UZI-pas in gebruik. Maarten Schmidt Risk en Security manager 22 november Remco Schaar Consultant UL Transaction Security service

Transcriptie

1 UZI-pas in gebruik Maarten Schmidt Risk en Security manager 22 november 2012 Remco Schaar Consultant UL Transaction Security service

2 Inhoud Agenda Gebruik UZI-pas, wat gaat er wijzigen Alternatief gebruik UZI-pas Alternatieven UZI-pas Implementatie gebruik UZI-pas UZI-pas & software

3 Waarom UZI-pas? Identificatie Authenticatie wie ben je? wat ben je? Autorisatie wat mag je? Patiëntendossier UZI-register Systemen Processen Logging wat heb je gedaan?

4 Wat voor UZI-pas? Abonnee / Zorgaanbieder A V Authenticiteit Vertrouwelijkheid Zorgverlener A V H Medewerker op naam A V H Persoon H Handtekening Medewerker niet op naam A V Servercertificaat A V Organisatie

5 Wat gebruikt AORTA? Abonnee / Zorgaanbieder A V Authenticiteit Vertrouwelijkheid Zorgverlener Medewerker niet op naam A V H A V Medewerker op naam PKIO en UZI Servercertificaat A V H A V Persoon Organisatie H Handtekening Binnen AORTA worden hoofdzakelijk het servercertificaat en medewerker op naam gebruikt. PKIO en UZI

6 Gebruik UZI-pas Geen nieuwe techniek in 2012 voor XIS-leveranciers

7 Inpassing in het werkproces Lage administratieve belasting aanvraagproces Meerdere gebruikers per werkstation Wisselende werkplekken

8 Alternatief gebruik UZI-pas RFID, contactloze interface icm met huidige UZI-pas niet mogelijk. Meer functies op één pas lijken mogelijk maar moeilijk verenigbaar met ETSI en wettelijke bepalingen.

9 Alternatieven UZI-pas Onderzoek naar: Wijzigen aantal certificaten op UZI-pas Meerdere functies op een pas integreren (draadloze interface /aparte chip)

10 Bluetooth UZI-Paslezer Resultaat het werkt al in de praktijk (HAP) Meer proeven met Bluetooth UZI-paslezer om alternatief gebruik te verbreden

11 Biometrie en de UZI-pas? Pincode

12 Koppeling biometrische gegevens lijkt mogelijk Hiermee wordt vast gehouden aan zgn twee factor authenticatie: 1. Iets dat je hebt (UZI-pas) en 2. Iets dat Je weet (PIN-code) of Je bent (vingerafdruk) Eisen aan implementatie en biometrie devices

13 Pasbatterij + biometrische gegevens? Pasbatterij

14 Implementatie UZI-pas Gebruik UZI-pas als authenticatiemiddel Controle geldigheid pas (niet ingetrokken en nog geldig) Controle geldigheid hiërarchie van CA s tot Staat der Nederlanden Root CA Controle PIN versus persoonlijke key op pas Hoort de PIN bij de betreffende persoon die ingelogd is!

15 Remco Schaar Technisch Consultant 22 november 2012 UZI-pas & software

16 Inhoud Introductie UZI-pas en software Architectuur scenario s Voorbeeld code Demo 16

17 Introductie: use cases Authenticatie Inloggen (lokaal) Smartcard logon Web applicaties Authenticatie LSP (token authenticatie) Elektronische handtekening Wettelijk (onweerlegbaarheid)! EMD+ Intern Vertrouwelijkheid (encryptie) Bestanden 17

18 Introductie: functioneel Identificatie UZI-nummer Rolcode URA Naam (formeel) + titel Type Zorgvelener Medewerker Medewerker niet op naam (Server) 18

19 Introductie: techniek UZI-pas standaarden ISO 7816 (PKCS#11) PC/SC X509 Windows certificate store Toepassingen SSL / TLS XML-signature / WS-Signature (token authenticatie) Smartcard logon S/MIME ( encryptie) Overig: RSA, SHA-1/SHA-2, random 19

20 Introductie: server certificaten Authenticatie Encryptie (vertrouwelijkheid) = 1 certificaat Software token Bescherming vereist HSM mogelijk 20

21 Inhoud Introductie UZI-pas en software Architectuur scenario s Voorbeeld code Demo 21

22 UZI-pas en software 3-lagen: PC/SC (bytes) PKCS#11 (crypto functie calls) Hoger niveau libraries Java keystore.net certificate store 22

23 UZI-pas en software: hiërarchie 23

24 UZI-pas en software: Windows Certificate Store Waar komen de CA-certificaten? 2 groepen Root CA s = Staat der Nederlanden (G1/G2) Intermediate CA s Overheid CA (G1 / G2) Zorg CSP (G1 / G2 / G21) Zorgverlener CA (G1 / G2 / G21) Medewerker op naam CA (G1 / G2 / G21) Medewerker niet op naam CA (G1 / G2 / G21) Server CA (G1 / G2 / G21) GetronincsPinkRocade/KPN (LSP certificaat) 24

25 Inhoud Introductie UZI-pas en software Architectuur scenario s Voorbeeld code Demo 25

26 Architectuur: single user desktop Desktop applicatie 26

27 Architectuur: single user desktop + ZIM Token Desktop applicatie ZIM X509 server 27

28 Architectuur: client-server Desktop client Server applicatie 28

29 Architectuur: client-server + ZIM Token Desktop client Server applicatie ZIM X509 server 29

30 Architectuur: web-based Browser Webserver applicatie 30

31 Architectuur: web-based + ZIM Applet Token Browser Webserver applicatie ZIM X509 server 31

32 Architectuur: thin-clients Thin client Applicatie? 32

33 Architectuur: thin-clients + ZIM Thin client Applicatie? ZIM Token X509 server

34 Inhoud Introductie UZI-pas en software Architectuur scenario s Voorbeeld code Demo 34

35 Voorbeeld code: 3x Java TA / EMD+ Token Authenticatie Elektronische handtekening.net EMD+ Elektronische handtekening Java TA, ART-DECOR geïntegreerd Token Authenticatie Single user desktop, pin invoer C-code direct ISO 7816 Voorbeeldcode: 35

36 Voorbeeld: Java TA / EMD+ Java KeyStore Building & signing (TA / EH) tokens: String + crypto function calls XML-Signature library WS-Signature library 36

37 Voorbeeld:.Net EMD+ Windows certificate Store Microsoft crypto-api Visual basic.net WS-Signature 37

38 Voorbeeld: Java ART-DECOR Basis: andere Java voorbeeld Single user / desktop applicatie Integratie als exist-plugin Pincode popup (AWT) 38

39 Inhoud Introductie UZI-pas en software Architectuur scenario s Voorbeeld code Demo 39

40 Vragen? Distrust and caution are the parents of security. Benjamin Franklin 40