Uživatel:Nesnera/Národní identita prakticky

<?? poněkud nejisté, co z toho vznikne za text. Směřování je k něčemu jako "SSO v prostředí VS | využití státem/EU garantovaných identit". Zatím tedy spíše pracovní poznámky s cílem vyhnout se "zjeveným" pojmům a pochopit problematiku. Proto v "soukromém" wiki uživatelském prostoru/pískovišti x úpravám se nebrání, naopak je vítám 🙏 />

Občanské elektronické identity

• jaké jsou varianty (stručný popis), jaké jsou jejich možnosti + zasazení do EU
• co je potřeba udělat (napoprvé a při opakování +propojení s registry)
• příklady užití front a back endu

Identitní prostředky

viz. https://info.eidentita.cz/idp/

• eObčanka - občanský průkazu s čipem
• NIA ID
• identifikační certifikát I. CA
• IIG (International ID Gateway) - pro cizince přistupujícím k českým službám podporujícím eIDAS
• mojeID

Získání a práce s NIA ID

Je popsáno na informačním portálu NIA

• založení
  • vyžadováno
    • 18+
    • mobilní telefon s číslem +420 ... (v průběhu registrace je zaslána SMS)
    • e-mail (zasílá se odkaz pro dokončení registrace)
• aktivace (má více variant viz. https://info.eidentita.cz/ups/UpsAktivace.aspx )
  • na portálu NIA (viz. https://info.eidentita.cz/ups/UpsAktivacePortal.aspx )
    • eObčankou
    • datovou schránkou fyzické osoby
      • vyžadováno
        • schránka fyzické osoby (typ datové schránky je č. "40").
        • schránka je přístupná, tj. lze do ní dodávat zprávy (stav datové schránky je č. "1").
        • přihlášení jako oprávněná osoba (typ uživatele je "S").
  • na Czech POINT

BSI

Bezvýznamový směrový identifikátor (BSI) slouží k určení konkrétní osoby mezi dvěma(!) systémy. Technicky by se dalo říct, že je to cizí klíč (id) identifikující osobu ve vlastním systému. Jedná se tedy o pseudonym jednoznačně identifikací danou osobu u konkrétního SeP a je označován také jako SePP (Service Provider Pseudonym) nebo "identifikátor fyzické osoby"/občana.

• v kontextu veřejné správy je jeho smyslem lepší ochrana osobních data a náhrada rodné číslo napříč všemi systémy
• u některý případech došlo k „pojmenování“ BSI, tudíž AIFO je BSI, který vydává ISZR, SePP nebo IdPP je BSI, které vydává NIA
• požadavky kladené na BSI:
  • bezvýznamovost, tj. z hodnoty BSI, by nemělo být možno odvodit atributy uživatele, který je tímto BSI identifikován
  • nemělo by být sdílené mezi více jak dvěma systémy, tj. bsi1 identifikující osobu1 mezi systémy s1 a s2 by se nemělo používat pro komunikaci mezi s1 a s3 popř. s2 a s3.
• technicky předáván atributem PersonalIdentifier
• podoba byla definována technickou skupinou eIDAS jako CZ/ES/b5e81148-2bd1-4f44-ba75-0c0359d3be7d
  • CZ – země vydavatele identifikátoru
  • ES – země pro kterou byl identifikátor vydán
  • B5e81148-2b… - bezvýznamový unikátní identifikátor
• pro každého IdP i SeP se vydává unikátně
• perzistentní
• pro OVM vystavena služba ISZR pro překlad BSI na AIFO v příslušné agendě
• základní identifikátor v rámci fungování IdP vůči NIA
• poslední prvek řetězce ZIFO - AIFO NIA - identifikační profil - BSI
  • asi použitelný zdroj správného pojetí - podle "Národního architektonického plánu" s. 155 je to obecnější pojem zahrnující AIFO, SePP, ..

Příklad implementace BSI

• mějme tabulku s osobami (t1 – osoby) a tabulku s referencemi (t2 – referenční tabulka)

t1 - osoby				t2 - referenční tabulka
t2.id	příjmení	jméno		id	bsi1 (AIFO)	bsi2 (NIA)	bsi3	bsi4
1	vonásek	petr		1	a1	b1	c1	d1
2	novák	jan		2	a2	b2
3	krásná	liběna		3	a3		c3	d3
4	jasná	růžena		4	a4	b4		d4
5	moudrý	jan		5	a5	b5	c5

• v systému je konkrétní osoba identifikovaná (t1.t2.id = t2.id)
• v t2 jsou BSI na okolní systémy (systém 1 má hodnotu ve sloupci bsi1, s2 ve sloupci bsi2, …)
• pokud chceme komunikovat se systéme s2 a identifikovat osobu „novák“, pak použijeme bsi2=“b2“, atp. pro ostatní systémy.

Mechanizmus plnění obsahu a práce sv t2:

• uživatel přistoupí přes NIA (je autentizován)
  • v tokenu od NIA přijde BSI (označován jako SePP) + další atributy osoby. Pokud uživatel přichází poprvé (hodnota t2.bsi2 nenalezena), pak:
    • s hodnotou token.bsi se volá ISZR služba e226 – eidentitactiaifo. Ta vrátí AIFO, které je třeba doplnit/propojit s hodnotou t2.bsi1
    • s dalšími atributy v tokenu se volá ISZR e05 – robctipodleudajů. Ta vrátí AIFO, které je třeba doplnit/propojit s hodnotou t2.bsi1
• ztotožnění kmene (kmen osob z t1)
  • s atributy z t1 se volá ISZR e05 – robctipodleudajů. Ta vrátí AIFO, které je třeba doplnit/propojit s hodnotou t2.bsi1

Mechanizmus překladu různých BSI

Systém "1" vezme AIFO "1", které chce předat jinam, zavolá ISZR a získá GUID (označení úložky). Tuto úložku pošle cílovému systému "2", nebo "n" systémům, a ty si díky připojení k ISZR z této úložky získají svoje vlastní AIFO "2" (AIFO "n") různé od původního systému, které opět ukazuje na jednu konkrétní identitu subjektu - tedy ZIFO.

Kritická místa

• zavádění jmen cizinců (přepis jména do latinky) např. Александр Хоботов jako Alexandr Chobotov, Alexandr Chobotof a Alexander Chobotov tj. mohou vzniknout tři různé identity pro jednu fyzickou osobu

Evidence vedená v NIA

je stanovena zákonem O elektronické identifikaci a zahrnuje

• produkční data (§ 21 odst. 1):
  • identifikátor prostředku pro elektronickou identifikaci
  • úroveň záruky tohoto prostředku
  • ..
• provozní údaje (§ 21 odst. 2)
  • datum prvotního zápisu údaje
  • datum jeho poslední změny
  • ..
• evidenci vydaných prostředků (§ 22 odst. 1)
  • jméno/a a příjmení
  • adresu trvalého bydliště
  • ..

Služby NIA

• ztotožnění (TR_ZTOTOZNENI) - provádí ztotožnění subjektu vůči ISZR na základě dat obsažených ve volání. Výsledkem kladného ztotožnění je IdPP
• zápis identifikačního prostředku do evidence NIA, nastavení stavu prostředku - Identifikace subjektu prostřednictvím IdPP, jsou zapisována data podle zákona + data o stavu prostředku
• změna stavu prostředku v evidenci - Identifikace subjektu prostřednictvím IdPP, identifikace prostředku prostřednictvím záznamu z předchozího kroku
• notifikace - vrací data o změnách subjektů a prostředků v evidenci NIA a PBSI

Informace o kvalifikovaném správci

• Název IdP – například elektronický občanský průkaz (CZ/EN/DE)
• Logo poskytovatele prostředku
• Popis prostředku v HTML formátu (CZ/EN/DE)
• URL adresa s podrobnými informacemi o prostředku
• Další technické údaje jako:
  • URI s metadaty
  • Certifikáty
  • LoA
  • ..

Životní cyklus identity/identifikačního prostředku

• vznik - viz. Knotek/10
• správa - viz. Knotek/11
• použití - viz. Knotek/11
  • občan ČR > služba ČR ../13
  • občan ČR > služba EU ../14
  • občan EU > služba ČR ../15
• zánik - viz. Knotek/12

Portál občana

• vyžadováno
  • přístup se zaručenou identitou
  • evidence v ROB
• SSO - pouze pro NIA přihlášení, protože AS ISDS se chová poněkud specificky viz. SSO a ISDS. Jednoznačná identifikace by měla být postavena ideálně na AIFO
• typy dlaždic
  • statická - odkaz na službu
  • metadatově řízená - zobrazuje data z jiného IS při využití FE API (uživatel, role, ..) a BE API (eGSB, ISZR, webové služby vystavené v CMS..)
  • volná - s vlastní logikou využívající API dle autorizace. Volání externích služeb
  • generická - zatím hypotetická

Umožňuje i jiné způsoby integrace, než dlaždice.

PO jako transakční část PVS spadá mezi kritickou informační infrastrukturu státu, a nelze si proto dovolit snížení úrovně důvěry, resp. bezpečnosti systému nakládání s osobními údaji – jinými slovy nesmíme připustit, aby došlo ke kompromitaci osobních údajů uživatele.

Pracuje se na nové koncepci PO, kde budou dlaždice, jak je známe v dnešní podobě, pravděpodobně upozaděny, naopak do popředí bude postaven katalog služeb veřejné správy z RPP a systém rolí, který by měl nabídku služeb (a tedy i dlaždic) na PO výrazně personalizovat. Toto je ale otázkou průběhu roku 2021 a let dalších.

SSO a ISDS

Uživatel DS se po dobu přihlášení do webklienta DS nemusí znovu autentizovat, když jde z/na stránky jiné aplikace, která umožňuje přihlášení pomocí AS ISDS. Je pouze požádán o odsouhlasí předání informací aplikaci, přičemž se vypisuje název aplikace a její poskytovatel (SeP). Naopak autentizovaný uživatel jiné aplikace (např. Portálu občana), který chce vstoupit do webové DS, se autentizovat musí. Důvodem je právní jistota, aby nedocházelo k nechtěnému doručení datových zpráv. Tedy při využití prostředků ISDS funguje SSO za zcela specifických podmínek.

• příklad pro situaci, kdy chceme být současně přihlášení do PO i webklienta DS prostřednictvím AS ISDS. Pak záleží na pořadí, kdy
  • webklient DS > PO = jedno přihlášení (SSO funguje)
  • PO > webklient DS = dvojí přihlášení (SSO nefunguje)
• služby viz. https://www.datoveschranky.info/o-datovych-schrankach/moznosti-vyuziti-datove-schranky
  • https://eportal.cssz.cz/ např. důchodová kalkulačka
  • výpis z bodového konta řidiče - https://portal.gov.cz/formulare/vypis-z-bodoveho-konta-ridice/online
  • výpisy z ISVS
  • Daně elektronicky

Příklady

• akreditace pro mojeID
• Hradec Králové - https://identity.mmhk.cz

Scénáře/situace

Vznik duplicit

Sňatek občana ČR s cizinkou dlouhodobě žijící na území ČR

Cizinka má s ohledem na dlouhodobý pobyt záznam v ROB a tudíž i ZIFO. Primární editor ze své nedočkavosti založí do ROBu nový záznam a novomanželka získá nové ZIFO. Tím vznikne v základních registrech duplicita, ale jednotliví editoři mají snahu tuto duplicitu opravit. Do té doby existuje v základním registru 2x stejná fyzická osoba z různými atributy (typicky různá příjmení, často adresa, ..). Chyba se již ale šíří v identifikátorech mimo základní registry a dorazí do NIA. NIA má díky tomu informaci, že žena, která zde používala NIA ID ještě coby cizinka, je jiná osoba než ta, která zde používá nově občanský průkaz a také NIA ID. Od této chvíle tedy obecně existuje jedna fyzická osoba, která má dvě identity a nic ji nebrání obě tyto identity používat. Aby to bylo ještě zajímavější, tak dle první identity (cizinky) je stále svobodná a může se znovu provdat s šancí vzniku třetího ZIFO..

Náprava: Až se cizinka dostaví na cizineckou policii a oznámí, že se provdala, editor může začít s opravou dat. To funguje tak, že se vezmou ZIFO (2 a více podle počtu svateb), vytvoří se další ZIFO a ZIFO původních subjektu se zruší. V rámci základních registrů se provede tzv. sloučení. Výsledkem sloučení je nová vazba ZIFO/AIFO. Národní bod dostane informaci, že jeho AIFO 1 a AIFO 2 (nebo více) bylo sloučeno, a je nahrazeno AIFO novým. Národní bod se podívá, jestli má na AIFO 1 nebo 2 nebo N veden profil. Pokud ano, pokusí se také záznamy sloučit. Pokud měl však uživatel NIA ID (které může mít pouze jedno), nedokáže si s takovou změnou poradit a provede to, co je pro něj nejjednodušší. Tedy vypne identifikační profily, protože netuší, který z nich je ten původní subjekt. Pokud ale dojde do stavu, kdy má pouze jedno ze zrušených AIFO, udělá si opravu ve své evidenci a nic se na výstupních BSI nemění (protože ty jsou navázána na číslo profilu)

Pojmy

Není-li uvedeno jinak, jsou výklady převzaty z Příručky NIA pro SePy, tabulka "Seznam zkratek a pojmů".

• agenda - souhrn úředních činností, většinou vázaný na konkrétní správní činnost, např. Agenda registru občanských průkazů, Agenda procesu územních řízení, .. Neúplný přehled viz. https://www.mvcr.cz/clanek/katalogy-agend-a-cinnosti-verejne-spravy.aspx
• AIFO - agendový identifikátor fyzické osoby. Vzniká návazně na ZIFO jako AIFO ROB a patří primárnímu editorovi. Evidovaným subjektům (občané ČR, cizinci s trvalým pobytem, ..) jsou doplněny atributy jako jméno, příjmení, datum narození, atd. Tento BSI, který vydává ISZR.
• AIS - agendový informační systém tj. informační systém veřejné správy, který slouží k výkonu Agendy.
• AISEO - Agendový informační systém evidence obyvatel
• AS ISDS - autentizační služba ISDS
• BSI - bezvýznamový směrový identifikátor sloužící k určení konkrétní osoby mezi dvěma(!) systémy. Smyslem zavádění tohoto pseudonymu je lepší ochrana osobních data a náhrada rodné číslo napříč všemi systémy. Významnější BSI mají specifická pojmenování např. AIFO je BSI, který vydává ISZR, SePP nebo IdPP je BSI, které vydává NIA
• CIS - Cizinecký informační systém
• CMS - Centrální místo služeb - jediné místem výměny dat mezi jednotlivými ISVS a zároveň jediným místem propojení k veřejné síti internet a specifických neveřejných sítí např. sítí Evropské unie
• číslo identifikačního profilu
• DS - datová schránka. Umožňuje celou řadu způsobů přihlášení, včetně NIA. Má klientský a dokumentační web
• GUID - označení úložky tj. jednoznačný identifikátor, který ISZR přiděluje příchozím požadavkům a oznamuje volajícímu AISu
• eGON - ??
• eGSB (eGon Service Bus) - společné referenční rozhraní umožňujcí výměnu oprávněných údajů mezi AIS
• eOP (e-OP) - Elektronický občanský průkaz
• identifikační profil - vzniká v NIA a jsou k němu navázány BSI
• identifikační prostředek - ??
• identita - ??
• IdP (Identity Provider) - poskytovatel identit
• IdPP (Identity Provider Pseudonym) - ??. Tento BSI vydává NIA.
• IS - informační systém
• ISDS - Informační systém datových schránek
• ISVS - informační systém/y veřejné správy
• ISZR - Informační systém základních registrů (zkráceně základní registry)
• KIVS - Komunikační infrastruktura veřejné správy
• kompozitní služba - ??^[zdroj?]
• kvalifikovaný správce - správce systému splňujíc zákoná kritéria
• LoA (Level of Assurance) - stupeň (úroveň) jistoty nebo zajištění/ověření/záruky. V nařízení eIDAS definováno třístupňově jako Low, Substantial a High.
• mezinárodní brána/uzel/přípojný bod eIDAS - jako součást NIA zprostředkovává komunikaci mezi národními identitními systémy členských zemí EU.
• NB - Národní bod - synonymum pro NIA
• NIA - Národní identitní autorita - je ISVS udržující vazbu mezi základní elektronickou identitou fyzické osoby (ZIFO záznam v ROB) a instancemi elektronické identity této osoby u SePů, tedy AIFO. Má spoustu kontextově (právní, technický, organizační(?), eIDAS, SAML, ..) alternativních názvů/synonym jako:
  • eIdentita | eidentita.cz | eIDENTITA.CZ (od těchto názvů se upouští pro podobnost se soukromoprávní "eIdentity a.s.") | Portál národního bodu pro identifikaci a autentizaci či jen Portál národního bodu - zpřístupňuje funkcionalitu pro občany a poskytovatele služeb (SeP)
  • identifikační brána
  • Národní bod pro identifikaci a autentizaci (asi plný oficiální název, dle legislativní definice jen Národní bod x mimo kontext ztrácí smysl)
    • ve schématu "Přípojný bod" (je to totéž?)
  • Národní identifikační autorita
  • Portál NIA
  • objevuje se i v systémech jako NIA x eIDENTITA.CZ
• NIA ID - název pro dvoufaktorového ověření totožnosti na základě uživatelského jména, hesla a zaslaného SMS kódu
• ORG (též IS ORG) - neveřejná uvnitř ISZR komunikující komponenta zajišťující ochranu osobních údajů - uchovává výhradně ZIFO a IAFO kterých je generátorem. Pro schopnost převádět AIFO jedné agendy na AIFO agendy druhé je nazýván převodník identifikátorů, provozovatelem je ÚOOÚ.
• OVM - orgán veřejné moci
• PBSI - ?? (ve schématu na straně 2)
• PO - Portál občana - brána k online službám státu
• primární editor - závisí na konkrétním registru, např. pro ROB to může být některý z editačních AISů jako AISEO, CIS atd.
• PVS - Portál veřejné správy
• ROB - registr obyvatel, součást ISZR
• RPP - registr práv a povinností, součást ISZR
• SSO (Single sign-on) - sjednocené přihlášení – umožňuje uživatelům jediné přihlášení, které jim zpřístupní informační služby z více různých systémů bez opětovného požadavku na ověření např. řešení pro Sesterské wikiprojekty
• SZR - Správa základních registrů - správní úřad České republiky
• SeP (Service provider) - poskytovatel služeb
• SePP - ??. Tento BSI vydává NIA.
• typ datové schránky závisí na typu subjektu a způsobu zřízení (ze zákona nebo na žádost) viz. https://www.datoveschranky.info/chci-datovku/typy-datovych-schranek
• ÚOOÚ - Úřad pro ochranu osobních údajů
• zaručená identita (§ 2 písm. t) zákona č. 365/2000 Sb. o ISVS). Poskytovateli jsou NIA a ISDS
• ZIFO - zdrojový identifikátor fyzické osoby (viz. https://www.szrcr.cz/cs/org-prevodnik-identifikatoru). Vzniká při prvním zápisu do základních registrů, konkrétně ROBu a je uložen v ORG. Spárování s identitami externích systémů se děje pomocí BSI, tudíž hodnota ZIFO nikdy neopouští ISZR.

Odkazy

Literatura

• Slovník pojmů eGovernmentu [online]. MV ČR, [cit. 2020-08-19]. Dostupné online. (cs)
• ZMEŠKAL, Kamil. Budoucnost využívání rodných čísel [online]. 2020-08-10, [cit. 2020-08-18]. Dostupné online. (cs)

Související články

• .

Externí odkazy

• AAI Playground - testovací instance ověření pomocí NIA (je třeba zvolit SAML2, pak NIA)
• Aplikace Designer dlaždic
• Dokumentovaná ukázková integrace s NIA
• Návod na připojení NIA.CZ pomocí eIDAS SAML
• Správa základních registrů - Vývojáři agendových informačních systémů
• Testovací instance NIA

Zahrnout

• debatu k e-referendu
• Služby vytvářející důvěru

Závěrečné dotazy

• je nějaká náhrada či nová adresa za http://forum.eidentita.cz/?
• ještě nevím, potřebujeme-li "Vytvoření důvěry mezi NIA a KS" viz. Knotek/16
• zdrojové aktualizované autoritativní dokumenty?