Poddodatek 4.9

Opis storitve PKI za sistem TACHOnet

1. Uvod

PKI (infrastruktura javnih ključev) je niz vlog, politik, postopkov in sistemov, ki so potrebni za generiranje, upravljanje, razširjanje in preklic digitalnih potrdil (3). Storitev PKI IPE omrežja eDelivery omogoča izdajanje in upravljanje digitalnih potrdil, ki se uporabljajo za zagotavljanje zaupnosti, celovitosti in nezatajljivosti informacij, izmenjanih med dostopovnimi točkami (AP).

Storitev PKI omrežja eDelivery temelji na storitvi TeleSec Shared Business CA (certifikacijski organ) središča zaupanja Trust Center Services, za katero se uporablja politika certificiranja (CP)/izjava o postopkih certificiranja (CPS) storitve TeleSec Shared-Business CA podjetja T-Systems International GmbH (4).

Storitev PKI omogoča izdajo potrdil, primernih za zagotavljanje različnih poslovnih procesov znotraj in zunaj podjetij, organizacij, javnih organov in institucij, za katere je potrebna srednja stopnja varnosti, da se dokaže avtentičnost, celovitost in zanesljivost končnega subjekta.

2. Postopek zahtevka za potrdilo

2.1 Vloge in odgovornosti

2.1.1 „Organizacija“ ali „nacionalni organ“, ki zahteva potrdilo

2.1.1.1 Nacionalni organ zahteva potrdila v okviru projekta TACHOnet.

2.1.1.2 Nacionalni organ:

(a) zahteva potrdila od storitve PK IPE;

(b) generira zasebne ključe in pripadajoče javne ključe, ki bodo vključeni v potrdila, ki jih bo izdal certifikacijski organ;

(c) po odobritvi prenese potrdilo;

(d) podpiše in organu za registracijo vrne: (i) identifikacijski obrazec kontaktnih oseb in zaupanja vrednih kurirjev, (ii) podpisano individualno pisno pooblastilo (5).

2.1.2 Zaupanja vredni kurir

2.1.2.1 Nacionalni organ imenuje zaupanja vrednega kurirja.

2.1.2.2 Zaupanja vredni kurir:

(a) izroči javni ključ organu za registracijo med postopkom osebne identifikacije in registracije;

(b) od organa za registracijo prejme pripadajoče potrdilo.

2.1.3 Lastnik domene

2.1.3.1 Lastnik domene je GD MOVE.

2.1.3.2 Lastnik domene:

(a) potrdi in usklajuje omrežje in arhitekturo zaupanja sistema TACHOnet, vključno s potrditvijo postopkov za izdajo potrdil;

(b) upravlja osrednje vozlišče sistema TACHOnet in usklajuje dejavnosti pogodbenic v zvezi z delovanjem sistema TACHOnet;

(c) skupaj z nacionalnimi organi izvede preizkuse povezave s sistemom TACHOnet.

2.1.4 Organ za registracijo

2.1.4.1 Organ za registracijo je Skupno raziskovalno središče (JRC).

2.1.4.2 Organ za registracijo je odgovoren za preverjanje identitete zaupanja vrednega kurirja ter za registracijo in odobritev zahtevkov za izdajo, preklic in obnovitev digitalnih potrdil.

2.1.4.3 Organ za registracijo:

(a) dodeli enolični identifikator nacionalnemu organu;

(b) ugotovi istovetnost nacionalnega organa, njegovih kontaktnih oseb in zaupanja vrednih kurirjev;

(c) komunicira s službo za podporo IPE v zvezi z istovetnostjo nacionalnega organa, njegovih kontaktnih oseb in zaupanja vrednih kurirjev;

(d) obvesti nacionalni organ o odobritvi ali zavrnitvi potrdila.

2.1.5 Certifikacijski organ

2.1.5.1 Certifikacijski organ je odgovoren za zagotavljanje tehnične infrastrukture za zahtevo, izdajo in preklic digitalnih potrdil.

2.1.5.2 Certifikacijski organ:

(a) zagotovi tehnično infrastrukturo za zahtevke nacionalnih organov za potrdila;

(b) potrdi ali zavrne zahtevke za potrdila;

(c) po potrebi komunicira z organom za registracijo pri preverjanju identitete organizacije, ki vloži zahtevek.

2.2 Izdaja potrdila

2.2.1 Izdaja potrdila se opravi v skladu z naslednjimi zaporednimi koraki, ki so prikazani na sliki 1:

(a) Korak 1: identifikacija zaupanja vrednega kurirja;

(b) Korak 2: generiranje zahtevka za potrdilo;

(c) Korak 3: registracija pri organu za registracijo;

(d) Korak 4: generiranje potrdila;

(e) Korak 5: objava potrdila;

(f) Korak 6: sprejem potrdila.

Slika 1 – Postopek izdaje potrdila

2.2.2 Korak 1: Identifikacija zaupanja vrednega kurirja

Za identifikacijo zaupanja vrednega kurirja se izvede naslednji postopek:

(a) organ za registracijo nacionalnemu organu pošlje identifikacijski obrazec kontaktnih oseb in zaupanja vrednih kurirjev (6). Ta obrazec vključuje tudi pisno pooblastilo, ki ga organizacija (organ AETR) podpiše;

(b) nacionalni organ vrne izpolnjen obrazec in podpisano pisno pooblastilo organu za registracijo;

(c) organ za registracijo potrdi prejem in popolnost obrazca;

(d) organ za registracijo lastniku domene predloži posodobljen izvod seznama kontaktnih oseb in zaupanja vrednih kurirjev.

2.2.3 Korak 2: Generiranje zahtevka za potrdilo

2.2.3.1 Zahtevek za potrdilo in njegov prevzem se opravita na istem računalniku in z istim brskalnikom.

2.2.3.2 Za generiranje zahtevka za potrdilo se izvede naslednji postopek:

(a) organizacija odpre uporabniški spletni vmesnik in zahteva potrdilo prek URL https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en: ter vpiše uporabniško ime „sbca/CEF_eDelivery.europa.eu“ in geslo „digit.333“; Slika 2

(b) organizacija klikne „request“ na levi strani okna in na spustnem seznamu izbere „CEF_TACHOnet“; Slika 3

(c) organizacija izpolni obrazec za zahtevek za potrdilo iz slike 4 z informacijami iz preglednice 3 ter s klikom na „Next (soft-PSE)“ zaključi postopek; Slika 4 Zahtevana polja Opis Država C = oznaka države, lokacija lastnika potrdila, preverjena z uporabo javnega imenika Omejitve: 2 znaka v skladu s standardom ISO 3166-1, alfa-2, razlikovanje velikih in malih črk Primeri: DE, BE, NL Posebni primeri: UK (za Združeno kraljestvo), EL (za Grčijo) Organizacija/podjetje (O) O = ime organizacije lastnika potrdila Glavna domena (OU1) OU = CEF_eDelivery.europa.eu Področje odgovornosti (OU2) OU = CEF_TACHOnet Oddelek (OU3) Obvezna vrednost za vsako „OBMOČJE ODGOVORNOSTI“ Vsebino je treba preveriti s pozitivnim seznamom (beli seznam), ko se zahteva potrdilo. Če informacije ne ustrezajo seznamu, se zahteva prepreči. Format: OU = <TYPE>-<GTC_NUMBER> Pri tem se „<TYPE>“ nadomesti z AP_PROD: dostopovna točka v proizvodnem okolju. In pri čemer je <GTC_NUMBER> GTC_OID-1.3.130.0.2018.xxxxxx, pri čemer je Ares(2018)xxxxxx številka GTC za projekt TACHOnet. Npr.: AP_PROD-GTC_OID-1.3.130.0.2018.xxxxxx Ime (CN) Mora ostati prazno. Priimek (CN) Mora se začeti z „GRP:“, čemur sledi splošno ime. Format: CN = GRP:<AREA OF RESPONSIBILITY>_<TYPE>_<COUNTRY CODE>_<UNIQUE IDENTIFIER> Npr.: GRP:CEF_TACHOnet_AP_PROD_BE_001 E-pošta E = CEF-EDELIVERY-SUPPORT@ec.europa.eu E-naslov 1 (SAN) Mora ostati prazno. E-naslov 2 (SAN) Mora ostati prazno. E-naslov 3 (SAN) Mora ostati prazno. Naslov Mora ostati prazno. Ulica Mora biti uradni naslov organizacije lastnika potrdila (ki se uporablja za pisno pooblastilo). Ulična št. Mora biti uradni naslov organizacije lastnika potrdila (ki se uporablja za pisno pooblastilo). Poštna številka Mora biti uradni naslov organizacije lastnika potrdila (ki se uporablja za pisno pooblastilo). Opozorilo: če poštna številka NI 5-številčna poštna številka, polje pustite prazno in poštno številko vpišite v polje za mesto. Mesto Mora biti uradni naslov organizacije lastnika potrdila (ki se uporablja za pisno pooblastilo). Opozorilo: če poštna številka NI 5-številčna poštna številka, polje pustite prazno in poštno številko vpišite v polje za mesto. Telefonska številka Mora ostati prazno. Identifikacijski podatki Elektronski naslov mora biti enak tistemu, ki se uporablja za registracijo enoličnega identifikatorja. + Mora biti ime osebe, ki zastopa organizacijo (ki se uporablja za pisno pooblastilo). + Št. poslovnega registra (obvezno samo za zasebne organizacije). Vpisano na lokalnem sodišču (velja le za nemške in avstrijske zasebne organizacije). Geslo za preklic Obvezno polje, ki ga je izbral vložnik. Ponovitev gesla za preklic Ponovljeno obvezno polje, ki ga je izbral vložnik. Preglednica 3 – Izpolnite podrobne podatke za vsako zahtevano polje.

(d) izbrana dolžina ključa 2 048 (visoka stopnja); Slika 5

(e) organizacija za prevzem potrdila zabeleži referenčno številko; Slika 6

(f) podporna skupina IPE pregleda nove zahtevke za potrdila in preveri, ali so informacije v zahtevku za potrdilo veljavne, tj. da so v skladu z dogovorom glede poimenovanja potrdil iz Dodatka 5.1;

(g) podporna skupina IPE preveri, ali so informacije, vnesene v zahtevek, v veljavnem formatu;

(h) če preverjanje iz točk 5 ali 6 zgoraj ni uspešno, podporna skupina IPE pošlje elektronsko sporočilo na elektronski naslov, naveden v „identifikacijskih podatkih“ obrazca za zahtevek z lastnikom domene v kopiji, v katerem organizacijo zaprosi, da ponovno začne postopek. Neuspešen zahtevek za potrdilo se razveljavi;

(i) podporna skupina IPE organu za registracijo pošlje elektronsko sporočilo o veljavnosti zahtevka. Elektronsko sporočilo vsebuje: (1) ime organizacije iz polja „Organizacija (O)“ zahtevka za potrdilo; (2) podatke o potrdilu, vključno z imenom dostopovne točke, za katero se potrdilo izda, iz polja „priimek (CN)“ zahtevka za potrdilo; (3) referenčno številko potrdila; (4) naslov organizacije, e-naslov organizacije in ime osebe, ki jo zastopa.

Slika 7 – Postopek zahtevka za potrdilo

2.2.4 Korak 3: Registracija pri organu za registracijo (odobritev potrdila)

2.2.4.1 Zaupanja vredni kurir ali kontaktna oseba se po elektronski pošti prijavita pri organu za registracijo ter sporočita identiteto zaupanja vrednega kurirja, ki bo osebno prišel na sestanek.

2.2.4.2 Organizacija pripravi dokumentacijski paket, ki vključuje:

(a) izpolnjeno in podpisano pisno pooblastilo;

(b) kopijo veljavnega potnega lista zaupanja vrednega kurirja, ki bo osebno prišel na sestanek. To kopijo mora podpisati ena od kontaktnih oseb organizacije, opredeljenih v koraku 1;

(c) papirni obrazec zahtevka za potrdilo, ki ga podpiše ena od kontaktnih oseb organizacije.

2.2.4.3 Organ za registracijo po pregledu identitete na recepciji sprejme zaupanja vrednega kurirja. Organ za registracijo opravi osebno registracijo zahtevka za potrdilo, tako da:

(a) identificira in preveri istovetnost zaupanja vrednega kurirja;

(b) preveri videz zaupanja vrednega kurirja glede na sliko v njegovem potnem listu;

(c) preveri veljavnost potnega lista zaupanja vrednega kurirja;

(d) veljavni potni list, ki ga predloži zaupanja vredni kurir, primerja s kopijo veljavnega potnega lista zaupanja vrednega kurirja, ki jo je podpisala ena od opredeljenih kontaktnih oseb organizacije. Istovetnost podpisa se preveri s primerjavo z originalnim podpisom iz „identifikacijskega obrazca kontaktnih oseb in zaupanja vrednih kurirjev“;

(e) preveri izpolnjeno in podpisano pisno pooblastilo;

(f) preveri papirni obrazec zahtevka za potrdilo in podpis na njem glede na izvirni „identifikacijski obrazec kontaktnih oseb in zaupanja vrednih kurirjev“;

(g) pokliče kontaktno osebo podpisnika, da ponovno preveri identiteto zaupanja vrednega kurirja in vsebino zahtevka za potrdilo.

2.2.4.4 Organ za registracijo skupini za podporo IPE potrdi, da ima nacionalni organ dejansko dovoljenje za upravljanje komponent, za katere zahteva potrdila, in da je bil ustrezni postopek osebne registracije uspešen. Potrditev se pošlje z varno elektronsko pošto s pomočjo potrdila „CommiSign“, pri čemer se priloži skenirana kopija overjenega osebno predloženega dokumentacijskega paketa in podpisanega kontrolnega seznama postopka, ki ga je izvedel organ za registracijo.

2.2.4.5 Če organ za registracijo potrdi veljavnost zahtevka, se postopek nadaljuje, kot je določeno v točkah 2.2.4.6 in 2.2.4.7. V nasprotnem primeru se izdaja potrdila zavrne in o tem obvesti organizacija.

2.2.4.6 Podporna skupina IPE odobri zahtevek za potrdilo in o tem obvesti organ za registracijo.

2.2.4.7 Organ za registracijo obvesti organizacijo, da je potrdilo mogoče prevzeti prek uporabniškega portala.

Slika 8 – Odobritev potrdila

2.2.5 Korak 4: Generiranje potrdila

Potrdilo se generira po odobritvi zahtevka za potrdilo.

2.2.6 Korak 5: Objava in prevzem potrdila

2.2.6.1 Po odobritvi zahtevka za potrdilo organ za registracijo prevzame potrdilo in kopijo preda zaupanja vrednemu kurirju.

2.2.6.2 Organizacija prejme obvestilo organa za registracijo, da je potrdilo mogoče prevzeti.

2.2.6.3 Organizacija se na uporabniškem portalu https://sbca.telesec.de/sbca/ee/login/displayLogin.html?locale=en prijavi z uporabniškim imenom „sbca/CEF_eDelivery.europa.eu“ in geslom „digit.333“.

Slika 9

2.2.6.4 Organizacija klikne na gumb „fetch“ na levi strani in navede referenčno številko, ki je bila zabeležena med postopkom zahtevka za potrdilo.

Slika 10

2.2.6.5 Organizacija namesti potrdila s klikom na gumb „install“.

Slika 11

2.2.6.6 Potrdilo se namesti na dostopovno točko. Ker je postopek odvisen od izvedbe, se organizacija za opis tega postopka obrne na svojega ponudnika dostopovne točke.

2.2.6.7 Naslednji koraki so potrebni za namestitev potrdila na dostopovno točko:

(a) izvoz zasebnega ključa in potrdila;

(b) oblikovanje shrambe ključev (keystore) in shrambe potrdil (truststore);

(c) namestitev shrambe ključev in shrambe potrdil na dostopovno točko.

Slika 12 – Prevzem potrdila

3. Postopek preklica potrdila

3.1 Organizacija predloži zahtevek za preklic prek spletnega uporabniškega portala.

3.2 Podporna skupina IPE izvede preklic potrdila.

Slika 13 – Preklic potrdila

4. Splošni pogoji storitve PKI IPE

4.1 Ozadje

Kot ponudnik rešitev gradnika eDelivery Instrumenta za povezovanje Evrope DIGIT pogodbenicam AETR zagotovi dostop do storitve PKI (7) (v nadaljnjem besedilu: storitev PKI IPE). Storitev PKI IPE uporabljajo nacionalni organi („končni uporabniki“), ki sodelujejo v sistemu TACHOnet.

DIGIT je zakupnik PKI v okviru rešitve TeleSec Shared-Business-CA („SBCA“), ki deluje v središču zaupanja (Trust Center) skupine T-Systems International GmbH („T-Systems“ (8)). DIGIT ima vlogo glavnega registrarja domene „CEF_eDelivery.europa.eu“ SBCA. V tej vlogi DIGIT ustvarja poddomene znotraj domene „CEF_eDelivery.europa.eu“ za vsak projekt, ki uporablja storitev PKI IPE.

V tem dokumentu so navedene podrobnosti o pogojih za uporabo poddomene TACHOnet. DIGIT ima vlogo podregistrarja te poddomene. V tej vlogi izdaja, preklicuje in obnavlja potrdila za ta projekt.

4.2 Izjava o omejitvi odgovornosti

Evropska komisija ne prevzema nikakršne odgovornosti v zvezi z vsebino potrdila, za katero je odgovoren izključno lastnik potrdila. Lastnik potrdila je odgovoren za preverjanje točnosti njegove vsebine.

Evropska komisija ne prevzema nikakršne odgovornosti v zvezi z uporabo potrdila s strani njegovega lastnika, ki je tretji pravni subjekt zunaj Evropske komisije.

Ta izjava o omejitvi odgovornosti nikakor ne omejuje odgovornosti Evropske komisije za kakršno koli delovanje v nasprotju z veljavno nacionalno zakonodajo niti ne izključuje odgovornosti Komisije za dejanja, za katera izključitev odgovornosti ni zakonsko dovoljena.

4.3 Dovoljena/prepovedana uporaba potrdil

4.3.1 Dovoljena uporaba potrdil

Po izdaji potrdila ga lastnik (9) uporablja samo v okviru sistema TACHOnet. V tem okviru se potrdilo lahko uporablja za:

— ugotavljanje pristnosti izvora podatkov;

— šifriranje podatkov;

— odkrivanje kršitev celovitosti podatkov.

4.3.2 Prepovedana uporaba potrdil

Kakršna koli uporaba, ki ni izrecno odobrena v okviru dovoljenih uporab potrdila, je prepovedana.

4.4 Dodatne obveznosti lastnika potrdila

Podrobne pogoje za SBCA je skupina T-Systems opredelila v politiki certificiranja (CP)/izjavi o postopkih certificiranja (CPS) storitve SBCA (10). Ta dokument vsebuje varnostne specifikacije in smernice v zvezi s tehničnimi in organizacijskimi vidiki ter opisuje dejavnosti operaterja središča zaupanja v vlogi certifikacijskega organa (CA) in organa za registracijo (RA) ter pooblaščene tretje strani organa za registracijo.

Potrdilo lahko zahtevajo samo subjekti, pooblaščeni za sodelovanje v sistemu TACHOnet.

Kar zadeva sprejetje potrdil, se uporablja točka 4.4.1 politike certificiranja (CP)/izjave o postopkih certificiranja (CPS) SBCA; poleg tega se šteje, da organizacija, kateri je izdano potrdilo („O=“), ob prvi uporabi sprejema pogoje uporabe in določbe iz tega dokumenta.

V zvezi z objavo potrdila se uporablja točka 2.2 CP/CPS SBCA.

Vsi lastniki potrdil izpolnjujejo naslednje zahteve:

(1) zaščitijo svoj zasebni ključ pred nepooblaščeno uporabo;

(2) ne prenašajo ali razkrivajo svojega zasebnega ključa tretjim stranem, niti kot zastopniki;

(3) ne nadaljujejo z uporabo zasebnega ključa po poteku veljavnosti ali preklicu potrdila, razen za ogled šifriranih podatkov (npr. dešifriranje elektronske pošte).

(4) lastnik potrdila je odgovoren za kopiranje ali posredovanje ključa končnim subjektom;

(5) od vseh končnih subjektov mora zahtevati, da ob ravnanju z zasebnim ključem upoštevajo veljavne pogoje, vključno s CP/CPS SBCA;

(6) lastnik potrdila mora zagotoviti identifikacijske podatke zastopnikov, ki so pooblaščeni za zahtevo preklica potrdil, izdanih organizaciji, ter podrobnosti o dogodkih, ki so povzročili preklic, in geslo za preklic;

(7) za potrdila, povezana s skupinami oseb ter funkcijami in/ali pravnimi osebami, mora lastnik potrdila, potem ko oseba zapusti skupino končnih subjektov (npr. prenehanje delovnega razmerja), preprečiti zlorabo zasebnega ključa, tako da potrdilo prekliče;

(8) lastnik potrdila je odgovoren za preklic potrdila pod pogoji iz točke 4.9.1 CP/CPS SBCA.

V zvezi z obnovitvijo ali ponovno izdajo potrdil se uporablja točka 4.6 ali 4.7 CP/CPS SBCA.

V zvezi s spremembo potrdila se uporablja točka 4.8 CP/CPS SBCA.

V zvezi s preklicem potrdila se uporablja točka 4.9 CP/CPS SBCA.

5. Identifikacijski obrazec kontaktnih oseb in zaupanja vrednih kurirjev (vzorec)

Podpisani, [ime in naslov zastopnika organizacije], potrjujem, da je treba v zvezi z zahtevkom, generiranjem in prevzemom digitalnih potrdil javnega ključa za dostopovne točke TACHOnet, ki podpirajo zaupnost, celovitost in nezatajljivost sporočil TACHOnet, uporabljati naslednje informacije:

Informacije o kontaktni osebi:

— Kontaktna oseba #1 — Kontaktna oseba #2 — Priimek: — Priimek: — Ime: — Ime: — Mobilni telefon: — Mobilni telefon: — Telefon: — Telefon: — Elektronski naslov: — Elektronski naslov: — Vzorec lastnoročnega podpisa: — — Vzorec lastnoročnega podpisa: — — —

Informacije o zaupanja vrednem kurirju:

— Zaupanja vredni kurir #1 — Zaupanja vredni kurir #2 — Priimek: — Priimek: — Ime: — Ime: — Mobilni telefon: — Mobilni telefon: — Elektronski naslov: — Elektronski naslov: — Država izdaje potnega lista: — Država izdaje potnega lista: — Številka potnega lista: — Številka potnega lista: — Datum izteka veljavnosti potnega lista: — Datum izteka veljavnosti potnega lista:

Kraj, datum, žig podjetja ali organizacije:

Podpis pooblaščenega zastopnika:

6. Dokumenti

6.1 Individualno pisno pooblastilo (vzorec)

Vzorec individualnega pisnega pooblastila, ki ga je treba podpisati in predložiti prek zaupanja vrednega kurirja med osebno registracijo pri organu za registracijo, je na voljo tukaj:

6.2 Papirni obrazec zahtevka za potrdilo (vzorec)

Vzorec papirnega obrazca zahtevka za potrdilo, ki ga je treba podpisati in predložiti prek zaupanja vrednega kurirja med osebno registracijo pri organu za registracijo, je na voljo tukaj:

7. Glosar

Ključni izrazi, uporabljeni v tem poddodatku, so opredeljeni v oddelku z opredelitvami pojmov IPE na enotnem spletnem portalu digitalnega IPE:

https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/CEF+Definitions.

Ključne okrajšave, uporabljene v tem opisu komponent, so opredeljene v glosarju IPE na enotnem spletnem portalu digitalnega IPE:

https://ec.europa.eu/cefdigital/wiki/pages/viewpage.action?spaceKey=CEFDIGITAL&title=CEF+Glossary.