πολιτική πιστοποιητικών της ΑΠΕΔ και με τις διατάξεις της παραγράφου 2 του Άρθρου 20 του Νόμου 3448/2006 (ΦΕΚ 57/Α’). Πέραν των διατάξεων της παρούσας πράξης οι παραπάνω πολιτικές πιστοποιητικών εξειδικεύονται και με τις εκάστοτε Δηλώσεις Πρακτικής άλλων υπαγόμενων στην ΑΠΕΔ ΥπΑΠ, οι οποίες εκδίδουν ψηφιακά πιστοποιητικά, καθώς και στις Δηλώσεις Πρακτικής των τρίτων φορέων – Παρόχων Υπηρεσιών Πιστοποίησης. Σημειώνεται ότι στο παρόν κείμενο ο όρος ΥπΑΠ αναφέρεται στις Αρχές Πιστοποίησης που έχουν ως Πρωτεύουσα Αρχή Πιστοποίησης την ΑΠΕΔ, ενώ όπου χρησιμοποιείται ο όρος εκδότριες ΑΠ περικλείει τόσο τις ΥπΑΠ, όσο και τους τρίτους φορείς – Παρόχους Υπηρεσιών Πιστοποίησης, οι οποίοι εφαρμόζουν μία ή περισσότερες από τις πολιτικές πιστοποιητικών της ΑΠΕΔ σύμφωνα με τις ως άνω διατάξεις. Α. Πολιτική Πιστοποιητικών της ΑΠΕΔ 1. Εισαγωγή Στην παρούσα Πολιτική Πιστοποιητικών (ΠΠ) καθορίζονται οι πολιτικές πιστοποιητικών της ΑΠΕΔ, οι όροι και οι προϋποθέσεις για την ανάθεση και υποστήριξη ή παροχή υπηρεσιών πιστοποίησης σε φορείς – Παρόχους Υπηρεσιών Πιστοποίησης οι οποίοι υποχρεούνται να εφαρμόζουν το παρόν νομικό, τεχνικό και λειτουργικό πλαίσιο παροχής υπηρεσιών πιστοποίησης σύμφωνα με τις διατάξεις της παραγράφων 2 και 5 του Άρθρου 20 του Νόμου 3448/2006 (ΦΕΚ 57/Α’). 4 Σε κάθε περίπτωση, η ΑΠΕΔ μεριμνά και λαμβάνει τα αναγκαία μέτρα για την εφαρμογή του της παρούσας ΠΠ στους τομείς ευθύνης της, όπως αυτή περιγράφεται στον παρόν κείμενο. 1.1 Περίληψη Η παρούσα ΠΠ καθορίζει τους όρους, τις προϋποθέσεις για την έγκριση, έκδοση, χειρισμό, χρήση, ανάκληση και ανανέωση των ψηφιακών πιστοποιητικών και την παροχή των σχετικών υπηρεσιών πιστοποίησης από τις εκδότριες ΑΠ. Ειδικότερα, η παρούσα ΠΠ θέτει το πλαίσιο για: • Τις υποχρεώσεις των εκδοτριών Αρχών Πιστοποίησης (Certification Authorities), των Αρχών Εγγραφής (Registration Authorities), των Τελικών Χρηστών και των Τρίτων Συμμετεχόντων. • Τα θέματα που αφορούν στους Όρους Χρήσης Πιστοποιητικών (ΟΧΠ) Τελικού Χρήστη και τους Όρους Τρίτων Συμμετεχόντων (ΟΤΣ). • Τις μεθόδους που χρησιμοποιούνται για την επιβεβαίωση της ταυτότητας των Τελικών Χρηστών. • Τις λειτουργικές διαδικασίες ως προς τις υπηρεσίες κύκλου ζωής Πιστοποιητικού: υποβολή αιτήματος για έκδοση, αποδοχή, ανάκληση και ανανέωση Πιστοποιητικού. • Το περιεχόμενο των Πιστοποιητικών, των Καταλόγων Ανακληθέντων Πιστοποιητικών (ΚΑΠ), και των Πιστοποιητικών της υπηρεσίας δικτυακού ελέγχου κατάστασης πιστοποιητικών σε πραγματικό χρόνο (Online Certificate Status Protocol - OCSP), όταν διατίθεται. • Τις λειτουργικές διαδικασίες ασφάλειας ως προς την καταγραφή στοιχείων ελέγχου, την τήρηση αρχείων και την αποκατάσταση καταστροφών. • Τους κανονισμούς φυσικής ασφάλειας, ασφάλειας προσωπικού, διαχείρισης κλειδιών και λογικής ασφάλειας. • Τη διαχείριση της ΠΠ, συμπεριλαμβανομένων των μεθόδων τροποποίησής της. • Τις τεχνικές προδιαγραφές και εξειδικεύσεις των Δηλώσεων Πρακτικής των Υποκείμενων Αρχών Πιστοποίησης της Αρχής Πιστοποίησης του Ελληνικού Δημοσίου. Ο Πίνακας 1 περιλαμβάνει τον κατάλογο των προς δημοσίευση εγγράφων της ΑΠΕΔ, καθώς και των τοποθεσιών δημοσίευσής των. Τα έγγραφα που δε διατίθενται προς δημοσίευση αποτελούν εμπιστευτικό υλικό της ΑΠΕΔ. 5 Πίνακας 1: Διαθέσιμα Έγγραφα Κανονισμών Έγγραφα Πολιτική Πιστοποιητικών της ΑΠΕΔ Κατάσταση Τοποθεσία Δημοσίευσης για το Κοινό Δημόσιο Χώρος Αποθήκευσης της ΑΠΕΔ,
.2 της ΠΠ Όροι Χρήσης Πιστοποιητικών (ΟΧΠ) Τελικών Δημόσιο Χρηστών και Όροι Τρίτου Συμμετέχοντα Χώρος Αποθήκευσης της ΑΠΕΔ,
.2 της ΠΠ (ΟΤΣ) 1.2 Όνομα και Ταυτότητα Εγγράφου Η ΑΠΕΔ έχει προσαρμόσει την παρούσα ΠΠ στο πρότυπο Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework (Πλαίσιο Πολιτικής Πιστοποιητικού Υποδομής Δημόσιου Κλειδιού και Κανονισμών Πιστοποίησης X.509 για το Διαδίκτυο), γνωστό και ως RFC 3647, της Ομάδας Δράσης για την Διαδικτυακή Μηχανική (Internet Engineering Task Force), φορέας ο οποίος είναι υπεύθυνος για τον καθορισμό προτύπων στο Διαδίκτυο, για να διευκολύνει την απεικόνιση της εφαρμοζόμενης πολιτικής πιστοποιητικού. Μικρές αποκλίσεις από την δομή του RFC 3647 σε επιμέρους λεπτομέρειες, είναι απαραίτητες εξαιτίας της εφαρμογής του λειτουργικού μοντέλου της ΑΠΕΔ στο δημόσιο τομέα. Η ΑΠΕΔ, εξάλλου, διατηρεί το δικαίωμα να προβαίνει στις απαραίτητες ενέργειες στο πλαίσιο της παρούσας ΠΠ, όπου αυτό κρίνεται σκόπιμο, με σκοπό τη βελτίωση της ποιότητας των παρεχόμενων υπηρεσιών της. 1.2.1 Πολιτικές Πιστοποιητικών 1.2.1.1 Πολιτική Πιστοποιητικού 1 (ΠΠ 1) Η Πολιτική Πιστοποιητικού 1 (ΠΠ 1) αναφέρεται σε Αναγνωρισμένα Πιστοποιητικά τελικών χρηστών. Τα πιστοποιητικά που εκδίδονται βάσει της ΠΠ 1 χρησιμοποιούνται για ψηφιακή υπογραφή (προηγμένη ηλεκτρονική υπογραφή) ηλεκτρονικών μηνυμάτων και εγγράφων ή/και για αυθεντικοποίηση χρήστη. Ήτοι, τα Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 1 είναι κατάλληλα για να υποστηρίξουν προηγμένη ηλεκτρονική υπογραφή, σύμφωνα με τις διατάξεις της παράγ. 1 του άρθρου 3 του ΠΔ 150/2001 (ΦΕΚ 125/Α’), η οποία βασίζεται σε Αναγνωρισμένο Πιστοποιητικό και δημιουργείται σε Ασφαλή Διάταξη Δημιουργίας Υπογραφής (ΑΔΔΥ), οπότε και επέχει θέση ιδιόχειρης υπογραφής τόσο στο ουσιαστικό όσο και στο δικονομικό δίκαιο. Η ΠΠ 1 αντιστοιχεί στην δημόσια πολιτική πιστοποιητικών “QCP + SSCD” όπως περιγράφεται στο πρότυπο ETSI 101 456 του European Telecommunications Standards Institute – ETSI (εφεξής αναφερόμενο ως έγγραφο Πολιτικής ETSI 101 456) αναφορικά με τις Απαιτήσεις Πολιτικής για Αρχές Πιστοποίησης που εκδίδουν Αναγνωρισμένα Πιστοποιητικά. Τα 6 Πιστοποιητικά που εκδίδονται με βάση την ΠΠ 1 πιστοποιούν την αντιστοιχία του φυσικού προσώπου (Τελικού Χρήστη) με τα στοιχεία που αναφέρονται στο έγγραφο ταυτοποίησης του. Η ταυτοποίηση των Τελικών Χρηστών προϋποθέτει τη φυσική παρουσία τους ενώπιον αρμόδιων στελεχών σύμφωνα με τα προβλεπόμενα στην παρούσα πράξη, οι οποίοι ελέγχουν τα έγγραφα που τεκμηριώνουν την ταυτότητα του Τελικού Χρήστη (§3.2.3). Τα Αναγνωρισμένα Πιστοποιητικά Τελικών Χρηστών αναφέρονται αποκλειστικά και μόνο σε φυσικά πρόσωπα. Σε κάθε περίπτωση το Αναγνωρισμένο Πιστοποιητικό συνδέεται κατ’ αποκλειστικότητα με ένα φυσικό πρόσωπο το οποίο και φέρει την αποκλειστική ευθύνη για αυτό το πιστοποιητικό. 1.2.1.2 Πολιτική Πιστοποιητικού 2 (ΠΠ 2) Η Πολιτική Πιστοποιητικού 2 (ΠΠ 2) αναφέρεται σε Πιστοποιητικά Τελικών Χρηστών που χρησιμοποιούνται για κρυπτογράφηση ηλεκτρονικών μηνυμάτων ή εγγράφων. Τα Πιστοποιητικά αυτά, μπορούν είτε να αποθηκεύονται σε ΑΔΔΥ είτε όχι. Για τα Πιστοποιητικά που ακολουθούν την ΠΠ 2 παρέχονται σε ορισμένες περιπτώσεις, οι οποίες εξειδικεύονται στην εκάστοτε Δήλωση Πρακτικής της εκδότριας Αρχής Πιστοποίησης, υπηρεσίες αρχειοθέτησης του ιδιωτικού κλειδιού του Τελικού Χρήστη, και συνεπώς η δυνατότητα ανάκτησης των ιδιωτικών κλειδιών των Τελικών Χρηστών. 1.2.1.3 Πολιτική Πιστοποιητικού 3 (ΠΠ 3) Η Πολιτική Πιστοποιητικού 3 (ΠΠ 3) αναφέρεται σε Αναγνωρισμένα Πιστοποιητικά Τελικών Χρηστών. Τα Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 3 χρησιμοποιούνται για ψηφιακή υπογραφή (προηγμένη ηλεκτρονική υπογραφή) ηλεκτρονικών μηνυμάτων και εγγράφων ή/και για αυθεντικοποίηση χρήστη. Ήτοι, τα Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 3 είναι κατάλληλα για να υποστηρίξουν προηγμένη ηλεκτρονική υπογραφή, σύμφωνα με τις διατάξεις της παράγ. 2 του άρθρου 3 του ΠΔ 150/2001 (ΦΕΚ 125/Α’), η οποία βασίζεται σε Αναγνωρισμένο Πιστοποιητικό και δε δημιουργείται σε ΑΔΔΥ. Η ΠΠ 3 αντιστοιχεί στην δημόσια πολιτική πιστοποιητικών “QCP public” όπως περιγράφεται στο «έγγραφο Πολιτικής ETSI 101 456» του European Telecommunications Standards Institute – ETSI (εφεξής αναφερόμενο ως έγγραφο Πολιτικής ETSI 101 456) αναφορικά με τις Απαιτήσεις Πολιτικής για Αρχές Πιστοποίησης που εκδίδουν Αναγνωρισμένα Πιστοποιητικά. Τα Πιστοποιητικά που εκδίδονται με βάση την ΠΠ 3 πιστοποιούν την αντιστοιχία του φυσικού προσώπου (Τελικού Χρήστη) με τα στοιχεία που αναφέρονται στο έγγραφο ταυτοποίησης του. Η ταυτοποίηση των τελικών χρηστών προϋποθέτει τη φυσική παρουσία τους ενώπιον αρμόδιων στελεχών σύμφωνα με τα προβλεπόμενα στην παρούσα πράξη, οι οποίοι ελέγχουν τα έγγραφα που τεκμηριώνουν την ταυτότητα του Τελικού Χρήστη (§3.2.3). 7 Τα Αναγνωρισμένα Πιστοποιητικά Τελικών Χρηστών αναφέρονται αποκλειστικά και μόνο σε φυσικά πρόσωπα. Σε κάθε περίπτωση το Αναγνωρισμένο Πιστοποιητικό συνδέεται κατ’ αποκλειστικότητα με ένα φυσικό πρόσωπο το οποίο και φέρει την αποκλειστική ευθύνη για αυτό το πιστοποιητικό. 1.2.1.4 Πολιτική Πιστοποιητικού 4 (ΠΠ 4) Η Πολιτική Πιστοποιητικού 4 (ΠΠ 4) αναφέρεται σε Αναγνωρισμένα Πιστοποιητικά Τελικών Χρηστών. Τα Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 4 χρησιμοποιούνται για αυθεντικοποίηση χρήστη από φορείς που απαιτούν την ύπαρξη τομεακών αναγνωριστικών στο πιστοποιητικό και μπορούν είτε να αποθηκεύονται σε ΑΔΔΥ είτε όχι. Η ταυτοποίηση των τελικών χρηστών προϋποθέτει τη φυσική παρουσία τους ενώπιον αρμόδιων στελεχών σύμφωνα με τα προβλεπόμενα στην παρούσα πράξη, οι οποίοι ελέγχουν τα έγγραφα που τεκμηριώνουν την ταυτότητα του Τελικού Χρήστη (§3.2.3) καθώς και τα έγγραφα – αποδεικτικά από τα οποία να προκύπτει η απόδοση του τομεακού αναγνωριστικού στον τελικό χρήστη. 1.2.1.5 Πολιτική Πιστοποιητικού 5 (ΠΠ 5) Για την Πολιτική Πιστοποιητικού 5 (ΠΠ 5) ισχύουν όλα τα προβλεπόμενα της ΠΠ 1, με την μόνη διαφορά, ότι το Αναγνωρισμένο Πιστοποιητικό εκδίδεται σε φυσικό πρόσωπο (Τελικός Χρήστης) που φέρει την ιδιότητα του νόμιμου εκπροσώπου νομικού προσώπου ή άλλο νομίμως εξουσιοδοτημένο πρόσωπο του νομικού προσώπου. Η ταυτοποίηση των Τελικών Χρηστών προϋποθέτει τη φυσική παρουσία τους ενώπιον αρμόδιων στελεχών σύμφωνα με τα προβλεπόμενα στην παρούσα πράξη, οι οποίοι ελέγχουν τα έγγραφα που τεκμηριώνουν την ταυτότητα του Τελικού Χρήστη και τη σχέση του με το φορέα (§3.2.2 – §3.2.3). 1.2.1.6 Πολιτική Πιστοποιητικού 6 (ΠΠ 6) Για την Πολιτική Πιστοποιητικού 6 (ΠΠ 6) ισχύουν όλα τα προβλεπόμενα της ΠΠ 2, με την μόνη διαφορά, ότι το Πιστοποιητικό εκδίδεται σε φυσικό πρόσωπο (Τελικός Χρήστης) που φέρει την ιδιότητα του νόμιμου εκπροσώπου νομικού προσώπου ή άλλο νομίμως εξουσιοδοτημένο πρόσωπο του νομικού προσώπου. Η ταυτοποίηση των Τελικών Χρηστών προϋποθέτει τη φυσική παρουσία τους ενώπιον αρμόδιων στελεχών σύμφωνα με τα προβλεπόμενα στην παρούσα πράξη, οι οποίοι ελέγχουν τα έγγραφα που τεκμηριώνουν την ταυτότητα του Τελικού Χρήστη και τη σχέση του με το φορέα (§3.2.2 – §3.2.3). 8 1.2.1.7 Πολιτική Πιστοποιητικού 7 (ΠΠ 7) Η Πολιτική Πιστοποίησης 7 (ΠΠ 7) αναφέρεται σε Πιστοποιητικά Φορέων του δημοσίου τομέα τα οποία χρησιμοποιούνται για ψηφιακή υπογραφή (προηγμένη ηλεκτρονική υπογραφή) και κρυπτογράφηση ηλεκτρονικών μηνυμάτων και εγγράφων που εκδίδονται από τον εν λόγω Φορέα. Για τα Πιστοποιητικά αυτά «Τελικό Χρήστη» αποτελεί ο ίδιος ο Φορέας του δημοσίου τομέα, στο όνομα του οποίου εκδίδεται το Πιστοποιητικό, ενώ ο εκάστοτε νόμιμος εκπρόσωπος του φορέα, ή ο νόμιμος εκπρόσωπος του εποπτεύοντος φορέα, ή άλλο νομίμως εξουσιοδοτημένο για αυτό το σκοπό φυσικό πρόσωπο (εφεξής «Εκπρόσωπος του Φορέα») είναι υπεύθυνος για τη διαχείρισή του ως άνω Πιστοποιητικού ως «αιτών» το πιστοποιητικό (Subscriber). Τα Πιστοποιητικά αυτά δύνανται να δημιουργούνται ή/και να αποθηκεύονται σε ΑΔΔΥ ή σε άλλη Ασφαλή Κρυπτογραφική Μονάδα. Η όποια αναφορά σε «Εκπρόσωπο Φορέα» σε αυτό το έγγραφο, αφορά τη συγκεκριμένη Πολιτική Πιστοποίησης και μόνο. 1.2.2 Κριτήρια ένταξης ΥπΑΠ στην παρούσα Υποδομή Δημοσίου Κλειδιού Ως ΥπΑΠ στην παρούσα Υποδομή Δημοσίου Κλειδιού – ΥΔΚ, σύμφωνα με τις διατάξεις του παρόντος, εντάσσονται οι φορείς του δημόσιου τομέα οι οποίοι παρέχουν υπηρεσίες πιστοποίησης σύμφωνα με το άρθρο 20 του Νόμου 3448/2006 (ΦΕΚ 57/Α’) και ασκούν αρμοδιότητες για τη διεκπεραίωση των οποίων απαιτείται πιστοποίηση. Στην παρούσα ΥΔΚ μπορούν να ενταχθούν και φορείς σύμφωνα με τις διατάξεις της παραγράφου 5 του άρθρου 20 του Νόμου 3448/2006 (ΦΕΚ 57/Α’). Για την ένταξη ενός φορέα στην ΥΔΚ της ΑΠΕΔ, απαιτείται η αποδεδειγμένη συμμόρφωση του με όλα τα προβλεπόμενα στην παρούσα ΠΠ και η πρότερη έγκριση της ΑΠΕΔ. Ο φορέας που επιθυμεί να ενταχθεί στην παρούσα ΥΔΚ είτε αποδέχεται πλήρως τη Δήλωση Πρακτικής των Υποκείμενων Αρχών Πιστοποίησης της Αρχής Πιστοποίησης του Ελληνικού Δημοσίου είτε υποβάλει προς έλεγχο και έγκριση από την ΑΠΕΔ προτάσεις διαφοροποιήσεων της πρακτικής του,
ενότητα §1.5.3 του παρόντος. 1.2.3 Κριτήρια συμμόρφωσης Τρίτων Φορέων – Παρόχων Υπηρεσιών Πιστοποίησης με τις Πολιτικές Πιστοποιητικών της ΑΠΕΔ Προκειμένου ένας Τρίτος Φορέας – Πάροχος Υπηρεσιών Πιστοποίησης να χρησιμοποιήσει μία ή περισσότερες από τις πολιτικές πιστοποιητικών της ΑΠΕΔ, και να συμπεριλάβει τη συγκεκριμένη τιμή προσδιοριστή αντικειμένου (βλ. κατωτέρω ενότητα §1.2.5 της ΠΠ), απαιτείται η αποδεδειγμένη συμμόρφωση του με τα προβλεπόμενα στην παρούσα ΠΠ και η πρότερη έγκριση της ΑΠΕΔ. Ειδικότερα, εφαρμόζονται εν προκειμένω οι διατάξεις της παραγράφου 5, εδάφιο β’ του άρθρου 20 του Νόμου 3448/2006. 1.2.4 Προσφερόμενες Υπηρεσίες της Αρχής Πιστοποίησης Ελληνικού Δημοσίου (ΑΠΕΔ) 9 Η ΑΠΕΔ παρέχει υπηρεσίες πιστοποίησης σε Φορείς του δημόσιου τομέα που εντάσσονται στην παρούσα Υποδομή Δημοσίου Κλειδιού,
ενότητα §1.2.2 και §1.2.3 της ΠΠ ανωτέρω. 1.2.5 Τιμές Προσδιοριστή Αντικειμένου Τα Πιστοποιητικά που εκδίδονται σύμφωνα με τις πολιτικές πιστοποιητικών της ΑΠΕΔ περιλαμβάνουν τιμές προσδιοριστή αντικειμένου (Object Identifier) που αντιστοιχούν στην εκάστοτε πολιτική πιστοποιητικού που ακολουθείται. Η τιμή προσδιοριστή αντικειμένου για την: • ΠΠ 1 είναι: 1.2.300.0.110001.1.7.1.1.1 • ΠΠ 2 είναι: 1.2.300.0.110001.1.7.1.1.2 • ΠΠ 3 είναι: 1.2.300.0.110001.1.7.1.1.3 • ΠΠ 4 είναι: 1.2.300.0.110001.1.7.1.1.4 • ΠΠ 5 είναι: 1.2.300.0.110001.1.7.1.1.5 • ΠΠ 6 είναι: 1.2.300.0.110001.1.7.1.1.6 • ΠΠ 7 είναι: 1.2.300.0.110001.1.7.1.1.7 1.3 Συμμετέχοντες στην Υποδομή Δημοσίου Κλειδιού Η παρούσα ΠΠ διέπει τις υπηρεσίες Υποδομής Δημοσίου Κλειδιού που παρέχονται σύμφωνα με τις διατάξεις του άρθρου 20 του Νόμου 3448/2006 (ΦΕΚ 57/Α’). 1.3.1 Αρχές Πιστοποίησης Η Πρωτεύουσα Αρχή Πιστοποίησης είναι αρμόδια για την πιστοποίηση, τον καθορισμό των κατευθύνσεων και το συντονισμό των άλλων δημοσίων υπηρεσιών ή φορέων του δημόσιου τομέα (Υποκείμενες Αρχές Πιστοποίησης), οι οποίοι διαχειρίζονται ψηφιακά πιστοποιητικά και εντάσσονται στην παρούσα Υποδομή Δημοσίου Κλειδιού ή ακολουθούν μία ή περισσότερες εκ των πολιτικών πιστοποίησης της ΑΠΕΔ, κατά τα οριζόμενα στην παράγραφο 2 του άρθρου 20 του Ν 3448/2006 (ΦΕΚ 57/Α’), και εγγράφονται στο μητρώο Παρόχων Υπηρεσιών Πιστοποίησης της Εθνικής Επιτροπής Τηλεπικοινωνιών και Ταχυδρομείων (ΕΕΤΤ), σύμφωνα με το άρθρο 10 του υπ’ αριθ. 248/71/2002 Κανονισμού Παροχής Υπηρεσιών Πιστοποίησης Ηλεκτρονικής Υπογραφής (ΦΕΚ 603/Β’). Ως εκ τούτου:
ΠΠ 1, ΠΠ 3 και ΠΠ 5 οι Τελικοί Χρήστες θα πρέπει να έχουν δικαιοπρακτική ικανότητα. 11 Για Πιστοποιητικά που εκδίδονται
ΠΠ 7 ως Τελικός Χρήστης νοείται ο φορέας του δημοσίου τομέα, στο όνομα του οποίου εκδίδεται το Πιστοποιητικό. 1.3.4 Τρίτοι Συμμετέχοντες Ως Τρίτοι Συμμετέχοντες νοούνται τα φυσικά ή νομικά πρόσωπα που ενεργούν βάσει εμπιστοσύνης σε κάποιο Πιστοποιητικό που έχει εκδοθεί σύμφωνα με τις διατάξεις του παρόντος. Ο Τρίτος Συμμετέχοντας μπορεί να είναι, ή και να μην είναι, Τελικός Χρήστης εντός της ΥΔΚ της ΑΠΕΔ. 1.4 Εφαρμογή των Πιστοποιητικών 1.4.1 Εγκεκριμένες Χρήσεις Πιστοποιητικών Οι προηγμένες ηλεκτρονικές υπογραφές που βασίζονται σε Πιστοποιητικά που ακολουθούν την ΠΠ 1 ή την ΠΠ 5 και έχουν δημιουργηθεί από ασφαλή διάταξη δημιουργίας υπογραφής επέχουν θέση ιδιόχειρης υπογραφής τόσο στο ουσιαστικό όσο και στο δικονομικό δίκαιο όπως αναφέρεται στην κείμενη εθνική νομοθεσία (ΠΔ 150/2001). Τα Πιστοποιητικά που ακολουθούν την ΠΠ 1 ή την ΠΠ 5, αποτελούν Πιστοποιητικά ηλεκτρονικής υπογραφής ή/και Πιστοποιητικά αυθεντικοποίησης (ανάλογα με την τιμή που ορίζεται στα πεδία ΚeyUsage και Extended Key Usage που περιλαμβάνουν,
ενότητα §7.1.2.1). Το ζεύγος κλειδιών που περιλαμβάνεται στα Πιστοποιητικά που ακολουθούν την ΠΠ 2 ή την ΠΠ 6 χρησιμοποιούνται για κρυπτογράφηση δεδομένων και εγγράφων. Οι προηγμένες ηλεκτρονικές υπογραφές που βασίζονται σε Πιστοποιητικά που ακολουθούν την ΠΠ 3 και δεν έχουν δημιουργηθεί από ασφαλή διάταξη δημιουργίας υπογραφής, ανταποκρίνονται στην παράγραφο 2 του άρθρου 3 του ΠΔ 150/2001, η οποία προβλέπει ότι η ισχύς της ηλεκτρονικής υπογραφής ή το παραδεκτό της ως αποδεικτικού στοιχείου δεν αποκλείεται από μόνο το λόγο ότι δε συντρέχουν οι προϋποθέσεις της παραγράφου 1 του ίδιου άρθρου. Επομένως η ΠΠ 3 σκοπό έχει να διευκολύνει εφαρμογές για προηγμένες ηλεκτρονικές υπογραφές όπου το επίπεδο ισχύος που παρέχεται από το άρθρο 3 παράγραφος 2 του ΠΔ 150/2001 είναι κατάλληλο και επαρκές. Δηλαδή τα Αναγνωρισμένα Πιστοποιητικά που εκδίδονται
ΠΠ 3 υποστηρίζουν τη χρήση ψηφιακών υπογραφών των οποίων δεν θα αμφισβητηθεί η νομική αποτελεσματικότητα απλά και μόνο επειδή δε συνδυάζονται με τη χρήση ΑΔΔΥ. Τα Πιστοποιητικά που ακολουθούν την ΠΠ 3, αποτελούν Πιστοποιητικά Ηλεκτρονικής Υπογραφής ή/και Πιστοποιητικά Αυθεντικοποίησης (ανάλογα με την τιμή που ορίζεται στα πεδία ΚeyUsage και Extended Key Usage που περιλαμβάνουν,
ενότητα §7.1.2.1). 12 Τα Πιστοποιητικά που ακολουθούν την ΠΠ 4 χρησιμοποιούνται αποκλειστικά και μόνο για την αυθεντικοποίηση του Τελικού Χρήστη, όπου η χρήση τομεακών αναγνωριστικών κρίνεται απαραίτητη, και όχι για ηλεκτρονική υπογραφή. Τα Πιστοποιητικά που ακολουθούν την ΠΠ 7 χρησιμοποιούνται για την ψηφιακή υπογραφή μηνυμάτων και εγγράφων που εκδίδονται από τον Φορέα του δημόσιου τομέα, στο όνομα του οποίου έχει εκδοθεί το Πιστοποιητικό, καθώς και για την κρυπτογράφηση μηνυμάτων και εγγράφων που αποστέλλονται προς τον εν λόγω φορέα. Τα Πιστοποιητικά Τελικών Χρηστών που εκδίδονται για φυσικά πρόσωπα είναι αυστηρώς προσωπικά και χρησιμοποιούνται στα πλαίσια που προβλέπονται από τις Δηλώσεις Πρακτικής των εκδοτριών ΑΠ. Οι εφαρμογές στις οποίες μπορούν να χρησιμοποιηθούν τα Πιστοποιητικά Τελικών Χρηστών που θα παρασχεθούν βάσει της Υποδομής Δημοσίου Κλειδιού του παρόντος και με την χρήση προηγμένης ηλεκτρονικής υπογραφής, όπου απαιτείται, δύνανται να είναι αποκλειστικά μία ή περισσότερες από τις εξής: • Έλεγχος πρόσβασης • Ασφαλής προσδιορισμός ηλεκτρονικής ταυτότητας • Προσδιορισμός του Υπευθύνου για κάθε σχετική ηλεκτρονική επικοινωνία / συναλλαγή • Υπογραφή και κρυπτογράφηση ηλεκτρονικών αρχείων (π.χ. αρχεία Adobe Acrobat) • Ασφαλής χρήση ηλεκτρονικού ταχυδρομείου / μηνυμάτων (υπογραφή και κρυπτογράφηση) 1.4.1.1 Μελλοντικές χρήσεις πιστοποιητικών τελικών χρηστών Ενδεχόμενες μελλοντικές χρήσεις Πιστοποιητικών Τελικών Χρηστών θα προσδιοριστούν κατόπιν αποφάσεως της ΑΠΕΔ. 1.4.1.2 Περιορισμοί στη χρήση των πιστοποιητικών Τα πιστοποιητικά που είναι σύμφωνα με τις ΠΠ 1, ΠΠ 3 και ΠΠ 5, έχουν περιορισμούς στη χρήση τους όπως ορίζεται στην §1.4.1 του παρόντος. Σε κάθε περίπτωση οι διατάξεις του παρόντος δε θίγουν διατάξεις που αναφορικά με τη σύναψη και την ισχύ συμβάσεων ή εν γένει νομικών υποχρεώσεων, επιβάλλουν τη χρήση ορισμένου τύπου, ούτε διατάξεις για την αποδεικτική ή άλλη χρήση εγγράφων ή διατάξεις με τις οποίες απαγορεύεται να διακινούνται και να καθίστανται γνωστά έγγραφα ορισμένων κατηγοριών και δεδομένα προσωπικού χαρακτήρα, σύμφωνα και με τις διατάξεις της παρ. 2 του άρθρου 1 του ΠΔ 150/2001 (ΦΕΚ 25/Α’). 1.4.2 Μη εγκεκριμένες εφαρμογές 13 Τα Πιστοποιητικά δεν έχουν σχεδιαστεί, δεν αποσκοπούν και δεν είναι εγκεκριμένα να χρησιμοποιηθούν σε περιπτώσεις όπου απαιτείται τήρηση στοιχείων υψηλής διαβάθμισης ή συνθηκών υψηλής ασφάλειας (όπως για παράδειγμα, εθνική άμυνα και ασφάλεια). Εξάλλου, απαγορεύεται η χρήση των Πιστοποιητικών για σκοπούς άλλους από εκείνους για τους οποίους αυστηρά εκδόθηκαν. 1.5 Διαχείριση Πολιτικής 1.5.1 Οργανισμός που διαχειρίζεται το έγγραφο Την παρούσα ΠΠ εκδίδει και τροποποιεί η ΑΠΕΔ, ως Πρωτεύουσα Αρχή Πιστοποίησης σύμφωνα με τις διατάξεις της παραγράφου 2 του άρθρου 20 του Ν 3448/2006 (ΦΕΚ 57/Α). Τυχόν αιτήματα για διευκρινίσεις επί των κεφαλαίων του παρόντος θα απευθύνονται προς την ΑΠΕΔ. 1.5.2 Στοιχεία επικοινωνίας Τα στοιχεία επικοινωνίας για την Αρχή Πιστοποίησης του Ελληνικού Δημοσίου δημοσιεύονται στις παρακάτω ιστοσελίδες: • http://www.yap.gov.gr • http://www.ermis.gov.gr • http://www.syzefxis.gov.gr 1.5.3 Έγκριση Καταλληλότητας Δήλωσης Πρακτικής για την Πολιτική Πιστοποιητικών Η ΑΠΕΔ εξετάζει και εγκρίνει τις Δηλώσεις Πρακτικής των εκδοτριών ΑΠ αναφορικά με την καταλληλότητα και συμμόρφωσή τους σε τεχνικά, διαδικαστικά και συναφή ζητήματα, με τις απαιτήσεις του παρόντος. Τροποποιήσεις στις εγκεκριμένες Δηλώσεις Πρακτικής απαιτούν επίσης την προηγούμενη έγκριση της ΑΠΕΔ. Τροποποιήσεις επί του παρόντος απαιτούν την εκ νέου συμμόρφωση των εκδοτριών ΑΠ, σε χρονικό διάστημα που θα ορίζει η ΑΠΕΔ, και έγκριση από την ΑΠΕΔ των εκάστοτε Δηλώσεων Πρακτικής. 1.5.3.1 Διαδικασίες Έγκρισης Δήλωσης Πρακτικής Η ΑΠΕΔ λαμβάνει τα αναγκαία μέτρα, διαθέτει τον κατάλληλο μηχανισμό και τα μέσα για την επεξεργασία και έλεγχο συμμόρφωσης των Δηλώσεων Πρακτικής των εκδοτριών ΑΠ, και των ενδεχόμενων τροποποιήσεων τους με την παρούσα ΠΠ. 14 1.6 Ορισμοί και ακρωνύμια Στο Παράρτημα Α παρατίθεται Πίνακας Ορισμών και Ακρωνυμίων.
ενότητα §3.2.3 της ΠΠ. Η διατύπωση των ονομάτων των φυσικών προσώπων με λατινικούς χαρακτήρες γίνεται με τη χρήση του προτύπου ΕΛΟΤ 743 (εκτός και αν αυτό αναγράφεται με διαφορετικό τρόπο στο προσκομισθέν κατά την εγγραφή δικαιολογητικό – §3.2.3). Για Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 7 το πεδίο αυτό περιλαμβάνει την επίσημη Αγγλική ονομασία του Φορέα του δημόσιου τομέα για τον οποίον εκδίδεται το Πιστοποιητικό. Surname (SN) – Τα χαρακτηριστικό αυτό περιλαμβάνει το επώνυμο (ένα ή Επώνυμο = περισσότερα) του Τελικού Χρήστη με λατινικούς χαρακτήρες (με χρήση του προτύπου ΕΛΟΤ 743, εκτός και αν αναγράφεται με διαφορετικό τρόπο στο προσκομισθέν κατά την εγγραφή δικαιολογητικό). Για Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 7 το πεδίο αυτό δε χρησιμοποιείται. Given name (G) – Το χαρακτηριστικό αυτό περιλαμβάνει το όνομα (ή ονόματα) Όνομα = του Τελικού Χρήστη με λατινικούς χαρακτήρες (με χρήση του προτύπου ΕΛΟΤ 743, εκτός και αν αναγράφεται με διαφορετικό τρόπο στο προσκομισθέν κατά την εγγραφή δικαιολογητικό). Για Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 7 το πεδίο αυτό δε χρησιμοποιείται. Serial Number – Το χαρακτηριστικό αυτό περιλαμβάνει τον Κωδικό Διαχείρισης Σειριακός Αριθμός = Πιστοποιητικού του Τελικού Χρήστη. Για Πιστοποιητικά που εκδίδονται βάσει της ΠΠ 7 το πεδίο αυτό δε χρησιμοποιείται. 3.1.2 Ανάγκη Κατανόησης των Ονομάτων 19 Τα ονόματα που περιλαμβάνονται στα Πιστοποιητικά Τελικού Χρήστη βρίσκονται σε μορφή απλή και κατανοητή ώστε να επιτρέπουν τον προσδιορισμό της ταυτότητας του φυσικού προσώπου που αποτελεί το Υποκείμενο του Πιστοποιητικού. 3.1.3 Ανωνυμία ή ψευδωνυμία τελικού χρήστη Κατά τη διαδικασία εγγραφής διασφαλίζεται η τήρηση των διατάξεων της κείμενης νομοθεσίας για την προστασία των προσωπικών δεδομένων. Όταν απαιτείται από την νομοθεσία ή ζητείται από ένα φορέα ο οποίος πρόκειται να είναι και ο Τρίτος Συμμετέχοντας η προστασία της ταυτότητας του Τελικού Χρήστη, ένα Πιστοποιητικό δύναται να εκδίδεται με ψευδώνυμο, υποδεικνύοντας ότι η ταυτότητα του Τελικού Χρήστη έχει επαληθευτεί αλλά προστατεύεται. Οι εκδότριες ΑΠ που εκδίδουν Πιστοποιητικά με χρήση ψευδωνύμου περιγράφουν στη Δήλωση Πρακτικής τους τις προϋποθέσεις παροχής και χρήσης της συγκεκριμένης δυνατότητας. 3.1.4 Μοναδικότητα των Ονομάτων Οι εκδότριες ΑΠ της ΑΠΕΔ διασφαλίζουν ότι τα διακριτικά ονόματα Υποκειμένου είναι μοναδικά μέσω αυτοματοποιημένων διαδικασιών κατά τη διαδικασία εγγραφής των Τελικών Χρηστών. Στις περιπτώσεις συνωνυμίας τελικών χρηστών, οι εκδότριες ΑΠ διασφαλίζουν τη μοναδικότητα του ονόματος μέσω των διαδικασιών ελέγχου της συνωνυμίας και επίλυσης διαφορών, που περιγράφονται στην εφαρμοστέα Δήλωση Πρακτικής τους. 3.1.5 Αναγνώριση και Αυθεντικοποίηση Σε κάθε περίπτωση, οι Τελικοί Χρήστες δεν πρέπει να χρησιμοποιούν ονόματα στις Αιτήσεις τους που παραβιάζουν δικαιώματα πνευματικής ιδιοκτησίας τρίτων. 3.2 Αρχική Εγγραφή 3.2.1 Μέθοδος Απόδειξης της Κατοχής Ιδιωτικού Κλειδιού Οι εκδότριες ΑΠ επαληθεύουν ότι ο ενδιαφερόμενος Τελικός Χρήστης κατέχει το ιδιωτικό κλειδί υπογραφής μέσω της χρήσης ψηφιακά υπογεγραμμένου αιτήματος πιστοποιητικού σύμφωνα με το PKCS #10 (Πρότυπο Κρυπτογραφίας Δημόσιου Κλειδιού), άλλη ισοδύναμη κρυπτογραφικά μορφή ή άλλη μέθοδο εγκεκριμένη από την ΑΠΕΔ. 3.2.2 Μέθοδος Απόδειξης της Ταυτότητας Οργανισμού 3.2.2.1 Μέθοδος Απόδειξης της Ταυτότητας Νομικού Προσώπου (ΠΠ 5 και ΠΠ 6) Για όλα τα Πιστοποιητικά που ακολουθούν την ΠΠ 5 και ΠΠ 6, οι Αρχές Εγγραφής των εκδοτριών Αρχών Πιστοποίησης, πέρα των αναφερομένων στην ενότητα §3.2.3 κατωτέρω, επιβεβαιώνουν ότι: 20 • Ο Τελικός Χρήστης είναι ο νόμιμος εκπρόσωπος του νομικού προσώπου που έχει δηλώσει στην Αίτηση για Πιστοποιητικά. • Το νομικό πρόσωπο υφίσταται και λειτουργεί νόμιμα. • Ο Τελικός Χρήστης έχει εξουσιοδοτηθεί από το νομικό πρόσωπο να προμηθευτεί ψηφιακά Πιστοποιητικά. • Ο Αριθμός Φορολογικού Μητρώου (ΑΦΜ) του νομικού προσώπου, που ο Τελικός Χρήστης έχει δηλώσει στην Αίτηση για Πιστοποιητικά, είναι ορθός και αληθής. Τα απαιτούμενα δικαιολογητικά που υποβάλλονται από τον Τελικό Χρήστη είναι, πέρα από τα αναφερόμενα στην ενότητα §3.2.3, τα κάτωθι: • Νομιμοποιητικά έγγραφα (ή επικυρωμένα αντίγραφα αυτών) από τα οποία να προκύπτει η απόδοση Αριθμού Φορολογικού Μητρώου (ΑΦΜ) του νομικού προσώπου που εκπροσωπεί ο Τελικός Χρήστης ή τελευταία Βεβαίωση Μεταβολής Στοιχείων Νομικού Προσώπου. • Νομιμοποιητικά έγγραφα (ή επικυρωμένα αντίγραφα αυτών) του νομικού προσώπου για λογαριασμό του οποίου ο Τελικός Χρήστης θα ενεργεί ως νόμιμος εκπρόσωπος στις συναλλαγές του, από τα οποία να προκύπτει ρητά ότι ο Τελικός Χρήστης έχει εξουσιοδοτηθεί, ώστε να ενεργεί με το Πιστοποιητικό του για λογαριασμό του συγκεκριμένου νομικού προσώπου. • Άλλα απαραίτητα έγγραφα που περιγράφονται στη Δήλωση Πρακτικής της εκδότριας ΑΠ. 3.2.2.2 Μέθοδος Απόδειξης της Ταυτότητας Φορέα του Δημοσίου Τομέα (ΠΠ 7) Για όλα τα Πιστοποιητικά που ακολουθούν την ΠΠ 7, οι Αρχές Εγγραφής των εκδοτριών Αρχών Πιστοποίησης, επιβεβαιώνουν κατ’ ελάχιστον ότι: • Ο φορέας υφίσταται και λειτουργεί νόμιμα. • Το φυσικό πρόσωπο που αιτείται την έκδοση του Πιστοποιητικού, είναι Εκπρόσωπος του Φορέα κατά τη στιγμή που υποβάλλεται η Αίτηση. Σε κάθε περίπτωση, ο Φορέας υποχρεούται να ενημερώσει την Αρχή Εγγραφής για τις όποιες αλλαγές υφίστανται αναφορικά με την νόμιμη εκπροσώπησή του και την ανάθεση αρμοδιοτήτων σε νέο Εκπρόσωπο του Φορέα. 3.2.3 Μέθοδος Απόδειξης της Ταυτότητας Φυσικού Προσώπου 21 3.2.3.1 Πιστοποιητικά Φυσικών Προσώπων Για όλα τα Πιστοποιητικά φυσικών προσώπων, η αρμόδια Αρχή Εγγραφής ή/και εκδότρια Αρχή Πιστοποίησης, επιβεβαιώνουν ότι: • Ο Τελικός Χρήστης ή ο νόμιμος Εκπρόσωπος είναι το πρόσωπο που προσδιορίζεται στην Ηλεκτρονική Εγγραφή ή Αίτηση για Πιστοποιητικά. • Ο Τελικός Χρήστης διαθέτει το ιδιωτικό κλειδί που αντιστοιχεί στο δημόσιο κλειδί που αναγράφεται στο Πιστοποιητικό
• Οι πληροφορίες που περιλαμβάνονται στο Πιστοποιητικό είναι ακριβείς. • Η πιστοποίηση της ταυτότητας του Τελικού Χρήστη ή νόμιμου Εκπροσώπου γίνεται με την προσωπική (φυσική) επαφή του με στέλεχος του Εντεταλμένου Γραφείου, ή όπου αυτό κρίνεται απαραίτητο, με στέλεχος της Αρχής Εγγραφής, ή της Εκδότριας ΑΠ, όπου ελέγχεται η ταυτότητα του από το δελτίο αστυνομικής του ταυτότητας ή άλλο επίσημο έγγραφο – παραστατικό της ταυτότητας του προσώπου που φέρει επικυρωμένη φωτογραφία. Τα απαιτούμενα δικαιολογητικά που υποβάλλονται από τον Τελικό Χρήστη είναι: • Επικυρωμένο φωτοαντίγραφο του αστυνομικού δελτίου ταυτότητας ή άλλου επίσημου εγγράφου – αποδεικτικού της ταυτότητας του φυσικού προσώπου. • Άλλα απαραίτητα έγγραφα που περιγράφονται στη Δήλωση Πρακτικής της εκδότριας ΑΠ. • Πρόσθετα έγγραφα – αποδεικτικά από τα οποία να προκύπτει η απόδοση του τομεακού αναγνωριστικού στον τελικό χρήστη, όταν αυτά απαιτείται να συμπεριληφθούν σε πιστοποιητικό που εκδίδεται
ΠΠ 4. • Πρόσθετα έγγραφα τα οποία να τεκμηριώνουν την προσθήκη στοιχείων στα πεδία Organization (O) και Organization Unit (OU) του Διακριτικού Ονόματος του Υποκειμένου, όπου αυτό απαιτείται. 3.2.3.2 Πιστοποιητικά Φορέων Για τα Πιστοποιητικά Φορέων (ΠΠ 7), η αρμόδια Αρχή Εγγραφής ή/και εκδότρια Αρχή Πιστοποίησης, επιβεβαιώνουν ότι: • Ο Εκπρόσωπος του Φορέα είναι το πρόσωπο που προσδιορίζεται στην Ηλεκτρονική Εγγραφή ή Αίτηση για Πιστοποιητικά. • Ο Τελικός Χρήστης διαθέτει το ιδιωτικό κλειδί που αντιστοιχεί στο δημόσιο κλειδί που αναγράφεται στο Πιστοποιητικό
• Οι πληροφορίες που περιλαμβάνονται στο Πιστοποιητικό είναι ακριβείς. 22 • Η πιστοποίηση της ταυτότητας του προσώπου που υποβάλλει την αίτηση γίνεται με την προσωπική (φυσική) επαφή του με στέλεχος του Εντεταλμένου Γραφείου, ή όπου αυτό κρίνεται απαραίτητο, με στέλεχος της Αρχής Εγγραφής, ή της Εκδότριας ΑΠ, όπου ελέγχεται η ταυτότητα του από το δελτίο αστυνομικής του ταυτότητας ή άλλο επίσημο έγγραφο – παραστατικό της ταυτότητας του προσώπου που φέρει επικυρωμένη φωτογραφία. Τα απαιτούμενα δικαιολογητικά που υποβάλλονται από τον Εκπρόσωπο του Φορέα είναι: • Επικυρωμένο φωτοαντίγραφο του αστυνομικού δελτίου ταυτότητας ή άλλου επίσημου εγγράφου – αποδεικτικού της ταυτότητας του φυσικού προσώπου. • Νομιμοποιητικά έγγραφα από τα οποία να προκύπτει ότι το φυσικό πρόσωπο αποτελεί το νόμιμο εκπρόσωπο του φορέα, ή νόμιμο εκπρόσωπο του εποπτεύοντος φορέα, ή άλλο νομίμως εξουσιοδοτημένο για το σκοπό αυτό πρόσωπο. • Εξουσιοδότηση από τον νόμιμο εκπρόσωπο του φορέα, ή το νόμιμο εκπρόσωπο του εποπτεύοντος φορέα, όπου έχει εφαρμογή. • Άλλα απαραίτητα έγγραφα που περιγράφονται στη Δήλωση Πρακτικής της εκδότριας ΑΠ. 3.2.4 Πληροφορίες Τελικού Χρήστη που Δεν Επαληθεύονται Τα πιστοποιητικά των Τελικών Χρηστών δε περιλαμβάνουν πληροφορίες που δεν επαληθεύονται. 3.2.5 Επαλήθευση Δικαιωμάτων Για τα Πιστοποιητικά που ακολουθούν την ΠΠ 5, ΠΠ 6 οι Αρχές Εγγραφής των εκδοτριών ΑΠ επαληθεύουν (§3.2.2) ότι ο Τελικός Χρήστης έχει εξουσιοδοτηθεί και δικαιούται να αιτηθεί Πιστοποιητικά προκειμένου να ενεργεί για λογαριασμό του νομικού προσώπου που δηλώνει στην Αίτηση για Πιστοποιητικό. Για τα Πιστοποιητικά που ακολουθούν την ΠΠ 7, η αρμόδια Αρχή Εγγραφής ή η εκδότρια Αρχή Πιστοποίησης, επαληθεύουν ότι το φυσικό πρόσωπο που αιτείται το Πιστοποιητικό είναι, τη στιγμή υποβολής της Αίτησης, ο νόμιμος εκπρόσωπος του φορέα, ή νόμιμος εκπρόσωπος του εποπτευόμενου φορέα, ή φυσικό πρόσωπο που έχει εξουσιοδοτηθεί για αυτό το σκοπό, και στο όνομα του οποίου θα επαληθευτεί το Πιστοποιητικό. 3.2.6 Κριτήρια Διαλειτουργικότητας Η ΑΠΕΔ μπορεί να παρέχει υπηρεσίες διαλειτουργικότητας οι οποίες προσφέρουν σε Αρχές Πιστοποίησης εκτός της Υποδομής της ΑΠΕΔ, τη δυνατότητα να διασφαλίζουν διαλειτουργικότητα με την ΥΔΚ της ΑΠΕΔ, πιστοποιώντας μονόπλευρα την συγκεκριμένη ΑΠ. Οι ΑΠ που διαθέτουν αυτές τις δυνατότητες διαλειτουργικότητας θα συμμορφώνονται προς την παρούσα ΠΠ και κάθε επιπλέον πολιτική που προστίθεται σε αυτή όταν απαιτείται. 23 Η ΑΠΕΔ θα επιτρέπει τη διαλειτουργικότητα μεταξύ αυτής και Αρχών Πιστοποίησης εκτός της δικής της ΥΔΚ, σε περιπτώσεις κατά τις οποίες η ενδιαφερόμενη Αρχή Πιστοποίησης πληροί τις ακόλουθες ελάχιστες προϋποθέσεις: • Συνάπτει σύμβαση με την ΑΠΕΔ. • Λειτουργεί σύμφωνα με Δήλωση Πρακτικής η οποία πληροί τις απαιτήσεις της παρούσας Πολιτικής Πιστοποιητικών ως προς τις πολιτικές πιστοποιητικών που πρόκειται να εκδίδει. • Υποβάλλεται σε αξιολόγηση συμμόρφωσης προτού της επιτραπεί η διαλειτουργικότητα. • Υποβάλλεται σε ετήσια αξιολόγηση συμμόρφωσης για να διασφαλιστεί ότι εξακολουθεί να πληροί τις προϋποθέσεις διαλειτουργικότητας. 3.3 Ταυτοποίηση και Αυθεντικοποίηση για Επαναδημιουργία Κλειδιών 3.3.1 Ταυτοποίηση και Αυθεντικοποίηση για Τακτική Επαναδημιουργία Κλειδιών Για τα Πιστοποιητικά τελικού χρήστη, τα οποία δεν έχουν ανακληθεί και είναι σε ισχύ, είναι δυνατή η ανανέωσή τους με ταυτόχρονη επαναδημιουργία κλειδιών, σύμφωνα με τις καταγεγραμμένες διαδικασίες στις Δηλώσεις Πρακτικής των εκδοτριών ΑΠ, οι οποίες επιβεβαιώνουν ότι ο χρήστης που αιτείται την επαναδημιουργία κλειδιών είναι πράγματι το Υποκείμενο του Πιστοποιητικού ή εξουσιοδοτημένο προς το σκοπό αυτό πρόσωπο. 3.3.2 Ταυτοποίηση και Αυθεντικοποίηση για Επαναδημιουργία Κλειδιών Μετά την Ανάκληση Η Επαναδημιουργία Κλειδιών μετά την ανάκληση δεν είναι δυνατή εφόσον: • Η ανάκληση συνέβη επειδή τα Πιστοποιητικά εκδόθηκαν προς πρόσωπο διαφορετικό από αυτό το οποίο κατονομάζεται ως το Υποκείμενο του Πιστοποιητικού. • Τα Πιστοποιητικά εκδόθηκαν χωρίς τη συγκατάθεση του προσώπου το οποίο κατονομάζεται ως Υποκείμενο τους, ή του εξουσιοδοτημένου για αυτό το σκοπό φυσικού προσώπου. • Το πρόσωπο το οποίο εγκρίνει την Ηλεκτρονική Εγγραφή ή Αίτηση του Τελικού Χρήστη για Πιστοποιητικά ανακαλύπτει ή έχει λόγο να πιστεύει ότι ορισμένα ουσιώδη στοιχεία στην Ηλεκτρονική Εγγραφή η Αίτηση για Πιστοποιητικά είναι ψευδή. Υπό τους ανωτέρω όρους, τα Πιστοποιητικά Τελικού Χρήστη, τα οποία έχουν ανακληθεί ή έχουν λήξει, είναι δυνατόν να αντικατασταθούν (να ξαναδημιουργηθούν τα ζεύγη κλειδιών), σύμφωνα με τις §3.4, §3.2.3 της ΠΠ και όπου εφαρμόζεται της §3.2.2 και §3.2.2.2. 24 3.4 Ταυτοποίηση και Αυθεντικοποίηση για Αίτηση Ανάκλησης Για την ανάκληση Πιστοποιητικών Τελικών Χρηστών ακολουθούνται καταγεγραμμένες, στις Δηλώσεις Πρακτικής των εκδοτριών ΑΠ διαδικασίες, οι οποίες επιβεβαιώνουν ότι ο χρήστης που αιτείται την ανάκληση είναι πράγματι το υποκείμενο του Πιστοποιητικού ή εξουσιοδοτημένο προς το σκοπό αυτό πρόσωπο. 4. Λειτουργικές Απαιτήσεις Κύκλου Ζωής Πιστοποιητικών 4.1 Αίτηση για Έκδοση Πιστοποιητικού 4.1.1 Ποιος Μπορεί να Υποβάλλει Αίτηση για Έκδοση Πιστοποιητικού Για την έκδοση Πιστοποιητικού Τελικού Χρήστη, το πρόσωπο που μπορεί να υποβάλει αίτηση Πιστοποιητικού είναι το φυσικό πρόσωπο που αποτελεί το Υποκείμενο του Πιστοποιητικού. Όταν πρόκειται για Πιστοποιητικά Τελικού Χρήστη που εκδίδονται για λογαριασμό νομικών προσώπων (ΠΠ 5 και ΠΠ 6), το πρόσωπο που μπορεί να υποβάλει αίτηση Πιστοποιητικού είναι το φυσικό πρόσωπο που φέρει την ιδιότητα του νόμιμου εκπροσώπου του νομικού προσώπου ή άλλο νομίμως εξουσιοδοτημένο πρόσωπο του νομικού προσώπου. Για την έκδοση Πιστοποιητικού Φορέα (ΠΠ 7) το φυσικό πρόσωπο που μπορεί να υποβάλλει Αίτηση Πιστοποιητικού φέρει την ιδιότητα του νόμιμου Εκπροσώπου του Φορέα κατά τη συγκεκριμένη χρονική στιγμή, ή νόμιμου εκπροσώπου του εποπτεύοντος φορέα, ή άλλου νομίμως εξουσιοδοτημένου για το σκοπό αυτό προσώπου. Για την έκδοση Πιστοποιητικού Αρχής Εγγραφής, το πρόσωπο που μπορεί να υποβάλει αίτηση Πιστοποιητικού είναι κάθε εξουσιοδοτημένος εκπρόσωπος της Αρχής Εγγραφής. Για την έκδοση Πιστοποιητικού Αρχής Πιστοποίησης, το πρόσωπο που μπορεί να υποβάλει αίτηση Πιστοποιητικού είναι κάθε εξουσιοδοτημένος εκπρόσωπος της Αρχής Πιστοποίησης. 4.1.2 Διαδικασίες για τη χορήγηση Πιστοποιητικού 4.1.2.1 Διαδικασίες για τη χορήγηση Πιστοποιητικού Τελικού Χρήστη Για τη χορήγηση Πιστοποιητικών Τελικού Χρήστη, όλοι οι Τελικοί Χρήστες υποβάλλονται σε διαδικασία εγγραφής και επαλήθευσης της ταυτότητας, η οποία περιγράφεται στις Δηλώσεις Πρακτικής των εκδοτριών ΑΠ, και η οποία τουλάχιστον συνίσταται σε: • Φυσική παρουσία του ίδιου του Τελικού Χρήστη, ή του Εκπροσώπου του Φορέα στην περίπτωση της ΠΠ 7, σε αρμόδιο Εντεταλμένο Γραφείο ή, όπου αυτό κρίνεται απαραίτητο, σε εκπροσώπους της Αρχής Εγγραφής ή της Εκδότριας ΑΠ. • Γραπτή ή ηλεκτρονική αποδοχή των Όρων Χρήσης Πιστοποιητικού (ΟΧΠ). 25 • Δημιουργία ή υποβολή αιτήματος για δημιουργία ζεύγους κλειδιών
• Αποστολή του δημόσιου κλειδιού από τον Τελικό Χρήστη, στην εκδότρια ΑΠ,
• Ο Τελικός Χρήστης αποδεικνύει στην εκδότρια ΑΠ
.2.1 της ΠΠ ότι έχει στην κατοχή του το ιδιωτικό κλειδί υπογραφής που αντιστοιχεί στο δημόσιο κλειδί που απέστειλε στην εκδότρια ΑΠ. Τα αρχεία που διατηρούνται
.5.1 της ΠΠ περιλαμβάνουν τις πληροφορίες που χρησιμοποιούνται για να ταυτοποιήσουν τον Τελικό Χρήστη, ή τον Εκπρόσωπο του Φορέα στην περίπτωση της ΠΠ 7 (συμπεριλαμβανομένου οιουδήποτε στοιχείου που χρησιμοποιείται για την ταυτοποίηση), καθώς και ένα αρχείο των Όρων Χρήσης Πιστοποιητικού (ΟΧΠ) είτε σε χαρτί είτε σε ηλεκτρονική μορφή. Στην περίπτωση μιας αίτησης για ανανέωση ή επανέκδοση: • οποιεσδήποτε αλλαγές στους ΟΧΠ μετά από την προηγούμενη εγγραφή ή επανεγγραφή είναι σύμφωνες με την §2.2 της ΠΠ και • τα αρχεία που διατηρούνται
.5.1 της ΠΠ επίσης περιλαμβάνουν τη συγκατάθεση του Τελικού Χρήστη, ή του Εκπροσώπου του Φορέα στην περίπτωση της ΠΠ7, για τις παραπάνω αλλαγές. 4.2 Επεξεργασία Αίτησης Έκδοσης Πιστοποιητικού 4.2.1 Έκδοση Πιστοποιητικού Τελικού Χρήστη Με την υποβολή των απαραίτητων νομιμοποιητικών εγγράφων, εξουσιοδοτημένος υπάλληλος του Εντεταλμένου Γραφείου ή, όπου αυτό κρίνεται απαραίτητο, της Αρχής Εγγραφής ή της Εκδότριας ΑΠ, επιβεβαιώνει τα στοιχεία ταυτοποίησης
Με την επιτυχή τέλεση όλων των απαιτούμενων διαδικασιών ταυτοποίησης η ΑΠ θα προχωρήσει στην έκδοση των σχετικών Πιστοποιητικών. Εφόσον η ταυτοποίηση δεν είναι επιτυχής, αντίστοιχα θα την απορρίψει. Τα Πιστοποιητικά Τελικού Χρήστη δημιουργούνται και εκδίδονται μετά την έγκριση από την ΑΠ της Αίτησης που υποβάλλεται από τον Τελικό Χρήστη ή τον Εκπρόσωπο του Φορέα στην περίπτωση της ΠΠ 7. Η εκδότρια ΑΠ δημιουργεί και εκδίδει Πιστοποιητικά προς τον ενδιαφερόμενο Τελικό Χρήστη βάσει των στοιχείων που ο ίδιος έχει υποβάλλει και εφόσον έχει εγκρίνει την Αίτηση για Πιστοποιητικά. Οι διαδικασίες της παραγράφου αυτής ισχύουν επίσης και για την έκδοση πιστοποιητικών μετά από υποβολή αιτήματος επαναδημιουργίας κλειδιών
4.2.2 Έκδοση Πιστοποιητικού ΥπΑΠ 26 Η ΑΠΕΔ ως Πρωτεύουσα Αρχή Πιστοποίησης (ΠΑΠ) πιστοποιεί Υποκείμενες Αρχές Πιστοποίησης και υπογράφει τα αντίστοιχα Πιστοποιητικά ΥπΑΠ σύμφωνα με τα προβλεπόμενα στις διατάξεις του άρθρου 20 του Ν.3448/2006 και την §1.2.2 της ΠΠ. 4.2.3 Χρόνος Επεξεργασίας Αιτήσεων Οι ΑΠ και οι ΑΕ ξεκινούν την επεξεργασία των αιτήσεων για Πιστοποιητικό μέσα σε εύλογο χρονικό διάστημα από την παραλαβή τους. Δεν υπάρχει συγκεκριμένη πρόβλεψη σχετικά με το χρόνο ολοκλήρωσης της επεξεργασίας των αιτήσεων, εκτός εάν δηλώνεται κάτι διαφορετικό στη σχετικούς ΟΧΠ ή στη Δήλωση Πρακτικής της εκδότριας ΑΠ. Οι αιτήσεις για Πιστοποιητικό παραμένουν εν ενεργεία μέχρι την απόρριψή τους. 4.3 Έκδοση Πιστοποιητικού 4.3.1 Ενέργειες της εκδότριας ΑΠ Πιστοποιητικού Τελικού Χρήστη κατά τη Διάρκεια Έκδοσης Το Πιστοποιητικό δημιουργείται και εκδίδεται μετά τη διαβίβαση αιτήματος έκδοσης πιστοποιητικού από την ΑΕ και τη σχετική έγκριση από την εκδότρια ΑΠ. Η εκδότρια ΑΠ δημιουργεί και εκδίδει Πιστοποιητικό προς τον Τελικό Χρήστη βάσει των στοιχείων της Αίτησης για Πιστοποιητικό και εφόσον έχει εγκρίνει την Αίτηση αυτή. 4.3.2 Ενημέρωση του Τελικού Χρήστη για την Έκδοση Πιστοποιητικού Οι εκδότριες ΑΠ που εκδίδουν Πιστοποιητικά σε Τελικούς Χρήστες κοινοποιούν, είτε απευθείας είτε μέσω μιας ΑΕ, στους Τελικούς Χρήστες τη δημιουργία αυτών των Πιστοποιητικών και τους τρόπους πρόσβασης στα Πιστοποιητικά, ειδοποιώντας τους ότι τα Πιστοποιητικά είναι διαθέσιμα και ενημερώνοντάς τους σχετικά με τους τρόπους με τους οποίους θα τα παραλάβουν. Τα Πιστοποιητικά καθίστανται διαθέσιμα στους Τελικούς Χρήστες, είτε επιτρέποντάς τους να τα «φορτώσουν» από κάποιον δικτυακό τόπο ή μέσω μηνύματος το οποίο αποστέλλεται στον Τελικό Χρήστη και το οποίο εμπεριέχει αυτό το Πιστοποιητικό. 4.4 Αποδοχή Πιστοποιητικού 4.4.1 Ενέργειες που Αποτελούν Αποδοχή Πιστοποιητικού Η χρήση του Πιστοποιητικού ή η μη απόρριψη του Πιστοποιητικού ή του περιεχομένου του από τον Τελικό Χρήστη μέσα σε εύλογο χρονικό διάστημα, συνιστούν την αποδοχή του Πιστοποιητικού από τον Τελικό Χρήστη. 4.4.2 Δημοσίευση Πιστοποιητικού από την Αρχή Πιστοποίησης Η ΑΠΕΔ δημοσιεύει το Πιστοποιητικό της καθώς και τα Πιστοποιητικά ΥπΑΠ που εκδίδει σύμφωνα με τον ακόλουθο Πίνακα 4. 27 Πίνακας 4: Απαιτήσεις Δημοσίευσης Μορφή Πιστοποιητικού Πιστοποιητικό ΑΠΕΔ Απαιτήσεις Δημοσίευσης Διαθέσιμα στους Τρίτους Συμμετέχοντες, διαδικτυακά μέσω του χώρου αποθήκευσής της ΑΠΕΔ καθώς και ως μέρος της Αλυσίδας Πιστοποιητικού η οποία ενσωματώνεται στο Πιστοποιητικό Τελικού Χρήστη μέσω των λειτουργιών αναζήτησης που περιγράφονται παρακάτω. Πιστοποιητικά ΥπΑΠ Διαθέσιμα στους Τρίτους Συμμετέχοντες, διαδικτυακά μέσω των χώρων αποθήκευσής της ΑΠΕΔ και των εκδοτριών ΑΠ, καθώς και ως μέρος της Αλυσίδας Πιστοποιητικού η οποία ενσωματώνεται στο Πιστοποιητικό Τελικού Χρήστη μέσω των λειτουργιών αναζήτησης που περιγράφονται παρακάτω. Οι εκδότριες ΑΠ δημοσιεύουν Πιστοποιητικά τα οποία εκδίδουν σε χώρο πληροφοριών προσβάσιμο από το κοινό. Επίσης τα Πιστοποιητικά Τελικού Χρήστη είναι διαθέσιμα μέσω αναζήτησης στον εξυπηρετητή (server) του καταλόγου LDAP της εκδότριας ΑΠ. 4.4.2.1 Αποτύπωμα Πιστοποιητικού ΑΠΕΔ Τα αποτυπώματα των πιστοποιητικών της ΑΠΕΔ είναι: • Πιστοποιητικό υπογεγραμμένο με Sha1RSA, και με αλγόριθμο αποτύπωσης τον sha1: «31 53 41 d3 d0 05 d3 41 37 a7 42 eb 83 d3 02 5e 58 e8 33 b6» • Πιστοποιητικό υπογεγραμμένο με Sha256RSA, και με αλγόριθμο αποτύπωσης τον sha1: «d1 40 88 fa 00 2c 8b 13 00 15 86 19 96 6a 10 38 91 3a a8 f2» Το αναγνωριστικό κλειδιού της ΑΠΕΔ είναι: «32 49 40 49 88 16 1d 6a ab c4 24 29 c8 27 c4 49 fb 4f 61 0b». 4.4.3 Ενημέρωση Έκδοσης Πιστοποιητικού από την Αρχή Πιστοποίησης προς Άλλες Οντότητες Οι εκδότριες ΑΠ δύνανται να ενημερώνουν τις ΑΕ σχετικά με την έκδοση των Πιστοποιητικών που οι εκδότριες ΑΠ έχουν εγκρίνει. 28 4.5 Ζεύγος κλειδιών και Χρήση Πιστοποιητικών 4.5.1 Χρήση Ιδιωτικού Κλειδιού και Πιστοποιητικού από Τελικό Χρήστη Η χρήση του Ιδιωτικού κλειδιού που αντιστοιχεί στο δημόσιο κλειδί που περιλαμβάνεται στο Πιστοποιητικό θα επιτρέπεται μόνο εφόσον ο Τελικός Χρήστης έχει συμφωνήσει με τους ΟΧΠ και έχει αποδεχθεί το Πιστοποιητικό. Το Πιστοποιητικό θα χρησιμοποιείται σύμφωνα με τους ΟΧΠ, τους όρους της παρούσας ΠΠ και της εφαρμοστέας Δήλωσης Πρακτικής της εκδότριας ΑΠ. Επιπλέον, η χρήση του Πιστοποιητικού θα πρέπει να συμμορφώνεται με τις επεκτάσεις τομέα Χρήσης Κλειδιού (KeyUsage) του Πιστοποιητικού. Οι Τελικοί Χρήστες θα προστατεύουν τα ιδιωτικά κλειδιά τους από μη εξουσιοδοτημένη χρήση και θα διακόπτουν τη χρήση τους μετά τη λήξη ή την ανάκληση του Πιστοποιητικού. 4.5.2 Χρήση Δημοσίου Συμμετέχοντα Κλειδιού και Πιστοποιητικού από Τρίτο Οι Τρίτοι Συμμετέχοντες αποδέχονται τους εφαρμόσιμους Όρους Τρίτου Συμμετέχοντα ως προϋπόθεση για να εμπιστευθούν το Πιστοποιητικό. Η εξάρτηση από Πιστοποιητικό πρέπει να είναι εύλογη σύμφωνα με τις περιστάσεις. Πριν από οποιαδήποτε ενέργεια, η οποία θα έχει ως αποτέλεσμα να εμπιστευτούν κάποιο Πιστοποιητικό, οι Τρίτοι Συμμετέχοντες θα αξιολογούν ανεξάρτητα και με δική τους ευθύνη: • Την καταλληλότητα της χρήσης του Πιστοποιητικού για τον δεδομένο σκοπό, ότι η χρήση του Πιστοποιητικού δεν αντίκειται στην ΠΠ και ότι το Πιστοποιητικό χρησιμοποιείται σύμφωνα με τις επεκτάσεις του πεδίου Χρήσης Κλειδιού (KeyUsage) του Πιστοποιητικού. • Την κατάσταση του Πιστοποιητικού και όλων των ΑΠ στην αλυσίδα έκδοσης του Πιστοποιητικού. Εάν κάποιο από τα Πιστοποιητικά της Αλυσίδας Πιστοποιητικών έχει ανακληθεί, ο Τρίτος Συμμετέχοντας φέρει αποκλειστικά την ευθύνη διερεύνησης του κατά πόσον είναι εύλογο να βασιστεί σε μια ψηφιακή υπογραφή που πραγματοποιήθηκε από έναν Τελικό Χρήστη πριν την ανάκληση του Πιστοποιητικού της Αλυσίδας Πιστοποιητικών. Σε αυτή την περίπτωση, η ευθύνη της εμπιστοσύνης στο Πιστοποιητικό βαρύνει αποκλειστικά τον Τρίτο Συμμετέχοντα. Εφόσον η χρήση του Πιστοποιητικού είναι η κατάλληλη, οι Τρίτοι Συμμετέχοντες θα πρέπει να χρησιμοποιούν το κατάλληλο λογισμικό ή/και εξοπλισμό για να εμπιστευθούν κάποιο Πιστοποιητικό και να επιτύχουν επαλήθευση της ψηφιακής υπογραφής ή να εκτελέσουν άλλες κρυπτογραφικές εφαρμογές. Η ΑΠΕΔ και οι εκδότριες ΑΠ δε φέρουν ευθύνη για την αξιολόγηση της καταλληλότητας χρήσης των Πιστοποιητικών. 29 4.6 Ανανέωση Πιστοποιητικού 4.6.1 Συνθήκες για Ανανέωση Πιστοποιητικού Η ανανέωση Πιστοποιητικού αποτελεί την έκδοση ενός νέου Πιστοποιητικού προς το Υποκείμενο του Πιστοποιητικού χωρίς αλλαγή του δημόσιου κλειδιού ή οποιουδήποτε άλλου στοιχείου του Πιστοποιητικού. Η ανανέωση Πιστοποιητικού υποστηρίζεται για τα Πιστοποιητικά ΥπΑΠ, σύμφωνα με τον Πίνακα 5 που ακολουθεί, και ο οποίος περιγράφει τις απαιτήσεις της ΑΠΕΔ για ανανέωση των Πιστοποιητικών που εκδίδει για τις ΥπΑΠ. Πίνακας 5: Απαιτήσεις Ανανέωσης Μορφή Πιστοποιητικού Απαιτήσεις Ανανέωσης Πιστοποιητικά Τα Πιστοποιητικά Τελικού Χρήστη δεν ανανεώνονται. Τελικού Χρήστη Για τα Πιστοποιητικά αυτά υποστηρίζεται μόνο η δυνατότητα επαναδημιουργίας κλειδιών. Πιστοποιητικά Παρέχεται η δυνατότητα της ανανέωσης ΥπΑΠ Πιστοποιητικών χωρίς την υποχρέωση επαναδημιουργίας του ζεύγους κλειδιών, εφόσον ο αθροιστικός πιστοποιημένος χρόνος ζωής του ζεύγους κλειδιών της ΥπΑΠ δεν υπερβαίνει το εκάστοτε ανώτερο όριο διάρκειας ισχύος ζεύγους κλειδιών ΥπΑΠ όπως καθορίζεται στην §6.3.2 της ΠΠ. 4.6.2 Ποιος Μπορεί να Αιτηθεί Ανανέωση Ανανέωση των Πιστοποιητικών ΥπΑΠ μπορεί να αιτηθεί ο νόμιμος εκπρόσωπος της ΥπΑΠ. 4.6.3 Επεξεργασία Αίτησης Ανανέωσης Πιστοποιητικού Οι διαδικασίες ανανέωσης Πιστοποιητικού αποσκοπούν στην επιβεβαίωση ότι η οντότητα που επιδιώκει την ανανέωση ενός Πιστοποιητικού είναι στην πραγματικότητα το Υποκείμενο του Πιστοποιητικού (ή εξουσιοδοτημένος εκπρόσωπος αυτού). Για την ανανέωση του Πιστοποιητικού ΥπΑΠ διενεργείται Τελετή Δημιουργίας Κλειδιών,
4.6.4 Δημοσίευση και Πιστοποιητικού Ενημέρωση Χρήστη για την Έκδοση Νέου Η ΑΠΕΔ καθιστά διαθέσιμα τα ανανεωμένα Πιστοποιητικά των ΥπΑΠ στους Τελικούς Χρήστες και τους Τρίτους Συμμετέχοντες από το χώρο αποθήκευσής της. 30 Τα Πιστοποιητικά ΑΠ της ΑΠΕΔ μπορούν επίσης να «φορτωθούν» από Κατάλογο Lightweight Directory Access Protocol (LDAP). Οι εκδότριες ΑΠ καθιστούν διαθέσιμη την πλήρη αλυσίδα Πιστοποιητικών ΑΠ στον Τελικό Χρήστη κατά την έκδοση ενός Πιστοποιητικού. 4.7 Επαναδημιουργία Κλειδιών Πιστοποιητικού 4.7.1 Συνθήκες Επαναδημιουργίας Κλειδιών Πιστοποιητικού Το Υποκείμενο του Πιστοποιητικού πριν από τη λήξη τους είναι απαραίτητο να αποκτήσει ένα νέο ζεύγος κλειδιών ώστε να διασφαλίσει τη συνέχεια της χρήσης τους. Για αυτό οι εκδότριες ΑΠ απαιτούν από τον Τελικό Χρήστη να δημιουργήσει ένα νέο ζεύγος κλειδιών υπογραφής το οποίο θα αντικαταστήσει το ζεύγος κλειδιών υπογραφής που λήγει (τεχνικά ορίζεται ως «επαναδημιουργία κλειδιών»). Το ίδιο ισχύει και για τα Πιστοποιητικά των ΑΠ. Ο Πίνακας 6 κατωτέρω περιγράφει τις απαιτήσεις της ΑΠΕΔ για τακτική επαναδημιουργία κλειδιών. Πίνακας 6: Απαιτήσεις Επαναδημιουργίας Κλειδιών Μορφή Πιστοποιητικού Απαιτήσεις Ανανέωσης Πιστοποιητικά Ουσιαστικός όρος για την αποδοχή της ανανέωσης Τελικού Χρήστη ενός Πιστοποιητικού Τελικού Χρήστη είναι ο έλεγχος των πληροφοριών που διενεργείται από την εκδότρια ΑΠ για να επιβεβαιωθεί ότι η ταυτότητα του Τελικού Χρήστη είναι ακόμα έγκυρη. Αυτή η διαδικασία γίνεται με σκοπό να επιβεβαιωθεί ότι το πρόσωπο που επιδιώκει να ανανεώσει ένα Πιστοποιητικό Τελικού Χρήστη είναι στην πραγματικότητα ο Τελικός Χρήστης του Πιστοποιητικού ή ο Εκπρόσωπος του Φορέα για την περίπτωση της ΠΠ 7, όπως αναφέρεται στην §3.2.2, §3.2.2.2 και §3.2.3 της ΠΠ. Πιστοποιητικά Η επαναδημιουργία κλειδιών ΑΠ γίνεται κάτω από ΥπΑΠ και ΑΠΕΔ αυστηρά μέτρα ελέγχου, σε ειδικές Τελετές Δημιουργίας Κλειδιών
4.7.2 Ποιος Μπορεί να Αιτηθεί Πιστοποίηση Νέου Κλειδιού Πιστοποίηση νέου κλειδιού μπορεί να αιτηθεί μόνο ο ίδιος ο Τελικός Χρήστης ή ο Εκπρόσωπος του Φορέα στην περίπτωση της ΠΠ
4.7.7 Ενημέρωση Άλλων Οντοτήτων της Έκδοσης Πιστοποιητικού από την Αρχή Πιστοποίησης Οι εκδότριες ΑΠ δύνανται να ενημερώνουν τις ΑΕ σχετικά με την έκδοση των Πιστοποιητικών που οι τελευταίες έχουν εγκρίνει. 4.8 Μετατροπή Πιστοποιητικού Δεν προβλέπεται η δυνατότητα Μετατροπής Πιστοποιητικού. Όταν ένα ή περισσότερα από τα στοιχεία του Πιστοποιητικού μεταβάλλονται, τότε εκδίδεται νέο Πιστοποιητικό, σύμφωνα με τις διαδικασίες αρχικής εγγραφής που περιγράφονται στην §4.1 της ΠΠ. 4.9 Αναστολή και Ανάκληση Πιστοποιητικού 4.9.1 Συνθήκες Ανάκλησης 4.9.1.1 Συνθήκες για Ανάκληση Πιστοποιητικών Τελικού Χρήστη Ένα Πιστοποιητικό Τελικού Χρήστη ανακαλείται εφόσον:
ΠΠ 7 η μεταβίβαση αρμοδιοτήτων σε νέο Εκπρόσωπο του Φορέα είναι δυνατή χωρίς την ανάκληση του πιστοποιητικού του φορέα. 4.9.1.2 Συνθήκες Ανάκλησης Πιστοποιητικών που εκδίδει η ΑΠΕΔ Η ΑΠΕΔ ανακαλεί πιστοποιητικά που εκδίδει για τις ΥπΑΠ, εφόσον: • Ανακαλύψει ή έχει λόγο να πιστεύει ότι έχει υπάρξει έκθεση σε κίνδυνο του ιδιωτικού κλειδιού ΥπΑΠ. • Ανακαλύψει ή έχει λόγο να πιστεύει ότι το Πιστοποιητικό ΥπΑΠ έχει εκδοθεί με τρόπο που δεν είναι ουσιαστικά σύμφωνος με τις διαδικασίες που απαιτούνται από την 33 παρούσα ΠΠ, ότι το Πιστοποιητικό ΥπΑΠ εκδόθηκε για Φορέα άλλον από αυτόν που κατονομάζεται ως το Υποκείμενο του πιστοποιητικού ΥπΑΠ ή χωρίς την έγκριση αυτού. • Διαπιστώσει ότι δεν τηρούνται οι όροι της παρούσας ΠΠ ή υπάρχει παραίτηση από μια ουσιώδη προϋπόθεση για την Έκδοση Πιστοποιητικού ΥπΑΠ. • Η ΑΠΕΔ παύσει να λειτουργεί ως ΑΠ. 4.9.2 Ποιος Μπορεί να Ζητήσει Ανάκληση 4.9.2.1 Ποιος Μπορεί να Ζητήσει Ανάκληση Πιστοποιητικού Τελικού Χρήστη Η ΑΠΕΔ ή η εκδότρια ΑΠ δύναται να ζητήσει την ανάκληση οιουδήποτε Πιστοποιητικού Τελικού Χρήστη που έχει εκδώσει
Οι Τελικοί Χρήστες (ή εξουσιοδοτημένοι εκπρόσωποι αυτών) δύνανται να ζητήσουν ανάκληση των δικών τους Πιστοποιητικών. 4.9.2.2 Ποιος Μπορεί να Ζητήσει Ανάκληση Πιστοποιητικού ΥπΑΠ Η ΑΠΕΔ ή η ΥπΑΠ έχει δικαίωμα να ζητήσει την ανάκληση πιστοποιητικού ΥπΑΠ που έχει εκδοθεί για την τελευταία, σύμφωνα με τις διατάξεις του άρθρου 20 του Ν. 3448/2006. 4.9.3 Διαδικασία για Υποβολή Αιτήματος Ανάκλησης Πιστοποιητικού Ένας Τελικός Χρήστης που επιθυμεί ανάκληση του Πιστοποιητικού του πρέπει να υποβάλλει αίτημα ανάκλησης, σύμφωνα με τις καταγεγραμμένες διαδικασίες που περιγράφονται στη Δήλωση Πρακτικής της εκδότριας ΑΠ. Οι διαδικασίες αυτές επιβεβαιώνουν ότι το πρόσωπο που αιτείται την ανάκληση του Πιστοποιητικού είναι εξουσιοδοτημένο προς το σκοπό αυτό,
ενότητα §4.9.2 ανωτέρω. Το αίτημα αυτό διαβιβάζεται στην υπεύθυνη ΑΕ που έχει ελέγξει την Ηλεκτρονική Εγγραφή ή Αίτηση του Τελικού Χρήστη για Πιστοποιητικά και η οποία είναι αρμόδια να το ανακαλέσει άμεσα. Οι εκδότριες ΑΠ παρέχουν σε κάθε περίπτωση και τη δυνατότητα τηλεφωνικού αιτήματος ανάκλησης Πιστοποιητικών από τους Τελικούς Χρήστες. Ο σχετικός αριθμός τηλεφώνου ανάκλησης, περιλαμβάνεται στην εκάστοτε Δήλωση Πρακτικής της εκδότριας ΑΠ, στους εφαρμοστέους ΟΧΠ καθώς και στον δικτυακό τόπο της εκδότριας ΑΠ. 4.9.4 Χρονικό Διάστημα Μέσα στο Οποίο η ΑΠ θα Πρέπει να Επεξεργαστεί το Αίτημα Ανάκλησης Οι αρμόδιες ΑΠ πραγματοποιούν όλες τις εύλογες ενέργειες για την έγκαιρη επεξεργασία των αιτημάτων ανάκλησης. Συγκεκριμένα οι αιτήσεις ανάκλησης Αναγνωρισμένων Πιστοποιητικών, τυγχάνουν άμεσης επεξεργασίας από τις ΑΕ. 34 Αμέσως μετά την ανάκληση του Πιστοποιητικού, η εκδότρια ΑΠ ενημερώνει τον Τελικό Χρήστη για το γεγονός αυτό, μέσω μηνύματος ηλεκτρονικού ταχυδρομείου ή τηλεφωνικά. Η εκδότρια ΑΠ τηρεί σχετικά αρχεία που αποδεικνύουν ότι έχει πραγματοποιηθεί η σχετική ενημέρωση. 4.9.5 Απαιτήσεις Ελέγχου Ανάκλησης για Τρίτους Συμμετέχοντες Οι Τρίτοι Συμμετέχοντες θα πρέπει να ελέγχουν την κατάσταση των Πιστοποιητικών στα οποία επιθυμούν να βασιστούν, χρησιμοποιώντας κάποιον από τους μηχανισμούς ελέγχου κατάστασης πιστοποιητικών που παρέχονται από την εκδότρια ΑΠ. Για την περίπτωση του Καταλόγου Ανακληθέντων Πιστοποιητικών, ο Τρίτος Συμμετέχων θα πρέπει να ελέγξει την κατάσταση Πιστοποιητικού στο οποίο επιθυμεί να βασιστεί ανατρέχοντας στον πιο πρόσφατο Κατάλογο Ανακληθέντων Πιστοποιητικών (ΚΑΠ) που δημοσιεύτηκε από την ΑΠΕΔ ή την εκδότρια ΑΠ που εξέδωσε το Πιστοποιητικό. Για την ΑΠΕΔ, οι ΚΑΠ παρατίθενται στο χώρο αποθήκευσης της στη διεύθυνση: http://www.yap.gov.gr, καθώς και στις διευθύνσεις: http://www.ermis.gov.gr και http://www.syzefxis.gov.gr. Επιπλέον ένας «Πίνακας αναφοράς ΚΑΠ» ανακοινώνεται στο Χώρο Αποθήκευσης στη διεύθυνση: http://www.yap.gov.gr, ώστε να επιτρέπει στους Τρίτους Συμμετέχοντες να προσδιορίσουν για κάθε ΥπΑΠ την ακριβή τοποθεσία αποθήκευσης του ΚΑΠ. Οι εκδότριες ΑΠ προσδιορίζουν στη Δήλωση Πρακτικής τους, το χώρο δημοσίευσης των ΚΑΠ που εκδίδουν. 4.9.6 Συχνότητα Έκδοσης Καταλόγου Ανακληθέντων Πιστοποιητικών (ΚΑΠ) Η ΑΠΕΔ και οι ΑΠ παρέχουν αδιάλειπτες υπηρεσίες ανάκλησης Πιστοποιητικών. Η ΑΠΕΔ δημοσιεύει ΚΑΠ όπου εμπεριέχονται τα Πιστοποιητικά που έχουν ανακληθεί από την ίδια και προσφέρει παράλληλα υπηρεσίες ελέγχου κατάστασης Πιστοποιητικών. Οι ΚΑΠ για πιστοποιητικά που εκδίδει η ΑΠΕΔ δημοσιεύονται κάθε τρίμηνο, καθώς επίσης και κάθε φορά που ανακαλείται κάποιο Πιστοποιητικό. Οι ΚΑΠ για Πιστοποιητικά που εκδίδουν οι εκδότριες ΑΠ δημοσιεύονται καθημερινά. Τα Πιστοποιητικά δύνανται να αφαιρούνται από τους ΚΑΠ μετά από τη λήξη τους. 4.9.7 Μέγιστος Χρόνος Αναμονής για ΚΑΠ Η δημοσίευση των ΚΑΠ στον χώρο πληροφοριών, γίνεται εντός εύλογου χρονικού διαστήματος μερικών λεπτών μετά τη δημιουργία τους, μέσω αυτοματοποιημένης διαδικασίας. 4.9.8 Διαθεσιμότητα Δικτυακού Πιστοποιητικών Ελέγχου Ανάκλησης/ Κατάστασης Οι πληροφορίες για την κατάσταση Πιστοποιητικών από τις εκδότριες ΑΠ δύνανται να είναι επίσης διαθέσιμες και μέσω της χρήσης του Πρωτοκόλλου Δικτυακού Ελέγχου Κατάστασης Πιστοποιητικών σε πραγματικό χρόνο (Οnline Certificate Status Protocol – OCSP). 35 Όταν οι εκδότριες ΑΠ χρησιμοποιούν το Πρωτόκολλο Δικτυακού Ελέγχου Κατάστασης Πιστοποιητικών σε πραγματικό χρόνο, τότε δημοσιεύουν στη Δήλωση Πρακτικής τους τις διευθύνσεις για τους OCSP Responders, καθώς και το προφίλ του Πιστοποιητικού OCSP σύμφωνα και με τις απαιτήσεις της ενότητας §7.3 της ΠΠ. 4.9.9 Απαιτήσεις Δικτυακού Ελέγχου Ανάκλησης Κάθε Τρίτος Συμμετέχων δύναται να ελέγξει την κατάσταση ενός Πιστοποιητικού στο οποίο επιθυμεί να βασιστεί χρησιμοποιώντας τη μέθοδο που προσδιορίζεται στην §4.9.8. 4.9.10 Άλλες Διαθέσιμες Μορφές Αναγγελίας Ανάκλησης Πλέον της δημοσίευσης ΚΑΠ, η ΑΠΕΔ και οι εκδότριες ΑΠ παρέχουν πληροφορίες για την κατάσταση πιστοποιητικών μέσω μηχανισμών αναζήτησης στο Χώρο Αποθήκευσής της. Οι πληροφορίες για την κατάσταση Πιστοποιητικών ΥπΑΠ είναι διαθέσιμες από το Χώρο Αποθήκευσης της ΑΠΕΔ στη διεύθυνση: http://www.yap.gov.gr. Οι πληροφορίες για την κατάσταση Πιστοποιητικών Τελικών Χρηστών είναι διαθέσιμες με τη χρήση διαδικτυακών μηχανισμών αναζήτησης που είναι προσβάσιμες από το Χώρο Αποθήκευσης της κάθε εκδότριας ΑΠ. 4.9.11 Ειδικές Απαιτήσεις Σχετικά με την Έκθεση σε Κίνδυνο του Κλειδιού Πλέον των διαδικασιών που περιγράφονται στις §4.9.6– 4.9.10 της ΠΠ, η ΑΠΕΔ καταβάλλει κάθε εύλογη προσπάθεια ώστε να ενημερώνει τους δυνητικούς Τρίτους Συμμετέχοντες με σχετική ανακοίνωση στις ηλεκτρονικές διευθύνσεις http://www.yap.gov.gr, http://www.syzefxis.gov.gr και http://www.ermis.gov.gr ή σε άλλα δημόσια προσβάσιμα μέσα, στην περίπτωση που ανακαλύψει ή έχει λόγο να πιστεύει, ότι έχει υπάρξει Έκθεση σε Κίνδυνο του ιδιωτικού κλειδιού μιας ΥπΑΠ. 4.9.12 Συνθήκες για Αναστολή Πιστοποιητικού Η ΑΠΕΔ δεν παρέχει υπηρεσίες αναστολής για πιστοποιητικά ΥπΑΠ. Οι εκδότριες ΑΠ, δύνανται να παρέχουν υπηρεσίες αναστολής για Πιστοποιητικά Τελικού Χρήστη. Ένα Πιστοποιητικό Τελικού Χρήστη αναστέλλεται εφόσον ο Τελικός Χρήστης έχει λόγο να πιστεύει ότι η ΑΔΔΥ δεν βρίσκεται πλέον στην κατοχή του, αλλά δεν είναι σε θέση να επιβεβαιώσει την οριστική απώλεια της ΑΔΔΥ. Για αιτήματα από τελικούς χρήστες που δε μπορούν πλέον να χρησιμοποιούν (ή δεν επιθυμούν πλέον να χρησιμοποιούν) ένα Πιστοποιητικό για λόγο διαφορετικό από τον παραπάνω, ο τελικός χρήστης θα πρέπει να ανακαλέσει το Πιστοποιητικό του σύμφωνα με τα αναφερόμενα στις ενότητες §4.9.1 – §4.9.4 ανωτέρω. Οι εκδότριες ΑΠ που παρέχουν υπηρεσίες αναστολής, δύνανται να ορίσουν στη Δήλωση Πρακτικής τους, επιπλέον λόγους αναστολής Πιστοποιητικού. 36 4.9.13 Ποιος Μπορεί να Ζητήσει Αναστολή Πιστοποιητικού Οι εκδότριες ΑΠ που παρέχουν υπηρεσίες αναστολής Πιστοποιητικών Τελικών Χρηστών, έχουν δικαίωμα να ζητήσουν την αναστολή Πιστοποιητικού του Τελικού Χρήστη. Ο Τελικός Χρήστης ή νομίμως εξουσιοδοτημένος εκπρόσωπός τους, ή ο Εκπρόσωπος του Φορέα στην περίπτωση της ΠΠ 7, έχει δικαίωμα να ζητήσει αναστολή των δικών του Πιστοποιητικών. 4.9.14 Διαδικασία Υποβολής Αιτήματος Αναστολής Οι εκδότριες ΑΠ που παρέχουν υπηρεσίες αναστολής Πιστοποιητικών Τελικών Χρηστών περιγράφουν στη Δήλωση Πρακτικής τους τις διαδικασίες αναστολής. Οι διαδικασίες αυτές, επιβεβαιώνουν ότι το πρόσωπο που αιτείται αναστολή του πιστοποιητικού του, είναι πράγματι το Υποκείμενο του προς αναστολή Πιστοποιητικού ή εξουσιοδοτημένο προς το σκοπό αυτό πρόσωπο. 4.9.15 Περιορισμοί για το Χρονικό Διάστημα Αναστολής Ένα Πιστοποιητικό Τελικού Χρήστη μπορεί να παραμείνει σε κατάσταση αναστολής, έως ότου αρθούν οι λόγοι αναστολής του και ο Τελικός Χρήστης αιτηθεί τη λήξη της κατάστασης αναστολής. Οι εκδότριες ΑΠ που παρέχουν υπηρεσίες αναστολής Πιστοποιητικών Τελικών Χρηστών περιγράφουν στη Δήλωση Πρακτικής τους τις διαδικασίες άρσης αναστολής. Η Αρχή Εγγραφής των Εκδοτριών ΑΠ θα επαληθεύσει τα στοιχεία της ταυτότητας του Τελικού Χρήστη και θα προβεί σε άρση της κατάστασης αναστολής του Πιστοποιητικού. Επιπρόσθετα, ένα ανασταλθέν Πιστοποιητικό μπορεί να ανακληθεί ύστερα από αίτημα του τελικού χρήστη, σύμφωνα με τη διαδικασία που περιγράφεται στην ενότητα §4.9.3 ανωτέρω. Οι εκδότριες ΑΠ δύνανται να ανακαλέσουν ένα Πιστοποιητικό που παραμένει σε κατάσταση αναστολής πέραν του ενός
ΠΠ 2 ή την ΠΠ 6 από εκδότρια ΑΠ που παρέχει υπηρεσίες αρχειοθέτησης του ιδιωτικού κλειδιού του Τελικού Χρήστη. Στην περίπτωση αυτή η εκδότρια ΑΠ μπορεί να διατηρεί προς φύλαξη τα αντίγραφα των ιδιωτικών κλειδιών των Τελικών Χρηστών για τους οποίους εγκρίνει Αίτηση για Πιστοποιητικό. Η φύλαξη αυτή, γίνεται σύμφωνα με αυστηρά μέτρα ελέγχου και τις διαδικασίες που περιγράφονται στην Δήλωση Πρακτικής της εκδότριας ΑΠ. 4.12.1 Πολιτική και Πρακτικές Παρακαταθήκης Κλειδιού και Ανάκτησης Οι εκδότριες ΑΠ, οι οποίες εκδίδουν Πιστοποιητικά
ΠΠ 2 ή την ΠΠ 6, και παρέχουν υπηρεσίες αρχειοθέτησης ιδιωτικού κλειδιού, επιτρέπεται να διατηρούν προς φύλαξη τα ιδιωτικά κλειδιά Τελικών Χρηστών. Τα προς φύλαξη ιδιωτικά κλειδιά θα αποθηκεύονται σε κρυπτογραφημένη μορφή χρησιμοποιώντας κατάλληλο λογισμικό ή/και εξοπλισμό. Οι εκδότριες ΑΠ που παρέχουν την υπηρεσία αυτή, πρέπει να: • Ενημερώνουν τους Τελικούς Χρήστες σχετικά με την παρακαταθήκη των ιδιωτικών κλειδιών τους, μέσω των ΟΧΠ και της Δήλωσης Πρακτικής τους. • Προστατεύουν τα παρακατατεθειμένα κλειδιά Τελικών Χρηστών από μη εξουσιοδοτημένη αποκάλυψη. • Προστατεύουν κάθε πληροφορία, συμπεριλαμβανομένου του κλειδιού ή των κλειδιών του διαχειριστή, η οποία θα μπορούσε να χρησιμοποιηθεί για την ανάκτηση των παρακατατεθειμένων κλειδιών Τελικού Χρήστη. • Παρέχουν τα παρακατατεθειμένα κλειδιά Τελικών Χρηστών αποκλειστικά κατόπιν πιστοποιημένων και εγκεκριμένων αιτημάτων ανάκτησης. 38 • Ανακαλούν το ζεύγος Κλειδιών του Τελικού Χρήστη πριν την ανάκτηση του κλειδιού κρυπτογράφησης, όταν αυτό κρίνεται απαραίτητο. • Μην αποκαλύπτουν ή μην επιτρέπουν την αποκάλυψη των παρακατατεθειμένων κλειδιών ή πληροφοριών σχετικά με τα παρακατατεθειμένα κλειδιά σε τρίτα μέρη, εκτός εάν αυτό απαιτείται από τη νομοθεσία ή κατόπιν σχετικού εντάλματος των αρμόδιων δικαστικών αρχών. Η ανάκτηση των ιδιωτικών κλειδιών Τελικού Χρήστη θα είναι εφικτή μόνο υπό αυστηρές και συγκεκριμένες συνθήκες, οι οποίες κατ’ ελάχιστο θα πρέπει να: • Διασφαλίζουν ότι οι εκδότριες ΑΠ επαληθεύουν την ταυτότητα οποιουδήποτε παρουσιάζεται ως Τελικός Χρήστης, προκειμένου να διασφαλιστεί ότι το αίτημα του φερόμενου ως Τελικού Χρήστη σχετικά με το ιδιωτικό κλειδί του προέρχεται πράγματι από τον ίδιο και όχι από κάποιον κακόβουλο τρίτο. • Διασφαλίζουν ότι οι εκδότριες ΑΠ θα προβαίνουν σε ανάκτηση του ιδιωτικού κλειδιού του Τελικού Χρήστη χωρίς την έγκριση του, μόνον για τους δικούς τους θεμιτούς και σύννομους σκοπούς, όπως είναι η συμμόρφωση προς διοικητικές διαδικασίες που να δικαιολογούν την ανάγκη πρόσβασης σε υπηρεσιακά δεδομένα ή δικαστικές διαδικασίες/αποφάσεις ή εντάλματα έρευνας και όχι για παράνομους, δόλιους ή άλλους σκοπούς. Οι εκδότριες ΑΠ θα λαμβάνουν όλα τα απαραίτητα μέτρα ελέγχου για το προσωπικό τους, προκειμένου να αποτραπεί η αυθαίρετη πρόσβαση των διαχειριστών ή τρίτων σε ιδιωτικά κλειδιά. • Διασφαλίζουν ότι αν ο αιτών δεν είναι ο Τελικός Χρήστης στον οποίο έχει εκδοθεί πιστοποιητικό
ΠΠ 6, ο αιτών αποτελεί νόμιμο εκπρόσωπο του νομικού προσώπου. • Διασφαλίζουν ότι αν ο αιτών δεν είναι ο Τελικός Χρήστης στον οποίο έχει εκδοθεί πιστοποιητικό
ΠΠ 2 στο πλαίσιο της άσκησης των καθηκόντων του για την εξυπηρέτηση των αναγκών φορέα του δημοσίου, ο αιτών εξουσιοδοτείται από τον φορέα να υποβάλλει το σχετικό αίτημα. Οι εκδότριες ΑΠ που εκδίδουν Πιστοποιητικά
ΠΠ 2 ή την ΠΠ 6 και παρέχουν υπηρεσίες αρχειοθέτησης ιδιωτικού κλειδιού περιγράφουν στη Δήλωση Πρακτικής τους τις τεχνικές πρακτικές παρακαταθήκης ιδιωτικού κλειδιού που ακολουθούν. Η παρακαταθήκη διενεργείται με τη χρήση ειδικού λογισμικού ή/και εξοπλισμού, και κρυπτογραφικών μεθόδων, οι οποίες απαιτούν τη χρήση κλειδιού ισχυρής κρυπτογράφησης σε συνδυασμό με άλλα ισχυρά μέτρα ελέγχου, και εξασφαλίζουν ότι η ανάκτηση των ιδιωτικών κλειδιών είναι δυνατή μόνο από εγκεκριμένο διαχειριστή της εκδότριας ΑΠ. 39 Η ΑΠΕΔ αξιολογεί και προεγκρίνει την ασφάλεια της ακολουθούμενης μεθόδου παροχής της συγκεκριμένης υπηρεσίας από τις εκδότριες ΑΠ. 4.12.2 Πολιτική και Πρακτικές Ενθυλάκωσης Κλειδιού Συνεδρίας Η ΑΠΕΔ και οι εκδότριες ΑΠ δε παρέχουν υπηρεσίες ενθυλάκωσης κλειδιού συνεδρίας (session key encapsulation). 5. Φυσικά, Διαδικαστικά Μέτρα Προστασίας και Ασφάλειας Προσωπικού Η ΑΠΕΔ εφαρμόζει υψηλές προδιαγραφές ασφαλείας οι οποίες ανταποκρίνονται στην παρούσα ΠΠ. 5.1 Φυσικά Μέτρα Προστασίας 5.1.1 Χώρος Εγκατάστασης και Κατασκευή Οι υπηρεσίες πιστοποίησης της ΑΠΕΔ διενεργούνται εντός φυσικά προστατευμένου περιβάλλοντος το οποίο έχει σχεδιαστεί έτσι ώστε να αποτρέπεται, να προλαμβάνεται και να εντοπίζεται κάθε εμφανής ή μη προσπάθεια πρόσβασης, ικανοποιώντας τους διεθνώς αναγνωρισμένους, βάσει προτύπων, όρους και προϋποθέσεις ασφαλείας. Οι υπηρεσίες πιστοποίησης των εκδοτριών ΑΠ διενεργούνται εντός φυσικά προστατευμένου περιβάλλοντος το οποίο πληρεί προδιαγραφές ανάλογου επιπέδου ασφαλείας με τις παραπάνω. 5.1.2 Φυσική Πρόσβαση Για να επιτευχθεί πρόσβαση σε κάποιο ανώτερο επίπεδο πρόσβασης απαιτείται να επιτραπεί η είσοδος καταρχήν σε κάποιο κατώτερο επίπεδο πρόσβασης. Ειδικότερα, υπάρχουν επίπεδα πρόσβασης που περιλαμβάνουν: • Κοινόχρηστους χώρους • Επίπεδο στο οποίο λαμβάνει χώρα η ευαίσθητη λειτουργική δραστηριότητα των ΑΠ. • Χώρο αποθήκευσης των Ασφαλών Κρυπτογραφικών Μονάδων (ΑΚΜ). 5.1.3 Παροχή Ηλεκτρικού Ρεύματος και Κλιματισμός Οι ασφαλείς εγκαταστάσεις των υποδομών μέσω των οποίων παρέχονται οι υπηρεσίες πιστοποίησης βάσει των διατάξεων του παρόντος και τις συναφθείσες συμβάσεις, είναι εξοπλισμένες με κύρια και εφεδρικά: • Συστήματα παροχής ηλεκτρικού ρεύματος για την εξασφάλιση συνεχούς και αδιάλειπτης παροχής. • Συστήματα θέρμανσης / εξαερισμού / κλιματισμού για τον έλεγχο της θερμοκρασίας και της σχετικής υγρασίας. 5.1.4 Πλημμύρες 40 Λαμβάνονται οι απαιτούμενες προφυλάξεις για να ελαχιστοποιηθούν οι κίνδυνοι από πλημμύρες. 5.1.5 Πρόληψη και Προστασία από Φωτιά Λαμβάνονται όλες οι απαραίτητες προφυλάξεις για την πρόληψη και κατάσβεση πυρκαγιάς ή άλλης επιζήμιας έκθεσης σε φωτιά ή καπνό. Τα μέτρα αυτά έχουν σχεδιαστεί ώστε να πληρούν τους εθνικούς κανονισμούς ασφάλειας από φωτιά. 5.1.6 Αποθήκευση Μέσων Όλα τα μέσα τα οποία περιέχουν το λογισμικό και τα δεδομένα παραγωγής, καθώς και τα στοιχεία ελέγχων, αρχείου ή εφεδρικών αντιγράφων αποθηκεύονται σε ασφαλείς εγκαταστάσεις αποθήκευσης οι οποίες διαθέτουν τα απαραίτητα φυσικά και λογικά μέτρα ελέγχου πρόσβασης. Τα μέτρα αυτά σχεδιάζονται ώστε να περιορίζουν την πρόσβαση αποκλειστικά σε εξουσιοδοτημένο προσωπικό και να προστατεύουν τα μέσα αποθήκευσης έναντι οιασδήποτε καταστροφής (π.χ., από νερό, φωτιά ή/και ηλεκτρομαγνητική). 5.1.7 Καταστροφή Μη − Χρήσιμων Υλικών Τα διαβαθμισμένα έγγραφα και υλικά καταστρέφονται σε καταστροφέα εγγράφων και τα μέσα που χρησιμοποιήθηκαν για τη συλλογή ή μεταβίβαση διαβαθμισμένων πληροφοριών καθίστανται μη − αναγνώσιμα. Οι συσκευές κρυπτογράφησης καταστρέφονται με φυσικό τρόπο ή διαγράφονται τα δεδομένα τους σύμφωνα με τις οδηγίες του κατασκευαστή. Τα υπόλοιπα μη − χρήσιμα υλικά καταστρέφονται. 5.1.8 Δημιουργία Εφεδρικών Αντιγράφων Ασφαλείας Εκτός του Κύριου Χώρου Ανά τακτά διαστήματα δημιουργούνται εφεδρικά αντίγραφα για τα δεδομένα των κυριότερων συστημάτων, των δεδομένων καταχώρισης ελέγχου, καθώς και άλλων διαβαθμισμένων πληροφοριών. 5.2 Διαδικαστικά Μέτρα Ελέγχου 5.2.1 Έμπιστοι Ρόλοι Ως Έμπιστα Πρόσωπα θεωρούνται όλοι οι υπάλληλοι, εργολήπτες και σύμβουλοι οι οποίοι έχουν πρόσβαση ή ελέγχουν λειτουργίες ταυτοποίησης ή κρυπτογράφησης και οι οποίοι θα μπορούσαν να επηρεάσουν σημαντικά: • Την εγκυρότητα των στοιχείων Εγγραφής και αίτησης για Πιστοποιητικά. • Την αποδοχή, απόρριψη ή άλλη επεξεργασία των ηλεκτρονικών αιτήσεων για Πιστοποιητικά, των αιτημάτων για ανάκληση ή των αιτημάτων για ανανέωση ή των στοιχείων εγγραφής. 41 • Την έκδοση ή ανάκληση Πιστοποιητικών, περιλαμβανομένου του προσωπικού που έχει πρόσβαση στις περιοχές περιορισμένης πρόσβασης στο χώρο αποθήκευσης. • Τον χειρισμό των στοιχείων ή των αιτημάτων των Τελικών χρηστών. 5.2.2 Αριθμός Προσώπων που Απαιτούνται για Κάθε Εργασία Οι εκδότριες ΑΠ και οι ΑΕ υιοθετούν και εφαρμόζουν αυστηρά μέτρα ελέγχου, ώστε να εξασφαλίσουν τον διαχωρισμό των αρμοδιοτήτων για κάθε τομέα ευθύνης και να διασφαλίζουν ότι για την εκτέλεση εργασιών υψηλής διαβάθμισης απαιτούνται περισσότερα από ένα Έμπιστα Πρόσωπα. Οι υψηλής διαβάθμισης εργασίες, όπως είναι η πρόσβαση και ο χειρισμός του κρυπτογραφικού υλικού των ΑΠ, απαιτούν πολλαπλά Έμπιστα πρόσωπα, ώστε να υπάρχει διαμοιρασμένος έλεγχος τόσο της φυσικής όσο και της λογικής πρόσβασης στο υλικό. Τα πρόσωπα που έχουν φυσική πρόσβαση στον κρυπτογραφικό εξοπλισμό δεν τηρούν "Απόρρητα Μερίδια" (§6.2.2), και αντιστρόφως. 5.2.3 Ταυτοποίηση και Αυθεντικοποίηση Κάθε Ρόλου Οι ΑΠ και οι ΑΕ επαληθεύουν τα στοιχεία ταυτότητας και την εξουσιοδότηση του προσωπικού που επιθυμεί να θεωρηθεί ως Έμπιστο, πριν το προσωπικό αυτό: • λάβει συσκευές πρόσβασης και του χορηγηθούν άδειες πρόσβασης στις απαιτούμενες εγκαταστάσεις, • λάβει ψηφιακά πιστοποιητικά για την πρόσβαση και τέλεση συγκεκριμένων αρμοδιοτήτων Πληροφοριακών συστημάτων και συστημάτων ΑΠ ή ΑΕ. 5.2.4 Ρόλοι που Απαιτούν Διαχωρισμό Καθηκόντων Οι ρόλοι που απαιτούν Διαχωρισμό καθηκόντων περιλαμβάνουν, ενδεικτικά: • Την επαλήθευση των στοιχείων στις Αιτήσεις για Πιστοποιητικό. • Την αποδοχή, απόρριψη ή άλλη επεξεργασία των Αιτήσεων για Πιστοποιητικό, των αιτημάτων για ανάκληση ή των αιτημάτων για ανανέωση ή των στοιχείων εγγραφής. • Την έκδοση ή ανάκληση Πιστοποιητικών Διαχειριστών και του προσωπικού που έχει πρόσβαση στις εγκαταστάσεις περιορισμένης πρόσβασης. • Τη δημιουργία, έκδοση, «φόρτωση» ή καταστροφή ενός πιστοποιητικού ΑΠ. 5.3 Μέτρα Ελέγχου Προσωπικού 5.3.1 Απαιτήσεις Προσόντων, Εμπειρίας και Εξουσιοδότησης 42 Οι εκδότριες ΑΠ καταγράφουν λεπτομερώς τις πολιτικές ελέγχου προσωπικού και ασφαλείας που ακολουθούν, η συμμόρφωση προς τις οποίες αποτελεί μέρος του ανεξάρτητου ελέγχου που περιγράφονται στην ενότητα §8 της Πολιτικής Πιστοποιητικών. 5.3.2 Διαδικασίες Ελέγχου Παρελθόντος Οι εκδότριες ΑΠ και οι ΑΕ διενεργούν ελέγχους σχετικά με το παρελθόν του προσωπικού που πρόκειται να θεωρηθεί ως Έμπιστο. Για το προσωπικό που κατέχει Έμπιστες Θέσεις, οι έλεγχοι του παρελθόντος θα επαναλαμβάνονται τουλάχιστον κάθε πέντε
5.4.4 Προστασία του Αρχείου Καταγραφής Τα ηλεκτρονικά και χειρόγραφα αρχεία καταγραφής προστατεύονται από μη − εξουσιοδοτημένη ανάγνωση, τροποποίηση, διαγραφή ή άλλη παραποίηση με τη χρήση φυσικών και λογικών μέτρων ελέγχου πρόσβασης. 5.4.5 Διαδικασίες Εφεδρικών Αντιγράφων των Αρχείων Καταγραφής Εφεδρικά αντίγραφα προσθήκης (incremental backups) στα αρχεία καταγραφής και πλήρη εφεδρικά αντίγραφα παράγονται σε τακτική βάση (full backups). 5.4.6 Σύστημα Ελέγχου Αυτοματοποιημένα δεδομένα ελέγχου παράγονται και καταγράφονται σε επίπεδο εφαρμογής, δικτύου και λειτουργικού συστήματος. 5.4.7 Ενημέρωση του Υποκειμένου που Προκάλεσε το Περιστατικό Στην περίπτωση καταγραφής περιστατικού από το σύστημα ελέγχου, δεν είναι απαραίτητη η ενημέρωση του φυσικού προσώπου, του οργανισμού, της συσκευής ή της εφαρμογής που προκάλεσε το περιστατικό. 5.4.8 Αξιολόγηση Τρωτών Σημείων Τα περιστατικά που λαμβάνουν χώρα κατά τη διαδικασία ελέγχου καταγράφονται, ώστε να είναι δυνατή η παρακολούθηση των τρωτών σημείων του συστήματος. Αξιολογήσεις για την τρωτότητα της λογικής ασφάλειας διενεργούνται, ανασκοπούνται και αναθεωρούνται μετά από εξέταση των περιστατικών που έχουν καταγραφεί. Οι αξιολογήσεις βασίζονται σε δεδομένα αυτοματοποιημένης καταγραφής πραγματικού χρόνου και διενεργούνται σε τακτική βάση. 5.5 Καταγραφή Αρχείων 5.5.1 Είδη Περιστατικών που Καταγράφονται 45 Πλέον των αρχείων ελέγχου καταγραφής για λόγους ασφάλειας που προσδιορίζονται στην §5.4 της ΠΠ, η ΑΠΕΔ διασφαλίζει την τήρηση αρχείων που περιλαμβάνουν τεκμηρίωση των ακόλουθων: • Της συμμόρφωσης με την ΠΠ. • Ενεργειών και πληροφοριών που είναι ουσιώδεις για την έκδοση κάθε Πιστοποιητικού καθώς και για τη δημιουργία, έκδοση, ανάκληση, λήξη και επαναδημιουργία κλειδιού ή ανανέωση όλων των Πιστοποιητικών ΥπΑΠ που εκδίδονται. Τα αρχεία του κύκλου ζωής Πιστοποιητικών που τηρούνται από τις εκδότριες ΑΠ περιλαμβάνουν: • Τις υποχρεώσεις που απορρέουν από τους ΟΧΠ Τελικού Χρήστη. • Κάθε μεταβολή που έχει επέλθει στους ΟΧΠ. • Την ταυτότητα του Τελικού Χρήστη που κατονομάζεται σε κάθε Πιστοποιητικό. • Την ταυτότητα του προσώπου που αιτείται την ανάκληση ή ανάκτηση Πιστοποιητικού. • Άλλα πραγματικά στοιχεία που δηλώνονται στο Πιστοποιητικό. • Ορισμένα ουσιώδη στοιχεία τα οποία σχετίζονται με την έκδοση Πιστοποιητικών, συμπεριλαμβανομένων ενδεικτικά των πληροφοριών σχετικά με την επιτυχή ολοκλήρωση του Ελέγχου Συμμόρφωσης
Τα αρχεία που τηρούν οι εκδότριες ΑΠ αναφορικά με την ταυτότητα των τελικών χρηστών περιλαμβάνουν: • Τα έγγραφα που προσκομίζονται από τους Τελικούς Χρήστες για την ταυτοποίηση. • Ένα αρχείο μοναδικών στοιχείων ταυτοποίησης (πχ. αριθμός ταυτότητας, διαβατηρίου του Τελικού Χρήστη). • Αποδεικτικά απόδοσης τομεακών αναγνωριστικών, όπου αυτό απαιτείται, • Τα στοιχεία ταυτότητας του προσώπου που λαμβάνει και αποδέχεται Ηλεκτρονικές Εγγραφές ή Αιτήσεις για Πιστοποιητικά, και • Ένα σχέδιο τεκμηρίωσης αναφορικά με τις μεθόδους που χρησιμοποιούνται για την αποδοχή εγγράφων ταυτοποίησης. Τα αρχεία μπορεί να τηρούνται ηλεκτρονικά ή σε τυπωμένη μορφή, υπό την προϋπόθεση ότι έχουν ταξινομηθεί, αποθηκευθεί, τηρηθεί και αναπαραχθεί με ακρίβεια στο σύνολό τους. 5.5.2 Περίοδος Διατήρησης Αρχείου Τα αρχεία που συνδέονται με κάποιο Πιστοποιητικό, καθώς και τα ίδια τα Πιστοποιητικά διατηρούνται τουλάχιστον για τα εξής χρονικά διαστήματα, μετά από την ημερομηνία λήξης ή ανάκλησης του Πιστοποιητικού: 46 • Για όλα τα Πιστοποιητικά που ακολουθούν την ΠΠ 1, ΠΠ 3, ΠΠ 4, ΠΠ 5 και ΠΠ 7, τηρούνται για τριάντα
.5.1 της ΠΠ, με τρόπο ώστε μόνο εξουσιοδοτημένα πρόσωπα να επιτρέπεται να έχουν πρόσβαση σε αυτά. Τα ηλεκτρονικά αρχειοθετημένα δεδομένα προστατεύονται έναντι μη − εξουσιοδοτημένης ανάγνωσης, τροποποίησης, διαγραφής ή άλλης παραποίησης με την εφαρμογή κατάλληλων φυσικών και λογικών μέτρων ελέγχου πρόσβασης. Τα μέσα τήρησης των δεδομένων που αρχειοθετούνται, καθώς και οι απαιτούμενες εφαρμογές για την επεξεργασία των δεδομένων αυτών, διατηρούνται με σκοπό να διασφαλιστεί η δυνατότητα προσπέλασης τους, για το χρονικό διάστημα που προσδιορίζεται στην §5.5.2 της ΠΠ. Ανάλογα μέτρα εφαρμόζουν και οι εκδότριες ΑΠ για την προστασία των αρχείων που τηρούν. 5.5.4 Διαδικασίες Αρχειοθέτησης Εφεδρικών Αντιγράφων Η ΑΠΕΔ δημιουργεί σε καθημερινή βάση, όπου αυτό απαιτείται, εφεδρικά αντίγραφα (back−
Η διαδικασία αντικατάστασης κλειδιών που πιστοποιούν τις ΥπΑΠ προϋποθέτει ότι: • Η ΥπΑΠ διακόπτει την έκδοση νέων Πιστοποιητικών όχι αργότερα από 60 ημέρες πριν από την ημερομηνία λήξεως του ζεύγους των κλειδιών της. • Τα Πιστοποιητικά Τελικών Χρηστών μετά την επαναδημιουργία του ζεύγους κλειδιών που πιστοποιούν τις ΥπΑΠ θα υπογράφονται από το νέο ζεύγος κλειδιών της ΥπΑΠ. 47 • Η ΥπΑΠ θα συνεχίζει να εκδίδει ΚΑΠ υπογεγραμμένους από το αρχικό ιδιωτικό κλειδί της μέχρι την επέλευση της ημερομηνίας λήξεως του τελευταίου Πιστοποιητικού που εκδόθηκε με τη χρήση αυτού του αρχικού ζεύγους κλειδιών. 5.7 Αποκατάσταση Καταστροφών και Έκθεσης σε Κίνδυνο του Κλειδιού Η ΑΠΕΔ και οι εκδότριες ΑΠ διασφαλίζουν μέσω των υποδομών τους, την υλοποίηση ενός ισχυρού συνδυασμού φυσικών, λογικών και διαδικαστικών μέτρων ελέγχου ώστε να ελαχιστοποιήσει τον κίνδυνο και τον πιθανό αντίκτυπο της Έκθεσης σε Κίνδυνο ή της καταστροφής κάποιου κλειδιού. Επιπρόσθετα, εφαρμόζονται μέτρα αποκατάστασης καταστροφών όπως περιγράφεται στην §5.7.3 της ΠΠ και μέτρα αντιμετώπισης της Έκθεσης Κλειδιού σε Κίνδυνο όπως περιγράφεται στην §5.7.2 της ΠΠ. Τα μέτρα για την αποκατάσταση Έκθεσης σε Κίνδυνο ή καταστροφής αναπτύσσονται με στόχο την ελαχιστοποίηση του πιθανού αντίκτυπου από τέτοιο συμβάν και την αποκατάσταση της λειτουργίας της ΥΔΚ. 5.7.1 Φθορά Εξοπλισμού, Λογισμικού, Δεδομένων Σε περίπτωση φθοράς του εξοπλισμού, λογισμικού ή/και δεδομένων εφαρμόζονται τα μέτρα αντιμετώπισης επεισοδίων. Τα μέτρα αυτά απαιτούν ανάλογη κλιμάκωση, διερεύνηση του επεισοδίου και ανταπόκριση στο επεισόδιο. Τα μέτρα για την αποκατάσταση καταστροφής ή έκθεσης σε κίνδυνο του κλειδιού θα τεθούν σε ισχύ εφόσον κριθεί απαραίτητο. 5.7.2 Έκθεση σε Κίνδυνο Ιδιωτικού Κλειδιού Κατά την υποτιθέμενη ή πραγματική Έκθεση σε Κίνδυνο του ιδιωτικού κλειδιού της ΑΠΕΔ ή των εκδοτριών ΑΠ, εφαρμόζονται ειδικά μέτρα για την Αντιμετώπιση της Έκθεσης Κλειδιού σε Κίνδυνο από στελέχη του φορέα διαχείρισης της Υποδομής Δημοσίου Κλειδιού. Τα στελέχη αυτά, αξιολογούν την κατάσταση, αναπτύσσουν σχέδιο δράσης και εκτελούν το σχέδιο αυτό με την έγκριση της ΑΠΕΔ. Εφόσον απαιτείται ανάκληση Πιστοποιητικού ΑΠ, λαμβάνονται τα ακόλουθα μέτρα: • Η κατάσταση ανάκλησης του Πιστοποιητικού κοινοποιείται στους Τελικούς Χρήστες και Τρίτους Συμμετέχοντες μέσω του Χώρου Αποθήκευσης της ΑΠΕΔ και της εκδότριας ΑΠ
• Καταβάλλεται εύλογη προσπάθεια ώστε να υπάρξει πρόσθετη ενημέρωση σχετικά με την ανάκληση προς όλους τους συμμετέχοντες που δύναται να επηρεαστούν. • Η ΑΠ θα παράγει ένα νέο ζεύγος κλειδιών
.6 της ΠΠ, εκτός της περίπτωσης όπου διακόπτεται η παροχή των υπηρεσιών πιστοποίησης
48 5.7.3 Δυνατότητες Συνέχισης Επιχειρηματικών Λειτουργιών Μετά Από Καταστροφή Για την εξασφάλιση της συνέχισης των επιχειρηματικών λειτουργιών μετά από καταστροφή δημιουργούνται εφεδρικά αρχεία για τα κρίσιμα στοιχεία της ΑΠΕΔ και των εκδοτριών ΑΠ για την ΥΔΚ, τόσο εξοπλισμού όσο και λογισμικού. Επιπλέον, λαμβάνονται αντίγραφα των ιδιωτικών κλειδιών της ΑΠΕΔ και των εκδοτριών ΑΠ με σκοπό την αποκατάσταση από καταστροφή. Επίσης, αναπτύσσονται μέτρα εφαρμογής ενός σχεδίου αποκατάστασης από καταστροφή. Στο σχέδιο αυτό περιλαμβάνεται η ύπαρξη χώρου αποκατάστασης από καταστροφή ώστε να ελαχιστοποιηθούν οι συνέπειες οιασδήποτε φυσικής ή άλλης καταστροφής. Η παραπάνω στρατηγική αναθεωρείται τακτικά, ελέγχεται και ενημερώνεται για να είναι λειτουργική σε περίπτωση καταστροφής. Τα μέτρα αυτά είναι σε θέση να επιτύχουν αποκατάσταση των πληροφοριακών συστημάτων και των βασικών επιχειρησιακών λειτουργιών. Τέλος, διατηρούνται αντίγραφα σε άλλο χώρο των σημαντικών πληροφοριών της ΑΠΕΔ και των εκδοτριών ΑΠ. Τέτοιες πληροφορίες περιλαμβάνουν ιδίως, αρχεία καταγραφής των συστημάτων και των εφαρμογών, στοιχεία ελέγχου, καθώς και τα αρχεία βάσεων δεδομένων για όλα τα Πιστοποιητικά που εκδίδονται. 5.8 Διακοπή/Παύση Παροχής των Υπηρεσιών της ΑΠΕΔ ή μιας Αρχής Πιστοποίησης Στην περίπτωση που είναι απαραίτητη η διακοπή παροχής των υπηρεσιών πιστοποίησης μιας ΥπΑΠ ή σε περίπτωση παύσης εργασιών ενός Τρίτου Φορέα – Παρόχου Υπηρεσιών Πιστοποίησης, η εν λόγω ΑΠ υποχρεούται με κάθε πρόσφορο μέσο να ενημερώσει όσους επηρεάζονται άμεσα από την εν λόγω διακοπή, τους Τελικούς Χρήστες, Τρίτους Συμμετέχοντες κ.α. για τη διακοπή παροχής των υπηρεσιών πιστοποίησης πριν αυτή επέλθει, με σχετική ανακοίνωσή της στην ηλεκτρονική διεύθυνση της. Για τη διακοπή παροχής των υπηρεσιών πιστοποίησης της ΑΠΕΔ, η σχετική ανακοίνωσή της δημοσιεύεται στις ηλεκτρονικές διευθύνσεις http://www.yap.gov.gr, http://www.ermis.gov.gr, και http://www.syzefxis.gov.gr. Ενόψει της διακοπής παροχής των υπηρεσιών πιστοποίησης της ΑΠΕΔ ή μιας εκδότριας ΑΠ σύμφωνα με τα παραπάνω, αναπτύσσεται από την εν λόγω ΑΠ σχέδιο δράσης το οποίο συμμορφώνεται με το άρθρο 6, της υπ. αριθ. 248/71 Απόφαση της ΕΕΤΤ «Κανονισμός Παροχής Υπηρεσιών Πιστοποίησης Ηλεκτρονικής Υπογραφής» (ΦΕΚ 603/Β’/16.05.2002), και δύναται να περιλαμβάνει κατ’ ελάχιστο, τα ακόλουθα: • Αναγγελία στους φορείς ή τα πρόσωπα που επηρεάζονται από τη διακοπή των υπηρεσιών πιστοποίησης , όπως είναι οι Τελικοί Χρήστες, οι Τρίτοι Συμμετέχοντες κ.α. • Ανάκληση του Πιστοποιητικού ΥπΑΠ που εκδόθηκε από την ΑΠΕΔ (σε περίπτωση που διακόπτει τις υπηρεσίες πιστοποίησης μιας ΥπΑΠ). 49 • Διατήρηση των αρχείων και των εγγράφων της ΑΠ για τα χρονικά διαστήματα που απαιτούνται από την §5.5.2 της ΠΠ. • Συνεχή και αδιάκοπη παροχή των υπηρεσιών υποστήριξης του Τελικού Χρήστη. • Συνεχή παροχή των υπηρεσιών ανάκλησης, όπως είναι η έκδοση ΚΑΠ ή η υποστήριξη υπηρεσιών δικτυακού ελέγχου κατάστασης Πιστοποιητικών. • Ανάκληση των Πιστοποιητικών Τελικών Χρηστών τα οποία δεν έχουν λήξει ή ανακληθεί. • Προϋποθέσεις διάθεσης του ιδιωτικού κλειδιού της ΑΠ και των Ασφαλών Κρυπτογραφικών Μονάδων που περιλαμβάνουν αυτό το ιδιωτικό κλειδί με ασφαλή μέσα. Σε περίπτωση "παύσης", δηλ. κατάργησης της αρμόδιας υπηρεσίας (εργασιών παρόχου, ΑΠΕΔ, ή εκδότριας ΑΠ) οι αρμοδιότητες και τα τηρούμενα στοιχεία μεταβιβάζονται σε άλλον φορέα ο οποίος πληροί τις απαιτούμενες προϋποθέσεις. Εάν η παύση αφορά εκδότρια ΑΠ που αποτελεί νομικό πρόσωπο ιδιωτικού δικαίου οι αρμοδιότητες και τα τηρούμενα στοιχεία μεταβιβάζονται στην ΑΠΕΔ.
51 6.1.6.1 Δημιουργία Κλειδιών σε Ασφαλή Διάταξη Δημιουργίας Υπογραφής Οι Τελικοί Χρήστες δημιουργούν τα ιδιωτικά κλειδιά των Πιστοποιητικών υπογραφής ή/και αυθεντικοποίησης τους (ΠΠ 1 και ΠΠ 5), κάνοντας χρήση Ασφαλούς Διάταξης Δημιουργίας Υπογραφής (ΑΔΔΥ) η οποία πληρεί τις προϋποθέσεις του παραρτήματος ΙΙΙ του ΠΔ 150/2001. 6.1.7 Σκοποί της Χρήσης Κλειδιού Πιστοποιητικού Βλ. ΠΠ §7.1.2.1. 6.2 Προστασία Ιδιωτικού Κλειδιού Η ΑΠΕΔ διασφαλίζει την εφαρμογή συνδυασμού φυσικών, λογικών και διαδικαστικών μέτρων τα οποία εγγυώνται την ασφάλεια των ιδιωτικών κλειδιών των ΑΠ της. Τα φυσικά μέτρα ελέγχου πρόσβασης περιγράφονται στην §5.1.2 της ΠΠ. Οι εκδότριες ΑΠ, εφαρμόζουν μέτρα ασφαλείας ανάλογου επιπέδου με αυτά που εφαρμόζει η ΑΠΕΔ. Οι Τελικοί Χρήστες απαιτείται να λαμβάνουν τις απαραίτητες προφυλάξεις ώστε να αποτρέψουν την απώλεια, αποκάλυψη, τροποποίηση ή μη- εξουσιοδοτημένη χρήση των ιδιωτικών τους κλειδιών. 6.2.1 Πρότυπα για τις Ασφαλείς Κρυπτογραφικές Μονάδες (ΑΚΜ) Για τη δημιουργία και αποθήκευση ιδιωτικών κλειδιών της ΑΠΕΔ και των εκδοτριών ΑΠ χρησιμοποιούνται Ασφαλείς Κρυπτογραφικές Μονάδες (ΑΚΜ) οι οποίες έχουν αξιολογηθεί με βάση τα κριτήρια που ορίζει η κείμενη νομοθεσία. 6.2.2 Έλεγχος Πολλαπλών Προσώπων (m από
ΠΠ 2 ή την ΠΠ 6, η εκδότρια ΑΠ δύναται να τηρεί τα ιδιωτικά κλειδιά των τελικών χρηστών, αποκλειστικά για εξουσιοδοτημένους σκοπούς ανάκτησης. Οι εκδότριες ΑΠ που παρέχουν αυτή την υπηρεσία, περιγράφουν στη Δήλωση Πρακτικής τους τις διαδικασίες που εφαρμόζονται και όλα τα σχετικά μέτρα ελέγχου. 52 Για τις υπόλοιπες πολιτικές πιστοποιητικών η ΑΠΕΔ και οι εκδότριες ΑΠ δεν τηρούν ιδιωτικά κλειδιά ΑΠ ή τελικού χρήστη. 6.2.4 Δημιουργία Εφεδρικού Αντιγράφου Ιδιωτικού Κλειδιού Δημιουργούνται εφεδρικά αντίγραφα των ιδιωτικών κλειδιών ΑΠ για την περίπτωση ανάκτησης (τακτικής ή έκτακτης). Τα κλειδιά αυτά αποθηκεύονται σε κρυπτογραφημένη μορφή εντός Ασφαλών Κρυπτογραφικών Μονάδων οι οποίες πληρούν τις προδιαγραφές της §6.2.1 της ΠΠ. Τα ιδιωτικά κλειδιά ΑΠ αντιγράφονται σε εφεδρικές Ασφαλείς Κρυπτογραφικές Μονάδες
Οι Ασφαλείς Κρυπτογραφικές Μονάδες που περιέχουν τα εφεδρικά αντίγραφα των ιδιωτικών κλειδιών ΑΠ υπόκεινται στις προδιαγραφές της §6.2.1 της ΠΠ. Οι Ασφαλείς Κρυπτογραφικές Μονάδες που περιέχουν αντίγραφα για την περίπτωση αποκατάστασης από καταστροφή του ιδιωτικού κλειδιού ΑΠ υπόκεινται στις προδιαγραφές της §6.2.1 της ΠΠ. Για τα ιδιωτικά κλειδιά των Πιστοποιητικών υπογραφής ή/και αυθεντικοποίησης των Τελικών Χρηστών (ΠΠ 1 και ΠΠ 5) δεν παρέχεται η δυνατότητα δημιουργίας εφεδρικού αντιγράφου (Π.Δ. 150/2001). 6.2.5 Αρχειοθέτηση Ιδιωτικών Κλειδιών Με το τέλος της περιόδου ισχύος τους το ζεύγος κλειδιών της ΑΠΕΔ αρχειοθετείται για χρονικό διάστημα 30 ετών. Το αρχειοθετημένο ζεύγος κλειδιών ΑΠ αποθηκεύεται με ασφαλή τρόπο με τη χρήση Ασφαλών Κρυπτογραφικών Μονάδων οι οποίες πληρούν τις προδιαγραφές της §6.2.1 της ΠΠ. Διαδικαστικά μέτρα ελέγχου αποτρέπουν την επιστροφή των αρχειοθετημένων ζευγών κλειδιών ΑΠΕΔ σε παραγωγική χρήση. Με το πέρας του χρονικού διαστήματος αρχειοθέτησης, τα αρχειοθετημένα ιδιωτικά κλειδιά της ΑΠΕΔ θα καταστραφούν με ασφαλή τρόπο και
Με το τέλος της περιόδου ισχύος τους τα ζεύγη κλειδιών των εκδοτριών ΑΠ αρχειοθετούνται για χρονικό διάστημα 30 ετών. Τα αρχειοθετημένα ζεύγη κλειδιών ΑΠ αποθηκεύονται με ασφαλή τρόπο με τη χρήση Ασφαλών Κρυπτογραφικών Μονάδων οι οποίες πληρούν τις προδιαγραφές της §6.2.1 της ΠΠ. Διαδικαστικά μέτρα ελέγχου αποτρέπουν την επιστροφή των αρχειοθετημένων ζευγών κλειδιών ΑΠ σε παραγωγική χρήση. Με το πέρας του χρονικού διαστήματος αρχειοθέτησης, τα αρχειοθετημένα ιδιωτικά κλειδιά της ΑΠ θα καταστραφούν με ασφαλή τρόπο και
Η ΑΠΕΔ και οι εκδότριες ΑΠ δεν αρχειοθετούν αντίγραφα των ιδιωτικών κλειδιών Τελικών χρηστών, πάρα μόνο στην περίπτωση της ΠΠ 2 ή της ΠΠ 6, όταν η εκδότρια ΑΠ παρέχει την υπηρεσία αρχειοθέτησης, για σκοπούς ανάκτησης του κλειδιού κρυπτογράφησης. 6.2.6 Μεταφορά Ιδιωτικού Κλειδιού Από και Προς Μια Κρυπτογραφική Μονάδα 53 Όταν απαιτείται η μεταφορά ενός εφεδρικού αντιγράφου ζεύγους κλειδιών ΑΠ σε άλλη ΑΚΜ, η μεταφορά πραγματοποιείται με ασφάλεια, ούτως ώστε να αποτραπεί ο κίνδυνος απώλειας, κλοπής, τροποποίησης, μη εξουσιοδοτημένης αποκάλυψης ή μη εξουσιοδοτημένης χρήσης του. Τα ιδιωτικά κλειδιά είναι σε κρυπτογραφημένη μορφή κατά τη μεταφορά. 6.2.7 Αποθήκευση Ιδιωτικού Κλειδιού σε Κρυπτογραφική Μονάδα Τα ιδιωτικά κλειδιά ΑΠ ή ΑΕ, τα οποία φυλάσσονται σε Ασφαλείς Κρυπτογραφικές Μονάδες, αποθηκεύονται σε κρυπτογραφημένη μορφή. 6.2.8 Μέθοδος Ενεργοποίησης Ιδιωτικού Κλειδιού 6.2.8.1 Ιδιωτικά Κλειδιά Τελικού Χρήστη σε ΑΔΔΥ Οι Τελικοί Χρήστες που αποκτούν Πιστοποιητικά
ΠΠ 1 ή ΠΠ 5, ή/και στις περιπτώσεις που το απαιτεί η εκδότρια ΑΠ, θα πρέπει να κάνουν χρήση των Ασφαλών Διατάξεων Δημιουργίας Υπογραφής (ΑΔΔΥ) που τους έχουν χορηγηθεί προκειμένου να αποθηκεύσουν, χρησιμοποιήσουν ή ενεργοποιήσουν τα ιδιωτικά τους κλειδιά. Παράλληλα θεωρείται υποχρεωτική από τους Τελικούς Χρήστες: • Η χρήση του συνθηματικού πρόσβασης στην ΑΔΔΥ PΙΝ/Personal Ιdentification Number (ή του μυστικού αριθμού PUK/Personal Unblocking Key στην περίπτωση απώλειας του PIN),
.4.1 της ΠΠ για την εξακρίβωση της ταυτότητας τους πριν από την ενεργοποίηση του ιδιωτικού τους κλειδιού. • Η λήψη ευλόγων μέτρων για τη φυσική προστασία του χώρου και σταθμού εργασίας τους ώστε να αποτραπεί η χρήση των ανωτέρω καθώς και των αντίστοιχων ιδιωτικών κλειδιών χωρίς την έγκριση τους. 6.2.8.2 Ιδιωτικά Κλειδιά Τελικού Χρήστη Χαλαρής Αποθήκευσης Οι Τελικοί Χρήστες που αποκτούν πιστοποιητικά που δεν αποθηκεύονται σε ΑΔΔΥ, ή/και στις περιπτώσεις που το απαιτεί η εκδότρια ΑΠ, θα πρέπει να λαμβάνουν εύλογα μέτρα για τη φυσική προστασία του χώρου και σταθμού εργασίας τους ώστε να αποτραπεί η χρήση των ανωτέρω καθώς και των αντίστοιχων ιδιωτικών κλειδιών χωρίς την έγκριση τους. Η παράγραφος αυτή αφορά στα Πιστοποιητικά που ακολουθούν την ΠΠ3, καθώς και τις ΠΠ2, ΠΠ4 και ΠΠ6, όταν για τα Πιστοποιητικά αυτά δεν υπάρχει απαίτηση δημιουργίας και αποθήκευσης σε ΑΔΔΥ. 6.2.9 Μέθοδος Απενεργοποίησης Ιδιωτικού Κλειδιού Τα ιδιωτικά κλειδιά ΑΠ απενεργοποιούνται με την αφαίρεσή τους από τη συσκευή ανάγνωσης. Τα ιδιωτικά κλειδιά Τελικών Χρηστών (για την ΠΠ 1 και ΠΠ 5) καθώς και των Υπεύθυνων ΑΕ μπορούν να απενεργοποιηθούν με την αφαίρεση της ΑΔΔΥ από τη συσκευή ανάγνωσης καρτών ή τη θύρα του ηλεκτρονικού υπολογιστή. Τα ιδιωτικά κλειδιά Τελικών Χρηστών για τις 54 υπόλοιπες ΠΠ, μπορούν να απενεργοποιηθούν μετά από κάθε εφαρμογή, με την αποσύνδεση του συστήματος. Σε κάθε περίπτωση, οι Υπεύθυνοι ΑΕ καθώς και οι Τελικοί Χρήστες έχουν υποχρέωση να προστατεύουν επαρκώς τα ιδιωτικά κλειδιά τους
6.2.10 Μέθοδος Καταστροφής Ιδιωτικού Κλειδιού Με το πέρας του λειτουργικού χρόνου ζωής μιας ΑΠ, ένα ή περισσότερα αντίγραφα του ιδιωτικού κλειδιού της ΑΠ αρχειοθετούνται
Τα υπόλοιπα αντίγραφα του ιδιωτικού κλειδιού της ΑΠ καταστρέφονται με ασφαλή τρόπο. Επιπλέον, τα αρχειοθετημένα ιδιωτικά κλειδιά της ΑΠ καταστρέφονται με ασφαλή τρόπο με το πέρας του χρονικού διαστήματος αρχειοθέτησής τους. Όταν είναι απαραίτητο, η ΑΠΕΔ καταστρέφει τα ιδιωτικά κλειδιά ΥπΑΠ με τρόπο που λογικά εξασφαλίζει ότι δεν θα παραμείνουν μέρη του κλειδιού αυτού τα οποία θα μπορούσαν να οδηγήσουν στην ανασύνθεση του. Η ΑΠΕΔ χρησιμοποιεί τη λειτουργία διαγραφής του περιεχομένου των Ασφαλών Κρυπτογραφικών Μονάδων της καθώς και άλλα κατάλληλα μέτρα ώστε να εξασφαλίζει την πλήρη καταστροφή των ιδιωτικών κλειδιών ΑΠ. Οι ενέργειες καταστροφής κλειδιών ΑΠ καταγράφονται κατά την εκτέλεσή τους. Ανάλογα μέτρα εφαρμόζονται και από τις εκδότριες ΑΠ. 6.2.11 Αξιολόγηση Κρυπτογραφικής Μονάδας Βλ. §6.2.1 της ΠΠ. 6.3 Άλλα Θέματα Διαχείρισης του Ζεύγους Κλειδιών 6.3.1 Αρχειοθέτηση Δημόσιου Κλειδιού Από τα Πιστοποιητικά ΑΠ και τελικών χρηστών δημιουργούνται αντίγραφα ασφαλείας τα οποία αρχειοθετούνται ως μέρος της τακτικής διαδικασίας δημιουργίας αντιγράφων. 6.3.2 Περίοδος Χρήσης των Δημόσιων και Ιδιωτικών Κλειδιών Η Λειτουργική Περίοδος ενός Πιστοποιητικού ολοκληρώνεται με τη λήξη ή την ανάκλησή του. Η Λειτουργική Περίοδος για τα ζεύγη κλειδιών είναι ίδια με τη Λειτουργική Περίοδο των αντίστοιχων Πιστοποιητικών. Τα ιδιωτικά κλειδιά βέβαια μπορούν να συνεχίσουν να χρησιμοποιούνται για αποκρυπτογράφηση και τα δημόσια κλειδιά για επαλήθευση υπογραφής. Οι μέγιστες Λειτουργικές Περίοδοι των Πιστοποιητικών των ΑΠ για Πιστοποιητικά που εκδίδονται από την έναρξη ισχύος της παρούσας ΠΠ και μετά παρατίθενται στον Πίνακα 7. Επιπροσθέτως, η ΑΠΕΔ και οι εκδότριες ΑΠ παύουν να εκδίδουν νέα Πιστοποιητικά εγκαίρως πριν από τη λήξη του Πιστοποιητικού τους, έτσι ώστε να διασφαλίζεται ότι κανένα Πιστοποιητικό το οποίο θα εκδοθεί από την ΑΠΕΔ ή τις εκδότριες ΑΠ δεν θα λήγει μετά τη λήξη του δικού τους Πιστοποιητικού. 55 Πίνακας 7: Λειτουργικές Περίοδοι Πιστοποιητικών Πιστοποιητικό Πρωτεύουσας Αρχής Πιστοποίησης Λειτουργική Περίοδος Μέχρι 20 έτη (ΑΠΕΔ) αυτοϋπογραφόμενο ΑΠΕΔ προς ΥπΑΠ Μέχρι 10 έτη Εκδότρια ΑΠ προς Τελικό Χρήστη Μέχρι 5 έτη Η ΑΠΕΔ και οι εκδότριες ΑΠ παύουν να χρησιμοποιούν τα ζεύγη κλειδιών ΑΠ μετά τη λήξη της περιόδου χρήσης τους. 6.4 Δεδομένα Ενεργοποίησης 6.4.1 Δημιουργία και Εγκατάσταση Δεδομένων Ενεργοποίησης Η ΑΠΕΔ και οι εκδότριες ΑΠ συνιστούν σε όλους τους Τελικούς Χρήστες να χρησιμοποιούν πάντα συνθηματικά πρόσβασης (Personal identification number − PIN), τόσο για την προστασία των κλειδιών που είναι αποθηκευμένα στο σταθμό εργασίας τους αλλά και του ίδιου του σταθμού εργασίας τους, όσο και για την προστασία της ΑΔΔΥ τους, όταν γίνεται χρήση αυτής. 6.4.2 Προστασία Δεδομένων Ενεργοποίησης Οι Τελικοί Χρήστες οφείλουν να λαμβάνουν κάθε απαραίτητο μέτρο για τη διαφύλαξη και μη γνωστοποίηση των δεδομένων ενεργοποίησης των ιδιωτικών τους κλειδιών. 6.5 Μέτρα Ασφαλείας των Υπολογιστών Όλες οι αρμοδιότητες των ΑΠ ασκούνται χρησιμοποιώντας Αξιόπιστα Συστήματα. 6.5.1 Τεχνικές Προδιαγραφές Ασφάλειας Υπολογιστών Όλα τα συστήματα λογισμικού και αρχείων των ΑΠ αποτελούν Αξιόπιστα Συστήματα ασφαλή από μη − εξουσιοδοτημένη πρόσβαση. Οι χρήστες γενικών εφαρμογών δεν διαθέτουν λογαριασμούς σε εξυπηρετητές παραγωγής (production servers). Επίσης υπάρχει λογικός διαχωρισμός του δικτύου παραγωγής από τα άλλα τμήματα έτσι ώστε να επιτρέπεται η πρόσβαση μόνο μέσω καθορισμένων διαδικασιών. Επίσης χρησιμοποιούνται συστήματα προστασίας (firewalls) για την προστασία του δικτύου παραγωγής από εσωτερική και εξωτερική διείσδυση, καθώς και για τον περιορισμό της φύσης και της προέλευσης των δραστηριοτήτων οι οποίες θα μπορούσαν να προσπελάσουν τα συστήματα αυτά. Τέλος απαιτείται η χρήση συνθηματικών πρόσβασης (passwords), που θα αλλάζουν σε περιοδική βάση, με συγκεκριμένο αριθμό χαρακτήρων και συνδυασμό αλφαριθμητικών και ειδικών χαρακτήρων. 56 6.5.2 Όρια Ασφαλείας των Υπολογιστών Η έκδοση του βασικού λογισμικού του Κέντρου Επεξεργασίας που χρησιμοποιεί η ΑΠΕΔ πληρεί τις προδιαγραφές εγγυήσεων EAL 4 του ISO/IEC 15408−3:1999, Information technology – Security techniques – Evaluation criteria για IT security – Part 3: Security assurance requirements (Πληροφορική – Τεχνικές ασφάλειας – Κριτήρια αξιολόγησης για την ασφάλεια πληροφορικών συστημάτων – Μέρος 3: Προδιαγραφές εγγυήσεων ασφάλειας) για την αξιολόγηση του λογισμικού από ανεξάρτητο εργαστήριο βάσει των Common Criteria. 6.6 Τεχνικοί Έλεγχοι κατά τον Κύκλο Ζωής Πιστοποιητικού 6.6.1 Μέτρα Ελέγχου Ανάπτυξης Συστήματος Η ΑΠΕΔ, οι εκδότριες ΑΠ και οι ΑΕ, χρησιμοποιούν λογισμικό διαχείρισης Πιστοποιητικών το οποίο σχεδιάζεται και αναπτύσσεται μέσω διαδικασιών διασφάλισης ποιότητας, ώστε να μπορεί να επαληθευτεί ότι το λογισμικό του συστήματος δεν έχει τροποποιηθεί πριν από την εγκατάσταση και είναι κατάλληλο για τη συγκεκριμένη χρήση. 6.6.2 Μέτρα Ελέγχου Διαχείρισης Ασφάλειας Η ΑΠΕΔ διασφαλίζει την τήρηση των όρων και προϋποθέσεων της παρούσας ΠΠ από τα συστήματα της ΑΠΕΔ και των εκδοτριών ΑΠ. Η ΑΠΕΔ επαληθεύει περιοδικά, την αρτιότητα των συστημάτων της ΑΠΕΔ και των ΥπΑΠ. 6.7 Μέτρα Ελέγχου Ασφάλειας Δικτύου Όλες οι
Επεξήγηση AI βάσει του επίσημου κειμένου του νόμου. Ενδεικτική, δεν υποκαθιστά νομική συμβουλή.