International Data Spaces
International Data Spaces

Identity Provider

Identitätsmanagement mit geringen organisatorischen Anforderungen

Der sichere unternehmensübergreifende Datenaustausch ist eine Kerneigenschaft der International Data Spaces.

In der Praxis stellte dieser Austausch Unternehmen bislang vor Herausforderungen bzgl. eines übergreifenden (»federated«) Identity Managements, das oft genug an organisatorischen und technischen Hindernissen scheiterte. Die International Data Spaces bieten ein unternehmensübergreifendes Identitätsmanagement nach modernen Standards und mit geringen organisatorischen Anforderungen.

Jeder Connector in den International Data Spaces verfügt über einen privaten Schlüssel mit einem dazugehörigen X509v3-Zertifikat (»Gerätezertifikat«). Im Gegensatz zu herkömmlichen PKI-basierten Enterprise-IDM-Systemen, dienen diese statischen Zertifikate jedoch lediglich der Authentifizierung und werden nicht zum Austausch von Identitätsattributen verwendet. Diese werden vielmehr durch dynamische Tokens übertragen, die die Connectoren von einem Attributsserver beziehen. Dieser verwaltet Selbstbeschreibungen und attestierte (zertifizierte) Eigenschaften der Connectoren und stellt je nach Bedarf Tokens über die erforderlichen Eigenschaften eines Connectors aus.
Damit ist die Ausstellung der statischen X509v3-Zertifikate von Identitätseigenschaften entkoppelt, die sich möglicherweise im Laufe der Zeit ändern (bspw. durch eine Zertifizierung).

Dynamic Attribute Provisioning Service (DAPS)

Der DAPS ist der Attributsserver, der International Data Spaces-Connectoren OAuth2-Access-Tokens ausstellt, die sie für den Zugriff auf die Dienste und Daten anderer Connectoren benötigen. Der DAPS von Fraunhofer ist unter https://daps.aisec.fraunhofer.de erreichbar und implementiert RFC7523 JWT bearer client authentication for OAuth2. Dieses Protokoll ermöglicht den Connectoren, sich mit ihrem X509v3-Zertifikat am DAPS zu authentifizieren und im Gegenzug ein Access Token zu erhalten, mit dem sie auf andere Connectoren zugreifen können.

Die Entscheidung über zulässige Zugriffe trifft hierbei nicht der DAPS, sondern immer der angefragte Connector selbst. Der DAPS verwaltet lediglich die International Data Spaces-Attribute der registrierten Connectoren.