- Eleg-projekt

Anggående möte med DIGG i eftermiddag
by Tim Sandgren 30 Sep '24

30 Sep '24

Hej alla, Nu kanske detta kommer iväg lite sent, men jag tänkte ändå skriva ett par frågor som kunde vara bra att ställa till DIGG så småningom: För det första så skulle det vara bra att veta om e-legitimationen kan förverkligas i samverkan mellan flera organisationer. Så som jag läste texten nu i länken jag fick från Elias: https://www.digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-le… så är det skrivet som att en organisation ensam ska ge ut. Det behöver också vara en stort företag som har gott om pengar så som jag tolker texten. Så frågan är om det kunde gå att istället ge ut legitimationen i ett öppet samverkansprojekt där flera intressenter tillsammans kan se till att uppfylla kraven i ISO 27001. Polismyndigheten kunde i sådana fall bli en viktig intressent, liksom även föreningen DFRI. Det var mitt förslag på fråga! / Tim

1 0

Möte med DIGG planerat till imorgon eftermiddag, föreslå gärna frågor att ställa
by Elias Rudberg 30 Sep '24

30 Sep '24

Hej! Det har blivit så att samtidigt som DIGG säger att de inte längre är ansvariga för att bygga den kommande statliga e-legitimationen så har vi ändå fått inbokat ett möte med dem. Inte säkert att det blir av men förhoppningsvis ska det bli imorgon eftermiddag, alltså 30 september, eftermiddagen samma dag när vi sen har vårt projektmöte på kvällen. Planen är att Cynthia och jag ska vara med på mötet med DIGG och vi ska försöka få klarhet i vad den nya situationen innebär, om det är så att alla planer från de tidigare utredningarna nu kastats i sopkorgen eller om det här att polisen ska ta över bara är en ändring av vem som gör jobbet och inte själva den tekniska lösningen i sig. Det viktigaste tänker jag är att lösningen måste vara baserad på öppen standard så att den inte är låst till vissa operativsystem och så att fri programvara kan användas, så det tänker jag ta upp och fråga om. Risken är att DIGG svarar att de inte vet och att det nu är helt upp till Polismyndigheten att bestämma hur det blir nu. Vi får se. Svara gärna med era tankar och förslag om vad vi borde ta upp på mötet med DIGG. / Elias

3 2

Välkomna på öppet möte nr 22 om att bygga egen e-leg-lösning, 30 sept klockan 18
by Elias Rudberg 29 Sep '24

29 Sep '24

Hej! Välkomna till distans-möte nummer 22 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 30 september 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Rapport från vårt möte med DIGG om statlig e-legitimation Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

3 2

DIGG avbryter sin utveckling av statlig e-legitmation. Polismyndigheten ska göra det istället
by Elias Rudberg 25 Sep '24

25 Sep '24

Hej alla på eleg-projekt-listan! Nya bud om den kommande statliga e-legitmation, det vi trodde oss veta om den processen verkar inte gälla längre. Det är inte längre Myndigheten för digital förvaltning (DIGG) som ska ta fram den statliga e-legitmation, enligt vad DIGG skriver här: https://www.digg.se/digitala-tjanster/e-legitimering/statlig-e-legitimation Där står bland annat följande: "Digg fick i uppdrag att under 2024 utveckla en statlig e-legitimation enligt utredningen en säker och tillgänglig statlig e-legitimation. I budgetpropositionen för 2025 föreslår regeringen att överföra utvecklingsuppdraget till Polismyndigheten istället. Detta för att undvika det delade ansvar mellan Digg och Polismyndigheten som utredningens förslag innebar." "Digg avbryter utvecklingsarbetet som riktar sig mot den statliga e-legitmationen." Det här verkar vara ny information som kommit senaste dagarna, budgetpropositionen kom i torsdags, den 19 september: https://regeringen.se/rattsliga-dokument/proposition/2024/09/prop.-2024251 Vet någon av er mer om det här, om varför regeringen plötsligt gör såhär och vad det kan komma att innebära? / Elias

4 5

Sammanfattning av öppet möte nr 21 om att bygga egen e-leg-lösning, 9 sept 2024
by Elias Rudberg 10 Sep '24

10 Sep '24

Sammanfattning av öppet möte nr 21 om att bygga egen e-leg-lösning, 9 september 2024: Tack till alla som var med på mötet! - Kontakt med DIGG om statlig e-legitimation? Det finns möjlighet att lämna synpunkter på "SOU 2024:45 Kompletterande bestämmelser till EU:s reviderade förordning om elektronisk identifiering" senast den 1 november 2024 [1]. Se även vad Mattias skrev om det förra veckan [2]. DIGG säger att de gjort en övergång från förberedelse till implementationsfas, men samtidigt finns inget beslut ännu, så vi behöver försöka få in våra synpunkter till DIGG före 1a nov. Vi siktar på att försöka få till ett möte med DIGG, antingen digitalt eller fysiskt. Om de inte kan eller vill träffa oss, bör vi ändå skicka in något skriftligt. - Använda tokens för att hantera inlogg/utloggning? Vår prototyp som finns idag (https://codeberg.org/DFRI-eID/dfri-eid) som ju använder mTLS fungerar ju för att skydda en anslutning, men det är kanske inte så bra användargränssnitt och inte så bra hantering av när en anslutning öppnas och stängs, hur man loggar ut. T.ex. kan det vara ett problem om samma dator används av flera personer, vi behöver då säga att man ska stänga webbläsaren för att vara säkert utloggad vilket inte är så elegant. Fördelen med mTLS är att då är klient-sidan "redan klar", inget arbete behövs där. Vi diskuterade lite kring detta och kom fram till att för att ha enklast möjliga första version, en "minimum viable product" (MVP) som är så enkel som möjligt, siktar vi fortfarande på mTLS, men att det samtidigt är intressant att titta på hur lösningen kan förbättras senare. Vi kan komma till ett läge där vi kan visa en fungerande MVP med mTLS som kan vara klar snart, och samtidigt ha planer för kommande förbättringar som kanske inte blir klara förrän längre fram. Utöver bättre hantering av utloggning kan signering av saker kan vara bra att kunna hantera. En bra sak med att börja med mTLS är att man sen kan ha samma certifikat senare när man skapar en lösning som kan hantera mer, som signering mm. - Implementation av en första version av CA-programvara för utgivaren Den delen som är kvar där är att utgivaren ska kunna använda en hårdvarunyckel (OpenPGP-kort, yubikey eller liknande), den biten är inte klar ännu. - Fortsättning av test med nginx, lägga till revokeringslista Återkallning har testats med hjälp av CRL-fil, verkar fungera. Förlitande part måste uppdatera revokeringslistan med jämna mellanrum. Alla som vill testa får gärna testa själva, eller höra av sig så att vi kan testa tillsammans. Vem som helst kan testa att agera vilken som helst av de olika rollerna utgivare (CA), eller förlitande part, eller klient. - OpenPGP-kort, hårdvarunycklar osv. Status: inget nytt sedan förra mötet: det funkar med YubiKey [3], vi vill gärna få till det med generellt OpenPGP-kort också. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. Det jobbas vidare med detta, en sak som fortfarande saknas är längre beskrivningar av saker, och bilder. Det nämndes att med "mermaid" kan man skapa illustrationer i markdown [4]. - När blir nästa möte? Nästa möte blir måndagen 2024-09-30 klockan 18 till 19 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias [1] https://www.regeringen.se/remisser/2024/07/remiss-av-sou-202445-komplettera… [2] https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… [3] https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… [4] https://mermaid.js.org/syntax/sequenceDiagram.html PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PS 2 Alla som är intresserade är välkomna att höra av sig via projektets mejllista

1 0

Välkomna på öppet möte nr 21 om att bygga egen e-leg-lösning, 9 sept klockan 18
by Elias Rudberg 04 Sep '24

04 Sep '24

Hej! Välkomna till distans-möte nummer 21 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 9 september 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Kontakt med DIGG om statlig e-legitimation? - Använda tokens för att hantera inlogg/utloggning? - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Arbetsfördelning Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

1 0

Information från DIGG om statlig e-legitimation
by Elias Rudberg 03 Sep '24

03 Sep '24

Hej eleg-projekt-listan! Myndigheten för digital förvaltning (DIGG) har skrivit lite om deras arbete med statlig e-legitimation, verkar ha uppdaterats ganska nyligen, juli 2024 nämns: https://www.digg.se/digitala-tjanster/e-legitimering/statlig-e-legitimation Bland annat står det: "Digg bedriver regeringsuppdraget som ett projekt och med olika aktiviteter indelade i delprojekt. Några delar startade parallellt redan från den 1 januari, medan andra delar kommer starta senare för att invänta resultaten från tidigare faser. I fokus just nu är att utveckla den tekniska lösningen och att säkerställa att den efterlever de säkerhetskrav som EU ställer upp. Digg har utvecklat en prototyp i syfte att testa olika teknikval och design- och tillgänglighetsaspekter. Parallellt pågår ett arbete med att upprätta interna processer och rutiner för säkerhet." "Projektet övergick från en analysfas till en genomförandefas i juli 2024." En sak jag inte lyckats begripa är om riksdagen fattat beslut om de lagändringar som utredningarna föreslagit, eller om det är något som återstår och som i så fall kan försena alltihop. Någon här på listan som vet? Jag har i alla fall mejlat till DIGG för att försöka få svar på det. / Elias

2 1

OpenPGP-kort, vad är det och hur skaffar man ett sånt?
by Elias Rudberg 14 Aug '24

14 Aug '24

Hej! På mötet i måndags kom frågan upp om vad ett "OpenPGP-kort" egentligen är och hur man kan skaffa ett sådant. Här står lite om vad det är för något: https://en.wikipedia.org/wiki/OpenPGP_card Poängen är att man kan ha sin privata nyckel säkert lagrad i ett sånt kort, det går då inte att kopiera ut nyckeln därifrån vilket är bra för säkerhet: så länge du själv har koll på det fysiska kortet vet du att ingen annan har din privata nyckel. Här är några ställen jag hittat där det verkar gå att köpa OpenPGP-kort: https://en.cryptoshop.com/products/smartcards/open-pgp-smartcard-v2.html https://www.floss-shop.de/en/security-privacy/smartcards/13/openpgp-smart-c… https://shop.puri.sm/shop/purism-openpgp-card/ Någon som vet om det finns någon butik i Sverige som säljer OpenPGP-kort? / Elias

1 0

Sammanfattning av öppet möte nr 20 om att bygga egen e-leg-lösning, 12 aug 2024
by Elias Rudberg 14 Aug '24

14 Aug '24

Sammanfattning av öppet möte nr 20 om att bygga egen e-leg-lösning, 12 augusti 2024: - Implementation av en första version av CA-programvara för utgivaren Status: implementation finns och fungerar, använder inte hårdvarunyckel (ännu). - Fortsättning av test med nginx, lägga till revokeringslista Vi ska testa arbetsflödet, skapa (utfärda) några certifikat, återkalla ett se att det stämmer, att revokeringslistan fungerar vid efterföljande inloggningsförsök. En FAQ-fråga har förberetts om det, "Hur gör jag för att testa vissa komponenter?" även om visa delar är utkommenterade. Några personer på mötet ställde upp som testare, så vi kan testa att utfärda certifikat till dem och sedan återkalla. - OpenPGP-kort, hårdvarunycklar osv. Status: inget nytt sedan förra mötet: det funkar med YubiKey, vi vill gärna få till det med generellt OpenPGP-kort också. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. Arbete med en FAQ-sida pågår, det senaste är uppdelning i avdelningar och fler externa länkar, vi tittade på ett utkast till hur FAQ-sidan kan se ut. Arbetet fortsätter. - Projektets mejllista, ändra "Reply-To"? DFRI använder Mailman3 för mejllistorna och listan beter sig nu enligt default-beteendet som Mailman3 har. Vi diskuterade lite kring det och för- och nackdelar med reply- beteendet, ska till att börja med pröva att ändra någon inställning. - När blir nästa möte? Nästa möte: mån 9 sept klockan 18 Nästa möte blir måndagen 2024-09-09 klockan 18 till 19 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PS 2 Alla som är intresserade är välkomna att höra av sig via projektets mejllista

1 0

Välkomna på öppet möte nr 20 om att bygga egen e-leg-lösning, 12 aug klockan 18
by Elias Rudberg 11 Aug '24

11 Aug '24

Hej! Välkomna till distans-möte nummer 20 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design och implementation av de olika komponenter som kommer behövas. Tid: måndag 12 augusti 2024 klockan 18:00. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.eliasrudberg.se/e-id-meeting Förslag till agenda: - Implementation av en första version av CA-programvara för utgivaren - Fortsättning av test med nginx, lägga till revokeringslista - OpenPGP-kort, hårdvarunycklar osv. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. - Projektets mejllista, ändra "Reply-To"? - Arbetsfördelning Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan om du har frågor eller funderingar inför mötet. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias

1 0