Teknisk informasjon om bruk av BankID - Ansattes bruk av nettbank fra arbeidsplassen

Transkript

1 Teknisk informasjon om bruk av BankID - Ansattes bruk av nettbank fra arbeidsplassen Dette notatet gir teknisk informasjon om hvordan man kan løse problemer dersom BankID ikke virker som det skal. Informasjonen er skrevet med tanke på at systemadministratorer i virksomheter skal kunne identifisere problemer knyttet til bruk av BankID på arbeidsplassen og løse disse problemene. BankID er en sikkerhetstjeneste, etablert av bankene i felleskap. Tjenesten tilbyr sikker identifisering og digital signatur på Internett. Bankene har nå startet utrulling av BankID til sine kunder. Det betyr at de fleste privatpersoner i Norge i løpet av kort tid vil benytte BankID til identifisering og digital signatur mot nettbanker, offentlige tjenester på nett, og andre nettsteder som krever sikker identifisering og digital signatur. For å kunne tilby en sikker infrastruktur til alle brukere av personlige datamaskiner, forutsetter bruk av BankID at det benyttes BankID-klient ved identifisering og digital signatur. BankID klient er en digitalt signert Java-applet som lastes ned fra BankID Infrastruktur hver gang BankID benyttes. Klienten lastes og kjøres i brukerens nettleser, og kommuniserer kryptert med banken og det nettstedet som brukeren kommuniserer med. For å benytte BankID klient må en bruker ha anledning til å laste ned og kjøre signerte og usignerte Java-applets og kunne sette opp kryptert kommunikasjon mot banken. De aller fleste virksomheter har i dag etablert en effektiv sikkerhetspolicy i sine IT-systemer for å forhindre uønsket aktivitet i nettverket. I noen virksomheter er denne policyen implementert teknisk slik at den forhindrer nedlasting av BankIDapplet og kryptert kommunikasjon mot banken. Nedenfor er det beskrevet generelle krav, krav til Java-støtte og nettverkstrafikk. Det gis også forslag som i de fleste tilfeller skal være tilstrekkelig til å løse problemene. BankID Side 1 av 6

2 Generelle krav De mest brukte datamaskin-plattformer støttes. Med datamaskin-plattform menes her en kombinasjon av operativsystem, nettleser og Java-versjon. Det er verdt å merke seg at BankID ikke virker dersom Java ikke er installert på datamaskinen. Med java menes her Java Runtime Environment (JRE) fra Sun Microsystems eller Java Virtual Machine (JVM) fra Microsoft. Krav til Java på brukerens datamaskin For brukeren opptrer BankID som en integrert del i nettleseren. Selve BankID funksjonen er implementert som en Java-applet (dvs kjørbar programvare). Denne Java-appleten har funksjoner for input/output og kryptert kommunikasjon mot brukerstedet og BankID infrastruktur. BankID Java-applet er på ca 100kB og lastes ned hver gang BankID skal benyttes. Etter som BankID Java-applet er signert må brukeren svare ja på sikkerhetsadvarselen som spør om brukeren ønsker å laste ned og installere Java-applet signert av Bankenes Betalingssentral AS. Forut for at den signerte BankID Java-appleten lastes, kjøres en usignert detektor applet. Denne er transparent for brukeren, og hensikten med denne er å verifisere at BankID kan benyttes fra gjeldende datamaskin. Denne appleten rapporterer tilbake til BankID infrastruktur hvilken datamaskin-plattform brukeren har, slik at brukeren kan få lastet ned riktig versjon av BankID Javaapplet. Brukerens datamaskin må derfor kunne laste ned og kjøre Java applets (både signerte og ikke-signerte). Dersom Java kjøremiljø (JVM/JRE) ikke er installert på datamaskinen må denne kunne lastes ned og installeres, før BankID kan tas i bruk. Kort oppsummert forutsetter BankID følgende Java oppsett på datamaskinen Brukeren må kunne svare ja på sikkerhetsadvarselen Datamaskinen må ha en nyere versjon av JVM/JRE Datamaskinen må kunne laste ned og kjøre både ikke-signerte og signerte Java-applets BankID Side 2 av 6

3 Krav til nettverkstrafikk bruk av BankID via en proxy server/brannmur Bankenes Betalingssentral (BBS) er operatør for BankID infrastruktur. For å benytte BankID forutsettes det at brukerens datamaskin kan kommunisere mot BBS sine servere for nedlasting av BankID Java-applet og kryptert kommunikasjon mot BankID sentrale servere. BankID Java-applet kommuniserer mot sentral infrastruktur og BankID brukersted via HTTPS på port 443, hvilket er standard port benyttet ved HTTPS datatrafikk. Denne porten må følgelig være åpen for HTTPS datatrafikk. BankID Java-applet lastes ned fra BBS sin webserver. URL til denne webserveren er BankID Java-applet benytter normalt proxyinstillingene som gjelder i nettleseren. Dersom proxy-innstillinger er lagt til Java Virtual Machine/Runtime Environment, må denne samsvare med nettleserens proxy-innstillinger. Bruk av BankID applet BankID bruker 1. Applet tag som inneholder URL: Port 443 Porter 80 og Nedlasting av BankID klient - Java applet BankID brukersted (nettbank, nettbutikker, ) 3. Bruk av BankID Port BBS Bankenes betalingssentral De aller fleste BankID brukersteder tilbyr sine tjenester over HTTPS på port 443. Hvis proxy er av typen som utfører SSL-tunneling vil BankID Java-applet kunne lastes ned til brukerens PC uten at eventuelle blokkeringer i proxy fanger opp dette. Det vil være innstillinger i nettleseren og operativsystemet på datamaskinen som avgjør om BankID Java-applet kan initialiseres og kjøre. Proxy server må også tillate applet tags i HTML koden fra BankID brukersted for å fungere (se figuren ovenfor). Det er verdt å merke seg at dersom brukere tidligere har hatt, eller fortsatt har tilgang til nettbanken med en annen innloggingsmekanisme enn BankID, så er port 443 (HTTPS) etter all sannsynlighet tilgjengelig fra datamaskinen. Problemer med BankID er da knyttet til Java kjøremiljø. BankID Side 3 av 6

4 BankID Java-appleten krever tilgang til ekstern DNS informasjon. Java-Appleten må kunne gjøre DNS-oppslag på et brukersteds domenenavn og få tilbake dets IP-adresse. Dette er en viktig sikkerhetsfunksjon i BankID. Java-Appleten vil prøve å nå DNS-serveren via datamaskinens konfigurerte DNSserver. Denne serveren kan være en virksomhetsintern DNS-server, som igjen kan spørre en ekstern DNS-server ved behov. Dersom en virksomhet eller nettverk ikke tillater slikt DNS-server oppslag er det følgende muligheter: Legge inn sone filer på intern DNS-server som tilbyr mapping av godtatte BankID brukersteder. Oppdatere hosts-filen på hver datamaskin som tillates å kjøre BankID, med kombinasjon vertsnavn og IP-adresse for godtatte BankID brukersteder. Enkelte virksomheter benytter proxyserver på klientnivå. Det er da viktig at disse er konfigurert slik det er beskrevet ovenfor. Kort oppsummert forutsetter BankID følgende oppsett av brannmur/proxyserver: Proxyinnstillinger i nettleser må også gjelde for Java kjøremiljø Kommunikasjon over HTTPS (port 443) og mot BBS og brukersted Proxyserver bør være satt opp med SSL tunneling Proxyserver må tillate applet-tags i HTML kode Tilgang til eksternt DNS-oppslag, mapping av BankID brukersteder i DNS, evt oppdatering av hosts-fil på klientmaskin. BankID Side 4 av 6

5 Hvordan løse problemer De fleste av brukerproblemene med BankID er knyttet til nedlasting/bruk av Java og datakommunikasjon fra BankID klient mot brukersted og sentral infrastruktur. Mange supporthenvendelser har latt seg løse med nedlasting / installasjon av Java på brukerens maskin. Gjennomgang av innstillinger i nettleser på brukerens datamaskin har i mange tilfeller også vært nyttig. I Internet Explorer kan man for eksempel kontrollere at det i Alternativer for Internett er krysset av for at man skal bruke Java for applets. Det har imidlertid vist seg å være noen problemer knyttet til oppsett av proxy/router/brannmur. Det er derfor viktig å gå gjennom kravene nevnt i dette dokumentet og sette opp disse nettverkskomponentene til å tillate denne typen datatrafikk. Problem BankID Java-applet lastes ikke ned / startes ikke opp Årsak Java kjøremiljø er ikke installert på maskinen Brukeren har svart nei på sikkerhetsadvarselen som spør om tillatelse til å laste ned og kjøre signert BankID Java-applet. Virksomhetens proxyserver/brannmur tillater ikke nedlasting av Java-applets. Virksomhetens proxyserver tillater ikke applet-tags i HTML kode fra brukerstedet. Nettleseren er ikke satt opp til å bruke Java kjøremiljø for Java-applets. Java-applet lastes ned og startes opp, men brukeren får en feilmelding Proxyinnstillinger for Java Virtual Machine er ikke de samme som for nettleser. Port 443 (HTTPS) er ikke tilgjengelig for Java kjøremiljø. SSL tunneling er ikke tilgjengelig for Java kjøremiljø. Java kjøremiljø har ikke tilgang til DNS server. BankID Side 5 av 6

6 Hvordan teste om en datamaskin kan kjøre BankID Systemadministratorer som ønsker å teste om BankID virker fra en arbeidsplass i virksomheten, kan gjøre dette ved å gå inn på følgende webside: BankID Side 6 av 6