[ARHIVEERITUD]

⚠ Dokumenti ei ajakohastata. Palume siinsele teabele mitte tugineda.

Autentimisteenuse toimivus ja selle tagamine

Priit Parmakson

29.04.2019

Sisukord

• [ARHIVEERITUD]
  • Ülevaade
  • Mõisted
  • Teenusevõrk
  • Elutukse pakkumine ja kasutamine
  • Alternatiivteenuse kasutamine

Ülevaade

Autentimise toimivus on e-teenuse käideldavuse seisukohalt kriitiline. Kui kasutajat ei saa autentida, siis ei saa ka personaliseeritud e-teenuse osutada.

Välisteenuste kasutamine võimaldab küll raha kokku hoida, kuid samas loob sõltuvuse välisest teenusepakkujast. Teenusepakkuja omakorda võib kasutada välisteenuseid - ja nende toimivusest sõltuda.

Välisteenuse tõrke võimalusega tuleb alati arvestada. Käideldavuse tõrget ei saa välistada, kuid kõik osapooled peavad rakendama meetmeid, et tõrgete esinemistõenäosust vähendada, tõrkeid avastada ja kiiresti lahendada.

Käesolev leht kirjeldab RIA autentimisteenuste teenustevõrku ja annab soovitusi autentimise kõrge käideldavuse tagamiseks.

Dokument on kavandi/ettepaneku staatuses.

Mõisted

Talitluspidevus (Business Continuity) on süsteemi võime toime tulla mitmesuguste tõrgete ja häiretega.

Kõrgkäideldavus (High Availability) on siin kasutusel tähenduses, et süsteemi olulised komponendid on dubleeritud (mitmes eksemplaris).

Tõrkesiire (Failover) on protsessi, soovitavalt automaatne, millega töö suunatakse rivist väljalangenud eksemplarilt teisele eksemplarile.

Teenusevõrk

Teenus võib olla sisendiks teisele teenusele. Teisele teenusele teenust osutavat teenust nimetatakse “ülesvoolu” (või “ülemjooksu”, upstream) teenuseks. Teist teenust tarbivat teenust nimetatakse “allavoolu” (või “alamjooksu”, downstream) teenuseks.

TARA kasutab mitmeid RIA-siseseid ja -väliseid teenuseid. Joonisel 1 on näidatud neist olulisimad.

Nooled näitavad teenuse osutamise suunda. Tegu on üldistatud joonisega. Teenust osutatakse tihti mitme HTTP-otspunkti kaudu. Näiteks autentimisteenusel TARA on autentimispäringu ja identsustõendi väljastamise otspunktid. eIDAS konnektor- ja vahendusteenustel on SAML metateabe otspunktid jne.

ID-kaardiga autentimisel kasutatakse kehtivuskinnitusteenust. Esimese valikuna pöördub TARA tasuta kehtivuskinnitusteenuse poole (AIA-OCSP, aia.sk.ee/esteid20xx, teenust osutab SK Identity Solutions AS). Kui tasuta teenuse kasutamine ebaõnnestub, siis proovib TARA tasulist teenust (ocsp.sk.ee, teenust osutab samuti SK Identity Solutions AS).

Mobiil-ID-ga autentimisel kasutab TARA mobiil-ID autentimisteenust MID REST API. (Teenust osutab SK ID Solutions AS).

Piiriülesel autentimisel pöördub TARA kõigepealt RIAs majutatud eIDAS konnektorteenuse poole. Konnektorteenus vahendab pöördumise välisriigi eIDAS vahendusteenuse poole. Sealt omakorda pöördutakse välisriigi autentimisteenusesse, kus kasutaja autenditakse.

TARA on RIA poolt osutatav teenus, millega autenditakse välisriigi e-teenust kasutav Eesti identimissüsteemi kasutaja. (Näiteks, kuid Eesti ID-kaardi omanik läheb Portugali e-teenusesse, siis suunatakse ta autentima TARA-sse). TARA kasutav teenusvoog algab välisriigi e-teenusest. Välisriigi teenus pöördub välisriigi eIDAS konnektorteenuse poole. Viimane pöördub RIA eIDAS konnektorteenuse poole. Konnektorteenus pöördub TARA poole. TARA võimaldab kasutaja autentida kas ID-kaardiga või mobiil-ID-ga. Vastavalt kasutab TARA tasulist kehtivuskinnitusteenust või mobiil-ID-ga autentimise teenust MID REST API.

Eesti avalikus sektoris on hinnanguliselt sadu infosüsteemi. Kasutajale pakutakse mitut tuhat e-teenust. Kõigi nende ühendamine riigi autentimisteenusega (TARA-ga) paneks e-riigi sõltuma ühe tugiteenuse (TARA) “ülevalolekust”. Sellise keskse nuripunkti (ingl single point of failure) tekkimine oleks suur risk.

Vaja on leida võimalused keskse nuripunkti riski maandamiseks.

Elutukse pakkumine ja kasutamine

Elutukse (ingl heartbeat) on reaalajaline teave, mida teenus väljastab oma toimivusseisundi kohta.

Igal teenus peaks pakkuma elutukse otspunkti.

Tüüpiliselt pakutakse elutukset HTTP-otspunkti kaudu. Elutukse vorminguks ei ole

Elutukse võib olla sisemiseks kasutamiseks või avalik. Sisemist elutukset kasutab teenuseosutaja ise. Kuna sisemine elutukse võib sisaldada tundlikku taristuteavet, siis seda teenuse tarbijatele ei avaldada. Avalik elutukse on kättesaadav teenuse tarbijatele või kogu maailmale.

Ülalkirjeldatud teenustevõrgus on elutukse pakkumise seis järgmine:

• TARA Server pakub sisemiseks kasutamiseks elutukset: TARA heartbeat endpoint. Koostatud on välise (avaliku) elutukse spetsifikatsioon, kuid välist elutukset veel ei pakuta.

• SK ID Solutions AS pakub oma teenustele avalikku elutukset: SK ID Solutions AS Public Monitoring and Statistics Interface Specification

• eIDAS taristus ei ole elutukse pakkumine reguleeritud. Teenus kas on üleval või ei ole. Ligikaudset teenuse ülevaloleku kontrolli saaks teha pöördumisega SAML metateabe otspunkti poole, kuid tõenäoliselt sealt saadav teave ei oleks eriti usaldusväärne.

• pangad ei paku pangalingi autentimisteenusele elutukset.

Elutukse ei ole siiski universaalne lahendus. Elutuksel on mitmeid puudusi:

• elutukse poole pidev pöördumine koormab nii teenuse osutajat kui ka teenuse kasutajat
• elutukse õigsus ei ole garanteeritud. Teenus võib olla “maas”, kuid elutukse järgi “OK”. Elutukse korralik teostus nõuab enesediagnostika sisseehitamist teenusesse - see võib olla keeruline
• elutukse negatiivse vastuse käsitlemine peab olema läbimõeldud. Näiteks, ahvatlev on mõelda, et kavandatud teenusekatkestusi võiks teenusekasutajatele edastada masinloetaval kujul. Kuid teenusekasutaja peab teadma, et sellised teavitused võivad tulla ja suutma neid automiseeritult käsitleda.

Alternatiivteenuse kasutamine

Paljudel asutustel on loodud oma autentimislahendused. Asutuse oma autentimislahendusel võib olla võimalusi, mida TARA ei paku: seansihaldus, ühekordne sisselogimine (SSO), pääsuhaldus (autoriseerimine).

Asutus võib TARA lisada täiendava või alternatiivse autentimislahendusena asutuse olemasolevale või kavandatavale autentimislahendusele. See vähendab asutuse autentimislahenduse käideldavusriski.

Kui asutus otsustab võtta kasutusele TARA, siis käideldavusriski maandamise üks võte on alternatiivse autentimislahenduse võimaldamine.

Asutus peaks teostama tõrkesiirde peamise ja alternatiivse autentimisteenuse vahel.

Peamise ja alternatiivse autentimislahenduse vahel ümberlülitamise võib teostada käsitsi (seadistamisega) või automaatselt. Automaatse ümberlülitamise võimaldamiseks on TARA-s kavas luua avalik elutukse.