Edukoppeling – REST-profiel

Versie: Edukoppeling – REST profiel
Status: Concept - april 2019
Sector: PO VO MBO HO

Beschrijving

Om tegemoet te komen aan een toenemende vraag naar veilige en betrouwbare berichtuitwisseling voor machine – machine koppelingen gebaseerd op REST-principes is er een profiel ontwikkeld. Met dit profiel wordt beoogd om soortgelijke waarborgen voor integriteit, veiligheid en interoperabiliteit te bereiken voor REST-gebaseerde koppelingen als nu beschikbaar met de Edukoppeling standaard voor SOAP berichtverkeer.

Samenhang

Dit profiel beschrijft:

  • De ondertekening van berichten.
  • De verificatie van de ondertekening van berichten.
  • De adressering van afzender en ontvanger.
  • De identificatie van de beoogde service voor het verwerken van berichten.
  • (TODO: de versleuteling, ontsleuteling van berichten).

Voor alle andere aspecten van veilig en betrouwbaar berichtverkeer wordt uitgegaan van andere
beschikbare standaarden en conventies:

  • Routeren van berichtverkeer vindt plaats met een toepasselijk transportprotocol zoals http
    (hier beschreven). Alternatieven zoals smtp en mqtp zijn denkbaar maar niet verder
    uitgewerkt.
  • Adressering van partijen is gebaseerd op de identificatie van organisaties door middel van het OIN.
  • De relatie tussen de identificatie van de partijen (OIN) en een adres voor het transportprotocol (http) is vastgelegd in een (sectoraal) register en dit register is beschikbaar.
  • Betrouwbare identificatie van een organisatie aan de hand van het OIN van de organisatie in
    een PKIo certificaat wordt verondersteld.
  • Maatregelen voor een veilig en betrouwbaar tranport (TLS en dergelijke) zijn beschreven in
    toepasselijke toetsingskaders, bijvoorbeeld het Certificeringsschema.

Ontwikkelingen

In de werkgroep Edukoppeling is geconstateerd dat de wijze van gegevensuitwisseling verandert. Er zijn steeds meer programma’s en app’s die vragen om een snelle en eenvoudige manier van uitwisselen van informatie, bijvoorbeeld met applicaties op (mobiele) devices. Dit vraagt om efficiënte koppelingen tussen systemen. Deze koppelingen tussen systemen worden vaak via APIs gerealiseerd gebaseerd op het REST architectuurprincipe. De Architectuurraad heeft gevraagd om een onderzoeksvoorstel met een inventarisatie naar de REST-standaarden.

Onder Documentatie staan:

  • Versie 0.4.1: wijziging van ‘base64url’ encoding naar ‘base64’ in het JWT token zelf; dit is voor deze toepassing ene betere keuze. De implementatie in het OSR heeft dit al geïmplementeerd, impact voor aansluitende partijen is naar verwachting niet groot. Toevoeging van optie ‘c14n=none’ voor berichten waarop geen canonicalization moet worden toegepast, nav een opmerking uit de ROSA-scan. Van dit document zijn een pdf met tekst wijzigingen (-rev.pdf) en een complete versie beschikbaar.
  • Versie 0.5: commentaar uit de openbare consultatie is hierin verwerkt. Impact hiervan met name in het eerste hoofdstuk, uitleg en positionering. Dit is nog niet het laatste woord, meer verbeteringen worden verwacht.

Bijeenkomsten

Er zijn geen bijeenkomsten gepland.
Documentatie van eerdere bijeenkomsten is terug te vinden in het overzicht bijeenkomsten.