Skip to end of banner
Go to start of banner

RFC0075 Extra controle vertegenwoordigde

Skip to end of metadata
Go to start of metadata

You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 8 Current »

Samenvatting

Waarom is deze RFC nodig?

Door de introductie van vertegenwoordiging als extensie in versie 1.5.0 van het afsprakenstelsel is het risico op vermenging van gegevens van verschillende personen in één dossier vergroot.

Oplossingsrichting

Om een extra controle in te kunnen bouwen bij de beschikbaarheids- en ontvankelijkheidstoets, moet bij het authorization request de geboortedatum meegegeven worden van de persoon van wie het dossier is, de vertegenwoordigde. De Authorization server moet deze geboortedatum vergelijken met de geboortedatum die bekend is bij de aanbieder. Indien deze niet overeenkomen, toont de DVA een foutmelding en geeft dit door aan de DVP.

RACI
  • Responsible:
    • Team ontwikkeling
  • Accountable:
    • Product Management
  • Consulted
    • Deelnemers
  • Informed
    • Communicatie
    • Loket (info@medmij.nl)
    • Leveranciersmanagement
    • Acceptatie (acceptatie@medmij.nl)
    • Security Management (secmgt@medmij.nl)
    • Stelselregie
Aanpassing van
Extensie vertegenwoordiging
Impact op rollen
DVP & DVA
Impact op beheer

-

Impact op RnA

-

Impact op Acceptatie

-

PIA noodzakelijk-
Gerelateerd aan (Andere RFCs, PIM issues)

-

Implementatietermijn

1.6.0

Uitwerking

Functies en gegevens, Authenticeren voor Vertegenwoordiging

OudNieuw

nr.

uitzondering

actie

vervolg

Verzamelen Vert 1

Dienstverlener aanbieder kan de identiteit van de Vertegenwoordigde niet vaststellen.

Dienstverlener aanbieder informeert Dienstverlener persoon dat verzoek niet wordt ingewilligd.

Allen stoppen de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.

nr.

uitzondering

actie

vervolg

Authenticeren Vertegenwoordiging 1

Dienstverlener aanbieder kan de identiteit van de Vertegenwoordigde niet met voldoende zekerheid vast (laten) stellen.

Dienstverlener aanbieder informeert eerst de Persoon en daarna de Dienstverlener persoon dat het verzoek niet wordt ingewilligd.

Allen stoppen de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.

  • verwerkt in 1.6.0

Functies en gegevens, Autoriseren voor Vertegenwoordiging

  1. Na het verkrijgen van de authenticatieverklaring controleert de Authorization server of binnen de functie Authenticeren vertegenwoordiging is toegepast:
    1. De Authorization server stelt vast dat Vertegenwoordiging is toegepast tijdens authenticatie en gaat verder met de flow.
    2. De Authorization server stelt vast dat geen Vertegenwoordiging is toegepast tijdens authenticatie, terwijl dit wel gevraagd werd. De Authorization server stopt de flow onmiddellijk.

(Zie RFC0069)

  1. Na het verkrijgen van de authenticatieverklaring controleert de Authorization server of binnen de functie Authenticeren vertegenwoordiging is toegepast:
    1. De Authorization server stelt vast dat Vertegenwoordiging is toegepast tijdens authenticatie en gaat verder met de flow.
    2. De Authorization server stelt vast dat geen Vertegenwoordiging is toegepast tijdens authenticatie, terwijl dit wel gevraagd werd. De Authorization server stopt de flow onmiddellijk.
    3. De Authorization server stelt vast dat de in het Authorization request meegestuurde geboortedatum gelijk is aan de geboortedatum van de Vertegenwoordigde, zoals deze bekend is in de achterliggende component(en).


  • verwerkt in 1.6.0

Functies en gegevens, Verzamelen voor Vertegenwoordiging

In plaats van de normale functie Autoriseren wordt een voor Vertegenwoordiging aangepaste versie aangeroepen.

(Zie RFC0069)

In plaats van de normale functie Autoriseren wordt een voor Vertegenwoordiging aangepaste versie aangeroepen. Hierbij wordt de geboortedatum van de Vertegenwoordigde meegestuurd, zodat de Dienstverlener aanbieder een extra controle kan uitvoeren op de juistheid van de gekozen Vertegenwoordigde in het Zorgdomein.

  • verwerkt in 1.6.0

Verantwoordelijkheden, Vertegenwoordiging - Autorisatie

Nieuw


1.

De geboortedatum van de Vertegenwoordigde wordt door de Dienstverlener persoon als parameter toegevoegd aan het Authorization request, zoals beschreven in RFC6749, sectie 8.2. De parameter heeft de naam MedMij_geboortedatum.

ext.vert.autorisatie.200

2.De ontvangende Dienstverlener aanbieder vergelijkt de waarde met de in het achterliggende systeem bekende geboortedatum van de Vertegenwoordigde. Indien deze niet overeenkomen, wordt een melding getoond als beschreven in ext.vert.authint.203. ext.vert.autorisatie.201
  • verwerkt in 1.6.0

Authorization interface, Vertegenwoordiging

OudNieuw
1.


parameter

vulling

toelichting

scope

Optioneel voor "vertegenwoordigen":

  • de letterlijke waarde onbehalfof
  • met een spatie gescheiden van de andere onderdelen

Voorbeeld van een syntactisch juiste scope is:

  • "onbehalfof", als indicatie dat hier sprake is van vertegenwoordiging

Bovenstaande tabel is een uitbreiding op de tabel die is weergegeven in core.authint.200

ext.vert.authint.200

1.


parameter

vulling

toelichting

scope

Optioneel voor "vertegenwoordigen":

  • de letterlijke waarde onbehalfof
  • met een spatie gescheiden van de andere onderdelen

Voorbeeld van een syntactisch juiste scope is:

  • "onbehalfof", als indicatie dat hier sprake is van vertegenwoordiging
MedMij_geboortedatumDe geboortedatum van de Vertegenwoordigde, geschreven in het formaat <JJJJMMDD>.

Voorbeeld van een syntactische juiste geboortedatum:

  • 19700901

Oftewel 1 september 1970

Bovenstaande tabel is een uitbreiding op de tabel die is weergegeven in core.authint.200

ext.vert.authint.200

4.

OAuth Authorization Server behandelt uitzonderingssituaties inzake het token interface volgens onderstaande tabel.

Nummer

Implementeert uitzondering

Uitzondering

Actie

Melding

Vervolg

Authorization interface Vertegenwoordiging 1


De OAuth Authorization Server stelt dat tijdens Authenticatie geen gebruik is gemaakt van Vertegenwoordiging, terwijl dit wel verwacht werd.OAuth Authorization Server informeert daarop Persoon hierover.
OAuth Authorization Server stopt de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.
Authorization interface Vertegenwoordiging 2

De OAuth Authorization Server stelt dat tijdens Authenticatie gebruik is gemaakt van Vertegenwoordiging, terwijl dit niet verwacht werd.OAuth Authorization Server informeert daarop Persoon hierover.
OAuth Authorization Server stopt de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.

De OAuth Authorization Server kan deze uitzonderingen alleen vaststellen als de OAuth Authorization Server Vertegenwoordiging ondersteunt. Omdat deze extensie optioneel is voor alle deelnemers, kan de situatie zich voordoen dat de uitzondering wel van toepassing is, maar niet opgemerkt wordt door de OAuth Authorization Server.

ext.vert.authint.203

4.

OAuth Authorization Server behandelt uitzonderingssituaties inzake het token interface volgens onderstaande tabel.

Nummer

Implementeert uitzondering

Uitzondering

Actie

Melding

Vervolg

Authorization interface Vertegenwoordiging 1


De OAuth Authorization Server stelt dat tijdens Authenticatie geen gebruik is gemaakt van Vertegenwoordiging, terwijl dit wel verwacht werd.OAuth Authorization Server informeert daarop Persoon hierover.
OAuth Authorization Server stopt de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.
Authorization interface Vertegenwoordiging 2

De OAuth Authorization Server stelt dat tijdens Authenticatie gebruik is gemaakt van Vertegenwoordiging, terwijl dit niet verwacht werd.OAuth Authorization Server informeert daarop Persoon hierover.
OAuth Authorization Server stopt de flow onmiddellijk na geïnformeerd te zijn over de uitzondering.
Authorization interface Vertegenwoordiging 3
Verzamelen Vert 1De OAuth Authorization Server stelt dat de parameter MedMij_geboortedatum mist in het Authorization request, terwijl de scope wel de waarde onbehalfof bevat.Conform Authorization interface 1b, beschreven in core.authint.207
Conform Authorization interface 1b, beschreven in core.authint.207Conform Authorization interface 1b, beschreven in core.authint.207
Authorization interface Vertegenwoordiging 4
Verzamelen Vert 1De OAuth Authorization Server stelt dat de waarde van de parameter MedMij_geboortedatum niet gelijk is aan de geboortedatum van de Vertegenwoordigde in het achterliggende systeem.
Conform Authorization interface 3, beschreven in core.authint.207Conform Authorization interface 3, beschreven in core.authint.207Conform Authorization interface 3, beschreven in core.authint.207

De OAuth Authorization Server kan deze uitzonderingen alleen vaststellen als de OAuth Authorization Server Vertegenwoordiging ondersteunt. Omdat deze extensie optioneel is voor alle deelnemers, kan de situatie zich voordoen dat de uitzondering wel van toepassing is, maar niet opgemerkt wordt door de OAuth Authorization Server.

ext.vert.authint.203

  • verwerkt in 1.6.0

Risico's

Omschrijf de (privacy)risico's die kunnen ontstaan als deze RFC wordt aangenomen. In het onwaarschijnlijke geval dat deze RFC's geen risico's introduceert, geef dat dan wel aan.

DreigingKansImpactDreigingsID (intern)Maatregelen
-

-

---

Goedkeuring

BeoordelaarDatumToelichtingBeoordelaarDatumToelichting
Productmanager Stichting MedMij

Productmanager Beheerorganisatie

Leadarchitect Stichting MedMij

Leadarchitect Beheerorganisatie

Ontwerpteam




Deelnemersraad

Eigenaarsraad

  • No labels