Skip to content

Liste vertrauenswürdiger Zustelldienst-Host-Adressen

Warum machen wir das?

Zur Absicherung der im DVDV hinterlegten Daten soll die von einem Zustelldienst erstellte und dort hinterlegte Signatur durch den Routingdienst und API-Clients geprüft werden können.

Die öffentlichen Signaturschlüssel der Zustelldienste werden bereits durch die Zustelldienste über den Endpunkt /.well-known/jwks.json der Submission API bereitgestellt. Damit Routingdienst und API-Clients prüfen können, ob die Signatur von einem vertrauenswürdigen Zustelldienst erstellt wurde, müssen Routingdienst und API-Clients eine Liste vertrauenswürdiger Zustelldienst-Host-Adressen kennen. Hierzu muss das SSP eine (signierte) Liste der Hostadressen aller Zustelldienste bereitstellen.

Alternative:

  • Das SSP stellt keine Liste der Hostadressen bereit, sondern ein JWKS mit allen öffentlichen Signaturschlüsseln der Zustelldienste.
    • Anmerkung Marco: Nicht zu bevorzugen, da höhere Komplexität und größerer Implementierungsaufwand im SSP. Für die Umsetzung dieser Alternative müsste das SSP periodisch die öffentlichen Signaturschlüssel der Zustelldienste abrufen und bereitstellen.

Referenzen

Datenstruktur

{
  "deliveryServices": [
    {
      "submissionHost": "submission-api-testing.fit-connect.fitko.dev"
    },
    {
      "submissionHost": "submission-api.it-niedersachsen.fitko.dev"
    }
  ]
}

Preferenz für die URL: GET /v1/delivery-services/ (Public ohne Authentisierung)

{
  "deliveryServicesSignature": "ey..." (JWS)
}

Akzeptanzkriterien

    • Die Hostadressen der Zustelldienste werden über einen Endpunkt bereitgestellt.
    • Die Hostadressen der Zustelldienste können in einer Konfigurationsdatei einfach ausgetauscht werden.
    • Die Liste der Hostadressen ist mit dem Schlüssel des SSP signiert.

Durchführungsplan

Edited by Florian Kaufmann