ΑΝΑΦΟΡΑ ΕΛΕΓΧΟΥ ΔΙΑΔΙΚΑΣΙΩΝ ΛΕΙΤΟΥΡΓΙΑΣ ΒΑΣΙΣΜΕΝΗ ΣΤΙΣ ΑΠΑΙΤΗΣΕΙΣ ΤΗΣ ΠΟΛΙΤΙΚΗΣ ETSI TS 101 456

Τίτλος ΑΝΑΦΟΡΑ ΕΛΕΓΧΟΥ ΔΙΑΔΙΚΑΣΙΩΝ ΛΕΙΤΟΥΡΓΙΑΣ ΒΑΣΙΣΜΕΝΗ ΣΤΙΣ ΑΠΑΙΤΗΣΕΙΣ ΤΗΣ ΠΟΛΙΤΙΚΗΣ ETSI TS 101 456 Πελάτης Κέντρο Λειτουργίας Δικτύου, Αριστοτέλειο Πανεπιστήμιο Θεσσαλονίκης ( www.pki.auth.gr ) Προς ΚΑΘΕ ΕΝΔΙΑΦΕΡΟΜΕΝΟ Ημερομηνία 18 Μαρτίου 2011 Σελίδα 1 από 11

Προς κάθε ενδιαφερόμενο, Αυτό είναι ένα επίσημο έγγραφο που δηλώνει τα παρακάτω μετά από αίτηση του κέντρου λειτουργίας δικτύου του Αριστοτελείου Πανεπιστημίου Θεσσαλονίκης (www.pki.auth.gr). Η Υποδομή Δημοσίου Κλειδιού ΑΠΘ (Αριστοτελείου Πανεπιστημίου Θεσσαλονίκης) είναι μία έμπιστη τρίτη οντότητα που πιστοποιεί την ταυτότητα χρηστών και δικτυακών εξυπηρετητών που συνεργάζονται με αυτή. Η πρώτη Υποδομή Δημοσίου Κλειδιού ξεκίνησε το 2001 από το Κέντρο Λειτουργίας Δικτύου ΑΠΘ. Μετά από επτά χρόνια επιτυχούς λειτουργίας και έχοντας εκδώσει περισσότερα από 30.000 ψηφιακά πιστοποιητικά, η Υποδομή αναβαθμίστηκε για να υποστηρίξει νέες δυνατότητες μεταξύ των οποίων: 1. Υπογραφή πιστοποιητικών σε ειδικές κρυπτοσυσκευές - etokens με ειδικές παραμέτρους για ασφαλή σύνδεση υπαλλήλων γραμματειών σε υπολογιστές που χειρίζονται ευαίσθητα δεδομένα (πχ βαθμολογίες) αλλά και για τα μέλη ΔΕΠ που με ασφάλεια στέλνουν βαθμολογίες προς τις γραμματείες 2. Υποστήριξη κατανεμημένων Αρχών Καταχώρησης και Πιστοποίησης μέσω του νέου πλαισίου λειτουργίας 3. Σύνδεση με την ευρύτερη Υποδομή Δημοσίου Κλειδιού της HARICA ( http://www.harica.gr ) προκειμένου οι Ακαδημαϊκές και Ερευνητικές κοινότητες της Ελλάδας να αξιοποιούν πλήρως τις δυνατότητες που παρέχουν τα ψηφιακά πιστοποιητικά που είναι η απρόσκοπτη ανταλλαγή ασφαλών μηνυμάτων ηλεκτρονικού ταχυδρομείου, η κρυπτογράφηση μηνυμάτων με ευαίσθητες πληροφορίες κ.α. 4. H Deventum έχει επιλεγεί από το ΑΠΘ ως ελεγκτής για τις υπηρεσίες ηλεκτρονικών πιστοποιητικών που παρέχονται από την Υποδομή Δημοσίου Κλειδιού ΑΠΘ. 5. Η ΥΔΚ ( Υποδομή Δημοσίου Κλειδιού ) ΑΠΘ έχει ελεγχθεί από την εταιρεία μας σύμφωνα με τα πρότυπα και τις τεχνικές προδιαγραφές που βασίζονται στο ETSI TS 101 456. 6. Η ΥΔΚ ΑΠΘ έχει ανακοινώσει το κλειδί, τον κύκλο ζωής των πιστοποιητικών, τους κανόνες λειτουργίας και τις πρακτικές προστασίας προσωπικών δεδομένων στην Δήλωση Διαδικασιών Πιστοποίησης, http://www.pki.auth.gr/documents/cps.php και παρέχει τις υπηρεσίες της σύμφωνα με όσα αναγράφονται. 7. Πραγματοποιεί συστηματικούς ελέγχους για να διασφαλιστεί ότι: i) Οι πληροφορίες των συνδρομητών είναι σωστά πιστοποιημένες. ii) Η ακεραιότητα των κλειδιών και πιστοποιητικών που διαχειρίζεται είναι προστατευμένες σε όλη την διάρκεια του κύκλου ζωής τους. iii) Συνδρομητικές και άλλες πληροφορίες είναι διαθέσιμες μόνο σε εξουσιοδοτημένο ειδικευμένο προσωπικό. iv) Η λειτουργία και διαθεσιμότητα των κλειδιών και πιστοποιητικών διατηρούνται για ολόκληρο τον κύκλο ζωής τους. v) Γίνεται χρήση αξιόπιστων συστημάτων και προϊόντων τα οποία προστατεύονται έναντι τροποποίησης και διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν. Σελίδα 2 από 11

vi) Τα συστήματα της αρχής πιστοποίησης συντηρούνται σωστά και οι λειτουργίες είναι κατάλληλα προσαρμοσμένες προκειμένου να διατηρηθεί η ακεραιότητα των συστημάτων της Αρχής Πιστοποίησης. με βάση την πολιτική που αναγράφεται στο ETSI TS 101 456, Πολιτική για Ηλεκτρονικές Υπογραφές και Υποδομές για Αρχές Πιστοποίησης. Από τον έλεγχο του πηγαίου κώδικα του ιστοχώρου, των προγραμμάτων και των διαδικαστικών εγγράφων που είχαμε στην διάθεσή μας, μπορούμε να καταλήξουμε στα ακόλουθα συμπεράσματα. Το προσωπικό της ΥΔΚ ΑΠΘ κρίνεται κατάλληλο και είναι σε θέση να ασκήσει σωστά τις εργασίες για να διασφαλιστεί η ασφάλεια του ιστοχώρου (http://www.pki.auth.gr), καθώς επίσης βρέθηκε να είναι προετοιμασμένο για όλα τα θέματα που περιγράφονται από τους κανονισμούς ETSI TS 101 456. Τα ευρήματά μας, με βάση τις απαιτήσεις του ETSI TS 101 456, περιγράφονται στην ακόλουθη Αναφορά Ελέγχου. Στην επίδειξη της απαραίτητης αξιοπιστίας για την παροχή υπηρεσιών πιστοποίησης α) Πολιτική και πρακτικές Η πολιτική της Αρχής Πιστοποίησης (ΑΠ) περιγράφεται πλήρως στο έγγραφο «Δήλωση Διαδικασιών Πιστοποίησης», το οποίο βρίσκεται δημοσιευμένο στον ιστοχώρο της [1]. Η τεκμηρίωση καλύπτει τις πρακτικές και τις διαδικασίες που χρησιμοποιούνται για την αντιμετώπιση όλων των απαιτήσεων, προσδιορίζει τις υποχρεώσεις όλων των εξωτερικών οργανισμών που υποστηρίζουν τις υπηρεσίες της Αρχής Πιστοποίησης, περιλαμβανομένων των πολιτικών και πρακτικών. Η τεκμηρίωση [1], οι όροι και οι προϋποθέσεις όπως και η διοικητική διάρθρωση του ΑΠΘ [2] βρίσκονται δημοσιευμένα στο διαδίκτυο και είναι διαθέσιμα στους συνδρομητές και στους συνεργαζόμενους φορείς, στον ιστοχώρο της Αρχής Πιστοποίησης, http://www.pki.auth.gr. Η διεύθυνση και η αρμόδια αρχή για την έγκριση της δήλωσης πρακτικής πιστοποίησης παρουσιάζονται αναλυτικά στην «Διοικητική οργάνωση του ΑΠΘ» [2]. β) Επιχειρησιακή συνέχεια και διαχείριση συμβάντων Η ΥΔΚ ΑΠΘ παρουσίασε τεκμηρίωση σχετικά με το σχέδιο επιχειρησιακής συνέχειας και αντιμετώπισης καταστροφών, καθώς και τις διαδικασίες αποκατάστασης σε περίπτωση διαρροή του ιδιωτικού κλειδιού της Αρχής Πιστοποίησης. Το έγγραφο [3] μπορεί να αποκτηθεί μετά από αίτημα προς την ΑΠ. γ) Τερματισμός της Αρχής Πιστοποίησης Διαδικασίες σχετικά με τον τερματισμό της Αρχής Πιστοποίησης μπορούν να βρεθούν στον ιστοχώρο «Διοικητική οργάνωση του ΑΠΘ» [2] και στο άρθρο 5 παράγραφος 8 της τεκμηρίωση CP / CPS για την ΑΠ [1]. δ) Δομή οργανισμού Η νομική υπόσταση και η διοικητική οργάνωση του ΑΠΘ περιγράφεται στην «Διοικητική οργάνωση του ΑΠΘ» [2]. Λεπτομερείς πληροφορίες για την εμπειρία και τις γνώσεις του προσωπικού, μπορούν να γνωστοποιηθούν μετά από σχετικό αίτημα προς την ΑΠ και δεδομένης σχετικής ανάγκης. Διασφάλιση σταθερής και ασφαλούς λειτουργίας καθώς και άμεσης υπηρεσίας ανάκλησης α) Διάθεση πιστοποιητικών Η ΥΔΚ ΑΠΘ, όπως περιγράφεται στην τεκμηρίωση CPS [1], άρθρο 4, παράγραφος 2, «Επεξεργασία των Αιτήσεων Πιστοποιητικών», διασφαλίζει ότι τα πιστοποιητικά διατίθενται μόνο στους εξουσιοδοτημένους Σελίδα 3 από 11

συνδρομητές. Περισσότερα για τον κύκλο ζωής των πιστοποιητικών είναι διαθέσιμα στο κεφάλαιο 4 της τεκμηρίωσης CPS [1]. β) Ανάκληση και αναστολή πιστοποιητικών Ο ελεγκτής μπορεί να επιβεβαιώσει ότι με βάση τον έλεγχο του πηγαίου κώδικα και τον διαδικαστικό έλεγχο της Αρχής Πιστοποίησης, η τεκμηρίωση CPS περιγράφει ότι τα πιστοποιητικά ανακαλούνται με έγκαιρο τρόπο, βάσει εγκεκριμένων και επικυρωμένων αιτήσεων πιστοποιητικού όπως αυτό περιγράφεται στην [1] άρθρο 4 παράγραφος 9 "Ανάκληση και αναστολή πιστοποιητικών". γ) Διαχείριση πρόσβασης στα υπολογιστικά συστήματα Σύμφωνα με τις διαδικασίες ελέγχου είμαστε σε θέση να επαληθεύσουμε την αδιάλειπτη παρακολούθηση και τα συστήματα συναγερμού, όπως αυτά περιγράφονται στην παράγραφο 5 του εγγράφου [1], "Διοικητικός, Τεχνικός και Διαδικαστικός Έλεγχος". Διασφάλιση ότι η ημερομηνία και ώρα της έκδοσης ή ανάκλησης ενός πιστοποιητικού μπορεί να προσδιοριστεί επακριβώς α) Ακριβής χρόνος Όπως ορίζεται στην τεκμηρίωση CPS της Αρχής Πιστοποίησης [1], άρθρο 6 παράγραφος 8, είμαστε σε θέση να επαληθεύσουμε ότι η ΑΠ χρησιμοποιεί το πρωτόκολλο NTP για τον συγχρονισμό της ημερομηνίας και ώρας καθώς και κάθε καταγραφή περιέχει σωστή χρονική στιγμή. Πρόληψη με κατάλληλα μέσα και σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο εκδίδεται ένα αναγνωρισμένο πιστοποιητικό Αν και το ΑΠΘ δεν ορίζεται ως αρχή έκδοσης αναγνωρισμένων πιστοποιητικών και τα πιστοποιητικά που εκδίδει δεν χαρακτηρίζονται ως αναγνωρισμένα, ακολουθούνται παρ όλα αυτά οι ίδιες διαδικασίες για να πιστοποιηθεί η ταυτότητα του προσώπου στο οποίο εκδίδεται ένα πιστοποιητικό όπως αυτές ορίζονται για τις Αρχές Πιστοποίησης αναγνωρισμένων πιστοποιητικών. α) Αναγνώριση και Απόδειξη ταυτότητας Με βάση το έγγραφο CPS [1], άρθρο 3 παράγραφος 2 Αρχική Επαλήθευση ταυτότητας και της Απόδειξης ταυτότητας φυσικού προσώπου όπως αναφέρεται στο άρθρο 3 παράγραφο 2.3 του ίδιου εγγράφου: Όλα τα πιστοποιητικά φυσικών προσώπων που εκδίδονται στο Αριστοτέλειο Πανεπιστήμιο Θεσσαλονίκης πρέπει να ελέγχονται για ταυτοπροσωπία. Προβλέπονται δύο κλάσεις πιστοποιητικών χρηστών. Η κλάση Α περιλαμβάνει πιστοποιητικά των οποίων το ιδιωτικό κλειδί δημιουργείται και παραμένει εντός κάποιας ασφαλής κρυπτοσυσκευής (etoken ή smartcatd) και πιστοποιούνται παρουσία εξουσιοδοτημένου προσωπικού της Αρχής Καταχώρισης. Η κλάση Β, περιλαμβάνει πιστοποιητικά των οποίων το ιδιωτικό κλειδί δημιουργείται με χρήση κάποιου λογισμικού (software certificate store). Διευκρινίζεται ότι και στις δύο κλάσεις πιστοποιητικών, υπάρχει ασφαλής ταυτοποίηση του δικαιούχου με φυσική παρουσία και εμφάνιση αποδεκτού επίσημου εγγράφου που αποδεικνύει την ταυτότητα του αιτούντος. Η Αρχή Καταχώρισης εκχωρεί τον έλεγχο της ταυτότητας σε υπηρεσίες των μονάδων όπου ανήκουν οι συνδρομητές και χρησιμοποιεί τρόπους πιστοποίησης ταυτότητας του χρήστη που είναι διαθέσιμοι στις μονάδες για να εκτελέσει τον έλεγχο ταυτότητας. Οι συνεργαζόμενες μονάδες είναι υποχρεωμένες να έχουν πιστοποιήσει την ταυτότητα του χρήστη από κάποιο επίσημο έγγραφο που φέρει τη φωτογραφία του δικαιούχου (π.χ. αστυνομική ταυτότητα, διαβατήριο, δίπλωμα οδήγησης, φοιτητική ταυτότητα, ΟΧΙ ΠΑΣΟ) και το οποίο θεωρείται αξιόπιστο από την οικεία μονάδα. Εναλλακτικά, η ίδια η ΑΚ του ΑΠΘ μπορεί να εκτελέσει την παραπάνω διαδικασία ταυτοποίησης του αιτούντος. Εφόσον η οικεία μονάδα του χρήστη, σύμφωνα με την πολιτική της, έχει ήδη εκτελέσει διαδικασία φυσικής ταυτοποίησης του χρήστη στο παρελθόν (π.χ. για την εκχώρηση κωδικού πρόσβασης ή λογαριασμού e-mail) Σελίδα 4 από 11

τότε δεν είναι απαραίτητη η επανάληψη της διαδικασίας, αλλά θεωρείται αρκετή μία τυπική επιβεβαίωση της αίτησης μέσω της πιστοποιημένης διεύθυνσης ηλεκτρονικής αλληλογραφίας. Τα πιστοποιητικά της κλάσης Α πρέπει να περιέχουν ένα επιπλέον πεδίο οργανωτικής μονάδας (OU) στο πεδίο του αντικειμένου με τιμή Class Α Private Key created and stored in hardware CSP. Τα πιστοποιητικά της κλάσης B πρέπει να περιέχουν ένα επιπλέον πεδίο οργανωτικής μονάδας (OU) στο πεδίο του αντικειμένου με τιμή Class B Private Key created and stored in software CSP. [4]. β) Ανανέωση, επανέκδοση και μεταβολή πιστοποιητικών Για να εξασφαλιστεί ότι οι αιτήσεις ανανέωσης, επανέκδοσης και μεταβολής προέρχονται από φυσικό πρόσωπο που έχει ήδη εγγραφεί προηγουμένως και είναι εξουσιοδοτημένο, έχουν οριστεί οι σχετικές διαδικασίες στο CPS της ΑΠ [1] στο άρθρο 4 παράγραφο 6 Ανανέωση Πιστοποιητικών, άρθρο 4 παράγραφος 7 Επανέκδοση Κλειδιών και στο άρθρο 4 παράγραφος 8 Μεταβολή Πιστοποιητικών, οι οποίες ακολουθούνται επακριβώς. Απασχόληση προσωπικού που διαθέτει την εμπειρογνωμοσύνη, την εμπειρία και τα προσόντα που απαιτούνται για τις παρεχόμενες υπηρεσίες, και συγκεκριμένα διαχειριστικές ικανότητες, εμπειρογνωμοσύνη στην τεχνολογία ηλεκτρονικών υπογραφών και εξοικείωση με τις κατάλληλες διαδικασίες ασφαλείας. Επίσης πρέπει να εφαρμόζουν διοικητικές και διαχειριστικές διαδικασίες οι οποίες είναι κατάλληλες και αντιστοιχούν σε αναγνωρισμένα πρότυπα Βρέθηκαν στα ακόλουθα: α) Διαχείριση ασφάλειας και β) Ασφάλεια προσωπικού Εφαρμόζονται διοικητικές και διαχειριστικές διαδικασίες οι οποίες αντιστοιχούν σε αναγνωρισμένα πρότυπα. Συγκεκριμένα, βρήκαμε ότι η ΥΔΚ ΑΠΘ περιγράφει στο έγγραφο CPS [1], άρθρο 5 παράγραφος 3.1, «Το προσωπικό που κατέχει διαχειριστικούς ρόλους στις Αρχές Πιστοποίησης και στις Αρχές Καταχώρισης πρέπει να διαθέτει εμπειρία σε θέματα ψηφιακών πιστοποιητικών και σε θέματα υποδομής δημοσίου κλειδιού. Επίσης, πρέπει να διαθέτει προϋπηρεσία σε διαχείριση ευαίσθητων προσωπικών δεδομένων και γενικά απόρρητων πληροφοριών» γ) Διαχείριση λειτουργίας Βρέθηκε ότι η ΑΠ λειτουργεί σύμφωνα με τους κανονισμούς στα ακόλουθα ζητήματα, όπως αυτοί περιγράφονται στο ETSI TS 101 456, Διαδικασίες λειτουργίας και ευθύνες Ασφαλής σχεδιασμός συστημάτων Προστασία από κακόβουλο λογισμικό Συνεχής έλεγχος καλής λειτουργίας Σωστή διαχείριση δικτύου Ενεργητική παρακολούθηση και περιοδικοί έλεγχοι και ανάλυση συμβάντων Σωστός χειρισμός των μέσων και της ασφάλειας των δεδομένων Και τεκμηριώνονται στο CP/CPS [1], άρθρο 5 παράγραφος 1 υπό τον τίτλο «Φυσική ασφάλεια και έλεγχος πρόσβασης». Χρήση αξιόπιστων συστημάτων και προϊόντων τα οποία προστατεύονται έναντι τροποποίησης και διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν Όπως προαναφέρθηκε, η πρόσβαση στα συστήματα της ΑΠ είναι περιορισμένη σε εξουσιοδοτημένα άτομα. Συγκεκριμένα, σύμφωνα με την πολιτική ETSI TS 101 456, α) Πρόσβαση στη διαχείριση του συστήματος Σελίδα 5 από 11

Η πλήρης διάταξης του δικτύου και τα επίπεδα της ασφάλειας με χρήση firewall, διαχείριση διεργασιών, εσωτερική και εξωτερική παρακολούθηση IDS και παρακολούθηση της διαθεσιμότητας παρουσιάστηκαν από το εξουσιοδοτημένο προσωπικό της ΑΠ, όπως περιγράφονται στο [1] άρθρο 6 παράγραφος 7 «Έλεγχοι ασφαλείας δικτύου». β) Αξιόπιστη ανάπτυξη συστημάτων και συντήρηση Όπως περιγράφεται στο CPS και με δεδομένο το επίπεδο πρόσβασης που εμείς σαν ελεγκτές είμαστε σε θέση να ελέγξουμε, διαπιστώσαμε τη χρήση αξιόπιστων συστημάτων και προϊόντων που προστατεύονται από την τροποποίηση. Περαιτέρω, σχετικά με την ανάλυση των κινδύνων και το σχέδιο επιχειρησιακής συνέχειας στο κείμενο [3], υπό τον όρο τεκμηρίωση κρίσιμων υπηρεσιών. γ) Δημιουργία ζεύγους κλειδιού Είμαστε σε θέση να επαληθεύσουμε ότι η παραγωγή του κλειδιού της Αρχής Πιστοποίησης πληροί τις προϋποθέσεις που προσδιορίζονται στο FIPS PUB 140-2 επιπέδου 3 και το φυσικό περιβάλλον είναι ασφαλισμένο κατά τη διάρκεια της διαδικασίας. Η λεπτομερής περιγραφή της συσκευής περιγράφεται στο [1], άρθρο 6 παράγραφος 1.1. δ) Αντίγραφα ασφαλείας και ανάκτηση ιδιωτικού Όπως μπορέσαμε να διαπιστώσουμε η ΑΠ ακολουθεί την τεκμηρίωση CPS [1], άρθρο 6 παράγραφος 2.4, «Το ιδιωτικό κλειδί κάθε Αρχής Πιστοποίησης πρέπει να φυλάσσεται σε αντίγραφα ασφαλείας. Το αντίγραφο του κλειδιού πρέπει να είναι πάντα κρυπτογραφημένο και να ακολουθούνται οι διαδικασίες που περιγράφονται στην παράγραφο 5.1.6. Η πρόσβαση στο αντίγραφο ασφαλείας επιτρέπεται μόνο σε εξουσιοδοτημένο προσωπικό». ε) Παρεχόμενες υπηρεσίες διαχείρισης κλειδιών Κατά τον έλεγχο του πηγαίου κώδικά διαπιστώσαμε ότι η ΑΠ συμμορφώνεται με το ETSI TS 101 456 και ενεργεί σύμφωνα με την τεκμηρίωση CPS [1], άρθρο 6 παράγραφος 2 «Προστασία ιδιωτικού κλειδιού». Λήψη μέτρων ενάντια στην πλαστογράφηση πιστοποιητικών και εγγύηση εμπιστευτικότητας κατά τη διάρκεια της διεργασίας παραγωγής των εν λόγω δεδομένων Κατά τον έλεγχο και με βάση το [5], οι προδιαγραφές της ΑΠ ενεργούν ανάλογα με την τεκμηρίωση CPS στα ακόλουθα θέματα: α) Αποθήκευση κλειδιών, αντίγραφα ασφαλείας και ανάκτηση Τα ιδιωτικά κλειδιά της ΑΠ παραμένουν εμπιστευτικά και διατηρούν την ακεραιότητά τους, όπως ορίζονται στο [1] άρθρο 6 υπό τον τίτλο «Δημιουργία ζεύγους κλειδιών και εγκατάσταση». β) Διανομή του δημοσίου κλειδιού της Αρχής Πιστοποίησης Με βάση το [1], η ΑΠ παρέχει μηχανισμούς για την ασφαλή παράδοση των ψηφιακών πιστοποιητικών της. Το κάθε ψηφιακό πιστοποιητικό περιέχει το δημόσιο κλειδί όταν αυτό ζητείται από ενδιαφερόμενες οντότητες. Οι ενδιαφερόμενοι αποστέλλουν αίτηση με ηλεκτρονικό ταχυδρομείο. Η ΑΠ αποστέλλει με ταχυδρομείο σε μαγνητικό μέσο το πιστοποιητικό της, το οποίο εμπεριέχει το δημόσιο κλειδί της. Εναλλακτικά, το πιστοποιητικό της κάθε ΑΠ δημοσιοποιείται μέσω ασφαλούς ιστοσελίδας, της οποίας η ταυτότητα πιστοποιείται από διαφορετική έμπιστη τρίτη οντότητα. Η κάθε ΑΠ δημοσιοποιεί στην αποθήκη της παραγράφου 2.1 το Πιστοποιητικό της. Λεπτομερής περιγραφή στο άρθρο 6 παράγραφος 1.4 του [1]. γ) Υπηρεσίες διαχείρισης κλειδιών Όπως ορίζεται στην τεκμηρίωση CPS [1], μπορούμε να επαληθεύσουμε την χρήση αλγόριθμου SHA1 για την παραγωγή των κλειδιών. Λεπτομερής περιγραφή του αλγορίθμου στο άρθρο 7 παράγραφος 1.3 του [1]. Σελίδα 6 από 11

δ) Καταχώρηση Όπως περιγράφεται παραπάνω για την «Αρχική Επαλήθευση ταυτότητας." [α)] ε) Ανανέωση, επανέκδοση και μεταβολή πιστοποιητικών Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό." [β)] στ) Δημιουργία πιστοποιητικού Η ΑΠ ακολουθεί την τυποποιημένη μορφή των μη αναγνωρισμένων πιστοποιητικών και σύμφωνα με την τεκμηρίωση [1], όπως περιγράφεται στο άρθρο 6 «Έλεγχοι τεχνικής ασφάλειας» και άρθρο 7 "Περίγραμμα πιστοποιητικού, ΛΑΠ και OCSP ". Διάθεση επαρκών χρηματικών πόρων ώστε να λειτούργει σύμφωνα με τις απαιτήσεις που ορίζονται στην οδηγία [6], και συγκεκριμένα να μπορεί να ανταπεξέλθει σε ζημίες, για παράδειγμα, αποκτώντας αντίστοιχη ασφάλεια Όπως περιγράφεται στα έγγραφα CPS [1], άρθρο 9 παράγραφος 14 «Ισχύουσα νομοθεσία» και στο άρθρο 9, παράγραφος 8 «Περιορισμοί ευθυνών», CPS [1] άρθρο 9 παράγραφος 14: Η λειτουργία της ΥΔΚ ΑΠΘ καθώς και η ερμηνεία της Πολιτικής Πιστοποίησης/Δήλωσης Διαδικασιών Πιστοποίησης υπόκεινται κύρια στα Ακαδημαϊκά ήθη και στην Ελληνική Νομοθεσία. Ιδιαίτερα όσον αφορά το Προεδρικό Διάταγμα 150/2001 «Προσαρμογή στην οδηγία 99/93/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με το κοινοτικό πλαίσιο για ηλεκτρονικές υπογραφές», τα πιστοποιητικά που εκδίδονται ΔΕΝ θεωρούνται γενικά ως «Αναγνωρισμένα Πιστοποιητικά», αν και όλες οι Αρχές Πιστοποίησης και τα εκδιδόμενα πιστοποιητικά ΚΑΛΥΠΤΟΥΝ τις τεχνικές προδιαγραφές των «Αναγνωρισμένων Πιστοποιητικών». Κάτω από συγκεκριμένες προϋποθέσεις και συνθήκες, μπορούν τα πιστοποιητικά που εκδίδονται να χρησιμοποιηθούν ως «αναγνωρισμένα» όπως αυτά ορίζονται στο ΠΔ 150/2001- πιστοποιητικά σε κλειστές ομάδες οντοτήτων, όπως για παράδειγμα σε κάποια διοικητική υπηρεσία του Ιδρύματος. Οι αντίστοιχες διαδικασίες θα πρέπει να περιγράφονται σε κείμενο Πολιτικής Πιστοποίησης/Δήλωση Διαδικασιών Πιστοποίησης (CP/CPS) της υφιστάμενης αυτής Αρχής Πιστοποίησης, λαμβάνοντας υπ όψιν τις κείμενες διατάξεις και τους όρους του ΠΔ 150/2001. Όπως ορίζεται στην παράγραφο 1.3.3, το κείμενο CP/CPS κάθε υφιστάμενης αρχής δεν πρέπει να έρχεται σε αντίθεση με τους όρους του παρόντος κειμένου. Βασικές προϋποθέσεις για αυτή την αναγνώριση και κατά συνέπεια της αναγνώρισης της σχετικής παραγόμενης ψηφιακής υπογραφής ως ισότιμης με τη χειρόγραφη, είναι α) η χρήση «ασφαλούς διάταξης δημιουργίας υπογραφής» στην πλευρά του πελάτη (π.χ. έξυπνη κάρτα όπου δημιουργείται, αποθηκεύεται και χρησιμοποιείται αποκλειστικά το ιδιωτικό κλειδί του πελάτη) και β) η έγκριση του εκάστοτε αρμόδιου οργάνου (π.χ. σύγκλητος ). [1] CPS [1]: άρθρο 9 παράγραφος 8 Η Υποδομή Δημοσίου Κλειδιού του ΑΠΘ δεν ευθύνεται για προβλήματα ή ζημιές που μπορεί να προκύψουν από την ανυπαίτια πλημμελή λειτουργία της ή από την κακή χρήση των πιστοποιητικών που εκδίδει. Η χρήση της ΥΔΚ ΑΠΘ και των υπηρεσιών Πιστοποίησης προϋποθέτει την ανεπιφύλακτη παραδοχή εκ μέρους του χρήστη ότι η ΥΔΚ ΑΠΘ δεν ευθύνεται για ζημία ή βλάβη, δεν αναλαμβάνει, ούτε μπορούν να τις αποδοθούν οικονομικές, αστικές ή άλλου είδους ευθύνες, παρά μόνο σε περιπτώσεις που αποδεικνύεται δόλος ή αμέλειά της. [1] Σελίδα 7 από 11

Καταγραφή όλων των σχετικών πληροφοριών που αφορούν ένα αναγνωρισμένο πιστοποιητικό για συγκεκριμένη χρονική περίοδο, με σκοπό την παροχή αποδεικτικών στοιχείων πιστοποίησης για σκοπούς νομικών διαδικασιών. Η καταγραφή αυτή δύναται να πραγματοποιείται με ηλεκτρονικά μέσα. Με βάση το [5] έχουμε τις ακόλουθες απαιτήσεις, α) Καταγραφή των πληροφοριών που αφορούν τα Αναγνωρισμένα Πιστοποιητικά. Δεδομένου ότι η ΑΠΘ δεν εκδίδει αναγνωρισμένα πιστοποιητικά δεν απαιτείται από το νόμο να τηρεί τις καταγραφές των πληροφοριών. Παρόλα αυτά, η ΑΠΘ διατηρεί τις συγκεκριμένες πληροφορίες που μπορούν να χρησιμοποιηθούν όταν χρειάζεται, όπως περιγράφεται στις [1] άρθρο 5 παράγραφος 4.3, άρθρο 9 παράγραφος 4.5. β) Τερματισμός ΑΠ Όπως περιγράφεται στα έγγραφα CPS [1], άρθρο 5 παράγραφος 8, «Τερματισμός Αρχής Πιστοποίησης Αρχής Καταχώρησης», "Κατά τον τερματισμό της, κάθε ΑΠ ενημερώνει τους συνδρομητές, ανακαλεί όλα τα πιστοποιητικά που έχει εκδώσει, ανακοινώνει τη σχετική ΛΑΠ και ανακαλεί και το δικό της πιστοποιητικό. Τέλος, ενημερώνει τους υπεύθυνους ασφαλείας συνεργαζόμενων φορέων και δημοσιοποιεί τον τερματισμό της λειτουργίας της. Τα αρχεία καταγραφής των ΑΚ και ΑΠ τηρούνται για χρονικό διάστημα δύο (2) ετών, ώστε να είναι διαθέσιμα για ενδεχόμενο νόμιμο έλεγχο. Το διάστημα αυτό δύναται να τροποποιηθεί ανάλογα με τις εξελίξεις σχετικής νομοθεσίας. [1] Να μην αποθηκεύονται ούτε να αντιγράφονται δεδομένα σχετικά με την δημιουργία υπογραφής συνδρομητών Κατά τη διάρκεια του ελέγχου καταφέραμε να επαληθεύσουμε τα εξής: α) Επεξεργασία των αιτήσεων πιστοποιητικών Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό." [ε)] Πριν την συμβατική σχέση με κάποιο φυσικό πρόσωπο που ζητά πιστοποιητικό για την ηλεκτρονική του υπογραφή, να υπάρχει ενημέρωση με ασφαλή μέσα επικοινωνίας σχετικά με τους ακριβείς όρους και προϋποθέσεις για τη χρήση του πιστοποιητικού, συμπεριλαμβανομένων τυχόν περιορισμών της χρήσης του, την ύπαρξη μηχανισμού εθελοντικής διαπίστευσης και των διαδικασιών υποβολής παραπόνων και επίλυσης διαφορών. Οι πληροφορίες αυτές, οι οποίες δύνανται να διαβιβάζονται ηλεκτρονικώς, πρέπει να παρέχονται εγγράφως, σε εύκολα αντιληπτή γλώσσα. Σχετικά αποσπάσματα των πληροφοριών αυτών θα πρέπει να δίνονται κατόπιν αιτήματος τρίτων οι οποίοι βασίζονται στο πιστοποιητικό αυτό. ETSI [5] απαιτήσεις για, α) Καταχώρηση συνδρομητή Όπως περιγράφεται παραπάνω για την «Επιβεβαίωση, με τα κατάλληλα μέσα, σύμφωνα με το εθνικό δίκαιο, της ταυτότητας και, ενδεχομένως, τυχόν ειδικών χαρακτηριστικών του ατόμου στο οποίο έχει εκδοθεί αναγνωρισμένο πιστοποιητικό." [ε)] β) Διανομή των Όρων και Προϋποθέσεων Σελίδα 8 από 11

Κατά τον έλεγχο η ΑΠ μας έδωσε το CPS, όπου περιγράφονται οι όροι και προϋποθέσεις για τους συνδρομητές και τα συνεργαζόμενα μέλη. Κατά τη διάρκεια του αιτήματος και με τη διαδικασία της απόκτησης ενός πιστοποιητικού, ο συνδρομητής πρέπει να αποδεχθεί τους όρους και τις προϋποθέσεις. Επιπλέον, η τεκμηρίωση είναι δημοσιευμένη στις ακόλουθες διευθύνσεις: i) http://www.pki.auth.gr/documents/cps.php Γίνετε χρήση αξιόπιστων συστημάτων για αποθήκευση πιστοποιητικών σε επαληθεύσιμη μορφή, ούτως ώστε: - Μόνον αρμόδιοι να μπορούν να διενεργούν εισαγωγές και αλλαγές. - Να μπορεί να ελέγχετε η γνησιότητα. - Η ανάκτηση των πιστοποιητικών γίνετε μόνον στις περιπτώσεις εκείνες για τις οποίες η συγκατάθεση του κατόχου έχει αποκτηθεί, και - Οι τυχόν τεχνικές αλλαγές που να θέτουν πιθανά σε κίνδυνο τις εν λόγω απαιτήσεις ασφαλείας γίνονται εμφανώς αντιληπτές από τον χειριστή. Όπως προαναφέραμε: α) Κατανομή δημοσίων κλειδιών Όπως αναφέρεται στα ανωτέρω σχετικά με "Μέτρα έναντι της πλαστογράφησης πιστοποιητικών." [παραπάνω] β) Διανομή πιστοποιητικού Όπως καλύπτεται από τα ανωτέρω «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτηση ανάκλησης» [παραπάνω] γ) Ανάκληση και αναστολή πιστοποιητικού Όπως καλύπτεται από τα ανωτέρω, «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτηση ανάκλησης» [παραπάνω] δ) Συστήματα διαχείρισης και παρακολούθησης υπολογιστικών μονάδων Όπως καλύπτεται από τα ανωτέρω, «Διασφάλιση της λειτουργίας και ασφαλή, άμεση εξυπηρέτηση ανάκλησης» [παραπάνω] ε) Αξιόπιστη ανάπτυξη συστημάτων και συντήρηση Όπως καλύπτεται από τα παραπάνω, «Χρήση αξιόπιστων συστημάτων και προϊόντων τα οποία προστατεύονται έναντι τροποποίησης και διασφαλίζουν την τεχνική και κρυπτογραφική ασφάλεια των διεργασιών που υποστηρίζουν.» [παραπάνω] Συμπεράσματα Βάσει του ελέγχου μας πάνω στις διαδικασίες και την πολιτική, καθώς και με τον έλεγχο του πηγαίου κώδικα του ιστοχώρου και των προγραμμάτων της ΑΠ βρήκαμε την ΥΔΚ ΑΠΘ να είναι σύμφωνη με τις τεχνικές προδιαγραφές όπως αυτές αναγράφονται στο ETSI TS 101 456, ως μη-αναγνωρισμένη Αρχή Πιστοποίησης, εκδίδοντας μη-αναγνωρισμένες πιστοποιήσεις. Παρά το γεγονός ότι η ΥΔΚ ΑΠΘ, πληροί τις τεχνικές απαιτήσεις για τις αναγνωρισμένες ΑΠ, η ΥΔΚ ΑΠΘ επέλεξε να μην είναι αναγνωρισμένη ΑΠ, επειδή στόχος του είναι η χρήση των πιστοποιητικών μόνο για ακαδημαϊκούς και εκπαιδευτικούς σκοπούς. Δεν δύναται να πραγματοποιηθούν οικονομικές συναλλαγές με πιστοποιητικά που εκδίδονται από την ΥΔΚ ΑΠΘ εκτός εάν ορίζεται διαφορετικά σε μια ειδική ενδιάμεση ΑΠ με ξεχωριστό CP / CPS. Αυτή η Αναφορά Ελέγχου βασίζεται στις απαιτήσεις και τις κατευθυντήριες γραμμές που περιγράφονται στο ETSI TS 101 456 και δεν περιλαμβάνει καμία απολύτως επαγγελματική γνώμη ως προς την ποιότητα των Σελίδα 9 από 11

υπηρεσιών που παρέχονται από την ΥΔΚ ΑΠΘ, ούτε την καταλληλότητά τους για τους συγκεκριμένους στόχους του κάθε συνδρομητή, πέρα από τα κριτήρια και τις προδιαγραφές που αναγράφονται στο ETSI TS 101 456 για τις Αρχές Πιστοποίησης και καλύπτονται εδώ. Λόγω των περιορισμών που είναι εγγενείς στα συστήματα ελέγχου, μπορεί να υπάρξουν απαρατήρητα λάθη ή περιπτώσεις απάτης. Επιπλέον, τα πορίσματα της αναφοράς ισχύουν μόνο για τη χρονική περίοδο της ανάλυσης και οποιαδήποτε συμπεράσματα βάσει των πορισμάτων αυτών για χρονικές περιόδους πέραν της ημερομηνίας της αναφοράς δεν αντικατοπτρίζουν την επαγγελματική γνώμη της Deventum καθώς ενδέχεται να υπάρχουν: 1) Αλλαγές στον πηγαίο κώδικα 2) Αλλαγές στις απαιτήσεις επεξεργασίας των πιστοποιητικών 3) Αλλαγές που επιφέρει το πέρασμα του χρόνου 4) Αλλαγές στον βαθμό συμμόρφωσης με τις πολιτικές ή τις απαιτούμενες διαδικασίες Σελίδα 10 από 11

ΕΥΡΕΤΗΡΙΟ 1. Δήλωση Διαδικασιών Πιστοποίησης, http://www.pki.auth.gr/documents/cps.php 2. ΔΙΟΙΚΗΣΗ ΤΟΥ Α.Π.Θ. http://www.auth.gr/admin/index_el.html 3. Διαδικασίες και κανονισμοί ΑΠΘ, PKI Σχέδιο Ανάκτησης σε περίπτωση καταστροφής, από Ζαχαρόπουλο Δημήτριο. 4. Πιστοποίηση ταυτότητας φυσικού προσώπου http://www.pki.auth.gr/documents/cps.php, άρθρο 3 παράγραφος 2.3. 5. Τεχνικές προδιαγραφές ETSI TS 101 456 Ηλεκτρονικές Υπογραφές και Υποδομές (ESI); Πολιτική προϋποθέσεων για Αρχές Πιστοποίησης που εκδίδουν αναγνωρισμένα πιστοποιητικά. 6. Οδηγία 1999/93/EC του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με το κοινοτικό πλαίσιο για τις ηλεκτρονικές υπογραφές Η Αναφορά Ελέγχου συντάχθηκε για την Deventum από: Κρασσάς Νικόλαος, CISSP Certification Number: 94337 Στεργίου Δημήτριος, CISA Certification Number: 0973230, CISSP Certification Number: 305086, CISM Certification Number: 09549256 Παπαπέτρος Δημήτριος, CISA Certification Number: 1189862 Κρασσάς Νικόλαος, CISSP 18 Μαρτίου 2011 Σελίδα 11 από 11