Nomenklatur
RP → Relying Party, Anslutande tjänst (en IdP).
AT → Autentiseringstjänsten
Klient → Mobil klientapplikation alternativt en Windowsapplikation.
Subject → Används som begrepp för användare som autentiserar/signerar
Introduktion
Autentiseringstjänsten har för syfte att facilitera autentisering med Out Of Band teknik. Det innebär att säkehetskanalen är separerad från den primära informationskanalen.
Det är en beprövad teknik som tjänster så som BankID har använt sig av länge. För att kunna använda Autentiseringstjänsten behöver användaren ha klienten installerad på sin desktop eller mobil, samt ha ett godkänt SITHS eID.
För att autentisera sig med mobilen behöver användaren ha Utfärdat ett SITHS eID till sin mobil.
Övergripande information
Flöde Autentisering
- Anslutande tjänst (RP) startar flödet med AT genom att skicka en förfrågan till "auth" med information om bland annat subject och autentiseringsförfrågans organisationstillhörighet.
- AT svarar på förfrågan till "auth" genom att skicka tillbaka en "orderRef" (referens till utfärdad autentiseringsförfrågan) samt en "autoStartToken".
- RP kollar (förslagsvis kontinuerligt m.h.a pollning) mot "collect" hos AT för att se om AT fått autentiseringen legitimerad av subject. Till "collect" skickas tidigare mottagna "orderRef" som är kopplad till en autentiseringsförfrågan.
- AT svarar på förfrågan till "collect" genom att skicka tillbaka en status och tillhörande data om huruvida kopplad autentiseringsförfrågan blivit legitimerad, om den blivit legitimerad är autentiseringsflödet nu avklarat.
- alternativt kan subject välja att avbryta ("cancel") en legitimering och då avslutas autentiseringsflödet och detta meddelas som svar på "collect".
Autentiseringstjänstens API
Autentiseringstjänstens API är indelat i tre delar som täcker funktionalitet för att:
- Relying Party API: API för att RP ska kunna starta och konsumera autentiserings- och signerings-förfrågningar.
- Client API: API för att en klient ska kunna resolvera autentiserings- och signerings-förfrågningar.
- Registration Authority: API för att registrera och aktivera certifikat.
Swaggerdokumentation
Autentiseringstjänstens API-dokumentation tillgängliggörs via swagger på autentiseringstjänstens med följande sökväg: "/openapi/swagger-ui/index.html?url=/v3/api-docs/rp#".
Testmiljöns API
https://as.systemtest.ineradev.org/openapi/swagger-ui/index.html?url=/v3/api-docs/rp#
Förutsättningar
Relying party API:et skyddas av MTLS. För att kunna ansluta behöver man kunna presentera sig med ett SITHS funktions certifikat samt ha det korresponderande HSA:idt inläst i AT system.