ZATWIERDZAM. Warszawa, dn. 28 czerwca 2006 r.

Transkrypt

1 ZATWIERDZAM Warszawa, dn. 28 czerwca 2006 r.

2 SPIS TRECI 1. Wstp Słownik Zastosowanie certyfikatów Podstawowe zasady certyfikacji Wydawanie certyfikatów Obowizki stron Zasady zarzdzania certyfikatami Złoenie wniosku o wydanie certyfikatów Wydanie certyfikatów Akceptacja certyfikatów Zawieszenie certyfikatów Uchylenie zawieszenia certyfikatów Uniewanienie certyfikatów Odnowienie certyfikatów Weryfikacja i uwierzytelnianie tosamoci Rejestracja wniosków Wydanie certyfikatów Zawieszenie certyfikatów Uchylenie zawieszenia certyfikatów Uniewanienie certyfikatów Odnowienie certyfikatów rodki bezpieczestwa Generowanie kluczy i certyfikatów Ochrona kluczy posiadacza certyfikatów Niszczenie certyfikatów Osoba wnioskujca Weryfikacja certyfikatów Dokumentacja Historia zmian dokumentu... Błd! Nie zdefiniowano zakładki. v błd! Nie zdefiniowano zakładki. v błd! Nie zdefiniowano zakładki. v błd! Nie zdefiniowano zakładki. v błd! Nie zdefiniowano zakładki. Strona 2 z 15

3 1. Wstp Niniejszy dokument okrela cel i sposób zarzdzania certyfikatami wydawanymi przez Centrum Personalizacji Dokumentów Ministerstwa Spraw Wewntrznych i Administracji w Warszawie. Polityka certyfikacji obejmuje zagadnienia zwizane z wystawianiem, odnawianiem, wstrzymywaniem oraz uniewanianiem certyfikatów. Reguluje take sprawy zwizane z ich bezpieczestwem. Celem certyfikacji wykorzystywanej w CPD MSWiA jest zagwarantowanie duego bezpieczestwa dostpu do systemów informatycznych wykorzystywanych w procesie produkcji dowodów osobistych i paszportów Słownik Poprzez ponisze pojcia rozumie si: 1) CA Centrum Autoryzacji, 2) CPD Centrum Personalizacji Dokumentów MSWiA, 3) Certyfikat elektroniczne zawiadczenie plik podpisany cyfrowo przez Centrum Autoryzacji, które zawiera dane o uytkowniku certyfikatu, jego klucz publiczny oraz informacje kto wystawił ten certyfikat. Zawiadczenie, za pomoc którego dane s przyporzdkowane do okrelonej osoby fizycznej, urzdzenia (np. serwera) czy podmiotu (np. Urzdu Certyfikacji lub Urzdu Rejestracji) bd słu do innych celów (np. szyfrowania danych, potwierdzenie autentycznoci podpisu elektronicznego, potwierdzenie autentycznoci klucza publicznego adresata wiadomoci), 4) PKI Infrastruktura Klucza Publicznego. Jest to szeroko pojty kryptosystem, w skład którego wchodz urzdy certyfikacyjne (CA), urzdy rejestracyjne (RA), subskrybenci certyfikatów (uytkownicy), oprogramowanie i sprzt, 5) Klucz publiczny klucz wielodostpu, klucz jawny. Jeden z pary kluczy szyfrujcych obok klucza prywatnego przeznaczony do stosowania przez dowolny podmiot w celu szyfrowanego komunikowania si z posiadaczem odpowiedniego klucza prywatnego, 6) Klucz prywatny klucz tajny. Jeden z pary kluczy szyfrujcych obok klucza Strona 3 z 15

4 publicznego, bierze udział w procesie tworzenia elektronicznego podpisu, 7) Nonik karta SMART obsługujca infrastruktur PKI na której zapisano Certyfikat, klucz publiczny CA, oraz par kluczy publiczny i prywatny osoby dla której został wydany certyfikat, 8) Jednostka lokalna urzd miasta, gminy, miejski lub wojewódzki, 9) Osoba wnioskujca osoba składajca wniosek dotyczcy certyfikatu, bdca przedstawicielem władzy lokalnej, pełnica funkcj Wójta, Burmistrza, Prezydenta Miasta, Dyrektora, Dyrektora Wydziału, Naczelnika, Naczelnika Wydziału, 10) Usługobiorca uytkownik nonika certyfikatów, tj. pracownik jednostki lokalnej lub administrator i pracownik CPD w Warszawie, 11) CRL Certificate Revocation List Lista Uniewanionych lub zawieszonych certyfikatów, 12) WSPD Wydzielone Stanowisko Produkcji Dokumentów, system personalizacji dokumentów osobistych (dowodów osobistych, paszportów, paszportów dyplomatycznych i słubowych) wykorzystywany w CPD Zastosowanie certyfikatów CA generuje i wydaje certyfikaty dla pracowników jednostek lokalnych oraz dla administratorów i pracowników CPD w Warszawie. Certyfikaty wydaje si w celu : 1) umoliwienia autoryzacji dostpu do lokalnych stanowisk roboczych systemu wydawania dowodów i paszportów, 2) umoliwienia szyfrowania i podpisywania informacji przesyłanych pomidzy jednostkami lokalnymi a CPD w Warszawie, 3) umoliwienia autoryzacji dostpu do stanowisk systemu WSPD w CPD, 4) umoliwienia podpisywania operacji przyjcia lub wydania blankietów podczas procesu personalizacji dokumentów w CPD. Strona 4 z 15

5 2. Podstawowe zasady certyfikacji 2.1. Wydawanie certyfikatów Certyfikaty wydawane s dla osoby wskazanej na odpowiednim wniosku po zweryfikowaniu jej tosamoci oraz po otrzymaniu owiadczenia o zapoznaniu si z niniejsz polityk certyfikacji oraz regulaminem certyfikacji. Certyfikaty, dane uytkownika certyfikatów oraz odpowiednie klucze s zapisane na odpowiednim noniku, z którego nie mog zosta usunite. Na noniku zapisywane s nastpujce informacje: imi, nazwisko, PESEL, nr dowodu osobistego, zajmowane stanowisko, miejscowo, nazwa firmy, adres firmy, typ uprawnienia, kod terytorialny (gminy lub urzdu wojewódzkiego). W certyfikacie zapisywane s nastpujce informacje: imi, nazwisko, PESEL. W dalszej czci dokumentu poprzez wydanie certyfikatu naley rozumie wydanie odpowiedniego nonika wraz z certyfikatami i odpowiednimi kluczami. Certyfikaty słuce do podpisywania danych oraz do autoryzacji zapisywane s na tej samej karcie SMART. Strona 5 z 15

6 2.2. Obowizki stron Obowizkiem uytkownika certyfikatów jest: 1) przechowywa nonik z certyfikatami w sposób zapewniajcy ochron przed nieuprawnionym wykorzystaniem w okresie ich wanoci, 2) chroni nonik przed zniszczeniem, 3) chroni wszelkie hasła i numery PIN otrzymane razem z nonikiem, 4) w przypadku zmiany danych osobowych uytkownik winien niezwłocznie wystpi o wydanie nowego nonika z certyfikatami, 5) nie opuszcza lokalnego stanowiska bez uprzedniego wycignicia nonika z certyfikatami, 6) natychmiast poinformowa CA o utracie lub ujawnieniu certyfikatu oraz złoy wniosek o jego uniewanienie. Obowizkiem Centrum Autoryzacji jest: 1) zapewnienie poprawnego generowania certyfikatów, 2) weryfikacja poprawnoci danych zapisanych na noniku, 3) zapewnienie moliwoci cigłoci pracy osób zatrudnionych w jednostkach lokalnych poprzez sprawn generacj i wydawanie nowych certyfikatów, 4) zapewnienie dostpu osobom zainteresowanym do polityki i regulaminu certyfikacji. 5) Ochrona danych osobowych osoby wnioskujcej oraz uytkownika certyfikatów. Strona 6 z 15

7 3. Zasady zarzdzania certyfikatami Dokumentacj okrelon punktem 6 polityki certyfikacji dotyczc zarzdzaniem certyfikatami składa si w CA znajdujcym si w CPD w Warszawie. Wypełniona dokumentacja winna zosta przesłana do CA przez jednostk lokaln przy uyciu bezpiecznej poczty (poczta specjalna lub przesyłka za potwierdzeniem odbioru). W przypadku dokumentów kierowanych do CA przez osob wnioskujc z CPD, wniosek taki winien by dostarczony bezporednio do CA Złoenie wniosku o wydanie certyfikatów Wniosek o wydanie certyfikatów składa osoba wnioskujca w imieniu pracownika, dla którego certyfikaty s wymagane. Wniosek winien zawiera dane osobowe pracownika, które okrela pkt polityki i regulaminu certyfikacji oraz dane osobowe osoby wnioskujcej, które okrela pkt regulaminu certyfikacji. We wniosku winno by wypełnione owiadczenie o zapoznaniu si z polityk certyfikacji i regulaminem certyfikacji przez osob, dla której wydawany jest certyfikat. Ponadto osoba wnioskujca wypełnia zawiadczenie potwierdzajce zgodno danych osobowych pracownika ubiegajcego si o certyfikat. Osoba wnioskujca winna na wniosku złoy swój podpis i piecz Wydanie certyfikatów Certyfikaty s generowane i wydawane po uprzedniej weryfikacji wnioskodawcy pod wzgldem tosamoci i uprawnie do składania wniosków, oraz tosamoci osoby, dla której certyfikaty maj zosta wydane. Wydanie certyfikatów polega na wygenerowaniu certyfikatów i dostarczeniu nonika z certyfikatami przy uyciu bezpiecznej poczty MSWiA do osoby wnioskujcej. Certyfikaty zostan wygenerowane i wydane w cigu 14 dni od złoenia wniosku lub w przypadkach wymagajcych dodatkowych czynnoci okres ten wynosi 30 dni. Certyfikat wany jest przez okres piciu lat. Strona 7 z 15

8 3.3. Akceptacja certyfikatów Akceptacja certyfikatów polega na sprawdzeniu poprawnoci działania, poprzez uycie certyfikatów zgodnie z ich przeznaczeniem. Akceptacji dokonuj osoba wnioskujca oraz osoba dla której wystawiono certyfikaty (uytkownik certyfikatów). W przypadku stwierdzenia nieprawidłowoci naley natychmiast powiadomi Centrum Autoryzacji oraz złoy wniosek o uniewanienie certyfikatów oraz wniosek o wydanie nowych certyfikatów. Akceptacja certyfikatów powinna si odby w przecigu 2 dni od otrzymania certyfikatów. Po upływie tego czasu uznaje si, e certyfikaty zostały zaakceptowane Zawieszenie certyfikatów Zawieszenie certyfikatów moe nastpi tylko na wniosek osoby wnioskujcej. Wniosek winien zawiera powód zawieszenia certyfikatów. Certyfikaty zostaj zawieszone na okres 72 godzin i po upływie tego czasu, jeli nie zostanie złoony wniosek o uchylenie zawieszenia, to certyfikaty automatycznie zostan uniewanione Uchylenie zawieszenia certyfikatów Uchylenie zawieszenia certyfikatów moe nastpi na wniosek osoby wnioskujcej. Wniosek winien zawiera powód uchylenia zawieszenia certyfikatów. Wniosek winien zosta zatwierdzony przez osob upowanion przez Dyrektora CPD Uniewanienie certyfikatów Certyfikaty zostaj automatycznie uniewanione po upływie terminu wanoci certyfikatów lub po upływie terminu zawieszenia certyfikatów. Uniewanienie moe nastpi po zatwierdzeniu przez osob upowanion przez Strona 8 z 15

9 Dyrektora CPD wniosku o uniewanienie certyfikatów złoonego przez osob wnioskujc. Ponadto certyfikaty mog zosta uniewanione gdy : 1) zostanie stwierdzona niezgodno danych osobowych zawartych w certyfikacie z danymi osobowymi osoby, dla której certyfikat został wydany, 2) ulegn zmianie dane osobowe osoby, dla której certyfikaty zostały wydane, 3) osoba, dla której certyfikaty zostały wystawione przestanie by pracownikiem jednostki lokalnej lub CPD, 4) osoba bdca włacicielem certyfikatów nie dopełniła obowizków zwizanych z bezpieczestwem certyfikatów, które okrela pkt 2.2. polityki certyfikacji, 5) podmiot wiadczcy usługi certyfikacyjne zaprzestaje wiadczenia usług certyfikacyjnych, a jego praw i obowizków nie przejmie inny podmiot, 6) osoba bdca włacicielem certyfikatów utraciła pełn zdolno do czynnoci prawnych. Jeli zaistniej inne przesłanki do uniewanienia certyfikatów, to CA jest zobowizane do zawieszenia certyfikatów, powiadomienia osoby, dla której certyfikaty zostały wydane oraz osoby wnioskujcej, która składała wniosek o wydanie certyfikatów lub jeli ta osoba ju nie pracuje, to osoby wnioskujcej, która j zastpuje. Uniewanienie certyfikatów nie moe nastpi z dat wsteczn Odnowienie certyfikatów Odnowienie moe nastpi tylko na wniosek osoby wnioskujcej. Wniosek winien zosta złoony nie póniej ni na 30 dni przed upływem terminu wanoci odnawianych certyfikatów. Jeli przed upływem tego terminu nie zostanie złoony wniosek o odnowienie certyfikatów, to certyfikaty zostan automatycznie uniewanione z chwil wyganicia ich daty wanoci. Strona 9 z 15

10 4. Weryfikacja i uwierzytelnianie tosamoci 4.1. Rejestracja wniosków Wnioski, które nie zostały dostarczone do CA poczt specjaln lub przesyłk za porczeniem odbioru, lub nie zostały złoone do CA przez osob wnioskujc z CPD s odrzucane. Wniosek jest uznawany za niepoprawny jeli nie posiada pieczci i podpisu osoby wnioskujcej. We wniosku winno by wypełnione zawiadczenie podpisane przez osob wnioskujc o poprawnoci danych osoby bdcej włacicielem lub ubiegajcej si o certyfikaty. W przypadku wniosku o wydanie certyfikatów naley zweryfikowa czy zostały prawidłowo wypełnione owiadczenia o zapoznaniu si z niniejszym dokumentem oraz z regulaminem certyfikacji, przez osoby ubiegajce si o certyfikaty. W systemie mona złoy nastpujce rodzaje wniosków: 1) wniosek o wydanie certyfikatów zawiera dane personalne osoby, dla której certyfikaty maj zosta wygenerowane, zawiadczenie o poprawnoci danych i owiadczenie o zapoznaniu si z polityk certyfikacji i regulaminem certyfikacji, 2) wniosek o odnowienie certyfikatów zawiera Imi, Nazwisko, PESEL osoby, dla której naley odnowi certyfikaty lub pełne informacje, jak w przypadku generowania nowych certyfikatów, gdy zmieniły si dane osobowe właciciela starych certyfikatów. Sprawdzane jest take zawiadczenie i poprawnoci danych, 3) wniosek o uniewanienie certyfikatów zawiera Imi, Nazwisko, PESEL osoby, której certyfikaty trzeba uniewani, przyczyn uniewanienia i zawiadczenie o poprawnoci danych, 4) wniosek o zawieszenie certyfikatów zawiera Imi, Nazwisko, PESEL osoby, której certyfikaty trzeba zawiesi, przyczyn zawieszenia i zawiadczenie o poprawnoci danych, 5) wniosek o uchylenie zawieszenia certyfikatów zawiera Imi, Nazwisko, PESEL osoby, dla której trzeba uchyli zawieszenie certyfikatów, powód uchylenia zawieszenia i zawiadczenie o poprawnoci danych. Strona 10 z 15

11 4.2. Wydanie certyfikatów Wygenerowane certyfikaty oraz dane osoby, dla której zostały wygenerowane s zapisywane na odpowiednim noniku. Po zapisaniu na noniku informacji naley zweryfikowa w CA poprawno zapisanych danych poprzez odczytanie zapisanych informacji i sprawdzenie czy odczytane dane zgadzaj si z danymi umieszczonymi na wniosku o wydanie certyfikatów. Zgodnie z art. 14 pkt 3 ustawy o podpisie elektronicznym z dnia 18 wrzenia 2001 roku, podpis elektroniczny weryfikowany przy pomocy certyfikatu niekwalifikowanego nie powoduje skutków prawnych Zawieszenie certyfikatów Wniosek o zawieszenie certyfikatów uznaje si za poprawny jeli spełnia warunki punktu 4.1 oraz zawiera powód zawieszenia certyfikatów. Wniosek o zawieszenie certyfikatów winien zosta zatwierdzony przez osob upowanion przez Dyrektora CPD Uchylenie zawieszenia certyfikatów Wniosek o uchylenie zawieszenia certyfikatów uznaje si za poprawny jeli spełnia warunki punktu 4.1 oraz zawiera powód uchylenia zawieszenia certyfikatów. Wniosek o uchylenie zawieszenia certyfikatów winien zosta zatwierdzony przez osob upowanion przez Dyrektora CPD Uniewanienie certyfikatów Wniosek o uniewanienie certyfikatów uznaje si za poprawny jeli spełnia warunki punktu 4.1 oraz zawiera powód uniewanienia certyfikatów. Wniosek o uniewanienie certyfikatów winien zosta zatwierdzony przez osob upowanion przez Dyrektora CPD. Strona 11 z 15

12 4.6. Odnowienie certyfikatów Wniosek o odnowienie certyfikatów uznaje si za poprawny jeli spełnia warunki punktu 4.1 oraz został złoony przed upływem 14 dni przed terminem wyganicia certyfikatów. Jeli wniosek został złoony po tym terminie, ale przed terminem wyganicia certyfikatów, to wniosek winien zosta zatwierdzony przez osob upowanion przez Dyrektora CPD. Strona 12 z 15

13 5. rodki bezpieczestwa 5.1. Generowanie kluczy i certyfikatów Generowanie kluczy i certyfikatów polega na włoeniu nonika do czytnika kart, wpisaniu danych osobowych osoby, dla której maj zosta wygenerowane certyfikaty i uruchomieniu procesu generowania certyfikatów. Proces ten polega na utworzeniu dwóch par kluczy (publiczny i prywatny) i zapisaniu ich na noniku. Po pobraniu z nonika klucza publicznego, nastpuje utworzenie odpowiadajcych temu kluczowi certyfikatów klucza publicznego. Klucze i certyfikaty generuje administrator lokalny CA lub osoba go zastpujca Ochrona kluczy posiadacza certyfikatów Posiadacz certyfikatów jest włacicielem dwóch par kluczy: prywatnego i publicznego. Para kluczy jest generowana wewntrz nonika, a klucza prywatnego nie mona odczyta. Posiadacz certyfikatu jest zobowizany do strzeenia nonika z certyfikatami przed zniszczeniem i przed nieautoryzowanym uyciem Niszczenie certyfikatów Wszystkie certyfikaty, które zostały uniewanione musz zosta odesłane do CA poprzez poczt specjaln lub przesyłk za potwierdzeniem odbioru w celu fizycznego zniszczenia nonika. Noniki z certyfikatami moe niszczy tylko osoba upowaniona przez Dyrektora CPD Osoba wnioskujca Do obowizków osoby wnioskujcej naley: 1) przyjmowa zapotrzebowanie na certyfikaty od pracowników z jednostki lokalnej oraz rzetelnie i obiektywnie ocenia czy naley pracownikowi wyda certyfikaty, Strona 13 z 15

14 2) wypełnia wniosek o wydanie certyfikatów w obecnoci osoby zainteresowanej oraz zweryfikowa tosamo osoby ubiegajcej si o wydanie certyfikatów, 3) dopilnowa, aby osoba zainteresował uzyskaniem certyfikatów podpisała owiadczenie o zapoznaniu si ze wspomnianymi wczeniej dokumentami, 4) przygotowa i podpisa zawiadczenie o zgodnoci danych osobowych pracownika zainteresowanego z danymi znajdujcymi si na wniosku, 5) dopilnowa, aby do wysyłanego wniosku załczy wspomniane wyej owiadczenie i zawiadczenie, 6) wysłanie wniosku przesyłk pocztow (dot. jednostki lokalnej) lub dostarczenie wniosku do CA (dot. CPD) Weryfikacja certyfikatów Kady uniewaniony lub zawieszony certyfikat zostanie wpisany do listy uniewanionych lub zawieszonych wniosków - CRL. Lista CRL jest przechowywana w Centrum Autoryzacji i natychmiast po dodaniu nowego wpisu jest rozsyłana do wszystkich jednostek lokalnych. Kada jednostka lokalna przechowuje kopie listy CRL. Kada osoba próbujca zalogowa si do systemu musi poda numer PIN nonika certyfikatów, po którego wprowadzeniu w jednostce lokalnej nastpuje weryfikacja poprawnoci certyfikatu autoryzacji znajdujcego si na noniku poprzez sprawdzenie: 1) okresu wanoci certyfikatu, 2) cieki certyfikacji sprawdzenie wszystkich certyfikatów znajdujcych si w ciece certyfikacji, 3) obecnoci certyfikatu na lokalnej licie CRL.: Lokalna lista CRL znajduje si na serwerze w jednostce lokalnej i nie moe si znajdowa na stanowisku do wydawania dowodów osobistych i paszportów. Strona 14 z 15

15 6. Dokumentacja CA generuje i wydaje certyfikaty dla pracowników jednostek lokalnych oraz dla administratorów i pracowników CPD w Warszawie na podstawie niej wymienionych dokumentów: 1) Wniosek o wydanie certyfikatów - wypełnia osoba wnioskujca oraz osoba ubiegajca si o certyfikat (usługobiorca), 2) Umowa o wiadczenie usług certyfikacyjnych wypełnia usługobiorca, Dokumentacja winna by uzupełniona o załczon do ww. dokumentacji jedn fotografi (w formie papierowej lub elektronicznej) usługobiorcy (uytkownika certyfikatów). Komplet prawidłowo wypełnionej dokumentacji winien by przesłany do CA przez jednostk lokaln przy uyciu bezpiecznej poczty (poczta specjalna lub przesyłka za potwierdzeniem odbioru). W przypadku dokumentów kierowanych do CA przez osob wnioskujc z CPD, wniosek taki winien by dostarczony bezporednio do CA. Strona 15 z 15