Differenze tra le versioni di "RequisitiEntita"

Da WIKI IDEM GARR.
Jump to navigation Jump to search
Riga 1: Riga 1:
−
__TOC__
+
__TOC__<br />
 +
===Security (SEC) - IdP & SP===
 +
<br />
 +
====SEC1 - Grado di robustezza SSL====
 +
il certificato SSL sulla porta 443 deve riportare '''almeno un grado B''' sullo strumento: https://www.ssllabs.com/ssltest/
 +
 
 +
e deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
 +
 
 +
[[#top|[TOP]]]
 +
 
 +
<br />
 +
====SEC2 - Chain issue====
 +
il certificato SSL sulla porta 443 deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
 +
 
 +
[[#top|[TOP]]]
 +
 
 +
<br />
 +
====SEC3 - Debian Weak Key====
 +
il certificato SSL sulla porta 443 deve essere '''privo di Debian Weak Keys'''
 +
 
 +
[[#top|[TOP]]]
  
 
==Identity Provider==
 
==Identity Provider==
Riga 156: Riga 176:
  
 
</syntaxhighlight>[[#top|[TOP]]]
 
</syntaxhighlight>[[#top|[TOP]]]
−
<br />
 
−
===Security (SEC)===
 
−
<br />
 
−
====SEC1 - Grado di robustezza SSL====
 
−
il certificato SSL sulla porta 443 deve riportare '''almeno un grado B''' sullo strumento: https://www.ssllabs.com/ssltest/
 
−
 
−
e deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
 
−
 
−
[[#top|[TOP]]]
 
−
 
−
<br />
 
−
====SEC2 - Chain issue====
 
−
il certificato SSL sulla porta 443 deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
 
−
 
−
[[#top|[TOP]]]
 
−
 
−
<br />
 
−
====SEC3 - Debian Weak Key====
 
−
il certificato SSL sulla porta 443 deve essere '''privo di Debian Weak Keys'''
 
−
 
−
[[#top|[TOP]]]
 
−
 
 
<br />
 
<br />
 
===Federation (IDP-FED)===
 
===Federation (IDP-FED)===
  
−
==== IDP-FED1 - Data ====
+
====IDP-FED1 - Data====
 
un Identity Provider in IDEM deve essere in grado di rilasciare determinate informazioni:
 
un Identity Provider in IDEM deve essere in grado di rilasciare determinate informazioni:
  
Riga 353: Riga 351:
 
<br />
 
<br />
  
−
=== Federation (SP-FED) ===
+
===Federation (SP-FED)===
 
<br />
 
<br />
 
====SP-FED1 - Data====
 
====SP-FED1 - Data====

Versione delle 14:46, 19 apr 2021


Security (SEC) - IdP & SP


SEC1 - Grado di robustezza SSL

il certificato SSL sulla porta 443 deve riportare almeno un grado B sullo strumento: https://www.ssllabs.com/ssltest/

e deve essere privo di "chain issue" (errori sulla catena della CA)

[TOP]


SEC2 - Chain issue

il certificato SSL sulla porta 443 deve essere privo di "chain issue" (errori sulla catena della CA)

[TOP]


SEC3 - Debian Weak Key

il certificato SSL sulla porta 443 deve essere privo di Debian Weak Keys

[TOP]

Identity Provider

I requisiti indicati devono essere soddisfatti al fine di accedere alla Federazione Italiana delle Identità Digitali IDEM GARR AAI.

Metadata (IDP-MD)


IDP-MD1 - Scope

<shibmd:Scope> deve assumere valori disponibili per l'organizzazione. Verifica eseguita con WHOIS.


Esempio: 

<shibmd:Scope>example.org</shibmd:Scope>

[TOP]


IDP-MD2 - DisplayName

<mdui:DisplayName> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:DisplayName xml:lang="en">Example University</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Università di Esempio</mdui:DisplayName>

[TOP]


IDP-MD3 - Description

<mdui:Description> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:Description xml:lang="en">Identity provider for Example University user</mdui:Description> 
<mdui:Description xml:lang="it">Identity provider per gli utenti di Università di Esempio</mdui:Description>

[TOP]


IDP-MD4 - InformationURL

<mdui:InformationURL> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...informativa in italiano...</mdui:InformationURL>

[TOP]


IDP-MD5 - PrivacyStatementURL

<mdui:PrivacyStatementURL>deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>

[TOP]


<mdui:Logo> deve essere valorizzato con una URL https:// riportante il logo dell'organizzazione in formato PNG (sfondo possibilmente trasparente) nei formati:

  • 16x16 pixel (o maggiore se rispetta l'aspect-ratio)
  • 80x60 pixel (o maggiore se rispetta l'aspect-ratio)


Esempio: 

<mdui:Logo width="16" height="16">https://...favicon_16x16.png...</mdui:Logo>
<mdui:Logo width="80" height="60">https://...logo_80x60.png...</mdui:Logo>

[TOP]


IDP-MD7 - OrganizationName

<md:OrganizationName> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationName xml:lang="en">Example University</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Università di Esempio</md:OrganizationName>

[TOP]


IDP-MD8 - OrganizationDisplayName

<md:OrganizationDisplayName> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationDisplayName xml:lang="en">Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Università di Esempio</md:OrganizationDisplayName>

[TOP]


IDP-MD9 - OrganizationURL

<md:OrganizationURL> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionalein italiano...</md:OrganizationURL>

[TOP]


IDP-MD10 - ContactPerson

<md:ContactPerson> deve essere valorizzato almeno il contactType="technical" con un indirizzo impersonale (mailing-list)


Esempio: 

<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>

[TOP]


IDP-MD11 - validUntil

validUntil deve essere rimosso assieme al suo valore in quanto sarà la Federazione a stabilirlo

[TOP]


IDP-MD12 - endpoint

Tutti i seguenti endpoint nei metadata devono iniziare con https:// ed avere il giusto Binding=:

  • <ArtifactResolutionService>
  • <SingleLogoutService>
  • <SingleSignOnService>
  • <AttributeService> (solo se esiste <AttributeAuthorityDescriptor>)

Esempio:

<ArtifactResolutionService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="https://..." index="1"/>

<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign" Location="https://..."/>

<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign" Location="https://..."/>
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>

[TOP]


Federation (IDP-FED)

IDP-FED1 - Data

un Identity Provider in IDEM deve essere in grado di rilasciare determinate informazioni:

  1. Un identificativo univoco persistente e targhettizzato per i suoi utenti:
    • persistent-id (persistent NameID) (o eduPersonTargetedID se non è possibile rilasciarlo)
  2. L'affiliazione dell'utente con scopo:
    • affiliation (eduPersonScopedAffiliation)

Esempio con sp.aai-test.garr.it:

affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent-id = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=

[TOP]


IDP-FED2 - Info Page

La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere:

  1. indirizzo di posta elettronica per il supporto agli utenti in merito a IDEM e alle credenziali di autenticazione
  2. La Privacy Policy per l’utente contenente gli attributi che potrebbe rilasciare alle risorse federate
  3. (fortemente raccomandato) Logo di IDEM e link al Sito di IDEM

[TOP]

IDP-FED3 - Privacy Page

La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere le adeguate informazioni circa la Privacy dei suoi utenti.

A titolo esemplificativo, IDEM, fornisce la seguente pagina: InformativaDatiPersonaliIdP

[TOP]


IDP-FED4 - Login Page

La pagina di login di un Identity Provider federato in IDEM deve contenere:

  • il riferimento alla pagina Informativa inserita in <mdui:InformationURL>
  • il riferimento alla pagina di Privacy Policy inserita in <mdui:PrivacyStatementURL>
  • il logo di IDEM (Logo IDEM)
  • il riferimento del Contatto Tecnico o di Supporto per le problematiche legate all'accesso alle risorse da parte dei propri utenti

[TOP]

Service Provider


Metadata (SP-MD)


SP-MD1 - DisplayName

<mdui:DisplayName> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese e non può contenere il valore "IDEM" riservato al Servizio.


Esempio: 

<mdui:DisplayName xml:lang="en">Resource provided by Example Organization</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Risorsa erogata da Organizzazione di Esempio</mdui:DisplayName>

[TOP]


SP-MD2 - Description

<mdui:Description> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:Description xml:lang="en">The resource allow you to ...</mdui:Description> 
<mdui:Description xml:lang="it">La risorsa ti permette di ...</mdui:Description>

[TOP]


SP-MD4 - InformationURL

<mdui:InformationURL> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...informativa in italiano...</mdui:InformationURL>

[TOP]


SP-MD5 - PrivacyStatementURL

<mdui:PrivacyStatementURL>deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>

[TOP]


<mdui:Logo> deve essere valorizzato con una URL https:// riportante il logo dell'organizzazione in formato PNG (sfondo possibilmente trasparente) nei formati:

  • 80x60 pixel (o maggiore se rispetta l'aspect-ratio)


Esempio: 

<mdui:Logo width="80" height="60">https://...logo_80x60.png...</mdui:Logo>

[TOP]


SP-MD7 - RequestedAttribute

<md:RequestedAttribute> devono essere valorizzati almeno per tutti gli attributi necessari all'accesso e all'utilizzo della risorsa federata.


Esempio: 

<md:RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>
<md:RequestedAttribute FriendlyName="displayName" Name="urn:oid:2.16.840.1.113730.3.1.241" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>

[TOP]


SP-MD7 - OrganizationName

<md:OrganizationName> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationName xml:lang="en">Example Organization</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Organizzazione di Esempio</md:OrganizationName>

[TOP]


SP-MD8 - OrganizationDisplayName

<md:OrganizationDisplayName> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationDisplayName xml:lang="en">Resource provided by Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Risorsa fornita da Università di Esempio</md:OrganizationDisplayName>

[TOP]


SP-MD9 - OrganizationURL

<md:OrganizationURL> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.


Esempio: 

<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionalein italiano...</md:OrganizationURL>

[TOP]


SP-MD10 - ContactPerson

<md:ContactPerson> deve essere valorizzato almeno il contactType="technical" con un indirizzo impersonale (mailing-list)


Esempio: 

<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>

[TOP]


Federation (SP-FED)


SP-FED1 - Data

un Service Provider in IDEM riceve automaticamente le seguenti informazioni:

  1. Un identificativo univoco persistente e targhettizzato dell'utente:
    • persistent-id (persistent NameID) (o eduPersonTargetedID se non è possibile rilasciarlo)
  2. L'affiliazione dell'utente con scopo:
    • affiliation (eduPersonScopedAffiliation)

Esempio con sp.aai-test.garr.it:

affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent-id = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=


Ogni informazione aggiuntiva richiesta per l'utilizzo della/e risorsa/e protetta/e dal Service Provider va motivata adeguatamente a idem-help@garr.it.

[TOP]

SP-FED2 - Info Page

La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere:

  1. la descrizione del servizio reso
  2. il pubblico a cui si rivolge il servizio reso
  3. la denominazione dell'organizzazione che la condivide
  4. indirizzo di posta elettronica per il supporto agli utenti e ai gestori di Identity Provider
  5. un riferimento alla Privacy Policy adottata dal servizio

[TOP]

SP-FED3 - Privacy Page

La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere le adeguate informazioni circa la Privacy seguita dal servizio.

A titolo esemplificativo, IDEM, suggerisce la seguente pagina: https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers

[TOP]


SP-FED4 - Login Page / Discovery Service

La login di una risorsa federata protetta da un Service Provider federato in IDEM deve contenere:

  • il logo di IDEM (Logo IDEM) [e il logo di eduGAIN (JPG | PNG) se vi ha aderito]
  • un elenco degli IdP in IDEM [e in eduGAIN se vi ha aderito]

[TOP]

Estratto da "https://wiki.idem.garr.it/w/index.php?title=RequisitiEntita&oldid=9631"