Undertillæg 4.9

Beskrivelse af PKI-tjenesten for TACHOnet

1. Indledning

En PKI (Public Key Infrastructure) er en række roller, politikker, procedurer og systemer, der er nødvendige for at oprette, administrere, distribuere og tilbagekalde digitale certifikater (3). CEF PKI-tjenesten i eDelivery gør det muligt at udstede og administrere digitale certifikater, der anvendes til at sikre fortroligheden, integriteten og afviseligheden af informationer, som udveksles via adgangspunkter (AP).

PKI-tjenesten i eDelivery er baseret på Trust Center Services TeleSec Shared Business CA (certificeringsenhed), som er underlagt certificeringspolitikken (CP)/certificeringspraksissen (CPS) i T-Systems International GmbH's Trust Center Services TeleSec Shared Business CA (4).

PKI-tjenesten udsteder certifikater, der er egnede til at sikre forskellige forretningsprocesser internt og eksternt i virksomheder, organisationer, offentlige myndigheder og institutioner, der kræver et middel sikkerhedsniveau for at dokumentere slutenhedens ægthed, integritet og troværdighed.

2. Proces for anmodning om certifikat

2.1. Roller og ansvarsområder

2.1.1. »Organisation« eller »national myndighed«, der anmoder om certifikatet

2.1.1.1. Den nationale myndighed anmoder om certifikaterne inden for rammerne af TACHOnet-projektet.

2.1.1.2. Den nationale myndighed:

a) anmoder om certifikaterne hos CEF PKI-tjenesten

b) genererer de private nøgler og de tilsvarende offentlige nøgler, der skal være omfattet af de certifikater, som udstedes af certificeringsenheden

c) downloader certifikatet, når det er blevet godkendt

d) underskriver og returnerer til registreringsenheden: i) identifikationsformularen for kontaktpersoner og betroede kurerer ii) den underskrevne individuelle fuldmagt (5).

2.1.2. Betroet kurer

2.1.2.1. Den nationale myndighed udpeger en betroet kurer.

2.1.2.2. Den betroede kurer:

a) overdrager den offentlige nøgle til registreringsenheden via en proces, der omfatter identifikation og registrering ved personligt fremmøde

b) modtage det pågældende certifikat fra registreringsenheden.

2.1.3. Domæneejer

2.1.3.1. DG MOVE er domæneejer.

2.1.3.2. Domæneejeren:

a) validerer og koordinerer TACHOnet-netværket og den sikre TACHOnet-arkitektur, herunder foretager validering af procedurerne for udstedelse af certifikaterne

b) driver den centrale hub for TACHOnet og koordinerer parternes aktivitet med hensyn til TACHOnets funktion

c) gennemfører sammen med de nationale myndigheder testene af forbindelsen til TACHOnet.

2.1.4. Registreringsenhed

2.1.4.1. Det Fælles Forskningscenter (JRC) er registreringsenhed.

2.1.4.2. Registreringsenheden er ansvarlig for at verificere den betroede kurers identitet samt for registrering og godkendelse af anmodningerne om udstedelse, tilbagekaldelse og fornyelse af digitale certifikater.

2.1.4.3. Registreringsenheden:

a) tildeler den nationale myndighed en unik identifikator

b) bekræfter den nationale myndigheds identitet, kontaktpunkter og betroede kurerer

c) kommunikerer med CEF Support om den nationale myndigheds ægthed, kontaktpunkter og betroede kurerer

d) underretter den nationale myndighed om godkendelse eller afvisning af certifikatet.

2.1.5. Certificeringsenhed

2.1.5.1. Certificeringsmyndigheden er ansvarlig for at stille den tekniske infrastruktur til anmodning, udstedelse og tilbagekaldelse af digitale certifikater til rådighed.

2.1.5.2. Certificeringsenheden:

a) stiller den tekniske infrastruktur til nationale myndigheders certifikatanmodninger til rådighed

b) validerer eller afviser certifikatanmodninger

c) kommunikerer efter behov med registreringsenheden om verificering af identiteten på den anmodende organisation.

2.2. Udstedelse af certifikat

2.2.1. Udstedelsen af certifikater skal finde sted i henhold til følgende sekventielle trin, vist i figur 1:

a) Trin 1: Identifikation af betroet kurer

b) Trin 2: Udarbejdelse af anmodning om certifikat

c) Trin 3: Registrering hos registreringsenheden

d) Trin 4: Generering af certifikat

e) Trin 5: Offentliggørelse af certifikat

f) Trin 6: Accept af certifikat.

Figur 1 — Workflow for udstedelse af certifikat

2.2.2. Trin 1: Identifikation af betroet kurer

Følgende proces gennemføres med henblik på identifikation af en betroet kurer:

a) Registreringsenheden sender kontaktpersonernes og de betroede kurerers identifikationsformular til den nationale myndighed (6). Formularen ledsages af en fuldmagt (PoA), som organisationen (AETR-myndigheden) underskriver.

b) Den nationale myndighed returnerer den udfyldte formular og underskrevne PoA til registreringsenheden.

c) Registreringsenheden bekræfter at have modtaget formularen, og at den er udfyldt.

d) Registreringsenheden sender en opdateret kopi af listen over kontaktpersoner og betroede kurerer til domæneejeren.

2.2.3. Trin 2: Udarbejdelse af anmodning om certifikat

2.2.3.1. Anmodningen og hentningen af certifikatet skal foretages på samme computer og med samme browser.

2.2.3.2. Følgende proces gennemføres med henblik på udarbejdelse af en anmodning om certifikat:

a) Organisationen navigerer til brugerens web-interface for at anmode om certifikatet via følgende URL: https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en: og indtaster herefter brugernavnet »sbca/CEF_eDelivery.europa.eu« og adgangskoden »digit.333«. Figur 2

b) Organisationen klikker på »request« i panelets venstre side og vælger »CEF_TACHOnet« i rullemenuen. Figur 3

c) Organisationen udfylder formularen til anmodning om certifikat som vist i figur 4 med oplysningerne i tabel 3 og klikker på »Next (soft-PSE)« for at afslutte processen. Figur 4 Felter til udfyldelse Beskrivelse Land C = landekode, certifikatindehaverens hjemsted, verificeret ved hjælp af et offentligt register Begrænsninger: 2 tegn, i henhold til ISO 3166-1-alpha-2, forskel på små og store bogstaver Eksempler: DE, BE, NL Særlige tilfælde: UK (for Det Forenede Kongerige), EL (for Grækenland) Organisation/Virksomhed (O) O = navnet på certifikatindehaverens organisation Masterdomæne (OU1) OU = CEF_eDelivery.europa.eu Ansvarsområde (OU2) OU = CEF_TACHOnet Afdeling (OU3) Obligatorisk værdi pr. »ANSVARSOMRÅDE« Indholdet skal kontrolleres ved hjælp af en positivliste (hvidliste), når anmodningen om certifikatet er indsendt. Hvis informationen ikke er i overensstemmelse med listen, afvises anmodningen. Format: OU=<TYPE>-<GTC_NUMBER> Hvis »<TYPE>« erstattes af AP_PROD: Adgangspunkt i produktionsomgivelser. Og hvis <GTC_NUMBER> er GTC_OID-1.3.130.0.2018.xxxxxx, hvor Ares(2018)xxxxxx er GTC-nummeret for TACHOnet-projektet. f.eks.: AP_PROD-GTC_OID-1.3.130.0.2018.xxxxxx Fornavn (CN) Skal være tomt Efternavn (CN) Skal begynde med »GRP:«, efterfulgt af et fællesnavn. Format: CN = GRP:<AREA OF RESPONSIBILITY>_<TYPE>_<COUNTRY CODE>_<UNIQUE IDENTIFIER> f.eks.: GRP:CEF_TACHOnet_AP_PROD_BE_001 E-mail E = CEF-EDELIVERY-SUPPORT@ec.europa.eu E-mail 1 (SAN) Skal være tomt E-mail 2 (SAN) Skal være tomt E-mail 3 (SAN) Skal være tomt Adresse Skal være tomt Gade Skal være den officielle adresse for certifikatindehaverens organisation. (Anvendes til fuldmagten.) Husnr. Skal være den officielle adresse for certifikatindehaverens organisation. (Anvendes til fuldmagten.) Postnummer Skal være den officielle adresse for certifikatindehaverens organisation. (Anvendes til fuldmagten.) Bemærk : Hvis postnummeret ikke er femcifret, efterlades feltet til postnummer tomt, og postnummeret anføres i feltet for by. By Skal være den officielle adresse for certifikatindehaverens organisation. (Anvendes til fuldmagten.) Bemærk : Hvis postnummeret ikke er femcifret, efterlades feltet til postnummer tomt, og postnummeret anføres i feltet for by. Telefonnr. Skal være tomt Identifikationsdata E-mailadressen skal være den samme som den, der anvendes til registrering af den unikke identifikator. + Skal være navnet på den person, der repræsenterer organisationen. (Anvendes til fuldmagten) + Virksomhedsregisternr. (kun obligatorisk for private virksomheder) Registreret ved retten i (kun påkrævet for tyske og østrigske private virksomheder) Adgangskode til tilbagekaldelse Obligatorisk felt valgt af den anmodende bruger Gentagelse af adgangskode til tilbagekaldelse Gentagelse af obligatorisk felt valgt af den anmodende bruger Tabel 3. Indførelse af oplysninger i alle påkrævede felter

d) Den valgte nøglelængde skal være 2 048 (High Grade). Figur 5

e) Organisationen skal registrere referencenummeret, der skal opgives ved afhentning af certifikatet. Figur 6

f) CEF Support Team tjekker for nye anmodninger om certifikater og verificerer, om oplysningerne i certifikatanmodningen er gyldige, dvs. om de følger konventionen for navngivning i tillæg 5.1.

g) CEF Support Team verificerer, at oplysningerne i anmodningen er i et gyldigt format.

h) Viser tjekket i punkt 5 eller 6 ovenfor, at kravene ikke er opfyldt, sender CEF Support Team en e-mail til den e-mailadresse, der er anført under »Identifikationsoplysninger« i anmodningsformularen, med domæneejeren i cc, hvor organisationen anmodes om at påbegynde processen på ny. Den afviste certifikatanmodning annulleres.

i) CEF Support Team sender en e-mail til registreringsenheden om anmodningens gyldighed. E-mailen skal omfatte: 1) organisationens navn, som er anført i feltet »Organisation (O)« i certifikatanmodningen. 2) certifikatoplysningerne, herunder navnet på det adgangspunkt, som certifikatet skal udstedes til, og som er anført i feltet »Efternavn (CN)« i certifikatanmodningen. 3) certifikatets referencenummer 4) organisationens adresse, e-mailadresse og navnet på den person, der repræsenterer den.

Figur 7 — Certifikatanmodningsproces

2.2.4. Trin 3: Registrering hos registreringsenhed (certifikatgodkendelse)

2.2.4.1. Den betroede kurer eller kontaktpunktet træffer via e-mail aftale med registreringsenheden om identifikation af den betroede kurer, som derefter giver personligt fremmøde.

2.2.4.2. Organisationen udarbejder dokumentationspakken bestående af:

a) den udfyldte og underskrevne fuldmagt

b) en kopi af gyldigt pas tilhørende den betroede kurer, der giver personligt fremmøde. Kopien skal være underskrevet af et af organisationens kontaktpunkter identificeret i trin 1.

c) en udskrift af certifikatanmodningen underskrevet af et af organisationens kontaktpunkter.

2.2.4.3. Registreringsenheden tager imod den betroede kurer, efter at dennes identitet er screenet i bygningens reception. Registreringsenheden gennemfører registreringen af certifikatanmodningen ved personligt fremmøde ved at:

a) identificere den betroede kurer

b) verificere den betroede kurers fysiske fremtræden i forhold til det pas, den betroede kurer forelægger

c) verificere gyldigheden af det pas, den betroede kurer forelægger

d) verificere det for gyldigt erklærede pas, som den betroede kurer forelægger, i forhold til kopien af det gyldige pas tilhørende den betroede kurer, som er underskrevet af et af organisationens identificerede kontaktpunkter. Underskriften bekræftes i forhold til den originale »identifikationsformular for betroede kurerer og kontaktpunkter«

e) verificere den udfyldte og underskrevne fuldmagt

f) verificere udskriften af certifikatanmodningen og dens underskrift i forhold til den originale »identifikationsformular for betroede kurerer og kontaktpunkter«

g) ringe til underskriverens kontaktpunkt for at dobbelttjekke den betroede kurers identitet samt indholdet af certifikatanmodningen.

2.2.4.4. Registreringsenheden bekræfter over for CEF Support Team, at den nationale myndighed er bemyndiget til at varetage driften af de komponenter, for hvilke den anmoder om certifikater, og at registreringsprocessen med personligt fremmøde var vellykket. Bekræftelsen sendes med krypteret e-mail ved brug af et »CommiSign«-certifikat, og der vedhæftes en scannet kopi af den bekræftede dokumentpakke fra det personlige fremmøde samt af registreringsenhedens underskrevne procestjekliste.

2.2.4.5. Hvis registreringsenheden bekræfter anmodningens gyldighed, fortsætter processen som fastlagt i 2.2.4.6 og 2.2.4.7. I modsat fald afvises det at udstede et certifikat, hvorefter organisationen informeres.

2.2.4.6. CEF Support Team godkender certifikatanmodningen og underretter registreringsenheden om, at certifikatet er godkendt.

2.2.4.7. Registreringsenheden underretter organisationen om, at certifikatet kan hentes via brugerportalen.

Figur 8 — Godkendelse af certifikat

2.2.5. Trin 4: Generering af certifikat

Certifikatet genereres, når certifikatanmodningen er godkendt.

2.2.6. Trin 5: Offentliggørelse og hentning af certifikat

2.2.6.1. Når certifikatanmodningen er blevet godkendt, henter registreringsenheden certifikatet og overdrager en kopi til den betroede kurer.

2.2.6.2. Organisationen modtager underretningen fra registreringsenheden om, at certifikaterne kan hentes.

2.2.6.3. Organisationen navigerer til brugerportalen på https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en og logger ind med brugernavnet »sbca/CEF_eDelivery.europa.eu« og adgangskoden »digit.333«.

Figur 9

2.2.6.4. Organisationen klikker på »fetch« i venstre side og angiver det referencenummer, der blev registreret i certifikatanmodningsprocessen.

Figur 10

2.2.6.5. Organisationen installerer certifikaterne ved at klikke på knappen »Install«.

Figur 11

2.2.6.6. Certifikatet installeres på adgangspunktet. Da dette er implementeringsspecifikt, skal organisationen kontakte sit adgangspunkt for at få beskrivelsen af denne proces.

2.2.6.7. Certifikatet installeres på adgangspunktet ved at følge nedenstående trin:

a) eksport af den private nøgle og certifikatet

b) oprettelse af keystore og truststore

c) installation af keystore og truststore på adgangspunktet.

Figur 12 — Hentning af certifikat

3. Proces for tilbagekaldelse af certifikat

3.1. Organisationen indsender en anmodning om tilbagekaldelse via brugerwebportalen.

3.2. CEF Support Team gennemfører tilbagekaldelsen af certifikatet.

Figur 13 — Tilbagekaldelse af certifikat

4. Almindelige betingelser for CEF PKI-tjenesten

4.1. Baggrund

I sin egenskab af løsningsleverandør af eDelivery-modulet i Connecting Europe-faciliteten stiller DIGIT en PKI-tjeneste (7) (»CEF PKI-tjeneste«) til rådighed for de kontraherende parter i AETR-overenskomsten. CEF PKI-tjenesten skal anvendes af nationale myndigheder (»slutbrugere«), der deltager i TACHOnet.

DIGIT er PKI-indehaver i TeleSec Shared-Business-CA-løsningen (»SBCA«), hvis drift varetages i Trust Center under koncernenheden T-Systems International GmbH (»T-Systems«) (8). DIGIT fungerer som hovedregistrator for SBCA's »CEF_eDelivery.europa.eu«-domæne. I denne egenskab opretter DIGIT underdomæner til »CEF_eDelivery.europa.eu«-domænet for hvert af de projekter, der benytter CEF PKI-tjenesten.

Dette dokument indeholder de nærmere betingelser for TACHOnet-underdomænet. DIGIT fungerer som underregistrator for dette underdomæne. I denne egenskab udsteder, tilbagekalder og fornyer DIGIT dette projekts certifikater.

4.2. Ansvarsfraskrivelse

Kommissionen er ikke ansvarlig for certifikatets indhold; ansvaret er alene certifikatindehaverens. Det er certifikatindehaverens ansvar at kontrollere certifikatindholdets nøjagtighed.

Kommissionen er ikke ansvarlig for, hvordan certifikatindehaveren som tredjeparts juridiske enhed uden for Kommissionen bruger certifikatet.

Hensigten med denne erklæring om ansvarsfraskrivelse er hverken at begrænse Kommissionens ansvar på en måde, der strider mod eventuelle krav ifølge gældende national ret eller at udelukke Kommissionens ansvar i tilfælde, hvor ansvar ikke kan udelukkes ifølge national ret.

4.3. Tilladt/Ikke-tilladt anvendelse af certifikater

4.3.1. Tilladt anvendelse af certifikater

Når et certifikat er udstedt, anvender certifikatindehaveren (9) udelukkende certifikatet i forbindelse med TACHOnet. I den forbindelse kan certifikatet anvendes til at:

— bekræfte datas oprindelse

— kryptere data

— sikre påvisning af integritetsbrud på data.

4.3.2. Ikke-tilladt anvendelse af certifikater

Enhver anvendelse, der ikke er udtrykkeligt godkendt som en af certifikatets tilladte anvendelsesmuligheder, er forbudt.

4.4. Certifikatindehaverens yderligere forpligtelser

SBCA's nærmere betingelser er defineret af T-Systems i SBCA-tjenestens certificeringspolitik (CP)/certificeringspraksis (CPS) (10). Dette dokument omfatter sikkerhedsspecifikationer og retningslinjer vedrørende tekniske og organisatoriske aspekter og beskriver Trust Centre-operatørens aktiviteter i dennes egenskab af certificeringsenhed (CA) og registreringsenhed (RA) samt registreringsenhedens (RA) bemyndigede tredjepart.

Kun enheder, der er bemyndiget til at deltage i TACHOnet, kan anmode om et certifikat.

Med hensyn til accept af certifikat gælder punkt 4.4.1 i SBCA's certificeringspolitik og certificeringspraksis (»CP/CPS«), og derudover anses brugsvilkårene og bestemmelserne i nærværende dokument for at være accepteret af den organisation, som certifikatet er udstedt til (»O=«) ved første anvendelse.

Med hensyn til offentliggørelse af certifikatet gælder punkt 2.2 i SBCA CP/CPS.

Alle certifikatejere skal opfylde følgende krav:

1) beskytter deres private nøgle mod uautoriseret brug

2) undgå at overdrage eller oplyse deres private nøgle til tredjeparter, også som repræsentanter

3) undgår fortsat brug af den private nøgle efter gyldighedsperiodens udløb eller certifikatets tilbagekaldelse, bortset fra med det formål at få vist krypterede data (f.eks. dekryptering af e-mails).

4) certifikatindehaveren er ansvarlig for at kopiere eller sende nøglen til slutenheden eller -enhederne.

5) certifikatindehaveren skal forpligte slutenheden/alle slutenheder til at overholde disse betingelser, herunder SBCA CP/CPS ved håndteringen af den private nøgle.

6) Certifikatindehaveren skal stille identifikation for de bemyndigede repræsentanter, som er bemyndiget til at anmode om tilbagekaldelse af certifikater udstedt til organisationen, til rådighed og i den forbindelse oplyse om de begivenheder, der har medført tilbagekaldelsen, og om adgangskoden til tilbagekaldelse.

7) for certifikater tilknyttet grupper af personer og funktioner og/eller juridiske personer, efter at en person har forladt gruppen af slutenheder (f.eks. ophør af ansættelsesforhold), skal certifikatindehaveren forebygge misbrug af den private nøgle ved at tilbagekalde certifikatet.

8) Certifikatindehaveren er ansvarlig for og skal anmode om tilbagekaldelse af certifikatet i de tilfælde, der er nævnt i punkt 4.9.1 i SBCA CP/CPS.

Med hensyn til fornyelse eller »rekey« af certifikater gælder punkt 4.6 eller 4.7 i SBCA CP/CPS.

Med hensyn til ændring af certifikater gælder punkt 4.8 i SBCA CP/CPS.

Med hensyn til tilbagekaldelse af certifikater gælder punkt 4.9 i SBCA CP/CPS.

5. Identifikationsformular for kontaktpersoner og betroede kurerer (eksempel)

Jeg, [navn og adresse på organisationens repræsentant], erklærer, at nedenstående oplysninger er til brug i forbindelse med anmodning om, generering af og hentning af PKI-certifikater til TACHOnet-adgangspunkter til understøttelse af fortroligheden, integriteten og afviseligheden af TACHOnet-meddelelser:

Oplysninger om kontaktperson:

— Kontaktperson #1 — Kontaktperson #2 — Navn: — Navn: — Fornavne: — Fornavne: — Mobiltelefon: — Mobiltelefon: — Telefon: — Telefon: — E-mail: — E-mail: — Underskriftsprøve: — — Underskriftsprøve: — — —

Oplysninger om betroet kurer:

— Betroet kurer #1 — Betroet kurer #2 — Navn: — Navn: — Fornavne: — Fornavne: — Mobiltelefon: — Mobiltelefon: — E-mail: — E-mail: — Pasudstedende land: — Pasudstedende land: — Pasnummer: — Pasnummer: — Udløbsdato for pas: — Udløbsdato for pas:

Sted og dato samt organisationens stempel eller segl:

Den bemyndigede repræsentants underskrift:

6. Dokumenter

6.1. Individuel fuldmagt (eksempel)

Et eksempel på en individuel fuldmagt, som skal underskrives og fremlægges af den betroede kurer under registreringen hos RAO ved personligt fremmøde, kan findes her:

6.2. Udskrift af anmodning om certifikat (eksempel)

Et eksempel på en udskrift af en anmodning om certifikat, som skal underskrives og fremlægges af den betroede kurer under registreringen hos RAO ved personligt fremmøde, kan findes her:

7. Glossar

De centrale termer, der er anvendt i dette undertillæg, er defineret i afsnittet CEF Definitions på CEF Digital Single Web Portal:

https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/CEF+Definitions

De centrale akronymer, der er anvendt i denne Component Offering Description, er defineret i CEF Glossary på CEF Digital Single Web Portal:

https://ec.europa.eu/cefdigital/wiki/pages/viewpage.action?spaceKey=CEFDIGITAL&title=CEF+Glossary