Utvecklare node.js samt autentisering med BankId och auktorisation mot e...

Till vår kund i Stockholm söker vi en utvecklare node.js med erfarenhet av rest api och BankId

Vår kund har tagit fram en prototyp där det mesta finns på plats men de vill ha någon som kan säkra upp att lösningen uppfyller best practice från ett säkerhetsperspektiv etc.

Rollbeskrivning

Du kommer att vara ansvarig för implementeringen av lösningen för inloggning för bolagets e-tjänst med hjälp av BankID och SITHS-kort.

Detta innebär att du kommer ansvara för att:

- Ta fram en lösning som tillåter personer att logga in med BankID och SITHS-kort.
- Användare blir inloggade via både SITHS-kort och BankID.
- Användares inloggningar hanteras korrekt och säkert.
- Kommunikationen mellan e-tjänsten och registertjänsten fungerar med JWT tokens och kommunikationen sker säkert.


Exempel på frågeställningar i uppdraget:

- Hur integrerar vi på bästa sätt inloggningen med BankID och SITHS-kort med OIDC i ExpressJS/NextJS/React
- Hur ska vi hantera sessions för användare?
- Ska OIDC JWT tokens sparas i en cookie eller på något annat sätt?
- Var ska hämtningen av en ny accesstoken ske när användarens initiala token går ut?
- Viktigt att reda ut hur vi ser till att användaren aldrig hamnar i ett läge där en token går ut när den ska spara något
- Hur verifierar vi JWT tokens?
- Hur säkrar vi den interna kommunikationen som kräver inloggning i Express?
- Behöver vi använda OpenID-connect tokens eller kan vi göra egna tokens för kommunikationen mellan e-tjänsten och register-apiet?
- Hur ska vi skydda tjänsten mot CSRF attacker?


Bolaget kommer att spara ner användarnas uppgifter för att i framtiden kunna koppla dom mot existerande användare.

Första gången användarna loggar in kommer de behöva gå igenom en registreringsprocess och innan den processen sker även kopplingen mot Bolagsverket för att säkerställa att användaren är firmatecknare för en organisation som IVO har i registret.

Den tänkta konsulten skall kunna att ta fram en detaljerad arkitektur samt implementera den. Eftersom konsulten skall ta hela ansvaret för lösningen bör konsulten också kunna ifrågasätta vissa val, tex Signicat som BankId leverantör, etc och kommer att ha huvudansvaret för produkten.