02. Sikkerhet eksamenapi.udir.no

Autentisering

• All kommunikasjon skjer over TLS. (SSL 3.0 og eldre støttes ikke)
• Autentisering av server (PAS) ved hjelp av TLS
• Klienten anbefales å bruke «certificate pinning», p.t. benyttes sertifikater fra «COMODO High-assurance Secure Server CA»
• Klienten autentiserer seg mot Utdanningsdirektoratets ID-applikasjon Ved hjelp av en client_id og client_secret utstedt av Utdanningsdirektoratet vil klienten få mulighet til å hente en bearer token fra ID-applikasjonen etter OAuth2.0/OpenId standard. Denne token benyttes videre for kommunikasjon med selve eksamenstjenesten.
• Ved første kall mot eksamenstjenesten med et utstedt bearer token vil dette tokenet knyttes til organisasjonsnummeret sendt med i kallet. Videre kall med dette tokenet vil da kun fungere med dette organisasjonsnummeret.