Team-penetrasjonstestere for digital lommebok, MinID og eFormidling (SSA-O)

Her ønsker vi et team fra en leverandør
Bakgrunn
Digdir har etablert nasjonal sandkasse for digital lommebok, lansert på Nokios 2025. Etter 1 år med test-drift, er det nå tid for å utvide sandkassen med et miljø der vi og sandkasse-deltakerene kan benytte skarpe data. Det er derfor nødvendig å sikkerhetsteste sandkassen sitt produksjonsmiljø før den blir åpnet, for å ha kontroll på konfidensialitet og integritet.
Digdir har videre valgt å lage en ny app for MinID som skal ha bedre teknisk sikkerhet og utstedelsesmekanisme enn dagens løsning, uten å måtte tilfredsstille kravene til nivå «høyt». En slik løsning er etterspurt for visse brukergrupper hos bla. NAV, Vegvesent og Helsenorge. Denne nye «minid-pluss»-appen vil kun støtte onboarding med digital idkontroll, og innlogging er basert på digital-lommebok-teknologi og er basert på bruk av sandkassen. Det er nødvendig å sikkerhetsteste ny minid-løsning før den blir satt i produksjon.
Siden minid-app benytter sandkasse sine tjenester, vil det være mest kostnadseffektivt å sikkerhetsteste både sandkassen og minid samtidig.
eFormidling har ikke blitt sikkerhetstestet på en stund, derfor er det på tide med en ny revisjon av sikkerheten for produktet.
I tillegg har det i senere tid har produktet gått over på nyere versjoner for Java og Spring Boot, denne overgangen kan føre til nye sårbarheter. Etter større endringer er det grunn til å gjennomføre ekstern sikkerhetstest.
Beskrivelse av oppdraget
Del 1: Nasjonal sandkasse for digital lommebok
Den nasjonale sandkassen bygger på eIDAS2-rammeverket. Sandkassen er dokumentert her: https://docs.digdir.no/docs/lommebok/lommebok_om.html
Det planlagte produksjonsmiljøet for sandkassen vil inneholde:
Brukersted-registeret inneholder oversikt over alle aktører i sandkassen, hvilke data/bevistyper de enten utsteder eller konsumer. Til registeret hører en admin-løsning som Digdir-personell bruker, samt en selvbetjeningsløsning der aktørene selv kan registrere nødvendige opplysninger. Registeret har en PKI-infrastruktur som utsteder ulike typer sertifikater som må benyttes for at funksjonaliteten skal fungere iht. EU sitt arkitekturrammeverkt og tilhørende standarder, f.eks. fra ETSI.
Det skal penetrasjonstestes mot endepunktene til registeret, og UI-løsninger skal testes for tekniske og funksjonelle sårbarheter. Korrekt tilgangskontroll i UI og API skal testes.
Tillitslister
Sandkassen tilbyr egne tillitslister som aktørene må validere mot. Innholdet på tillitslista blir manuelt overført fra Brukersted-registeret av Digdir. Det skal testes at listene ivaretar integritet og ikke lar seg manipulere.
«Bevisporten»
«Bevisporten» er en fellesløsning for utstedelse av digitale beviser til lommebøkene. Løsningen er bygd opp som multi-tentant slik at den kan utstede beviser både for Digdir, men også for andre aktører. Den består av flere mikrotjenester, som en oauth2-server, kjernekomponent for utstedelse, samt en status-teneste som benyttes for revokasjon av digitale bevis. Løsningen har ikke noe eget brukergrensenitt. Komponenten skal penetrasjonstestes og sjekkes for funksjonelle eller logiske sårbarheter.
VP-service
VP-service er en gjenbrukbar backend-kompontent/mellomvare som kan benyttes av tjenester som trenger motta bevis fra digitale lommebøker. Denne blir brukt av MinID ved autentisering. Komponenten skal penetrasjonstestes og sjekkes for funksjonelle eller logiske sårbarheter.
Del 2: Minid-pluss
Minid-pluss er en ny app for eIDen minid. Den har følgende hovedfuksjonalitet:
Autentisering av innbyggere på sikkerhetsnivå «betydelig», basert på lommebok-teknologi
Deling av digitale bevis
Onboarding av innbyggere med digital idkontroll (levert av Mobai).
Appen har en egen backend utviklet og driftet av Digdir. Ved digital id-kontroll benyttes også dedikert backend hos Mobai. For lommebok-spesifikk funksjonalitet i minid-app benyttes utsteder og tillitsrammeverk fra den nasjonale sandkassen.
Det skal som minimum sikkerhetstestes for:
Endepunkter i minid-app sin backend
Tekniske og logiske sårbarheter i frontend/ui i appen (android og ios)
Tekniske og logiske sårbarheter ved onboardingsprosessen
Tekniske og logiske sårbarheter ved bevisdeling
Sikring av hemmeligheter og nøkler
Beskyttelsesmekanismer for deteksjon av «falske app-instanser»
Del 3: eFormidling
eFormidling bidrar til en sikker, samordnet og effektiv meldingsutveksling. Løsningen gjør det mulig å kommunisere på en enkel måte, uten å måtte ta hensyn til om mottakeren er en privat virksomhet, offentlig virksomhet eller innbygger. eFormidling består av distribuert integrasjonspunkt og sentrale komponenter.
Teknologier:
Spring Boot
Java 21/25
React
Javascript
KOSMOS
Det skal som minimum gjøres sårbarhetsanalyse og penetrasjonstest for:
Distribuert integrasjonspunkt, sentrale komponenter og KOSMOS (autoupdate av integrasjonspunktet, separat app)
Endepunkter i løsningene
Tekniske og logiske sårbarheter ved onboardingsprosessen
Sikring av hemmeligheter og nøkler
Beskyttelsesmekanismer for deteksjon av «falske integrasjonspunkt»
Kunde-loggløsning
Out-of-scope:
Fysisk sikkerhet
Phishing
ELMA
KRR
Peppol
Oppdraget anntas å ha en verdi på kr
Kompetanse
Kjennskap til Digital Lommebok, MinID og eFormidling
Relevant kompetanse innen eIDAS2, OAuth2, Spring Boot, Java, React, Javascript og KOSMOS
Oppstart og varighet kr 880.000 eksl. mva.Maksimalverdi for opsjon er på kr 440.000 ekskl. mva. Det er ikk planlagt uttak av opsjon pt.
Oppstart: fra kontraktsinngåelse
Varighet: til 31.12.2026. Godkjent sluttrapport skal leveres senest 18.12.2026
Opsjon: Oppdragsgiver vil i tillegg kunne inngå en opsjon på seks måneder for konsulentoppdrag etter timer fra 01.01.2027 til 30.06.2027. Opsjonen innebærer ingen kjøpsforpliktelser.
Omfang: Vi ønsker et team på 4-6(maks) faste konsulenter på oppdraget. Konsulentene skal jobbe fra egne lokaler. De vil bli gitt de nødvendige tilganger til Digdirs systemer. Oppfølging vil skje gjennom møter på Teams ved behov.
Arbeidssted: Konsulentenes egne lokaler
Søknadsfrist: 15.10.2026

Work arrangement
Yes