Wijziging PvE juli 2007 cumulatief

Transcriptie

1 GBO.Overheid Policy Authority PKIoverheid Postbus AA Den Haag Tel. (070) Fax. (070) Dit document bevat een overzicht van de wijzigingen in het PvE. De wijzigingen zijn vastgesteld door de directeur van GBO.Overheid op 30 mei 2006 en 9 januari Het gaat om wijzigingen ten opzichte van de versie november Verder zijn de volgende toelichtingen in de klankbordgroep PKIoverheid behandeld: Toelichting Uitgifteproces voor abonnees. Toelichting Naamformaten in het certificaat. Deze wijzigingen zijn met onmiddellijke ingang van kracht, oude certificaten hoeven niet te worden ingetrokken als gevolg van deze wijzigingen. In de onderstaande tabel is deze wijziging weergegeven. Nummer Ind. 179 PA 3b en 4 Delen Globale inhoud Ingangsdat. Toelichting over het gebruik van subdomein namen in het server. certificaatprofiel PA 3b Toelichting bij eisen ontvangstbevestiging sleutelmateriaal PA 3a Uitbreiding toegestane formaten SubjectAltName.otherName A: Nieuwe teksten in Deel 3b Basisattributen Veld / Attribuut Criteria Beschrijving Norm referentie Subject.commonName V Nieuwe teksten in Deel 4 Naam die de service of server identificeert. Fully Qualified Domain Name (FQDN) RFC 3739, ETSI TS , PKIo Type UTF8String Toelichting De abonnee dient aan te tonen dat de organisatie deze naam mag voeren. Als de service een DNS naam heeft moet deze in de commonname vermeld worden als fully-qualified domain name (zie de definitie in deel 4). Een certificaat wat bijvoorbeeld voor pkioverheid.nl wordt aangevraagd, is niet geldig voor secure.pkioverheid.nl. Het is niet toegestaan in dit attribuut wildcards te gebruiken. Een Fully Qualified Domain Name (FQDN) is een domeinnaam die alle hoger gelegen domeinnamen bevat, inclusief de naam van een eventuele service domeinnaam, top level domeinnaam en eventuele subdomeinnamen [RFC1594]. Voorbeelden zijn webzegel.pkioverheid.nl, gbo.overheid.nl en Met een FQDN is het mogelijk een server op het Internet uniek te identificeren. PA/PVE/2007/ van 5

2 B: Nieuwe teksten in Deel 3b RFC Activiteiten bij acceptatie van certificaten Nummer 1 ETSI NCP m PKIo-Sv Na uitgifte van een certificaat, dient de certificaathouder of certificaatbeheerder expliciet de overhandiging van het sleutelmateriaal behorend bij het certificaat aan de CSP te bevestigen. Opmerking Indien gebruik wordt gemaakt van softwarematig beschermde sleutels (zie [ ]) waarbij de private sleutel door de certificaatbeheerder wordt gegenereerd en niet door de CSP, is overdracht van het sleutelmateriaal en ontvangstbevestiging niet van toepassing. Wel dienen nog steeds de gegevens te worden vastgelegd die worden vereist in NCP m. C: Nieuwe teksten in Deel 3a bijlage certificaatprofiel: Veld / Attribuut Criteria Beschrijving Norm ref. Type Toelichting SubjectAltName.otherName V MOET worden gebruikt met daarin een uniek nummer dat de certificaathouder identificeert. PKIo In het authenticatiecertificaat MAG daarnaast nog een othername worden opgenomen voor gebruik met (Single Sign On (SSO). IA5String, Microsoft UPN, IBM Principal- Name, Kerberos Principal- Name of Permanent-Identifier Bevat een door PKIoverheid aan de CSP toegewezen OID van de CSP en een binnen de namespace van die OID uniek nummer dat blijvend het subject identificeert, op een van de volgende manieren: 1. MS UPN: [nummer]@[oid] 2. MS UPN: [OID].[nummer] 3. IA5String: [OID]-[nummer] 4. Permanent Identifier: Identifiervalue = [nummer] Assigner = [OID] Variant 1. is tevens geschikt voor SSO. Als er een tweede othername voor SSO in het certificaat staat dient de SSO othername als eerste in de SubjectAltName te staan, vóór de hierboven beschreven PKIoverheid formaat othername, teneinde een goede werking van het SSO mechanisme te waarborgen. Het is aan te bevelen een bestaand registratienummer uit backoffice systemen te gebruiken zoals een personeelsnummer in combinatie met een code voor de organisatie. In combinatie met de CSP OID is deze identifier wereldwijd uniek. Dit nummer dient persistent te zijn. PA/PVE/2007/ van 5

3 Toelichting Uitgifteproces voor abonnees Inleiding Veel overheidsorganisaties hebben het afgelopen jaar een aanvraag ingediend voor een PKIoverheid SSL certificaat, mede vanwege de uitrol van DigiD. Hierbij blijken zij regelmatig op problemen te stuiten in het uitgifteproces, hetgeen blijkt uit feedback vanuit DigiD maar ook uit bilaterale gesprekken met CSP s. Om potentiële abonnees duidelijk te maken wat er bij het aanvraagproces van een SSL certificaat op ze te wachten staat zal PKIoverheid hierover informatie opnemen op haar website. Deze notitie geeft een voorzet voor deze informatie. Aandachtspunten voor op de website Abonneeregistratie: De betouwbaarheid van een PKIoverheid certificaat staat of valt met de mate waarin is zekergesteld dat alle gegevens in het certificaat ook daadwerkelijk kloppen bij uitgifte en blijven kloppen gedurende de looptijd van het certificaat. Om deze zekerheid te verkrijgen sluit de uitgever van het certificaat (de CSP) een overeenkomst met de organisatie die het certificaat aanvraagt (de abonnee) waarin afspraken rondom het certificaat en de bijbehorende dienstverlening worden gemaakt. Op basis van deze overeenkomst levert de aanvragende organisatie bewijs dat de gegevens in het certificaat (zoals de organisatienaam) juist zijn. Dit hele proces wordt de abonneeregistratie genoemt en dient eenmalig te worden uitgevoerd. Wettelijke vertegenwoordiger: De aanvragende organisatie moet een verklaring aanleveren die is getekend door een wettelijk vertegenwoordiger van die organisatie. Aantonen dat iemand wettelijk vertegenwoordiger is kan via recent uittreksel KvK of bij overheidsorganisaties middels overleggen van de mandaatregeling. Voor specifieke overheidsorganisaties zal een lijstje worden gegeven met personen die in ieder geval bevoegd zijn (bijv. burgemeester of gemeentesecretaris bij gemeente). In bepaalde gevallen kan de directeur / bestuurder van de organisatie worden afgeleid van de informatie op de officiële website. Machtiging en aanspreekpunt: De aanvragende organisatie doet er goed aan de wettelijke vertegenwoordiger direct een machtiging te laten tekenen waarin een certificaatbeheerder wordt gemachtigd om voortaan de organisatie te vertegenwoordigen inzake het aanvragen en beheren van certificaten. Bij voorkeur dient deze machtiging overdraagbaar te zijn (zodat deze niet steeds opnieuw hoeft te worden afgegeven). De certificaatbeheerder is het eerste aanspreekpunt voor de CSP binnen een organisatie en zal ook een face-to-face controle moeten ondergaan (met check van WID document) voordat het certificaat kan worden geleverd. Officiële naam: De organisatie zal door de CSP worden gevraagd naar een bewijs voor de juistheid van de organisatienaam die in het certificaat komt. Bewijs kan worden geleverd via een recent KvK uittreksel, oprichtingsakte, origineel briefpapier met naam en adresgegevens. Doorlooptijd: Ervaring leert dat het compleet en juist aanleveren van de gegevens op papier soms wel 1-3 weken in beslag kan nemen. Als alle gegevens voor de aanvraag juist en compleet zijn aangeleverd dient rekening te worden gehouden met een doorlooptijd van ongeveer 1 week tussen de face-to-face controle en levering van het certificaat. Het is van belang om goede afspraken te maken met de CSP over terugkoppeling wanneer de documentatie niet compleet aangeleverd blijkt te zijn, hier kan anders vertraging ontstaan. PA/PVE/2007/ van 5

4 Reden voor strenge controle: De reden dat zulke strenge controles nodig zijn van wettelijke vertegenwoordiger, juiste naam, certificaatbeheerder etc. is omdat het PKIoverheid stelsel een zeer hoog niveau van betrouwbaarheid nastreeft. Iemand die op een PKIoverheid certificaat vertrouwt moet er blind op kunnen varen dat dit aan de juiste organisatie is afgegeven en niet in handen van onbevoegden kan zijn gevallen. Om dit met zekerheid te waarborgen worden strenge internationale standaarden gehanteerd die een goede controle vereisen op het moment van registratie en uitgifte. Een betrouwbaar uitgifteproces is immers de basis van betrouwbaarheid in het hele stelsel. Overweeg een persoonsgebonden certificaat als er veel SSL certificaten nodig zijn: Als een organisatie verwacht in de loop der tijd meerdere aanvragen te moeten gaan doen voor SSL certificaten, dan kan worden overwogen om voor de certificaatbeheerder eenmalig te investeren in een persoonsgebonden PKIoverheid certificaat (op smartcard) incl. paslezer. Hiermee kan de beheerder vervolgens online certificaataanvragen ondertekenen, zonder dat steeds opnieuw face-to-face controle van de beheerder nodig is bij ieder nieuw certificaat. Juristen contact met elkaar laten zoeken: Wanneer er onduidelijkheid ontstaat over wie een bevoegd vertegenwoordiger is van de organisatie of wat voor bewijs moet worden geleverd dat een certificaatbeheerder gemachtigd is, dan is het aan te bevelen de bedrijfsjurist van de organisatie contact te laten opnemen met een jurist bij de CSP. Deze zullen over het algemeen onderling snel tot overeenstemming kunnen komen over de benodigde documentatie. Toelichting Naamformaten in het certificaat Inleiding Het Subject Commonname veld van een (PKIoverheid) certificaat bevat de naam van de certificaathouder. In internationale standaarden wordt heel veel vrijheid gegeven in de invulling van dit veld, waarbij pseudoniemen, roepnamen en namen met een andere spelling dan in officiële documenten allemaal kunnen worden toegestaan. Om wildgroei te voorkomen is binnen de PKIoverheid daarom gekozen voor een striktere invulling. De 2004 versie van het PKIoverheid Programma van Eisen bevatte een bijlage Naamconventie PKIO certificaten, waarin de regels werden toegelicht voor invulling van de Commonname. Deze conventie is in licht gewijzigde vorm opgenomen in de huidige versie van het Programma van Eisen (PvE) als onderdeel van het certificaatprofiel. Begin 2006 bleek uit vragen van verschillende CSP s dat de naamconventie in het PvE erg ruim was en aanleiding gaf tot veel vragen. Er bleek behoefte te zijn aan meer guidance op dit gebied. Deze notitie geeft een aanzet voor dergelijke guidance. Naamformaten Conformiteit GBA In de huidige naamconventie (PvE deel 3a, Bijlage A, blz. 28) wordt vermeld dat de schrijfwijze van de Commonname in lijn moet zijn met de GBA-registratie. De meeste CSP s hebben echter geen toegang tot de GBA-registratie. Het is voor de CSP voldoende om zich te baseren op de spelling in het gepresenteerde WID document en/of een gepresenteerd GBA uittreksel (indien de aanvrager meer informatie wil laten opnemen dan in het WID document vermeld staat). PA/PVE/2007/ van 5

5 Adellijke predicaten en titels Adellijke predicaten (zoals jonkvrouw/jonkheer) en titels (zoals baron) zijn onderdeel van de voornaam resp. de achternaam en worden ook in WID documenten vermeld. CSP s zijn echter niet verplicht deze onderdelen van de naam op te nemen in het certificaat, dit is een optioneel deel van de CommonName. Als titel of predicaat wel worden vermeld moet de schrijfwijze worden aangehouden zoals die in het WID document staat. Volgorde van namen In het huidige PvE is de volgorde van naam (eerst voornamen, dan achternamen of andersom) niet vastgelegd. Navraag bij CSP s geeft aan dat de voorkeur uitgaat naar de volgorde [Voorna(a)m(en)] [tussenvoegsels] [Achterna(a)m(en)]. Ook andere volgordes zullen echter toegestaan blijven indien er CSP s zijn die dergelijke volgordes willen blijven gebruiken (bijvoorbeeld [tussenvoegsels] [Achterna(a)m(en)] [Voorna(a)m(en)]). Partnernaam In de huidige conventie wordt het toegestaan om de naam van de partner optioneel op te nemen in het certificaat. Om onduidelijkheid en problemen met de verwerking te voorkomen wordt aangeraden om niet de term e/v te gebruiken in certificaten (de schuine streep kan voor problemen zorgen bij automatische verwerking) maar een liggend steepje (minteken) tussen naam van de partner en de meisjesnaam/geboortenaam. Schrijfwijze van de partnernaam moet overeenkomen met het getoonde WID document of getoond GBAuittreksel. De CSP kan ervoor kiezen de partnernaam helemaal niet op te nemen, het is een optioneel onderdeel. Volledige voornamen vs. Initialen Omdat ook het rijbewijs is toegestaan als WID document bij certificaataanvragen kunnen CSP s niet meer standaard beschikken over alle volledige voornamen. Om verwarring te voorkomen is aangeraden om in ieder geval de eerste voornaam volledig op te nemen, de tweede en verdere voornamen mogen voluit worden geschreven (indien deze informatie beschikbaar is middels paspoort of uittreksel GBA) of mogen als initialen worden vermeld. De CSP kan ervoor kiezen om altijd de tweede en verdere namen af te korten (ook als een paspoort is getoond als WID document) of kan ervoor kiezen altijd de schrijfwijze uit het getoonde WID document te volgen, beide opties zijn toegestaan. Conclusie De Commonname krijgt hiermee de volgende vorm 1 : [adellijk predicaat] [Volledige eerste voornaam] [initialen verdere voornamen OF volledige verdere voornamen] [tussenvoegsels + achternaam partner - ] [adellijke titel] [tussenvoegsels + geboorteachternaam] waarbij: dikgedrukt = verplicht onderdeel, schrijfwijze conform WID document of gepresenteerd GBA uittreksel cursief normaal = verplicht onderdeel, keuze uit twee opties (volledige voornamen of initialen) = optioneel onderdeel; indien vermeld moet schrijfwijze gelijk zijn aan WID document of gepresenteerd GBA uittreksel Keuze voor wel of niet toestaan van optionele onderdelen ligt in principe bij de CSP. Deze kan indien gewenst de keuze voor een optie overlaten aan de abonnee of de certificaataanvrager. Indien de Commonname te lang wordt voor het aantal toegestane tekens, dienen optionele onderdelen te worden weggelaten (beginnend met het van achter naar voren vervangen van verdere voornamen door initialen) tot de naam past binnen de maximale veldlengte. 1 De getoonde volgorde is niet verplicht, het is ook toegestaan eerst achternamen te vermelden en dan pas voornamen / initialen. PA/PVE/2007/ van 5