System Zdalnej Obsługi Certyfikatów Instrukcja użytkownika Departament Bezpieczeństwa, Wydział Kryptografii Warszawa, 2015
Spis treści Wstęp 2 1. Generowanie kluczy kryptograficznych i certyfikatów za pomocą kodu jednorazowego 3 2. Zdalne odnawianie kluczy kryptograficznych i certyfikatu 8 3. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Internet Explorer 14 3.1 Instalacja certyfikatów urzędów CCK NBP oraz NBP CCK 2 14 3.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 19 4. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Firefox 22 1.1 Instalacja certyfikatów CCK NBP oraz NBP CCK 2 22 4.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 25 5. Zmiana hasła do pliku PFX 28 str. 1
Wstęp System DOCert to system informatyczny służący do centralnego, elektronicznego wystawiania i dystrybucji certyfikatów wykorzystywanych w systemach informatycznych NBP. System Zdalnej Obsługi Certyfikatów (zwany dalej SZOC), dostępny na stronie www.docert.nbp.pl, to element systemu DOCert pozwalający użytkownikom na generowanie i odnawianie certyfikatów na własnej stacji roboczej, bez konieczności składania wizyty w siedzibie NBP. Do prawidłowego działania SZOC niezbędna jest przeglądarka internetowa Internet Explorer lub Firefox a także oprogramowanie Java. Generowanie certyfikatów może odbywać się na dwa sposoby: 1. Na podstawie otrzymanego z NBP kodu jednorazowego w tym przypadku użytkownik nie musi posiadać żadnego certyfikatu wydanego w systemie DOCert. Uwaga: Ta funkcjonalność jest dostępna tylko w wybranych systemach informatycznych. 2. Na podstawie posiadanego przez użytkownika certyfikatu systemu DOCert w tym przypadku użytkownik musi posiadać plik PFX zawierający klucze kryptograficzne i certyfikat. Dodatkowo, certyfikat musi być w okresie ważności i nie może być unieważniony. UWAGA: Do prawidłowego działania systemów informatycznych NBP niezbędne jest zainstalowanie na stacji roboczej użytkownika dwóch certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2. Należy je dodać do Zaufanych głównych urzędów certyfikacji w przeglądarce Internet Explorer lub do Organów certyfikacji w przeglądarce Firefox. Certyfikaty te można pobrać z następujących adresów : CCK NBP - http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_2010.crt NBP CCK 2 - http://www.docert.nbp.pl/certyfikaty/pliki/nbpcck2.crt W przypadku generowania certyfikatów testowych opisane w tym podręczniku czynności należy przeprowadzać w zakładce Certyfikaty testowe a certyfikaty CCK NBP oraz NBP CCK 2 należy zastąpić certyfikatami CCK TEST oraz NBP CCK TEST 2, które są dostępne pod poniższymi adresami: CCK TEST http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_test_2009.crt NBP CCK TEST 2 - http://www.docert.nbp.pl/certyfikaty/pliki/ccknbp_test_2014.crt str. 2
1. Generowanie kluczy kryptograficznych i certyfikatów za pomocą kodu jednorazowego 1. W celu wygenerowania kluczy i certyfikatu użytkownika za pomocą kodu jednorazowego, należy uruchomić stronę internetową www.docert.nbp.pl i wybrać zakładkę Certyfikaty użytkowe. 2. W przypadku pierwszego uruchomienia Systemu Zdalnej Obsługi Certyfikatów pojawi się komunikat z prośbą o uruchomienie kontrolki_recertyfikacyjnej. Należy kliknąć przycisk Run, str. 3
3. Po uruchomieniu kontrolki należy kliknąć przycisk Kod jednorazowy. 4. Jeżeli na stacji roboczej nie jest zainstalowany certyfikat urzędu NBP CCK 2, pojawi się komunikat z prośbą o instalację certyfikatu tego urzędu certyfikacji. Należy kliknąć przycisk Tak. str. 4
5. Następnie należy podać lokalizację, w której zapisany zostanie plik z rozszerzeniem pfx zawierający wygenerowane klucze kryptograficzne i certyfikat użytkownika. W tym celu należy wybrać opcję Wskaż, a następnie wskazać odpowiednią lokalizację na dysku komputera oraz wpisać nazwę pliku i kliknąć przycisk Zapisz. 6. Jeśli w oknie Wskaż położenie pliku z kluczami znajduje się prawidłowa ścieżka oraz nazwa pliku, należy zatwierdzić wybór przyciskiem OK. str. 5
7. W kolejnym ktoki należy ustalić hasło które będzie zabezpieczać plik PFX, i potwierdzić je przyciskiem OK. 8. Na koniec należy wprowadzić kod jednorazowy otrzymany z NBP i zatwierdzić go klikając OK. 9. Poniższy komunikat informuje o pomyślnym zakończeniu procesu generowania nowych kluczy kryptograficznych i certyfikatu. str. 6
str. 7
2. Zdalne odnawianie kluczy kryptograficznych i certyfikatu 1. W celu odnowenia kluczy kryptograficznych i certyfikatu użytkownika, należy uruchomić stronę internetową www.docert.nbp.pl i wybrać zakładkę Certyfikaty użytkowe. 2. W przypadku pierwszego uruchomienia Systemu Zdalnej Obsługi Certyfikatów pojawi się komunikat z prośbą o uruchomienie kontrolki_recertyfikacyjnej. Należy kliknąć przycisk Run, str. 8
3. Po uruchomieniu kontrolki należy kliknąć przycisk Klucz firmowy do przeglądarki. 4. Jeżeli na stacji roboczej nie jest zainstalowany certyfikat urzędu NBP CCK 2, pojawi się komunikat z prośbą o instalację certyfikatu tego urzędu certyfikacji. Należy kliknąć przycisk Tak. str. 9
5. Następnie należy podać lokalizację, w której znajduje się plik z rozszerzeniem pfx zawierający dotychczas wykorzystywane klucze kryptograficzne i certyfikat. W tym celu należy wybrać opcję Wskaż, wskazać odpowiedni plik z rozszerzeniem pfx i kliknąć przycisk Zapisz. 6. Jeśli w oknie Wskaż położenie pliku z kluczami znajduje się właściwy plik, należy zatwierdzić wybór przyciskiem OK. str. 10
7. Następnie należy podać hasło chroniące plik z rozszerzeniem pfx wskazany w poprzednim kroku i zatwierdzić je przyciskiem OK. 8. W kolejnym kroku należy podać lokalizację, w której zapisany zostanie plik PFX zawierający nowe klucze kryptograficzne i certyfikat. W tym celu należy wybrać opcję Wskaż, wskazać odpowiednią lokalizację na dysku twardym komputera, wpisać nazwę nowego pliku i kliknąć przycisk Zapisz. str. 11
9. Jeśli w oknie Plik z kluczami znajduje się prawidłowa ścieżka oraz nazwa pliku, należy zatwierdzić wybór przyciskiem OK. UWAGA: Hasło chroniące nowy plik PFX będzie identyczne z hasłem podanym w kroku 7. 10. Poniższy komunikat informuje o pomyślnym zakończeniu procesu generowania nowych kluczy kryptograficznych i certyfikatu. str. 12
str. 13
3. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Internet Explorer 3.1 Instalacja certyfikatów urzędów CCK NBP oraz NBP CCK 2 1. W celu zainstalowania przeglądarce Internet Explorer certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2, należy uruchomić stronę internetową www.docert.nbp.pl, a następnie z tabeli znajdującej się w dolnej części strony wybrać certyfikaty Centrum Certyfikacji Kluczy NBP. UWAGA: Certyfikaty należy instalować pojedynczo. 2. Po wybraniu pierwszego certyfikatu, na dole strony pojawi się okno z pytaniem Czy chcesz otworzyć lub zapisać plik. z witryny docert.nbp.pl?. Należy wybrać opcję Otwórz str. 14
3. Po wyświetleniu certyfikatu urzędu certyfikacji należy wybrać opcję Zainstaluj certyfikat w celu uruchomienia Kreatora importu certyfikatów. Na kolejnym ekranie należy kliknąć Dalej str. 15
str. 16
4. Na ekranie Magazyn certyfikatów należy zaznaczyć opcję Umieść wszystkie certyfikaty w następującym magazynie, kliknąć Przeglądaj, wskazać Zaufane główne urzędy certyfikacji i zatwierdzić wybór przyciskiem OK. str. 17
5. Po wykonaniu tych czynności należy zakończyć pracę kreatora przyciskiem Zakończ. 6. W przypadku, gdy na ekranie zostanie wyświetlone Ostrzeżenie o zabezpieczeniach informujące o próbie zainstalowania certyfikatu urzędu certyfikacji należy kliknąć przycisk Tak by zainstalować ten certyfikat. Instalacja jest potwierdzana komunikatem Import został pomyślnie ukończony 7. Po zainstalowaniu certyfikatu pierwszego urzędu certyfikacji, kroki 2-6 należy powtórzyć dla certyfikatu drugiego urzędu certyfikacji. str. 18
3.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 1. W celu zainstalowania w przeglądarce Internet Explorer kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy kliknąć prawym przyciskiem myszy na wybranym pliku, a następnie z menu kontekstowego wybrać opcję Zainstaluj PFX uruchamiając Kreator importu certyfikatów. str. 19
2. Na następnym ekranie należy sprawdzić, czy w polu Nazwa pliku znajduje się wybrany w poprzednim kroku plik i jeśli tak, to potwierdzić wybór przyciskiem Dalej. 3. Następnie należy podać hasło zabezpieczające plik z kluczami i certyfikatem i potwierdzić je przyciskiem Dalej. UWAGA: Należy dobrze rozważyć czy zaznaczać opcję Oznacz ten klucz jako eksportowalny. Jej zaznaczenie stwarza zagrożenie, gdy do danej stacji roboczej dostęp mają osoby nieupoważnione (mogą one taki klucz wyeksportować i przenieść na inną stację roboczą). Z drugiej strony, niezaznaczenie tej opcji, oznacza, iż w przypadku utraty pliku PFX, nie będzie możliwości dokonania zdalnej odnowy certyfikatu. str. 20
4. By zakończyć instalację kluczy i certyfikatu należy dodatkowo wskazać magazyn, w którym mają być one zapisane w tym przypadku wystarczy zaznaczyć opcję Automatycznie wybierz magazyn certyfikatów na podstawie typu certyfikatu i potwierdzić wybór przyciskiem Dalej. 5. Ostatni ekran zawiera podsumowanie informacji zebranych w trakcie instalacji jeśli wszystkie informacje są prawidłowe, należy je zaakceptować przyciskiem Zakończ. str. 21
4. Instalacja kluczy kryptograficznych i certyfikatów w przeglądarce Firefox 1.1 Instalacja certyfikatów CCK NBP oraz NBP CCK 2 1. W celu zainstalowania przeglądarce Firefox certyfikatów urzędów certyfikacji CCK NBP oraz NBP CCK 2, należy uruchomić stronę internetową www.docert.nbp.pl, a następnie z tabeli znajdującej się w dolnej części strony wybrać certyfikaty Centrum Certyfikacji Kluczy NBP. UWAGA: Certyfikaty należy instalować pojedynczo. 2. Po wybraniu pierwszego certyfikatu, w kolejnym oknie należy zaznaczyć opcję Zaufaj temu CA przy identyfikacji witryn internetowych a następnie kliknąć OK. str. 22
3. Następnie należy wybrać drugi certyfikat urzędu certyfikacji i także zaznaczyć Zaufaj temu CA przy identyfikacji witryn internetowych. 4. Ze względu na fakt, iż przeglądarka w żaden sposób nie potwierdza instalacji certyfikatu urzędu certyfikacji, należy ręcznie zweryfikować czy certyfikat ten został dodany. W tym celu w górnym rogu należy wybrać Otwórz menu a następnie Opcje. str. 23
5. W Opcjach należy wybrać zakładkę Zaawansowane a następnie Certyfikaty i kliknąć przycisk Wyświetl certyfikaty. 6. W kolejnym oknie należy wybrać zakładkę Organy certyfikacji i na liście odszukać Narodowy Bank Polski. Na liście powinny znajdować się dwa certyfikaty przypisane do Narodowego Banku Polskiego certyfikat CCK NBP oraz NBP CCK 2. str. 24
4.2 Instalacja kluczy kryptograficznych i certyfikatu użytkownika 1. W celu zainstalowania w przeglądarce Firefox kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy uruchomić przeglądarkę a następnie w górnym rogu wybrać Otwórz menu a następnie Opcje. 2. W Opcjach należy wybrać zakładkę Zaawansowane a następnie Certyfikaty i kliknąć przycisk Wyświetl certyfikaty. str. 25
3. W zakładce Użytkownik należy wybrać Importuj i wskazać plik PFX zawierający klucze kryptograficzne i certyfikat użytkownika. str. 26
4. Następnie należy podać hasło chroniące plik PFX. Po jego podaniu import zostanie ukończony, a certyfikat użytkownika pojawi się na liście. str. 27
5. Zmiana hasła do pliku PFX 1. Zmiana hasła do pliku PFX zawierającego klucze kryptograficzne i certyfikat wymaga jego zainstalowania w przeglądarce internetowej, a następnie wyeksportowania tych kluczy kryptograficznych do nowego pliku PFX, chronionego innym hasłem. 2. W celu zainstalowania w przeglądarce Internet Explorer kluczy i certyfikatu użytkownika zapisanych w pliku PFX, należy kliknąć prawym przyciskiem myszy na wybranym pliku, a następnie z menu kontekstowego wybrać opcję Zainstaluj PFX uruchamiając Kreator importu certyfikatów. str. 28
3. Na następnym ekranie należy sprawdzić, czy w polu Nazwa pliku znajduje się wybrany w poprzednim kroku plik i jeśli tak, to potwierdzić wybór przyciskiem Dalej. 4. Następnie należy podać hasło zabezpieczające plik z kluczami i certyfikatem, zaznaczyć opcję Oznacz ten klucz jako eksportowalny i potwierdzić przyciskiem Dalej. str. 29
5. By zakończyć instalację kluczy i certyfikatu należy dodatkowo wskazać magazyn, w którym mają być one zapisane w tym przypadku wystarczy zaznaczyć opcję Automatycznie wybierz magazyn certyfikatów na podstawie typu certyfikatu i potwierdzić wybór przyciskiem Dalej. 6. Ostatni ekran zawiera podsumowanie informacji zebranych w trakcie instalacji jeśli wszystkie informacje są prawidłowe, należy je zaakceptować przyciskiem Zakończ. 7. Następnie należy wyeksportować klucze kryptograficzne do pliku PFX. W tym celu str. 30
z górnego menu w przeglądarce Internet Explorer należy wybrać Narzędzia a następnie Opcje internetowe. 8. W Opcjach internetowych należy wybrać zakładkę Zaawansowane a następnie kliknąć przycisk Certyfikaty. str. 31
9. W kolejnym oknie należy wybrać zakładkę Osobisty, wskazać odpowiedni certyfikat i kliknąć przycisk Eksportuj. 10. Po uruchomieniu Kreatora eksportu certyfikatów na pierwszym ekranie należy kliknąć Dalej, na kolejnym zaznaczyć opcję Tak, eksportuj klucz prywatny i również kliknąć Dalej. str. 32
11. W kolejnym oknie należy zaznaczyć Wymiana informacji osobistych PKCS#12 (.PFX) oraz wszystkie trzy opcje poniżej, a następnie kliknąć Dalej. str. 33
12. Następnie należy ustalić nowe hasło chroniące nowy plik PFX. Po dwukrotnym jego wprowadzeniu, kliknąć Dalej. 13. Pozostaje jeszcze wskazać lokalizację oraz nazwę nowego pliku PFX. W tym celu str. 34
należy kliknąć Przeglądaj, wskazać odpowiednie miejsce na dysku twardym komputera, a także wpisać nazwę dla pliku PFX. Całość należy zatwierdzić przyciskiem Dalej. str. 35
14. Na koniec zostanie wyświetlone podsumowanie zawierające wszystkie informacje związane z eksportowanym certyfikatem. Jeśli dane są poprawne należy je zatwierdzić przyciskiem Zakończ. str. 36
str. 37