Sammanfattning av öppet möte nr 6 om att bygga egen e-leg-lösning, 7 september 2023:
- Plan: vi gör en proof-of-concept med mutual TLS (mTLS)
Vi fortsätter jobba mot detta, med X.509-certifikat.
- Implementation av en första version av CA-programvara för utgivaren
Detta är på gång. Test kan göras med nginx reverse proxy med mTLS. Har valt att lägga personnumret på ett sätt som blir lätt att hantera med nginx. Extraherar till Header-fält. Ej verifierad användare får nu HTTP 401 (Not authorized) svarskod.
Utgivaren behöver också tillhandahålla en revokeringslista (CRL) så att certifikat (e-leg) kan återkallas vid behov, och förlitande part måste kolla av mot en tillräckligt nyligen uppdaterad giltig revokeringslista.
- Vad användaren behöver göra
Första steget för en användare är att skapa sitt nyckelpar, därefter skapa certificate signing request (CSR) som ges till utgivaren. Användaren får då sitt certifikat (e-leg) av utgivaren. Efter det kan användaren använda sin privata nyckel och e-leg med hjälp av mTLS. Det kan gå till så att användaren installerar sitt certifikat i sin webbläsare och därefter besöker en webbsida hos en förlitande part som då kan verifiera användarens identitet.
- Vad förlitande part behöver göra
Använd webbserver-programvara med stöd för mTLS, till exempel nginx har detta. Lägg in utgivarens (CA) certifikat för att kunna verifiera användares e-leg. Se till att kontroll alltid görs mot revokeringslista så att återkallade e-leg hanteras rätt.
- Förbereda testfall för olika scenarion
Utöver specifikation, källkod och beskrivning av arbetsflöden siktar vi på att också ta fram en uppsättning olika testfall för olika scenarion. Till exempel: giltigt certifikat, utgånget certifikat, återkallat certifikat, för gammal revokeringslista, osv. Detta för att lättare kunna testa att olika scenarion hanteras rätt.
- Arbetsfördelning
Vi har delat upp det så att någon jobbar med CA-programvara för utgivaren och andra jobbar med beskrivningar av arbetsflöden.
- Nästa möte
Nästa möte är 2023-10-05 klockan 19:00 - 20:30.
Alla är välkomna att vara med då! OBS även du som inte varit med förut är mycket välkommen att vara med.
/ Elias