Allgemeines - egovpartner

Kanton Zürich
Systemabnahme
Datenlogistik ZH
Helpdesk: 043 259 39 09, [email protected], www.datenlogistik.zh.ch
18. Januar 2016
1/4
Sicherheitsabnahmeprotokoll eUmzugZH für
Personenidentifikationsservice
Zweck
Im Rahmen des elektronischen Umzugs wird eine Personenindentifikation mittels eines Webservice direkt im System der Einwohnerkontrolle durchgeführt. Da die Webservice-Abfragen
über das Internet (oder LEUnet) übertragen werden, ist eine erhöhte Sicherheit notwendig.
Mit der Unterzeichnung dieser Abnahme wird die Umsetzung der minimalen Anforderungen
bestätigt.
Allgemeines
Die Erfüllung der minimalen Sicherheitsanforderungen (Sicherheitskriterien) ist eine Bedingung, dass eine Gemeinde an eUmzugZH teilnehmen kann. Werden die minimalen Sicherheitsanforderungen nicht erfüllt, wird die produktive Aufschaltung verweigert.
Nachfolgende Sicherheitskriterien beschreiben die minimalen Anforderungen, die optionalen
Sicherheitskriterien (IP-Filterung) können, müssen aber nicht erfüllt werden.
Sicherheitskriterien
HTTPS-Verschlüsselung
externalAuthorisation
Webservice
Whitelist
Die Abfragen müssen SSL-verschlüsselt erfolgen, daher ist pro Endpoint ein offizielles und
gültiges SSL-Zertifikat notwendig. Für Gemeinden, welche den Service nicht in einer DMZ
anbieten können und die Kommunikation über das LEUnet stattfindet, ist ein WildcardZertifikat vorgesehen (*.gde.ktzh.ch, der * ist der Gemeindename).
Das BFS stellt den Webservice „externalAuthorisation“ zur Verfügung, mit dem überprüft werden kann, ob die abfragende Stelle berechtigt ist, eine Personenidentifikation durchzuführen.
Dabei wird das SedexClientZertifikat vom BFS überprüft.
Da jedoch in Zukunft wahrscheinlich weitere Kantone bzw. Plattformen den eUmzugCH implementieren, werden all diese die Berechtigung gemäss externalAuthorisation erhalten. Damit
ein anderer Kanton nicht auf die Einwohnerdaten des Kantons Zürich zugreifen kann, muss
noch eine Whitelist-Prüfung erfolgen.
Anhand einer Whitelist wird überprüft, ob im Sedex-Zertifikat der abfragenden Stelle als Name
der Kanton Zürich (2-ZH-2) vorhanden ist. Sollten künftig weitere Stellen berechtigt sein, Einwohnerdaten des Kantons Zürich abzufragen, kann die Whitelist mit der entsprechenden Sedex-ID ergänzt werden.
Baudirektion
2/4
Implementationsskizze
Gemäss „Integrationsanleitung für Nutzer und Anbieter synchroner SOAP-Webservices“ 1 gibt
es drei verschiedene Szenarien für die Integration des Personenidentifikationsservices.
Die Implementationsskizze auf Seite 3 soll aufzeigen, welches der Szenarien verwendet wird
und über welche Netze die Kommunikation stattfindet (Internet oder LEUnet). Die Zonenübergänge gemäss NSP-Policy der Zone Gelb 2 müssen eingehalten werden.
Beispiel einer Implementationsskizze:
IP-Filterung
(optional)
Die personIdentification Webservice Abfragen werden von der IP-Adresse 195.65.186.87 und
195.65.186.88 abgesetzt. Es besteht die Möglichkeit, dass das empfangende System (oder
eine vorgelagerte FireWall, ReverseProxy etc) die personIdentification Abfragen nur von diesen beiden IP-Adressen zulässt.
Hinweis: Es ist möglich, dass sich die IP-Adressen auf Grund eines Wechsels der Infrastruktur ändern können ohne dass die empfangende Stelle etwas davon mitbekommt. Aus diesem
Grund ist die IP-Filterung nicht empfehlenswert. Die Prüfung der externalAuthorisation und
der Whitelist ist ausreichend.
1
sedex im Projekt eUmzugCH/eUmzugZH
Integrationsanleitung für Nutzer und Anbieter synchroner SOAP-Webservices, Version 1.1 vom 4.11.2015, BIT
2
Network Security Policy des Kantons Zürich (NSP 2014) Subdomänenpolicy GELB ZH-GEMEINDEN Anhang G,
Version 1.0 vom 3.9.2008
Baudirektion
3/4
Abnahme
Gemeinde
Gemeinde ………………………………………………………………………………………..
Name …………………………………. Vorname ……………………………………………..
E-Mail ……………………………………………………………………………………………..
(Durch Gemeinde oder Dienstleister auszufüllen)
Dienstleister
Firma ………………………………………………………………….…………………………..
Name …………………………………. Vorname ……………………………………………..
E-Mail ……………………………………………………………………………………………..
(Durch Gemeinde oder Dienstleister auszufüllen)
Implementationsskizze
Bitte untenstehend die Implementationsskizze einfügen.
(Durch Gemeinde oder Dienstleister einfügen)
Baudirektion
4/4
HTTPS-Verschlüsselung
Endpoint URL: ………………………………………………………………..
(Durch Gemeinde oder Dienstleister auszufüllen)
Prüfung durch Datenlogistik ZH:  erfolgreich
 nicht erfolgreich
Bemerkungen: …………………………………………………………………
Sedex ClientZertifikat
Prüfung durch Datenlogistik ZH:  erfolgreich
 nicht erfolgreich
Hinweis: Hierbei wird geprüft, ob das ClientSedexZertifikat 2-ZH-2 akzeptiert und ein anderes
Zertifikat abgelehnt wird (eine explizite Prüfung der externalAuthorisation und der Whitelist ist
nicht möglich).
Bemerkungen: …………………………………………………………………
IP-Filter
Wurde ein IP-Filter eingesetzt?
 Ja
 Nein
(Durch Gemeinde oder Dienstleister auszufüllen)
Prüfung durch Datenlogistik ZH:  erfolgreich
 nicht erfolgreich
Bemerkungen: …………………………………………………………………
Unterschriften
Verteiler
Datum ……………….
………………………………………
(Unterschrift Gemeinde)
Datum ……………….
………………………………………
(Unterschrift Dienstleister)
Datum ……………….
………………………………………
(Unterschrift Datenlogistik ZH)
Kopie des unterschriebenen Sicherheitsabnahmeprotokoll geht per E-Mail an:
- Gemeinde
- Dienstleister
- Gemeindeamt des Kantons Zürich
- Subdomänenverantwortlicher GELB ZH

Download Report