Polityka Certyfikacji dla usług certyfikacyjnych Centrum Certyfikacji SEKAP Wersja 1.0 Katowice 2008r.
- 2 -
Historia dokumentu Wersja Data Opis prac 1.0 18-04-2008 Publikacja dokumentu. - 3 -
Spis treści 1. Wstęp... 7 1.1 Wprowadzenie... 7 1.2 Dokumentacja... 8 1.3 Architektura PKI w SEKAP... 8 1.3.1 Centrum Certyfikacji... 9 1.3.2 Urząd rejestracji... 10 1.3.3 Subskrybent... 11 1.3.4 Strona ufająca... 11 1.4 Zastosowanie Usług certyfikacyjnych... 11 1.4.1 Wykorzystanie Usług certyfikacyjnych... 11 1.4.2 Ograniczenia wykorzystania Usług certyfikacyjnych... 12 1.5 Zarządzanie Polityką Certyfikacji i Regulaminem Certyfikacji... 12 1.5.1 Osoby kontaktowe... 12 1.5.2 Zatwierdzanie Polityki Certyfikacji i Regulaminu Certyfikacji... 12 Zmiany w dokumentacji certyfikacyjnej Centrum Certyfikacji SEKAP podlegają zatwierdzeniu przez Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego.... 12 1.6 Definicje i akronimy... 13 2 Zobowiązania ogólne... 16 2.1 Repozytorium Centrum Certyfikacji... 16 2.2 Informacje podlegające publikacji w Repozytorium... 16 2.3 Częstotliwość publikacji informacji... 17 2.4 Dostęp do repozytorium... 17 3 Identyfikacja subskrybenta... 18 3.1 Nazewnictwo... 18 3.1.1 Typy nazw... 18 3.1.2 Anonimowość Subskrybentów... 18 3.1.3 Zasady interpretowania nazw... 18 3.1.4 Unikalność nazw... 20 3.1.5 Wykorzystanie znaków towarowych... 20 3.2 Pierwsza certyfikacja Subskrybenta... 20 3.2.1 Dowód posiadania klucza prywatnego... 20 3.2.2 Uwierzytelnienie Organizacji... 21 3.2.3 Weryfikacja toŝsamości... 21 3.2.4 Dane nie podlegające weryfikacji... 21 3.3 Recertyfikacja Subskrybenta... 21 3.4 Autoryzacja zgłoszeń o uniewaŝnienie certyfikatu... 22 4 Cykl Ŝycia Usług certyfikacyjnych... 23 4.1 Ubieganie się o Certyfikat... 23 4.1.1 Podmioty upowaŝnione do ubiegania się o Certyfikat... 23 4.1.2 Procedura ubiegania się o Certyfikat przez osobę fizyczną... 23 4.1.3 Procedura ubiegania się o Certyfikat dla serwera... 23 4.2 Przetwarzanie wniosku o wystawienie Certyfikatu... 23 4.2.1 Weryfikacja toŝsamości Subskrybenta... 23 4.2.2 Procedura przyjęcia wniosku o wystawienie Certyfikatu... 24 4.3 Wystawianie certyfikatu... 24-4 -
4.4 Przekazanie Certyfikatu... 24 4.4.1 Akceptacja Certyfikatu przez Subskrybenta... 24 4.4.2 Publikacja certyfikatu w Repozytorium Centrum Certyfikacji... 25 4.4.3 Informowanie Stron ufających o wystawieniu certyfikatu dla Subskrybenta... 25 4.5 UŜycie Certyfikatu i pary kluczy... 25 4.5.1 Wykorzystanie pary kluczy i Certyfikatu przez Subskrybenta... 25 4.5.2 Wykorzystanie klucza publicznego i Certyfikatu przez Stronę ufającą... 25 4.6 Odnawianie certyfikatu... 25 4.7 Odnawianie certyfikatu dla istniejącej pary kluczy... 26 4.8 Zmiana danych w Certyfikacie... 26 4.9 Zawieszanie i uniewaŝnianie certyfikatu... 26 4.9.1 Weryfikacja waŝności certyfikatu przez Strony ufające... 26 4.9.2 Częstotliwość generowania list CRL... 27 4.9.3 Okres waŝności list CRL... 28 4.9.4 Dostępność list CRL... 28 4.9.5 Okoliczności zawieszenia Certyfikatu... 28 4.10 Usługi weryfikacji waŝności certyfikatu... 28 4.11 Zakończenie świadczenia Usługi certyfikacyjnej... 29 4.12 Archiwizacja i odtwarzanie pary kluczy... 29 5 Nieinformatyczne środki ochrony... 29 5.1 Archiwizacja zdarzeń Centrum Certyfikacji... 29 5.2 Polityka tworzenia kopii zapasowych... 30 5.3 Zmiana pary kluczy Centrum Certyfikacji... 30 5.4 Plan ciągłości działania... 30 5.5 Zakończenie działalności Centrum Certyfikacji... 31 6 Informatyczne środki ochrony... 31 6.1 Generowanie pary kluczy... 31 6.1.1 Generowanie pary kluczy Centrum Certyfikacji... 31 6.1.2 Generowanie pary kluczy Subskrybenta... 31 6.1.3 Dostarczanie pary kluczy do Subskrybenta... 31 6.1.4 Dostarczanie pary kluczy do upowaŝnionego przedstawiciela Organizacji... 32 6.1.5 Dostarczanie klucza publicznego do Centrum Certyfikacji... 32 6.1.6 Dostarczanie kluczy publicznych do Stron ufających... 32 6.1.7 Parametry techniczne pary kluczy... 32 6.1.8 Zastosowanie pary kluczy... 33 6.2 Ochrona pary kluczy... 33 6.2.1 Środki ochrony pary kluczy... 33 6.2.2 Kopia zapasowa pary kluczy... 33 6.2.3 Odzyskiwanie pary kluczy... 33 6.2.4 Kopiowanie pary kluczy z urządzeń kryptograficznych... 33 6.2.5 Aktywacja pary kluczy... 33 Aktywacja klucza prywatnego Centrum Certyfikacji wymaga współdziałania dwóch osób posiadających karty z fragmentami klucza oraz kody PIN do tych kart - mamy podział sekretu 3/5... 34 6.2.6 Niszczenie pary kluczy Subskrybenta... 34 6.2.7 Ocena przydatność urządzeń kryptograficznych... 34 6.3 Zasady zarządzania i wykorzystania pary kluczy... 34 6.4 Przygotowanie pary kluczy do wykorzystania... 35 Subskrybent zobowiązany jest do ochrony hasła zezwalającego na dostęp do klucza prywatnego 35-5 -
6.5 Zabezpieczanie systemów komputerowych... 35 6.6 Cykl Ŝycia zabezpieczeń technicznych Centrum Certyfikacji... 35 6.7 Zabezpieczenia sieci komputerowej... 35 7 Profil certyfikatu i listy CRL... 35 8 Kontrola działalności Centrum Certyfikacji... 36 9 Zobowiązania biznesowe i prawne... 37 9.1 Opłaty... 37 9.2 Ochrona informacji... 37 Dane osobowe są wykorzystywane tylko w związku ze świadczeniem usług certyfikacyjnych.... 37 9.3 Poufność informacji biznesowych... 37 9.4 Ochrona danych osobowych... 37 9.5 Rozstrzyganie sporów... 37 Za rozstrzyganie sporów wynikających z korzystania z usług certyfikacyjnych Centrum Certyfikacji odpowiada Dyrektor Śląskiego Centrum Społeczeństwa Informacyjnego. W przypadku niemoŝności polubownego rozwiązania sporu, zostanie on rozstrzygnięty przez sąd powszechny właściwy dla siedziby Śląskiego Centrum Społeczeństwa Informacyjnego.... 37 9.6 Ograniczenia odpowiedzialności... 37-6 -
1. Wstęp 1.1 Wprowadzenie Niniejszy dokument stanowi Politykę Certyfikacji opisującą zasady świadczenia usług certyfikacyjnych w Centrum Certyfikacji SEKAP (CC SEKAP). Politykę Certyfikacji naleŝy rozpatrywać wraz z towarzyszącym mu Regulaminem Certyfikacji oraz Ustawą z dnia 18 września 2001 r. o podpisie elektronicznym. Odbiorcami dokumentu są Subskrybenci usług certyfikacyjnych oraz Strony ufające. Podmioty te zobowiązane są do przestrzegania treści Polityki Certyfikacji i Regulaminem Certyfikacji. Dokument został utworzony w oparciu o zalecenie RFC 3647 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework oraz wymagania zapisane w ETSI TS 102 042 v 1.2.2. Definicje pojęć i terminów jakie moŝna znaleźć w niniejszym dokumencie zostały zamieszczone w rozdziale 1.6 Słownik terminów. Celem Centrum Certyfikacji SEKAP jest świadczenie usług certyfikacyjnych klientom systemu SEKAP, które w szczególności mają umoŝliwić funkcjonowanie w środowisku świadczenia usług publicznych na drodze elektronicznej. Zadaniem Polityki Certyfikacji jest ogólne opisanie reguł świadczenia usług certyfikacyjnych przez Infrastrukturę Klucza Publicznego (w skrócie PKI) eksploatowaną w systemie SEKAP. Jej treść odnosi się nie tylko do składników samego PKI, lecz takŝe do Subskrybentów (klientów usług certyfikacyjnych) oraz Stron ufających (odbiorców zabezpieczonych elektronicznie informacji). Usługi PKI w szczególności obejmują: generowanie pary kluczy, generowanie i dystrybucję certyfikatów elektronicznych, udostępnianie mechanizmów weryfikacji waŝności certyfikatów elektronicznych (listy CRL), publikowanie certyfikatów elektronicznych i list CRL w Repozytorium Centrum Certyfikacji, działania związane z zarządzaniem samym Centrum Certyfikacji (np. zarządzanie konfiguracją, kontrola funkcjonowania). O zaufaniu do Centrum Certyfikacji decyduje nie tylko treść Polityki Certyfikacji i Regulaminu Certyfikacji, lecz takŝe zdolność do funkcjonowania Centrum Certyfikacji w zgodzie z regułami nakreślonymi w powyŝszych dokumentach. W celu zapewnienia jak najwyŝszego poziomu bezpieczeństwa, Centrum Certyfikacji zobowiązane jest do postępowania zgodnie z zatwierdzonymi regułami przez Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego, które w szczególności obejmują: - 7 -
Zagadnienia związane z identyfikacją i weryfikacją toŝsamości Subskrybentów, Utrzymanie odpowiedniego poziomu bezpieczeństwa systemu komputerowego i urządzeń kryptograficznych związanych z PKI, Funkcjonowaniem systemu informatycznego Centrum Certyfikacji, Periodyczną publikacją danych do weryfikacji waŝności wystawianych certyfikatów, Wykorzystaniem pary kluczy i certyfikatów przez Subskrybentów i Strony ufające. Wiarygodność usług związanych z PKI ściśle zaleŝy od skrupulatnej realizacji procedur eksploatacji Centrum Certyfikacji, zastosowanego sprzętu, wykorzystywanej lokalizacji oraz doborze odpowiedniego personelu. 1.2 Dokumentacja Zapisy Polityki Certyfikacji oraz Regulaminu Certyfikacji naleŝy rozpatrywać łącznie.operacyjnie usługi certyfikacyjne realizowane są w oparciu o zbiór dokumentów obejmujących: procedury Centrum Certyfikacji (nie podlegające publikacji), procedury Urzędu rejestracji (nie podlegające publikacji), procedury zarządzania stanem certyfikatów, wnioski o wystawienie i zarządzanie stanem certyfikatu. Polityka Certyfikacji i Regulamin Certyfikacji nie podlega rejestracji w Krajowym Rejestrze Identyfikatorów Obiektów. 1 1.3 Architektura PKI w SEKAP SEKAP (System Elektronicznej Komunikacji Administracji Publicznej) to system informatyczny samorządów gmin i powiatów Województwa Śląskiego. System obejmuje teleinformatyczne środowisko dla świadczenia usług publicznych w formie elektronicznej. Pełna lista jednostek samorządu terytorialnego eksploatujących system znajduje się w Załączniku 1 do Regulaminu Certyfikacji. Zadaniem Centrum Certyfikacji SEKAP jest ścisłe wspieranie realizacji w/w usług. Centrum Certyfikacji SEKAP jest systemem informatycznym przeznaczonym do świadczenia usług certyfikacyjnych w oparciu o Ustawę o podpisie elektronicznym. Obejmuje on organizacyjnie i technicznie wydzielone Centrum Certyfikacji oraz Urzędy rejestracji pozostające w bezpośrednim kontakcie z 1 Krajowy Rejestr Identyfikatorów Obiektów (KRIO), przydziela unikalną wartość nazwy organizacji w dwóch postaciach numerycznej i alfanumerycznej. Numery te mogą mieć zastosowanie w przypadku, gdy zachodzi potrzeba identyfikacji obiektu (np. algorytmu podpisu cyfrowego, polityki certyfikacji, alternatywnej nazwy uŝytkownika) który powiązany jest z organizacją. Więcej informacji na stronie internetowej www.krio.pl - 8 -
Subskrybentami usług certyfikacyjnych. Rysunek przedstawiony poniŝej ilustruje Architekturę Centrum Certyfikacji SEKAP Usługi CC SEKAP Repozytorium Centrum Certyfikacji Urząd rejestracji Odbiorcy usług certyfikacyjnych Strona ufająca Subskrybent Rys 1. Architektura PKI w SEKAP 1.3.1 Centrum Certyfikacji Centrum Certyfikacji jest głównym elementem infrastruktury PKI. Zostało utworzone w celu generowania certyfikatów elektronicznych. Centrum podlega bezpośrednio pod Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego. Centrum Certyfikacji funkcjonuje zgodnie z zapisami Polityki Certyfikacji i Regulaminu Certyfikacji. Podmiot ten odpowiada za wszelkie aspekty związane z wystawianiem i zarządzaniem certyfikatami elektronicznymi, począwszy od procesu rejestracji Subskrybenta, przez publikację certyfikatów po działania związane z ich zawieszaniem i uniewaŝnianiem. W ramach architektury PKI wygenerowanej w SEKAP istnieje jedno Centrum Certyfikacji, posiadające samopodpisane zaświadczenie certyfikacyjne. Centrum Certyfikacji odpowiada za: wystawianie Zaświadczeń certyfikacyjnych dla siebie, wystawianie Certyfikatów dla pracowników odpowiadających za wystawianie Certyfikatów, wystawianie Certyfikatów dla osób fizycznych będących członkami wspólnoty samorządowej Certyfikacji rozumieniu art. 9 ust. 3 ustawy z - 9 -
dnia 18.09.2001r. o podpisie elektronicznym (Dz.U. Nr 130, poz. 1450 ze zm; zwana dalej UPE); Certyfikatów urządzeń sieciowych i urządzeń serwerowych funkcjonujących w ramach systemu informatycznego SEKAP. Centrum Certyfikacji wystawia Certyfikaty o specyfikacji opisanej w Polityce Certyfikacji i Regulaminie Certyfikacji. Centrum Certyfikacji dostarcza takŝe środki do zarządzania stanem Certyfikatów (uniewaŝnianie/zawieszanie/uchylanie zawieszenia) oraz publikuje informacje o uniewaŝnionych/zawieszonych Certyfikatach. Centrum Certyfikacji jest głównym elementem ŚcieŜki certyfikacji i przed pierwszym uŝyciem Certyfikatu, zarówno Subskrybenci jaki i Strony ufające zobowiązane są do instalacji Zaświadczenia certyfikacyjnego Centrum Certyfikacji. Zaświadczenie to dostępne jest w Repozytorium. Centrum Certyfikacji jest zarządzane i utrzymywane przez wskazanych pracowników Śląskiego Centrum Społeczeństwa Informacyjnego. 1.3.2 Urząd rejestracji Za działania związane ze wspieraniem usług certyfikacyjnych odpowiada Urząd rejestracji. Jest do wydzielona jednostka organizacyjna do zadań której naleŝy: realizacja procesu akceptacji zgłoszeń o wydanie Certyfikatu Subskrybentowi, weryfikacja toŝsamości Subskrybentów, przekazywanie Subskrybentowi Certyfikatu, przyjmowanie zgłoszeń o zmianę stanu Certyfikatów Subskrybentów. Urząd rejestracji jest punktem styku pomiędzy Subskrybentami, a Centrum Certyfikacji. Urząd rejestracji funkcjonuje w oparciu o umowę zawartą pomiędzy jednostką samorządu terytorialnego, a Śląskim Centrum Społeczeństwa Informacyjnego. Pełna lista jednostek samorządu terytorialnego określona została w Załączniku 1 do Regulaminu Certyfikacji. Za realizację zadań Urzędu rejestracji odpowiadają wskazani pracownicy jednostki samorządu terytorialnego pełniący role Inspektorów ds. rejestracji. Wymagane jest, aby przed uzyskaniem dostępu do systemu teleinformatycznego Centrum Certyfikacji Inspektorzy ds. rejestracji przeszli stosowne szkolenie. Urząd rejestracji funkcjonuje w ramach Polityki Certyfikacji, Regulaminu Certyfikacji oraz procedur i innych dokumentów dostarczanych przez Centrum Certyfikacji. - 10 -
Pełna lista Punktów rejestracji została opublikowana w Repozytorium Centrum Certyfikacji. 1.3.3 Subskrybent Subskrybentami mogą być wyłącznie osoby fizyczne będące członkami wspólnot samorządowych w rozumieniu art. 9 ust. 3 UPE, które zawarły z ŚCSI umowę o świadczenie usług certyfikacyjnych. Zakres uŝycia Certyfikatów został określony w Regulaminie Certyfikacji i Polityce Certyfikacji. Zakres zobowiązań i odpowiedzialności Subskrybenta został opisany w rozdziale 9. 1.3.4 Strona ufająca Osoba fizyczna, prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, która w granicach określonych w Polityce Certyfikacji i Regulaminie Certyfikacji moŝe działać w oparciu o certyfikat lub zaświadczenie certyfikacyjne. W szczególności Strona ufająca nie musi być Subskrybentem Usług certyfikacyjnych CC SEKAP, a jej działania ograniczają się wówczas do weryfikacji waŝności i interpretacji Certyfikatu Subskrybenta. Na czas wykorzystania Certyfikatu Subskrybenta, Strony ufające zobowiązane są do weryfikacji waŝności Certyfikatu w zgodzie z zapisami Regulaminu certyfikacji i Polityki Certyfikacji. Do realizacji procesu weryfikacji waŝności Certyfikatu Strony ufające posługują się sprzętem i/lub oprogramowaniem do weryfikacji autentyczności i integralności danych zawartych w Certyfikacie. 1.4 Zastosowanie Usług certyfikacyjnych 1.4.1 Wykorzystanie Usług certyfikacyjnych W niniejszym rozdziale określono zakres dopuszczalnego uŝycia Certyfikatu. Ilustruję on politykę Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego w zakresie wykorzystania technologii PKI w systemie SEKAP. Za określenie danych zawartych w Certyfikacie oraz przeznaczenia Certyfikatu jaki ma zostać wystawiony odpowiada Subskrybent. Centrum Certyfikacji SEKAP wystawia następujące rodzaje Certyfikatów: Nazwa certyfikatu Odbiorca Źródło klucza Zastosowanie SEKAP Osobisty Osoba fizyczna Plik Podpisywanie i szyfrowanie danych, uwierzytelnianie w systemie SEKAP. - 11 -
SEKAP VPN Urządzenie lub serwer Sprzęt lub plik Uwierzytelnianie maszyn i urządzeń serwerowych w systemie informatycznym SEKAP. SEKAP Serwer Urządzenie lub serwer Sprzęt lub plik Certyfikat do uwierzytelniania serwera lub urządzenia w sieci komputerowej. Certyfikat umoŝliwia takŝe nawiązywanie i utrzymywanie szyfrowanych połączeń sieciowych z serwerem lub urządzeniem. Tabela 1. Dopuszczalne nazwy typów Certyfikatów. 1.4.2 Ograniczenia wykorzystania Usług certyfikacyjnych Centrum Certyfikacji nie odpowiada za skutki uŝycia Certyfikatów do innych celów niŝ opisano w rozdziale 1.4.1 Polityki Certyfikacji. PowyŜsze ograniczenie odnosi się zarówno do Subskrybentów, jak i Stron ufających weryfikujących dane zabezpieczone elektronicznie z uŝyciem Certyfikatu Subskrybenta. 1.5 Zarządzanie Polityką Certyfikacji i Regulaminem Certyfikacji 1.5.1 Osoby kontaktowe Polityka Certyfikacji i Regulamin Certyfikacji odzwierciedla podejście Śląskiego Centrum Społeczeństwa Informacyjnego do wykorzystania Usług certyfikacyjnych. Z tego względu są to dokumenty, których zarządzanie podlega wyłącznej kontroli Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego. W/w dokumenty obowiązują od dnia ich publikacji do dnia publikacji ich znowelizowanej wersji. Zapytania i uwagi dotyczące świadczenia usług certyfikacyjnych przez Centrum Certyfikacji naleŝy kierować na adres: Email: kwitanski@e-slask.pl Osoba kontaktowa: Krzysztof Witański Telefon: 032 7740 317 1.5.2 Zatwierdzanie Polityki Certyfikacji i Regulaminu Certyfikacji Zmiany w dokumentacji certyfikacyjnej Centrum Certyfikacji SEKAP podlegają zatwierdzeniu przez Dyrektora Śląskiego Centrum Społeczeństwa Informacyjnego. - 12 -
1.6 Definicje i akronimy Definicja Algorytm szyfrowy Centrum Certyfikacji Certyfikat Opis Zestaw przekształceń matematycznych słuŝących do zamiany informacji na niezrozumiałą, czasami z wykorzystaniem parametrów zaleŝnych od zastosowanego klucza. Komórka organizacyjna ŚCSI która wystawia certyfikaty elektroniczne lub udostępnia inne usługi certyfikacyjne. Sekwencja danych, opatrzona przez ośrodek certyfikacji podpisem cyfrowym, która zawiera co najmniej: nazwę ośrodka certyfikacji (lub identyfikuje ośrodek certyfikacji w inny sposób), identyfikator Subskrybenta, klucz: publiczny subskrybenta, określenie okresu waŝności oraz numer seryjny certyfikatu. Podpis cyfrowy Klucz prywatny Klucz publiczny Kryptografia asymetryczna Lista CRL Nazwa wyróŝniona Dane dołączone do jednostki danych lub przekształcenie kryptograficzne tej jednostki, które pozwala odbiorcy tej jednostki dowieść jej pochodzenia i integralności oraz chroni nadawcę i odbiorcę tej jednostki przed jej sfałszowaniem przez strony trzecie, a nadawcę przed sfałszowaniem przez odbiorcę (ISO/IEC 11770-1) Ciąg danych, wykorzystywany do składania podpisu elektronicznego i deszyfrowania danych. Klucz prywatny powinien pozostawać pod wyłączną kontrolą jego posiadacza. Ciąg danych, wykorzystywany do weryfikacji podpisu elektronicznego i szyfrowania danych. Klucz publiczny moŝe być swobodnie dystrybuowany i jest zamieszczany w certyfikacie. Rodzaj kryptografii, która wykorzystuje parę matematycznie powiązanych ze sobą kluczy, zwanych kluczem publicznym i kluczem prywatnym. Lista uniewaŝnionych i zawieszonych certyfikatów klucza publicznego wystawionych przez Centrum Certyfikacji. Lista jest poświadczona elektronicznie przez Centrum Certyfikacji. Jednoznaczna nazwa Subskrybenta, która została - 13 -
zapisana w certyfikacie. Nazwą wyróŝnioną identyfikuje się takŝe Centrum Certyfikacji. Odbiorca usług certyfikacyjnych Organizacja Para kluczy PKCS#10 Podpis elektroniczny Podział na sekrety Polityka certyfikacji Regulamin Certyfikacji Repozytorium SEKAP Sprzętowy moduł bezpieczeństwa Strona ufająca Subskrybent usług certyfikacyjnych lub Strona ufająca. Jedna z jednostek samorządu terytorialnego, która została określona w Załączniku 1 do Regulaminu Certyfikacji. Klucz prywatny i klucz publiczny, które połączone są ze sobą zaleŝnością matematyczną. Para wykorzystywana jest do kryptograficznego zabezpieczania informacji, np. do podpisu elektronicznego, szyfrowania. Plik w formacie PKCS#10 zawierający miedzy innymi nazwę wyróŝniającą Subskrybenta oraz klucz publiczny Dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały połączone lub z którymi są logicznie powiązane, słuŝą do identyfikacji osoby składającej podpis elektroniczny. Praktyka dystrybuowania części klucza prywatnego między kilku uŝytkowników. Dokument określający ogólne zasady świadczenia usług certyfikacyjnych przez Centrum Certyfikacji. Dokument określający szczegółowe zasady świadczenia usług certyfikacyjnych przez Centrum Certyfikacji. Element Centrum Certyfikacji, odpowiedzialny za publikację najbardziej istotnych dla architektury PKI informacji takich jak listy CRL, certyfikaty, polityki i regulaminy certyfikacji. System informatyczny samorządów gmin i powiatów Województwa Śląskiego. System obejmuje teleinformatyczne środowisko dla świadczenia usług publicznych w formie elektronicznej. Urządzenie sprzętowo programowe odpowiadające za przechowywanie klucza prywatnego i realizację operacji kryptograficznych z uŝyciem klucza prywatnego. Osoba fizyczna, prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, która w granicach określonych w Polityce Certyfikacji i Regulaminie Certyfikacji moŝe działać w oparciu o certyfikat lub zaświadczenie certyfikacyjne. - 14 -
Subskrybent ŚcieŜka certyfikacji Śląskie Centrum Społeczeństwa Informacyjnego Urząd rejestracji Usługi certyfikacyjne Wniosek o wystawienie certyfikatu Wspólnota samorządowa Zaświadczenie certyfikacyjne Skrzynka PeUP - elektroniczna skrzynka kontaktowa Osoba fizyczna, która zawarła z ŚCSI umowę o świadczenie usług certyfikacyjnych. Uporządkowany ciąg zaświadczeń certyfikacyjnych lub zaświadczeń certyfikacyjnych i certyfikatu, utworzony w ten sposób, Ŝe za pomocą danych słuŝących do weryfikacji poświadczenia elektronicznego i nazwy wydawcy pierwszego zaświadczenia certyfikacyjnego na ścieŝce jest moŝliwe wykazanie, Ŝe dla kaŝdych dwóch bezpośrednio po sobie występujących zaświadczeń certyfikacyjnych lub zaświadczenia certyfikacyjnego i certyfikatu, poświadczenie elektroniczne zawarte w jednym z nich zostało sporządzone za pomocą danych słuŝących do składania poświadczenia elektronicznego związanych z drugim z nich; dane słuŝące do weryfikacji pierwszego poświadczenia elektronicznego są dla weryfikującego punktem zaufania. Podmiot świadczący usługi certyfikacyjne w ramach niniejszego Regulaminu Certyfikacji. Jednostka organizacyjna działająca w imieniu Śląskiego Centrum Społeczeństwa Informacyjnego CC SEKAP wykonująca zgodnie z niniejszą polityką niektóre funkcje związane ze świadczeniem usług certyfikacyjnych. Usługi polegające na wystawianiu i zarządzaniu certyfikatami wykorzystywanymi do zabezpieczenia komunikacji elektronicznej w SEKAP Dokument stanowiący załącznik do umowy o świadczenie usług certyfikacyjnych. Zawiera informacje wymagane do poprawnej identyfikacji Subskrybenta i określenia usług certyfikacyjnych świadczonych na rzecz Subskrybenta. Ogół osób fizycznych mających miejsce zamieszkania na obszarze danej gminy, powiatu lub województwa Certyfikat elektroniczny, poświadczający przynaleŝność klucza publicznego do określonego w zaświadczeniu Centrum Certyfikacji. Personalizowany interfejs dostępu do e-usług publicznych przez przeglądarkę WWW realizowany w ramach projektu SEKAP. - 15 -
2 Zobowiązania ogólne 2.1 Repozytorium Centrum Certyfikacji Centrum Certyfikacji zobowiązane jest do utrzymywania Repozytorium. Jest to system informatyczny naleŝący do Centrum Certyfikacji, odpowiadający za publikację informacji związanych z funkcjonowaniem Centrum Certyfikacji. Wykaz danych podlegających publikacji został określony w rozdziale 2.2. Repozytorium dostępne jest publicznie pod adresem: W skład Repozytorium Centrum Certyfikacji wchodzi: usługa katalogowa zawierająca certyfikaty Subskrybentów, strona WWW, która publikuje pozostałe informacje określone w rozdziale 2.2. Centrum Certyfikacji SEKAP dołoŝy naleŝytych starań aby wszelkie informacje publikowane w Repozytorium były aktualne, dokładne oraz kompletne. 2.2 Informacje podlegające publikacji w Repozytorium W Repozytorium podlegają publikacji następujące informacje: Zaświadczenie certyfikacyjne Centrum Certyfikacji, Certyfikaty Subskrybentów, lista CRL, Polityka Certyfikacji (w tym archiwalne wersje), Regulamin Certyfikacji (w tym archiwalne wersje), inne dokumenty związane ze świadczeniem Usług certyfikacyjnych, informacje o Urzędzie rejestracji w tym informacje kontaktowe, informacje o Zespole Zatwierdzania Polityk CC SEKAP, lista urządzeń kryptograficznych jakie moŝna wykorzystać wraz z certyfikatami wystawianymi przez Centrum Certyfikacji, o ile zajdzie potrzeba, publikacji poddawane jest takŝe oprogramowanie umoŝliwiające wykorzystanie Certyfikatów, komunikaty związane z funkcjonowaniem Centrum Certyfikacji. Publikacji podlegają wszystkie Certyfikaty wystawione przez Centrum Certyfikacji. Certyfikaty publikowane są za pośrednictwem usługi katalogowej oraz za pośrednictwem strony www Usługa dostępna jest odpowiednio pod adresem: LDAP://cc.sekap.pl CN=CC-SEKAP,o=SCSI,L=Katowice,C=PL oraz http://cc.sekap.pl/ldap/ Za pośrednictwem strony WWW publikowana jest aktualna lista CRL wygenerowana przez Centrum Certyfikacji. Lista CRL dostępna jest pod adresem: http://cc.sekap.pl/repozytorium/cc-sekap.crl - 16 -
2.3 Częstotliwość publikacji informacji Certyfikaty Subskrybentów podlegają publikacji w czasie nie dłuŝszym niŝ 1 dzień od momentu ich wygenerowania. Listy CRL publikowane są periodycznie co 1 godzinę. Szczegóły związane z publikacją list CRL zostały poruszone w rozdziale 4.9. 2.4 Dostęp do repozytorium Dostęp do Repozytorium jest publiczny, nieodpłatny i anonimowy. Repozytorium dostępne jest przez 24 godziny na dobę i przez 7 dni w tygodniu. W skali roku kalendarzowego, Repozytorium moŝe być maksymalnie niedostępne przez okres 7 dni w skali roku. - 17 -
3 Identyfikacja subskrybenta 3.1 Nazewnictwo 3.1.1 Typy nazw Centrum Certyfikacji zobowiązane jest do zamieszczania danych Subskrybentów w wystawianych certyfikatach. Nazwy Subskrybentów tworzą tzw. nazwy wyróŝnione DN (z ang. distinguished name). Nazwa wyróŝniona jest zbiorem atrybutów, które identyfikują Subskrybenta. Centrum Certyfikacji określa dopuszczalny zbiór atrybutów oraz ich znaczenie. Atrybuty nazwy Subskrybenta powinny zawierać znaki narodowe, o ile zostały one zamieszczone w danych Subskrybenta. 3.1.2 Anonimowość Subskrybentów Centrum Certyfikacji nie zezwala na wystawianie certyfikatów z anonimowymi danymi Subskrybenta (np. pseudonimem). 3.1.3 Zasady interpretowania nazw Informacja o Subskrybencie jaka podlega zamieszczeniu w Certyfikacie musi zawierać niepustą nazwę wyróŝniającą podmiotu. Zawiera ona niektóre lub wszystkie atrybuty zawarte w następującym zbiorze atrybutów: Nazwa atrybutu Akronim Opis nazwa powszechna cn Nazwa, którą zwyczajowo jest określany Subskrybent. Tworzona jest zwyczajowo z zawartości atrybutów Imię(imiona) oraz Nazwisko. W przypadku Certyfikatów dla serwerów i urządzeń sieciowych atrybut ten zawiera nazwę DNS urządzenia lub inną nazwę wskazaną przez Organizację. imię (imiona) givenname Imię lub imiona Subskrybenta. nazwisko sn Nazwisko Subskrybenta. jednoznaczna nazwa podmiotu numer seryjny upn serialnumber Jednoznaczna nazwa, którą Subskrybent identyfikuje się w systemach komputerowych (np. nazwa konta komputerowego). Jednoznaczny identyfikator, którym identyfikuje się Subskrybent. Takim identyfikatorem w przypadku CC SEKAP jest numer PESEL. tytuł zawodowy title Nazwa stanowiska, na którym pracuje - 18 -
organizacja jednostka organizacyjna nazwa kraju adres poczty elektronicznej o ou c emailaddress Subskrybent. Nazwa organizacji, w której pracuje Subskrybent lub znajduje się serwer Komórka organizacyjna w ramach organizacji, w której pracuje Subskrybent lub znajduje się serwer Nazwa kraju pochodzenia Organizacji (jedyną dopuszczalną wartością jest PL). Adres poczty elektronicznej, który przyporządkowany jest do Subskrybenta lub serwera opis certyfikatu Description Nazwa Certyfikatu. Tabela 3. Dopuszczalne atrybuty nazwy wyróŝnionej. PowyŜsze atrybuty mogą wystąpić w nazwie wyróŝnionej Subskrybenta tylko raz. Dopuszczalne są następujące kombinacje nazw wyróŝnionych Subskrybenta: 1) Dla Subskrybenta będącego osobą fizyczną moŝna zamieścić w certyfikacie następujące informacje: nazwa powszechna, imię (imiona), nazwisko, numer seryjny, tytuł zawodowy, organizacja, jednostka organizacyjna, nazwa kraju, adres poczty elektronicznej, opis certyfikatu. 2) W przypadku serwera lub innego urządzenia komputerowego moŝliwe jest zamieszczenie w certyfikacie następujących informacji: nazwa powszechna, organizacja, jednostka organizacyjna, - 19 -
nazwa kraju, adres poczty elektronicznej opis certyfikatu. Jako minimalny zbiór atrybutów określających nazwę Subskrybenta lub serwera lub innego urządzenia komputerowego dopuszczane będzie zamieszczenie: nazwy powszechnej ( cn ), nazwy kraju ( c ). 3.1.4 Unikalność nazw Centrum Certyfikacji dołoŝy wszelkiej staranności przy zamieszczaniu danych jednoznacznie identyfikujących Subskrybenta. Dopuszczalne jest posiadanie przez Subskrybenta kilku Certyfikatów wystawionych przez Centrum Certyfikacji z takimi samymi wartościami nazwy wyróŝnionej. 3.1.5 Wykorzystanie znaków towarowych Centrum Certyfikacji nie kontroluje praw do korzystania z podawanych znaków towarowych i nazw handlowych i nie umieszcza ich w certyfikacie. W przypadku, gdy we Wniosku o wystawienie certyfikatu Subskrybent podaje informacje o takim charakterze, jest obowiązany do dołączenia dokumentów potwierdzających te prawa. 3.2 Pierwsza certyfikacja Subskrybenta 3.2.1 Dowód posiadania klucza prywatnego W poniŝszym rozdziale określono procedury jakie zobowiązane jest zrealizować Centrum Certyfikacji, aby wystawić Certyfikat dla Subskrybenta, który wcześniej nie korzystał z Usług certyfikacyjnych. Polityka Certyfikacji zakłada, Ŝe dowodem posiadania pary kluczy przez Subskrybenta jest: fakt wygenerowania pary kluczy w obecności Subskrybenta w Urzędzie rejestracji i przekazania ich w bezpieczny sposób Subskrybentowi, dostarczenie przez Subskrybenta wniosku certyfikacyjnego w postaci struktury pkcs#10. Wniosek pkcs#10 zawiera klucz publiczny naleŝący do pary kluczy Subskrybenta. Wniosku pkcs#10 nie naleŝy rozpatrywać jako Wniosku o wystawienie certyfikatu, który jest integralnym elementem procedury wystawiania Certyfikatu Subskrybentowi. - 20 -
3.2.2 Uwierzytelnienie Organizacji Uwierzytelnienie Organizacji ma na celu jednoznaczne określenie, Ŝe Subskrybent pozostaje w relacji z Organizacją, a konkretnie w relacji z jedną z jednostek samorządu terytorialnego, która została określona w Załączniku 1 do Regulaminu certyfikacji. Uwierzytelnienie to następuje na drodze dostarczenia do Urzędu rejestracji Wniosku o wystawienie certyfikatu, w którym znajdują się dane organizacyjne (Np. nazwa wydziału, komórki, adres poczty elektronicznej, nazwa konta). W przypadku wyraŝenia woli zamieszczenia w Certyfikacie danych identyfikujących Organizację, Subskrybent dostarcza dodatkowe oświadczenie podpisane przez upowaŝnionego przedstawiciela Organizacji upowaŝniające do umieszczenia w Certyfikacie informacji identyfikujących Organizację. 3.2.3 Weryfikacja toŝsamości Celem niniejszego działania jest udowodnienie istnienia osoby fizycznej oraz osoby prawnej pozostającej w relacji z Subskrybentem. Weryfikacja toŝsamości następuje tylko i wyłącznie w momencie osobistego stawiennictwa Subskrybenta w Urzędzie rejestracji. Podstawą do realizacji tego działania jest przedstawienie przez Subskrybenta dowodu toŝsamości oraz wypełnionego Wniosku o wystawienie certyfikatu 2. Wniosek powinien być podpisany przez Subskrybenta. Wynikiem weryfikacji powinno być podpisanie umowy o świadczenie usług certyfikacyjnych 3. W przypadku wystawiania Certyfikatów elektronicznych dla serwerów lub innych urządzeń, weryfikacji toŝsamości podlega upowaŝniony przedstawiciel Organizacji dla której ma zostać wydany Certyfikat. Weryfikacja toŝsamości następuje w momencie osobistego stawiennictwa upowaŝnionego przedstawiciela Organizacji w Urzędzie rejestracji lub w przypadku posiadania przez upowaŝnionego przedstawiciela certyfikatu SEKAP Osobisty. UpowaŜniony przedstawiciel Organizacji zobowiązany jest takŝe do przedstawienia dodatkowego oświadczenia stwierdzającego fakt posiadania nazwy domenowej na którą ma zostać wydany certyfikat. Wynikiem weryfikacji powinno być podpisanie Umowy o świadczenie usług certyfikacyjnych 4. 3.2.4 Dane nie podlegające weryfikacji Weryfikacji nie podlegają dane jakie nie zostały zamieszczone w dokumencie potwierdzającym toŝsamość Subskrybenta lub upowaŝnionego przedstawiciela Organizacji, oraz jakie nie znalazły się we Wniosku o wystawienie certyfikatu. 3.3 Recertyfikacja Subskrybenta 2 Wzór wniosku zamieszczony został w Repozytorium 3 Wzór umowy o świadczenie usług certyfikacyjnych zamieszczony został w Repozytorium 4 Wzór umowy o świadczenie usług certyfikacyjnych zamieszczony został w Repozytorium - 21 -
Ponowne świadczenie Usługi certyfikacyjnej dla Subskrybenta jest realizowane na zasadach opisanych w rozdziale 3.2. 3.4 Autoryzacja zgłoszeń o uniewaŝnienie certyfikatu Procedury zarządzania stanem Certyfikatu naleŝą do szczególnie istotnych aspektów, fundamentalnie wpływających na wiarygodność Centrum Certyfikacji i Usług certyfikacyjnych przez niego świadczonych. Zgłoszenia o: uniewaŝnienie certyfikatu, zawieszenie certyfikatu, uchylenie zawieszenia certyfikatu zgłaszane są na Wniosku o zmianę stanu waŝności certyfikatu 5 Wniosek o zmianę stanu waŝności zawierający prośbę o uniewaŝnienie certyfikatu przekazywany jest bezpośrednio do ŚCSI. MoŜe być dostarczony przez Subskrybenta lub upowaŝnionego przedstawiciela Organizacji: Osobiście (poprzez Urząd rejestracji), Z wykorzystaniem Skrzynki PeUP. Wniosek o zmianę stanu waŝności zawierający prośbę o zawieszenie certyfikatu przekazywany jest bezpośrednio do ŚCSI. MoŜe być dostarczony przez Subskrybenta lub upowaŝnionego przedstawiciela organizacji: Osobiście (poprzez Urząd rejestracji), Z wykorzystaniem Skrzynki PeUP. Wniosek o zmianę stanu waŝności certyfikatu zawierający prośbę o uchylenie zawieszenia certyfikatu przedstawiany są bezpośrednio ŚCSI przez Subskrybenta lub upowaŝnionego przedstawiciela organizacji: Osobiście (poprzez Urząd rejestracji), Z wykorzystaniem Skrzynki PeUP. Wszystkie zgłaszane wnioski o zmianę stanu waŝności certyfikatu realizowane są w dni robocze określone przez ŚCSI od godz. 7.30 do godz. 15.30 Szczegółowa procedura zarządzania stanem waŝności Certyfikatu została opisana w rozdziale 4. 5 Wzór wniosku zamieszczony został w Repozytorium. - 22 -
4 Cykl Ŝycia Usług certyfikacyjnych 4.1 Ubieganie się o Certyfikat 4.1.1 Podmioty upowaŝnione do ubiegania się o Certyfikat W ramach niniejszej Polityki Certyfikacji, do ubiegania się o Certyfikat upowaŝnione są osoby fizyczne będące członkami wspólnot samorządowych jednostek samorządu terytorialnego, które zostały określone w Załączniku 1 do Regulaminu certyfikacji. W przypadku, gdy certyfikacji będzie podlegał serwer bądź urządzenie, za wystąpienie o jego certyfikację odpowiada upowaŝniony przedstawiciel Organizacji.. Osoba ta zatrudniona jest w Śląskim Centrum Społeczeństwa Informacyjnego lub w jednej z jednostek samorządu terytorialnego, która została określona w Załączniku 1 do Regulaminu certyfikacji. Wnioski o wystawienie certyfikatu przesyłane są do Centrum Certyfikacji przez Inspektorów ds. rejestracji. 4.1.2 Procedura ubiegania się o Certyfikat przez osobę fizyczną Procedura ta ma na celu przygotowanie niezbędnych danych i podjęcie przez Subskrybenta kroków zmierzających do pozyskania certyfikatu. Szczegółowe zasady ubiegania się o Certyfikat opisano w rozdziale 4.1.2 Regulaminu Certyfikacji. 4.1.3 Procedura ubiegania się o Certyfikat dla serwera Procedura ta ma na celu przygotowanie niezbędnych danych i podjęcie przez upowaŝnionego przedstawiciela Organizacji kroków zmierzających do pozyskania certyfikatu dla serwera lub innego urządzenia. Polityka Certyfikacji dopuszcza moŝliwość przygotowania pary kluczy serwera przez upowaŝnionego przedstawiciela Organizacji. W takim przypadku upowaŝniony przedstawiciel Organizacji dostarcza do Urzędu rejestracji wniosek certyfikacyjnych w postaci pliku pkcs#10. Szczegółowe zasady ubiegania się o Certyfikat dla serwera opisano w rozdziale 4.1.3 Regulaminu Certyfikacji. 4.2 Przetwarzanie wniosku o wystawienie Certyfikatu 4.2.1 Weryfikacja toŝsamości Subskrybenta Przed wystawieniem certyfikatu, Centrum Certyfikacji zobowiązane jest do jednoznacznego potwierdzenia toŝsamości ubiegającego się o Certyfikat. Weryfikacja toŝsamości realizowana jest w Urzędzie rejestracji przez Inspektora ds. Rejestracji i wykonywana jest w oparciu o dokument toŝsamości Subskrybenta. W przypadku wystąpienia niezgodności w dostarczonej dokumentacji lub niemoŝliwości jednoznacznego stwierdzenia toŝsamości Subskrybenta, Inspektor ds. Rejestracji ma prawo do odmówienia realizacji dalszej części procedury certyfikacji. - 23 -
4.2.2 Procedura przyjęcia wniosku o wystawienie Certyfikatu Po poprawnie zakończonej weryfikacji toŝsamości, Inspektor zobowiązany jest do stwierdzenia, czy Subskrybent przedstawił wszystkie wymagane dokumenty. Przeglądowi Inspektora ds. rejestracji podlega Wniosek o wystawienie certyfikatu. W przypadku niezgodności lub niekompletności i niedokładności danych zawartych we Wniosku, Subskrybent zobowiązany jest do jego uzupełnienia. Od strony formalnej, procedura przyjęcia Wniosku o wystawienie certyfikatu kończy się podpisaniem umowy o świadczenie usług certyfikacyjnych pomiędzy Subskrybentem a Centrum Certyfikacji. Szczegółowa informacja dotycząca. procedury przyjęcia Wniosku o wystawienie certyfikatu została opisana w rozdziale 4.2.2 Regulaminu Certyfikacji. 4.3 Wystawianie certyfikatu Wnioski o wystawienie certyfikatu przesyłane są do Centrum Certyfikacji w trybie on-line. Centrum Certyfikacji po odbiorze wniosku dokonuje jego automatycznego przetworzenia. Pozyskuje z niego klucz publiczny oraz dane, które zostaną zamieszczone w Certyfikacie. Proces generowania Certyfikatu przez Centrum Certyfikacji kończy przesłanie Certyfikatu do Urzędu rejestracji. W przypadku, gdy nie jest moŝliwe wydanie Certyfikatu, Centrum Certyfikacji zobowiązane jest do poinformowania o tym fakcie Urząd rejestracji z którego spłynął wniosek certyfikacyjny. Odmowie towarzyszy podanie przyczyny odrzucenia wniosku. Procesowi przekazania Certyfikatu do Urzędu rejestracji towarzyszy równoległa procedura publikacji certyfikatu w Repozytorium. Za poinformowanie Subskrybenta o wystawieniu Certyfikatu odpowiada Inspektor ds. Rejestracji. Odbywa to się nie później, niŝ w terminie 1 dnia od dnia wystawienia certyfikatu. Szczegółowa informacja dotycząca procedury wystawiania Certyfikatu zawarta została w rozdziale 4.3 Regulaminu Certyfikacji. 4.4 Przekazanie Certyfikatu 4.4.1 Akceptacja Certyfikatu przez Subskrybenta Po otrzymaniu Certyfikatu i przed jego pierwszym uŝyciem, Subskrybent zobowiązany jest do przeprowadzenia procedury akceptacji Certyfikatu. Polega ona na weryfikacji, czy dane zawarte w Certyfikacie i przeznaczenie Certyfikatu są zgodne z danymi przedstawionymi przez Subskrybenta w dokumentacji certyfikacyjnej. Procedura akceptacji Certyfikatu powinna zostać przeprowadzona przez Subskrybenta w dniu otrzymania Certyfikatu w Urzędzie rejestracji. Wszelkie niezgodności w treści Certyfikatu Subskrybent zobowiązany jest do zgłoszenia w Urzędzie rejestracji. W takim przypadku wystawiony Certyfikat ulega uniewaŝnieniu, a Subskrybent otrzymuje nowy Certyfikat. Szczegółowa informacja dotycząca procedury akceptacji Certyfikatu zawarta została w rozdziale 4.4 Regulaminu Certyfikacji. - 24 -
4.4.2 Publikacja certyfikatu w Repozytorium Centrum Certyfikacji Po wygenerowaniu Certyfikatu, Centrum Certyfikacji zobowiązane jest do publikacji certyfikatu w Repozytorium. Szczegółowe zasady funkcjonowania Repozytorium zawarto w rozdziale 2 niniejszej Polityki Certyfikacji oraz w Regulaminie Certyfikacji. 4.4.3 Informowanie Stron ufających o wystawieniu certyfikatu dla Subskrybenta Na mocy niniejszej Polityki Certyfikacji, nie przewiduje się informowania w jakikolwiek sposób Stron ufających o wystawieniu Certyfikatu dla Subskrybenta. 4.5 UŜycie Certyfikatu i pary kluczy 4.5.1 Wykorzystanie pary kluczy i Certyfikatu przez Subskrybenta Niniejszy rozdział określa zasady wykorzystywania Certyfikatów wystawionych przez Centrum Certyfikacji w ramach Polityki Certyfikacji i Regulaminu Certyfikacji. Na mocy w/w dokumentów, Subskrybent zobowiązany jest do: wykorzystywania Certyfikatu w zgodzie z Regulaminem Certyfikacji i Polityką Certyfikacji, wykorzystywania Certyfikatu w okresie jego waŝności, z wyjątkiem przypadku, gdy Certyfikat jest wykorzystany po wygaśnięciu jego waŝności, do zweryfikowania podpisu elektronicznego złoŝonego w okresie waŝności Certyfikatu. wykorzystywania Certyfikatu zgodnie z jego przeznaczeniem określonym w jego treści, wykorzystywania Certyfikatu w oparciu o umowę o świadczenie usług certyfikacyjnych zawartą pomiędzy Śląskim Centrum Społeczeństwa Informacyjnego, a Subskrybentem. 4.5.2 Wykorzystanie klucza publicznego i Certyfikatu przez Stronę ufającą W ramach przetwarzania informacji zabezpieczonych elektronicznie Certyfikatem Subskrybenta, Strona ufająca zobowiązana jest do: wykorzystywania Certyfikatu w zgodzie z Regulaminem Certyfikacji i Polityką Certyfikacji, wykorzystywania Certyfikatu zgodnie z jego przeznaczeniem określonym w jego treści, ale tylko i wyłącznie po weryfikacji jego waŝności z wyjątkiem przypadku, gdy Certyfikat jest wykorzystany po wygaśnięciu jego waŝności, do zweryfikowania podpisu elektronicznego złoŝonego w okresie waŝności Certyfikatu. Zasadę weryfikacji waŝności określono rozdziale 4.9, 4.6 Odnawianie certyfikatu - 25 -
Niniejszy rozdział odnosi się do sytuacji, w której Subskrybent Usług certyfikacyjnych posiadał lub posiada Certyfikat, lecz na skutek jego uniewaŝnienia lub wygaśnięcia, występuje o wystawienie nowego Certyfikatu. Procedura odnowienia certyfikatu przebiega w taki sam sposób, jak procedura ubiegania się o certyfikat, która została opisana w rozdziale 4.1. 4.7 Odnawianie certyfikatu dla istniejącej pary kluczy Niniejsza Polityka Certyfikacji nie przewiduje moŝliwości ponownego ubiegania się o odnowienie certyfikatu (wystawienie nowego certyfikatu) dla wcześniej istniejącej i wykorzystywanej pary kluczy kryptograficznych. Tym samym procedura recertyfikacji pary kluczy nie jest dopuszczalna w ramach niniejszej Polityki Certyfikacji. 4.8 Zmiana danych w Certyfikacie Procedura zmiany danych w Certyfikacie powinna zostać zrealizowana w sytuacji, gdy zmianie ulegają dane identyfikujące toŝsamość Subskrybenta. Procedurze podlegają tylko i wyłącznie te Certyfikaty, których okres waŝności nie upłynął w momencie zmiany danych. Do ubiegania się o zmianę danych w Certyfikacie zobligowany jest Subskrybent Usług certyfikacyjnych. Procedura zmiany danych w Certyfikacie polega na uniewaŝnieniu istniejącego Certyfikatu i wystawieniu nowego certyfikatu zgodnie z procedurą opisaną w rozdziale 4. 4.9 Zawieszanie i uniewaŝnianie certyfikatu 4.9.1 Weryfikacja waŝności certyfikatu przez Strony ufające Zasady opisane w niniejszym rozdziale mają ścisły związek z wykorzystaniem Certyfikatu i utrzymaniem poziomu zaufania do Usług certyfikacyjnych świadczonych przez Centrum Certyfikacji. Działania związane z uniewaŝnieniem Certyfikatu mają charakter jednorazowy, tym samym nie jest moŝliwe przywrócenie stanu waŝności uniewaŝnionemu Certyfikatowi. Podmiot upowaŝniony do uniewaŝnienia Certyfikatu zobowiązany jest do wskazania przyczyny uniewaŝnienia Certyfikatu. Zawieszenie Certyfikatu jest czynnością uniemoŝliwiającą czasowe wykorzystanie Certyfikatu. Po okresie wskazanym w Regulaminie Certyfikacji, podmiot upowaŝniony do zawieszenia certyfikatu zobowiązany jest do podjęcia decyzji o przywróceniu waŝności Certyfikatu, bądź jego uniewaŝnieniu. Zawieszenie lub uniewaŝnienie Certyfikatu jest skuteczne od momentu wskazanego w liście CRL. - 26 -
Wola uniewaŝnienia lub zawieszenia Certyfikatu przez upowaŝniony do tego podmiot przekazywana jest za pośrednictwem Wniosku o zmianę stanu waŝności certyfikatu 6. Wszystkie zgłaszane wnioski o zmianę stanu waŝności certyfikatu realizowane są w dni robocze określone przez ŚCSI od godz. 7.30 do godz. 15.30. UniewaŜnienie Certyfikatu moŝe mieć miejsce w przypadku, gdy zajdzie podejrzenie o utracie poufności klucza prywatnego naleŝącego do Subskrybenta,. Szczegółowe przyczyny uniewaŝnienia Certyfikatu opisano w rozdziale 4.9 Regulaminu Certyfikacji. Do podjęcia decyzji o uniewaŝnieniu Certyfikatu upowaŝnione są następujące podmioty: Subskrybent, UpowaŜniony przedstawiciel jednostki samorządu terytorialnego w której Subskrybent jest pracownikiem, Śląskie Centrum Społeczeństwa Informacyjnego, Szczegółowe zasady uniewaŝnienia certyfikatów opisano w rozdziale 4.9 Regulaminu Certyfikacji. Za weryfikację waŝności Certyfikatów odpowiada Strona ufająca, która jest odbiorcą informacji zabezpieczonej elektronicznie. Weryfikacja stanu waŝności Certyfikatu opiera się o listy CRL, które stanowią jednoznaczne i aktualne źródło informacji o Certyfikatach zawieszonych i uniewaŝnionych. W przypadku odnalezienia na liście CRL informacji o uniewaŝnieniu lub zawieszeniu Certyfikatu Subskrybenta, Strona ufająca podejmuje decyzję o przyjęciu lub odrzuceniu informacji zabezpieczonej elektronicznie przez Subskrybenta z wykorzystaniem w/w Certyfikatu. Weryfikacja waŝności Certyfikatu moŝe być realizowana przez Strony ufające manualnie lub za pośrednictwem aplikacji posiadających zaimplementowane mechanizmy PKI (np. klient poczty elektronicznej, oprogramowanie weryfikujące podpis elektroniczny). Przyjęcie informacji, która została zabezpieczona uniewaŝnionym lub zawieszonym Certyfikatem Subskrybenta realizowana jest na wyłączną odpowiedzialność Strony ufającej. W takim przypadku Strony ufające ponoszą wszelkie konsekwencje z tym związane. 4.9.2 Częstotliwość generowania list CRL Centrum Certyfikacji zobowiązane jest do publikowania list CRL co 1 godzinę. W przypadku wystąpienia zdarzenia związanego ze zmianą stanu waŝności Certyfikatu (uniewaŝnienie, zawieszenie lub uchylenie zawieszenia certyfikatu), lista CRL publikowana jest w przeciągu 1 godziny od momentu przyjęcia do realizacji zgłoszenia o zmianie stanu waŝności Certyfikatu. 6 Wzór dokumentu zamieszczony został w Repozytorium. - 27 -
4.9.3 Okres waŝności list CRL Lista CRL waŝna jest przez 1 godzinę od momentu wygenerowania. 4.9.4 Dostępność list CRL Lista CRL publikowana jest w Repozytorium dostępnym przez 24 godziny na dobę i 7 dni w tygodniu. Zasady dostępu do Repozytorium zostały opisane w rozdziale 2.4. 4.9.5 Okoliczności zawieszenia Certyfikatu Zawieszenie Certyfikatu jest czynnością uniemoŝliwiającą czasowe wykorzystanie Certyfikatu. Podmioty upowaŝnione do zmiany stanu waŝności Certyfikatu mają moŝliwość uchylenia zawieszenia Certyfikatu. Tym samym Certyfikat moŝe być ponownie wykorzystywany. W okresie zawieszenia Certyfikatu, czynności związane z jego wykorzystaniem (np. złoŝenie podpisu elektronicznego) uwaŝa się za waŝne i wiąŝące o ile zawieszenie Certyfikatu zostało uchylone. Do podjęcia decyzji o zawieszeniu bądź uchyleniu zawieszenia Certyfikatu upowaŝnione są następujące podmioty: Subskrybent, UpowaŜniony przedstawiciel organizacji jednostki samorządu terytorialnego w relacji z którą pozostaje Subskrybent, Centrum Certyfikacji. Informacja o zawieszeniu Certyfikatu zamieszczana jest na liście CRL publikowanej w Repozytorium. Certyfikat Subskrybenta moŝe być zawieszony przez okres 7 dni kalendarzowych. Przed upływem terminu zawieszenia podmiot upowaŝniony do zawieszenia certyfikatu zobowiązany jest do podjęcia decyzji o: uchyleniu zawieszenia certyfikatu, uniewaŝnieniu certyfikatu. Jeśli w ciągu 7 dni od daty zawieszenia Subskrybent nie wykona Ŝadnej z powyŝszych czynności, to Administrator systemu uchyla zawieszenie certyfikatu. 4.10 Usługi weryfikacji waŝności certyfikatu Poza listami CRL publikowanymi w Repozytorium, Centrum Certyfikacji nie udostępnia, ani nie uznaje Ŝadnych innych metod weryfikacji waŝności Certyfikatu Subskrybenta. - 28 -
4.11 Zakończenie świadczenia Usługi certyfikacyjnej O zakończeniu z korzystania z Usługi certyfikacyjnej przez Subskrybenta naleŝy mówić, gdy: Certyfikat uległ wygaśnięciu przekroczony został okres waŝności wskazany w certyfikacie, Certyfikat został uniewaŝniony. W przypadku gdy Certyfikat uległ wygaśnięciu, nie jest moŝliwe jego wykorzystanie przez Subskrybenta (chyba, Ŝe do celów deszyfrowania informacji zabezpieczonych w okresie waŝności Certyfikatu). Po wygaśnięciu Certyfikatu Strony ufające mogą go wykorzystywać do weryfikacji podpisów elektronicznych złoŝonych przez Subskrybenta w okresie waŝności Certyfikatu. 4.12 Archiwizacja i odtwarzanie pary kluczy W ramach niniejszej Polityki certyfikacji, nie jest moŝliwe archiwizowanie i odtwarzanie pary kluczy kryptograficznych. 5 Nieinformatyczne środki ochrony Podstawą utrzymywania zaufania do Centrum Certyfikacji jest m.in. jakość i bezpieczeństwo przyjętych rozwiązań ochrony systemu informatycznego Centrum Certyfikacji. Centrum Certyfikacji chronione jest m.in. na drodze: Środków bezpieczeństwa fizycznego (odpowiednie pomieszczenia, kontrola dostępu do pomieszczeń, utrzymania środowiska funkcjonowania systemu informatycznego, ochrona p.poŝarowa), Proceduralnych środków ochrony (procedury świadczenia usług certyfikacyjnych, polityka bezpieczeństwa Urzędu certyfikacji, polityki tworzenia kopii zapasowych, zarządzania nośnikami danych, itp.). Doboru personelu Centrum Certyfikacji odpowiedzialnego za świadczenie usług certyfikacyjnych. 5.1 Archiwizacja zdarzeń Centrum Certyfikacji W celu zapewniania jak najwyŝszego poziomu bezpieczeństwa i zaufania do Centrum Certyfikacji, Centrum zobowiązane jest do archiwizowania wszystkich istotnych zdarzeń związanych z funkcjonowaniem. Zdarzenia te podlegają kategoryzacji, przeglądowi i archiwizacji w celu gromadzenia potencjalnego materiału dowodowego. Rejestry zdarzeń tworzone i przechowywane są w postaci elektronicznej oraz w postaci papierowej. Tam gdzie jest to moŝliwe, rejestry zdarzeń prowadzone są w postaci elektronicznej. - 29 -