Team-penetrasjonstestere for digital lommebok, MinID og eFormidling (SSA-O)

Her ønsker vi et team fra en leverandør

Bakgrunn

Digdir har etablert nasjonal sandkasse for digital lommebok, lansert på Nokios 2025.   Etter 1 år med test-drift, er det nå tid for å utvide sandkassen med et miljø der vi og sandkasse-deltakerene kan benytte skarpe data.   Det er derfor nødvendig å sikkerhetsteste sandkassen sitt produksjonsmiljø før den blir åpnet, for å ha kontroll på konfidensialitet og integritet.

Digdir har videre valgt å lage en ny app for MinID som skal ha bedre teknisk sikkerhet og utstedelsesmekanisme enn dagens løsning, uten å måtte tilfredsstille kravene til nivå «høyt». En slik løsning er etterspurt for visse brukergrupper hos bla. NAV, Vegvesent og Helsenorge. Denne nye «minid-pluss»-appen vil kun støtte onboarding med digital idkontroll, og innlogging er basert på digital-lommebok-teknologi og er basert på bruk av sandkassen. Det er nødvendig å sikkerhetsteste ny minid-løsning før den blir satt i produksjon.

Siden minid-app benytter sandkasse sine tjenester, vil det være mest kostnadseffektivt å sikkerhetsteste både sandkassen og minid samtidig.

eFormidling har ikke blitt sikkerhetstestet på en stund, derfor er det på tide med en ny revisjon av sikkerheten for produktet.

I tillegg har det i senere tid har produktet gått over på nyere versjoner for Java og Spring Boot, denne overgangen kan føre til nye sårbarheter. Etter større endringer er det grunn til å gjennomføre ekstern sikkerhetstest.

Beskrivelse av oppdraget

Del 1: Nasjonal sandkasse for digital lommebok

Den nasjonale sandkassen bygger på eIDAS2-rammeverket.  Sandkassen er dokumentert her: https://docs.digdir.no/docs/lommebok/lommebok_om.html

Det planlagte produksjonsmiljøet for sandkassen vil inneholde:

Brukersted-registeret inneholder oversikt over alle aktører i sandkassen, hvilke data/bevistyper de enten utsteder eller konsumer.  Til registeret hører en admin-løsning som Digdir-personell bruker, samt en selvbetjeningsløsning der aktørene selv kan registrere nødvendige opplysninger.  Registeret har en PKI-infrastruktur som utsteder ulike typer sertifikater som må benyttes for at funksjonaliteten skal fungere iht. EU sitt arkitekturrammeverkt og tilhørende standarder, f.eks. fra ETSI.

Det skal penetrasjonstestes mot endepunktene til registeret, og UI-løsninger skal testes for tekniske og funksjonelle sårbarheter.  Korrekt tilgangskontroll i UI og API skal testes.

Tillitslister

Sandkassen tilbyr egne tillitslister som aktørene må validere mot. Innholdet på tillitslista blir manuelt overført fra Brukersted-registeret av Digdir.  Det skal testes at listene ivaretar integritet og ikke lar seg manipulere.

«Bevisporten»

«Bevisporten» er en fellesløsning for utstedelse av digitale beviser til lommebøkene.  Løsningen er bygd opp som multi-tentant slik at den kan utstede beviser både for Digdir, men også for andre aktører. Den består av flere mikrotjenester, som en oauth2-server, kjernekomponent for utstedelse, samt en status-teneste som benyttes for revokasjon av digitale bevis. Løsningen har ikke noe eget brukergrensenitt.  Komponenten skal penetrasjonstestes og sjekkes for funksjonelle eller logiske sårbarheter.

VP-service

VP-service er en gjenbrukbar backend-kompontent/mellomvare som kan benyttes av tjenester som trenger motta bevis fra digitale lommebøker. Denne blir brukt av MinID ved autentisering. Komponenten skal penetrasjonstestes og sjekkes for funksjonelle eller logiske sårbarheter.

Del 2: Minid-pluss 

Minid-pluss er en ny app for eIDen minid. Den har følgende hovedfuksjonalitet:

• Autentisering av innbyggere på sikkerhetsnivå «betydelig», basert på lommebok-teknologi

• Deling av digitale bevis

• Onboarding av innbyggere med digital idkontroll (levert av Mobai).

Appen har en egen backend utviklet og driftet av Digdir. Ved digital id-kontroll benyttes også dedikert backend hos Mobai.  For lommebok-spesifikk funksjonalitet i minid-app benyttes utsteder og tillitsrammeverk fra den nasjonale sandkassen.

Det skal som minimum sikkerhetstestes for:

• Endepunkter i minid-app sin backend

• Tekniske og logiske sårbarheter i frontend/ui i appen (android og ios)

• Tekniske og logiske sårbarheter ved onboardingsprosessen

• Tekniske og logiske sårbarheter ved bevisdeling

• Sikring av hemmeligheter og nøkler

• Beskyttelsesmekanismer for deteksjon av «falske app-instanser»

Del 3: eFormidling 

eFormidling bidrar til en sikker, samordnet og effektiv meldingsutveksling. Løsningen gjør det mulig å kommunisere på en enkel måte, uten å måtte ta hensyn til om mottakeren er en privat virksomhet, offentlig virksomhet eller innbygger. eFormidling består av distribuert integrasjonspunkt og sentrale komponenter.

Teknologier:

• Spring Boot

• Java 21/25

• React

• Javascript

• KOSMOS

Det skal som minimum gjøres sårbarhetsanalyse og penetrasjonstest for: 

• Distribuert integrasjonspunkt, sentrale komponenter og KOSMOS (autoupdate av integrasjonspunktet, separat app)

• Endepunkter i løsningene

• Tekniske og logiske sårbarheter ved onboardingsprosessen

• Sikring av hemmeligheter og nøkler

• Beskyttelsesmekanismer for deteksjon av «falske integrasjonspunkt»

• Kunde-loggløsning

Out-of-scope:

• Fysisk sikkerhet

• Phishing

• ELMA

• KRR 

• Peppol

Oppdraget anntas å ha en verdi på kr

Kompetanse

• Kjennskap til Digital Lommebok, MinID og eFormidling

• Relevant kompetanse innen eIDAS2, OAuth2, Spring Boot, Java, React, Javascript og KOSMOS

Oppstart og varighet kr 880.000 eksl. mva.Maksimalverdi for opsjon er på kr 440.000 ekskl. mva. Det er ikk planlagt uttak av opsjon pt.

Oppstart: fra kontraktsinngåelse

Varighet: til 31.12.2026. Godkjent sluttrapport skal leveres senest 18.12.2026

Opsjon: Oppdragsgiver vil i tillegg kunne inngå en opsjon på seks måneder for konsulentoppdrag etter timer fra 01.01.2027 til 30.06.2027. Opsjonen innebærer ingen kjøpsforpliktelser.

Omfang: Vi ønsker et team på 4-6(maks) faste konsulenter på oppdraget. Konsulentene skal jobbe fra egne lokaler. De vil bli gitt de nødvendige tilganger til Digdirs systemer. Oppfølging vil skje gjennom møter på Teams ved behov.

Arbeidssted: Konsulentenes egne lokaler

Søknadsfrist: 15.10.2026