Τίτλος. Πελάτης HARICA. Προς. Ημερομηνία. Αναφορά ελέγχου διαδικασιών λειτουργίας της HARICA. Σελίδα 1 από 11

Transcript

1 Τίτλος ΑΝΑΦΟΡΑΑ ΕΛΕΓΧΟΥ ΠΗΓΑΙΟΥ ΚΩΔΙΚΑ ΒΑΣΙΣΜΕΝΗ ΣΤΙΣ ΑΠΑΙΤΗΣΕΙΣ ΤΗΣ ΠΟΛΙΤΙΚΗΣ ETSI TS Πελάτης HARICA ( ) Προς ΚΑΘΕ ΕΝΔΙΑΦΕΡΟΜΕΝΟΟ Ημερομηνία 18 Μαρτίου 2011 Σελίδα 1 από 11

2 Προς κάθε ενδιαφερόμενο, Αυτό είναι ένα επίσημο έγγραφο που δηλώνει τα παρακάτω μετά από αίτηση του HARICA (Hellenic Academic Research Institutions Certification Authority). Η Υποδομή Δημοσίου Κλειδιού "Hellenic Academic & Research Institutionss Certification Authority - (HARICA)" είναι μία έμπιστη τρίτη οντότητα ( rs.html) που πιστοποιεί την ταυτότητα των χρηστών και των δικτυακών εξυπηρετητών των Ακαδημαϊκών Ιδρυμάτων και Ερευνητικών ν Φορέων της Ελλάδας. Η Υποδομή Δημοσίου Κλειδιού της HARICA είναι μια μ σύμπραξη ισότιμων μελών που απαρτίζεται από Ακαδημαϊκά Ιδρύματα, Ερευνητικούς Φορείς και το Εθνικό Δίκτυο Έρευνας και Τεχνολογίας - ΕΔΕΤ, και ξεκίνησε στα πλαίσια του έργου VNOC2 (έργο χρηματοδοτούμενο από το ΕΔΕΤ μέσω του Επιχειρησιακού Προγράμματος "Κοινωνία της Πληροφορίας" ). Οι υπηρεσίες της είναι διαθέσιμες στα μέλη των Ελληνικών Ακαδημαϊκών και Ερευνητικών Φορέων. Η HARICA σήμερα χρηματοδοτείται από το GUnet AΕ, ( μια μη-κερδοσκοπική αστική εταιρεία που ιδρύθηκε το GUnet έχει έδρα την Αθήνα και τα μέλη της είναι όλοι οι Ανώτατης Εκπαίδευσης και Ακαδημαϊκά Ιδρύματα (20 ΑΕΙ και 16 ΤΕΙ). Οι σκοποί της Εταιρείας προσδιορίζονται από τις τ ευρύτερες δικτυακές ανάγκες και επιδιώξεις της ελληνικής ακαδημαϊκής κοινότητας, στο πλαίσιο της Κοινωνίας της Πληροφορίας με στόχο την εξυπηρέτηση της έρευνας και της εκπαίδευσης. Λόγω της φύσης του GUnet και κ όσον αφορά την ευημερία της HARICA μπορούμε να υποθέσουμε ότι η HARICA θα είναι σε θέση να διατηρήσει τη λειτουργικότητά του και την κατάλληλη χρηματοδότηση και στα επόμενα χρόνια. 1. H Deventum έχει επιλεγεί από την HARICA ως ελεγκτήςς για τις υπηρεσίες ηλεκτρονικών πιστοποιητικών που παρέχονται από την HARICA. 2. Η HARICA έχει ελεγχθεί από την εταιρεία μας σύμφωνα προδιαγραφές που βασίζονται στο ETSI TS με τα πρότυπα και τις τεχνικές Η HARICAA έχει ανακοινώσει το κλειδί, τον κύκλο ζωής των πιστοποιητικών, τους κανόνες λειτουργίας και τις πρακτικές προστασίας προσωπικών δεδομένων στην Δήλωση Διαδικασιών Πιστοποίησης, /documents/cps.php και αναγράφονται. παρέχει τις υπηρεσίες της σύμφωνα με όσα Πραγματοποιεί συστηματικούς ελέγχους για να διασφαλιστεί ότι: i) Οι πληροφορίες των συνδρομητών είναι σωστά πιστοποιημένες. ii) Η ακεραιότητα των κλειδιών και πιστοποιητικών πουυ διαχειρίζεται είναι προστατευμένες σε όλη την διάρκεια του κύκλου ζωής τους. iii) Συνδρομητικές και άλλες πληροφορίε ς είναι διαθέσιμες μόνο σε εξουσιοδοτημένο ειδικευμένο προσωπικό. iv) Η λειτουργία και διαθεσιμότητα των κλειδιών και κύκλο ζωής τους. πιστοποιητικών διατηρούνται για ολόκληρο τον Σελίδα 2 από 11

3 v) Γίνεται χρήση αξιόπιστων συστημάτων και προϊόντων τα οποία προστατεύονται έναντι τροποποίησης και διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν. vi) Τα συστήματα της αρχής πιστοποίησης συντηρούνται σωστά και οι λειτουργίες είναι κατάλληλα προσαρμοσμένες προκειμένου να διατηρηθεί η ακεραιότητα των συστημάτων της Αρχής Πιστοποίησης. Με βάση την πολιτική που αναγράφεται στο ETSI TS , Πολιτική για Ηλεκτρονικές Υπογραφές και Υποδομές για Αρχές Πιστοποίησης. Από τον έλεγχο του πηγαίου κώδικα της ιστοσελίδας, των προγραμμάτων και των διαδικαστικών εγγράφων που είχαμε στην διάθεσή μας, μπορούμε να καταλήξουμε σταα ακόλουθα συμπεράσματα. Το προσωπικό της τ HARICA κρίνεται κατάλληλο και είναι σε θέση να ασκήσει σωστά τις εργασίες για να διασφαλιστεί η ασφάλεια της ιστοσελίδας ( w.harica.gr), καθώς επίσης βρέθηκε να είναι προετοιμασμένο για όλα τα θέματα που περιγράφονται από τους κανονισμούς ETSI TS Τα ευρήματά μας, με βάση Ελέγχου. τις απαιτήσεις του ETSI TS , περιγράφονται στην ακόλουθη Αναφορά Στις επίδειξη της απαραίτητης αξιοπιστίας για την παροχήή υπηρεσιών πιστοποίησης α) Πολιτική και πρακτικές Η πολιτική της Αρχής Πιστοποίησης περιγράφεται πλήρως στο έγγραφο «Δήλωση Διαδικασιών Πιστοποίησης», το οποίο βρίσκεται δημοσιευμένο στην ιστοσελίδα της [1]. Η τεκμηρίωση καλύπτει τις πρακτικές και τις τ διαδικασίες που χρησιμοποιο ούνται για την αντιμετώπιση όλων των απαιτήσεων, προσδιορίζει τις υποχρεώσεις όλων των εξωτερικών οργανισμών που υποστηρίζουν τις υπηρεσίες της Αρχής Πιστοποίησης, περιλαμβανομένων των πολιτικών και πρακτικών. Η τεκμηρίωση [1], οι όροι και οι προϋποθέσεις όπως και το «Μνημόνιο Συνεργασίας και Συναντίληψης» [1][ βρίσκονται δημοσιευμένα στο διαδίκτυο και είναι διαθέσιμα στους συνδρομητές και στους συνεργαζόμενους φορείς, στην ιστοσελίδα της Αρχής Πιστοποίησης, Η διεύθυνση και η αρμόδιαα αρχή για την έγκριση της δήλωσης πρακτικής πιστοποίησης παρουσιάζονται αναλυτικά στο «Μνημόνιο Συνεργασίας και Συναντίληψης» [1].. β) Επιχειρησιακή συνέχεια και διαχείριση συμβάντωνν Η HARICA παρουσίασε τεκμηρίωση σχετικά με το σχέδιο επιχειρησιακής συνέχειας και αντιμετώπισης καταστροφών, καθώς και τις διαδικασίες αποκατάστασης σε περίπτωση διαρροή του ιδιωτικού κλειδιού της τ Αρχής Πιστοποίησης. Το έγγραφο [3] μπορεί να αποκτηθεί μετά από αίτημα προς την ΑΠ. γ) Τερματισμός της Αρχής Πιστοποίησης Διαδικασίες σχετικά με τον τερματισμό της Αρχής Πιστοποίησης μπορούν να βρεθούν στο «Μνημόνιο Συνεργασίας και Συναντίληψ ψης» [1] για τους συνεργάτες και στο άρθρο 5 παράγραφος 8 της τεκμηρίωση CPP / CPS για την ΑΠ [ 1]. δ) Δομή οργανισμού Η νομική υπόσταση και η διοικητική οργάνωση της HARICA περιγράφεται στο «Μνημόνιο Συνεργασίας και κ Συναντίληψης» [ 1]. Λεπτομερείς πληροφορίες για την εμπειρίαα και τις γνώσεις του προσωπικού, μπορούν να γνωστοποιηθούν μετά από σχετικό αίτημα προς την ΑΠ και δεδομένης σχετικής ανάγκης. Διασφάλιση σταθερής και ασφαλούς λειτουργίας καθώς και άμεσης υπηρεσίας ανάκλησης Σελίδα 3 από 11

4 α) Διάθεση πιστοποιητικών Η HARICA, όπως περιγράφεται στην τεκμηρίωσηη CPS [1], άρθρο 4, παράγραφος 2, «Επεξεργασία των Αιτήσεων Πιστοποιητικών», διασφαλίζει ότι τα πιστοποιητικ κά διατίθενται μόνο στους εξουσιοδοτημένους συνδρομητές και συνεργαζόμενους φορείς. Περισσότερα γιαα τον κύκλο ζωής των πιστοποιητικών είναι διαθέσιμα στο κεφάλαιο 4 της τεκμηρίωσης CPS [1]. β) Ανάκληση και αναστολή πιστοποιητικών Ο ελεγκτής μπορεί να επιβεβαιώσει ότι με βάση τον έλεγχο του πηγαίου κώδικα και τον διαδικαστικό έλεγχο της Αρχής Πιστοποίησης, η τεκμηρίωση CPS περιγράφει ότι τα πιστοποιητικά ανακαλούνται με έγκαιρο τρόπο, βάσει εγκεκριμένων και επικυρωμένων αιτήσεων πιστοποιητικ κού όπως αυτό περιγράφεται στην [1] άρθρο 4 παράγραφος 9 "Ανάκληση και αναστολή πιστοποιητικών". γ) Διαχείριση πρόσβασης στα υπολογιστικά συστήματα Σύμφωνα με τις διαδικασίες ελέγχου είμαστε σε θέση να επαληθεύσουμε τα συστήματα συναγερμού, όπως αυτά περιγράφονται στην παράγραφο Τεχνικός και Διαδικαστικός Έλεγχος". την αδιάλειπτη παρακολούθηση και κ 5 του εγγράφου [1], "Διοικητικός, Διασφάλιση ότι η ημερομηνία και ώρα της έκδοσης ή ανάκλησης ενός πιστοποιητικού μπορεί να ν προσδιοριστεί επακριβώς α) Ακριβής χρόνος Όπως ορίζεται στην τεκμηρίωση CPS της Αρχής Πιστοποίησης [1], άρθρο 6 παράγραφος 8, είμαστε σε θέση να επαληθεύσουμε ότι η ΑΠ χρησιμοποιεί το πρωτόκολλο NTP για τον συγχρονισμό της ημερομηνίας και ώρας καθώς και κάθε καταγραφή περιέχει σωστή χρονική στιγμή. Πρόληψη με κατάλληλα μέσα και σύμφωνα με το εθνικόό δίκαιο, της ταυτότητας και ενδεχομένως, τυχόν ειδικών χαρακτηρισ στικών του ατόμου στο οποίο εκδίδεται ένα αναγνωρισμένο πιστοποιητικόό Αν και η HARICAA δεν ορίζεται ως αρχή έκδοσης αναγνωρισμ ένων πιστοποιητικών και τα πιστοποιητικά που εκδίδει δεν χαρακτηρίζονται ως αναγνωρισμένα, ακολουθούνται παρ όλ αυτά οι ίδιες διαδικασίες για να πιστοποιηθεί η ταυτότητα του προσώπου στο οποίοο εκδίδεται ένα πιστοποιητικό όπως αυτές ορίζονται για τις τ Αρχές Πιστοποίησης αναγνωρισμένων πιστοποιητικών. α) Αναγνώριση και Απόδειξη ταυτότητας Με βάση το έγγραφο CPS [1], άρθρο 3 παράγραφος 2 Αρχική Επαλήθευση ταυτότητας και της Απόδειξης ταυτότητας φυσικού προσώπου όπως αναφέρεται στο άρθρο 3 παράγραφο 2.3 του ίδιου εγγράφου: Όλα τα πιστοποιητικά φυσικών προσώπων που εκδίδονται από την ΥΔΚ HARICA πρέπει να ελέγχονται για γ ταυτοπροσωπία. Προβλέπονται δύο κλάσεις πιστοποιητικών χρηστών. Η κλάση Α περιλαμβάνει πιστοποιητικά των οποίων το ιδιωτικό κλειδί δημιουργείται και παραμένει εντός κάποιας ασφαλούς κρυπτοσυσκευής (etoken ή smartcard) και εκδίδονται με την παρουσία εξουσιοδοτημένου προσωπικού. Η κλάση Β, περιλαμβάνει πιστοποιητικά των οποίων το ιδιωτικό κλειδί δημιουργείται με χρήση κάποιου λογισμικού (software certificate store) ). Διευκρινίζεται ότι και στις δύο κλάσεις πιστοποιητικών,, υπάρχει ασφαλής ταυτοποίηση του δικαιούχου με φυσική παρουσία και εμφάνιση αποδεκτού επίσημου εγγράφου που αποδεικνύει την ταυτότητα του αιτούντος. Η Αρχή Καταχώρισης στηρίζεται στον έλεγχο της ταυτότητας από το συνεργαζόμενο ίδρυμα στον οποίο ανήκει ο συνδρομητής και χρησιμοποιεί τρόπους πιστοποίησης που βρίσκονται διαθέσιμοι στους συνεργαζόμενους φορείς. Οι συνεργαζόμενοι φορείς είναι υποχρεωμένες να πιστοποιήσουν την ταυτότητα του συνδρομητή με χρήση κάποιου αποδεκτού επίσημου εγγράφου που φέρει τηνν φωτογραφία του δικαιούχου (π.χ. αστυνομική ταυτότητα, διαβατήριο, δίπλωμα οδήγησης, φοιτητική ταυτότητα) και το οποίο θεωρείται αξιόπιστο από το ίδρυμα. Εναλλακτικά, η ΑΚ μπορεί να εκτελέσει την παραπάνω διαδικασία ταυτοποίησης του αιτούντος. Σελίδα 4 από 11

5 Εφόσον το Ίδρυμα του χρήστη, σύμφωνα με την πολιτική της, έχει ήδη εκτελέσει κάποια διαδικασία φυσικής ταυτοποίησης του χρήστη στο παρελθόν (π.χ. για την εκχώρηση κωδικού πρόσβασης ή λογαριασμού ) τότε δεν είναι απαραίτητη η επανάληψη της διαδικασίας και θεωρείται αρκετή μία τυπική επιβεβαίωση της τ αίτησης μέσω της πιστοποιημένης διεύθυνσης ηλεκτρονικής αλληλογραφίας. Η Κεντρική Αρχή Καταχώρησης HARICAA χρησιμοποιεί δύο μεθόδους ελέγχου της κυριότητας μιας διεύθυνσης 1) Η πρώτη μέθοδος χρησιμοποιεί απλή επιβεβαίωση μέσω . Ο χρήστης εισάγει τη διεύθυνση στην ιστοσελίδα της ΑΚ και ένα μήνυμα επιβεβαίωσης αποστέλλεταιι στην διεύθυνση αυτή. Στη συνέχεια, εφόσον υπάρχει επιβεβαίωση από τον χρήστη, αποστέλλεται μήνυμα προς τον διαχειριστή του ιδρύματος στο οποίο ανήκει ο χρήστης το οποίο περιλαμβάνει τη διεύθυνση του χρήστη και το πλήρες ονοματεπώνυμό του. Στη συνέχεια, ο διαχειριστής ελέγχει αν τα στοιχεία είναι έγκυρα και δίνει τη συγκατάθεσή του στην ΑΚ για την έκδοση του πιστοποιητικού. Η έγκριση αυτή απαιτεί την αναγνώριση του χρήστη με έλεγχο ταυτοπροσωπίας. Σε περίπτωση προηγούμενου ελέγχου και κ εξακρίβωσης στοιχείων (π.χ. κατά την δημιουργία λογαριασμού ), η διαδικασία αυτή δεν δ χρειάζεται να επαναληφθεί. 2) Η δεύτερη μέθοδος χρησιμοποιεί κάποιον κεντρικό εξυπηρετητή LDAP. Ο χρήστης εισάγει την διεύθυνση και τον κωδικό στην αρχική αίτηση πιστοποιητικού. Η πληροφορία αυτή επαληθεύεται μέσω της υπηρεσίας καταλόγου LDAP του ιδρύματος. Σε περίπτωση επιτυχίας, η ΑΚ αντλεί συμπληρωματικά στοιχεία από τον κατάλογο (το πλήρες ονοματεπώνυμο, τμήμα κ.α.) τα οποία στη σ συνέχεια συνθέτουν το πιστοποιητικό. Προκειμένου να βρίσκεται ένας χρήστης στην Ιδρυματική Υπηρεσία Καταλόγου,, το ίδρυμα θα πρέπει να έχει επαληθεύσει τα στοιχεία του χρήστη με έλεγχο ταυτοπροσωπίας μέσω επίσημου εγγράφου που φέρει την φωτογραφία του κατόχου. Τα πιστοποιητικά της κλάσης Α συνιστάται να περιέχουν ένα επιπλέον πεδίο οργανωτικής μονάδας (OU) στο σ πεδίο με τιμή Class Α Private Key created and stored in hardware CSP. Τα πιστοποιητικά της κλάσης B συνιστάται να περιέχουν ένα επιπλέον πεδίο οργανωτικής μονάδας (OU) στο πεδίο με τιμή Class B Private Key created and stored in software CSP [4]. β) Ανανέωση, επανέκδοση και μεταβολή πιστοποιητικών Για να εξασφαλιστεί ότι οι αιτήσεις ανανέωσης, επανέκδοσης και μεταβολής προέρχονται από φυσικό πρόσωπο που έχει ήδη εγγραφεί προηγουμένως και είναι εξουσιοδοτημένο, έχουν οριστεί οι σχετικές διαδικασίες στο σ CPS της ΑΠ [1] στο άρθρο 4 παράγραφο 6 Ανανέωση Πιστοποιητικών, άρθρο 4 παράγραφος 7 Επανέκδοση Κλειδιών και στο άρθρο 4 παράγραφος 8 Μεταβολή Πιστοποιητικών, οι οποίες ακολουθούνται επακριβώς. Απασχόληση προσωπικού που διαθέτει την εμπειρογνωμοσύνη, την εμπειρία και τα προσόντα που απαιτούνται για τις παρεχόμενες υπηρεσίες, και συγκεκριμένα διαχειριστικές ικανότητες, εμπειρογνωμοσύνη στην τεχνολογία ηλεκτρονικών υπογραφών και εξοικείωση με τις κατάλληλες διαδικασίες ασφαλείας. Επίσης πρέπει να εφαρμόζουν διοικητικές και διαχειριστικές διαδικασίες οι οποίες είναι κατάλληλες και αντιστοιχούν σε αναγνωρισμένα πρότυπα Βρέθηκαν στα ακόλουθα: α) Διαχείριση ασφάλειας και β) Ασφάλεια προσωπικού Εφαρμόζονται διοικητικές και διαχειριστικές διαδικασίες οι οποίες αντιστοιχούν σε αναγνωρισμένα πρότυπα. Συγκεκριμένα, βρήκαμε ότι η HARICA περιγράφει στο έγγραφο CPS [1], άρθρο 5 παράγραφος 3.1, «Το προσωπικό που κατέχει διαχειριστικούς ρόλους στις Αρχές Πιστοποίησης και στις Αρχές Καταχώρισης πρέπει να διαθέτει εμπειρία σε θέματα ψηφιακών πιστοποιητικών και σεε θέματα υποδομής δημοσίου κλειδιού. Επίσης, πρέπει να διαθέτει προϋπηρεσία σε διαχείριση ευαίσθητων προσωπικών δεδομένωνν και γενικά απόρρητων πληροφοριών» γ) Διαχείριση λειτουργίας Σελίδα 5 από 11

6 Βρέθηκε ότι η ΑΠ λειτουργεί σύμφωνα με τους κανονισμούς στα περιγράφονται στο ETSI TS , ακόλουθα ζητήματα, όπως αυτοί Διαδικασίες λειτουργίας και ευθύνες Ασφαλής σχεδιασμός συστημάτων Προστασία από κακόβουλο λογισμικό Συνεχής έλεγχος καλής λειτουργίας Σωστή διαχείριση δικτύου Ενεργητική παρακολούθηση και περιοδικοί έλεγχοι και ανάλυση συμβάντων Σωστός χειρισμός των μέσων και της ασφάλειας των δεδομένων Και τεκμηριώνονται στο CP/ /CPS [1], άρθρο 5 παράγραφος 1 υπό τον τίτλο «Φυσική ασφάλειαα και έλεγχος πρόσβασης». Χρήση αξιόπιστων συστημάτων και προϊόντωνν τα οποίαα προστατεύονται έναντι τροποποίησης και κ διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν Όπως προαναφέρθηκε, η πρόσβαση στα συστήματα της ΑΠ Συγκεκριμένα, σύμφωνα με την πολιτική ETSI TS , είναι περιορισμένη σε εξουσιοδοτημένα άτομα. α) Πρόσβαση στη διαχείριση του συστήματος Η πλήρης διάταξης του δικτύου και τα επίπεδα της ασφάλειας με χρήση firewall, διαχείριση διεργασιών, εσωτερική και εξωτερική παρακολούθηση IDS και παρακολούθηση της διαθεσιμότητας παρουσιάστηκαν από το εξουσιοδοτημένο προσωπικό της ΑΠ, όπως περιγράφονται στο [1] άρθρο 6 παράγραφος 7 «Έλεγχοι ασφαλείας δικτύου». β) Αξιόπιστη ανάπτυξη συστημάτων και συντήρηση Όπως περιγράφεται στο CPS και με δεδομένο το επίπεδο πρόσβασης που εμείς σαν ελεγκτές είμαστε σε θέση να ελέγξουμε, διαπιστώσαμε τη χρήση αξιόπιστων συστημάτων και προϊόντων που προστατεύονται από την τροποποίηση. Περαιτέρω σχετικά με την ανάλυση των κινδύνων και το σχέδιο επιχειρησιακής συνέχειας [3], υπό τον όρο τεκμηρίωση κρίσιμων υπηρεσιών. γ) Δημιουργία ζεύγους κλειδιού Είμαστε σε θέση να επαληθεύσουμε ότι η παραγωγή του κλειδιού της Αρχής Πιστοποίησης πληροί τις τ προϋποθέσεις που προσδιορίζονται στο FIPS PUB επιπέδου 3 και το φυσικό περιβάλλον είναι ασφαλισμένο κατά τη διάρκεια της διαδικασίας. Η λεπτομερής περιγραφή της συσκευής που περιγράφεται στο σ [1], άρθρο 6 παράγραφος δ) Αντίγραφα ασφαλείας και ανάκτηση ιδιωτικού Όπως μπορέσαμε να διαπιστώσουμε η ΑΠ ακολουθεί την τεκμηρίωση CPS [1], άρθρο 6 παράγραφος 2.4, «Το ιδιωτικό κλειδί πρέπει να φυλάσσεται σε αντίγραφο ασφαλείας. Το αντίγραφο ασφαλείας πρέπει να είναι κρυπτογραφημένο και να ακολουθούνται οι διαδικασίες που περιγράφονται στην παράγραφο Η πρόσβαση στο αντίγραφο ασφαλείας επιτρέπεται μόνο σε εξουσιοδοτημένοο προσωπικό.» ε) Παρεχόμενες υπηρεσίες διαχείρισης κλειδιών Κατά τον έλεγχο του πηγαίου κώδικά διαπιστώσαμε ότι η ΑΠ συμμορφώνεται με το ETSI TS και κ ενεργεί σύμφωνα με την τεκμηρίωση CPS [1], άρθρο 6 παράγραφος 2 «Προστασία ιδιωτικού κλειδιού». Λήψη μέτρων ενάντια στην πλαστογράφηση πιστοποιητ τικών και εγγύηση εμπιστευτικότητας κατά τη διάρκεια της διεργασίας παραγωγής των εν λόγω δεδομένων Κατά τον έλεγχο και με βάση το [5], οι προδιαγραφές της ΑΠ ενεργούν ανάλογα με την τεκμηρίωση CPS στα σ ακόλουθα θέματα: Σελίδα 6 από 11

7 α) Αποθήκευση κλειδιών, αντίγραφα ασφαλείας και ανάκτηση Τα ιδιωτικά κλειδιά της ΑΠ παραμένουν εμπιστευτικά και διατηρούν την ακεραιότητά [1] άρθρο 6 υπό τον τίτλο «Δημιουργία ζεύγους κλειδιών και εγκατάσταση». τους, όπως ορίζονται στο σ β) Διανομή του δημοσίου κλειδιού της Αρχής Πιστοποίησης Με βάση το [1], οι ΑΠ παρέχουν μηχανισμούς για την ασφαλή παράδοση των ψηφιακών πιστοποιητικών τους. Το κάθε ψηφιακό πιστοποιητικό περιέχει το δημόσιο κλειδί όταν αυτό ζητείται από ενδιαφερόμενες οντότητες. Οι ενδιαφερόμενοι αποστέλλουν αίτησηη με ηλεκτρονικό ταχυδρομείο. Η ΑΠ αποστέλλει με ταχυδρομείο σε μαγνητικό μέσο το πιστοποιητικό της, το οποίο εμπεριέχει το δημόσιο κλειδί της. Εναλλακτικά, το πιστοποιητικό της κάθε ΑΠ δημοσιοποιεί ίται μέσω ασφαλούς ιστοσελίδας, της οποίας η ταυτότηταα πιστοποιείται από διαφορετική έμπιστη τρίτη οντότητα. Η κάθε ΑΠ δημοσιοποιεί στην αποθήκη της παραγράφου 2.1 τοο Πιστοποιητικό της. Λεπτομερής περιγραφή στο σ άρθρο 6 παράγραφος του [1]. γ) Υπηρεσίες διαχείρισης κλειδιών Όπως ορίζεται στην τεκμηρίωση CPS [1], μπορούμε να επαληθεύσουμε την χρήση αλγόριθμου SHA1 για την παραγωγή των κλειδιών. Λεπτομερής περιγραφή του αλγορίθμου στο άρθρο 7 παράγραφος 1.3 του [1]. δ) Καταχώρηση Όπως περιγράφεται παραπάνω για την «Αρχική Επαλήθευση ταυτότητας." [α)] ε) Ανανέωση, επανέκδοση και μεταβολή πιστοποιητικών Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό ό." [β)] στ) Δημιουργία πιστοποιητικού Η ΑΠ ακλουθεί την τυποποιημένη μορφή των μη αναγνωρισμένων πιστοποιητικών και σύμφωνα με την τεκμηρίωση [1], όπως περιγράφεται στο άρθρο 6 «Έλεγχοι τεχνικής ασφάλειας» και άρθρο 7 "Περίγραμμα πιστοποιητικού, ΛΑΠ και OCSP ". Διάθεση επαρκών χρηματικών πόρων ώστε να λειτούργει σύμφωνα με τις απαιτήσεις που ορίζονται στην οδηγία [ 6], και συγκεκριμένα να μπορεί να ανταπεξέλθει σε ζημίες, για παράδειγμα, αποκτώντας αντίστοιχη ασφάλεια Όπως περιγράφεται στα έγγραφα CPS [ 1], άρθρο 9 παράγραφος 14 «Ισχύουσα νομοθεσία» και παράγραφος 8 «Περιορισμοί ευθυνών», στο άρθρο 9, CPS [ 1] άρθρο 9 παράγραφος 14: Η λειτουργία της ΥΔΚ HARICA καθώς και η ερμηνεία της Πολιτικής Πιστοποίησης/Δήλωσης Διαδικασιών Πιστοποίησης υπόκεινται κύρια στα Ακαδημαϊκά ήθη και στην Ελληνική Νομοθεσία. Ιδιαίτεραα όσον αφορά το Προεδρικό Διάταγμα 150/2001 «Προσαρμογή στην οδηγία 99/93/ /ΕΚ του Ευρωπαϊκού Κοινοβουλίου καιι του Συμβουλίου σχετικά με το κοινοτικό πλαίσιο για ηλεκτρονικές υπογραφές», τα πιστοποιητικά που εκδίδονται ΔΕΝ θεωρούνται γενικά ως «Αναγνωρισμένα Πιστοποιητικά». Κάτω από συγκεκριμένες προϋποθέσεις και συνθήκες, μπορούν τα πιστοποιητικά που εκδίδονται να χρησιμοποιηθούν ως «αναγνωρισμένα»» όπως αυτά ορίζονται στο ΠΔ 150/2001- πιστοποιητικά σε κλειστές ομάδες οντοτήτων, όπως για παράδειγμαα σε κάποια διοικητική υπηρεσία του Ιδρύματος. Σελίδα 7 από 11

8 Οι αντίστοιχες διαδικασίες θα πρέπει να περιγράφονται σε κείμενο Πολιτικής Πιστοποίησης/Δήλωση Διαδικασιών Πιστοποίησης (CP/CPS) της υφιστάμενης αυτής Αρχής Πιστοποίησης, λαμβάνοντας υπ όψιν τις τ κείμενες διατάξεις και τους όρους του ΠΔ 150/2001. Όπως ορίζεται στην παράγραφο 1.3.3, το κείμενο CP/CPS κάθε υφιστάμενης αρχής δεν πρέπει να έρχεται σε αντίθεση με τους όρους του παρόντος κειμένου. Βασικές προϋποθέσεις για αυτή την αναγνώριση και κατά συνέπεια της αναγνώρισης παραγόμενης ψηφιακής υπογραφής ως ισότιμης με τη χειρόγραφη, είναι της σχετικής α) η χρήση «ασφαλούς διάταξης δημιουργίας υπογραφής» στην πλευρά του πελάτη (π.χ. έξυπνη κάρτα όπου δημιουργείται, αποθηκεύεται και χρησιμοποιείται αποκλειστικά το ιδιωτικό κλειδί του πελάτη) και β) η έγκριση του εκάστοτε αρμόδιου οργάνου (π.χ. σύγκλητος Ιδρύματος ή Διοικητικό Συμβούλιοο φορέα). [1] CPS [ 1]: άρθρο 9 παράγραφος 8 Η Υποδομή Δημοσίου Κλειδιού της HARICA δεν ευθύνεται για προβλήματαα ή ζημιές που μπορεί να προκύψουν από την αναίτια πλημμελή λειτουργία της ή από την κακή χρήση των πιστοποιητικών που εκδίδει. Η χρήση της τ ΥΔΚ HARICA και των υπηρεσιών Πιστοποίησης προϋποθέτει την ανεπιφύλακτη παραδοχή εκ μέρους του χρήστη ότι η ΥΔΚ HARICA δεν ευθύνεται για ζημία ή βλάβη, δεν αναλαμβάνει, ούτε μπορούν να τις αποδοθούν οικονομικές, αστικές ή άλλου είδους ευθύνες, παρά μόνο σε περιπτώσεις που αποδεικνύεται δόλος ή αμέλειά της. [ 1] Καταγραφή όλων των σχετικών πληροφοριών που αφορούν ένα αναγνωρισμένο πιστοποιητικό για γ συγκεκριμένη χρονική περίοδο, με σκοπό την παροχή αποδεικτικών στοιχείων πιστοποίησης για γ σκοπούς νομικών διαδικασιών. Η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα.. Με βάση το [5] έχουμε τις ακόλουθες απαιτήσεις, α) Καταγραφή των πληροφοριών που αφορούν τα Αναγνωρισμ ένα Πιστοποιητικά. Δεδομένου ότι η HARICA δεν εκδίδει αναγνωρισμένα πιστοποιητικά δεν απαιτείται από το νόμο να τηρεί τις τ καταγραφές των πληροφοριών. Παρόλα αυτά, η HARICA διατηρεί τις συγκεκριμένες πληροφορίες που μπορούν να χρησιμοποιηθούν όταν χρειάζεται, όπως περιγράφεται στις [1]] άρθρο 5 παράγραφος 4.3, άρθροο 9 παράγραφος 4.5. β) Τερματισμός ΑΠ Όπως περιγράφεται στα έγγραφα CPS [1], άρθρο 5 παράγραφος 8, «Τερματισμός Αρχής Πιστοποίησης Αρχής Καταχώρησης», "Κατά τον τερματισμό της, κάθε ΑΠ ενημερώνει τους συνδρομητές, ανακαλεί όλα τα πιστοποιητικά που έχει εκδώσει, ανακοινώνει τη σχετική ΛΑΠ και ανακαλεί και το δικό της πιστοποιητικό. Τέλος, ενημερώνει τους υπεύθυνους ασφαλείας συνεργαζόμενων φορέων και δημοσιοποιεί τον τερματισμό της λειτουργίας της. Τα Τ αρχείαα καταγραφής των ΑΚ και ΑΠ τηρούνται για χρονικό διάστημα δύο (2) ετών, ώστε να είναι διαθέσιμα για γ ενδεχόμενο νόμιμο έλεγχο. Το διάστημα αυτό δύναται να τροποποιηθεί ανάλογα με τις εξελίξεις σχετικής νομοθεσίας. [1] Να μην αποθηκεύονται ούτε να αντιγράφονται δεδομένα σχετικά με την δημιουργία συνδρομητών Κατά τη διάρκεια του ελέγχου καταφέραμε να επαληθεύσουμε τα εξής: υπογραφής α) Επεξεργασία των αιτήσεων πιστοποιητικών Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό ό." [ε)] Σελίδα 8 από 11

9 Πριν την συμβατική σχέση με κάποιοο φυσικό πρόσωπο που ζητά πιστοποιητικό για την ηλεκτρονική του υπογραφή,, να υπάρχει ενημέρωση με ασφαλή μέσα επικοινωνίας σχετικά με τους ακριβείς όρους και προϋποθέσεις για τη χρήση του πιστοποιητικού,, συμπεριλαμβανομένων τυχόν περιορισμών της χρήσης του, την ύπαρξη μηχανισμού εθελοντικής διαπίστευσης και των διαδικασιών υποβολής παραπόνων ν και επίλυσης διαφορών. Οι πληροφορίες αυτές, οι οποίες δύνανται να διαβιβάζονται ηλεκτρονικώς, πρέπει να παρέχονται εγγράφως,, σε εύκολα αντιληπτή γλώσσα. Σχετικά αποσπάσματα των πληροφοριών αυτώνν θα πρέπει να δίνονται κατόπιν αιτήματος τρίτων οι οποίοι βασίζονται στο πιστοποιητικό αυτό. ETSI [5] απαιτήσεις για, α) Καταχώρηση συνδρομητή Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό ό." [ε)] β) Διανομή των Όρων και Προϋποθέσεων Κατά τον έλεγχο η CA μας έδωσε το «Μνημόνιο Συνεργασίας ς και Συναντίληψης», καθώς και το CPS, όπου περιγράφονται οι όροι και προϋποθέσεις για τους συνδρομητές ς και τα συνεργαζόμεναα μέλη. Κατά τη διάρκεια του αιτήματος και με τη διαδικασία της απόκτησης ενός πιστοποιητικού, ο συνδρομητής πρέπει να αποδεχθεί τους όρους και τις προϋποθέσεις. Επιπλέον, η τεκμηρίωση είναιι δημοσιευμένη στις ακόλουθες διευθύνσεις: i) ii) Γίνετεε χρήση αξιόπιστων συστημάτω ων για αποθήκευση πιστοποιητικών σε επαληθεύσιμηη μορφή, ούτως ώστε: - Μόνον αρμόδιοι να μπορούν να διενεργούν εισαγωγές και αλλαγές. - Να μπορεί να ελέγχετε η γνησιότητα. - Η ανάκτηση των πιστοποιητι ικών γίνετε μόνον στις περιπτώσεις εκείνες για τις οποίες συγκατάθεση του κατόχου έχει αποκτηθεί, και - Οι τυχόν τεχνικές αλλαγές που να θέτουν πιθανά σε κίνδυνο τις εν λόγω απαιτήσεις ασφαλείας γίνονται εμφανώς αντιληπτές από τον χειριστή. Όπως προαναφέραμε: η α) Κατανομή δημοσίων κλειδιών Όπως αναφέρεται στα ανωτέρω σχετικά με "Μέτρα έναντι της πλαστογράφησης πιστοποιητικών." [παραπάνω] β) Διανομή πιστοποιητικού Όπως καλύπτεται από τα ανωτέρω «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτησηη ανάκλησης» [παραπάνω] γ) Ανάκληση και αναστολή πιστοποιητικού Όπως καλύπτεται από τα ανωτέρω, «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτησηη ανάκλησης» [παραπάνω] δ) Συστήματα διαχείρισης και παρακολούθησης υπολογιστικών μονάδων Σελίδα 9 από 11

10 Όπως καλύπτεται από τα ανωτέρω, «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτησηη ανάκλησης» [παραπάνω] ε) Αξιόπιστη ανάπτυξη συστημάτων και συντήρηση Όπως καλύπτεται από τα παραπάνω, «Χρήση αξιόπιστων συστημάτων και προϊόντων τα οποία προστατεύονται έναντι τροποποίησης και διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν.» [ παραπάνω] Συμπεράσματα Βάσει του ελέγχου μας πάνω στις διαδικασίες και την πολιτική, καθώς και με τον έλεγχο του πηγαίου κώδικα της ιστοσελίδας και των προγραμμάτων της ΑΠ βρήκαμε την HARICA να είναι σύμφωνη με τις τεχνικές προδιαγραφές όπως αυτές αναγράφοντ ται στο ETSI TS , ως μη-αναγνωρισμένη αναγνωρισμένες ΑΠ, η HARICA επέλεξε να μην είναι αναγνωρισμένη ΑΠ, επειδή στόχος της είναι η χρήση των πιστοποιητικών μόνο για ακαδημαϊκούς και εκπαιδευτικούς σκοπούς. Δεν δύναται να πραγματοποιηθούν οικονομικές συναλλαγές με πιστοποιητικά που εκδίδονται από την HARICA εκτός εάν ορίζεται διαφορετικά σε ένα υπο ΑΠ με ξεχωριστό CP / CPS. Αρχή Πιστοποίησης, εκδίδοντας μη-αναγνωρισμένες πιστοποιήσεις. Παρά το γεγονός ότι η HARICA, πληροί τις τεχνικές απαιτήσεις για τιςς Αυτή η Αναφορά Ελέγχου βασίζεται στις απαιτήσεις και τις κατευθυντήριες γραμμές που περιγράφονται στο σ ETSI TS και δεν περιλαμβάνε ει καμία απολύτως επαγγελματική γνώμη ως προς την ποιότητα των υπηρεσιών που παρέχονται από την HARICA, ούτε την καταλληλότητά τους για τους συγκεκριμένους στόχους του κάθε συνδρομητή, πέρα από τα κριτήρια και τις προδιαγραφές που αναγράφονται στο ETSI TS για γ τις Αρχές Πιστοποίησης και καλύπτονται εδώ. Λόγω των περιορισμών που είναι εγγενείς στα συστήματα ελέγχου, μπορεί να υπάρξουν απαρατήρητα λάθηη ή περιπτώσεις απάτης. Επιπλέον, τα πορίσματα της αναφορά ισχύουν μόνο για τη χρονική περίοδο της ανάλυσης και οποιαδήποτε συμπεράσματα βάσει των πορισμάτων αυτών για χρονικές περιόδους πέραν της ημερομηνίας της αναφοράς δεν αντικατοπτρίζουν την επαγγελματική γνώμη της Deventum καθώς ενδέχεται να υπάρχουν: 1) Αλλαγές στον πηγαίο κώδικα 2) Αλλαγές στις απαιτήσεις επεξεργασίας των πιστοποιητικών 3) Αλλαγές που επιφέρει το πέρασμα του χρόνου 4) Αλλαγές στον βαθμό συμμόρφωσης με τις πολιτικές ή τις απαιτούμενες διαδικασίες Σελίδα 10 από 11

11 ΕΥΡΕΤΗΡΙΟ 1. Δήλωση Διαδικασιών Πιστοποίησης, harica.gr/documents/cps.php 2. Μνημόνιο Συνεργασίας και Συναντίληψης για την ενεργοποίηση και υποστήριξη της Υποδομής Δημοσίου Κλειδιού HARICA, 3. Διαδικασίες και κανονισμοί HARICA, PKI Σχέδιο Ανάκτησης σε περίπτωση καταστροφής, από Ζαχαρόπουλο Δημήτριο. 4. Πιστοποίηση ταυτότητας φυσικού προσώπου άρθρο 3 παράγραφος Τεχνικές προδιαγραφές ETSI TS Ηλεκτρονικές Υπογραφές και Υποδομές (ESI); Πολιτική προϋποθέσεων για Αρχές Πιστοποίησης που εκδίδουν αναγνωρισμένα πιστοποιητικά. 6. Οδηγία 1999/93/EC του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίουυ σχετικά με το κοινοτικό πλαίσιο για γ τις ηλεκτρονικές υπογραφές Η Αναφορά Ελέγχου συντάχθηκε για την Deventum από: Κρασσάς Νικόλαος, CISSP Certification Number: Στεργίου Δημήτριος, CISA Certificatio n Number: , CISSP , CISM Certification Number: Παπαπέτρος Δημήτριος, CISA Certification Number: Certification Number: Κρασσάς Νικόλαος, CISSP 18 Μαρτίου 2011 Σελίδα 11 από 11