- Eleg-projekt

Sammanfattning av öppet möte nr 5 om att bygga egen e-leg-lösning, 24 aug 2023
by Elias Rudberg 25 Aug '23

25 Aug '23

Sammanfattning av öppet möte nr 5 om att bygga egen e-leg-lösning, 24 aug 2023 - Plan: vi gör en proof-of-concept med mutual TLS (mTLS) Vi pratade lite om det och kom fram till att planen ligger fast, vi fortsätter med det som vi hade tänkt. Kort om hur det är tänkt: - Användaren skapar själv ett nyckelpar, privat och publik nyckel. - Användaren skapar sen en "certificate signing request" (CSR) där användarens publika nyckel ingår, signerad med hjälp av användarens privata nyckel. - Användaren ger/skickar sin CSR till utgivaren (CA) - CA tar användarens publika nyckel och bakar in den i en ny cert-fil som CA signerar med sin privata nyckel. Den nya cert-filen är själva e- legitimationen som ges till användaren och som användaren sedan kan visa upp för förlitande part där användaren vill logga in. - CA ger certifikatet (e-legitimationen) till användaren. - Nu kan användaren bevisa sin identitet för en förlitande part med hjälp av mTLS. - Implementation av en första version av CA-programvara för utgivaren Det har påbörjats och verkar lovande, inga hinder har dykt upp. Vi pratade om hur informationen om personnummer eller motsvarande kan lagras i samband med CSR och utfärdade certifikat, utifrån vilka möjligheter som finns i X.509-standarden. Det går att göra på olika sätt, vi väljer något enkelt till att börja med. - Beskriva konkret hur användare kommunicerar med utgivaren Vi pratade om vad användaren konkret behöver göra för att kunna få sin e-legitimation. Det första är att skapa ett nyckelpar, vilket i en första proof-of-concept kan göras med några openssl-kommandon. Sedan kan användaren skapa CSR som ges till utgivaren. Viktigt är att användarens privata nyckel skapas av användaren själv med fri programvara och aldrig hanteras av någon annan, inte heller av utgivaren. - Fördelar jämfört med stängda lösningar Vi diskuterade en del kring detta, bland annat att en öppen lösning ger möjligheten att verifiera saker enligt tankarna bakom "web of trust". Till exempel kan en användare publicera sin publika nyckel på andra sätt, liknande hur man kan skicka PGP-nycklar till en keyserver. Det här kan ge individen ett skydd mot manipulation från utgivarens sida på ett sätt som inte är möjligt med stängda lösningar. - Nästa möte Nästa möte är 2023-09-07 klockan 19:00 - 20:30. Till alla här på mejllistan: tyck gärna till om det här, eller ställ frågor, och välkomna att vara med på nästa möte! / Elias

1 0

Välkomna på öppet möte nr 5 om att bygga egen e-leg-lösning, 24 aug klockan 19
by Elias Rudberg 22 Aug '23

22 Aug '23

Hej! Välkomna till distans-möte nummer 5 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: torsdag 24 augusti klockan 19:00. Vi siktar på att hålla på i upp till 90 minuter. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Fortsatt arbete i riktning mot en proof-of-concept med mutual TLS (mTLS) - Implementation av en första version av CA-programvara för utgivaren - Beskriva konkret hur användare kommunicerar med utgivaren - Arbetsfördelning, vem gör vad Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/

1 0

Nästa möte om att bygga egen e-leg-lösning blir 24 augusti klockan 19
by Elias Rudberg 06 Aug '23

06 Aug '23

Hej, Tack alla som var med på mötet förra veckan! Liten sammanfattning av det mötet: vi pratade mest om hur programvaran för en egen CA (certificate authority) kan fungera och vilka existerande fria programvaror och bibliotek som kan användas för det syftet. Vi siktar på att börja med en proof-of-concept för CA-delen som ett konkret första steg. När CA-delen finns kan vi sen fortsätta med hur kommunikationen mellan användare (privatperson) och "förlitande part" kan gå till med hjälp av mTLS och certifikat som vår CA kan skapa. Tid för nästa möte (distansmöte via jitsi som vanligt): - torsdag 24 augusti klockan 19:00 - 20:30 Vi ses då, alla är välkomna! Till dess, fortsätt gärna diskussionen här på mejllistan. Vänliga hälsningar Elias

1 0

Välkomna på öppet möte nr 4 om att bygga egen e-leg-lösning, 3 aug klockan 19
by Elias Rudberg 03 Aug '23

03 Aug '23

Hej! Välkomna till distans-möte nummer 4 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter diskutera frågor om kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: torsdag 3 augusti klockan 19:00. Vi siktar på att hålla på i upp till 90 minuter. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ En sammanfattning av förra mötet finns här: https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se…

1 1

Välkomna på öppet möte nr 3 om att bygga egen e-leg-lösning, 29 juni klockan 19
by Elias Rudberg 29 Jun '23

29 Jun '23

Hej, Tack till alla som var med på förra mötet för ett par veckor sedan! Välkomna till distans-möte nummer 3 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter diskutera frågor om kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: torsdag 29 juni klockan 19:00. Vi siktar på att hålla på i upp till 90 minuter. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ En sammanfattning av förra mötet finns här: https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se…

2 2

eIDAS 2.0 och verifiable credentials
by Judith Kahrer 29 Jun '23

29 Jun '23

Hej, jag tänkte skicka ut lite vart elegitimationer inom EU är på väg. https://ec.europa.eu/commission/presscorner/detail/en/QANDA_21_2664 https://digital-strategy.ec.europa.eu/en/library/european-digital-identity-… Det intressanta här är OpenID4VP, en högst aktuell specifikation: https://openid.net/specs/openid-connect-4-verifiable-presentations-1_0-ID1.… Kolla också det här blogginlägget för en introduktion: https://curity.io/blog/decentralized-dentifiersand-verifiable-credentials-b… (Sorry, menade inte göra någon reklam men jag hinner tyvärr inte med en privat blogg så då får den här duga.) Hälsningar, Judith

1 0

Sammanfattning av Öppet möte nr 2 om att bygga egen e-leg-lösning
by linus＠wallgren.eu 15 Jun '23

15 Jun '23

Hej, Jag tänkte sammanfatta mötet och vad vi diskuterade. - Ska vi ha ett öppet git-repo? Förra mötet kom det på förslag att använda codeberg[0] för projektet. Vi diskuterade om vi skulle börja använda codeberg på en gång men beslutade att vänta med beslutet i två veckor för att ge möjligheten att utvärdera de lösningar som finns. Här är de anteckningar vi tog kring hosting, verbatim: > - Codeberg > - Fri mjukvara > - Byggt på en Gitea-fork (Forgejo) > - Egen-hostad Gitea/Forgejo > - GitLab.com > - Hostad utanför EU > - Egen-hostad GitLab > - Kräver en del underhåll > - Gitolite + Gitweb > - Finns redan i (är känt av) DFRI > - Svårare för externa att se > - Gitolite är användarhantering och Gitweb ger web-frontend > - Kan använda cgit för web-frontend > - Egen-hostad? Vi diskuterade också vad för delar av lösningen vi behöver bygga/skapa och vilka lösningar vi eventuellt skulle kunna använda. Vi diskuterade även vilka flöden som behöver hanteras och vad som vore trevligt att ha. Det vi kom fram till i stort var att vi kan börja försöka använda mTLS[1] för autentiseringen för att slippa spendera tid på den delen av lösningen just nu. Vi kom också fram till att det är sannolikt att mTLS antagligen inte kommer fungera i slutändan på grund av en rad begränsningar. Vi diskuterade även hur vi ska hantera borttappade e-leg och kom fram till att det är ytterst viktigt att vi gör det. Vi diskuterade även hur det skulle gå till rent tekniskt (CRL[2]) samt praktiskt (hur kan jag spärra mitt e-leg utan ett e-leg?). Slutligen diskuterade vi vad som bör ingå i e-legitimationen och det fanns mycket idéer på vad man skulle kunna göra men att det är rimligt att endast börja med ett ID-nummer (personnummer eller samordningsnummer). Vi har tagit anteckningar från mötet och kommer publicera dem på den git-forge vi beslutar vid nästa möte. Nästa möte är 2023-06-29 1900 - 2030. Tills dess uppmuntrar jag er att diskutera val av git forge och om något är oklart eller ni vill veta mer är det bara fråga. Ha en bra dag! Linus [0]: https://codeberg.org/ [1]: https://en.wikipedia.org/wiki/Mutual_authentication#mTLS [2]: https://en.wikipedia.org/wiki/Certificate_revocation_list On Thu, Jun 15, 2023 at 06:20:17PM +0200, Elias Rudberg wrote: > Hej, kom ihåg mötet ikväll klockan 19, hoppas vi ses då! > > https://jitsi.eliasrudberg.se/e-id-meeting > > / Elias > > > -------- Forwarded Message -------- > From: Elias Rudberg <mail(a)eliasrudberg.se> > To: eleg-projekt(a)lists.dfri.se > Subject: [Eleg-projekt] Re: Välkomna på öppet möte nr 2 om att bygga > egen e-leg-lösning, 15 juni klockan 19 > Date: Thu, 15 Jun 2023 13:54:32 +0200 > > Hej, påminner om mötet ikväll, se nedan. Vi ses då! > > OBS alla är välkomna, även ni som missade förra mötet, ta chansen att > vara med nu. Välkomna! > > / Elias > > > On Mon, 2023-06-12 at 23:27 +0200, Elias Rudberg wrote: > > Hej, > > > > Tack till alla som var med på förra mötet för ett par veckor sedan! > > > > Välkomna till distans-möte nummer 2 om hur vi kan bygga en egen > > decentraliserad lösning för fri och öppen e-legitimation. Vi > > fortsätter > > diskutera frågor om kravspecifikation, design och implementation av > > de > > olika komponenter som kommer behövas. > > > > Tid: torsdag 15 juni klockan 19:00. Vi siktar på att hålla på i upp > > till två timmar. > > > > Plats: https://jitsi.eliasrudberg.se/e-id-meeting > > > > Alla är välkomna, både ni som var med på förra mötet och alla nya som > > vill vara med och diskutera och hjälpa till med det här. > > > > Välkomna! > > > > Vänliga hälsningar > > Projektets styrgrupp genom Elias > > > > PS > > Läs gärna om projektet här: > > https://www.dfri.se/projekt/e-legitimation/ > > > > _______________________________________________ > > Eleg-projekt mailing list -- eleg-projekt(a)lists.dfri.se > > To unsubscribe send an email to eleg-projekt-leave(a)lists.dfri.se > > _______________________________________________ > Eleg-projekt mailing list -- eleg-projekt(a)lists.dfri.se > To unsubscribe send an email to eleg-projekt-leave(a)lists.dfri.se >

1 0

Välkomna på öppet möte nr 2 om att bygga egen e-leg-lösning, 15 juni klockan 19
by Elias Rudberg 15 Jun '23

15 Jun '23

Hej, Tack till alla som var med på förra mötet för ett par veckor sedan! Välkomna till distans-möte nummer 2 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter diskutera frågor om kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: torsdag 15 juni klockan 19:00. Vi siktar på att hålla på i upp till två timmar. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Alla är välkomna, både ni som var med på förra mötet och alla nya som vill vara med och diskutera och hjälpa till med det här. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/

1 1

Välkomna på öppet möte om att bygga egen e-leg-lösning, 1 juni klockan 19
by Elias Rudberg 31 May '23

31 May '23

Hej! Välkomna till ett distans-möte om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi tar upp frågor om kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: torsdag 1 juni klockan 19:00. Vi siktar på att hålla på i upp till två timmar. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Alla är välkomna, både ni som redan varit aktiva på mejllistan och alla nya som vill vara med och diskutera det här. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/

1 1

Ska vårt projekt skapa en egen decentraliserad e-leg-lösning?,
by Elias Rudberg 24 Apr '23

24 Apr '23

Hej alla på eleg-projekt-listan! Efter DIGG-rapporten[1] som kom i slutet av januari har vi i styrgruppen för projektet funderat och kommit fram till ett förslag som vi beskriver nedan. Vi skulle inom ramen för den här e-postlistan kunna utveckla en teknisk lösning som illustrerar id-växling, en viktig egenskap hos rapportens förslag utifrån decentralisering. Målet skulle vara att vår lösning ska bli en godkänd e-legitimation. Vad tycker ni, ska vi göra detta? Och vilka kan tänka sig att vara med och hjälpa till? Det går inte att veta säkert i det här läget, men det är stor chans att DIGGs förslag kommer bli verklighet, inte minst med tanke på krav som kommer i samband med eIDAS2 på EU-nivån, där ett e-leg enligt DIGGs förslag kommer att kunna hjälpa Sverige att klara kraven. DFRI:s e-legitimationsprojekts syfte har ju tidigare sammanfattats i form av fyra punkter: - fri och öppen programvara - öppen specifikation - tillgänglighet - decentralisering När man läser DIGGs rapport med de utgångspunkterna är rapporten bra på flera sätt. Bland annat är det bra att lösningen föreslås bli tillgänglig även för personer med samordningsnummer, man begränsar sig alltså inte till bara de som har personnummer. Det är också positivt att DIGGs förslag baseras på öppna standarder. Det bör alltså bli möjligt att bygga klientsidan med helt och hållet fri programvara (öppen källkod). Samtidigt finns en nackdel i att det som föreslås verkar vara ett i huvudsak centraliserat system; varje gång man använder sin e- legitimation kommer information om användandet att skickas till ett centralt system. Vi på listan vill ju ha en decentraliserad lösning, så på den punkten kan vi inte vara helt nöjda med DIGGs förslag. Rapporten öppnar dock upp för att det bör vara möjligt att använda den statliga e-legitimationen för övergång till ett annat system. Det nämns i DIGG-rapporten bland annat på följande ställen: Sidan 14: "Digg anser att den statliga e-legitimationen ska finnas med som en del i det ekosystem som byggts upp under lång tid. Den statliga e- legitimationen ska utgöra ett komplement och en möjlighet att växla över till andras lösningar, inte en konkurrent eller ersättare." Sidan 31: "Digg ser också den föreslagna lösningen som en instegslösning. Den statliga e-legitimationen kan utgöra ett sätt att skaffa andra e- legitimationer, genom så kallad id-växling." Med tanke på DIGG-förslagets för- och nackdelar tänker vi att vi inom vårt projekt skulle kunna utveckla en fri och decentraliserad lösning, där vi skulle kunna lösa "onboarding" till vårt system med hjälp av den kommande statliga e-legitimationen. Kommunikation till det centrala statliga systemet skulle då bara behövas vid utfärdandet av vår e- legitimation, när man sedan använder den för att legitimera sig skulle det kunna fungera decentraliserat. DIGGs förslag kan enligt rapporten bli verklighet om två år. Därmed försvinner det som tidigare varit det största hindret för oss att göra något eget. Det har ju tidigare varit nödvändigt att ha en komplicerad och dyr hantering för utfärdande. Ett system från vårt e-legitimationsprojekt skulle kunna utveckla en lösning som går att testa och visa upp redan innan den statliga lösningen finns på plats. Den kan på ett trovärdigt sätt visar hur id- växling från den statliga lösningen kommer att kunna användas. Under tiden fram till att den statliga lösningen finns på plats, kan vi göra utfärdande på ett annat sätt i demo-syfte och vi kan då visa hur vår lösning fungerar för olika användnings-fall, inte minst kan vi då understryka fördelarna med decentralisering. Målet skulle vara att vår lösning ska bli en godkänd e-legitimation, även om vägen dit förstås går via att ha något fungerande även om det inte är formellt godkänt ännu. Vad tycker ni, ska vi göra detta? Om vi ska göra det, vilka kan tänka sig att vara med och hjälpa till med kravspecifikation, design och implementation av de olika komponenter som kommer behövas? Vänliga hälsningar Styrgruppen Gustav, Cynthia och Elias [1] https://www.digg.se/analys-och-uppfoljning/publikationer/publikationer/2023…

6 5

2025

2024

2023

2022

2021

Eleg-projekt