Gir Fido2-nøkler til alle ansatte – som første kommune i Norge

I sommer har storkommunen gått til anskaffelse av Fido2-baserte autentiseringsnøkler. Det er snakk om 10.000 enheter i første omgang.

Går alt etter planen skal samtlige ansatte få en slik fysisk brikke innen utgangen av 2021. IT-sjefen mener det vil gjøre innlogging både enklere og sikrere.

Trondheim kommune vil motta den første forsendelsen i august. Målet er å utvide til alle de rundt 15.000 ansatte i løpet av året, får digi.no bekreftet.

Helt i front

– Wow! Snakk om å ligge frampå. Her er de foran nesten alt og alle, konstaterer en fornøyd sikkerhetsekspert Per Thorsheim i Vipps.

Han vet knapt nok om noen organisasjon i Norge av størrelse som har tatt det spranget Trondheim kommune gjør nå.

Thorsheim kaller planene «ET STORT SKRITT I RIKTIG RETNING FOR SIKKERHET!» i en tekstmelding før han legger til at bruken av store bokstaver er bevisst.

Unngår SMS og mobilapp

Løsningen skal fungere på tvers av digitale plattformer og applikasjoner. Det inkluderer både Chromebook, Windows-baserte datamaskiner og mobile enheter med Android eller IOS.

– Vi er veldig opptatt av sikkerhetsløsninger generelt og autentiseringsløsninger spesielt. Alt som kan gjøre hverdagen enklere og sikkerheten bedre, sier IT-sjef Bjørn Villa i Trondheim kommune på telefon til digi.no.

Han røper at Yubikey er valgt som en fysisk andre faktor eller ledd i autentiseringen, når kommunalt ansatte skal logge seg inn. Donglene som får plass på et nøkkelknippe har både USB-port og støtte for trådløs kommunikasjon over NFC.

Et spørsmål som umiddelbart melder seg ved overgang til en slik løsning, er hva som skjer dersom en ansatt mister brikken?

Brikker som forsvinner kan deaktiveres eller sperres mot bruk. En virksomhet eller ansatt kan også relativt enkelt aktivere nye autentiseringsbrikker, enten permanent eller midlertidig, som kan være et behov hvis man har glemt brikken på kontoret, hytta eller hjemme.

Buypass som leverandør har blant annet utviklet en egen selvbetjeningsportal til dette formålet, som er nærmere forklart i en videosnutt på Youtube.

Koblinger til Azure AD og Helseplattformen

Fido2-brikkene skal kobles mot Trondheim kommunes Active Directory (AD) i Microsofts skyløsning Azure.

For alle som jobber innen helsesektoren skal brikkene i tillegg kobles mot Buypass sin såkalte «eIDAS High»-autentiseringsløsning.

Arnstein Vestad, IT-sikkerhetsarkitekt i Trondheim kommune, skriver på Linkedin at helseansatte via en selvbetjent passkontroll får en autentisering på høyeste offentlige sikkerhetsnivå, som skal benyttes for tilgang til Helseplattformen.

Helseplattformen i Helse Midt-Norge skal innføre et nytt, felles pasientjournalsystem ved alle sykehusene i regionen. I tillegg skal systemet inn i 65 kommuner og alle fastlegekontorene.

Helse Midt-Norge er med prestisjeprosjektet en utprøvingsarena for det nasjonale målbildet om «én innbygger – én journal». Yubikey skal kunne benyttes også her, når den forsinkede IT-plattformen etter planen blir lansert våren 2022.

– Innen helsesektoren er det mye delte PC-er. Løsningen med Yubikey gir da en smidigere og raskere pålogging. Her vil brikkene også være en tidstyvbekjemper, mener IT-sjef Bjørn Villa.

Visjonen er å slippe passord

Kort fortalt betyr tofaktor-autentisering (2FA) eller multifaktor-autentisering (MFA) at du må bruke mer enn brukernavn og passord for å logge inn.

Fysisk brikke er regnet som mer sikkert enn å motta en pinkode på SMS, fordi en melding kan bli overvåket eller fanget opp av en angriper. Løsningen er også sikrere enn bruk av en autentiseringsapp på mobilen, som er andre alternativer.

IT-sjefen vedgår at de har en visjon om en dag å kunne tilby de ansatte en passordfri hverdag ved hjelp av brikkene.

– Ja, det er også en del av tankegodset at det kan tas i den retningen. Det er naturlig å jobbe mot en slik visjon, men det er ennå et stykke før vi er der. Vi tar det skritt for skritt, men det er mange ting som må henge med. Generelt har vi kommet langt med gode autentiseringsløsninger. Vi var tidlig ute med skytjenester og har 2FA stort sett på alle løsninger. Det danner et godt grunnlag for å ta det videre, konstaterer Bjørn Villa.

Mektige krefter bak

Det er ingen hvem som helst som trekker i trådene her. Teknologien støttes av mange av verdens største og mektigste.

Microsoft, Google, Apple og Amazon er bare noen av IT-gigantene som inngår i Fido2 Alliance, som altså er en bred allianse med bransjens svar på sikkerhetsutfordringer, blant annet knyttet til passord som havner på avveie.

– Når aktørene som setter premissene for operativsystemer står bak, da skjer ting ganske raskt. Det er for eksempel tilrettelagt for bruk av Fido2-enheter for å logge på et Windows-nettverk eller på Android og iOS, sier salgsdirektør Pål Müller i Buypass.

Ifølge ham er det en «gryende interesse» for Fido2-baserte løsninger i det norske markedet.

Ved hjelp av åpne standarder er det plutselig blitt mulig å lage autentiseringssystemer, også de som tilfredsstiller de strengeste kravene til sikkerhet, uten tungvinte løsninger og krav om tilleggsprodukter, som eksempelvis smartkortlesere.

Her kan du lese mer om ordningen og hvordan passordfri pålogging skal gi en enklere hverdag, inkludert for norsk helsepersonell.