Sikkerhetstest og penetrasjonstest — digital lommebok, MinID og eFormidling

Om oppdraget

Digitaliseringsdirektoratet (Digdir) ønsker å få utført sikkerhetstest av den nasjonale sandkassen for digital lommebok, en ny MinID-pluss app, samt penetrasjonstest av eFormidling. Oppdraget omfatter testing av hele økosystemet rundt eIDAS2-baserte løsninger, inkludert brukerstedsregister, tillitslister, bevisporten, VP-service og onboarding/autentisering i minid-pluss. eFormidling har nylig gått over til nyere versjoner av Java og Spring Boot, og det er behov for en sikkerhetsrevisjon av distribuert integrasjonspunkt, sentrale komponenter og KOSMOS-app. Godkjent sluttrapport skal leveres innen 18. desember 2026, med opsjon på videre konsulenttjenester på timer frem til 30. juni 2027.

Arbeidsoppgaver

• Penetrasjonsteste brukersted-registeret inkl. UI og API for tekniske og funksjonelle sårbarheter, samt tilgangskontroll
• Teste at tillitslistene i sandkassen ivaretar integritet og ikke lar seg manipulere
• Penetrasjonsteste Bevisporten (oauth2-server, kjernekomponent for utstedelse, status-tjeneste) for funksjonelle og logiske sårbarheter
• Penetrasjonsteste VP-service som benyttes av MinID ved autentisering
• Sikkerhetsteste minid-pluss app sin backend, frontend/UI (Android/iOS), onboardingsprosess, bevisdeling, nøkkelhåndtering og deteksjon av falske app-instanser
• Gjennomføre sårbarhetsanalyse og penetrasjonstest av eFormidlings distribuerte integrasjonspunkt, sentrale komponenter og KOSMOS-app, inkludert endepunkter, onboarding, nøkkelhåndtering, deteksjon av falske integrasjonspunkt og kunde-loggløsning
• Utarbeide og levere godkjent sluttrapport innen 18. desember 2026

Kompetansekrav

• Kjennskap til Digital Lommebok, MinID og eFormidling
• Relevant kompetanse innen eIDAS2
• Relevant kompetanse innen OAuth2
• Relevant kompetanse innen Spring Boot
• Relevant kompetanse innen Java
• Relevant kompetanse innen React
• Relevant kompetanse innen Javascript
• Relevant kompetanse innen KOSMOS
• Relevant kompetanse og erfaring fra tilsvarende sikkerhetstest-/penetrasjonstestoppdrag