OSO:2017/beveiliging/informatiebeveiliging per interactie

Informatiebeveiliging per interactie

Interactie	Maatregelen
Sessie initiëren	Doelsysteem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Doelsysteem. Doelsysteem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.
Dossier opvragen	Doelsysteem verifieert het servercertificaat van Bronsysteem. Bronsysteem verifieert het clientcertificaat van het Doelsysteem. Doelsysteem en Bronsysteem versleutelen de verbinding. Doelsysteem geeft een sessieID door aan het Bronsysteem. Bronsysteem verifieert sessieID bij TC (zie onder) voorafgaand aan verzenden dossier. Doelsysteem logt de interactie. Bronsysteem logt de interactie.
Sessie controleren	Bronsysteem verifieert het servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van de Bronsysteem. Documentbron en Traffic Center versleutelen de verbinding. Bronsysteem geeft sessieID door aan Traffic Center. TrafficCenter verifieert sessieID. Traffic Center logt de interactie. Bronsysteem logt de interactie.
Sessie afmelden	Doelsysteem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Doelsysteem. Doelsysteem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.
Melden Notificatie	Bronsysteem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Bronsysteem. Bronsysteem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.
Versturen Notificatie	Bronsysteem verifieert het servercertificaat van Doelsysteem. Doelsysteem verifieert het clientcertificaat van het Bronsysteem. Bronsysteem en Doelsysteem versleutelen de verbinding. Bronsysteem logt de interactie. Doelsysteem logt de interactie.
Pingen Traffic Center	Systeem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Systeem. Systeem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.
Registreren Aanleverpunt	Systeem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Systeem. Systeem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.
Controleren van de APsleutel	Systeem verifieert servercertificaat van het Traffic Center. Traffic Center verifieert het clientcertificaat van het Systeem. Systeem en Traffic Center versleutelen de verbinding. Traffic Center logt de interactie.

Het valideren van de certificaten zou geen onderdeel moeten zijn van de Business Logica van een LAS- of RP- applicatie, maar zou onderdeel moeten zijn van de onderliggende infrastructuur die wordt gebruikt bij het opzetten van de verbinding. De webserver (IIS/Apache/soortgelijk) dient deze taak uit te voeren en moet hiervoor geconfigureerd worden.

Het configureren en plaatsen van de publieke sleutels op een webserver is per type/smaak webserver verschillend. Het is lastig om hier een ‘algemeen OSO recept’ voor te geven. Normaliter is dit geen taak van ontwikkelaars maar van applicatie- of server- beheerders. Het maakt derhalve geen onderdeel uit van de use-case beschrijvingen. Er wordt reeds van uit gegaan dat TLS en certificaat validatie op een ander niveau gedaan is.