Toruń 28/29.10.2014

PIONIER.Id – sprawy formalne

Tomasz Wolniewicz, UCI IMK

Poruszane tematy

• Terminologia używana w Regulaminie• Zadania Operatora PIONIER.Id• Zadania operatora regionalnego• Ważniejsze zapisy dotyczące członków PIONIER.Id• Ważniejsze zapisy dotyczące Dostawców Usług PIONIER.Id • Procedury rejestracji SP i IdP• Wzory dokumentów• Aspekty przetwarzania danych osobowych

Terminologia

• Członek PIONIER.Id– instytucja o charakterze badawczo-naukowym, która zamierza

występować w roli IdP– może dodatkowo oferować własne usługi, czyli występować w

roli SP• Partner PIONIER.Id

– usługodawca usługi internetowej, który chce skorzystać z federacyjnego zarządzania tożsamością

• Operator PIONIER.Id– PCSS, jako operator PIONIER-a

• Regionalny operator PIONIER.Id– opcjonalna rola reprezentująca PIONIER.Id pełniona przez

operatora MAN

Terminologia (2)• Instytucja uwierzytelniająca (IdP)

– W zależności od kontekstu:• Instytucja, która umożliwia swoim użytkownikom logowanie do

usług oferowanych przez Federację;• Instalacja serwera uwierzytelniającego użytkowników.

– W trakcie procesu logowania do usługi, użytkownicy są przekierowywani na stronę IdP, gdzie wprowadzają swoje dane logowania. IdP przekazuje zalogowanego użytkownika do usługi, jednocześnie przesyłając pewien zestaw danych o użytkowniku.

• Dostawca Usługi (SP)– W zależności od kontekstu:

• Instytucja dostarczająca usługę świadczoną drogą elektroniczną, korzystająca z mechanizmów logowania federacyjnego;

• Instalacja usługi elektronicznej, korzystająca z mechanizmów logowania federacyjnego.

Zadania Operatora PIONIER.Id

• koordynowanie rozwoju Federacji PIONIER.Id w Polsce;• nadzorowanie wdrażania i przestrzegania Regulaminu przez

członków i partnerów Federacji PIONIER.Id;• przyjmowanie deklaracji w sprawie partnerstwa Federacji;• przyjmowanie deklaracji w sprawie członkostwa w Federacji od

podmiotów będących bezpośrednimi abonentami sieci PIONIER;• przyjmowanie deklaracji w sprawie członkostwa w Federacji od

abonentów sieci członków Konsorcjum PIONIER w przypadkach, gdy właściwa dla danej sieci jednostka wiodąca nie podjęła roli Regionalnego Operatora Federacji;

Zadania Operatora PIONIER.Id

• koordynowanie obsługi zdarzeń niepożądanych (nadużyć prawa, etykiety itp.) związanych z działaniem PIONIER.Id;

• świadczenie wsparcia służbom technicznym podmiotów będących członkami i partnerami PIONIER.Id;

• prowadzenie krajowego serwera metadanych Federacji na potrzeby członków i parterów Federacji oraz współpracy międzyfederacyjnej;

• prowadzenie serwisu informacyjnego Federacji;• udział w ciałach koordynujących międzynarodowy rozwój

technologii i usług Federacyjnego Zarządzania Tożsamością;• reprezentowanie Federacji PIONIER.Id w działaniach o

charakterze między-federacyjnym.

Zadania Operatora PIONIER.Id - zastrzeżenia

• Operator PIONIER.Id nie świadczy wsparcia technicznego użytkownikom końcowym Federacji PIONIER.Id;

• Operator PIONIER.Id nie uczestniczy w procesach przetwarzania danych osobowych związanych z procedurami uwierzytelnienia i autoryzacji i nie bierze żadnej odpowiedzialności za ewentualne naruszenia przepisów o ochronie danych osobowych mogących być wynikiem tych procesów.

Zadania operatora regionalnego

• W przeciwieństwie do eduroam, operator regionalny nie prowadzi żadnego serwera, w zasadzie stanowi tylko punkt kontaktowy dla swoich abonentów i udziela lokalnego wsparcia technicznego.

• Funkcja Operatora Regionalnego jest całkowicie opcjonalna i nie występuje w oczekiwaniach projektu MAN-HA

• Operatora regionalnego dotyczą te same zastrzeżenia co do odpowiedzialności, jak w przypadku Operatora Federacji

Ważniejsze zapisy dotyczące członków PIONIER.Id

• Tylko członkowie mają prawo do prowadzenia IdP• Członkowie mają prawo do rejestrowania własnych SP• Członkowie MUSZĄ posiadać lokalne regulaminy korzystania z

usług dostępnych poprzez Federację• Członkowie MUSZĄ prowadzić wsparcie lokalne dla swoich

użytkowników• Członkowie MUSZĄ udostępnić operatorowi opis procedur

zarządzania kontami użytkowników, a Operator musi te procedury zaakceptować jako zgodne z warunkami PIONIER.Id

• Członkowie z zasady powinni być abonentami sieci MAN, ale regulamin dopuszcza odstępstwo od tej zasady, przewidując odpłatność za usługę

Obowiązki po stronie IdP

• Identyfikatory użytkowników końcowych MUSZĄ być powiązane z osobami fizycznymi, a proces przydzielania identyfikatora MUSI potwierdzać fakt, że jest on przydzielany osobie

• IdP MUSI być przygotowany na udostępnianie atrybutu zawierającego stały dla danego SP identyfikator użytkownika (identyfikatora pseudoanonimowego)

• IdP MUSI przez co najmniej 6 miesięcy przechowywać logi systemowe pozwalające na jednoznaczne zidentyfikowanie użytkownika końcowego

Ważniejsze zapisy dotyczące Dostawców Usług PIONIER.Id

• Dostawca Usługi MUSI uzyskać od Operatora PIONIER.Id akceptację procedur zarządzania tożsamością (zazwyczaj te procedury stanowią element Polityki Prywatności)

• Dostawca Usługi MUSI opublikować procedurę prywatności

• Nie ma żadnych ograniczeń co do lokalizacji Partnera, ani sposobu w jaki jest przyłączony do Internetu

• Z tytułu partnerstwa w PIONIER.Id, czy rejestracji usługi nie są pobierane żadne opłaty

Dokumenty

• Obowiązujące dokumenty są dostępne na stronie federacji: http://aai.pionier.net.pl/index.php?page=dokumenty

• Regulamin Federacji– opisuje podstawowe pojęcia i kwestie formalne

• Warunki techniczne Federacji– parametry techniczne, opisy protokołów, kluczy

zabezpieczających, logów systemowych itp.• Deklaracja Partnera i Członka• Wnioski rejestracji IdP i SP

Procedura rejestracji IdP• Tylko Członkowie Federacji mogą zarejestrować serwer Dostawcy

Tożsamości.• Warunki rejestracji serwera Dostawcy Tożsamości:

– członek Federacji instaluje serwer zgodny z SAML2;– odpowiednio umocowany przedstawiciel Członka Federacji zgłasza

chęć rejestracji serwera za pośrednictwem kontaktu technicznego Federacji PIONIER.Id;

– administratorzy PIONIER.Id sprawdzają warunki przewidziane regulaminem, a w szczególności lokalny regulamin korzystania z usług dostępnych za pośrednictwem Federacji oraz procedur zarządzania tożsamością;

– po zweryfikowaniu warunków oraz pozytywnym zakończeniu testów technicznych dane serwera Dostawcy Tożsamości są dodawane do zbioru metadanych Federacji PIONIER.Id.

– opcjonalnie dokonuje się rejestracji Dostawcy Tożsamości w eduGAIN

Procedura rejestracji SP• Członkowie i Partnerzy Federacji PIONIER.Id mogą zarejestrować dowolną

liczbę serwerów Dostawcy Usług.• Warunki rejestracji serwera Dostawcy Usługi:

– Członek lub Partner Federacji instaluje serwer zgodny z SAML2;– odpowiednio umocowany przedstawiciel Członka lub Partnera Federacji

zgłasza chęć rejestracji serwera za pośrednictwem kontaktu technicznego Federacji PIONIER.Id;

– administratorzy PIONIER.Id sprawdzają warunki przewidziane regulaminem, a w szczególności politykę przetwarzania i ochrony danych osobowych pozyskiwanych w procesach uwierzytelniania i autoryzacji federacyjnego zarządzania tożsamością;

– po zweryfikowaniu warunków oraz pozytywnym zakończeniu testów technicznych dane serwera Dostawcy Usług są dodawane do zbioru metadanych Federacji PIONIER.Id.

– opcjonalnie dokonuje się rejestracji Dostawcy Usługi w eduGAIN

Przykładowe dokumenty

• polityka prywatności– Katalog KaRo

• Lokalny regulamin korzystania z usług Federacji– Regulamin UMK

• Zalecenia dotyczące bezpieczeństwa logowania– Zalecenia UMK

• Procedura zarządzania kontami użytkowników– Konta pracowników UMK

Przetwarzanie danych osobowych

• Przekazywanie atrybutów musi być rozpatrywane w kontekście ochrony danych osobowych

• Federacja będzie przygotowywała domyślne filtry atrybutów, ale odpowiedzialność za ostateczną politykę leży po stronie IdP

• Filtry atrybutów będą z zasady przygotowywane tylko dla Dostawców Usług należących do PIONIER.Id, dostawcy pochodzący z eduGAIN muszą podlegać specyficznemu traktowaniu (więcej w części o konfederacjach)

• Wydaje się celowe uruchamianie usługi zgody na przekazanie danych, dobrze, aby taka usługa pokazywała informację o dostawcy usługi, a jeszcze lepiej, gdyby dawała link do polityki prywatności publikowanej przez taką usługę.

Przetwarzanie danych osobowych – identyfikator pseudoanonimowy

• pseudoanonimowyIdentyfikatorUżytkonika jednoznacznie identyfikuje Użytkownika Końcowego, ale przypisanie rzeczywistej tożsamości może być dokonane wyłącznie przez Dostawcę Tożsamości, który jest prawnie zobowiązany do zachowania tajemnicy i nieudostępniania danych nikomu poza uprawnionymi organami.

• Opinia GIODO dostępna pod adresem http://www.giodo.gov.pl/319/id_art/2258/j/pl/ stwierdza między innymi:Niemniej adres IP będzie uznawany za dane osobowe jedynie wówczas, gdy podmiot przetwarzający adres IP ma jednocześnie dostęp do danych łączących adres IP z innymi danymi identyfikującymi osobę. Do czasu, gdy podmiot nie uzyska pewności, że sam nie jest w stanie łączyć adresu IP z innymi danymi identyfikującymi osobę, powinien zabezpieczać adres IP tak jakby był on daną osobową.

Przetwarzanie danych osobowych – identyfikator pseudoanonimowy

• W kontekście powyższego:– Pomiędzy pseudoanonimowymIdentyfikatoremUżytkownika a adresem

IP występuje pełna analogia.– Dostawca Usługi Sieciowej, o ile sam nie jest Dostawcą Tożsamości dla

danego Użytkownika Końcowego, nie ma dostępu do żadnych dodatkowych danych łączących pseudoanonimowyIdentyfikatorUżytkownika z innymi danymi identyfikującymi osobę.

– W konsekwencji należy wnioskować, że podobnie jak w opisanej wyżej sytuacji, pseudoanonimowyIdentyfikatorUżytkownika nie będzie uznawany za dane osobowe, a zatem takie identyfikatory mogą być udostępniane Dostawcom Usług Sieciowych bez ograniczeń nakładanych przez ustawodawstwo dotyczące ochrony danych osobowych, a logi systemowe Dostawców Usług Sieciowych, o ile nie zawierają innych danych pozwalających na zidentyfikowanie użytkownika, nie są traktowane jako zbiory danych osobowych.