Waarom GetGovroam?

• Gebruiksgemak: eindgebruikers worden geregeld geconfronteerd met het verlopen van wachtwoorden. GetGovroam neemt dan alle complexe handelingen van de eindgebruiker over. Bovendien werkt GetGovroam op basis van ‘single sign on’ met het vertrouwde organisatieaccount
• Zelfredzaamheid: eindgebruikers kunnen hun mobiele devices instellen zonder hulp van de servicedesk. Eindgebruikers kunnen dit zelfs buiten het bereik van Govroam doen, en zo alvast thuis hun apparaat instellen.
• Veiligheid: de deelnemende overheidsorganisatie weet zeker dat alle mobiele devices op de juiste manier geconfigureerd zijn voor het gebruik van Govroam. Bovendien is GetGovroam extra veilig omdat het gebruik maakt van client-certificaten (EAP-TLS).
• IdP-as-a-Service: omdat Govroam als gedelegeerd Identity Provider (IdP) optreedt voor wifi-roaming, heeft een organisatie slechts een ‘SAML’-koppeling nodig om eenvoudig de gebruikers van een wifi-account te laten voorzien. Hierdoor is tevens het gemak van Single Sign On voorhanden, zonder het nadeel dat de gebruikersnaam op het wifi netwerk zichtbaar is.

Aanmelden

• De Administratief contactpersoon van een Deelnemer (deelnemende Govroam organisatie) vraagt de dienst aan via info@Govroam.nl of het Klantportaal (https://klantportaal.Govroam.nl).
• De tekenbevoegde medewerker van de organisatie ondertekent het Addendum en stemt (derhalve) in met de Gebruikersvoorwaarden en het Privacy statement.
• De organisatie en Govroam leggen een SAML-koppeling ten behoeve van de authenticatie van de medewerkers, al dan niet via een ‘Identity Broker’. Dit houdt in dat de gegevens van de SAML-interfaces aan beide zijden gedeeld worden, de veiligheidskeys worden uitgewisseld en afspraken worden gemaakt over attributen.

Functionaliteit voor medewerkers

Medewerkers kunnen gebruik maken van het gemak van GetGovroam door het eenmalig volgen van een eenvoudig stappenplan. Erik: kan dit hele stappenplan ook elders?

Er zijn apps zijn voor Android en iOS (te downloaden via Apple App store of Google Play) en een applicatie voor Windows. Voor MacOS kan er een profiel gedownload worden vanaf het (organisatiespecifieke) GetGovroam portal. (linkjes)

Functionaliteit voor Beheerders

Vooralsnog zijn er geen instellingen die relevant zijn voor organisatie-beheerders.

• De organisatie is Deelnemer van Govroam in de zin van Identity Provider.
• De SAML-koppeling verloopt uitsluitend over publieke IP-adressen op basis van HTTPS.

Informatiebeveiliging

In de EAP-PEAP- of EAP-TTLS-protocollen wordt het gebruikerswachtwoord voor elke login versleuteld verzonden, maar de sleutel die voor de versleuteling wordt gebruikt, wordt niet altijd gecontroleerd. Er zijn meerdere bekende aanvallen die hiervan misbruik maken.

Daarom zijn we van mening dat gebruikers de beste beveiliging krijgen door EAP-TLS te gebruiken. Daarom zetten we serversoftware in, die clientcertificaten kan uitgeven voor gebruik met EAP-TLS.

Niet elke instelling of roamingoperator zal vanaf de eerste dag gebruik maken van onze infrastructuur voor EAP-TLS. Hierdoor ondersteunt de GetGovroam-app optioneel ook EAP-PEAP en EAP-TTLS, zodat gebruikers bij het gebruik van de GetGovroam-app toch over het hoogst mogelijke beschermingsniveau kunnen beschikken.

Privacy en bewaartermijnen

Alleen minimaal noodzakelijke gegevens worden bewaard en de bewaartermijn wordt tot een minimum beperkt. De bewaartermijn van het medewerkersaccount (govID of SAML identifier en Govroam-wifi-account) is beperkt tot de duur van de geldigheid van het account. De bewaartermijn van logging over het gebruik van het account bedraagt 6 maanden.

Identiteiten en aansprakelijkheid

Na inloggen op basis van de credentials van de eigen organisatie via SAML, plaatst Govroam een ‘stub’ account in de Identity database van GetGovroam. Govroam genereert het Govroam-certificaat dat de medewerker voor Govroam zal kunnen gebruiken. Authenticatie bij wifi-toegang (via RADIUS) wordt uitgevoerd tegen dit Govroam-certificaat, waarvoor Stichting Govroam feitelijk als gedelegeerd identity provider dient.

Dit betekent automatisch dat Govroam een essentiële schakel is in alle authenticaties van de eindgebruikers van de organisatie, ook als zij inloggen op het (Govroam-) wifi netwerk van hun eigen organisatie.