> Retouradres Postbus 90801 2509 LV Den Haag Aan Hoofd ICT Securityofficer Directie Bedrijfsvoering Afdeling Financiën Postbus 90801 2509 LV Den Haag Anna van Hannoverstraat 4 T 070 333 44 44 F 070 333 40 33 www.szw.nl Contactpersoon Helpdesk DVS T 070 333 5200 pbfunctbeheer@minszw.nl Datum 20 oktober 2011 Betreft Vrijgeven DVS na DigiNotar incident Geacht heer, mevrouw Onze referentie BV/F/FB/2011/19222 Bijlage Bijlage I, PKIo G2 certificaten Bijlage II, Aansluiteisen De Colleges van B&W dienen jaarlijks het beeld van de uitvoering in het kader van de WWB, de WIJ, de IOAW, de IOAZ, het Bbz 2004, de WPB (Wet participatiebudget) en de WWIK bij de minister van SZW in te dienen. Het beeld van de uitvoering moet worden ingediend onder gebruikmaking van een formulier dat door de minister van SZW elektronisch beschikbaar is gesteld via het DVS systeem (digitaal verantwoordingssysteem). SZW hecht grote waarde aan het goed beveiligen van het DVS systeem en de daarbij behorende formulieren. Het DVS systeem maakte gebruik van Diginotar certificaten. Deze certificaten zijn begin september 2011 onbruikbaar geworden omdat Diginotar is gehackt. SZW heeft besloten de Diginotar certificaten, maar ook de door andere leveranciers verstrekte certificaten, te vervangen door PKIoverheid G2-certificaten. De reden om gebruik te gaan maken van het PKIoverheid G2-certificaat is: 1. PKIoverheid G2-certificaten zijn op dit moment dé standaard voor het beveiligen van elektronische overheidsdiensten. 2. PKIoverheid G2-certificaten met SHA256 algoritme bieden een veel betere beveiliging dan G1-certifcaten met SHA1 algoritme. 3. Per 1 januari 2011 mogen de PKIoverheid CSP s (Certificatiedienstverleners) alleen nog PKIoverheid certificaten van het type G2 leveren. Eerder genoemde certificaten van DigiNotar of andere leveranciers zijn voorafgaand aan de uitrol van het DVS door het ministerie aan u verstrekt. Deze zijn echter niet meer te gebruiken en u dient die te laten verwijderen op uw systemen. Het ministerie zal u de komende tijd voorzien van de nieuw benodigde certificaten, namelijk het PKIo G2-certificaat. Ik verzoek u deze nieuwe certificaten bij ontvangst zo spoedig mogelijk te laten installeren ten behoeve van beveiligde toegang tot het systeem en de digitale ondertekening van de formulieren. SZW verzorgt en betaalt de aanschaf van de benodigde certificaten (maximaal twee per gemeenten). Pagina 1 van 6
De leverancier van de certificaten, zal in opdracht van SZW zorgdragen voor het aanvraagproces en logistiek. U dient zelf te zorgen voor het installeren van het certificaat doch uiterlijk voor 1 december aanstaande, indien wenselijk kunt u gebruik maken van een nog op korte termijn in te richten support center voor ondersteuning bij installatie. Ik verzoek u vriendelijk om voor 27 oktober 2011 de gegevens van uw contactpersoon in deze, aan SZW door te geven. Graag ontvang ik van u de volgende contactpersoongegevens: naam Gemeente, naam contactpersoon (beheerder + gebruiker) post- en bezorgadres, telefoonnummer contactpersoon en e-mailadres. Gevraagde gegevens kunt u per e-mail aanbieden op volgend e-mailadres: pbfunctbeheer@minszw.nl Mochten er problemen zijn met de beschikbaarheid van de certificaten dan adviseer ik u dringend om u tijdig te wenden tot de leverancier van de certificaten. Momenteel loopt de offerte procedure voor de certificaten, waarvan ik de uitkomst spoedig aan u zal berichten. Voor meer informatie over DVS kunt u het Gemeenteloket raadplegen (www.gemeenteloket.minszw.nl) of contact opnemen met de helpdesk DVS, te bereiken middels e-mailadres: pbfunctbeheer@minszw.nl en telefoonnummer 070-333 5200. Hoogachtend, de Minister van Sociale Zaken en Werkgelegenheid, namens deze, drs. J.H. Maas directeur Pagina 2 van 6
Bijlage I, PKIo certificaten PKIoverheid De PKI voor de overheid (kortweg PKIoverheid) is ontworpen voor betrouwbare elektronische communicatie binnen en met de Nederlandse overheid. PKIoverheid is een zeer hoogwaardige en veilige infrastructuur, gebaseerd op digitale certificaten. PKIoverheid G2-certificaten zijn op dit moment dé standaard voor het beveiligen van elektronische overheidsdiensten. Per 1 januari 2011 mogen de PKIoverheid CSP s (Certificatiedienstverleners) alleen nog PKIoverheid certificaten van het type G2 leveren. Dat wil zeggen met SHA256 hashing algoritme en 2048 bits sleutellengte. Het PKIoverheid G2 stamcertificaat wordt gedistribueerd via het Webtrust programma en is opgenomen in alle grote certificate stores. Doel van het G2-certificaat met SHA256 algoritme is het verbeteren van de beveiliging van elektronisch handelingen en meer toekomstbestendigheid. De DVS webapplicatie is beveiligd met een G2-certificaat, zodat de informatie die u bijvoorbeeld stuurt via een formulier niet onderschept en gelezen kan worden door kwaadwillenden. In februari 2005 hebben experts op cryptografisch gebied theoretische zwakheden gevonden in SHA1 (G1-certificaten) die twijfel doen rijzen of dit algoritme nog langer bruikbaar is. Op dit moment is SHA1 nog veilig maar de toekomstbestendigheid staat onder druk. PKIoverheid heeft daarom besloten het advies van de Amerikaanse overheidsorganisatie National Institute for Standards and Technology (NIST) over te nemen en vanaf 1-1-2011 certificaten uit te gaan geven op basis van het verbeterde en meer toekomstbestendige SHA256 algoritme. Alle bekende browsers ondersteunen inmiddels ook het SHA256 hash algoritme en de 2048 sleutellengte van G2-certificaten. Een overzicht wordt bijgehouden door Logius op http://www.logius.nl/producten/toegang/pkioverheid/documentatie/certificatenpkioverheid/staat-der-nederlanden-g2/toepasbaarheid/ Toepassingen PKIoverheid G2-certificaten: Elektronische contractafhandeling. Elektronische facturen. Volledige elektronische processen. Beveiligde e-mail. Sterke authenticatie. Elektronische verantwoording. Toegang op afstand tot dossiers. Bescherming intellectuele eigendommen. Eliminatie kosten porto/antwoordnummer. Pagina 3 van 6
Voordelen PKIoverheid G2-certificaten: PKIoverheid is de standaard voor het beveiligen van elektronische overheiddiensten. Veilig imago als gevolg van de hoge beveiligingsnorm van PKIoverheid. PKIoverheid-certificaten zijn drie jaar geldig, hierdoor hoeft een dergelijk certificaat maar een keer per drie jaar te worden vernieuwd. Maatregelen voor G2-certificaten Als u gebruik wilt maken van een website of systeem dat een G2 certificaat van PKIoverheid heeft, dan moet uw software en/of systeem aan de minimale eisen voldoen (Bijlage II, Aansluiteisen DVS). Dit geldt ook voor situaties waarbij uw systeem in verbinding staat met een ander systeem (system-to-system communicatie) dat gebruik maakt van een G2 certificaat. DVS maakt gebruik van een PKIoverheid G2 server certificaat. Browsers van gemeentes die de DVS website benaderen moeten aan deze minimale eisen voldoen. Anders zal een browser fouten kunnen geven omdat het certificaat niet ondersteund en/of vertrouwd wordt. Pagina 4 van 6
Bijlage II, Aansluiteisen G2 certificaat voor het gebruik van DVS Configuratie Systeemeisen: Pc met minimaal 400 Mhz-processor 128 MB intern geheugen 15 MB vrije beschikbare ruimte op uw harde schijf Internetverbinding Vrije compoort indien een seriële smartcardreader gewenst is Vrije USB-poort indien een USB-smartcardreader of USB-Token gewenst is Eisen voor Platform (operationeel systeem) en Browser: Aanbieder Microsoft Windows Internet Explorer Vanaf 24-2-2009. Windows XP SP3 i.c.m. Internet Explorer 6 of Google Chrome. Windows Server 2003 SP2 (met hotfix KB 938397 of KB 968730), Windows Server 2008 Mozilla Vanaf 22-03-2010 versie 1.0 Firefox (Firefox 3.5.9, 3.6.2 en 4.0). Apple Vanaf 15-09-2008 Mac OS 10.4 IOs (Mac OS 10.5.5). Safari OpenSSL Handmatig toevoegen versie 0.9.8 Linux kernel 2.6.15 Handmatig toevoegen Debian Stable (OpenSSL 0.9.8c) Debian Stable (GnuPG 1.4.6) Debian Testing (Etch) (OpenSSL 0.9.8c) SuSE 10.1 (OpenSSL 0.9.8a) SuSE 10.1 (GnuPG 1.4.2) FC4 (GnuPG) FC5 (OpenSSL 0.9.8a) Ubuntu 6.06 (OpenSSL 0.9.8a) Ubuntu 6.06 (GnuPG 1.4.2.2) Mandriva 2007 (OpenSSL 0.9.8b) Knoppix 5.0.1 (OpenSSL 0.9.8a) Eisen Documentreader Aanbieder Adobe Acrobat Acrobat Reader Vanaf 17-02-2009. versie 9.0 Pagina 5 van 6
Eisen overige software Aanbieder SafeNet SafeSign Driver voor hardware tokens Laatste versie Laatste versie Laatste versie Meer informatie over de aansluiteisen vindt u op de site van Logius: http://www.logius.nl/producten/toegang/pkioverheid/documentatie/certificatenpkioverheid/staat-der-nederlanden-g2/toepasbaarheid/ Pagina 6 van 6