A-nyckel som används för att kryptera information i sektor 14 & 15 kontakta Inera supporten.

Här finns också ett par guider för verifiering av dessa chip:

För support kring inköp av läsare och integration av SITHS-kortet för dessa användningsområden hänvisas till era egna leverantörer för dessa lösningar.

...

Övrig teknisk dokumentation

...

Sidjämförelse

Jämförda versioner

Gammal version 28

Ny version Aktuell

Nyckel

Revisionshistorik

Revisionshistorik

Realisering av spärr

OCSP

CRL

Legitimering och Underskrift av användare

Applikationer för användning av SITHS e-legitimation

Referensarkitekturer för Legitimering och Underskrift

Inledning

Användning av SITHS e-legitimation

Övrig användning av SITHS-kort

Teknisk information om SITHS Certifikatsutfärdare

Sökvägar och brandväggsöppningar

Rot- och utfärdarcertifikat (Installation av tillit)

Spärr och spärrkontroll

Beställning och utförande av spärr

Inledning

Referensarkitekturer för Legitimering och Underskrift

SITHS eID och Mobilt SITHS

Net iD Enterprise

Mutual TLS för legitimering med SITHS och Net iD

Förutsättningar

Net iD plugin för legitimering och/eller underskrift med SITHS

Underskrift med Net iD Plugin

Net iD SSO/pin-cache

Flöden för legitimering och underskrift

Legitimering med SITHS eID

Underskrift med SITHS eID

Legitimering med Mutuals TLS och Net iD

Underskrift med Net iD

Inloggning till Windows

Inloggning till Windows med SITHS e-legitimation på SITHS-kort

Net iD

Andra tekniker för inloggning till Windows med SITHS eID inkl. Mobilt SITHS

Inloggning till Citrix

Funktionscertifikat - Legitimering av server

Utfärda SITHS eID till kort

SITHS Admin

Plattformskrav

Mina sidor

Plattformskrav

RFID - Inpassering, parkering och lunchautomater mm.

Övrig användning av SITHS-kort

Autentiseringslösningar för SITHS Ankare#autentiseringslosningar_for_siths#autentiseringslosningar_for_siths

Applikationer för användning av SITHS e-legitimation

Applikationer för out-of-band (SITHS eID-apparna inkl. Mobilt SITHS)

Flöden för legitimering och underskrift med out-of-band

Legitimering med SITHS eID

Underskrift med SITHS eID

Applikationer för dubbelriktad TLS (mTLS)

SITHS eID-appen för Windows

Inloggning och autentisering på Windows

Inläsning av SITHS eID på kort i Windows

Inloggning och autentisering på MacOS

Inloggning och autentisering på Linux

Användning av SITHS på tunna klienter och virtualiserade klientplattformar (VDI)

Utfärdande av SITHS eID

SITHS Admin (gamla lösningen)

SITHS eID Portal

Publicering till HSA

SITHS Testsida

Funktionscertifikat - Legitimering av server

Sökvägar och brandväggsöppningar

Teknisk information om SITHS Certifikatsutfärdare

Rot- och utfärdarcertifikat (Installation av tillit)

Spärr och spärrkontroll

Beställning och utförande av spärr

Realisering av spärr

OCSP

CRL

RFID - Inpassering, parkering och lunchautomater mm.

Mifarekodning

Användning av sektorer

Sektor 0

Sektor 14

Autentiseringslösningar för SITHS
Ankare
#autentiseringslosningar_for_siths
#autentiseringslosningar_for_siths