Dansk standard DS 844 2. udgave 2003-12-22 Specifikation af kvalificerede certifikater Specification for qualified certificates
DS 844 København DS projekt: 53788 ICS: 35.040 Deskriptorer: certifikater,digitale signaturer,teknisk implementering Første del af denne publikations betegnelse er: DS, hvilket betyder, at det er en standard udarbejdet på nationalt niveau. Denne publikations overensstemmelse er: Denne publikation erstatter: DS 844:2003 DS-publikationstyper Dansk Standard udgiver forskellige publikationstyper. Typen på denne publikation fremgår af forsiden. Der kan være tale om: Dansk standard standard, der er udarbejdet på nationalt niveau eller er baseret på et andet lands nationale standard, eller standard, der er udarbejdet på internationalt og/eller europæisk niveau og har fået status som dansk standard DS-information publikation, der er udarbejdet på nationalt niveau og ikke har opnået status som standard, eller publikation, der er udarbejdet på internationalt og/eller europæisk niveau og ikke har fået status som standard, fx en teknisk rapport, eller europæisk præstandard DS-håndbog samling af standarder, eventuelt suppleret med informativt materiale DS-hæfte publikation med informativt materiale Til disse publikationstyper kan endvidere udgives tillæg og rettelsesblade DS-publikationsform Publikationstyperne udgives i forskellig form som henholdsvis fuldtekstpublikation (publikationen er trykt i sin helhed) godkendelsesblad (publikationen leveres i kopi med et trykt DS-omslag) elektronisk (publikationen leveres på et elektronisk medie) DS-betegnelse Alle DS-publikationers betegnelse begynder med DS efterfulgt af et eller flere præfikser og et nr. fx DS 383, DS/EN 5414 osv. Hvis der efter nr. er angivet et A eller Cor, betyder det, enten at det er et tillæg eller et rettelsesblad til hovedstandarden, eller at det er indført i hovedstandarden. DS-betegnelse angives på forsiden. Overensstemmelse med anden publikation: Overensstemmelse kan enten være IDT, EQV, NEQ eller MOD IDT: Når publikationen er identisk med en given publikation. EQV: Når publikationen teknisk er i overensstemmelse med en given publikation, men præsentationen er ændret. NEQ: Når publikationen teknisk eller præsentationsmæssigt ikke er i overensstemmelse med en given standard, men udarbejdet på baggrund af denne. MOD: Når publikationen er modificeret i forhold til en given publikation.
Indhold 1 Indledning... 4 2 Introduktion til certifikater... 5 2.1 Formålet med certifikater... 5 2.2 Kontrol af certifikat... 5 2.3 Kontrol af digital signatur... 5 2.4 Mængden af information i certifikat... 5 2.5 Certifikat-serienummer... 5 2.6 Hvad er essensen i X.509 v.3?... 5 3 Referencer... 7 4 Kvalificerede certifikaters indhold... 8 4.1 Certifikatfeltet Subject... 9 4.1.1 Kvalificeret personcertifikat... 9 4.1.2 Kvalificeret medarbejdercertifikat... 10 4.2 Certifikat-extensions... 10 4.3 Fastlæggelse af ID til person/medarbejder/virksomhed i Subject serialnumber.... 12 5 Ordliste... 13 6 Bilag... 14 6.1 Anvendelige qualifiers... 14 6.2 Krav i lovgivning for kvalificerede certifikater... 14 7 Versioner... 16 8 Tillæg A (informativt)... 17 8.1 Virksomhedscertifikater... 17 3
1 Indledning Denne standard beskriver den tekniske implementering af de krav til kvalificerede certifikaters indhold, der er opstillet i dokumenterne: FDS Indhold i certifikater, Forskningsministeriet, 26. november 1998, J.nr. 335 EU-direktivet om en fælles ramme for digitale signaturer (1999/93/EF af 13. december 1999) Lov om elektroniske signaturer af 31. maj 2000. Denne standard beskriver kun forhold for kvalificerede certifikater, dvs. kvalificerede personcertifikater og kvalificerede medarbejdercertifikater. Denne standard behandler ikke forhold omkring tidsstempling. 4
2 Introduktion til certifikater 2.1 Formålet med certifikater Formålet med et certifikat er, at det skal kunne sætte en modtager af et elektronisk dokument med en digital signatur i stand til at afgøre, hvorvidt den digitale signatur, dokumentet og afsenderbetegnelsen er ægte. 2.2 Kontrol af certifikat Kontrollen af certifikatet kan være: en automatisk proces, hvor et certifikat udelukkende håndteres maskinelt en manuel proces, hvor der vil være krav om, at et certifikat skal være læsbart for det menneskelige øje, dvs. indholdet, der vises, skal være meningsfuldt for brugeren. 2.3 Kontrol af digital signatur Kontrollen er en automatisk proces, hvorfor der ikke er noget krav om, at en digital signatur umiddelbart skal være læsbar for det menneskelige øje. Kontrollen gennemføres trinvist, således at informationer, der kan hentes direkte i certifikatet, anvendes, før der forespørges på spærrelister. Følgende rækkefølge af kontroller anbefales: 1. Kontrol af korrekt signering gennem kontrol af hashværdi og digital signering. 2. Kontrol af, at certifikatet er troværdigt gennem kontrol af certifikatudsteders troværdighed. 3. Kontrol af, at certifikatet er anvendt inden for certifikatets levetid. 4. Kontrol af, at certifikatet må anvendes til formålet gennem kontrol af certifikattype og Keyusage. 5. Kontrol af, at certifikatet ikke er spærret på anvendelsestidspunktet. 6. Kontrol af, at certifikatudstederens signeringscertifikat var gyldig på signeringstidspunktet. 2.4 Mængden af information i certifikat Til brug for valideringen skal et certifikat indeholde nogle basale oplysninger, fx den offentlige nøgle, indehaverens unikke identifikation, gyldighedsperioderne for den offentlige og den private nøgle, nøgleparrets anvendelse og udstederens digitale signatur. På grund af chipkortets endnu begrænsede kapacitet er det vigtigt af hensyn til performance, at et certifikat ikke indeholder overflødig information, hvorfor et valgfrit felt kun bør medtages, såfremt der foreligger et reelt behov for dette. Det er ligeledes værd at huske, at et certifikat, der indeholder en information, der ikke længere er korrekt, skal spærres. 2.5 Certifikat-serienummer Af hensyn til verifikation af digitale signaturer skal enhver certifikatudsteder føre et historisk register indeholdende en fortegnelse over samtlige udstedte certifikater, inklusive deres status (fx gyldigt, udløbet, spærret). Derfor skal ethvert certifikat indeholde et unikt certifikat-serienummer beregnet til opslag i dette register. 2.6 Hvad er essensen i X.509 v.3? Essensen af X.509 v.3-certifikatet og X.520 er at muliggøre tilstrækkelig information i certifikater til en sikker identifikation, herunder også ved menneskelig aflæsning, af certifikatet. Der er et hierarki af felter samt attributter og extensions. Felthierarkiet: country (C= DK ) organization(o= IBM ) organizationunit(ou= Sales ). 5
Attributter (eksempler i Subject): givenname surname commonname emailaddress serialnumber pseudonym Extensions: X.509 V.3-extensions er felter, som kan indlægges efter behov, såfremt der i certifikatet er krav om informationer, som ikke naturligt kan placeres andetsteds. Der findes en lang række standardiserede extensions i X.509 V.3, fx BasicConstraints og KeyUsage, der fortæller noget om, hvad certifikatet må benyttes til. 6
3 Referencer 1. FDS Indhold i certifikater, Forskningsministeriet, 26. november 1998, J.nr. 335 2. Europa-Parlamentets og Rådets Direktiv 1999/93/EF af 13. december 1999 om en fælles ramme for elektroniske signaturer 3. Lov om elektroniske signaturer af 31. maj 2000 4. ETSI TS 101 862, Qualified certificate profile v1.1.1 (2000-12) 5. RFC 3039, Internet X.509 Public Key Infrastructure Qualified Certificates Profile, januar 2001 6. Anbefaling af specifikation for certifikater i FSK-projekter af 14. juni 2000 7. ITU-T: Anbefaling for certifikaters indhold: Information Technology Open Systems Interconnection The Directory: Authentication Framework, ITU-T Recommendation X.509 (08/97) (= X.509 v.3-specifikation) 8. ETSI ES 201 733, Electronic signature formats v1.1.3 (2000-05) 9. RFC 2459, Internet X.509 Public Key Infrastructure Certificate and CRL Profile, januar 1999 10. Personspecifikke Identifikationsnumre: FDS-arbejdsgruppe, vers. 1.2 af 6. august 1999 11. DS 2387 Nummersystem for adgangs-, betalings- og identifikationskort til brug nationalt i Danmark, 1. udgave, 1991 12. PKIX draft for Qualified Certificates, draft-ietf-pkix-qc-06, august 2000 13. ISO/TC68/SC2 s draft: CD-15782-1, beskrivelse af X.509 V.3-standard-extensions 14. ITU-T: Anbefaling for valg af attribut-typer: Information Technology Open Systems Interconnection The Directory: Selected Attribute Types, ITU-T Recommendation X.520 (11/93) 15. EESSI: Final Report of the EESSI Expert Team, 20. juli 1999. 7