Bruten tillitskedja: när en godkänd e-legitimation inte räcker hela vägen

Många organisationer utgår från att en inloggning med en godkänd e-legitimation automatiskt innebär att hela identitetskedjan är tillitsgranskad. Det är en förståelig slutsats – men den är inte alltid korrekt.

En e-legitimation kan vara godkänd och tillitsgranskad av DIGG, samtidigt som det identitetsintyg som den mottagande tjänsten faktiskt använder ställs ut av en annan tjänst eller intygsfunktion. Om den intygsfunktionen inte själv är granskad och godkänd kan tillitskedjan vara bruten.

Det är här organisationer behöver ställa den avgörande frågan:

Får vi verkligen ut den tillit vi tror att vi får?

E-legitimation och identitetsintyg är inte samma sak

När en person använder en e-legitimation sker vanligtvis två saker. Först identifierar sig personen med sin e-legitimation. Därefter får den anslutna tjänsten ett identitetsintyg som beskriver vem personen är och ofta även andra relevanta uppgifter.

Det är lätt att fokusera enbart på den första delen: vilken e-legitimation användaren använder. Men för den tjänst som ska fatta beslut, ge åtkomst eller genomföra en transaktion är det ofta identitetsintyget som blir den praktiska grunden för tilliten.

Därför räcker det inte alltid att fråga:

”Är e-legitimationen godkänd?”

Man bör också fråga:

”Är den intygsfunktion som ställer ut identitetsintyget granskad och godkänd?”

Och lika viktigt:

”Är det verkligen samma intygsfunktion eller tjänst som vi använder som den som är upptagen på DIGG:s lista?”

Den svaga länken i kedjan

Tillit fungerar som en kedja. Varje led behöver hålla för att helheten ska vara trovärdig.

Om en användare legitimerar sig med en e-legitimation som är granskad enligt DIGG:s tillitsramverk, men identitetsintyget därefter produceras av en tjänst som inte har genomgått motsvarande granskning, uppstår en risk. Den mottagande organisationen kan då tro att hela kedjan omfattas av samma nivå av oberoende kontroll – trots att så inte behöver vara fallet.

Samma risk uppstår om leverantören eller utgivaren finns med på DIGG:s lista, men den faktiska tjänst som används i kundens lösning inte är den granskade tjänsten. Det räcker alltså inte att konstatera att en viss aktör förekommer på listan. Man behöver verifiera att den specifika intygsfunktion, miljö, tjänst eller tekniska lösning som används är den som omfattas av DIGG:s godkännande.

Det innebär inte automatiskt att en annan tjänst är osäker. Men det betyder att tilliten inte är verifierad på samma sätt genom hela kedjan.

För verksamheter med höga krav på regelefterlevnad, informationssäkerhet och spårbarhet är det en viktig skillnad.

DIGG visar både e-legitimationer och intygsfunktioner

DIGG publicerar en lista över godkända e-legitimationer och intygsfunktioner. Där framgår bland annat vilka e-legitimationer som är godkända på olika tillitsnivåer och om det finns en granskad intygsfunktion kopplad till dem. DIGG listar även fristående intygsfunktioner som är godkända. Se DIGG:s sida: ”Godkända e-legitimationer och intygsfunktioner”.

Den listan är en viktig informationskälla för alla som upphandlar, bygger eller granskar digitala tjänster där e-legitimering används. Men listan behöver läsas noggrant. Det är inte alltid tillräckligt att se att en utgivare, leverantör eller aktör förekommer där. Kunden behöver säkerställa att det är just den intygsfunktion eller tjänst som används i den egna lösningen som är upptagen och godkänd.

Poängen är alltså inte bara att kontrollera om en viss e-legitimation eller aktör finns med på listan. Poängen är att förstå hela kedjan:

1. Vilken e-legitimation används?

2. Vilken aktör utfärdar e-legitimationen?

3. Vilken tjänst ställer ut identitetsintyget?

4. Är just den intygsfunktion som används granskad och godkänd?

5. Är det samma tjänst, tekniska lösning och tillitsnivå som framgår av DIGG:s lista?

6. Vilken tillitsnivå gäller för den lösning som faktiskt används?

Tillit kan inte ärvas hur som helst

En vanlig missuppfattning är att tilliten till en godkänd e-legitimation automatiskt ”smittar av sig” på alla tjänster som använder den. Så enkelt är det inte.

Samma sak gäller tilliten till en godkänd aktör. Att en leverantör har en godkänd tjänst betyder inte nödvändigtvis att alla leverantörens tjänster, integrationer eller intygsflöden omfattas av samma granskning.

Tillit behöver kunna följas från början till slut. Om en del av kedjan består av en icke granskad komponent, eller om det råder oklarhet kring vilken tjänst som faktiskt används, behöver organisationen själv förstå och acceptera den risken.

Det gäller särskilt när identitetsintyget används för beslut som kan få juridiska, ekonomiska eller säkerhetsmässiga konsekvenser. Exempel kan vara åtkomst till känslig information, firmateckning, behörighetsstyrning, myndighetsutövning eller andra situationer där identiteten måste vara mer än bara tekniskt sannolik.

Vad bör kunden fråga sin leverantör?

Den som köper eller använder en e-legitimeringslösning bör inte nöja sig med svaret att ”vi använder BankID”, ”vi använder Freja”, ”vi stödjer en DIGG-godkänd e-legitimation” eller ”vår organisation finns på DIGG:s lista”.

Det är bättre att ställa mer precisa frågor:

Vilken part ställer ut identitetsintyget till vår tjänst?

Vilken exakt intygsfunktion eller teknisk tjänst används i vårt flöde?

Är just den tjänsten granskad och godkänd av DIGG?

Kan ni peka ut motsvarande post på DIGG:s lista?

Är det samma miljö, tjänst, intygsfunktion och tillitsnivå som används i vår lösning?

Vilken tillitsnivå levereras i praktiken till vår tjänst?

Kan leverantören visa hur hela tillitskedjan ser ut, från legitimering till mottaget identitetsintyg?

Finns det någon del i kedjan där tilliten bygger på leverantörens egna påståenden snarare än extern granskning?

Det är först när dessa frågor är besvarade som kunden kan bedöma om lösningen verkligen motsvarar de krav verksamheten har.

Slutsats: granska kedjan, inte bara aktören

En godkänd e-legitimation är en stark grund. En godkänd intygsfunktion kan vara en viktig fortsättning på den grunden. Men varken e-legitimationen, utgivaren eller leverantörens namn räcker i sig.

För att få full tillit behöver man förstå hela flödet: från e-legitimationen, via den faktiska intygsfunktion som används, till det identitetsintyg som den mottagande tjänsten faktiskt baserar sina beslut på.

Om en länk i kedjan inte är tillitsgranskad bör det vara tydligt för kunden. Detsamma gäller om det är oklart huruvida den tjänst som används verkligen är samma tjänst som är upptagen på DIGG:s lista.

Annars riskerar man att bygga beslut, åtkomst och ansvar på en tillit som man tror är verifierad – men som i praktiken kan vara bruten.

Därför bör varje organisation som använder e-legitimering ställa sig frågan:

Är hela vår tillitskedja granskad – och är det verkligen den granskade tjänsten vi använder?