- Eleg-projekt

Välkomna på öppet möte nr 21 om att bygga egen e-leg-lösning, 9 sept klockan 18
by Elias Rudberg 04 Sep '24

04 Sep '24

Hej! Välkomna till distans-möte nummer 21 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 9 september 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Kontakt med DIGG om statlig e-legitimation? - Använda tokens för att hantera inlogg/utloggning? - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Arbetsfördelning Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

1 0

Information från DIGG om statlig e-legitimation
by Elias Rudberg 03 Sep '24

03 Sep '24

Hej eleg-projekt-listan! Myndigheten för digital förvaltning (DIGG) har skrivit lite om deras arbete med statlig e-legitimation, verkar ha uppdaterats ganska nyligen, juli 2024 nämns: https://www.digg.se/digitala-tjanster/e-legitimering/statlig-e-legitimation Bland annat står det: "Digg bedriver regeringsuppdraget som ett projekt och med olika aktiviteter indelade i delprojekt. Några delar startade parallellt redan från den 1 januari, medan andra delar kommer starta senare för att invänta resultaten från tidigare faser. I fokus just nu är att utveckla den tekniska lösningen och att säkerställa att den efterlever de säkerhetskrav som EU ställer upp. Digg har utvecklat en prototyp i syfte att testa olika teknikval och design- och tillgänglighetsaspekter. Parallellt pågår ett arbete med att upprätta interna processer och rutiner för säkerhet." "Projektet övergick från en analysfas till en genomförandefas i juli 2024." En sak jag inte lyckats begripa är om riksdagen fattat beslut om de lagändringar som utredningarna föreslagit, eller om det är något som återstår och som i så fall kan försena alltihop. Någon här på listan som vet? Jag har i alla fall mejlat till DIGG för att försöka få svar på det. / Elias

2 1

OpenPGP-kort, vad är det och hur skaffar man ett sånt?
by Elias Rudberg 14 Aug '24

14 Aug '24

Hej! På mötet i måndags kom frågan upp om vad ett "OpenPGP-kort" egentligen är och hur man kan skaffa ett sådant. Här står lite om vad det är för något: https://en.wikipedia.org/wiki/OpenPGP_card Poängen är att man kan ha sin privata nyckel säkert lagrad i ett sånt kort, det går då inte att kopiera ut nyckeln därifrån vilket är bra för säkerhet: så länge du själv har koll på det fysiska kortet vet du att ingen annan har din privata nyckel. Här är några ställen jag hittat där det verkar gå att köpa OpenPGP-kort: https://en.cryptoshop.com/products/smartcards/open-pgp-smartcard-v2.html https://www.floss-shop.de/en/security-privacy/smartcards/13/openpgp-smart-c… https://shop.puri.sm/shop/purism-openpgp-card/ Någon som vet om det finns någon butik i Sverige som säljer OpenPGP-kort? / Elias

1 0

Sammanfattning av öppet möte nr 20 om att bygga egen e-leg-lösning, 12 aug 2024
by Elias Rudberg 14 Aug '24

14 Aug '24

Sammanfattning av öppet möte nr 20 om att bygga egen e-leg-lösning, 12 augusti 2024: - Implementation av en första version av CA-programvara för utgivaren Status: implementation finns och fungerar, använder inte hårdvarunyckel (ännu). - Fortsättning av test med nginx, lägga till revokeringslista Vi ska testa arbetsflödet, skapa (utfärda) några certifikat, återkalla ett se att det stämmer, att revokeringslistan fungerar vid efterföljande inloggningsförsök. En FAQ-fråga har förberetts om det, "Hur gör jag för att testa vissa komponenter?" även om visa delar är utkommenterade. Några personer på mötet ställde upp som testare, så vi kan testa att utfärda certifikat till dem och sedan återkalla. - OpenPGP-kort, hårdvarunycklar osv. Status: inget nytt sedan förra mötet: det funkar med YubiKey, vi vill gärna få till det med generellt OpenPGP-kort också. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. Arbete med en FAQ-sida pågår, det senaste är uppdelning i avdelningar och fler externa länkar, vi tittade på ett utkast till hur FAQ-sidan kan se ut. Arbetet fortsätter. - Projektets mejllista, ändra "Reply-To"? DFRI använder Mailman3 för mejllistorna och listan beter sig nu enligt default-beteendet som Mailman3 har. Vi diskuterade lite kring det och för- och nackdelar med reply- beteendet, ska till att börja med pröva att ändra någon inställning. - När blir nästa möte? Nästa möte: mån 9 sept klockan 18 Nästa möte blir måndagen 2024-09-09 klockan 18 till 19 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PS 2 Alla som är intresserade är välkomna att höra av sig via projektets mejllista

1 0

Välkomna på öppet möte nr 20 om att bygga egen e-leg-lösning, 12 aug klockan 18
by Elias Rudberg 11 Aug '24

11 Aug '24

Hej! Välkomna till distans-möte nummer 20 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 12 augusti 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Projektets mejllista, ändra "Reply-To"? - Arbetsfördelning Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

1 0

Förslag: Ändra Reply-To till listan
by Thomas Svensson 24 Jul '24

24 Jul '24

Hej listan 🖖 När jag skulle svara på Elias post till listan idag, så var det i sista sekunden jag upptäckte att klicka *svara* innebar att jag mejlade direkt till Elias och inte till listan. För att ändra till svara till listan behövde jag klicka *svara alla*, sedan ta bort Elias mejladress och flytta listans från CC-fältet till To-fältet. Från ett UX-perspektiv (jupp jag är UX-nörd också :)) så är ju det något bökigt, och åtminstone kommer jag nog nästan alltid att vilja svara till listan. Vilket innebär att jag måste komma ihåg att klicka *svara alla* och sedan pilla om adresserna varje gång. Enligt Reply to list i mailman dokumentationen <https://docs.mailman3.org/projects/mailman/en/latest/src/mailman/handlers/d…> så går det att ändra så att klicka *svara* räcker för att svara till listan. Jag mejlade Elias och frågade om det är möjligt att ändra, och vi kom fram till att kolla med er övriga om det är något ni också är med på. Så vad tycker ni. Är ni med på att förenkla svara till listan på sättet jag beskriver ovan? /thomas @tsvenson <https://mastodon.online/@tsvenson>

7 6

OCSP vs CRL
by hmw.qayem＠aleeas.com 23 Jul '24

23 Jul '24

Blev uppmärksammad på denna artikel idag: https://letsencrypt.org/2024/07/23/replacing-ocsp-with-crls.html "We recommend that anyone relying on OCSP services today start the process of ending that reliance as soon as possible." Jag har inga preferenser åt varken det ena eller andra hållet, men det här talar onekligen *mot* OCSP. //Magnus

1 0

Sammanfattning av öppet möte nr 19 om att bygga egen e-leg-lösning, 22 juli 2024
by Elias Rudberg 23 Jul '24

23 Jul '24

Sammanfattning av öppet möte nr 19 om att bygga egen e-leg-lösning, 22 juli 2024: - Implementation av en första version av CA-programvara för utgivaren Status: implementation finns och fungerar, använder inte hårdvarunyckel (ännu). - Fortsättning av test med nginx, lägga till revokeringslista Enkel proof-of-concept "förlitande part" finns med nginx+gunicorn+flask [1], en sak som bör läggas till där är att använda revokeringslista. Fler test-personer vore bra, ni som vill vara med och testa något uppmuntras att höra av er. - OpenPGP-kort, hårdvarunycklar osv, YubiKey som exempel Viktigt att inte vara låst till någon viss lösning men vill samtidigt visa konkreta exempel på hur en användare kan göra. Ett exempel kan vara Yubikey [2] men vi vill gärna kunna visa hur det kan fungera med vanligt OpenPGP-kort också, för att ha åtminstone två exempel att visa: OpenPGP-kort och yubikey. Bra med fler än ett exempel för att undvika att någon tror att lösningen är låst till en viss typ av hårdvarunyckel. (Tillitis TKey är också en möjlighet, som diskuterats här på mejllistan tidigare.) Något motsvarande [3] men med OpenPGP-kort istället för yubikey hade varit fint. Standarden PKCS11 verkar bra att använda, standard för operationer mot någon form av key-storage som kan vara i form av ett smartkort eller annan lösning. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. Arbete med vanliga frågor och svar (FAQ) fortsätter, flera har hjälpt till. Syftet är nu också på plats i inledningen som grund för alla frågorna och svaren. Interna referenser har blivit ytterligare fler för att inte upprepa text men ändå täcka in fler frågor. Så nästa stora steg är att få in bilder från arbetsflödena på ett stabilt sätt samt lite mer luft mellan stycken i inledningen och andra lite längre textavsnitt. Ett antal frågor har tillkommit, och några utvecklats. - Arbetsfördelning Vi hann inte säga mycket om det, blir nog ungefär som tidigare. - När blir nästa möte? Nästa möte blir måndagen 2024-08-12 klockan 18 till 19 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias [1] https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… [2] https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… [3] https://johanfagerstroem.github.io/2021/https-client-certificates-with-yubi… PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PS 2 Alla som är intresserade är välkomna att höra av sig via projektets mejllista

3 2

Välkomna på öppet möte nr 19 om att bygga egen e-leg-lösning, 22 juli klockan 18
by Elias Rudberg 21 Jul '24

21 Jul '24

Hej! Välkomna till distans-möte nummer 19 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 22 juli 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv, YubiKey som exempel - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Arbetsfördelning Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

1 0

Hur användare kan ha sin privata nyckel i en Yubikey, ykman piv generate-key, ykman piv generate-csr osv.
by Elias Rudberg 07 Jul '24

07 Jul '24

Hej eleg-projekt-listan! Här är ett sätt som verkar fungera för en användare som väljer att ha sin privata nyckel i en Yubikey. Baserat på bland annat de här två: "HTTPS client certificates using Yubikeys" - https://johanfagerstroem.github.io/2021/https-client-certificates-with-yubi… "cURL Authentication using certificates from smartcard" - https://qwerty1q2w.medium.com/performing-client-authentication-in-curl-usin… Vi tänker oss medborgaren Alice som kör Debian på sin dator. Alice vill få ett e-id utfärdat till sig och hon vill använda en Yubikey för sin privata nyckel. Alice installerar följande, vanliga debian-paket: sudo apt install opensc libengine-pkcs11-openssl gnutls-bin sudo apt install ykcs11 sudo apt install yubikey-manager sudo apt install yubico-piv-tool När yubikeyn sitter i datorn ska det gå att se den med följande kommando: ykman info Då visas serienummer mm. för Yubikeyn. Sen kan Alice skapa ett nyckelpar där den privata nyckeln skapas på yubikeyn: ykman piv generate-key 9a alice.pub Skapa certificate signing request (CSR): ykman piv generate-csr -s alice 9a alice.pub alice.csr Då skapas filen alice.csr som Alice ger till utfärdaren, som i sin tur utfärdar ett personligt certifikat till Alice (det gör utfärdaren med hjälp CA-programvaran som vi diskuterat tidigare). Alice får sen sin certifikat-fil från utfärdaren, i detta exempel heter filen eid_200007171717.crt.pem och 200007171717 är Alice personnummer i det här testet. Nu kan hon importera certifikat-filen in till yubikeyn: ykman piv import-certificate 9a eid_200007171717.crt.pem Sen är det klart, Alice har sitt certifikat och sin privata nyckel i sin yubikey. Nu kan Alice använda sitt certifikat för att ansluta till test-sidan https://eid-test-2.eliasrudberg.se/ Två varianter av hur det kan göras: med curl eller Firefox Alternativ 1: curl Kör först "p11tool --list-tokens" för att få fram vilken "URL" som gäller för yubikeyn, det ser ut såhär: $ p11tool --list-tokens [...] Token 1: URL: <här står URL-strängen> Label: PIV_II Type: Hardware token Flags: RNG, Requires login Manufacturer: piv_II Model: PKCS#15 emulated Serial: [...] Module: opensc-pkcs11.so Den där "URL" ser ut ungefär såhär: "pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=...;token=PIV_II" Anslut sedan med curl på följande vis, där $url är den URL som visades av "p11tool --list-tokens" ovan: curl -E $url https://eid-test-2.eliasrudberg.se/ --> då kommer en fråga om PIN-koden för yubikeyn: "Enter PKCS#11 token PIN for PIV_II:" och när man fyllt i den kommer man fram: Hej! personnummer = 200007171717 Den texten, "Hej! personnummer = 200007171717", är alltså det som testsidan https://eid-test-2.eliasrudberg.se/ svarar med, så det betyder att det hela fungerar. Alternativ 2: Firefox Inställningar i Firefox: Settings --> Privacy & Security --> Certificates --> Knappen "Security Devices..." --> Knappen "Load" --> Skriv ett valfritt Module Name och ange Module filename /usr/lib/x86_64-linux-gnu/libykcs11.so --> Starta om Firefox och kolla "Security Devices..." igen för att se att den nya syns där, med namnet du satte. När man sen går till https://eid-test-2.eliasrudberg.se/ i Firefox kommer en fråga om PIN-kod för yubikeyn och sen en ruta som säger: "This site has requested that you identify yourself with a certificate" och "Choose a certificate to present as identification" och en lista där det bara finns ett cert att välja, "Stored on Yubikey PIV #[...]". Väljer man det så fungerar sidan och visar det den ska, alltså "Hej! personnummer = 200007171717" Så det verkar fungera, både med curl och med Firefox. Hittills har bara jag själv testat det det här, alltså jag är "Alice" i testet och testar med en yubikey jag har på en dator jag har. Fler testare vore bra. Vi har några till yubikeys för test, jag kan skicka en till den som vill testa, säg bara till. Vad tror ni om det här, verkar ovanstående vettigt? Har jag tänkt fel någonstans eller missat något, finns enklare och/eller bättre sätt? Vad krävs för att kunna göra motsvarande med andra typer av "Hardware token" än just yubikey? / Elias

1 0