Sammanfattning av öppet möte nr 26 om att bygga egen e-leg-lösning, 13 jan 2025
Sammanfattning av öppet möte nr 26 om att bygga egen e-leg-lösning, 13 jan 2025: Tack till alla som var med på mötet! - Implementation av en första version av CA-programvara för utgivaren Christian har fixat med PR#5 och uppdaterat dokumentation. Se https://codeberg.org/DFRI-eID/dfri-eid och testa gärna på https://chn.bot.nu/cgi-bin/gencert.py - Fortsättning av test med nginx Se nästa punkt, Elias har testat med TPM men hittills inte fått det att fungera. TPM är testat på tre olika datorer, fått olika typer av fel. - OpenPGP-kort, hårdvarunycklar osv. Nitrokey? TPM2-chip i laptop? Tillitis TKey? Intressant att testa med olika typer av hårdvarunycklar. Inget klart än med tillitis TKey, använda som ssh-nyckel går bra. Vill gärna kunna använda flera olika hårdvarunycklar, så öppet som möjligt. - Beskrivningar av arbetsflöden för utfärdande, användning, återkallande osv. Leif-Jöran berättar vad som händer med relationen till eu-plånboken och framstegen med illustrationerna till FAQ:n. - Föredrag på SamNet-konferensen 1 april 2025 Vårt projekt var ju med på förra SamNet-konferensen och nu är det dags igen: "SamNet 3, 2025 - Tisdag den 1:e april 2025 - Save the date!" https://mailman.dfri.se/mailman3/hyperkitty/list/listan@lists.dfri.se/thread... ljo kan tänka sig att presentera den här gången! - Den kommande statliga e-legitimationen Andreas Pardeike var med på mötet och berättade att han jobbar hos Polismyndigheten med bland annat den statliga e-legitimationen, OBS dock att han pratade med oss bara som privatperson och inte som representant för myndigheten. Några saker Andreas berättade: En ganska stor grupp inom Polismyndigheten jobbar med det här nu och det finns mycket relevant kompetens i den gruppen. Grundkraven från eIDAS (EU) är viktiga. Inriktningen är troligen att ha driften helt i egen regi. De ser interoperabilitet som viktigt, vill inte ha inlåsning. Ett alternativ är att ha ett kort, kanske nationella id-kortet, som bärare av den statliga e-legitimationen. Dock inte säkert ännu hur det blir. De vill följa standarder. Vi tog upp problemet som finns idag med att folk i praktiken tvingas in till system ägda av Google/Apple/Microsoft och Andreas verkade förstå vad vi menade där och att det i princip inte är bra om folk tvingas använda Google/Apple/Microsoft. Att klienten skulle kunna vara öppen är inte uteslutet men för tidigt att säga hur det blir. Det är tidigt i polisens arbete med det här så mycket är inte bestämt ännu. Vi kan fortsätta ha kontakt med Andreas via mejl, skriv gärna här på mejllistan om saker som borde tas upp så kan vi samla ihop frågor och skicka till honom. - När blir nästa möte? Nästa möte blir måndagen 2025-02-10 klockan 18 till 19 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PS 2 Alla som är intresserade är välkomna att höra av sig via projektets mejllista
Elias Rudberg via Eleg-projekt <eleg-projekt@lists.dfri.se>, 2025-01-15 08:38 (+0100):
Andreas Pardeike var med på mötet och berättade att han jobbar hos Polismyndigheten med bland annat den statliga e-legitimationen, OBS dock att han pratade med oss bara som privatperson och inte som representant för myndigheten.
...
Vi tog upp problemet som finns idag med att folk i praktiken tvingas in till system ägda av Google/Apple/Microsoft och Andreas verkade förstå vad vi menade där och att det i princip inte är bra om folk tvingas använda Google/Apple/Microsoft. Att klienten skulle kunna vara öppen är inte uteslutet men för tidigt att säga hur det blir.
Fick ni någon klarhet i: 1) Vem som utvecklar apparna? Polisen eller DIGG? Någon helt annan? 2) Hur mycket av apparna som är baserad på EU:s referensimplementation: https://github.com/eu-digital-identity-wallet "Skulle kunna vara öppen", förresten? Det är väl ett lagkrav i eIDAS att klienten ska vara open source? Eller syftade du på något annat? /MC
Hej MC, Tack för bra frågor!
Fick ni någon klarhet i:
1) Vem som utvecklar apparna? Polisen eller DIGG? Någon helt annan?
Polisen ska göra allt nu, om jag förstått rätt. Jag antar att DIGG fortfarande kommer att ansvara för ramverket för e-legitimationer och att den nya statliga kommer att läggas till som ännu en av DIGG godkänd e-legitimation där, vid sidan av de existerande. Tyvärr hanns inte den frågan med på mötet, vi får försöka få svar på det senare.
2) Hur mycket av apparna som är baserad på EU:s referensimplementation:
Vet inte, det var inget som nämndes på mötet. OBS dock att "digital identity wallet" inte är samma sak som e-legitimationen, utan det är som jag förstått det två olika saker där den ena bygger på den andra. Alltså, till att börja med måste varje land ha en lösning för e-legitimation och det har Polisen fått i uppdrag att lösa nu. E-legitimationen är inte en "wallet" utan något mer grundläggande, man ska kunna ha och använda e-leg utan att någon "wallet" är inblandad. Sen, när varje land har en lösning för e-legitimation så ska det dessutom finnas en "digital identity wallet" som blir möjlig tack vare e-legitimationen. Alltså e-legitimationen gör att du kan bevisa vem du är, och då kan du kombinera det med att visa upp olika dokument (exempel: körkort) som du kan ha i din "digital identity wallet". Där verkar EU ha tänkt ungefär i linje med "Self-sovereign identity" (SSI), se https://en.wikipedia.org/wiki/Self-sovereign_identity Jag vet inte om Polisen jobbar med både att ta fram e-leg-lösningen och dessutom samtidigt med att ta fram en wallet, kanske är det så, men det är i alla fall olika saker.
"Skulle kunna vara öppen", förresten? Det är väl ett lagkrav i eIDAS att klienten ska vara open source? Eller syftade du på något annat?
Såvitt jag vet är det inget kvar i eIDAS att klienten ska vara open source. Vet du säkert att det är så? Om det är så är det jättebra, men jag trodde inte det var så. Den som vet ordentligt svar på detta får mycket gärna fylla i. Min bild av hur eIDAS är tänkt är att eIDAS sätter upp krav kring interoperabilitet mellan de olika ländernas lösningar, men att varje land självt får välja hur det landet löser problemet. Det är alltså öppenhet när det gäller hur systemen kommunicerar med varandra mellan länderna, men samtidigt är varje lands lösning inom det landet lite av en "svart låda" som kan innehålla stängda delar, kanske även stängda klientprogramvaror. Men jag kan ha fel här, den som vet mer om detta får mycket gärna hjälpa till med att reda ut det. Tack igen för frågorna, jag tänker att vi tar med dem och andra frågor och samlar ihop till ett mejl till Andreas snart och hoppas att vi på så vis kan få mer klarhet i de här sakerna. / Elias
Elias Rudberg via Eleg-projekt <eleg-projekt@lists.dfri.se>, 2025-01-15 12:47 (+0100):
1) Vem som utvecklar apparna? Polisen eller DIGG? Någon helt annan?
Polisen ska göra allt nu, om jag förstått rätt.
Jag hade fått för mig att Polisen skulle ge ut e-legitimationen, där detta betyder: ge ut ett aktivt kort med ett certifikat på, signerat av dem. Dessutom ska de tillhandahålla all infrastruktur och logistik som behövs för att dela ut sådana aktiva kort till folk som identifierar sig på något annat sätt, till exempel genom att visa upp pass eller nationellt ID-kort.
OBS dock att "digital identity wallet" inte är samma sak som e-legitimationen, utan det är som jag förstått det två olika saker där den ena bygger på den andra.
Absolut. Det ena är väl i Sverige ett aktivt kort (även känt som smartcard) med NFC. Det andra är minst en app, antagligen flera, som använder identiteten som ligger på kortet. Det jag är nyfiken på är framför allt på vilka som kommer utveckla apparna och för vilka plattformar de kommer göra det. Jag är också nyfiken på om det skulle vara OK att köra t ex referensapparna nedladdad från F-Droid istf nån blessed app. Eller rent av köra något på min vanliga hoj med en NFC-läsare. Jag är lite intresserad att blanda mig i mer om någon annan från eleg-projektet skulle vara intresserad att grotta ner sig i de här.
Alltså, till att börja med måste varje land ha en lösning för e-legitimation och det har Polisen fått i uppdrag att lösa nu. E-legitimationen är inte en "wallet" utan något mer grundläggande, man ska kunna ha och använda e-leg utan att någon "wallet" är inblandad.
Jag har fått för mig att det inte finns något krav på att man ska kunna *använda* den helt fristående. Hur skulle man kunna använda ett smartcard utan program som använder kortet? Sverige kommer att bli skyldiga att tillhandahålla minst ett program som man kan använda kortet med.
Såvitt jag vet är det inget kvar i eIDAS att klienten ska vara open source. Vet du säkert att det är så?
Ur eIDAS: https://www.eid.as/#article5a "Article 5 a - European Digital Identity Wallets (3) The source code of the application software components of European Digital Identity Wallets shall be open-source licensed. Member States may provide that, for duly justified reasons, the source code of specific components other than those installed on user devices shall not be disclosed." Dvs ja, klienten måste vara open source. Backend måste tyvärr inte vara det. Missade du mina tidigare brev om bland annat EUDI-talket på 38C3? /MC
On Jan 15, 2025, at 21:01, Michael Cardell Widerkrantz via Eleg-projekt <eleg-projekt@lists.dfri.se> wrote:
Det ena är väl i Sverige ett aktivt kort (även känt som smartcard) med NFC. Det andra är minst en app, antagligen flera, som använder identiteten som ligger på kortet.
Den första behöver också en NFC läsare kopplade till enheten. Även nu finns ju många människor utan smartmobil, ofta den äldre, men även de som vill ha digital bortkoppling eller avstånd från det uppmarksamhetsfångande internetet. Andrew dalke@dalkescientific.com
Andrew Dalke <dalke@dalkescientific.com>, 2025-01-16 11:04 (+0100):
On Jan 15, 2025, at 21:01, Michael Cardell Widerkrantz via Eleg-projekt <eleg-projekt@lists.dfri.se> wrote:
Det ena är väl i Sverige ett aktivt kort (även känt som smartcard) med NFC. Det andra är minst en app, antagligen flera, som använder identiteten som ligger på kortet.
Den första behöver också en NFC läsare kopplade till enheten.
Det stämmer. Det var därför jag undrade i föregående brev om vi kunde få till så så vi kan använda kortet med vår vanliga dator med en NFC-läsare. Det är ju tråkigt om alla tvingas ha en tillräckligt modern smartphone med NFC. Ja, illa nog att köpa en extern NFC-läsare, förstås. Vore ju mycket trevligare om det fanns USB-tryne på den. Det är väl ganska rimligt att gissa att den EUID Wallet-app som kommer erbjudas i Sverige bara kommer bli för Android och iOS och finnas på Google Play och App Store. Jag skulle vilja undersöka: 1. Om det går, tekniskt och juridiskt, att använda den existerande referensimplementationen utan att knyta sig till exempelvis ett Google-konto. Sideload eller kanske så småningom F-Droid eller liknande. 2. Om vi kan bygga ihop något som kan fungera på en vanlig Linux-burk med NFC-läsare. Vad tycker ni? Ska vi försöka göra något sånt?
Även nu finns ju många människor utan smartmobil, ofta den äldre, men även de som vill ha digital bortkoppling eller avstånd från det uppmarksamhetsfångande internetet.
I just det senare, bortkopplade, fallet är det ju inte riktigt relevant med en elektronisk identitet som enbart är till för att användas online, gissar jag. För offline-identitet fortsätter de vanliga identitetsbärarna att fungera. /MC
On Jan 16, 2025, at 11:17, Michael Cardell Widerkrantz via Eleg-projekt <eleg-projekt@lists.dfri.se> wrote:
I just det senare, bortkopplade, fallet är det ju inte riktigt relevant med en elektronisk identitet som enbart är till för att användas online, gissar jag.
Jag tror att biblioteket eller nånstans liknade skulle ha datorer som kan används för att logga in med kortet. On Jan 16, 2025, at 11:17, Michael Cardell Widerkrantz via Eleg-projekt <eleg-projekt@lists.dfri.se> wrote:
Vad tycker ni? Ska vi försöka göra något sånt?
I princip, ja, fast jag är en Python/C utvecklare utan erfarenhet med hårdvarugränssnitt, eller att integrera med Firefox. Iaf, inte just nu. Jag måste förbereda mig till min föreläsning nästa månad om digital frihet. https://bibliotekenifyrstad.se/evenemang#/events/df8b4367-513c-4938-8957-78c... (!) Andrew dalke@dalkescientific.com
Andrew Dalke <dalke@dalkescientific.com>, 2025-01-16 12:22 (+0100):
Jag tror att biblioteket eller nånstans liknade skulle ha datorer som kan används för att logga in med kortet.
Det är en bra idé! Då krävs det, som sagt, att de datorerna har något program (eller kanske en browser extension) som kan använda kortet. Jag vill ta reda på om det ens finns några planer på att utveckla ett sådant program. Jag tror att svaret är nej. Där skulle vi kanske kunna göra skillnad. /MC
Hej MC!
OBS dock att "digital identity wallet" inte är samma sak som e-legitimationen, utan det är som jag förstått det två olika saker där den ena bygger på den andra.
Absolut. Det ena är väl i Sverige ett aktivt kort (även känt som smartcard) med NFC. Det andra är minst en app, antagligen flera, som använder identiteten som ligger på kortet. Det jag är nyfiken på är framför allt på vilka som kommer utveckla apparna och för vilka plattformar de kommer göra det.
Jag är också nyfiken på om det skulle vara OK att köra t ex referensapparna nedladdad från F-Droid istf nån blessed app. Eller rent av köra något på min vanliga hoj med en NFC-läsare.
Ja det undrar man ju verkligen. Jag misstänker att ingen vet svaret på det nu, utan att det beror på vad Polisen bestämmer sig för. På mötet i måndags tog vi upp argument för varför det bör vara öppen standard så att man kan använda fri programvara, att staten inte borde bestämma vilka operativsystem som "stöds" osv., Andreas verkade förstå de argumenten men samtidigt menade han att det finns andra argument som drar åt annat håll och att det inte är säkert hur det blir.
Jag är lite intresserad att blanda mig i mer om någon annan från eleg-projektet skulle vara intresserad att grotta ner sig i de här.
Jag är också intresserad!
Alltså, till att börja med måste varje land ha en lösning för e-legitimation och det har Polisen fått i uppdrag att lösa nu. E-legitimationen är inte en "wallet" utan något mer grundläggande, man ska kunna ha och använda e-leg utan att någon "wallet" är inblandad.
Jag har fått för mig att det inte finns något krav på att man ska kunna *använda* den helt fristående. Hur skulle man kunna använda ett smartcard utan program som använder kortet? Sverige kommer att bli skyldiga att tillhandahålla minst ett program som man kan använda kortet med.
Ja, Sverige kommer att behöva minst ett sånt program, men jag är inte säker på att det programmet behöver vara en "wallet", utan det kan vara ett program som bara hanterar just identifieringen och kommunikation med smartkortet. Det programmet skulle kunna användas helt utan "wallet", eller i kombination med ett wallet-program. Det som i eIDAS-texten kallas "electronic identification scheme" borde, tänker jag, innefatta både smartkortet och program som kommunicerar med smartkortet. Wallet-programmet är alltså inte nödvändigtvis den enda programvaran som är inblandad på klientsidan, och även om wallet-programmet är open-source är det inte säkert att allt annat på klientsidan är open-source.
Såvitt jag vet är det inget kvar i eIDAS att klienten ska vara open source. Vet du säkert att det är så?
Ur eIDAS:
"Article 5 a - European Digital Identity Wallets
(3) The source code of the application software components of European Digital Identity Wallets shall be open-source licensed. Member States may provide that, for duly justified reasons, the source code of specific components other than those installed on user devices shall not be disclosed."
Dvs ja, klienten måste vara open source. Backend måste tyvärr inte vara det.
Men det du citerade där handlar om "European Digital Identity Wallets", det är bra att de ska vara open-source men jag befarar att det inte finns några garantier för att det underliggande "electronic identification scheme" måste vara open-source. Alltså, jag är rädd att det kan bli så att Sverige skapar ett "electronic identification scheme" som är stängt på samma sätt som BankID är stängt, och som bara går att använda i vissa av staten utvalda stängda operativsystem (Apple, Google, Microsoft). Sen kommer det stängda systemet att användas i kombination med en "wallet" som är open-source, men det är inte så stor glädje med det eftersom man ändå tvingas köra stängt operativsystem och vara ägd av Apple/Google/Microsoft. Förstår du hur jag menar?
Missade du mina tidigare brev om bland annat EUDI-talket på 38C3?
Jag har sett dina brev om det, tack! Men har inte hunnit läsa och kolla på allt ännu, tyvärr. / Elias
Elias Rudberg via Eleg-projekt <eleg-projekt@lists.dfri.se>, 2025-01-17 01:13 (+0100):
Men det du citerade där handlar om "European Digital Identity Wallets", det är bra att de ska vara open-source men jag befarar att det inte finns några garantier för att det underliggande "electronic identification scheme" måste vara open-source.
Inte säker på att jag förstår vad du menar. Tänker du på programvara nere på kortet? Tänker du på protokollet som de tänker sig att man pratar med kortets programvara över NFC? Här tycker jag förstås, som du också gör, att det ska vara en öppen standard eller åtminstone öppna specar. Det är ju inte säkert att det finns en standard för just det de vill att man ska kunna göra. Jag vet ju inte säkert, förstås, men jag hade tänkt mig att den programvara som är inblandad för t ex en verifiering av ålder är: 1) Wallet-programmet på telefon (antagligen). Svårt att tänka mig att de tänker satsa på datorer, tyvärr. Detta program pratar direkt med NFC till... 2) Någon applet eller firmware som kör nere i det aktiva kortet. Exakt vilket protokoll som används *över* NFC är som jag skrev ovan viktigt att speca öppet. Det vore givetvis väldigt trevligt om den appleten också hade en trevlig licens men det är inte riktigt lika illa som om specarna för hur man pratar med den är hemliga. Vi får vara noggranna i vår kommunikation med dem, så de fattar vad vi egentligen är ute efter, tror jag. Flödet de tänker sig är nog, ungefär: 1) En website vill att du verifierar att du är över 18 för att du ska få beställa, inte vet jag, vin hem till dig. Websiten visar en QR-kod med någon slags begäran om en signerad attestering om att du är över 18. 2) Du startar Wallet-appen på telefonen, riktar telefonens kamera mot QR-koden. Appen tar emot begäran/utmaningen, visar för dig vad det är en begäran om så du får en chans att kontrollera att det är vettigt. Du trycker "OK" och sedan väntar appen på att... 3) Du håller aktiva kortet mot din telefon. 4) Magic. Eller, tja, något inne i kortet läser begäran, signerar en attestering och skickar tillbaka till appen. 5) Appen skickar tillbaka den signerade attesteringen till websidan. 6) Du får köpa ditt vin. Det vore fint att få det här verifierat. Särskilt intressant är också om vi kan få den där begäran i någon annan form än en QR-kod så vi kan plocka den direkt i browsern eller i ett separat program. Och sen den där protokollspecen för att prata med appleten, då, så vi kan skriva eller porta ett eget program som kan prata med appleten på kortet. /MC
Michael Cardell Widerkrantz <mc@hack.org>, 2025-01-21 23:04 (+0100):
Tänker du på protokollet som de tänker sig att man pratar med kortets programvara över NFC? Här tycker jag förstås, som du också gör, att det ska vara en öppen standard eller åtminstone öppna specar. Det är ju inte säkert att det finns en standard för just det de vill att man ska kunna göra.
Det är inte helt osannolikt att de helt enkelt bara använder hemska, hemska PKCS#11 över NFC, förstås. Det positiva är att det är en publicerad standard men det negativa är... too many to mention. Det lämnar också troligen helt till appen som anropar att bestämma funktion, dvs det är upp till appen vad som ska signeras. Kortet blir bara ett lite korkad signerare. Det betyder att appen kanske kan se lite för mycket. Fast det kanske vi kan leva med. Då är det ännu mer viktigt att själva apparna är open source. /MC
Michael Cardell Widerkrantz <mc@hack.org>, 2025-01-22 09:54 (+0100):
Det är inte helt osannolikt att de helt enkelt bara använder hemska, hemska PKCS#11 över NFC, förstås. Det positiva är att det är en publicerad standard men det negativa är... too many to mention.
Jag hade förstås glömt att DIGGs utredning om saken rekommenderade användningen av PIV över NFC. Polisen går kanske vidare på den? Inte orimligt. https://www.digg.se/analys-och-uppfoljning/publikationer/publikationer/2023-... Bilaga 1 innehåller de tekniska detaljerna. TL;DR: De föreslog aktivt kort utgivet av DIGG själva som följer PIV. NFC för kommunikation, riktad i första hand mot användning med mobiltelefon och en särskild app. /MC
participants (3)
-
Andrew Dalke -
Elias Rudberg -
Michael Cardell Widerkrantz