SIK-projektet Råd og anbefalinger for håndtering af virksomhedscertifikat

Transkript

1 SIK-projektet Råd og anbefalinger for håndtering af virksomhedscertifikat ne

2 er 31. juli 2001, version Denne beskrivelse indeholder nogle råd og anbefalinger i forbindelse med bestilling, håndtering og opbevaring af certifikater og nøgler. I bilag 1 behandles ordreformularen, bilag 2 har nogle detaljer omkring generering af anmodning om certifikat til KMD og bilag 3 behandler opgaver efter modtagelse af certifikat fra KMD. 1. Den betroede tredjepart KMD er anbefalet som betroet tredjepart i projekt, dvs. som den myndighed, der udsteder virksomhedscertifikat til brug for udveksling af sikker e-post mellem ne. Derfor tager nedenstående afsæt i KMDs procedurer. Bestilling af certifikater sker på KMDs hjemmeside på Her findes også en generel vejledning, der beskriver bestillingsprocessen trin for trin. I det følgende beskrives derfor alene nogle områder, der ikke er beskrevet i KMDs vejledning. I forbindelse med bestillingsprocessen skal der udfyldes en ordreformular, der skal fremsendes til KMD underskrevet af organisationens Øverstansvarlige, dvs. en person med juridisk tegningsret for organisationen. I bilag 1 er der medtaget en anbefaling af, hvordan denne formular udfyldes til brug for nærværende projekt Sikker Internet Kommunikation. Bilag 1 indeholder endvidere et eksempel på udfyldelse af formularen. Efter udfyldelse af ordreformularen skal a-kassen generere et nøglesæt (en privat og en offentlig nøgle) og en certifikatanmodning. Dette sker med et program, som hentes fra KMDs hjemmeside. I bilag 2 findes en anbefaling for udfyldelse af certifikatanmodningen. 2. Hvad dækker certifikatet I forbindelse med udstedelsen af et virksomhedscertifikat foretager KMD en række undersøgelser, der bl.a. skal sikre, at virksomheden er den, som den giver sig ud for og at underskriveren kan tegne virksomheden. KMDs undersøgelser ifm. udstedelsen af virksomhedscertifikat dækker alene den virksomhed (juridiske person udpeget ved CVR-nummer), som ansøger om certifikatet, hvorfor garantien også alene dækker denne virksomheds identitet. Der har været lidt uklarhed om, hvorvidt det virksomhedscertifikatet, som bestilles af a-kassen, kan benyttes både af a-kasse og forbund. Det er ikke tilfældet juridisk set 2 af 9

3 er af ovennævnte grunde. KMDs certifikatpolitik (CP) kan ses på KMD-CA s hjemmeside. 3. Sikkerhedstiltag i forbindelse med bestilling Det er vigtigt, at selve bestillingsprocessen gennemføres med iagttagelse af en række sikkerhedsforanstaltninger, da denne proces blandt andet omfatter generering af den private nøgle, som er organisationens adgang til at læse de fortrolige meddelelser, som modtages, og at signere de fortrolige meddelelser, som udsendes i organisationens navn. I forbindelse med bestillingsprocessen genereres en privat nøgle, der beskyttes med et kodeord (passphrase/password), som man selv vælger. Bemærk, at dette kodeord skal anvendes, når man modtager sit certifikat. Det er derfor vigtigt, at vælge et kodeord man kan huske efterfølgende, og ligeså vigtigt at dette kodeord hemmeligholdes. Genereringen af nøgler sker med et program, som downloades fra KMD i forbindelse med bestillingsprocessen. Det anbefales, at genereringen af den private nøgle sker i et sikkert miljø, at den private nøgle genereres direkte til diskette (default i genereringsprogrammet), at der dannes en kopi fra disketten til et andet medie fx en CD-rom, at det indtastede kodeord (passphrase/password) gemmes på papir og på et andet medie, at genereringen foretages af (mindst) to betroede medarbejdere, at det benyttede system efter genereringen renses, så der ikke er spor af de generede data, at disketter, CD-rom er, papirer og det benyttede kodeord deponeres i bankboks sammen med certifikatet og den tilhørende pinkode til tilbagetrækning ( tilbagetrækningspin-kode ), som senere modtages fra KMD. En særligt højt sikkerhed kan opnås, hvis de to tilstedeværende indtaster hver deres del af kodeordet og de to dele gemmes hver for sig. Dette vil sikre, at ingen enkeltperson har adgang til den private nøgle. Det kan også være en del af sikkerhedspolitikken, at flytningen til bankboks af den private nøgle og kodeord ikke sker samtidig. 3 af 9

4 er Bilag 1. Ordreformular Første trin i bestillingen er at udfylde en ordreformular, som findes på KMDs hjemmeside: Ordreformularen skrives ud, udfyldes og underskrives af organisationens øverstansvarlige, dvs. af en person i a-kassen, som har tegningsret (typisk forretningsfører eller hovedkasserer). Ordreformularen sendes til KMD-CA sammen med disketten med anmodningen og kopi af CVR-registreringsbeviset. I det følgende er medtaget nogle kommentarer til formularen, en kopi af blanketten, samt sidst et eksempel på en udfyldt blanket for en tænkt a-kasse. 1. Kommentarer til formular Nedenstående er vist en kopi tilføjet nogle uddybende kommentarer. x Et sæt chipkort/chipkortlæser Ja Nej Forklaring: Der anvendes et softwarebaseret nøglepar, hvorfor der vælges nej Organisationens navn: Common Name (jf. X.509 anmodningen): Organisationsgren: Kontaktperson: adressen hørende til certifikatet: "Øverste fælles o Forklaring: Navnet er typisk hovedorganisationens navn (dækker over akasse, forbund og div. selvstændige afdelinger mm.). Organisation forkortes: O. "Øverste fælles o Forklaring: For virksomhedscertifikater er feltet identisk med Organisationens navn dvs. med ovenstående felt. Common Name forkortes: CN. "Fx. Akasse, forb Forklaring: Navn på den del af hovedorganisationen fx akasse, forbund eller afdeling, der anvender certifikatet. Organisationsgren kommer af Organisation Unit og forkortes: OU. "navn på sikkerh Forklaring: Person i organisationen, som kan kontaktes af KMD ifm. sikkerhedsspørgsmål. Navnet kommer ikke med i certifikatet. Fx. "Sikkerepost@ Forklaring: adressen skal medtages, være unik, perso- 4 af 9

5 er CVR-nummer: Adresse: Postnummer by: Telefon: og nuafhængig og identisk med den funktionspostkasse, der skal benyttes til udveksling af sikker e-post. Vælg derfor en beskrivende e-postadresse som eksempelvis: "8-cifret CVR-num Forklaring: Organisationens CVR-nummer "Hovedadressen Forklaring: Typisk vælges hovedadressen. Adressen kommer ikke med i certifikatindholdet. "postnr. og by" Forklaring: Gældende for hovedadressen. Oplysningerne kommer ikke med i certifikatet. "Hovednummer" Forklaring: Typisk hovedtelefonnummer. Oplysningerne kommer ikke med i certifikatet Oplysninger vedr. bemyndiget person: Stillings- /arbejdsbeskrivelse: "stillingsbetegne Forklaring: Titel på den tegningsberettigede for organisationen, som er underskriver nedenstående. Oplysningerne kommer ikke med i certifikatet. "navn på tegnin Forklaring: Navn som svarer til ovenstående. Oplysningerne kommer ikke med i certifikatet, men bruges af KMD til registrering og undersøgelser omkring virksomheden Dato og Underskrift: Forklaring: Dato og underskrift fra ovenstående person 5 af 9

6 er 2. Kopi af formular Nedenfor kan web-siden ses i sin fulde udgave. 3. Et eksempel I det følgende et eksempel på en udfyldt ordreformular. Eksemplet dækker en tænkt a- kasse Medarbejdernes A-kasse, der er tilknyttet Medarbejderforbundet. Forbund og a-kasse har fælles e-post system og adresse-domæne (xxxx@maf.dk), og der er oprette en speciel funktionspostkasse til sikker e-post (sikkerepost@maf.dk). Forretningsfører for a-kassen er IT-ansvarlig (sikkerhedsansvarlig) er Jens Jensen Hans Hansen. Den udfyldte ordreformular ser sådan ud. 6 af 9

7 er Et sæt chipkort/chipkortlæser Ja x Organisationens Medarbejdernes A-kasse // CVR: navn: Common Name Medarbejdernes A-kasse (jf. X.509 anmodningen): Organisationsgren: Akasse Kontaktperson: Hans Hansen adressen sikkerepost@maf.dk hørende til certifikatet: CVR-nummer: Adresse: Postnummer og 2300 København K by: Telefon: Nej Oplysninger vedr. bemyndiget person: Stillings- /arbejdsbeskrivelse: Forretningsfører Jens Jensen Dato og Underskrift: 6. juli 2001 underskrift En enkelt kommentar: Common name forekomster af æ, ø og å vil blive ændret af KMD til ae, oe og aa. 7 af 9

8 er Bilag 2. Etablering af certifikatanmodning Efter udfyldelsen af ordreformular skal man generere et nøglepar (en privat og en offentlig nøgle) og udfylde en certifikatanmodning, der indeholder de oplysninger, som skal stå i certifikatet. Til dette kræver KMD, at der anvendes et softwareprogram, som hentes her: Ved genereringen dannes to filer med henholdsvis anmodningen og den private nøgle. Det må stærkt tilrådes, at de filer genereres direkte til disketter, hvorfor man skal have to disketter ved hånden (fx. mærket Certifikatanmodning og Privat nøgle ). Derfor, husk at ændre Placering af anmodningsfil til A-drev, således at begge genereres direkte til de to disketter ( Placering af privat nøglefil er default A-drevet). Disketten med anmodningen sendes til KMD-CA sammen med ordreformularen og en kopi af a-kassens CVR-registreringsbevis. Disketten med den private nøgle gemmes et sikkert sted indtil certifikat, m.m. modtages fra KMD. 1. Et eksempel Nedenstående findes en kopi af siden med certifikatanmodningen udfyldt for eksemplet fra bilag 1 ( Medarbejder A-kasse ). 8 af 9

9 er Bilag 3. Efter modtagelse af certifikat fra KMD Når behandlingen af certifikatanmodningen er afsluttet i KMD, fremsendes certifikatet på diskette sammen med en følgeskrivelse og en tilbagetrækningspin-kode. Herefter skal man generere en digital ID fil, hvor det modtagne certifikat og den private nøgle samles (i en såkaldt nøglecontainer). Denne digital ID fil bruges bl.a. af SE- CRETsweeper. Genereringen af den digitale ID fil sker med det program, som tidligere er downloaded fra KMD (ifm. generering af nøgler). Informationerne er beskyttet af det kodeord (password), som er specificeret ifm. genereringen af nøgler. Nedenfor findes en kopi af indtastningssiden, der benyttes til generering af den digitale ID fil. 9 af 9