Aktiver Javascript i din nettleser for en bedre opplevelse på regjeringen.no

4 Sikkerhetsnivåer for autentisering og uavviselighet

Sikkerhet i løsninger for autentisering og uavviselighet kan beskrives ved hjelp av forskjellige sikkerhetsparametere. En sikkerhetsparameter er en faktor som påvirker sikkerhetsnivået i løsningen hvis den endres. Et eksempel på slik faktor er ”utlevering til bruker”. For en passordløsning vil ”utlevering til bruker” beskrive hvordan passordet i praksis deles ut til brukeren. Er passordene delt ut til bruker på bakgrunn av fysisk legitimering, er det vanskelig å skaffe seg et passord i andres navn. Deles passordene ut over Internett på bakgrunn av påstått identitet er det lett å skaffe et passord i andres navn. Dette viser at to forskjellige krav til samme sikkerhetsparameter endrer graden av hvor vanskelig det er å kompromittere løsningen.

 

Sikkerhetsnivåene i dette rammeverket er definert på bakgrunn av følgende sett av sikkerhetsparametere:

  • Krav til autentiseringsfaktor(er) 
    Beskriver antall autentiseringsfaktorer og deres egenskaper. For eksempel om autentiseringsfaktoren er statisk eller dynamisk. Med statisk menes at dokumentasjonen som presenteres for andre som skal verifisere påstått identitet ikke endres fra gang til gang. Et eksempel på dette er fast passord eller biometriske data. Med dynamisk menes at dokumentasjonen som presenteres for andre som skal verifisere påstått identitet, endres fra gang til gang. Eksempler på slike løsninger er tidsbaserte passordkalkulatorer, som gir nytt passord avhengig av tid, og løsninger basert på PKI, hvor det ved hver autentisering genereres en ny, tilfeldig datastreng som signeres digitalt.
      
  • Utlevering til bruker
    Beskriver hvordan man sikrer knytningen mellom autentiseringsfaktorer og brukeridentiteter. For eksempel om brukeren har måttet møte opp fysisk og legitimere seg selv, eller om brukeren har fått noe tilsendt til folkeregistrert adresse. I dette rammeverket er folkeregistrert adresse definert til å være en av adressene registrert i folkeregisteret (Folkeregisteret har definert tre typer adresser i sitt register).
      
  • Sikring av autentiseringsfaktorer ved lagring
    Beskriver hvordan autentiseringsfaktoren er lagret lokalt, og hvordan den er fysisk og logisk sikret. Et eksempel er forhåndsdefinerte passordlister. Kommer disse på et åpent ark, er de kopierbare. Er passordene beskyttet som skrapelodd, er de ikke kopierbare uten at mottakeren vil oppdage dette.
      
  • Krav til uavviselighet
    Beskriver i hvilken grad det i ettertid er mulig å dokumentere at en bruker står bak et informasjonselement eller har utført en handling.
      
  • Krav til offentlig godkjenning
    Innebærer at det finnes en offentlig kravspesifikasjon (ev. en forvaltningsstandard) for den type løsninger, og at løsningen er deklarert ved en offentlig ordning.

Overforstående sikkerhetsparametere er definert for å være teknologinøytrale.  De forskjellige sikkerhetsparametrene er vektet likt på den måten at en løsning som skal tilfredsstille et sikkerhetsnivå, skal oppfylle kravene som er satt for alle sikkerhetsparametrene på det nivået.

 

Det settet med sikkerhetsparametere som er benyttet i dette rammeverket for å skille mellom sikkerhetsnivå er ikke uttømmende. Det finnes derfor autentiserings- og uavviselighetsløsninger som har andre sikkerhetsparametere som kan ha forskjellig nivå, og som dermed kan oppfattes sikkerhetsmessig forskjellig.

 

Når en offentlig virksomhet skal velge sikkerhetsnivå på bakgrunn av sitt risikonivå, er det viktig å være oppmerksom på at sentrale systemsjekker i noen tilfeller vil kunne begrense sannsynligheten for at en konsekvens inntreffer og dermed senke kravet til sikkerhetsnivå. For eksempel kan en sentral sjekk om at utbetaling går til en konto i brukers navn senke kravet til utlevering.

 

Det er definert fire sikkerhetsnivåer som vist i tabellen under.

Nivå

Krav til Autentiserings faktor(er)

Utlevering til bruker

Sikring av autentiserings faktorer ved lagring

Krav til offentlig
godkjenning

Krav til uavviselighet

 

Fysiske personer

Juridiske personer

1

Ingen krav.

Ingen krav.

Ingen krav.

Ingen krav.

Ingen krav.

Ingen krav.

2

Enfaktor

Post til folkeregistrert adresse.

Post til enhetsregisterets registrerte adresse. Navnet til den fysiske personen som kan tegne for den juridiske personen, skal stå først på forsendelsen. Alternativt kan det sendes til den som tegners folkeregistrerte adresse.

Både statiske og dynamiske kan være kopierbare.

Ingen krav.

Det skal foreligge rutiner og logger, som gjør at det er rimelig sikkert at kommunikasjonsparten står bak en handling eller et informasjonselement.

3

Tofaktor, hvorav en er dynamisk

Samme krav som i 2, men med ett tilleggskrav om at utsendelsesprosedyren skal ha integrert tilleggssikring som sørger for at sannsynligheten for at feil person tar løsningen i bruk minimaliseres. Det er ikke krav om personlig oppmøte.

Samme krav som i 2, men med ett tilleggskrav om at utsendelsesprosedyren skal ha integrert tilleggssikring som sørger for at sannsynligheten for at feil person tar løsningen i bruk minimaliseres. Det er ikke krav om personlig oppmøte.

Dynamiske kan være kopierbare
Statiske kan ikke være kopierbare.

Ingen krav.

Det skal foreligge rutiner og logger, som gjør at det er rimelig sikkert at kommunikasjonsparten står bak en handling eller et informasjonselement.

4

Tofaktor, hvorav en er dynamisk

Kravene til registrering og utleveringsprosedyrer er tilsvarende Kravspesifikasjon for PKI , Person Høyt.  Personlig oppmøte med legitimering, minst en gang.

For juridiske personer skal den fysiske personen som tegner den juridiske, enten møte opp personlig, eller gi fullmakt til en annen som kan møte personlig på personens vegne. Det skal fremlegges legitimasjon for begge, samt sjekkes mot enhetsregisteret. Krav tilsvarende Kravspesifikasjon for PKI nivå Virksomhet

Ikke-kopierbare.

Løsningen skal være deklarert i henhold til offentlige krav.

En kommunikasjonspart skal kunne verifisere at den andre part står bak en handling eller et informasjonselement, den skal ikke selv kunne produsere eller endre på et slikt bevis i etterkant.

 

Praktiske eksempler på løsninger som tilfredsstiller de forskjellige sikkerhetsnivåene

 

Her gis det eksempler på hva slags tekniske løsninger som vil tilfredsstille de forskjellige sikkerhetsnivåene. Alle løsninger på et høyere nivå vil kunne benyttes på et lavere sikkerhetsnivå.

 

Sikkerhetsnivå 1
Dette sikkerhetsnivået gir liten eller ingen sikkerhet. Her fungerer helt åpne løsninger. Det finnes også noen sikkerhetsløsninger som vil havne i denne kategorien fordi de ikke tilfredsstiller kravene til sikkerhetsnivå 2. Dette gjelder løsninger som for eksempel:

  • Selvvalgt passord og brukernavn over nettet.
  • Identifisering med fødselsnummer.

Sikkerhetsnivå 2
På dette sikkerhetsnivået fungerer alle løsninger som tilfredsstiller kravene til sikkerhetsnivå 2, men som ikke tilfredsstiller kravene til sikkerhetsnivå 3. Eksempler på sikkerhetsløsninger som havner i denne kategorien er:

  • Fast passord, sendt ut i brev til folkeregistrert adresse.
  • Passordkalkulatorer uten passordbeskyttelse, minimum distribuert gjennom folkeregistrert adresse.
  • Engangspassordlister distribuert til folkeregistrert adresse.

Sikkerhetsnivå 3
På dette sikkerhetsnivået fungerer alle løsninger som tilfredsstiller kravene til sikkerhetsnivå 3, men som ikke tilfredsstiller kravene til sikkerhetsnivå 4. Eksempler på sikkerhetsløsninger som havner i denne kategorien er:

  • Passordkalkulatorer beskyttet med PIN-kode, der første PIN-kode er sendt i separat forsendelse.
  • Engangspassord på mobiltelefon, der mobiltelefonen er registrert med en egen registreringskode distribuert til folkeregistrert adresse.
  • Person Standard iht. Kravspesifikasjon for PKI i offentlig sektor.
  • Engangspassordlister benyttet sammen med fast passord og brukernavn. Valg av fast passord skal skje på bakgrunn av en engangskode sendt til folkeregistrert adresse (eventuelt første kode på engangspassordlisten).

Prosedyren for utsendelse til folkeregistrert adresse, skal ha implementert en tilleggssikring for å sannsynliggjøre at ikke en uautorisert tar i bruk løsningen. Eksempler på slik tilleggssikring er:

  • utsendelse av kode i et brev brukeren forventer å motta og vil etterlyse,
  • bekreftelse på aktivering av sikkerhetsløsning i eget brev,
  • sjekk mot mobiltelefon brukerregister, eller
  • begrenset levetid på utsendte koder.

Sikkerhetsnivå 4
På dette sikkerhetsnivået vil det, i forhold til dagens situasjon og teknologiske løsninger i markedet, kun være løsninger basert på PKI som tilfredsstiller kravene.  I henhold til gjeldende regelverk må løsningene være selvdeklarert i Post- og teletilsynet i forhold til om de oppfyller krav i Kravspesifikasjon for PKI i offentlig sektor når det gjelder Person Høyt og Virksomhet.
Eksempler på teknologier som kommer, men ikke har tilstrekkelig standardiseringsgrad pr. i dag, er:

  • En tofaktorløsning, hvor en av faktorene er dynamisk, hvorav en av faktorene eller en registreringsfaktor er personlig utlevert. Det benyttes en tredjepart til å registrere en logg med knytningen mellom handling/ informasjonselement og identitet. Loggen skal lagres med endringsbeskyttelse.
  • En tofaktorløsning, hvor en av faktorene er dynamisk, hvorav en av faktorene eller en registreringsfaktor er personlig utlevert. Det benyttes spesialprogramvare som hindrer brukersted i å generere falsk dokumentasjon over hvem som står bak et informasjonselement/handling og som hindrer operatører å kunne endre logging av informasjonselement/ handlingsbeskrivelse og identitet.


 

Til toppen