LTC Sp. z o.o. Siedziba 98-300 Wieluń, ul. Narutowicza 2 NIP 8270007803 REGON 005267185 KRS 0000196558 Kapitał zakł. 2 000 000 PLN Sąd Rej. Łódź-Śródmieście XX Wydział KRS Adres kontaktowy Oddział w Łodzi 93-490 Łódź, ul. Pabianicka 159/161 tel. (42) 206 66 00, (42) 684 98 91 fax (42) 684 98 92 sekretariat@finn.pl, http://www.finn.pl F8WEB CC Polityka Lokalnego Centrum Certyfikacji LCC Wersja dokumentu Data Autor 1.0 2014.10.30 Adam Kmiecik, Piotr Ożdżyński Zintegrowany pakiet oprogramowania FINN - LTC Sp. z o.o. Wszelkie prawa zastrzeżone
F8WEB CC - Polityka Lokalnego Centrum Certyfikacji LCC Spis treści 1. Podstawowe definicje...3 2. Ogólne postanowienia polityki certyfikacji...4 2.1. Przeznaczenie certyfikatów...4 2.2. Zastrzeżenia...4 3. Wystawianie certyfikatów...4 3.1. Składanie wniosku...4 3.2. Weryfikacja wniosku...4 3.3. Warunki wydawania certyfikatów...4 4. Unieważnianie certyfikatów i listy CRL...5 5. Zawieszenie certyfikatów...5 6. Zmiana danych osobowych w certyfikacie...5 7. Odnowienie certyfikatu...6 8. Prawa i obowiązki subskrybenta...6 9. Prawa i obowiązki stron ufających...6 10. Zakres i odpowiedzialność CC...6 11. Techniczne środki bezpieczeństwa...6 2
1. Podstawowe definicje F8WEB CC - Polityka Lokalnego Centrum Certyfikacji LCC Subskrybent osoba fizyczna, podmiot prowadzący działalność gospodarczą lub instytucja, która uzyskała certyfikat i dysponuje kluczem prywatnym tego certyfikatu. Strona ufająca osoba fizyczna, podmiot prowadzący działalność gospodarczą lub instytucja, która korzysta z certyfikatów wydawanych przez CC w celu weryfikacji poprawności użycia klucza prywatnego. CC Centrum certyfikacji (ang. certificate authority) - jednostka wydająca elektroniczne certyfikaty tożsamości dla innych osób czy instytucji. Jest przykładem zaufanej trzeciej strony. Urząd certyfikacji wydaje certyfikat klucza publicznego, który poświadcza tożsamość właściciela klucza. Zadaniem urzędu jest sprawdzenie tożsamości osoby, której wydaje certyfikat. Inne osoby mogą sprawdzić tożsamość właściciela certyfikatu, opierając się na zaufaniu do urzędu, który wydał certyfikat. Siedziba CC adres, pod jakim zlokalizowana jest instytucja świadcząca usługi certyfikacyjne: Starostwo Powiatowe w Zwoleniu, ul. Władysława Jagiełły 4, 26-700 Zwoleń Centrum Certyfikacji F8WEB Infrastruktura Klucza Publicznego wdrożona jako część Platformy E-Usług Publicznych (PEUP). Lista CRL (ang. Certificate Revocation List ) Podpisana lista zawierająca zbiór certyfikatów, które nie powinny być uważane jako ważne dostępna w repozytorium CC. Publikowana jest przez wystawcę certyfikatów (CA). Zawiera numery seryjne certyfikatów, które zostały unieważnione np. na skutek ujawnienia klucza prywatnego. Repozytorium CC zbiór zasobów dostępny publicznie w internecie pod adresem http://cc.peup.pl/pzzwolen, w którym są publikowane w szczególności: lista CRL, informacje kontaktowe, informacje związane z funkcjonowaniem CC, certyfikat główny CC, polityka Certyfikacji (CP Certificate Policy). PKI Infrastruktura Klucza Publicznego (ang. Public Key Infrastructure) szeroko pojęty system, w skład którego wchodzą urzędy certyfikacyjne (CC), subskrybenci certyfikatów (użytkownicy), oprogramowanie i sprzęt. Infrastruktura klucza publicznego tworzy hierarchiczną strukturę zaufania, której podstawowym dokumentem jest certyfikat klucza publicznego. Najpopularniejszym standardem certyfikatów PKI jest X.509 w wersji trzeciej. Do podstawowych funkcji PKI należą: weryfikacja tożsamości subskrybentów, wymiana kluczy kryptograficznych, wystawianie certyfikatów, weryfikacja certyfikatów, podpisywanie przekazu, szyfrowanie przekazu, potwierdzanie tożsamości, znakowanie czasem. Certyfikat klucza publicznego X.509 (ang. X.509 public key certificate) certyfikat klucza publicznego stosowany w architekturze X.509. Podpis elektroniczny dane w postaci elektronicznej, które wraz z innymi danymi (do których zostały dołączone lub z którymi są logicznie powiązane) służą do identyfikacji osoby składającej podpis elektroniczny. Podpis elektroniczny może zostać zrealizowany w postaci podpisu cyfrowego. Podpis cyfrowy oznaczenie dokumentu lub e-paczki służące: zapewnieniu autentyczności, czyli pewności co do autorstwa dokumentu (zapewnienie, że nikt się nie podszywa pod nadawcę), niezaprzeczalności nadania informacji, nadawca wiadomości nie może wyprzeć się wysłania wiadomości, gdyż podpis cyfrowy stanowi dowód jej wysłania (istnieją także inne rodzaje niezaprzeczalności), integralności, czyli pewności, że wiadomość nie została zmodyfikowana po złożeniu podpisu przez autora. PEUP Platforma E-Usług Publicznych dostępna w internecie pod adresem https://www.peup.pl Polityka Certyfikacji szczegółowe rozwiązania, w tym techniczne i organizacyjne, wskazujące sposób, zakres oraz warunki bezpieczeństwa tworzenia i stosowania certyfikatów. Ustawa ustawa z dnia 18 września 2001 r. o podpisie elektronicznym (Dz.U. 2001 Nr 130 poz. 1450). 3
F8WEB CC - Polityka Lokalnego Centrum Certyfikacji LCC 2. Ogólne postanowienia polityki certyfikacji 2.1. Przeznaczenie certyfikatów Certyfikaty uwierzytelniania dokumentów wystawiane przez CC służą Subskrybentom do podpisywania elektronicznych dokumentów na platformie PEUP. Zakres odpowiedzialności stron jest określany na podstawie odrębnie zawartej umowy cywilno-prawne 2.2. Zastrzeżenia Certyfikaty wydawane przez CC nie są certyfikatami kwalifikowanymi w rozumieniu ustawy z dnia 18 września 2001 o podpisie elektronicznym (Dz. U. Nr 130, poz. 1450). Skutki złożenia podpisu weryfikowanego na podstawie wystawionego certyfikatu nie są równorzędne ze złożeniem podpisu własnoręcznego lub podpisu weryfikowanego kwalifikowanym certyfikatem. Niniejsza Polityka Certyfikacji jest zgodna z : a) RFC 3280 : Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile b) RFC 3647 (2003) : Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework 3. Wystawianie certyfikatów 3.1. Składanie wniosku Wniosek o certyfikat składany jest przez subskrybenta poprzez elektroniczny formularz dostępny przez Platformę e- Usług Publicznych (PeUP) i wysyłany przy pomocy Elektronicznej Skrzynki Podawczej (ESP). Subskrybent może wypełnić wniosek o wydanie następujących niekwalifikowanych certyfikatów: certyfikat do podpisu i uwierzytelniania, certyfikat dla serwera. Złożenie wniosku jest jednoznaczne z akceptacją postanowień niniejszej polityki certyfikacji oraz postanowień umowy zawieranej pomiędzy subskrybentem a CC. Umowa, o której mowa może zostać zawarta po złożeniu wniosku, ale przed wydaniem certyfikatu. Złożenie wniosku nie wymaga złożenia podpisu elektronicznego. Podmiot świadczący usługi certyfikacyjne przed zawarciem umowy jest obowiązany poinformować w formie dokumentu elektronicznego w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2013 r. poz. 235 ze zm.), w sposób jasny i powszechnie zrozumiały, o dokładnych warunkach użycia tego certyfikatu, w tym o sposobie rozpatrywania skarg i sporów,a w szczególności o istotnych jego warunkach obejmujących: zakres i ograniczenia jego stosowania, skutki prawne składania podpisów elektronicznych weryfikowanych przy pomocy tego certyfikatu. W przypadku podpisów generowanych przez LCC powinna być również informacja, że podpis elektroniczny weryfikowany przy pomocy tego certyfikatu nie wywołuje skutków prawnych równorzędnych podpisowi własnoręcznemu. 3.2. Weryfikacja wniosku Złożony wniosek jest weryfikowany pod względem prawdziwości zawartych w nim danych przez CC. Weryfikacja odbywa się poprzez sprawdzenie danych z wniosku z dowodem osobistym subskrybenta. W przypadku konieczności przedłożenia innych dokumentów subskrybent jest o tym uprzednio informowany. Po pozytywnej weryfikacji wniosku podpisywana jest umowa a certyfikat jest wydawany subskrybentowi. Forma wydawanego certyfikatu jest zależna od sposobu wygenerowania i miejsca przechowywania klucza prywatnego. Możliwe jest zapisanie certyfikatu na karcie kryptograficznej bądź innym nośniku danych a także przesłanie poprzez pocztę elektroniczną lub inny interfejs komunikacyjny (skrzynka kontaktowa PEUP). 3.3. Warunki wydawania certyfikatów Certyfikat może być wydany przez Centrum Certyfikacji (CC). Dowodem autoryzacji jest wystawiony na podstawie umowy z CC certyfikat X.509v3. Ważność certyfikatu jest zgodna z ważnością umowy. CC nie może wystawiać certyfikatów na okres dłuższy od okresu ważności własnego certyfikatu. W momencie wygaśnięcia ważności certyfikatu CC, tracą ważność wystawione przez to CC certyfikaty. Profile certyfikatów oraz list CRL są zgodne z formatami określonymi w normie ITU-T X.509 v3. Zmiana stanu certyfikatu powoduje wygenerowanie nowej listy CRL. 4
F8WEB CC - Polityka Lokalnego Centrum Certyfikacji LCC Certyfikat może zmienić stan z ważnego na unieważniony, z ważnego na zawieszony, zawieszony na ważny,oraz zawieszony na unieważniony. Inne zmiany stanu nie są możliwe. Osoba wykonująca czynności związane ze świadczeniem usług certyfikacyjnych powinna: posiadać pełną zdolność do czynności prawnych, nie być skazana prawomocnym wyrokiem za przestępstwo przeciwko wiarygodności dokumentów, obrotowi gospodarczemu, obrotowi pieniędzmi i papierami wartościowymi, przestępstwo skarbowe lub przestępstwa, o których mowa w rozdziale VIII ustawy posiadać niezbędną wiedzę i umiejętności w zakresie technologii tworzenia certyfikatów i świadczenia innych usług związanych z podpisem elektronicznym. Podmiot świadczący usługi certyfikacyjne odpowiada wobec odbiorców usług certyfikacyjnych za wszelkie szkody spowodowane niewykonaniem lub nienależytym wykonaniem swych obowiązków w zakresie świadczonych usług, chyba że niewykonanie lub nienależyte wykonanie tych obowiązków jest następstwem okoliczności, za które podmiot świadczący usługi certyfikacyjne nie ponosi odpowiedzialności i którym nie mógł zapobiec mimo dołożenia należytej staranności. Podmiot świadczący usługi certyfikacyjne nie odpowiada wobec odbiorców usług certyfikacyjnych za szkody wynikające z użycia certyfikatu poza zakresem określonym w polityce certyfikacji, która została wskazana w certyfikacie, w tym w szczególności za szkody wynikające z przekroczenia najwyższej wartości granicznej transakcji, jeżeli wartość ta została ujawniona w certyfikacie. Podmiot świadczący usługi certyfikacyjne nie odpowiada wobec odbiorców usług certyfikacyjnych za szkodę wynikłą z nieprawdziwości danych zawartych w certyfikacie, wpisanych na wniosek osoby składającej podpis elektroniczny. Podmiot świadczący usługi certyfikacyjne przechowuje i archiwizuje dokumenty i dane w postaci elektronicznej bezpośrednio związane z wykonywanymi usługami certyfikacyjnymi w sposób zapewniający bezpieczeństwo przechowywanych dokumentów i danych bezpośrednio w systemie obiegu dokumentów FINN 8 SQL. Obowiązek przechowania dokumentów i danych trwa przez okres 5 lat od chwili powstania danego dokumentu lub danych. 4. Unieważnianie certyfikatów i listy CRL Unieważnienie certyfikatu odbywa się na wniosek subskrybenta złożony poprzez formularz elektroniczny dostępny pod wskazanym przez CC adresem na platformie PEUP lub na pisemny wniosek złożony osobiście w siedzibie CC. Unieważniony certyfikat umieszczany jest na liście unieważnionych certyfikatów (CRL) dostępnej w repozytorium pod adresem wskazanym przez CC. Umieszczenie na liście odbywa się w ciągu jednego dnia roboczego od momentu potwierdzenia przyjęcia i przetworzenia wniosku o unieważnienie. Podmiot świadczący usługi certyfikacyjne unieważnia certyfikat kwalifikowany przed upływem okresu jego ważności, jeżeli: certyfikat ten został wydany na podstawie nieprawdziwych lub nieaktualnych danych, podmiot świadczący usługi certyfikacyjne zaprzestaje świadczenia usług certyfikacyjnych, a jego praw i obowiązków nie przejmie inny podmiot, zażąda tego osoba składająca podpis elektroniczny, osoba składająca podpis elektroniczny utraciła pełną zdolność do czynności prawnych. 5. Zawieszenie certyfikatów Zawieszenie certyfikatu odbywa się na wniosek subskrybenta złożony poprzez formularz elektroniczny dostępny pod wskazanym przez CC adresem na platformie PEUP lub na pisemny wniosek złożony osobiście w siedzibie CC. Zawieszony certyfikat umieszczany jest na liście unieważnionych certyfikatów (CRL) dostępnej w repozytorium pod wskazanym adresem. Umieszczenie na liście odbywa się w ciągu jednego dnia roboczego od momentu potwierdzenia przyjęcia i przetworzenia wniosku o zawieszenie. Po upływie 7 dni od zawieszenia certyfikat automatycznie jest unieważniany. Cofnięcie zawieszenia odbywa się na wniosek subskrybenta złożony poprzez formularz elektroniczny dostępny pod wskazanym przez CC adresem na platformie PEUP lub na pisemny wniosek złożony osobiście w siedzibie CC. W okresie zawieszenia Certyfikatu, czynności związane z jego wykorzystaniem (np. złożenie podpisu elektronicznego) uważa się za ważne i wiążące o ile zawieszenie Certyfikatu zostało uchylone. 6. Zmiana danych osobowych w certyfikacie Zmiana danych osobowych w certyfikacie odbywa się na wniosek subskrybenta złożony poprzez formularz elektroniczny dostępny pod wskazanym przez CC adresem na platformie PEUP lub na pisemny wniosek złożony osobiście w siedzibie CC. 5
7. Odnowienie certyfikatu F8WEB CC - Polityka Lokalnego Centrum Certyfikacji LCC Odnowienie certyfikatu odbywa się na wniosek subskrybenta złożony poprzez formularz elektroniczny dostępny pod wskazanym przez CC adresem na platformie PEUP lub na pisemny wniosek złożony osobiście w siedzibie CC. 8. Prawa i obowiązki subskrybenta Subskrybent zobowiązany jest do należytej ochrony posiadanego klucza prywatnego oraz hasła do niego. W szczególności subskrybent nie może udostępniać klucza prywatnego ani ujawniać hasła do niego osobom trzecim. Za poprawność i prawdziwość danych zawartych we wniosku o certyfikat oraz w certyfikacie odpowiada subskrybent. W przypadku zmiany tychże danych lub w przypadku kompromitacji klucza prywatnego (ujawnienie, zagubienie) subskrybent zobowiązany jest unieważnić swój certyfikat. Po unieważnieniu certyfikatu subskrybent może złożyć wniosek o wydanie nowego certyfikatu. 9. Prawa i obowiązki stron ufających Przed podjęciem decyzji o uznaniu certyfikatu subskrybenta strona ufająca musi potwierdzić, że certyfikat został wydany przez CC. Strona ufająca jest zobowiązana przeprowadzić weryfikację zgodności podpisanego skrótu oraz skrótu wyliczonego na podstawie podpisanego dokumentu (w przypadku wykorzystania certyfikatu do weryfikacji podpisu). Strona ufająca jest zobowiązana zweryfikować ścieżkę certyfikacji w oparciu o informacje publikowane w repozytorium CC. 10. Zakres i odpowiedzialność CC CC odpowiada za umieszczenie w certyfikacie danych przekazanych poprzez formularz elektroniczny oraz za publikowanie listy CRL zgodnie z procedurami niniejszej polityki. CC nie odpowiada za użycie certyfikatu niezgodnie z niniejszą polityką certyfikacji. Dane osobowe przekazane do CC są objęte ochroną określoną przez Ustawę o ochronie danych osobowych. Zgoda Subskrybenta na przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usługi certyfikacyjnej Subskrybentowi jest obowiązkowa i zawarta jest w cywilnoprawnej umowie o świadczenie usług certyfikacyjnych. CC nie odpowiada wobec odbiorców usług certyfikacyjnych za szkodę wynikłą z nieprawdziwości danych zawartych w certyfikacie, wpisanych na wniosek osoby składającej podpis elektroniczny. 11. Techniczne środki bezpieczeństwa CC wystawia certyfikaty dla pary kluczy wygenerowanych zgodnie z algorytmem RSA o długości klucza co najmniej 1024 bitów. Klucze generowane są przez uprawnionego pracownika centrum certyfikacji w bezpiecznymurządzeniu (karta kryptograficzna) bądź przez subskrybenta przy wykorzystaniu własnej infrastruktury (komputer PC z zainstalowanym wymaganym oprogramowaniem). W tym drugim przypadku klucz prywatny może zostać wygenerowany na karcie kryptograficznej bądź zapisany na dostępnym w systemie nośniku danych. Klucz prywatny zostaje zabezpieczony hasłem o długości minimalnej 6 znaków. Hasło to jest znane wyłącznie subskrybentowi. Subskrybent może zmienić hasło certyfikatu. Nie istnieje możliwość odzyskania utraconego hasła. Serwery wykorzystywane przez CC są częścią sprzętowej infrastruktury Centrum Certyfikacji F8WEB. Ze względu na to, że Centrum Certyfikacji F8WEB wdrożone jest na Platformie E- Usług Publicznych (PEUP) to środki bezpieczeństwa zaimplementowane na tej platformie chronią także Centrum Certyfikacji F8WEB. Certyfikaty wydawane są na okres 1 roku. 6