HANDLEIDING VERVANGING CPS PKI CERTIFICATEN

Transcriptie

1 AUTEUR Machteld Sprong PAGINA 1 van 10 HANDLEIDING VERVANGING CPS PKI CERTIFICATEN PKI SHA 2 Marktpartijen

2 PAGINA 2 van 10 Bent u goed voorbereid op het vervangen van uw private key? Beste relatie, Om u zo goed mogelijk van informatie te voorzien hebben wij dit vervangingsplan opgesteld. In dit plan vindt u een beschrijving van de vervangen van de huidige PKI-certificaten naar technisch gelijkwaardige (SHA-2) PKI-certificaten. Wij hebben dit vervangingsplan opgesteld voor alle betrokkenen die te maken hebben met het berichtenverkeer over het Centraal Postbus Systeem (CPS). Uitgifte Het beheren en uitgeven van certificaten is door TenneT TSO B.V. uitbesteed aan Digidentity B.V. Digidentity is een zogenaamde TTP (Trusted Third Party). Een TTP is een onpartijdige organisatie die zakelijke betrouwbaarheid levert bij elektronische transacties. Risicospreiding Het komt voor dat verschillende marktpartijen hun software van dezelfde leverancier afnemen. Technische ondersteuning bij de vervanging op hetzelfde moment aan verschillende marktpartijen kan daardoor problemen geven. Om deze problemen zo veel mogelijk te voorkomen hebben wij besloten om de vervanging gefaseerd uit te voeren. Een andere reden voor de fasering is risicospreiding. Gaat er tijdens het vervangen van een certificaat toch iets mis, dan is er geen risico dat de hele markt getroffen wordt. Een groot aantal partijen maakt op dit moment gebruik van het CPS. Dit zijn Regionale Netbeheerders, Meetverantwoordelijken, Programmaverantwoordelijken, Leveranciers en. Een installatie van een nieuw certificaat bij één van de partijen heeft grote consequenties voor andere partijen als hierover geen onderlinge afstemming plaatsvindt. Hoe het vervangen van de certificaten precies verloopt leest u in dit plan.

3 PAGINA 3 van 10 Inhoudsopgave Bent u goed voorbereid op het vervangen van uw private key(s) Fout! Bladwijzer niet gedefinieerd. 1. Vervangen van certificaten wat betekent dit voor u? 4 2. Wat kun u verwachten? TenneT Certificate Store 3. Vervangingsproces verlopen certificaten? Aanvragen van het certificaat 3.2 Downloaden van het certificaat Installeren van het certificaat 3.4 Activeren van de private key Testen van het nieuwe certificaat 3.6 Vervangen van de public key(s) van andere marktpartijen) 3.7 Wanneer is de vervanging van uw private key geslaagd? Wat moet u doen als het vervangen van uw private key niet slaag? 4. Planning & Communicatie Uitstellen migratie Vervangingsdata

4 PAGINA 4 van Vervangen van certificaten, wat betekent dit voor u? Zoals al eerder gecommuniceerd verloopt de geldigheid van uw huidige certificaat binnenkort. Om te kunnen blijven deelnemen aan het CPS berichtenverkeer dient u uw huidige certificaat te vervangen voor een nieuw certificaat (met opnieuw een geldigheid van 3 jaar (vanaf datum uitgifte)). Wij verwachten van u dat u de private keys installeert op uw systeem volgens de planning die u in dit document terugvindt. Ook gaan wij ervan uit dat u de public keys van andere marktpartijen met wie u communiceert, op tijd installeert. Ter voorbereiding adviseren wij u om tijdig ondersteuning te vragen bij uw softwareleverancier. 2. Wat kunt u verwachten? Uw nieuwe certificaat (private key en public key) wordt verstrekt door Digidentity. TenneT triggert het aanvraagproces door (ongeveer 4 weken voor de verloopdatum van uw huidige certificaat) een verzoek voor een nieuw certificaat bij Digidentity voor u in te dienen. Uw certificaatbeheerder ontvangt vervolgens van Digidentity per een unieke link. Door te klikken op deze link wordt de aanvraagprocedure gestart. De zult u ontvangen van [email protected] met als onderwerp Uitnodiging SHA-2 certificaat. 2.1 TenneT Certificate Store De Certificate Store is een self-service portaal en begeleidt u door het gehele aanvraagproces. Processtappen die zijn doorlopen worden gemarkeerd met een groene vink. Processtappen die nog doorlopen moeten worden zijn gemarkeerd met een rood kruis. Bij ongewijzigde gegevens zijn de gegevens nog ingevuld van de vorige aanvraag.

5 PAGINA 5 van Vervanginsproces verlopen certificaten? Hieronder ontvangt u een korte uitleg over het vervangingsproces van uw huidige certificaat. Dit proces bestaat uit 6 stappen: 1. Aanvragen van het certificaat 2. Downloaden van het certificaat 3. Installeren van het certificaat 4. Activeren van de private key 5. Testen van het nieuwe certificaat 6. Vervangen van de public key(s) andere marktpartijen 3.1 Aanvragen van het certificaat De certificaatbeheerder ontvangt van Digidentity een met een unieke link. Door het klikken op de link wordt de certificaatbeheerder doorgeleid naar een verificatie scherm en wordt verzocht een wachtwoord in te voeren en te bevestigen. Deze link werkt eenmalig. Nadat u een wachtwoord heeft gekozen, krijgt u toegang tot de TenneT Certificate Store. Indien u een bestaande certificaatbeheerder bent, heeft u alleen het wachtwoord nodig om in te loggen. De hierboven beschreven stappen rondom het verificatie scherm vervallen in dit geval. Na uitloggen kunt u opnieuw toegang tot uw gegevens krijgen door naar de website van de Certificate Store te gaan via: De vervolgstappen (kunnen) bestaan uit: 1. Invullen van het KvK nummer van uw bedrijf 2. Invoeren gegevens contactpersoon 3. Uploaden kopie legitimatiebewijs van contactpersoon 4. Invoeren gegevens certificaatbeheerder 5. Uploaden kopie legitimatiebewijs certificaatbeheerder 6. Wilt u reeds ingevulde gegevens goed controleren op juistheid? Als de gegevens niet correct zijn, neemt u dan contact met ons op via [email protected] of telefonisch Als alle processtappen zijn gemarkeerd met een groene vink, start de aanvraagprocedure voor het certificaat automatisch en verschijnt uw aanvraag na circa 30 seconden onder Lopende certificaataanvragen. Alle ingevulde gegevens worden aansluitend gevalideerd door Digidentity. Onderdeel van het validatieproces kan een face-to-face controle zijn (bv als gevolg van het wisselen van certificaatbeheerder of indien er een naamswijziging heeft plaatsgevonden). Wij verzoeken u om de geldigheid van de in het verleden geüploade identiteitsbewijzen te checken en indien nodig te vervangen. Bij goedkeuring ontvang u een waarin vermeld staat dat het certificaat gedownload kan worden. U kunt dan beginnen aan de laatste stap.

6 PAGINA 6 van Downloaden van het certificaat Let op! Bij de laatste stap voor het downloaden dient u een P12 wachtwoord in te geven. Dit wachtwoord is de beveiliging van het certificaat. U kunt het certificaat maar één keer downloaden. Wij adviseren u het certificaat op een veilige plaats op te slaan. Mocht u het P12 wachtwoord zijn vergeten, dan is dit niet meer te achterhalen. Het geïnstalleerde certificaat kan dan nog steeds worden gebruikt maar niet meer worden geëxporteerd of opnieuw worden geïnstalleerd. Voor het downloaden van het certificaat op uw computer dient u te beschikken over admin. rechten. Het moet toegestaan zijn om bestanden te kunnen downloaden op uw computer. Internet Explorer 8 en eerdere versies kunnen problemen veroorzaken bij de download. Wij adviseren gebruik te maken van Google Chrome of Firefox bij het downloaden van het.p12 certificaat. 3.3 Installeren van het certificaat - Het certificaat dat u heeft opgehaald is in het P12 formaat en bevat uw Private Key, uw Public Key en de root certificaten. Indien nodig kunnen de root certificaten apart worden gedownload van de TenneT / Digidentity informatiepagina op - Wilt u vóór de installatie de gegevens in het certificaat goed controleren op juistheid? Als de gegevens in het certificaat niet correct zijn, neemt u dan contact met ons op via [email protected] of telefonisch Om er zeker van te zijn dat het installeren niet op onverwachtse problemen stuit willen u vragen uw certificaat uiterlijk de vrijdag voorafgaand aan de daadwerkelijke vervanging (zie bijgevoegde planning) te installeren (nog niet activeren). Let op: Het is toegestaan dat u uw private key installeert, zodra u deze heeft ontvangen. Dit maakt het namelijk mogelijk om alvast testberichten naar ons (TenneT) te sturen. Indien u van deze mogelijkheid gebruikt wilt maken dan kunt u contact met ons opnemen. Voor productieberichten naar ons of andere partijen moet het oude certificaat gebruikt worden. De nieuwe private key mag voor het verzenden van berichten pas geactiveerd worden na een GO op de operationele berichtgeving website.

7 PAGINA 7 van Activeren van de nieuwe private key - U moet uw private key(s) op de datum in de bijgevoegde planning activeren. U ontvangt van TenneT een GO met daarin het daadwerkelijke tijdstip waarop u kunt starten met het vervangen/activeren. 3.5 Testen van het nieuwe certificaat - Het is erg belangrijk dat u na het vervangen van uw private key(s) een test doet met uw nieuwe certificaat. - Voor het testen van uw nieuwe private key(s) kunt u een productie like bericht (ondertekend en versleuteld) sturen naar één van de onderstaande TenneT-adressen te sturen: @cps.tennet.org (TenneT SO) @cps.tennet.org (TenneT NB) @cps.tennet.org (Transparantie) - Neem contact op met TenneT zodra u dit wil doen, omdat wij mogelijk nog de publieke key nog moeten installeren en om direct terugkoppeling te krijgen tijdens de test. Het testbericht mag een echt productiebericht zijn wat nog gebruikt gaat worden door TenneT maar dit mag ook een bericht zijn met bijvoorbeeld data die ver in het verleden liggen. Een dergelijk bericht wordt in dat laatste geval afgekeurd door TenneT maar de test is dan wel geslaagd. Voorbeeld testmail: Van: <EANcodeMarktpartij>@cps.tennet.org Aan: <EANcodeTenneT>@cps.tennet.org Onderwerp:Test ondertekening <naam Marktpartij> Bijlage: <bestandsnaam.edn> Dit is een ondertekend en versleuteld testbericht. <naam organisatie> <naam contactpersoon> 3.6 Vervangen van de publieke key(s) andere marktpartijen Als laatste moet stap moet u de public key(s) van andere marktpartijen waarmee u communiceert vervangen. Deze ontvangt u op de dag zelf via en zijn ook te downloaden vanaf de TenneT-website

8 PAGINA 8 van Wanneer is de vervanging van uw private key geslaagd? - Als u uw eigen certificaat heeft geïnstalleerd. - Als uw testbericht is geslaagd en u een reply message (aperak, contrl) ontvangt en u deze kunt ontsleutelen en lezen. - Als alle gerelateerde marktpartijen de public key(s) van de betreffende marktpartij hebben geïnstalleerd. 3.8 Wat moet u doen als het vervangen van uw private key niet slaagt? Het kan gebeuren dat ondanks alle goede voorbereidingen en testen, u er toch niet in slaagt uw private key te activeren. Als dit gebeurt dan moet u het volgende te doen: - U stelt het projectteam van TenneT direct op de hoogte via [email protected] / U zet uw oude private key terug. - TenneT verzoekt per de overige partijen om uw oude public key te heractiveren. - TenneT zal u opnieuw inplannen.

9 PAGINA 9 van Planning & Communicatie Zoals we eerder hebben uitgelegd hebben wij ervoor gekozen om de 118 certificaten gefaseerd te vervangen. De eerste ronde heeft reeds plaatsgevonden op dinsdag 10 januari, uur. Tijdens deze vervangingsronde is er 1 certificaat vervangen, het TenneT SO Postbus83 certificaat35. De daarop volgende vervangingsrondes volgen er certificaten per keer. Wij verwachten dat de totale vervanging 8 weken in beslag neemt. Tijd Het tijdstip voor vervanging van de certificaten is dinsdag, 17:00 uur, na fiattering van de day-ahead E- programma's. We doen dit omdat er op dat moment geen tijd kritische processen meer lopen. De vrijdag voorafgaand aan elke migratie bevriezen wij de planning om 17:00. De definitieve planning vindt u op maandag om 10:00 uur op onze website terug. Wijzigingen Lukt het onverhoopt toch niet om volgens planning te vervangen (na vrijdag 17:00 uur) laat ons dit dan zo snel mogelijk weten. Wij stellen dan de markt op de hoogte van de wijzigingen in de planning en sturen een nieuwe planning. Wij zorgen ervoor dat u in overleg op een later tijdstip opnieuw ingepland wordt. De communicatie rondom de migratie ziet er als volgt uit: 1) Iedere dinsdag plaatsen wij om 16:45 een bericht* op de operationele berichtgeving website of de geplande certificaat vervanging wel of niet doorgaat. 2) Om 16:55 ontvangen alle partijen dezelfde bevestiging ook nog via . Deze bevat ook de EAN-codes van de certificaten die gemigreerd worden. Indien wij een GO ontvangen staat in dit bericht ook het tijdstip waarop gestart gaat worden met het vervangen van de private key(s). Wij benadrukken nogmaals dat het tijdstip van uur na fiattering van de day-ahead van cruciaal belang is. Als wij de certificaatvervanging onverhoopt uitstellen naar een later tijdstip dan verzoeken wij u de operationele berichtgeving in de gaten te houden. Via deze weg brengen wij u op de hoogte van het nieuwe tijdstip. Tot 18:00 uur kan de migratie een GO krijgen en alsnog doorgaan (tot 18:30). Na dit tijdstip stellen wij het vervangen van de certificaten uit naar de volgende dag. 3) Zodra de geplande marktpartijen succesvol hun private key(s) hebben vervangen en getest sturen wij een naar alle marktpartijen met daarin de volgende notificatie: De installatie /vervanging van de geplande private key(s) is geslaagd! Indien u communiceert met één of meerdere van onderstaande partijen dan moet u de public key(s) van deze partij(en) activeren/installeren. Vanaf dit moment worden alle berichten van deze partijen verstuurd en versleuteld met de nieuwe sleutel.

10 PAGINA 10 van Uitstellen migratie Als de migratie uitgesteld wordt dan stellen wij u hiervan via de operationele berichtgeving website ( op de hoogte. Wij wachten tot uiterlijk uur op fiattering van de day-ahead, anders stellen we de migratie uit naar de volgende dag; woensdag 17:00 uur. Gaat de migratie op woensdag ook niet door, dan wordt de migratie uitgesteld naar donderdag,17:00 uur. Als dit ook niet kan, dan wordt de migratie opnieuw ingepland. 4.2 Vervangingsdata: Groep 1*: week 02 9 januari t/m 13 januari vervangdatum: 10 januari Groep 2*: week januari t/m 20 januari vervangdatum: 17 januari Groep 3*: week januari t/m 27 januari vervangdatum: 24 januari Groep 4*: week januari t/m 3 februari vervangdatum: 31 januari Groep 5*: week 06 6 februari t/m 10 februari vervangdatum: 7 februari Groep 6*: week februari t/m 17 februari vervangdatum: 14 februari Groep 7*: week februari t/m 24 februari vervangdatum: 21 februari Vakantie*: week februari t/m 3 maart vervangdatum: nvt Groep 8*: week 10 6 maart t/m 10 maart vervangdatum: 7 maart *Zie bijgevoegde detailplanning Vragen? Heeft u na het lezen van dit migratieplan nog vragen of behoefte om met iemand van gedachten te wisselen over uw specifieke situatie, neem dan contact op met het migratieteam van TenneT +31 (0) of via [email protected]. Overzicht websites: TenneT-website: Operationele berichtgevingssite: Digidentity Certificate Store: Met vriendelijke groet, Project Team Vervanging PKI Certificaten 2017 TenneT TSO B.V.