Sumalaisen julkishallinnn Vetuma-palvelu Svelluksille tarjtun timinnallisuuden kuvaus versi 3.4 Vetuma Verkktunnistus ja -maksaminen
Sisällysluettel 1. Jhdant... 3 1.1 Vetuma-palvelun timinnallisuus... 3 1.2 Vetuma-palvelun timintaympäristö... 5 1.3 Vetuma-lppukäyttäjän ympäristö työasemassa... 6 1.3.1 Vetuma-palvelun selainkäyttöliittymä... 6 1.3.2 Yleiset vaatimukset ja rajitukset selaimille... 7 1.3.3 Tuetut selaimet... 7 1.3.4 HST-krtin käyttö... 8 1.3.5 Käyttäjän Vetuma-istunt... 8 1.4 Vetuma-lppukäyttäjän ympäristö mbiililaitteessa... 8 1.5 Tutant- ja testipalvelut... 8 2. Asiakkaan tiedt Vetuma-palvelussa... 9 2.1 Jaettu salaisuus... 9 2.2 Vetuma-asiakasknfiguraati... 10 2.2.1 Knfiguraatitiedt... 10 2.2.2 Perusknfiguraati ja lisäknfiguraatit... 11 2.3 Vetuma-palvelua käyttävien svellusten erttelu... 11 3. Vetuma-rajapinnan yleiset minaisuudet... 12 4. Tunnistus, hyväksyminen ja allekirjitus (LOGIN-palvelutyyppi)... 12 4.1 Käyttäjän tunnistus... 12 4.1.1 Kansalaisvarmennetunnistus... 12 4.1.2 Mbiilivarmennetunnistus (ETSI)... 13 4.1.3 Tupas-tunnistus (pankkitunnistus)... 14 4.1.4 Perustietjen haku VTJstä... 14 4.1.5 Esimerkki tunnistuksen kulusta... 16 4.2 Käyttäjän surittama hyväksyminen... 17 4.3 Käyttäjän surittama kiistämätön sähköinen allekirjitus... 17 4.3.1 Sirukrtin käyttöön perustuva allekirjitus... 17 4.3.2 Mbiiliallekirjitus... 18 4.3.3 Allekirjituksen kulku... 19 5. Verkkmaksaminen (PAYMENT-palvelutyyppi)... 20 5.1 Maksatus... 20 5.1.1 Tuetut maksupalvelut... 20 5.1.2 Maksatuksen kulku... 21 5.1.3 Maksujen seuranta... 22 5.1.4 Maksutapahtumien jäljittäminen... 24 5.1.5 Mahdllisia pikkeustilanteita... 26 5.2 Verkkmaksun kysely... 27 5.3 Maksunpalautus... 28 5.3.1 Tuki verkkmaksupalveluissa... 29 5.3.2 Maksunpalautuksen kulku... 30 5.3.3 Mahdllisia pikkeustilanteita... 31 6. Liitteet... 31 Cpyright Fujitsu Finland Oy 2 (31)
1. JOHDANTO Vetuma-palvelu n verkktunnistus- ja maksamispalvelu jka n tarkitettu julkishallinnn rganisaatiiden asiintisvelluksien käyttöön. Fujitsu Finland Oy tuttaa palveluntuttajan minaisuudessa Vetuma-palvelun julkishallinnn eri rganisaatiiden käyttöön. Tämä dkumentti kuvaa Vetuma-palvelun asiakkaidensa svellushjelmille tarjaman timinnallisuuden. Svellukset vivat käyttää tätä timinnallisuutta kutsurajapinnan kautta, jka n kuvattu erillisessä dkumentissa Sumalaisen julkishallinnn Vetuma-palvelu, kutsurajapinnan määrittely. Vetuma-palvelukknaisuus sisältää tässä dkumentissa kuvatun timinnallisuuden lisäksi mm. laskutukseen ja raprtintiin liittyviä timintja sekä käytön tukipalveluita. Tässä dkumentissa n kuitenkin kuvattu ainastaan svelluksille tarjttu, Vetuma-kutsurajapinnan kautta käytettävissä leva timinnallisuus. Tämä dkumentti kuvaa Vetuma-palvelun versin 3.4 timinnallisuuden. Versissa 3.2 n versin 3.1 rajapintaan ja itse palveluun muutettu mbiilivarmennetunnistusta ja mahdllistettu mbiilivarmenteella tapahtuva allekirjitus. Menetelmänä mbiilivarmennetunnistus vidaan asettaa päälle palveluihin, vaikka sitä ei le mukana tunnistuskutsun valinnissa. Versissa 3.4 n päivitetty Vetuma-kutsurajapintaan tuki pankkien nykyisille rajapinnille. 1.1 Vetuma-palvelun timinnallisuus Vetuma-palvelun versi 3.4 tarjaa svelluksille seuraavat timinnt: Käyttäjän tunnistaminen hänen valitsemallaan menetelmällä. Tuettuja menetelmiä vat: Kansalaisvarmenteeseen perustuva tunnistus, jssa varmenne vi sijaita sirukrtilla. Svelluksen niin halutessa nudetaan tunnistautuneen käyttäjän varmenteelta saadulla sähköisen asiinnin tunnuksella (SATU) käyttäjän henkilötunnus (HETU) VTJ:stä. Mbiilivarmenteeseen perustuva tunnistus, jssa varmenne vi sijaita matkapuhelimen SIM-krtilla. Verkkpankkien tarjama tunnistuspalvelu (Tupas). Svelluksen niin halutessa nudetaan VTJstä jukk kansalaisia kskevia perustietja kuten sitetiedt ja kuntalaisuus. Tämän edellytyksenä n, että käyttäjä n tunnistautunut kansalaisvarmenteella, mbiilivarmenteella tai pankkitunnuksilla. Timenpiteen hyväksyttäminen käyttäjällä siten, että käyttäjä surittaa hyväksymisen tunnistautumalla. Svelluksen vastuulla n tällöin tallettaa tunnistautumisen tuls tdisteena hyväksymisestä. Tuetut menetelmät vat samat kuin tunnistuksessakin. Kansalaisvarmenteeseen perustuvan kiistämättömän sähköisen allekirjituksen tai sähköisen allekirjituksen teettäminen käyttäjällä. Käyttäjän varmenne vi sijaita sirukrtilla tai matkapuhelimen SIM-krtilla. Vetuma tarkastaa myös käytetyn varmenteen vimssaln. Tietyn maksun maksattaminen käyttäjällä siten, että käyttäjä hjataan valitsemaansa verkkmaksupalveluun maksua surittamaan. Tuettuja maksupalveluita vat: Pankkien verkkmaksupalvelut Netsin verkkmaksupalvelu (Visa ja MasterCard) Cpyright Fujitsu Finland Oy 3 (31)
Verkkmaksun kysely timinnallisuus, jka hyödyntää pankkien verkkmaksupalveluita. Maksetun maksun palautus kknaan tai sittain maksajan tilille. Vetuma-palvelun käyttö sen rajapinnan kautta edellyttää, että svelluksella n käytössään asiakkaan Vetuma-asiakasknfiguraati ja jaettu salaisuus. Asiakasknfiguraati n niiden tietjen jukk jilla kuvataan palvelun mukautus tietyn asiakkaan asiintisvellusten tarpeisiin. Jaettua salaisuutta pulestaan käytetään rajapintakutsujen ja -vastausten alkuperän varmistamiseksi sekä sujaamiseksi muutksilta kutsunvälityksen aikana. Asiakasknfiguraati määritetään ja jaetut salaisuudet tunnistus- ja maksatuskäyttöön ludaan rganisaatin liityttyä Vetuma-palvelun asiakkaaksi. Tarvittaessa vidaan tietylle asiakkaalle määrittää lisää jaettuja salaisuuksia js asiakas haluaa käyttää eri salaisuuksia eri asiintipalveluissaan. Asiakasknfiguraatissa määrätyt valinnat asettavat seuraavia vaatimuksia asiakkaalle: Js asiakasknfiguraatissa n sallittu käytettäväksi Tupas-tunnistus, tulee asiakkaalla lla Tupas-käyttöön ikeuttavat spimukset pankkien kanssa. Tietyn asiakkaan asiintipalveluissa asiiville tarjtaan tunnistautumista varten vain niiden pankkien verkkpalvelut jiden kanssa kyseisellä asiakkaalla n Tupas-tunnistusta kskeva spimus. Näin llen teknisesti spimuksia ei tarvita kaikkien pankkien kanssa, mutta jidenkin pankkien puuttuminen asettaa eri pankkien asiakkaat eriarviseen asemaan. Js asiakasknfiguraatissa n sallittu käytettäväksi maksaminen pankkien verkkpalveluilla, tulee asiakkaalla lla verkkmaksujen vastaanttamiseen ikeuttavat spimukset pankkien kanssa. Tällöinkin kyseisen asiakkaan asiintipalveluissa asiiville tarjtaan maksamista varten vain niiden pankkien verkkpalvelut jiden kanssa asiakkaalla n Vetumalle ilmitettu verkkmaksujen vastaanttamista kskeva spimus. Js asiakasknfiguraatissa n sallittu käytettäväksi maksaminen Netsin verkkpalvelulla, tulee asiakkaalla lla verkkmaksujen vastaanttamiseen ikeuttava spimus Netsin kanssa. Js asiakasknfiguraatissa n sallittu käytettäväksi HETUn ja perustietjen nutaminen VTJ:stä, tulee asiakkaalla lla tähän ikeuttava spimus VRK:n kanssa. Perustietjen hakua varten asiakas tarvitsee lisäksi VRKn myöntämän tietluvan sille tietjuklle jnka Vetuma-tunnistuksen yhteydessä aik hakea. Cpyright Fujitsu Finland Oy 4 (31)
1.2 Vetuma-palvelun timintaympäristö Allalevassa kuvassa n esitetty Vetuma-palvelun timintaympäristö. Kuva 1: Vetuma-palvelun timintaympäristö Käyttäjä (asiiva kansalainen) käyttää selaimella asiintisvellusta. Tarpeen tullen asiintisvellus kutsuu Vetuma-palvelua sen kutsurajapintaa käyttäen surittamaan halutun timinnn (esimerkiksi käyttäjän tunnistamisen). Kutsu välitetään käyttäjän selaimen kautta, jllin käyttäjä siirtyy käyttämään Vetuma-palvelua sen man käyttöliittymän kautta. Vetumapalvelu tteuttaa itse san svelluksille tarjamistaan timinnista. Tupas-tunnistuksessa ja verkkmaksamisessa Vetuma-palvelu kuitenkin siirtää käyttäjän edelleen hänen valitsemansa verkkmaksupalveluun kyseisen palvelun rajapintakutsulla, jka myös välitetään käyttäjän selaimen kautta. Verkkmaksupalvelun vastaus jlla palataan sieltä Vetuma-palveluun välitetään myös käyttäjän selaimen kautta. Svelluksen pyytämän timinnn surittamisen jälkeen Vetuma-palvelu palauttaa timinnn tulksen kuvaavan vastauksen svellukselle käyttäjän työaseman kautta. Käyttäjä palautuu tällöin käyttämään asiintisvellusta sen käyttöliittymän kautta. Sirukrtilla sijaitsevaan kansalaisvarmenteeseen perustuvassa tunnistuksessa ja allekirjituksessa käytetään lisäksi työasemassa levaa krtinlukijaa ja krttihjelmista käyttöliittymineen. SIM-krtilla sijaitsevaan mbiilivarmenteeseen perustuvassa tunnistuksessa ja allekirjituksessa käytetään pulestaan matkapuhelimen varushjelmistn käyttöliittymän varmennetimintja. Asiintisvelluksen, Vetuma-palvelun ja Pankin verkkpalvelun välillä ei siis le suria fyysisiä yhteyksiä vaan kaikki liikennöinti tapahtuu käyttäjän selaimen kautta. Pikkeuksena tähän n verkkmaksun kysely, jnka timinta n kuvattu massa kappaleessaan. Yhteydet selaimen sekä niiden palvelinten välillä jissa asintisvellus, Vetuma-palvelu ja pankkien verkkpalvelut timivat sujataan HTTPS -yhteyskäytäntöä käyttäen. Lisäksi rajapintakutsuissa sapulten identiteetti varmistetaan ja viestien eheys taataan käyttäen jaettuun salaisuuteen perustuvaa turvatarkisteen laskentaa (Message Authenticatin Cde, lyh. MAC). Vetuma-palvelu käyttää timinnassaan myös Väestörekisterikeskuksen (VRK) tarjamia palveluita (VTJ-kyselyt ja varmenteiden sulkulistat), mutta käyttäjä ei le suraan vurvaikutuksessa näiden palveluiden kanssa. Mbiilivarmenteella tunnistauduttaessa ja Cpyright Fujitsu Finland Oy 5 (31)
allekirjitettaessa Vetuma-palvelu käyttää peraattreiden palveluita kmentjen lähettämiseen, mutta käyttäjä ei le suraan vurvaikutuksessa näidenkään palveluiden kanssa. 1.3 Vetuma-lppukäyttäjän ympäristö työasemassa 1.3.1 Vetuma-palvelun selainkäyttöliittymä Vetuma-palvelulla n selainkäyttöliittymä jta kansalainen käyttää surittaessaan asiintisvelluksen pyytämiä timintja. Tietyn timinnn käyttöliittymä säätyy autmaattisesti sen mukaan mitä menetelmiä svellus pyytää Vetuma-kutsussa tarjttavaksi käyttäjälle. Allalevassa kuvassa n esitetty Vetuma-palvelun tunnistuksen alitussivu esimerkkinä Vetuma:n käyttöliittymästä. Kuva 2: Vetuma-svelluksen käyttöliittymäesimerkki Vetuma-palvelua kutsuva asiintisvellus määrää kutsussa mitä kieltä Vetuma-palvelun käyttöliittymässä tulee käyttää (sumi, rutsi tai englanti) sekä antaa halutessaan nimensä näytettäväksi Vetuma-palvelun käyttöliittymässä. Vetuma-palvelu tarjaa useimpien timintjensa surittamiseksi jukn vaihtehtisia menetelmiä. Yleisenä periaatteena n, että käyttäjä vi valita haluamansa menetelmän. Asiakas ja svellus vivat tätä kuitenkin rajittaa. Vetuma-asiakas vi asiakasknfiguraatissaan määrätä, mitä timintjen suritusmenetelmiä saa käyttää kun Vetuma-palvelua kutsutaan kyseisen asiakkaan svelluksista. Svellus vi edelleen Vetuma-kutsussa rajittaa knfiguraatissa määrättyä menetelmävalikimaa. Svellus vi edelleen pakttaa asiakasknfiguraatissaan mbiilivarmennetunnistuksen menetelmävalikimaan kutsusta riippumatta. Cpyright Fujitsu Finland Oy 6 (31)
1.3.2 Yleiset vaatimukset ja rajitukset selaimille Seuraava lista kuvaa yleisesti Vetuma-käytön asettamia vaatimuksia ja rajituksia selaimelle ja sen asetuksille: 1.3.3 Tuetut selaimet Vetuma-palvelu tukee http-prtkllan versiita 1.0 ja 1.1, jista jmpaakumpaa (tai mlempia) selaimen n tuettava. Vetuma-palvelun sivut n tteutettu XHTML 1.0 -standardin mukaisiksi. Palvelua vi käyttää myös selainhjelmilla, jtka eivät tue XHTML 1.0 -standardia. Tällöin palvelun ulkasu n karsitumpi, mutta tekstisisällössä ja timinnissa ei le era. Vetuma-palvelu vaatii timiakseen istuntevästeiden (sessin ckies) käyttömahdllisuuden ja sallimisen selaimessa. Vetuma-palvelu käyttää JavaScript-selainskriptejä siirtymisessä vurvaikutteisiin taustapalveluihin ja palaamisessa asiintisvellukseen. Palvelu timii kuitenkin myös ilman selainskriptejä, mikäli niiden surittaminen ei le selaimessa sallittu. Tällöin käyttäjä surittaa itse siirtymisen hänelle näytettävällä linkillä. SSL-salauksen käyttämiseksi selaimen tulee tukea TLS-versita 1.0, 1.1 tai 1.2 ja vähintään 128-bittistä salausta, ja SSL-salauksen käyttö tulee lla sallittu selaimessa. SSL-salausta käytettäessä tulee selaimen vida luttaa Vetuma-palvelun palvelinvarmenteeseen. Vetuma-palvelussa käytettävät palvelinvarmenteet n kuvattu liitteessä 1. Vetuma-tutantpalvelun palvelinvarmenteen myöntäjä (VeriSign) n useimmissa selaintutteissa letusarvisesti lutettujen varmentajien jukssa. Mikäli näin ei le, luttamussuhde vidaan saada aikaan asentamalla selaimeen Vetuma-palvelun palvelinvarmenteen myöntäjä lutetuksi varmentajaksi. Js käyttäjä ei kuitenkaan halua selaimensa jatkuvasti luttavan Vetumatutantpalvelun palvelinvarmenteeseen, tulee selaimen myös sallia SSL-yhteyden mudstaminen siten, että se pyytää jka kerran käyttäjää hyväksymään Vetuma-palvelun palvelinvarmenteen yhteyden mudstamiseksi. Vetuma-testipalvelua käytettäessä palvelinvarmenteen juurivarmenteen myöntäjä n Fujitsu Finland (Fujitsu Tpsel CA). Justavaa testikäyttöä varten kannattaa siis lisätä Fujitsun juurivarmenne lutetuksi varmenteeksi. Varmenne n ladattavissa sitteesta https://testitunnistus.sumi.fi/inf/. Vetuma-palvelu tukee seuraavia selaimia ja niiden versiita: Internet Explrer 8 Firefx 21 Opera 9 Vetuma-palvelun timinta näiden selainten uudempien versiiden kanssa testataan kahden kuukauden kuluessa uuden versin virallisesta versijulkistuksesta. Myös muut kuin edellä mainitut yleisten standardien mukaiset selaimet timivat tdennäköisesti Vetuma-palvelua käytettäessä. Muita selaimia ei kuitenkaan testata erikseen. Cpyright Fujitsu Finland Oy 7 (31)
1.3.4 HST-krtin käyttö HST-krtilla tarkitetaan tässä sirukrttia jlla n Väestörekisterikeskuksen (VRK) myöntämä kansalaisvarmenne. Tällaisia krtteja vat esimerkiksi sirullinen henkilökrtti ja tiettyjen pankkien maksukrtit. HST-krttia käytettäessä käyttäjällä tulee myös lla krtin käyttöön tarvittavat laitteet ja hjelmistt. Tunnistuksessa tarvitaan: Krtinlukija jka pystyy lukemaan HST-krtteja. Krtinlukijahjelmist (esim. Fujitsu DigiSign Client, Setec SetWeb, Nexus Persnal jne.) jka pystyy käsittelemään HST-krtteja. Krtinlukijahjelmistn kanssa yhteenspiva selain. Nämä vaatimukset vat yleisiä HST-krtin käytön vaatimuksia. Vetuma-palvelu ei aseta krtin käytölle lisävaatimuksia tai rajitteita. Allekirjituksessa tarvitaan lisäksi allekirjituskmpnentti jlla sähköinen allekirjitus suritetaan. Allekirjituksessa Vetuma n yhteenspiva VRK:n kansalaisille ilmaiseksi jakeleman Fujitsu DigiSign Client-hjelmistn kanssa. Krtinlukijahjelmistn ja allekirjituskmpnentin saatavuus työasemaan saattavat rajittaa HST-krtin käyttöä. Kaikki krtinlukijahjelmistt ja allekirjituskmpnentit eivät nimittäin välttämättä timi kaikissa työasemakäyttöjärjestelmissä. Vetuman kanssa vidaan käyttää VRK:n ilmaiseksi jakelemaa krtinlukijahjelmista ja allekirjituskmpnenttia. Niiden khdalla tuetut ympäristöt ja selaimet vi tarkistaa VRK:n sivuilta. 1.3.5 Käyttäjän Vetuma-istunt Lppukäyttäjälle ludaan Vetuma-istunt (sessi) hänen siirtyessään Vetuma-palvelun käyttöliittymään. Istunnn avulla ylläpidetään käyttäjän Vetuma-timinnn surittamisen tilaa. Istunt syntyy kun svelluksen (käyttäjän työaseman kautta lähettämä) kutsu tetaan vastaan. Istunt pysyy vimassa niin kauan kunnes Vetuma-palvelu palauttaa vastauksen asiintisvellukselle. Vetuma-istunt säilyy vimassa myös sinä aikana kun käyttäjä n siirretty välillä jhnkin taustapalveluun. Istunt vanhenee js käyttäjä ei anna Vetuma-palvelun dttamaa syötettä tai palaa taustapalvelusta 10 minuutissa Vetuma-palvelun istunta ei tarvita suritetun Vetuma-tapahtuman jälkeen. Mikäli käyttäjä tulee uudelleen Vetuma-palveluun (esimerkiksi tunnistamisen jälkeen hyväksyminen), ludaan käyttäjälle uusi istunt. 1.4 Vetuma-lppukäyttäjän ympäristö mbiililaitteessa Vetuma-palvelu tukee tunnistusta, hyväksymistä ja kiistämätöntä allekirjitusta myös mbiililaitteita (matkapuhelimia) käyttäen. Näissä tapauksissa käyttöliittymät mbiililaitteissa vat seuraavat: 1.5 Tutant- ja testipalvelut Mbiilivarmenteeseen (matkapuhelimen SIM-krtilla sijaitsevaan varmenteeseen) perustuvassa tunnistuksessa ja hyväksymisessä sekä kiistämättömässä allekirjituksessa Vetuma-palvelu lähettää mbiiliperaattrin palvelinhjelmistn kautta timinta vastaavan kmennn mbiililaitteeseen. Käyttöliittymänä n tällöin mbiililaitteen varmennetta käsittelevän varushjelmistn käyttöliittymä. Vetuma-palvelu sisältää tutantpalvelun sekä erillisen rajapinnaltaan kuitenkin samanlaisen testipalvelun. Kummallekin n määritelty mat erilliset sitteensa. Tutantpalvelu n nimensä mukaisesti tarkitettu tutantkäyttöön. Sellaisella julkishallinnn rganisaatilla, jnka asiintisvellus kutsuu Vetuma-tutantpalvelua, n ltava Cpyright Fujitsu Finland Oy 8 (31)
vimassaleva Vetuma-liittymä sekä spimukset haluamiensa Vetuma-palvelun taustapalveluiden (esimerkiksi pankkien verkkpalvelut) timittajien kanssa kyseisten palveluiden käytöstä. Testipalvelu n tarkitettu Vetuma-liittymisspimuksen tehneiden asiakkaiden asiintisvellusten testaukseen. Se käyttää pankkien testiverkkpalveluita ja VRK:n testipalvelua, eikä sen käyttö vaadi spimuksia pankkien ja VRK:n kanssa. Testipalvelun käyttöliittymässä annetaan myös virheilmituksia jtka auttavat svelluskehittäjiä testauksessa. Testipalvelu n kuvattu dkumentissa jka n saatavilla liittymisspimuksen tehneille asiakkaille. On myös syytä humiida, että tiettyjen piirteiden testaus edellyttää taustapalveluiden käytön vaatimat välineet kuten HST-testikrtti ja testimbiilivarmenne. Tutant- ja testipalveluiden kutsusitteet ilmitetaan asiakkaalle liittymisilmituksen vastaanttamisen jälkeen. Mikäli sitteet muuttuvat esimerkiksi versimuutsten yhteydessä ilmitetaan tästä liittymisspimuksen tehneille asiakkaille. Tutant- ja testipalveluiden palvelinvarmenteiden ajantasaiset tiedt (vimassalaika, myöntäjä jne.) n kerrttu erillisessä dkumentissa Vetuma Palvelinvarmenteet (rajapintadkumentin Liite 1). 2. ASIAKKAAN TIEDOT VETUMA-PALVELUSSA Tietyn julkishallinnn rganisaatin liityttyä Vetuma-palvelun asiakkaaksi mudstetaan Vetuma-palveluun seuraavat tiedt kyseisestä asiakkaasta: 2.1 Jaettu salaisuus Jaetut salaisuudet jilla sujataan Vetuma-rajapinnan kautta välitettävät kutsu- ja vastausviestit siten, että niitä ei vi humaamatta muuttaa, ja että vastaanttaja vi varmistaa, että viesti tulee ikealta lähettäjältä. Asiakasknfiguraati, jssa määritetään miten Vetuma-palvelu mukautetaan asiakkaan tarpeisiin (esimerkiksi taustapalveluiden käyttöön ikeuttavat tunnukset ja avaimet). Knfiguraatille annetaan tunnus jka n yksilöllinen kk Vetuma-palvelussa. Asiakas vi tarpeen vaatiessa muutattaa knfiguraatinsa tietja. Jaettua salaisuutta käytetään rajapintakutsuissa ja -vastauksissa lähettäjän identiteetin varmistamiseen sekä niissä välitettävän tiedn sujaamiseen välityksen aikaisia muutksia vastaan. Asiintisvellus mudstaa kutsuviestille turvatarkisteen (Message Authenicatin Cde, MAC) laskemalla tiivisteen (message digest) lähettämänsä kutsun parametrien sekä jaetun salaisuuden arvista. Svellus käyttää tiivisteen laskennassa kyseiselle salaisuudelle svittua yksisuuntaista tiivistealgritmia. Svellus lähettää sitten sekä laskennassa käytetyn jaetun salaisuuden tunnuksen että mudstamansa turvatarkisteen kutsuviestin parametreina Vetuma-palvelulle. Kutsun saatuaan Vetuma-palvelu mudstaa turvatarkisteen arvn kutsussa saamistaan parametrien ja kutsussa viitatun jaetun salaisuuden arvista, käyttäen kyseiselle salaisuudelle svittua algritmia. Mikäli tuls pikkeaa kutsussa tulleesta turvatarkisteesta, Vetuma-palvelu hylkää kutsun. Jaetun salaisuuden arv ja sen yhteydessä käytettävä algritmi vat siis sekä svelluksen että Vetuman tiedssa. Vetuma-palvelu mudstaa vastausviestin turvatarkisteen samalla tavalla, käyttäen tiivisteen laskennassa samaa jaettua salaisuutta jta käytettiin kutsussa. Vetuma lähettää sitten turvatarkisteen (sekä laskennassa käytetyn jaetun salaisuuden tunnuksen) vastausviestin parametreina asiintisvellukselle. Asiintisvellus mudstaa turvatarkisteen arvn vastauksen parametrien ja vastauksessa viitatun jaetun salaisuuden Cpyright Fujitsu Finland Oy 9 (31)
arvista. Mikäli tuls pikkeaa vastauksessa tulleesta turvatarkisteesta, asiintisvelluksen tulee hylätä vastaus. Jaettu salaisuus ludaan tekemällä satunnaislukugeneraattrilla 256-bittinen avain jka esitetään tekstinä heksadesimaalimudssa. Siihen liitetään vielä käsittelyn helpttamiseksi kyseisen salaisuuden tunnus. Salaisuuden rakenne n tarkemmin esitetty rajapintamäärittelyssä: Sumalaisen julkishallinnn Vetuma-palvelu, kutsurajapinnan määrittely. Oletusarvisesti tietylle Vetuma-asiakkaalle (esim. kunnalle tai valtin virastlle) tehdään kaksi salaisuuutta, tinen tunnistustimintjen käyttöä ja tinen maksatustimintjen käyttöä varten. Js asiakkaalla n tarve tämän lisäksi eriyttää salaisuuksien hallintaa eri asiintipalveluissaan, n asiakkaan mahdllista hankkia käyttöönsä tietylle svellusjuklle tai jpa yksittäiselle svellukselle ma erillinen jaettu salaisuutensa. Jaettujen salaisuuksien jakelumenettely, salaisuuden arvn uusimismenettely ja lisäsalaisuuksien tilausmenettely n kuvattu Vetumapalvelun asiakkaan asiintihjeissa. Jaettujen salaisuuksien tunnusten, arvjen ja algritmien lisäksi Vetuma-palvelussa ylläpidetään kutakin salaisuutta khti seuraavat tiedt: Salaisuuden vimassalaika. Mitä asiakasknfiguraatiita saa käyttää kyseisen salaisuuden kanssa. Tätä tieta tarvitaan vain siinä pikkeustapauksessa, että asiakas n tilannut useita knfiguraatiita. Vetuma-palvelun jaetut salaisuudet vat asiakaskhtaisia, eli yhden asiakkaan salaisuuden paljastuminen ei vaaranna muiden asiakkaiden Vetuma-käytön turvallisuutta. 2.2 Vetuma-asiakasknfiguraati Vetuma-asiakasknfiguraatin avulla mukautetaan Vetuma-palvelu tietyn asiakkaan tarpeisiin. Asiintisvellus kert aina Vetuma-kutsussa mitä asiakasknfiguraatita Vetuma-palvelun tulee käyttää kyseisen kutsun palvelemisessa. 2.2.1 Knfiguraatitiedt Knfiguraatitietihin sisältyvät seuraavat tiedt: Mitä Vetuma-palvelun timintjen suritusmenetelmiä n kyseistä knfiguraatita käyttävien asiintisvellusten käytettävissä. Asiakas vi esimerkiksi määritellä, että vain Tupas-tunnistus ja kansalaisvarmenteeseen perustuvat tunnistustavat vat kyseisen asiakkaan svellusten käytettävissä, mutta ei mbiilivarmennetunnistus. Mitä Vetuma-palvelun timinnissa käytettäviä lisäpalveluita n kyseistä knfiguraatita käyttävien asiintisvellusten käytettävissä. Asiakas vi esimerkiksi määritellä, nk tietjen kysely VTJstä kyseisen asiakkaan svellusten käytettävissä vai ei. Tiedt asiakkaan taustapalveluspimuksista Tällaisia tietja vat ne tunnukset ja salaisuudet jita Vetuma-palvelun tulee käyttää kutsuessaan kyseisiä palveluita asiakkaan svellusten pulesta. Kyseisiä taustapalveluita vat: Pankkien verkkpalvelut Tupas-tunnistusta, verkkmaksamista ja maksunpalautusta varten. Jillakin pankeilla yksi spimus kattaa nämä kaikki, kun taas tisilla pankeilla n näille timinnille erilliset spimukset. Netsin verkkpalvelu verkkmaksamista varten. VRK:n VTJ-kyselypalvelu (SS). Cpyright Fujitsu Finland Oy 10 (31)
Mbiiliperaattreiden verkkpalvelut mbiilivarmenteen käyttöön perustuvien kmentjen (tunnistus ja allekirjitus) lähettämiseksi Asiakas vi vastaanttaa käyttöön ikeuttavat tiedt taustapalveluiden timittajilta ja luvuttaa ne Vetuma-palvelun timittajalle (Fujitsu). Vaihtehtisesti asiakas vi valtuuttaa Vetuma-palvelun timittajan vastaanttamaan tiedt suraan taustapalvelun timittajalta. Js tietyllä asiakkaalla ei le talletettuina spimustietja tiettyä taustapalvelua varten, ei kyseistä taustapalvelua vi käyttää (esimerkiksi tarjta käyttäjän valittavaksi) sillin, kun kutsut tulevat kyseisen asiakkaan svelluksilta. Asiintisvellus vi tunnistus-, hyväksymis- ja allekirjituskutsussa edelleen rajittaa käyttäjälle tarjttavia menetelmiä sekä käytettäviä lisäpalveluita. Esimerkiksi js knfiguraatissa n sallittu Tupas-tunistus ja kansalaisvarmenteeseen perustuvat tunnistustavat, vi kyseistä knfiguraatita käyttävä svellus tunnistuskutsussa kuitenkin määrätä, että käyttäjälle tarjtaan vain Tupas-tunnistus. Kutsussa ei vi laajentaa menetelmä- ja lisäpalveluvalikimaa yli sen mitä sisältyy kutsussa viitattuun knfiguraatin. Esimerkiksi: Mikäli pankkitunnistusta ei le mukana knfiguraatissa, ei sitä vi kyseistä knfiguraatita käyttävissä rajapintakutsuissa saada käyttäjälle tarjlle. Mikäli tietjen kysely VTJstä ei le mukana knfiguraatissa, ei sitä vida myöskään kyseistä knfiguraatita käyttävissä rajapintakutsuissa saada käyttöön. 2.2.2 Perusknfiguraati ja lisäknfiguraatit Asiakkaan liittyessä Vetuma-palveluun ludaan asiakkaalle yksi asiakasknfiguraati jnka tiedt määrätään asiakkaan tiveiden mukaan. Vetuma-palvelun timittaja (Fujitsu Finland Oy) määrää knfiguraatin tunnuksen. Asiakas vi halutessaan muuttaa tämän perusknfiguraatinsa tietja pyytämällä sitä Vetuma-palvelun timittajalta. Kska kukin svellus vi Vetuma-kutsuissaan määrätä käyttäjälle tarjttavat menetelmät ja timintjen lisäpalvelut, ei svelluskhtaisten timintvalikimien määrittelemiseksi tarvita lisäknfiguraatiita. Jissain tilanteissa vi kuitenkin lla tarvetta lisäknfiguraatiille. Esimerkki tällaisesta tilanteesta n maksuliikenteen eriyttäminen asiakkaan eri asiintipalveluiden välillä. Vetuman kautta maksatettaessa maksut hjataan kussakin maksupalvelussa tietylle samalle maksupalvelukhtaiselle tilille (spimuksessa määritellylle kiinteälle tilille tai spimuksen letustilille). Vetuma-maksatuskutsussa ei vi antaa parametrina vastaantttiliä kska useimmissa verkkmaksupalveluissa tili n kiinteä. Tietylle asiakkaalle tulleet maksusuritukset vidaan ertella viitetietjen perusteella ja siirtää vastaantttililtä eri asiintipalveluiden tileille. Mikäli tällainen siirtmenettely ei jstain syystä le mahdllista, vi asiakas tehdä kunkin verkkmaksupalvelun kanssa useita maksujen vastaanttspimuksia ja hankkia useita Vetuma-asiakasknfiguraatiita jissa kussakin n ma spimusjukknsa. 2.3 Vetuma-palvelua käyttävien svellusten erttelu Svellus antaa Vetuma-palvelun kutsussa merkkijnmutisen svellustunnuksen, jka talletetaan muiden kutsun tietjen kanssa Vetuma-palvelun lkitietihin. Tätä tunnusta käytetään raprtitaessa kuinka paljn Vetuma-palvelua n missäkin svelluksessa käytetty. Tiettyä asiakasta kskevassa käyttöraprtissa tapahtumat jatellaan tapahtumatyypin sekä asiakaskhtaisen svellustunnuksen perusteella. Vetuma-palvelussa ei kuitenkaan rekisteröidä svellustunnuksia, eikä niitä tarvitse ilmittaa liittymisilmituksessa tai muutsilmituksissa. Cpyright Fujitsu Finland Oy 11 (31)
Svellustunnukset vat asiakaskhtaisia, ja kukin asiakas päättää mitä tunnuksia kyseisen asiakkaan svellukset käyttävät. Tietyn asiakkaan kaikki svellukset vivat käyttää samaa svellustunnusta, mutta eri svelluksilla tai svellusjukilla vi lla kullakin mat tunnuksensa. 3. VETUMA-RAJAPINNAN YLEISET OMINAISUUDET Vetuma:n palvelurajapinta n viestirajapinta missä viestit n tteutettu käyttäen lppukäyttäjän selaimen kautta välitettäviä http-yhteyskäytännön POST-kmentja. Viestien ja kmmunikinnin luttamuksellisuus perustuu käytettävien yhteyksien sujaukseen HTTPSyhteyskäytännöllä. Vaihdettujen viestien alkuperän varmistus ja eheys pulestaan taataan laskemalla kullekin viestille turvatarkiste (MAC) käyttäen asiakaskhtaista jaettua salaisuutta. Tiettyyn tapahtumaan liittyvän Vetuma-kutsun ja vastauksen yhteenliittämistä tuetaan tapahtumatunnuksella. Vetuma-palvelu tarjaa jukn timintja jtka n ryhmitelty palvelutyyppeihin. Kullakin timinnlla n ma kutsu- ja vastaustyyppinsä. Kun Vetuma-palvelu käsittelee svellukselta saamaansa kutsua, niin kutsussa pyydetyn timinnn suritus vi nnistua tai timint vi jäädä eri syistä surittamatta. Vetuma-palvelu palauttaa vastauksen siihen kutsussa ilmitettuun paluusitteeseen jka vastaa kutsun käsittelyn jälkeistä tilannetta. Paluusitteet vat: Timinnn suritus nnistui. Käyttäjä perui timinnn. Timinnn surittaminen epännistui jstain syystä. Tämän lisäksi Vetuma-palvelu palauttaa aina vastauksessa statusparametrin jlla kerrtaan nnistuik surittaminen vai jäikö timint surittamatta, ja jälkimmäisessä tapauksessa myös syyn surittamatta jättämiseen. Vetuma-rajapinnan mekanismit sekä kutsu- ja vastaustyyppien parametrit n kuvattu tarkemmin rajapinnan määrittelydkumentissa Sumalaisen julkishallinnn Vetuma-palvelu, kutsurajapinnan määrittely. 4. TUNNISTUS, HYVÄKSYMINEN JA ALLEKIRJOITUS (LOGIN-PALVELUTYYPPI) Vetuma-palvelun palvelutyyppi LOGIN tarjaa asiintisvelluksille seuraavat timinnt: käyttäjän tunnistaminen, käyttäjän surittama hyväksyminen ja käyttäjän surittama kiistämätön sähköinen allekirjitus. 4.1 Käyttäjän tunnistus Tunnistustimint Vetuma-palvelussa tarkittaa sitä, että Vetuma-palvelu tunnistaa asiintisvelluksen pulesta svellusistunnn käyttäjän, eli sen henkilön, jka käyttää sitä selainta, jnka kautta svellus lähetti tunnistuskutsun Vetuma-palvelulle. 4.1.1 Kansalaisvarmennetunnistus Vetuma-palvelussa tuetaan seuraavia kansalaisvarmenteen käyttöön perustuvia tunnistustapja: Tunnistus sirukrtille talletetulla kansalaisvarmenteella. Kansalaisvarmennetunnistuksessa ei tarvita käyttäjärekisteriä. Kansalaisvarmenteelta löytyvät käyttäjän sähköisen asiinnin tunnus (SATU) ja nimitiedt, ja Vetuma-palvelu palauttaa ne aina tunnistusvastauksessa riippumatta siitä, minkä kansalaisvarmennephjaisen tunnistusmenetelmän käyttäjä valitsi. Lisäksi Vetuma-palvelu Cpyright Fujitsu Finland Oy 12 (31)
nutaa svelluksen sitä pyytäessä käyttäjän HETU:n tai perustiedt VTJ:stä ja palauttaa myös sen/ne tunnistusvastauksessa. Js VTJ-kyselyssä tapahtuu virhe, palauttaa Vetumapalvelu kuitenkin VTJ:stä saamansa virhekdin. 4.1.1.1 Sirukrtin käyttöön perustuva kansalaisvarmennetunnistus Käyttäjän valittua sirukrtin käyttöön perustuvan kansalaisvarmennetunnistuksen: Vetuma-palvelu pyytää tunnistuskäyttöliittymässään käyttäjää laittamaan kansalaisvarmenteen sisältävän sirukrttinsa krtinlukijaan ja välittää tunnistuspyynnön käyttäjän selaimelle. Selain aktivi työaseman sirukrttihjelmistn lukemaan sirukrttia. Sirukrttihjelmist pyytää käyttäjää antamaan tunnistusta varten tarkitetun PIN-kdin. Sirukrttihjelmist tarkistaa PIN-kdin ja js se n ikea, surittaa sirukrtilta saatavaa, varmenteeseen liittyvää salaista avainta hyväksikäyttäen käyttäjän tunnistamisen. Tiet tunnistuksen tulksesta ja nnistuneen tunnistuksen tapauksessa varmenteen sisältö timitetaan selaimen kautta Vetumalle. Mikäli tunnistus nnistui, Vetuma-palvelu palauttaa svellukselle tunnistusvastauksessa varmenteelta saadun SATUn ja nimitiedt sekä svelluksen pyytäessä myös VTJ:stä hakemansa käyttäjän HETU:n.tai perustiedt Mikäli tunnistautuminen epännistui Vetuma-palvelu palauttaa vastauksensa svellukselle kutsussa annettuun ERRURL-sitteeseen statuksella REJECTED. 4.1.2 Mbiilivarmennetunnistus (ETSI) Mbiililaitteessa levalle SIM-krtille tallennettua varmennetta käyttäen tehtävää tunnistusta kutsutaan tässä lyhyesti mbiilivarmennetunnistukseksi. Mbiilivarmennetunnistuksessa käytetään taustalla ETSI-rajapintaa. Vetuma-palvelu välittää tunnistuspyynnön peraattrin verkkpalvelulle käyttäen edellä mainittua ETSI-rajapintaa. Lisätietja mbiilivarmenteesta sitteessa http://www.mbiilivarmenne.fi. Valittuaan mbiilivarmennetunnistuksen käyttäjä antaa Vetuma-palvelun tunnistuskäyttöliittymän kautta sen SIM-krtin puhelinnumern jlle hänen mbiilivarmenteensa n tallennettu. Vetuma-palvelu lähettää tunnistuspyynnön matkapuhelinperaattrille, jka välittää pyynnön edelleen annettuun puhelinnumern. Vetuma-palvelun kutsuma peraattri surittaa tarvittaessa tunnistusvierailun (raming) käyttäjän ktiperaattrin verkkn (sen peraattrin verkkn jnka SIM-krtilla käyttäjän mbiilivarmenne n.) Sen mbiililaitteen varushjelmist jssa varmenteen sisältävä SIM-krtti n pyytää käyttäjää antamaan varmenteeseen liittyvän, tunnistusta varten tarkitetun SPIN-kdin (tunnusluvun). Mbiililaitteen varushjelmist surittaa tunnistamisen tarkistamalla SPIN-kdin ja palauttaa peraattrin hjelmistlle tiedn tulksesta sekä varmenteen sisällön js tunnistus nnistui. Matkapuhelinperaattri välittää Vetuma-palvelulle tiedn tunnistuksen nnistumisesta, ja nnistuneen tunnistuksen yhteydessä myös varmenteen sisällön. Mikäli tunnistus nnistui, Vetuma-palvelu palauttaa svellukselle varmenteen sisältämät nimitiedt ja käyttäjän HETU:n. Mikäli svellus n sitä pyytänyt, Vetuma-palvelu hakee VTJ:stä käyttäjän perustiedt (tai HETU:n) ja palauttaa myös sen/ne svellukselle tunnistusvastauksessa. Cpyright Fujitsu Finland Oy 13 (31)
Mikäli tunnistautuminen epännistui Vetuma-palvelu palauttaa vastauksensa svellukselle kutsussa annettuun ERRURL-sitteeseen statuksella REJECTED. Mbiilivarmennetunnistuksessa vidaan käyttää FiCm:in susittelemia haittakäytön estmekanismeja: Istunttunnus. Vetuma-palvelu lu istunttunnuksen svelluksen pulesta ja näyttää sen käyttäjälle mbiilivarmennetunnistuksen käyttöliittymässä. Käyttäjäkhtainen häirinnän estkdi. Käyttäjä vi spia häirinnän estkdin käytöstä ktiperaattrinsa kanssa. Mikäli käyttäjällä n häirinnän estkdi käytössään, hän antaa kyseisen kdin Vetuma-palvelun tunnistuskäyttöliittymässä puhelinnumern lisäksi. Vetuma-palvelu välittää häirinnän estkdin peraattrille jnka timittaa sen tunnistuskmennn yhteydessä mbiililaitteeseen. 4.1.3 Tupas-tunnistus (pankkitunnistus) Finanssialan Keskusliitt n määritellyt yhteisen rajapinnan (Tupas-rajapinnan) jnka kautta eri pankkien verkkpalvelut tarjavat Internet-palveluiden tarjajille käyttäjän tunnistusta kukin man verkkpankkitunnistuskäytäntönsä mukaan. Tupas-tunnistuksessa Vetuma-palvelu välittää tunnistuspyynnön käyttäjän valitseman pankin verkkpalvelulle käyttäen edellä mainittua Tupas-rajapintaa. Saatuaan tunnistusvastauksen pankin verkkpalvelulta ja mikäli tunnistus nnistui Vetumapalvelu palauttaa svellukselle verkkpalvelun palauttamat käyttäjän nimitiedt sekä käyttäjän HETUn. Vetuma-palvelu edellyttää tunnisteen levan nimenmaan HETU. Tästä syystä Vetuma-asiakkaiden ja pankkien välisissä verkkpalveluspimuksissa n palautettavaksi tunnistetiedksi määrättävä Tupas-määrittelyn mukainen Selväkielinen perustunnus. Vetumapalvelu tarkistaa, että pankin palauttama tiet n mudltaan HETU. Js näin ei le, Vetumapalvelu palauttaa vastauksensa svellukselle kutsussa annettuun ERRURL-sitteeseen statuksella FAILURE. Tupas-tunnistuksessa ei tarvita Vetuma-käyttäjärekisteriä. 4.1.4 Perustietjen haku VTJstä Vetuma-tunnistusta käyttävä svellus vi pyytää Vetumaa nutamaan nnistuneen tunnistuksen jälkeen määrättyjä Väestötietjärjestelmässä (VTJ) ylläpidettyjä tietja tunnistetusta käyttäjästä. Tietyn asiakkaan svellusten nudettavissa levat tietjukt VRKn terminlgiassa tutteet määritellään asiakkaan VRK:lta saamissa tietluvissa, ja svellus ilmittaa tunnistuskutsussa minkä VTJ-svelluskyselytutteen tiedt haetaan. Tiedt palautetaan samassa esitysmudssa jssa haussa käytettävä VRKn SS-kysely ne palauttaa. 4.1.4.1 Nudettavat tiedt Vetuman kautta suritettavaa VTJ-kyselyä varten määritellyt VTJ-kyselytutteet sisältävät erilaisia yhdistelmiä Vetuman kautta suritettaville kyselyille sallitusta tietjuksta. Nykyisellään n tarjlla kaikille Vetuma-asiakkaille vakikyselytute jssa n seuraavat tiedt: Henkilötunnus Nimitiedt Ktikunta Ositetiedt Äidinkieli Kulinaika Cpyright Fujitsu Finland Oy 14 (31)
Tiet siitä, nk käyttäjä Sumen kansalainen Laajennetulla VTJ-kyselyllä saatavat tiedt n määritelty VRK:n tarkitusta varten myöntämässä tietluvassa. Vetuma palauttaa nutamansa henkilötiedt svellukselle VTJn SS-kyselyn vastaussanman mudssa. Vastaussanman XML-schemassa viitataan VTJkyselyn henkilötietjen tiettyyppimäärittelyn XML-schemaan. Siinä kuvataan kaikki VTJhenkilötietkyselyiden vastauksissa käytettävät tiettyypit. Perustietjen XML-scheman tunnistetiedt vat: <xs:schema xmlns=http://xml.vrk.fi/schema/vtjkysely xmlns:xs="http://www.w3.rg/2001/xmlschema" xmlns:vtj="http://xml.vrk.fi/schema/vtj/henkiltiedt/1" targetnamespace="http://xml.vrk.fi/schema/vtjkysely" elementfrmdefault="qualified" attributefrmdefault="unqualified"> Tiettyyppimäärittelyn XML-scheman tunnistetiedt vat: <xs:schema xmlns="http://xml.vrk.fi/schema/vtj/henkiltiedt/1" xmlns:xs="http://www.w3.rg/2001/xmlschema" targetnamespace="http://xml.vrk.fi/schema/vtj/henkiltied t/1"> VRK timittaa schemat asiakkaalle Vetuman VTJ-kyselyitä kskevan tietlupaprsessin yhteydessä. Perustietjen vastaussanman XML-schema n lisäksi saatavissa rajapintamäärittelyn liitteenä Liite4_PERUSJHHS2.xsd. 4.1.4.2 Tunnistustavat Vetuma-palvelu saa hakea svellukselle tunnistautuneen käyttäjän perustietja Väestötietjärjestelmästä mikäli käyttäjä n tunnistautunut riittävän vahvalla tunnistusmenetelmällä. Tällä hetkellä riittävän vahviksi tunnistusmenetelmiksi hyväksytyt menetelmät vat kansalaisvarmenteeseen tai mbiilivarmenteeseen perustuvat tunnistusmenetelmät sekä pankkitunnistus (Tupas-tunnistus). 4.1.4.3 Tietlupamenettely Niiden Vetuma-asiakkaiden jtka haluavat Vetuma-palvelun nutavan asiintipalveluilleen käyttäjän perustiedt VTJ:stä tulee hankkia VRKlta kyseiselle tietjuklle tietlupa. Spimuksen VRKn kanssa tekevä Vetuma-asiakas ilmittaa käyttöä ja laskutusta varten tarvittavat tiedt, situtuu nudattamaan lupaehtja, ja saa VRK:lta käyttäjätunnuksen ja salasanan. Asiakas luvuttaa käyttäjätunnuksen ja salasanan Vetuma-palvelulle käytettäväksi kun Vetuma-palvelu surittaa kyselyitä kyseisen asiakkaan svelluksilta tulevien tunnistuskutsujen yhteydessä. VRK n määritellyt Vetuman kautta VTJ-kyselyllä saatavissa levan perustietjen tietjukn jlle n antanut man tutetunnuksen VTJ-VETUMA-Perus. Asiakas saa näille perustiedille tietluvan VRKlta. Asiakkaan svelluksen pyytäessä tietjen hakua VTJstä Vetuma-tunnistuksen yhteydessä antaa se perustietjukka vastaavan VTJ-tutteen tutetunnuksen Vetumatunnistuskutsun parametrina. Vetuma tekee tutetunnuksella VTJ-kyselyn jnka vastauksessa VTJ palauttaa kyselytutteeseen sisältyvät tiedt. Vetuma välittää tiedt svellukselle massa tunnistusvastauksessaan. Cpyright Fujitsu Finland Oy 15 (31)
4.1.5 Esimerkki tunnistuksen kulusta Tupas-tunnistuksen eteneminen n esitetty allalevassa kuvassa esimerkkinä tunnistuksen kulusta: VETUMA-asiakkaan asiintisvellus VETUMA-integrintikerrs 1. VETUMA-palvelu 8. 2. 3. 7. Kansalainen Pankin verkkpalvelu 4. 5. 6. Selain Käyttöliittymäsivuja Kuva 3: Tupas-tunnistuksen kulku 1. Käyttäessään selaimellaan Vetuma-asiakkaan asiintisvellusta käyttäjä (kansalainen) pyytää sellaista timinta jka vaatii käyttäjän tunnistamista. 2. Asiintisvellus varmistaa (hulehtii siitä), että yhteys käyttäjän selaimeen n SSL/TLS-sujattu, rakentaa Vetuma-tunnistuskutsun, ja timittaa kutsun käyttäjän selaimen kautta Vetuma-palvelulle (kuten dkumentissa Sumalaisen julkishallinnn Vetuma-palvelu, kutsurajapinnan määrittely n kuvattu). 3. Vetuma-palvelu tarkistaa kutsun ikeellisuuden, ja kelvllisen kutsun tapauksessa avaa man käyttöliittymänsä käyttäjän selaimeen HTTPS-yhteyttä käyttäen, antaen käyttäjän valita tunnistautumismenetelmän. 4. Käyttäjän valittua tunnistautumismenetelmäksi pankkitunnistuksen (Tupas), Vetumapalvelu rakentaa Tupas-kutsun ja timittaa sen käyttäjän selaimen kautta valitun pankin verkkpalvelulle (kuten Tupas-määrittelyssä n kuvattu). 5. Valitun pankin verkkpalvelu surittaa käyttäjän tunnistuksen man HTTPS-sujatun käyttöliittymänsä kautta. 6. Valitun pankin verkkpalvelu rakentaa Tupas-vastauksen ja timittaa sen käyttäjän selaimen kautta HTTPS-yhteyttä käyttäen Vetuma-palvelulle (kuten Tupasmäärittelyssä n kuvattu). 7. Käyttäjän tunnistauduttua Vetuma-palvelu rakentaa Vetuma-tunnistusvastauksen ja timittaa sen käyttäjän selaimen kautta asiintisvellukselle. Vastaus timitetaan selaimelle Vetuma-palvelun käyttöliittymän tunnistuspaluu-sivulla, jlta se lähtee asiintisvellukselle käyttäjän hyväksyttyä paluun. 8. Asiintisvellus tarkistaa vastauksen ikeellisuuden ja jatkaa timintaansa hyödyntäen tunnistusvastauksessa palautettuja tietja. Svellus keskustelee jälleen käyttäjän kanssa man käyttöliittymänsä kautta. Cpyright Fujitsu Finland Oy 16 (31)
4.2 Käyttäjän surittama hyväksyminen Käyttäjän surittama hyväksyminen tarkittaa tässä sitä, että asiintisvellus pyytää aiemmin j tunnistettua svellusistunnn käyttäjää hyväksymään tunnistautumalla sellaisen asiintitiminnn jka vaatii aiemman tunnistuksen lisäksi erillisen hyväksynnän. Asiintisvelluksen vastuulla n tallettaa nnistuneen hyväksymistapahtuman tiedt tdistuksena hyväksymisestä. Käyttäjän tällä tavin surittama hyväksyminen n kuitenkin siinä mielessä epävirallinen hyväksyminen, että sillä ei le lain kannalta samanlaista sitvuutta kuin kiistämättömällä sähköisellä allekirjituksella. Käytännössä hyväksyminen tehdään siten, että asiintisvellus antaa Vetuma-palvelulle käyttäjän tunnuksen ja pyytää palvelua varmistamaan tunnistamalla, että kyseinen käyttäjä edelleen käyttää sitä selainta, jlta pyyntö hyväksymistä vaativan timinnn surittamiseen tuli. Mikäli käyttäjää ei le svelluksessa vielä tunnistettu, vi svellus surittaa samantapaisen epävirallisen hyväksyttämisen käyttäen Vetuma-palvelun tunnistustiminta. Svellus vi esimerkiksi antaa käyttäjän tutustua lmakkeeseen ja täyttää sen ilman tunnistusta, mutta täytetyn lmakkeen saatuaan pyytää käyttäjää ilmittamaan tunnistautumalla henkilöllisyytensä ja samalla vahvistamaan lmakkeessa antamansa tiedt. 4.3 Käyttäjän surittama kiistämätön sähköinen allekirjitus Käyttäjän surittama kiistämätön sähköinen allekirjitus tarkittaa tässä sitä, että svellusistunnn käyttäjä allekirjittaa kansalaisvarmenteeseensa liittyvällä salaisella avaimella asiintisvelluksen antaman tekstin. Vetuma-palvelussa tuetaan seuraavia varmenteeseen perustuvia allekirjitustapja: Allekirjitus sirukrtille talletetulla kansalaisvarmenteella. Allekirjitus mbiililaitteen SIM-krtille talletetulla mbiilivarmenteella. Varmenteeseen perustuvan kiistämättömän allekirjituksen surittamisessa ei tarvita Vetumakäyttäjärekisteriä. Allekirjitusta pyytävän svelluksen vastuulla n mutilla allekirjitettava teksti siten, että: Käyttäjä ymmärtää tekstin perusteella mihin situtuu allekirjituksellaan. Teksti kuvaa aukttmasti sen, mihin allekirjitus sit. Mikäli allekirjitus nnistui, Vetuma-palvelu tarkistaa vielä allekirjitushjelman lähettämän allekirjituksen ikeellisuuden. Tähän kuuluu mm. varmenteen vimassaln tarkistus VRK:n sulkulistaa vasten. Sillinkin kun allekirjituksen tarkistus epännistuu, palauttaa Vetuma palvelu svellukselle allekirjituksen sekä lisäksi tilatiedn tarkistuksen epännistumisesta. Asiintisvelluksen vastuulla n tallettaa pysyvästi nnistuneessa allekirjitustapahtumassa syntynyt kiistämätön allekirjitus mahdllista myöhempää selvittelyä varten, sillä Vetumapalvelussa ei talleteta sen kautta suritettuja allekirjituksia. 4.3.1 Sirukrtin käyttöön perustuva allekirjitus Käyttäjän valittua sirukrtin käyttöön perustuvan allekirjituksen: Vetuma-palvelu pyytää käyttäjää laittamaan kansalaisvarmenteen sisältävän sirukrttinsa krtinlukijaan ja välittää allekirjitettavan tekstin allekirjituspyynnössä käyttäjän selaimelle. Selain aktivi työaseman allekirjitushjelmistn tekemään allekirjituksen. Allekirjitushjelmist näyttää käyttäjälle allekirjitettavan tekstin ja pyytää käyttäjää antamaan allekirjitusta varten tarkitetun PIN-kdin. Sirukrttihjelmist tarkistaa PIN-kdin ja js se n ikea, tekee allekirjituksen ja lähettää sen Vetuma-palvelulle. Cpyright Fujitsu Finland Oy 17 (31)
4.3.2 Mbiiliallekirjitus Mbiililaitteella SIM-krtille tallennettua varmennetta käyttäen tehtävää allekirjitusta kutsutaan tässä lyhyesti mbiiliallekirjitukseksi. Valittuaan mbiiliallekirjituksen käyttäjä antaa Vetuma-palvelun allekirjituskäyttöliittymän kautta sen SIM-krtin puhelinnumern jlle hänen mbiilivarmenteensa n tallennettu. Vetuma-palvelu lähettää allekirjituspyynnön matkapuhelinperaattrille, jka välittää pyynnön edelleen annettuun puhelinnumern. Vetuma-palvelun kutsuma peraattri surittaa tarvittaessa allekirjitusvierailun (raming) käyttäjän ktiperaattrin verkkn (sen peraattrin verkkn jnka SIM-krtilla käyttäjän mbiilivarmenne n.) Sen mbiililaitteen varushjelmist jlla varmenteen sisältävä SIM-krtti n pyytää käyttäjää antamaan allekirjitusta varten tarkitetun SPIN-kdin (tunnusluvun). Varushjelmist tarkistaa SPIN-kdin ja js se n ikea, tekee allekirjituksen ja timittaa sen matkapuhelinperaattrin palvelinhjelmistn kautta Vetuma-palvelulle. Mbiiliallekirjituksessakin vidaan käyttää FiCm:in susittelemia haittakäytön estmekanismeja: Istunttunnus. Vetuma-palvelu lu istunttunnuksen svelluksen pulesta ja näyttää sen käyttäjälle mbiiliallekirjituksen käyttöliittymässä. Käyttäjäkhtainen häirinnän estkdi. Mikäli käyttäjällä n häirinnän estkdi käytössään, hän antaa sen puhelinnumern lisäksi Vetuma-palvelun mbiiliallekirjituksen käyttöliittymässä. Vetuma-palvelu välittää häirinnän estkdin peraattrille jnka timittaa sen allekirjituskmennn yhteydessä mbiililaitteeseen. Cpyright Fujitsu Finland Oy 18 (31)
4.3.3 Allekirjituksen kulku Sirukrtilla suritettavan kiistämättömän allekirjituksen eteneminen n esitetty allalevassa kuvassa esimerkkinä Vetuma-palvelun avulla suritettavasta allekirjituksesta: VETUMA-asiakkaan asiintisvellus VETUMA-integrintikerrs 1. 2. VETUMA-palvelu 9. 3. 4. 7. 8. 2. Kansalainen Allekirjitettava teksti Allekirjitus Allekirjitettava teksti 6. VRK Allekirjitus Selain Krtinlukijahjelmist 5. Krtinlukija Kuva 4: Allekirjituksen kulku 1. Käyttäessään selaimellaan Vetuma-asiakkaan asiintisvellusta käyttäjä (kansalainen) pyytää sellaista timinta jhn liittyvää situttamista varten tarvitaan kiistämätön sähköinen allekirjitus. 2. Asiintisvellus varmistaa (hulehtii siitä), että yhteys käyttäjän selaimeen n SSL/TLS-sujattu, rakentaa Vetuma-allekirjituskutsun (jhn sisältyy allekirjitettava teksti), ja timittaa kutsun käyttäjän selaimen kautta Vetuma-palvelulle (kuten dkumentissa Sumalaisen julkishallinnn Vetuma-palvelu, kutsurajapinnan määrittely n kuvattu). 3. Vetuma-palvelu tarkistaa kutsun ikeellisuuden, ja kelvllisen kutsun tapauksessa avaa käyttöliittymänsä käyttäjän selaimeen HTTPS-yhteyttä käyttäen, pyytäen käyttäjää käynnistämään allekirjittamisen. 4. Käyttäjän käynnistettyä allekirjittamisen Vetuma-palvelu palauttaa selaimelle HTTPSyhteyttä käyttäen HTTP-vastauksen jka sisältää allekirjitettavan tekstin ja aktivi työaseman selaimeen kytketyn allekirjituskmpnentin. 5. Allekirjituskmpnentti pyytää käyttäjää syöttämään allekirjituksessa tarvittavan PIN-kdin (PIN2). Tämän jälkeen allekirjituskmpnentti surittaa allekirjituksen. 6. Allekirjitus timitetaan työasemasta selaimen välityksellä Vetuma-palvelulle. 7. Saatuaan allekirjituksen työaseman allekirjituskmpnentilta Vetuma-palvelu tarkistaa Väestörekisterikeskukselta että allekirjituksessa käytetyt varmenteet vat vimassa. 8. Vetuma-palvelu rakentaa Vetuma-allekirjitusvastauksen (jhn sisältyy allekirjitus) ja timittaa sen käyttäjän selaimen kautta HTTPS-yhteyden välityksellä Cpyright Fujitsu Finland Oy 19 (31)
asiintisvellukselle (kuten dkumentissa Sumalaisen julkishallinnn Vetumapalvelu, kutsurajapinnan määrittely luvun n kuvattu). 9. Asiintisvellus tarkistaa vastauksen ikeellisuuden, tallettaa saamansa allekirjituksen, ja jatkaa timintaansa. Svellus keskustelee jälleen käyttäjän kanssa man käyttöliittymänsä kautta. 5. VERKKOMAKSAMINEN (PAYMENT-PALVELUTYYPPI) 5.1 Maksatus Maksatus tarkittaa tässä sitä, että asiintisvellus pyytää svellusistunnn käyttäjää maksamaan svelluksen määräämän maksun asiintitapahtuman yhteydessä. Käytännössä maksatus tehdään siten, että asiintisvellus antaa maksatuskutsussa Vetuma-palvelulle maksua kskevat tiedt. Vetuma-palvelu hjaa sitten käyttäjän hänen valitsemaansa verkkmaksupalveluun, välittäen sille maksua kskevat tiedt. Käyttäjä surittaa maksamisen valitsemansa verkkmaksupalvelun käyttöliittymän kautta. Vetuma-palvelu palauttaa verkkmaksupalvelulta saamansa tiedt maksamisesta asiintisvellukselle. Asiintisvellus vidaan tki suunnitella siten, että se antaa käyttäjän valita, käyttääkö hän maksamiseen verkkmaksupalvelua vai haluaak hän itseään laskutettavaksi erikseen lähetettävällä tavanmaisella laskulla. Jka tapauksessa svelluksen vastuulla n hulehtia siitä, että tiet svellusistunnn aikana suritetusta maksamisesta kirjataan siten, että käyttäjää ei laskuteta hänen maksamaansa maksua enää muulla keinin. Asiintisvellus tulee myös suunnitella siten, että maksatukset tulevat kirjatuiksi asianmukaisesti asiakkaan kirjanpitn. 5.1.1 Tuetut maksupalvelut Vetuma-palvelun tukee maksamista pankkien verkkpalveluilla sekä Netsin verkkpalvelulla. Verkkmaksamisessa ei le samanlaista kaikkien maksupalveluiden nudattamaa yhteistä standardia kuin tunnistuksessa (Tupas), vaan eri palveluntarjajilla n maksatuskutsuissaan ja -vastauksissaan jssain määrin erilainen valikima parametreja sekä erilaisia mutvaatimuksia tietyn merkityksen maavalle parametrille. Vetuma-palvelu tarjaa yleisen, eri maksupalveluiden erista riippumattman rajapinnan pienimmän yhteisen nimittäjän periaatteella. Esimerkiksi: Js tietyn merkityksen maavalla viestillä n erilainen enimmäispituus eri verkkmaksupalveluissa, käytetään Vetuma-kutsurajapinnassa pienintä enimmäispituutta (jtta Vetuma-palvelu ei judu katkaisemaan viestiä kutsuessaan käyttäjän valitsemaa verkkmaksupalvelua). Js tietyn merkityksen maava parametri n tarjttu jissain maksupalveluissa mutta puuttuu tisilta, kyseinen parametri n mukana Vetuma-kutsurajapinnassa. Vetumapalvelu jättää tällöin kyseisen parametrin pis kutsusta kutsuessaan sellaista käyttäjän valitsemaa maksupalvelua jssa kyseistä parametria ei käytetä. Maksun viitetiedssa Netsin ja muiden maksupalveluiden välisiä erja ei kuitenkaan vi täysin piilttaa. Nets käyttää tilausnumera ja muut maksupalvelut viitenumera. Tilausnumern enimmäispituus n 64 merkkiä, kun taas viitenumern enimmäispituus n 20 merkkiä (19 merkin perusviitenumer ja tietyllä kaavalla laskettava tarkistenumer). Kska Vetuma-palvelu ei halua rajittaa käyttöä, se tarjaa kutsurajapinnassaan mahdllisuuden antaa mlemmat viitetiedt. Svelluksen vastuulle jää tällöin hulehtia Cpyright Fujitsu Finland Oy 20 (31)