HelseID og Persontjenesten
Persontjenesten benytter HelseID for autentisering og autorisasjon.
Den som ber om HelseID på vegne av helsevirksomheten, må ha en rolle i Altinn som tilsier at vedkommende har rett til å representere helsevirksomheten.
Under oppkoblingen fra et EPJ-system til Persontjenesten, må det gjøres et forhåndskall til HelseID. I dette kallet gir systemet en identifisering av seg selv, og gjør et krav på en sikkerhetsbillett som skal benyttes i den senere oppkoblingen mot Persontjenesten.
Når EPJ-systemet i eksempelet har klart å bevise for HelseID at det er en klient som faktisk har krav på sikkerhetsbillett, svarer HelseID med en sikkerhetsbillett. Den kan sammenlignes med en nøkkel som passer til noen rom i et hus. Dette kalles «rettighetspakker» (scopes). En sikkerhetsbillett inneholder altså selve adgangsnøkkelen, og også hva du kan gjøre med den. I vårt tilfelle betyr det for eksempel at du får tilgang til å lese dataene våre, men du kan ikke slette eller overskrive dataene våre.
Når EPJ-systemet mottar denne sikkerhetsbilletten, blir den sendt med i kallet mot Persontjenesten. «Jeg vil ha et personobjekt med identifikator lik x, og dette er sikkerhetsbilletten som sier at jeg har rett til å motta og lese dette objektet». Persontjenesten inspiserer billetten, spør HelseID om dette er en autentisk billett, og hvis alt går bra får Persontjenesten til svar at billetten er gyldig og utleverer til EPJ-systemet det som ble etterspurt.
Persontjenesten stoler på at HelseID har utført autentisering på vegne av seg selv, og at dersom det kommer en forespørsel med en gyldig sikkerhetsbillett som er utstedt av HelseID, blir kallet godtatt. Dette er basert på tillit til at HelseID har sterk autentisering av konsumenter som forsøker å koble seg opp mot Persontjenesten, og Persontjenesten slipper derfor selv å autentisere konsumentene. HelseID kan på mange måter sammenlignes med pålogging til en nettbank via BankID. Nettbanken din forholder seg til at dersom brukeren er autentisert via BankID, så vil den godta at du er den du sier du er – fordi BankID har gjort autentiseringen av deg som bruker, på vegne av banken.
Persontjenesten benytter imidlertid maskin-til-maskin autentisering. Forholdet mellom HelseID, Persontjenesten og konsumenten ligger på maskin-nivå. En klient av HelseID (og i forlengelsen Persontjenesten) er altså en maskin (hvor et system kjører), ikke en personlig bruker. Persontjenesten vet ingenting om hvordan en operatør, for eksempel en sykepleier, har logget seg på EPJ-systemet – dette har virksomhetene ansvar for å sikre selv, med sterk autentisering.