ANNESS IV

GOVERNANZA TAĊ-ĊERTIFIKATI TAL-KJAVI PUBBLIĊI

1. Introduzzjoni

L-iskambju sigur u fdat tal-kjavi tal-firma għaċ-ċertifikati COVID diġitali tal-UE (DCCs) bejn l-Istati Membri jitwettaq mill-Gateway taċ-Ċertifikat COVID Diġitali tal-UE (DCCG), li jaġixxi bħala repożitorju ċentrali għall-kjavi pubbliċi. Bid-DCCG, l-Istati Membri għandhom is-setgħa li jippubblikaw il-kjavi pubbliċi li jikkorrespondu għall-kjavi privati li huma jużaw biex jiffirmaw iċ-Ċertifikati COVID Diġitali. L-Istati Membri dipendenti jistgħu jużaw id-DCCG biex jiksbu materjal aġġornat u fil-ħin dwar kjavi pubbliċi. Imbaghad id-DCCG jista’ jiġi estiż għall-iskambju tal-informazzjoni supplimentari affidabbli li l-Istati Membri jipprovdu, bħar-regoli ta’ validazzjoni għad-DCCs. Il-mudell ta’ fiduċja tal-qafas tad-DCC hu Infrastruttura tal-Kjavi Pubblika (PKI). Kull Stat Membru jżomm Awtorità Nazzjonali taċ-Ċertifikazzjoni tal-Firem (CSCA) waħda jew aktar, li ċ-ċertifikati tagħha għandhom ħajja relattivament twila. Wara d-deċiżjoni tal-Istat Membru, is-CSCA tista’ tkun l-istess jew differenti mis-CSCA użata għal dokumenti tal-ivvjaġġar li jinqraw mill-magni. Is-CSCA toħroġ ċertifikati tal-kjavi pubblika għall-Firmatarji tad-Dokumenti nazzjonali, b’ħajja qasira (jiġifieri l-firmatarji għad-DCCs), li jissejħu Ċertifikati tal-Firem tad-Dokumenti (DSCs). Is-CSCA taġixxi bħala ankra ta’ fiduċja b’tali mod li l-Istati Membri dipendenti jkunu jistgħu jużaw iċ-ċertifikat tas-CSCA biex jivvalidaw l-awtentiċità u l-integrità tad-DSCs li jinbidlu b’mod regolari. Ladarba jiġu vvalidati, l-Istati Membri jistgħu jipprovdu dawn iċ-ċertifikati (jew sempliċiment il-kjavi pubbliċi li jinsabu fihom) għall-applikazzjonijiet ta’ validazzjoni tad-DCC tagħhom. Minbarra s-CSAs u d-DSCs, id-DCCG jiddependi wkoll fuq il-PKI biex jawtentika t-tranżazzjonijiet, jiffirma d-data, bħala l-bażi għall-awtentikazzjoni u bħala mezz biex tiġi żgurata l-integrità tal-mezzi tal-komunikazzjoni bejn l-Istati Membri u d-DCCG.

Il-firem diġitali jistgħu jintużaw biex jinkisbu l-integrità u l-awtentiċità tad-data. L-infrastrutturi tal-Kjavi Pubbliċi jistabbilixxu l-fiduċja bi kjavi pubbliċi vinkolanti għal identitajiet verifikati (jew emittenti). Dan hu meħtieġ biex parteċipanti oħra jitħallew jivverifikaw l-oriġini tad-data u l-identità tas-sieħeb tal-komunikazzjoni u biex jiddeċiedu dwar il-fiduċja. Fid-DCCG, jintużaw diversi ċertifikati tal-kjavi pubbliċi għall-awtentiċità. Dan l-Anness jiddefinixxi liema ċertifikati tal-kjavi pubbliċi jintużaw u kif għandhom jitfasslu biex jippermettu interoperabbiltà wiesgħa fost l-Istati Membri. Dan jipprovdi aktar dettalji dwar iċ-ċertifikati tal-kjavi pubbliċi meħtieġa u jagħti gwida dwar mudelli taċ-ċertifikati u l-perjodi ta’ validità għall-Istati Membri li jridu joperaw is-CSCA tagħhom stess. Peress li d-DCCs għandhom ikunu verifikabbli għal perjodu ta’ żmien definit (li jibda mill-ħruġ u jiskadi wara żmien partikolari), jeħtieġ jiġi definit mudell ta’ verifika għall-firem kollha applikati fuq iċ-ċertifikati tal-kjavi pubbliċi u d-DCCs.

2. Terminoloġija

It-tabella li ġejja fiha l-abbrevjazzjonijiet u t-terminoloġija użati f’dan l-Anness kollu.

Terminu Definizzjoni Ċertifikat Jew ċertifikat tal-kjavi pubblika. Ċertifikat X. 509 v3 li fih il-kjavi pubblika ta’ entità CSCA Awtorità Nazzjonali taċ-Ċertifikazzjoni tal-Firem DCC Ċertifikat COVID Diġitali tal-UE. Dokument diġitali ffirmat li jkun fih informazzjoni dwar it-tilqim, it-test jew il-fejqan DCCG Gateway taċ-Ċertifikat COVID Diġitali tal-UE. Din is-sistema tintuża għall-iskambju tad-DSCs bejn l-Istati Membri DCCGTA Iċ-ċertifikat ta’ Ankra ta’ Fiduċja tad-DCCG. Il-kjavi privata korrispondenti tintuża biex tiġi ffirmata l-lista taċ-ċertifikati kollha tas-CSCA offline DCCGTLS Iċ-ċertifikat tas-server TLS tad-DCCG DSC Ċertifikat tal-Firem tad-Dokumenti. Iċ-Ċertifikat tal-Kjavi Pubblika ta’ awtorità għall-iffirmar tad-dokumenti ta’ Stat Membru (pereżempju, sistema li titħalla tiffirma DCCs). Dan iċ-ċertifikat jinħareġ mis-CSCA tal-Istat Membru EC-DSA Algoritmu tal-Firma Diġitali b’Kurvi Ellittiċi. Algoritmu tal-firma kriptografika bbażat fuq kurvi ellittiċi Stat Membru Stat Membru tal-Unjoni Ewropea mTLS TLS reċiproku. Il-Protokoll għas-Sigurtà tas-Saff tat-Trasport b’awtentikazzjoni reċiproka NB Backend Nazzjonali ta’ Stat Membru NBCSCA Iċ-ċertifikat tas-CSCA ta’ Stat Membru (jista’ jkun aktar minn wieħed) NBTLS Iċ-ċertifikat ta’ awtentikazzjoni tat-TLS tal-klijent ta’ backend nazzjonali NBUP Iċ-ċertifikat li juża backend nazzjonali biex jiffirma pakketti ta’ data li jittellgħu fid-DCCG PKI Infrastruttura tal-Kjavi Pubblika. Mudell ta’ fiduċja bbażat fuq iċ-ċertifikati tal-kjavi pubbliċi u fuq l-awtoritajiet taċ-ċertifikazzjoni RSA Algoritmu kriptografiku asimmetriku bbażat fuq fattorizzazzjoni integer użata għall-firem diġitali jew għall-kriptaġġ asimmetriku

3. Flussi tal-komunikazzjoni u servizzi tas-sigurtà tad-DCCG

Din it-taqsima tagħti ħarsa ġenerali lejn il-flussi tal-komunikazzjoni u s-servizzi tas-sigurtà fis-sistema tad-DCCG. Tiddefinixxi wkoll liema kjavi u ċertifikati jintużaw biex tiġi protetta l-komunikazzjoni, l-informazzjoni mtellgħa, id-DCCs, u lista ta’ fiduċja ffirmata li fiha ċ-ċertifikati tas-CSCA mtellgħin kollha. Id-DCCG jaħdem bħala ċentru tad-data li jippermetti l-iskambju ta’ pakketti tad-data ffirmati għall-Istati Membri.

Pakketti tad-data mtellgħin huma pprovduti mid-DCCG “kif inhuma”, li jfisser li d-DCCG ma jżidx jew ma jħassarx id-DSCs mill-pakketti li jirċievi. Il-backend nazzjonali (NB) tal-Istati Membri għandu jkun jista’ jivverifika l-integrità u l-awtentiċità minn tarf sa tarf tad-data mtellgħa. Minbarra dan, il-backends nazzjonali u d-DCCG se jużaw awtentikazzjoni reċiproka tat-TLS biex jistabbilixxu konnessjoni sigura. Dan minbarra l-firem fid-data skambjata.

3.1. Awtentikazzjoni u stabbiliment tal-konnessjoni

Id-DCCG juża Saff ta’ Sigurtà tat-Trasport (TLS) b’awtentikazzjoni reċiproka biex jistabbilixxi mezz kriptat awtentikat bejn il-backend nazzjonali (NB) tal-Istat Membru u l-ambjent tal-Gateway. Għalhekk, id-DCCG għandu ċertifikat tas-server tat-TLS, DCCGTLS fil-qosor; u l-backends nazzjonali għandhom ċertifikat tat-TLS tal-klijent, fil-qosor NBTLS. Mudelli ta’ ċertifikati huma pprovduti fit-Taqsima 5. Kull backend nazzjonali jista’ jipprovdi ċ-ċertifikat tat-TLS tiegħu stess. Dan iċ-ċertifikat se jsirlu whitelisting b’mod espliċitu u għalhekk jista’ jinħareġ minn awtorità taċ-ċertifikazzjoni fdata pubblikament (pereżempju, awtorità taċ-ċertifikazzjoni li ssegwi r-rekwiżiti bażi tal-Forum tal-Browser CA), minn awtorità nazzjonali taċ-ċertifikazzjoni jew jista’ jiġi ffirmat minnha stess. Kull Stat Membru hu responsabbli għad-data nazzjonali tiegħu u għall-protezzjoni tal-kjavi privata użata biex tiġi stabbilita l-konnessjoni mad-DCCG. L-approċċ ta’ “ġib iċ-ċertifikat tiegħek stess” jeħtieġ proċess definit sew ta’ reġistrazzjoni u identifikazzjoni, u proċeduri ta’ revoka u tiġdid kif deskritt fit-Taqsimiet 4.1 , 4.2 and 4.3. Id-DCCG juża whitelist fejn jiżdiedu ċ-ċertifikati tat-TLS tan-NBs wara li r-reġistrazzjoni tagħhom tkun irnexxiet. NBs biss li jawtentikaw lilhom infushom bi kjavi privata li tikkorrispondi għal ċertifikat fil-whitelist jistgħu jistabbilixxu konnessjoni sigura mad-DCCG. Id-DCCG se juża wkoll ċertifikat tat-TLS li jippermetti lin-NBs jivverifikaw li tabilħaqq qed jistabbilixxu konnessjoni mad-DCCG “reali” u mhux ma’ xi entità malizzjuża li tagħmilha ta’ DCCG. Iċ-ċertifikat tad-DCCG se jingħata lin-NBs wara reġistrazzjoni b’suċċess. Iċ-ċertifikat tad-DCCGTLS se jinħareġ minn CA fdata pubblikament (inkluż fil-browsers ewlenin kollha). Hi r-responsabbiltà tal-Istati Membri li jivverifikaw li l-konnessjoni tagħhom mad-DCCG hi sigura (pereżempju, billi jivverifikaw il-marka tas-swaba’ taċ-ċertifikat DCCGTLS tas-server imqabbad magħha għal dik ipprovduta wara r-reġistrazzjoni).

3.2. Awtoritajiet Nazzjonali taċ-Ċertifikazzjoni tal-Firem u l-Mudell ta’ Validazzjoni

L-Istati Membri li jieħdu sehem fil-qafas tad-DCCG iridu jużaw CSCA biex joħorġu d-DSCs. L-Istati Membri jista’ jkollhom aktar minn CSCA waħda, pereżempju, fil-każ ta’ devoluzzjoni reġjonali. Kull Stat Membru jista’ juża l-awtoritajiet taċ-ċertifikazzjoni eżistenti jew inkella jista’ jistabbilixxi awtorità taċ-ċertifikazzjoni ddedikata (possibbilment awtoffirmata) għas-sistema tad-DCC.

L-Istati Membri jridu jippreżentaw iċ-ċertifikat(i) tas-CSCA tagħhom lill-operatur tad-DCCG waqt il-proċedura uffiċjali ta’ onboarding. Wara r-reġistrazzjoni b’suċċess tal-Istat Membru (ara t-Taqsima 4.1 għal aktar dettalji), l-operatur tad-DCCG se jaġġorna lista ta’ fiduċja ffirmata li jkun fiha ċ-ċertifikati kollha tas-CSCA li huma attivi fil-qafas tad-DCC. L-operatur tad-DCCG se juża par kjavi asimmetriku ddedikat biex jiffirma l-lista ta’ fiduċja u ċ-ċertifikati f’ambjent offline. Il-kjavi privata ma tinħażinx fuq is-sistema tad-DCCG online, b’tali mod li kompromess tas-sistema online ma jippermettix li attakkant jikkomprometti l-lista ta’ fiduċja. Iċ-ċertifikat ta’ ankra ta’ fiduċja DCCGTA korrispondenti, se jingħata lin-national backends waqt il-proċess ta’ onboarding.

L-Istati Membri jistgħu jirkupraw il-lista ta’ fiduċja mid-DCCG għall-proċeduri ta’ verifika tagħhom. Is-CSCA hi definita bħala l-awtorità taċ-ċertifikazzjoni li toħroġ id-DSCs, għaldaqstant l-Istati Membri li jużaw ġerarkija tal-CA f’diversi livelli (pereżempju, Root CA -> CSCA -> DSCs) iridu jipprovdu l-awtorità taċ-ċertifikazzjoni subordinarja li toħroġ id-DSCs. F’dan il-każ, jekk Stat Membru juża awtorità taċ-ċertifikazzjoni eżistenti, allura s-sistema tad-DCC se tinjora kwalunkwe ħaġa ’l fuq mis-CSCA u tqis biss bħala whitelist is-CSCA bħala l-ankra ta’ fiduċja (anki jekk din tkun CA subordinat). Dan hu bħall-mudell tal-ICAO, li jippermetti biss eżattament 2 livelli – “root” CSCA u “leaf” DSC – iffirmati minn dik is-CSCA biss.

Jekk Stat Membru jkun jopera s-CSCA tiegħu stess, l-Istat Membru jkun responsabbli għall-operazzjoni sigura u għall-ġestjoni tal-kjavi ta’ din is-CA. Is-CSCA taġixxi bħala l-ankra ta’ fiduċja għad-DSCs, u għalhekk il-protezzjoni tal-kjavi privata tas-CSCA hi essenzjali għall-integrità tal-ambjent tad-DCC. Il-mudell ta’ verifika fid-DCC PKI hu l-mudell primarju, li jiddikjara li ċ-ċertifikati kollha fil-validazzjoni tal-mogħdija taċ-ċertifikat iridu jkunu validi fi żmien partikolari (jiġifieri l-ħin tal-validazzjoni tal-firma). Għalhekk, japplikaw ir-restrizzjonijiet li ġejjin:

— Is-CSCA m’għandhiex toħroġ ċertifikati li huma validi għal aktar żmien miċ-ċertifikat CA nnifsu;

— Il-firmatur tad-dokument m’għandux jiffirma dokumenti li jkunu validi għal aktar tul mid-DSC innifsu;

— L-Istati Membri li joperaw is-CSCA tagħhom stess iridu jiddefinixxu l-perjodi ta’ validità għas-CSCA tagħhom u għaċ-ċertifikati kollha maħruġa u jridu jieħdu ħsieb it-tiġdid taċ-ċertifikati.

It-Taqsima 4.2 fiha rakkomandazzjonijiet għall-perjodi ta’ validità.

3.3. Integrità u awtentiċità tad-data mtellgħa

Il-backends nazzjonali jistgħu jużaw id-DCCG biex itellgħu u jniżżlu pakketti ta’ data ffirmati b’mod diġitali wara awtentikazzjoni reċiproka b’suċċess. Fil-bidu, dawn il-pakketti ta’ data jkollhom id-DSCs tal-Istati Membri. Il-par kjavi li jintuża mill-backend nazzjonali għall-firma diġitali ta’ pakketti tad-data mtellgħin fis-sistema tad-DCCG jissejjaħ il-par kjavi tal-firma tal-upload tal-backend nazzjonali u ċ-ċertifikat tal-kjavi pubblika korrispondenti huwa mqassar bħala ċertifikat NBUP. Kull Stat Membru jġib iċ-ċertifikat NBUP tiegħu stess, li jista’ jiġi ffirmat minnu stess, jew jinħareġ minn awtorità taċ-ċertifikazzjoni eżistenti, bħal awtorità taċ-ċertifikazzjoni pubblika (jiġifieri awtorità taċ-ċertifikazzjoni li toħroġ ċertifikat f’konformità mar-rekwiżiti bażiċi tal-Forum CAB). Iċ-ċertifikat NBUP għandu jkun differenti minn kwalunkwe ċertifikat ieħor użat mill-Istat Membru (jiġifieri CSCA, klijent tat-TLS jew DSCs).

L-Istati Membri jridu jipprovdu ċ-ċertifikat għall-upload lill-operatur tad-DCCG waqt il-proċedura ta’ reġistrazzjoni inizjali (ara t-Taqsima 4.1 għal aktar dettalji). Kull Stat Membru hu responsabbli għad-data nazzjonali tiegħu u jrid jipproteġi l-kjavi privata li tintuża għall-iffirmar tal-uploads.

Stati Membri oħra jistgħu jivverifikaw il-pakketti tad-data ffirmati billi jużaw iċ-ċertifikati mtellgħin li huma pprovduti mid-DCCG. Id-DCCG jivverifika l-awtentiċità u l-integrità tad-data mtellgħa maċ-ċertifikat imtella’ tan-NB qabel ma tiġi pprovduta lil Stati Membri oħra.

3.4. Rekwiżiti dwar l-arkitettura teknika tad-DCCG

Ir-rekwiżiti dwar l-arkitettura teknika tad-DCCG huma kif ġej:

— Id-DCCG juża l-awtentikazzjoni ta’ TLS reċiproka biex jistabbilixxi konnessjoni kriptata awtentikata mal-NBs. Għalhekk, id-DCCG iżomm whitelist taċ-ċertifikati tal-klijenti reġistrati NBTLS;

— Id-DCCG juża żewġ ċertifikati diġitali (DCCGTLS u DCCGTA) b’żewġ pari kjavi distinti. Il-kjavi privata tal-par kjavi tad-DCCGTA tinżamm offline (mhux fuq il-komponenti online tad-DCCG);

— Id-DCCG iżomm lista ta’ fiduċja taċ-ċertifikati NBCSCA li hija ffirmata bil-kjavi privata tad-DCCGTA;

— Iċ-ċifri li jintużaw iridu jissodisfaw ir-rekwiżiti mit-Taqsima 5.1.

4. Ġestjoni taċ-Ċiklu tal-ħajja taċ-Ċertifikat

4.1. Ir-reġistrazzjoni tal-Backends Nazzjonali

L-Istati Membri jridu jirreġistraw mal-operatur tad-DCCG biex jieħdu sehem fis-sistema tad-DCCG. Din it-taqsima tiddeskrivi l-proċedura teknika u operazzjonali li trid tiġi segwita għar-reġistrazzjoni ta’ backend nazzjonali.

L-operatur tad-DCCG u l-Istat Membru jridu jiskambjaw informazzjoni dwar persuni tekniċi ta’ kuntatt għall-proċess ta’ onboarding. Hu preżunt li l-persuni tekniċi ta’ kuntatt ikunu leġittimati mill-Istati Membri tagħhom u l-identifikazzjoni/l-awtentikazzjoni titwettaq b’mezzi oħra. Pereżempju, l-awtentikazzjoni tista’ tinkiseb meta l-kuntatt tekniku tal-Istati Membri jipprovdi ċ-ċertifikati bħala fajls kriptati b’password permezz tal-email u jikkondividi l-password korrispondenti mal-operatur tad-DCCG permezz tat-telefown. Jistgħu jintużaw ukoll mezzi siguri oħra definiti mill-operatur tad-DCCG.

L-Istat Membru jrid jipprovdi tliet ċertifikati diġitali waqt il-proċess ta’ reġistrazzjoni u identifikazzjoni:

— Iċ-ċertifikat tat-TLS tal-Istat Membru NBTLS

— Iċ-ċertifikat imtella’ tal-Istat Membru NBUP

— Iċ-ċertifikat(i) tas-CSCA tal-Istat Membru NBCSCA

Iċ-ċertifikati kollha pprovduti jridu jaderixxu mar-rekwiżiti definiti fit-Taqsima 5. L-operatur tad-DCCG jivverifika li ċ-ċertifikat ipprovdut jaderixxi mar-rekwiżiti tat-Taqsima 5. Wara l-identifikazzjoni u r-reġistrazzjoni, l-operatur tad-DCCG:

— iżid iċ-ċertifikat(i) tan-NBCSCA fil-lista ta’ fiduċja ffirmata bil-kjavi privata li tikkorrispondi għall-kjavi pubblika tad-DCCGTA;

— iżid iċ-ċertifikat tan-NBTLS fil-whitelist tal-punt ta’ tmiem tat-TLS tad-DCCG;

— iżid iċ-ċertifikat tan-NBUP fis-sistema tad-DCCG;

— jipprovdi ċ-ċertifikat tal-kjavi pubblika tad-DCCGTA u tad-DCCGTLS lill-Istat Membru.

4.2. L-awtoritajiet taċ-ċertifikazzjoni, il-perjodi ta’ validità u t-tiġdid

F’każ li Stat Membru jkun irid jopera s-CSCA tiegħu stess, iċ-ċertifikati tas-CSCA jistgħu jkunu ċertifikati awtoffirmati. Huma jaġixxu bħala l-ankra ta’ fiduċja tal-Istat Membru u għalhekk l-Istat Membru jrid jipproteġi bil-qawwa l-kjavi privata li tikkorrispondi għall-kjavi pubblika taċ-ċertifikat tas-CSCA. Hu rakkomandat li l-Istati Membri jużaw sistema offline għas-CSCA tagħhom, jiġifieri sistema tal-kompjuter li mhix konnessa ma’ xi network. Kontroll ta’ aktar minn persuna waħda għandu jintuża għall-aċċess tas-sistema (pereżempju, il-prinċipju ta’ erba’ għajnejn). Wara l-iffirmar tad-DSCs, għandhom jiġu applikati kontrolli operazzjonali, u s-sistema bil-kjavi privata tas-CSCA għandha tinħażen b’mod sikur b’kontrolli tal-aċċess sodi. Moduli tas-Sigurtà tal-Hardware jew Smart Cards jistgħu jintużaw biex jipproteġu ulterjorment il-kjavi privata tas-CSCA. Iċ-ċertifikati diġitali fihom perjodu ta’ validità li jinforza t-tiġdid taċ-ċertifikat. It-tiġdid huwa meħtieġ biex jintużaw kjavi kriptografiċi ġodda u biex jiġu adattati d-daqsijiet tal-kjavi meta titjib ġdid fil-komputazzjoni jew attakki ġodda jheddu s-sigurtà tal-algoritmu kriptografiku użat. Japplika l-mudell primarju (ara t-Taqsima 3.2 ).

Il-perjodi ta’ validità li ġejjin huma rakkomandati, meta wieħed iqis il-validità ta’ sena għaċ-ċertifikati COVID diġitali:

— CSCA: 4 snin

— DSC: sentejn

— Upload: sena-sentejn

— Awtentikazzjoni tal-klijent tat-TLS: sena-sentejn

Għal tiġdid fil-ħin, huma rakkomandati l-perjodi ta’ użu li ġejjin għall-kjavi privati:

— CSCA: sena

— DSC: sitt xhur

L-Istati Membri jridu joħolqu ċertifikati ġodda għall-upload u ċertifikati tat-TLS f’ħin regolari, pereżempju, xahar qabel l-iskadenza biex tkun tista’ ssir operazzjoni bla xkiel. Jenħtieġ li ċ-ċertifikati tas-CSCA u d-DSCs jiġġeddu mill-inqas xahar qabel ma jintemm l-użu tal-kjavi privata (b’kunsiderazzjoni tal-proċeduri operazzjonali meħtieġa). L-Istati Membri jridu jipprovdu ċertifikati tas-CSCA, ċertifikati tal-upload u ċertifikati tat-TLS aġġornati lill-operatur tad-DCCG. Ċertifikati skaduti għandhom jitneħħew mill-whitelist u mil-lista ta’ fiduċja.

L-Istati Membri u l-operatur tad-DCCG iridu jżommu rendikont tal-validità taċ-ċertifikati tagħhom stess. Mhemm l-ebda entità ċentrali li żżomm rekord tal-validità taċ-ċertifikati u li tinforma lill-parteċipanti.

4.3. Revoka taċ-ċertifikati

B’mod ġenerali, iċ-ċertifikati diġitali jistgħu jiġu revokati mill-CA tal-ħruġ tagħhom bl-użu ta’ listi ta’ revoka taċ-ċertifikati jew permezz ta’ Risponder tal-Protokoll tal-Istatus taċ-Ċertifikat Online (OCSP). Is-CSCAs għas-sistema tad-DCC jenħtieġ jipprovdu listi ta’ revoka taċ-ċertifikati (CRLs). Anke jekk dawn is-CRLs bħalissa mhumiex użati minn Stati Membri oħra, dawn jenħtieġ jiġu integrati għal applikazzjonijiet futuri. Jekk CSCA tiddeċiedi li ma tipprovdix CRLs, id-DSCs ta’ din is-CSCA iridu jiġġeddu meta s-CRLs isiru obbligatorji. Il-verifikaturi jenħtieġ ma jużawx l-OCSP għall-validazzjoni tad-DSCs u jenħtieġ jużaw is-CRLs. Hu rakkomandat li l-backend nazzjonali jwettaq il-validazzjoni meħtieġa tad-DCCs li jitniżżlu mill-Gateway tad-DCC u jibgħat biss sett ta’ DSC fdati u validati lill-validaturi nazzjonali tad-DCC. Jenħtieġ li l-validaturi tad-DCC ma jwettqu l-ebda verifika ta’ revoka fuq id-DSC fil-proċess ta’ validazzjoni tagħhom. Waħda mir-raġunijiet għal dan hi biex titħares il-privatezza tad-detenturi tad-DCC billi tiġi evitata kull possibbiltà li l-użu ta’ xi DSC partikolari jiġi monitorjat mir-rispondent assoċjat tiegħu tal-OCSP.

L-Istati Membri jistgħu jneħħu d-DSCs tagħhom mid-DCCG waħedhom bl-użu ta’ ċertifikati validi tal-upload u tat-TLS. It-tneħħija ta’ DSC tfisser li d-DCCs kollha maħruġa b’dan id-DSC se jsiru invalidi meta l-Istati Membri jfittxu l-listi aġġornati tad-DSCs. Il-protezzjoni tal-materjal ta’ kjavi privata li jikkorrispondi għad-DSCs hi kruċjali. L-Istati Membri jridu jinfurmaw lill-operatur tad-DCCG meta huma jkunu jridu jirrevokaw iċ-ċertifikati tal-upload jew tat-TLS, pereżempju minħabba kompromess fil-backend nazzjonali. L-operatur tad-DCCG imbagħad jista’ jneħħi l-fiduċja għaċ-ċertifikat affettwat, pereżempju billi jneħħi dan mill-whitelist tat-TLS. L-operatur tad-DCCG jista’ jneħħi ċ-ċertifikati mtellgħin mill-bażi tad-data tad-DCCG. Il-pakketti ffirmati bil-kjavi privata li jikkorrispondu għal dan iċ-ċertifikat imtella’ se jsiru invalidi meta l-backends nazzjonali jneħħu l-fiduċja taċ-ċertifikat revokat imtella’. F’każ li ċ-ċertifikat tas-CSCA irid jiġi revokat, l-Istati Membri għandhom jinformaw lill-operatur tad-DCCG kif ukoll lil Stati Membri oħra li jkollhom relazzjonijiet ta’ fiduċja magħhom. L-operatur tad-DCCG joħroġ lista ta’ fiduċja ġdida fejn iċ-ċertifikat affettwat ma jibqax fiha. Id-DSCs kollha maħruġa minn din is-CSCA isiru invalidi meta l-Istati Membri jaġġornaw il-maħżen ta’ fiduċja tal-backend nazzjonali tagħhom. F’każ li ċ-ċertifikat tad-DCCGTLS jew iċ-ċertifikat tad-DCCGTA iridu jiġu revokati, l-operatur tad-DCCG u l-Istati Membri jridu jaħdmu flimkien biex jistabbilixxu konnessjoni ta’ TLS affidabbli ġdida u lista ta’ fiduċja.

5. Mudelli taċ-Ċertifikati

Din it-taqsima tistabbilixxi rekwiżiti kriptografiċi u gwida kif ukoll rekwiżiti dwar il-mudelli taċ-ċertifikati. Għaċ-ċertifikati tad-DCCG, din it-taqsima tiddefinixxi l-mudelli taċ-ċertifikati.

5.1. Rekwiżiti kriptografiċi

L-algoritmi kriptografiċi u s-settijiet ta’ ċifraturi tat-TLS għandhom jintgħażlu abbażi tar-rakkomandazzjoni attwali mill-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-informazzjoni (BSI) jew is-SOG-IS. Dawn ir-rakkomandazzjonijiet u r-rakkomandazzjonijiet ta’ istituzzjonijiet oħrajn u ta’ organizzazzjoni tal-istandardizzazzjoni huma simili. Ir-rakkomandazzjonijiet jistgħu jinstabu fil-linji gwida tekniċi TR 02102-1 u TR 02102-2 (1) jew fil-Mekkaniżmi Kriptografiċi Miftiehma mal-SOG-IS (2).

5.1.1. Rekwiżiti dwar id-DSC

Għandhom japplikaw ir-rekwiżiti previsti fit-Taqsima 3.2.2 tal-Anness I. Għalhekk, hu rakkomandat ħafna li l-Firmatarji tad-Dokumenti jużaw l-Algoritmu tal-Firma Diġitali b’Kurvi Ellittiċi (ECDSA) bl-NIST-p-256 (kif definit fl-appendiċi D tal-FIPS PUB 186-4). Kurvi ellittiċi oħrajn ma humiex appoġġati. Minħabba r-restrizzjonijiet ta’ spazju tad-DCC, jenħtieġ li l-Istati Membri ma jużawx l-RSA-PSS, anki jekk dan ikun permess bħala algoritmu li jintuża f’każ ta’ bżonn. F’każ li l-Istati Membri jużaw RSA-PSS, jenħtieġ li jużaw daqs ta’ modulus ta’ 2048 jew ta’ massimu ta’ 3072 bit. SHA-2 b’tul tal-output ta’ ≥ 256 bits għandu jintuża bħala funzjoni ta’ hash kriptografika (ara ISO/IEC 10118-3:2004) għall-firma tad-WLTP.

5.1.2. Rekwiżiti dwar iċ-ċertifikati tat-TLS, tal-Upload u tas-CSCA

Għaċ-ċertifikati diġitali u l-firem kriptografiċi fil-kuntest tad-DCCG, ir-rekwiżiti ewlenin dwar l-algoritmi kriptografiċi u t-tul tal-kjavi huma miġbura fil-qosor fit-tabella li ġejja (mill-2021):

Algoritmu tal-Firma Tul tal-Kjavi Funzjoni hash EC-DSA Min. 250 bit SHA-2 b’tul tal-output ≥ 256 Bit RSA-PSS (padding rakkomandat) RSA-PKCS#1 v1.5 (padding legat) Min. 3000 bit RSA Modulus (N) b’esponent pubbliku e > 2^16 SHA-2 b’tul tal-output ≥ 256 Bit DSA Min. 3000 Bit prime p, 250 Bit key q SHA-2 b’tul tal-output ≥ 256 Bit

Il-kurva ellittika rakkomandata għall-EC-DSA hija NIST-p-256 minħabba l-implimentazzjoni mifruxa tagħha.

5.2. ĊERTIFIKAT TAS-CSCA (NBCSCA)

It-tabella li ġejja tagħti gwida dwar il-mudell taċ-ċertifikat tan-NBCSCA jekk Stat Membru jiddeċiedi li jopera s-CSCA tiegħu stess għas-sistema tad-DCC.

Huma meħtieġa entrati b’tipa grassa (iridu jiġu inklużi fiċ-ċertifikat), huma rakkomandati entrati bil-korsiv (jenħtieġ li jiġu inklużi). Għall-entrati neqsin, mhi definita l-ebda rakkomandazzjoni.

Entrata Valur Suġġett cn=<mhux vojt u isem komuni uniku> , o=<Fornitur>, c=<Stat Membru li jopera s-CSCA> Użu tal-kjavi iffirmar taċ-ċertifikat, iffirmar tal-CRL (bħala minimu) Restrizzjonijet bażiċi CA = limitazzjonijiet fit-tul tal-mogħdija, veri = 0

L-isem tas-suġġett irid ikun mhux vojt u uniku fl-Istat Membru speċifikat. Il-kodiċi tal-pajjiż (c) irid jaqbel mal-Istat Membru li se juża dan iċ-ċertifikat tas-CSCA. Iċ-ċertifikat irid ikun fih identifikatur tal-kjavi tas-suġġett uniku (SKI) skont l-RFC 5280 (3).

5.3. Ċertifikat tal-Firmatarju tad-Dokument (DSC)

It-tabella li ġejja tipprovdi gwida dwar id-DSC. Huma meħtieġa entrati b’tipa grassa (iridu jiġu inklużi fiċ-ċertifikat), huma rakkomandati entrati bil-korsiv (jenħtieġ li jiġu inklużi). Għall-entrati neqsin, mhi definita l-ebda rakkomandazzjoni.

Entrata Valur Numru tas-serje numru tas-serje uniku Suġġett cn=<mhux vojt u isem komuni uniku>, o=<Fornitur>, c=<Stat Membru li juża dan id-DSC> Użu tal-kjavi firma diġitali (bħala minimu)

Id-DSC irid jiġi ffirmat bil-kjavi privata li tikkorrispondi għal ċertifikat tas-CSCA li jintuża mill-Istat Membru.

Għandhom jintużaw l-estensjonijiet li ġejjin:

— Iċ-ċertifikat irid ikun fih Identifikatur tal-Kjavi tal-Awtorità (AKI) li jaqbel mal-Identifikatur tal-Kjavi tas-Suġġett (SKI) taċ-ċertifikat tas-CSCA tal-ħruġ

— Iċ-ċertifikat jenħtieġ li jkun fih Identifikatur tal-Kjavi tas-Suġġett uniku (skont l-RFC 5280 (4))

Barra minn hekk, iċ-ċertifikat jenħtieġ li jkun fih l-estensjoni tal-punt ta’ distribuzzjoni tas-CRL li tipponta lejn il-lista ta’ revoka taċ-ċertifikati (CRL) li hija pprovduta mis-CSCA li tkun ħarġet id-DSC.

Id-DSC jista’ jkun fih estensjoni estiża tal-użu tal-kjavi b’żero jew aktar identifikaturi tal-politika dwar l-użu tal-kjavi li jillimitaw it-tipi ta’ HCERTs li dan iċ-ċertifikat huwa permess jivverifika. Jekk ikun hemm preżenti wieħed jew aktar, il-verifikaturi għandhom jivverifikaw l-użu tal-kjavi kontra l-HCERT maħżun. Għal dan, huma definiti l-valuri extendedKeyUsage li ġejjin:

Entrata Valur extendedKeyUsage 1.3.6.1.4.1.1847.2021.1.1 għall-Emittenti tat-Test extendedKeyUsage 1.3.6.1.4.1.1847.2021.1.2 għall-Emittenti tat-Tilqim extendedKeyUsage 1.3.6.1.4.1.1847.2021.1.3 għall-Emittenti tal-Fejqan

Fin-nuqqas ta’ kwalunkwe estensjoni tal-użu tal-kjavi (jiġifieri ebda estensjoni jew żero estensjonijiet), dan iċ-ċertifikat jista’ jintuża biex jivvalida kwalunkwe tip ta’ HCERT. Dokumenti oħrajn jistgħu jiddefinixxu identifikaturi addizzjonali tal-politika dwar l-użu estiż tal-kjavi rilevanti użati mal-validazzjoni tal-HCERTs.

5.4. Ċertifikati Mtellgħin (NBUP)

It-tabella li ġejja tipprovdi gwida għall-upload taċ-ċertifikat fil-backend nazzjonali. Huma meħtieġa entrati b’tipa grassa (iridu jiġu inklużi fiċ-ċertifikat), huma rakkomandati entrati bil-korsiv (jenħtieġ li jiġu inklużi). Għall-entrati neqsin, mhi definita l-ebda rakkomandazzjoni.

Entrata Valur Suġġett cn=<mhux vojt u isem komuni uniku>, o=<Fornitur>, c=<Stat Membru li juża din l-upload taċ-ċertifikat> Użu tal-kjavi firma diġitali (bħala minimu)

5.5. Awtentikazzjoni tal-klijent tat-TLS għall-backend nazzjonali (NBTLS)

It-tabella li ġejja tipprovdi gwida għaċ-ċertifikat ta’ awtentikazzjoni tal-klijent tat-TLS għall-backend nazzjonali. Huma meħtieġa entrati b’tipa grassa (iridu jiġu inklużi fiċ-ċertifikat), huma rakkomandati entrati bil-korsiv (jenħtieġ li jiġu inklużi). Għall-entrati neqsin, mhi definita l-ebda rakkomandazzjoni.

Entrata Valur Suġġett cn=<mhux vojt u isem komuni uniku>, o=<Fornitur>, c=<Stat Membru fuq in-NB> Użu tal-kjavi firma diġitali (bħala minimu) Użu estiż tal-Kjavi awtentikazzjoni tal-klijent ( 1.3.6.1.5.5.7.3.2)

Iċ-ċertifikat jista’ jkun fih ukoll l-awtentikazzjoni tas-server (1.3.6.1.5.5.7.3.1) tal-użu tal-kjavi estiż, iżda dan ma huwiex obbligatorju.

5.6. Ċertifikat tal-firma tal-lista ta’ fiduċja (DCCGTA)

It-tabella li ġejja tiddefinixxi ċ-ċertifikat ta’ Ankra ta’ Fiduċja tad-DCCG.

Entrata Valur Suġġett cn = Gateway taċ-Ċertifikat Ekoloġiku Diġitali (5) , o=<Fornitur>, c=<pajjiż> Użu tal-kjavi firma diġitali (bħala minimu)

5.7. Ċertifikati tat-TLS Server tad-DCCG (DCCGTLS)

It-tabella li ġejja tiddefinixxi ċ-ċertifikat TLS tad-DCCG.

Entrata Valur Suġġett cn=<FQDN jew l-indirizz IP tad-DCCG>, o=<Fornitur>, c=<pajjiż> SubjectAltName dNSName: <DCCG DNS isem> jew indirizzIP: <Indirizz IP ta’ DCCG> Użu tal-kjavi firma diġitali (bħala minimu) Użu Estiż tal-Kjavi awtentikazzjoni tas-server ( 1.3.6.1.5.5.7.3.1)

Iċ-ċertifikat jista’ jkun fih ukoll l-awtentikazzjoni tal-klijent ( 1.3.6.1.5.5.7.3.2) għall-użu tal-kjavi estiż, iżda dan ma huwiex obbligatorju.

Iċ-ċertifikat tat-TLS tad-DCCG għandu jinħareġ minn awtorità taċ-ċertifikazzjoni fdata pubblikament (inkluż fil-browsers ewlenin kollha u fis-sistemi operattivi, skont ir-rekwiżiti tal-linja bażi tal-Forum CAB).

(1) BSI - Technical Guidelines TR-02102 (bund.de)

(2) SOG-IS - Supporting documents (sogis.eu)

(3) rfc5280 (ietf.org)

(4) rfc5280 (ietf.org)

(5) It-terminoloġija taċ-“Ċertifikat Ekoloġiku Diġitali” minflok iċ-“Ċertifikat COVID Diġitali tal-UE” inżammet f’dan il-kuntest minħabba li din hija t-terminoloġija li ġiet hardcoded u użata fiċ-ċertifikat qabel ma l-koleġiżlaturi ddeċidew fuq terminoloġija ġdida.