8 Identitets- og Tilgangshåndtering Flashcards
IAM
Hva er definisjonen av IAM?
Identitets- og tilgangshåndtering (IAM) er
Sikkerhetsdisiplinen som gjør det mulig for
de rette individene å få tilgang til
de riktige ressursene til
rett tid,
og for
riktige hensikter
IAM
Hvilke ord skal stå i boksene?
IAM
Plasser tall og ord i boksene:
IAM
Hva skal stå i boksene?
IAM
Hva betyr ordene?
Entitet:
Identitet:
Digital identitet:
Identifikator:
Hva kan navn og attributter til entiteter være?
Hvilke to sorter identitetsdomener har vi og hva skiller de fra hverandre?
Silodomener:
* SP = IdP
* Entydige identifikatorer (for hver bruker)
* Fordeler: 1) Enkelt + billig å sette opp 2) Pot godt gr.lag for godt prsnvern
* Ulemper: 1) Dårlig brukervennlighet 2) Lav aksept av nye tjenester 3) Brukere må oppgi samme brukerInfo til mange SPs 4) For SPs: vanskelig å samle inn brukerdata
Fødererte domener:
* kan brukes av mange SPs
* Fordeler: 1) Brukervennlighet 2) Lar SPs konse på tjenester 3) Lar IdPs samle info 3) Skalerer godt innen en sektor
* Ulemper: 1) Teknisk og juridisk komplekst 2) Tillitskrav mlm aktører 3) Problemer for prsnvern 4) Skalerer mindre godt mlm ulike sektorer
IAM
Hva er forholdet mlm bruker, IdP og SP i føderert identitetshåndtering (hvem har hva) ?
Bruker:
* har id + autentikator
* ønsker tjenester fra SP
SP:
* har register over bruker-Ids
* har avtale med IdPs
IdP:
* Har avtale med SPs
* Gir/selger Brukerautentisering som tjeneste til SP
Hva slags standarder (3) finnes for føderert identitetshåndtering?
OAuth - Open Authorization
OIDC - OpenID Connect
SAML - Security Assertion Markup Language
OIDC
Fyll inn tallene 1-12
Forenklet OIDC-scenario
Fyll inn tallene 1-8.
Hva skjer ved 1-8?
Hva kjennetegner FEIDE?
FEIDE-innlogging
Hva står tallene 1-5 for her i FEIDE-scenarioet?
IAM
Hva skjer ved 1-5?
e-forvaltningen
Hva skal stå i rutene?
Plasser i riktig bokser:
AADHAAR
altinn
apple
eduroam
Europeisk eID
Feide
Facebook
Google
HelseID
ID-porten
Microsoft
Tysk eID
x
Hva slags krav stiller EU til eID-leverandører (IdP for e-forvaltning)?
Hvorfor kan det bli et “problem” i Norge?
At eID-leverandørene skal være statlige.
Eneste statlige eID-leverandør er MinID som kun gir LoA ‘Betydelig’.
BankID gir høyt mer er privat.
Hvilke 4 ulike modeller for Tilgangskontroll?
(stort spm)
RBAC - role based access control
kan konfigureres som DAC/MAC
ABAC - attribute based access control
kan uttrykkes via JSON (JavaScript Object Notation) og XACML (Extensible markup language)
DAC - discretionary access control
Eier av ressurs bestemmer hvem får aksess
Windows, Mac OS, Linux
MAC - Mandatory access control
(Bell-LaPadua: No read up / No write down)
Subjekter- sikkerhetsklarering / Objekter - klassifiseringsnivå
Security Enhanced Linux + Litt militære
IAM - RBAC
Hva skal stå i boksene?
Distriubert tilgangskontroll med OAuth
Hva er OAuth?
Hva brukes det ofte sammen med?
Open Authorization =
1) Standard for å definere ulike arkitekturer for Tilgangsautorisering + Tilgangskontroll
2) Autorisasjonsprotokoll som gir apper begrenset tilgang til brukerressurser på en bestemt tjeneste uten å avsløre passordet.
Brukes ofte sammen med OIDC
OAuth
Plasser tallene 1-7
Plasser tallene 1-7
IAM
Sett inn tallene 1-7
