Sök på E-legitimationsnämnden
  • Hem
  • / Vanliga frågor
  • / Frågor och svar

Frågor och svar

Kvalitetsmärket Svensk e-legitimation

Vad är kvalitetsmärket Svensk e-legitimation?

Svensk e-legitimation är ett kvalitetsmärke för svenska e-legitimationer. E-legitimationsutfärdare ansöker till E-legitimationsnämnden, som granskar och godkänner mot Tillitsramverket för Svensk e-legitimation. Tillitsramverket följer internationell standard. Godkända e-legitimationer har licensavtal med nämnden och får använda kvalitetsmärket "Svensk e-legitimation".

Vilka berörs?

Företag och offentliga myndigheter som behöver e-legitimeringar i sina digitala tjänster har möjlighet att ställa krav på att eID-leverantören ska leverera lösningar som är godkända enligt tillitsramverket för svensk e-legitimation. E-legitimationsutfärdare kan dra nytta av kännetecknet Svensk e-legitimation i sin marknadsföring.

På sikt är det tänkt att kännetecknet ska hjälpa användare och ansvariga för digtala tjänster att veta vilka inloggninsmetoder som det finns anledning att hysa tillit för.

Varför behövs kvalitetsmärket Svensk e-legitimation?

När myndigheterna i offentlig sektor, och de företag som vill, samverkar kring en gemensam kravbild leder det till en gemensam syn på tillitsnivåer samt till innovativa e-legitimationstjänster. Det blir enklare för varje organisation att ställa krav genom att hänvisa till att leverantörer ska erbjuda lösningar som är godkända på minst en viss tillitsnivå enligt Svensk e-legitimation. Granskningen och kvalitetsmärket Svensk e-legitimation öppnar upp för nya aktörer att erbjuda e-legitimationstjänster.

Nya EU-regler påverkar alla offentliga e-tjänsters e-legitimeringar och e-underskrifter. Svensk e-legitimation underlättar den samordning och övergång som krävs vad gäller tillitsnivåer. Tillitsnivåerna är jämförbara med EU:s tillitsnivåer (eIDAS).

Vilka e-legitimationer kommer att ha kvalitetsmärket?

Det är upp till varje utfärdare att besluta om att ansöka om att bli godkänd utfärdare enligt Svensk e-legitimation och få använda kvalitetsmärket. Både nuvarande och nya e-legitimationer har möjligheten. I takt med att formella beslut fattas publiceras information här på elegnamnden.se.

Kan e-legitimationen användas i tjänsten?

Det finns inga regler i Svensk e-legitimation som hindrar att en individ använder sin e-legitimation i tjänsten. Frågor om anskaffning av e-legitimationer är upp till varje arbetsgivare eller uppdragsgivare.

Om er organisation är på väg att upphandla e-legitimationer, t.ex. kopplade till tjänstekort eller id-kort, till era anställda eller uppdragstagare, får ni gärna höra av er till oss om ni behöver vägledning i kravställningen.

Vad gäller för offentlig verksamhet i privat regi?

De organisationer och privata aktörer som inte har rätt att upphandla enligt LOU upphandlar på annat sätt än genom avtal med E-legitimationsnämnden eller via Kammarkollegiets avtal. I en sådan upphandling finns det möjlighet att dra nytta av E-legitimationsnämndens arbete genom att ställa krav på att upphandlade e-legitimeringar ska vara kopplade till e-legitimationer som är godkända enligt Svensk e-legitimation.

Vad gäller för utländska e-legitimationer?

Svenska kommuner, landsting och statliga myndigheter som erbjuder e-tjänster med e-legitimeringar måste enligt lag även kunna ta emot godkända utländska e-legitimationer från 29 september 2018. Du kan läsa mer om det här på våra sidor om eIDAS.

För de myndigheter som tekniskt har lagt om till E-legitimationsnämndens tekniska ramverk är den utländska anslutningen till stor del löst sett ur ett tekniskt perspektiv. Anpassning till personidentitetsbegrepp och språk kan också vara nödvändigt för att dra verklig nytta av möjligheterna. Privat sektors digitala tjänster kommer att kunna delta frivilligt.

Vad kan vi ersätta den gamla hänvisningen i våra föreskrifter med?

Många myndigheter har i sina föreskrifter en hänvisning till den tidigare E-nämndens vägledning (04:02) för myndigheternas användning av e-legitimationer och elektroniska underskrifter. Den vägledningen har förlorat aktualitet. Hänvisningen kan ersättas med följande text:

"E-legitimation: identitetshandling i elektronisk form, som vid elektronisk kommunikation används för legitimering, underskrift eller bådadera och vars utfärdare har avtal med E-legitimationsnämnden."

Med avtal menas här leveransavtal (om trafik) eller licensavtal (om kvalitetsmärket).

eIDAS och Sweden Connect

Vad är eIDAS?

EIDASlänk till annan webbplats, öppnas i nytt fönster är en EU-förordning och gäller som lag. eIDAS-förordningen innehåller regler om elektronisk identifiering (e-legitimering), en rättslig ram för e-underskrifter och regler för betrodda tjänster. Mer information om om betrodda tjänster finns på pts.se/eIDASlänk till annan webbplats, öppnas i nytt fönster.

Vad innebär eIDAS för svenska digitala tjänster?

De utländska e-legitimationer som är godkända enligt eIDAS ska kunna användas i alla offentliga tjänster och i de privata tjänster som är med frivilligt. Med offentliga tjänster menar vi upphandlande myndigheters e-tjänster, appar och andra tjänster som erbjuder inloggning med svenska e-legitimationer, t.ex. Mobilt BankID.

Det betyder att mer än hundra kommuner, ett fyrtiotal statliga myndigheter och landstingens e-tjänster, samt andra upphandlande myndigheter, måste ställa om för att ta emot utländska e-legitimationer. Senast den 29 september 2018 måste det fungera.

Vad ska vi som har ansvar för e-tjänster och appar göra nu?

Kom ihåg kravet "att koppla upp sig mot E-legitimationsnämndens eIDAS-nod" när ni upphandlar e-tjänster och appar etc. Ta kontakt med era befintliga leverantörer av e-tjänster, appar eller id-portaler och be dem planera in den tekniska anpassningen.

Tips:

  • Tacka "ja" när leverantören erbjuder löpande anpassning av er e-tjänst, app eller id-portal till nämndens tekniska ramverk (inklusive eIDAS).
  • Tacka "nej" om leverantören föreslår att de ska bygga en hel "eIDAS-connector", det har E-legitimationsnämnden regeringens uppdrag att ordna åt er.
  • Prenumera på vårt nyhetsbrev – du hittar information om hur du gör längst ner på den här sidan.

Hur gör vi som har behov av e-underskrifter?

Ni som har behov av e-underskrifter har mer att tänka på. Nämnden förbereder att s.k. indirekt e-underskrift i e-tjänsterna ska fungera även med utländska e-legitimationer. En indirekt e-underskrift är att betrakta som en avancerad e-underskrift enligt eIDAS.

Detta innebär att ni behöver ha en underskrifttjänst som följer vår normativa specifikation. Den går att avropa på Kammarkollgiets ramavtallänk till annan webbplats, öppnas i nytt fönster.

Om användare hör av sig med andra underskriftmetoder behöver ni ha läst på eIDAS rättsliga ram om e-underskrifter. Om ni av andra skäl överväger andra underskriftsmetoder behöver ni också läsa på de nya lagreglerna (både de svenska och eIDAS-förordningen) och fundera på vad ni verkligen behöver.

Jag som är utvecklare, vad kan jag göra?

Du som arbetar med en app eller annan tjänst som kräver inloggning kan i testmiljö koppla upp mot utländska e-legitimationer genom vår eIDAS-NOD Sweden Connect.

2017 E-legitimering

Vad är 2017 E-legitimering?

2017 E-legitimering är ett valfrihetssystem för elektronisk identifiering. Användaren väljer vilken e-legitimation som ska användas vid inloggning, vilket i sin tur styr vilken leverantör som ska få betalt av den upphandlande myndigheten för identitetsintyget som skickas i samband med detta. I dagligt tal kan man säga att 2017 E-legitimering är ett avtal för e-legitimering.

Vilken teknik erbjuds?

Identitetsintyg som följer den tekniska metoden SAML 2.0 enligt E-legitimationsnämndens tekniska ramverk. Identitetsintyget finns i två varianter. Det identitetsintyg som används inför underskrift skiljer sig något från det som används för elektronisk identifiering (autentisering).

Vilka offentliga myndigheter behöver detta avtal?

Alla myndigheter, kommuner och landsting och andra upphandlande myndigheter i LOU:s mening kan enkelt teckna 2017 E-legitimering och få tillgång till framtidssäkrad e-legitimering kopplad till de e-legitimationsutfärdare som ingår i avtalet.

Vilka leverantörer finns med?

I takt med att leverantörer (e-legitimationer, e-legitimationsutfärdare) tillträder, publicerar vi information om det.

Hur långt är avtalet?

Upphandlande myndigheters avtal löper till 2019-12-31 med möjlighet till förlängning ett år i taget.

Var kan jag hitta frågor och svar kopplade till upphandlingen?

I takt med att det finns frågor och svar kommer vi att publicera dem.

Min myndighet planerar egen upphandling eller avrop mot Kammarkollegiets ramavtal Programvaror och tjänster, är det några särskilda krav vi bör ha med?

Det här kan man att överväga är att ställa krav på:

  • att era digitala tjänster ska anpassas till att ta emot utländska e-legitimationer enligt EU-förordningen eIDAS d.v.s. kommer att behöva kopplas in mot E-legitimationsnämndens eIDAS-nod
  • att specifikationen för identitetsintyg ska följa E-legitimationsnämndens gällande version av tekniskt ramverk och uppdateras över tid
  • att myndigheten ska ha fortsatt rätt att i tillägg skriva avtal med E-legitimationsnämnden om e-legitimeringar (valfrihetssystem) för att täcka in så många e-legitimationer som möjligt
  • att avropa en från e-legitimationerna fristående underskrifttjänst enligt E-legitimationsnämndens normativa specifikation.

Om myndigheten inte tecknar avtal om 2017 E-legitimering behöver krav formuleras för att få med alla e-legitimationer på marknaden som når upp till minst tillitsnivå 3 enligt Tillitsramverket för Svensk e-legitimation för att täcka in de e-legitimationer som ingår i 2017 E-legitimering.

När går det att teckna avtalet 2017 E-legitimering?

Det går bra att göra nu. Vi har information för upphandlande myndigheter och för de som vill ansöka om att bli leverantör i nämndens avtal.

Vad kostar det? Är det fast eller rörlig avgift?

Priset för den upphandlande myndigheten är beslutat till 17 öre per e-legitimering (identitetsintyg). Ersättningen går oavkortat vidare till leverantören. Ingen månads- eller anslutsningsavgift debiteras.

Fakturan för genomförd trafik skickas direkt från leverantören till respektive tillhandahållare av upphandlande myndighet i enlighet med kontaktuppgifter som kommer att publiceras.

Kommer elektroniska underskrifter att understödjas?

2017 E-legitimering stödjer endast autentiseringen av användaren som görs inför underskriften, men innehåller inte den från e-legitimationerna fristående underskrifttjänsten som E-legitimationsnämnden rekommenderar. En sådan behover upphandlas separat, eller avropas på Kammarkollegiets ramavtal.

Finns Mobilt BankID, BankID och Telia med i detta avtal?

Nej, de har inte tillträtt som leverantörer i detta avtal. Vi publicerar information om leverantörer i avtalet så snart de har tillträtt.

Säkerhet

Går det bra med mobilappar om man följer nämndens tekniska ramverk?

Ja, Svensk e-legitimation stöder mobilappar och andra s.k. ”feta klienter”. E-legitimationsnämnden har tillsammans med några myndigheter skisserat att detta låter sig göras på ett användarvänligt sätt. Lösningen består av att mobilappen integrerar en webbläsare i bakgrunden.

Ser användare vilken e-tjänst eller myndighet det är?

Ja, vid inloggning kommer användaren som ett minimum att se det namn som myndigheten (förlitande parten) angivit i metadataregistret, t.ex. ”Pensionsmyndigheten".

Är det obligatoriskt att begäran om identitetsintyg är signerad?

Vid legitimering för underskrift är signerad begäran alltid obligatorisk. De som ansvarar för e-tjänsterna (upphandlande myndigheter, förlitande parter) kan dessutom välja att göra signerade begäran obligatoriskt även för e-legitimeringar.

Syftet med att inte göra signerade begäran generellt obligatoriska är att i regelverket ta höjd för en eventuellt tillkommande lägre tillitsnivå.

Ser användaren skillnad på inloggning och underskrift?

Ja, användaren ser skillnad på inloggning och underskrift. E-legitimationsnämnden har gjort följande kompletteringar för att lösa behovet:

Överföring av information som av förlitande part fylls med en text som beskriver vad man som användare skriver under.

E-legitimationsnämnden tar på sig rollen att vägleda vilken text som bör skickas.

Texten är skyddad med hjälp av signering, kryptering och att texten gallras omedelbart. Spårbarheten är genomtänkt.

Finns det skydd mot överbelastningsattacker?

Varje part har ett ansvar att införa skydd i sina lösningar.

Går det att stänga av förlitande parter?

Vi har gjort tillägg i det tekniska ramverket för detta behov.

Går det att skapa en säker miljö för användarna att skriva under i?

Ja, detta är infört i det nu gällande tekniska ramverket. Lösningen består av ett krypterat signaturmeddelande som visas upp i eID-tjänsten. Läs mer i det tekniska ramverket, i kapitlet om "deployment profile", avsnitt om "signature extensions" och "signature handling".

Går det att överföra s.k. riskinformation från eID-leverantören till förlitande part?

Ja, det går bra. E-legitimationsnämnden har genomfört en förändring som förtydligar var riskinformationen kan skickas med (SAML-attributet authContextParams). Läs mer i attributspecifikationen i tekniskt ramverk.

Notera att inte alla förlitande parter vill ta emot riskinformation.

Går det bra att komplettera med s.k. säkra informationskanaler?

Ja, det går bra att komplettera med alternativa kanaler. Inloggning och underskrift från datorwebb, app/klientprogram, mobilwebb och röstsamtal/knappval fungerar exempelvis. Om det utöver detta skulle krävas något särskilt finns alltid möjligheten att komplettera med bilaterala avtal. Över tid kan det tekniska ramverket kompletteras med nya alternativ.

Finns det möjlighet till s.k. säker inmatning?

Ja, det finns möjlighet att införa ytterligare rutiner som stärker säkerheten på en viss tillitsnivå, även för en viss typ av e-tjänst (exempelvis en sådan som innebär utbetalning).

Fungerar nämndens tekniska ramverk med säkra kortläsare?

Vi har gjort tillägg i det tekniska ramverket så att det går bra att skicka med ett meddelande. Vi kan vid behov lägga till nya attribut om detta meddelande skulle visa sig inte räcka till.

Vilka åtgärder har genomförts för att möta de brister som MSB m.fl. har tagit upp?

Här följer en översikt över de kompletteringar i det tekniska ramverket för Svensk e-legitimation som gjorts under 2015:

  • Vi har skrivit till ett tydliggörande om användning av signerade legitimeringsbegäran.
  • E-tjänster och legitimeringstjänster kan välja att kräva signerade legitimeringsbegäran, vilket undanröjer flera hot, t.ex. möjligheten att snappa upp och ändra en begäran (s.k. man in the middle-attacker).
  • Det finns en spärr mot att använda oombedda identitetsintyg, dvs. utställa intyg som inte föregåtts av motsvarande begäran.
  • Tydliga valideringsregler för hur en e-tjänst ska validera ett mottaget identitetsintyg är införda (skyddar t.ex. mot s.k. replayattacker).
  • Standardiserad hantering av representation och överföring av signeringsmeddelanden vid underskrift infört (däribland ”se vad man skriver under”).
  • En underskriftstjänst måste signera legitimeringsbegäran och e-tjänsten måste kryptera signeringsmeddelandet.
  • En legitimeringstjänst som legitimerar en användare för underskrift får inte godta SSO.
  • Ett dokument som spärrar ut vissa svaga krypton och säkerhetsprotokoll är infört.
  • Ändrat skydd av identitetsintyg: hela det s.k. responsmeddelandet ska nu vara signerat (istället för som tidigare endast intyget).

Har det genomförts någon ny riskanalys?

E-legitimationsnämnden gjorde en förnyad riskanalys våren 2015.

Vilka åtgärder har genomförts sedan 2014 för att hjälpa e-tjänsterna och användarna att skapa tillförlitliga e-underskrifter?

I det tekniska ramverket har vi specificerat hur text att visas upp vid underskrift ska vara utformad, och föras över via kommunikationsprotokollet, inklusive hur meddelandet ska skyddas. Detta innebär att signeringsflödet liknar dagens, sett med användarens ögon.

I dagens läge signerar användaren en s.k. hash som tredje part producerar. I framtiden kan detta göras av myndigheten själv. E-legitimationsnämnden rekommenderar myndigheter att hålla den s.k. stödtjänsten för underskrift (integrationslagret) ”inhouse” av integritetsskyddsskäl.

Det finns ingen begränsning i storlek för informationen som skickas över, men däremot viss praktisk begränsning vad gäller visningstext.

Dessutom är det kravställt att legitimeringstjänster ska använda underliggande e-legitimationers klienters signeringsfunktionalitet då legitimering för underskrift sker (i BankID-fallet kommer BankID:s signeringsfunktion att visas).

eSAM (e-samverkansprogrammet som finns hos Pensionsmyndigheten) har tagit på sig en vägledande uppgift som tar utgångspunkt i rättsliga förutsättningar, myndigheternas behov, Riksarkivets riktlinjer och det E-legitimationsnämnden beskrivit i sitt tekniska ramverk.

Hur förebyggs DoS/DDoS-attacker?

Varje part har det primära ansvaret för sina egna tjänster. Exempel på åtgärder är blockering av IP-adressintervall och blockering av e-tjänst som är under attack.

Genom signerade begäran om identitetsintyg försvåras DDOS-attackerna. Identitetsintygen är både signerade och krypterade.

Finns det en lista över tillförlitliga krypton?

Den offentliga utredningen Informations- och cybersäkerhet i Sverige (SOU 2015:23, ”NISU 2014”) adresserade behov av att en myndighet, FRA enligt utredningens förslag, ska hålla en lista över krypton och E-legitimationsnämnden har i remissvar tillstyrkt förslaget.

Vilka åtgärder har genomförts apropå synpunkterna om s.k. SAML-scenarier?

Åtgärderna som vidtagits sedan 2014 för att minimera riskerna är:

  • Alla e-tjänster har möjlighet att implementera signerade förfrågningar.
  • En eventuell ”Man in the middle” kan inte läsa eller förändra identitetsintyget, och inte förändra förfrågningar. Införandet av Svensk e-legitimation minskar därför risken jämfört med hur det fungerar idag.

  • Risken ”Man in the browser” minskas bäst genom att införa och använda tillitsnivå 4 (med s.k. ”holder of key-bevis”). Kanske en sidokanal kan vara bra på tillitsnivå 3. Även idag finns problemet med infekterade webbläsare/klienter.
  • Det ingår även att utställda identitetsintyg ska vara bundna till ip-adress. S.k. IP-spoofing inte lätt att göra, eftersom det finns brandväggar och proxys. Felaktiga implementationer hos myndigheter är också en risk och E-legitimationsnämnde vill att det ska vara enkelt för myndigheterna att förstå vilka kontroller de själva behöver göra.
  • Apropå attributet ”is passive”, underlättar det inte för angriparen med signerade begäran och att endast godkända e-tjänster kan agera.
  • Attributet ”force auth” går inte att ändra nu med signerade begäran och man skulle se det även på tidsstämpeln. Vi rekommenderar att e-tjänsten ska tacka nej till SSO (single signon) om inte annat talar däremot. SSO är aldrig tillåtet vid underskrift.
  • Man får inte aldrig utfärda ett identitetsintyg på högre nivå baserat på en lägre tillitsnivå. Inte heller byta id-begrepp.
    En gammal kryptoalgoritm (SHA-1) är nu borttagen.
    Det fanns tidigare med en SAML-funktion som godkänner oombedda intyg, men under 2015 har vi tagit bort den möjligheten.
  • Det går inte att spela upp ett eventuellt stulet identitetsintyg senare. I Tekniskt ramverk finns regler om tidsbegränsning till ett fåtal sekunder, parterna ska kontrollera intygets tidsstämpling och kontrollera ev. klockor som inte stämmer.
  • Om en session i en eID-tjänst (IdP) stjäls gäller en timme om e-tjänsten skulle acceptera SSO. Angriparen har dock ändå ingen kontroll över begäran. Dessutom finns krav på hur e-tjänsten ska hantera sessioner och cookies, baserat på domännamn och användarens browser-id eller IP-adress. Om en session stjäls via en cookieattack så kan angriparen inte göra något med den. Bindning finns till IP-adress och möjlighet att ”hasha” den informationen.
  • Risken med angrepp mellan eID-tjänst och e-tjänsten minimeras genom att regelverket (genom den s.k. deploymentprofilen) kräver att identitetsintyg endast kan användas en gång per e-tjänst. Dessutom tillåts inte oombedda identitetsintyg.
  • Risken för angrepp mellan eID-tjänst och webbläsare minimeras genom att inte tillåga SSO om man inte ska ha det, inte acceptera oombedda intyg, samt kräva signerade begäran.
  • Det är inte längre möjligt för en angripare att hoppa mellan e-tjänster vid SSO nu när oombedda intyg inte är tillåtet.
  • Hotet med om e-tjänsten skulle vara kompromenterad löses genom signerade begäran. Det går ändå inte att skapa oändliga kostnader med prismodellen betalning per användare, myndighet och månad.
  • E-legitimationsnämnden har däremot inte infört specifika XML-scheman. Motivet är att underlätta för myndigheterna att kunna använda hyllprodukter.
  • Att ställa krav på XML-validator är självklart och ska finnas med både i kravställning vid upphandling och vid implementation. Dessutom undanröjer tester i testfederationen problemet, genom att brister upptäcks.
  • Validering vid hämtning av metadata är kravställt och bygger på signering av metadatatjänsten, global trust, det laddas ned från sveleg.se ”out of bound”.

Hur byggs tillit för granskningen av utfärdare?

Alla utfärdare bedöms lika efter regelverket. I detta ingår att initialt dra slutsatser om vilken trovärdighet leverantören åtnjuter redan idag. Det går att beställa den öppna versionen av checklistan som används som granskningsprotokoll via kansliet@elegnamnden.se. E-legitimationsnämndens kansli är granskningsledare och tar experter till hjälp.

Vad har legat till grund för beslutet om det tekniska ramverket?

Det tekniska ramverket bygger på den väletablerade internationella standarden SAML 2.0. Tekniken är vald mot bakgrund av att det finns s.k. hyllprodukter som klarar den tekniken och med målet att myndigheten inte ska behöva anpassa sig för varje tillkommande e-legitimation, t.ex. de utländska e-legitimationer som offentliga myndigheter enligt lag blir skyldiga att acceptera från 29 september 2018. Över tid kan nya väletablerade öppna standarder läggas till när det behövs.

Nyhetsbrev

Sociala medier