Enhanced PEPPOL. Kristin Maltau, DNB Kjell Arne Rekaa, Sparebank 1 Lars Fixdal, IT Arkitekt Nordea

Transkript

1 Enhanced PEPPOL Kristin Maltau, DNB Kjell Arne Rekaa, Sparebank 1 Lars Fixdal, IT Arkitekt Nordea

2 Bakgrunn Statsetatene ønsket enklere bytte av bank Samme filformater Samme kommunikasjonsprotokoll Forenklet sertifikathåndtering Samarbeid om ny kommunikasjonsløsning for sikker overføring av betalinger basert på PEPPOL Statsetater Leverandører av IT løsninger og tjenester Banker

3 Mange offentlige instanser er tunge brukere av banktjenester. Store mengder betalinger overføres via fil, f.eks. pensjoner. Banktjenester legges ut på anbud. Når en ny bank fikk en kontrakt med staten, var det behov for betydelig tilpassning/utvikling og testing for å få overføring av betalingsfiler til å fungere. Dette skapte merutgifter for alle parter. Frontet av Difi ble det startet et samarbeid for å spesifisere og utvikle en ny felles standard basert på PEPPOL. Arbeidet har involvert statsetater, banker, tjenesteleveranører, softwareleverandører og leverandører at IT sikkerhetstjenester.

4 Hva er nytt? Applikasjonsdomene Forretningsdomene Aktører kommuniserer for å gjøre forretninger Hvordan utveksle informasjon for et spesifikt formål: Innkjøp Fakturering Betalinger Enhanced PEPPOL Transport domene Kommunikasjonsteknologi PEPPOL Nettverket

5 PEPPOL / Baselined PEPPOL har eksistert en tid. Private og offentlige aktører kan benytte PEPPOL for å gjøre forretninger. PEPPOL omfatter prosesser, formater og kommunikasjon. Prosesser definer forløpet av meldingstyper som utveksles. For å benytte PEPPOL til filbaserte betalingsprosesser, trengtes noen utvidelser: Tilføye prosesser og filformater (ISO 20022) for betalinger. Sterkere sikkerhet Det innebar utvidelser på både applikasjons- og transport domenene. PEPPOL versjonen med disse utvidelsene kalles Enhanced PEPPOL. Utvidelsene inkluderer: Ende-til-ende kryptering mellom endepunktene (i Baselined PEPPOL erdet kryptering mellom aksesspunktene). Forbedret sporbarhet Håndtering av sertifikater for kryptering

6 Hva skiller Enhanced PEPPOL fra Baselined PEPPOL? Svaret er: Sikkerhet Eller: Bankene er klare med nytt grensesnitt er du? Her kommer incentiv og rasjonale for hvorfor du også raskest mulig vil ønske å si JA! Kjell Arne Rekaa, SpareBank 1 Banksamarbeidet DA kjell.arne.rekaa@sparebank1.no

7 Dagens bruk av datatransport (Eks: SFTP) 426 kommuner koblet sammen: koblinger/sertifikater! c = n(n-1) 2 men først hvorfor (Baselined) PEPPOL framfor andre transportmetoder? Skalering uten økt vedlikeholdskost. Hvis vi tenker at alle 426 kommuner skal kobles sammen med SFTP: koblinger og sertifikater, som skal utveksles og vedlikeholdes jevnlig.

8 The four corner model Sender 1 Service Metadata Locator Service Metadata Publisher Receiver 4 Access point Secure transport Access point 2 3

9 Er SSL/TLS/SFTP alltid helt trygt? Sjekk selv: MITM (Man-in-the middle)

10 Netcraft forteller (riktignok i 2016) at 95% av HTTPS-servere verden rundt har kapabilitet for å kunne være offer for Man-in-the-Middle angrep SSL Security Summary: This is the summary of the effective SSL security implemented by the most popular web sites. To be secure, a site has to be well configured, which means that it must have the A grade. In addition, it must not be vulnerable to any of the two currently known attacks against SSL (Insecure Renegotiation and the BEAST attack). SSL Labs Grade Distribution: The SSL Labs assessment grade reflects the quality of the configuration of an SSL web site. The assessment methodology is documented in the SSL Rating Guide. Sårbarhet mot gir laveste SSLLABS-rating på F: Denne eksponeringen finnes for flere skandinaviske banker! Prøv gjerne «egne HTTPS-sider» på SSLLABS. Noen linker: (NB: Unngå potensielt «Hall of Shame». Kryss av for «Do not show the result on the boards»)

11 Sender 1 Business Certificate Publisher Service Metadata Locator Version 1 hosted by Difi Hosted by EC Receiver 4 Document validation ASiC-e Encrypting - PKI PKI PEPPOL Service Metadata Publisher Secure transport Hosted by Difi in Norway ASiC-e Decrypting - PKI Connector REM evidence ASiC-e REM Sign evidence REM evidence Connector PKI (PEPPOL) AS2 MDN AS2 with timestamp 2 3 TLS HTTP

12 Enhanced PEPPOL: - Avsender har signert elektronisk (innhold garantert) - 2 lag kryptering (økt sikkerhet, ingen i hjørne 2 og 3 kan avlytte innhold) - Sikker levering med kvittering som bekrefter mottatt leveranse for avsender (som rekommandert brev) - HTTP-transport i bunn - TLS: Transport Layer Security (SSL) som krypterer trafikken - AS2: (Applicability Statement 2) is a specification about how to transport data securely and reliably over the Internet. Security is achieved by using digital certificates and encryption. - MDN: Messages may request a Message Disposition Notification (MDN) back if all went well, but do not have to request such a message. - PKI: Public Key Infrastructure - REM: Registered Electronic Mail. Signed evidence. - ASiC-E: Extended Associated Signature Containers, holding signed data elements/files

13 Oppsummering 7 år med «Baselined PEPPOL» håndterer 10-talls millioner årlige transaksjoner «Enhanced PEPPOL» er en utvidelse av sikkerhet og verifikasjon på innhold og mottak Evolusjon av Baselined, og vil være 100% bakoverkompatibel - sameksistens Finnes som OpenSource tilgjengelig på med dokumentasjon Vil komme i full produksjon i løpet av 2018 Vil kunne erstatte SFTP og andre filbaserte protokoller og mindre sikre API-løsninger Kjell Arne Rekaa, SpareBank 1 Banksamarbeidet DA kjell.arne.rekaa@sparebank1.no 13

14 Fra ide til løsning PoC (Proof of Concept) DNB / NAV «Veien ble til mens vi gikk» DNB valgte aksesspunkt fra Evry Mye venting, avklaringer Løpende avklaringer mellom NAV og DNB Viktig å ha samhandlingsmøter!! Bankene, Difi, Bits, Nav, Evry, ERP åpne møter/ åpen standard

15 September Oktober November Desember 2018 Oppstart våren 2017 PoC hele Juni Tekniske integrasjonstester mellom NAV og DNB/ EVRY Funksjonelle integrasjonstester Ytelsestester, interne og på tvers av organisasjoner Utvekslet filer over EPEPPOL i produksjon NAV / DNB 11.desember 2017 Utrulling og tuning