Verkets beslut om riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m.

Regeringen har i beslut den 21 december 2000 (Ju2000/4939) uppdragit åt Riksskatteverket (RSV) att under ett inledningsskede ha ett sammanhållande ansvar för administrationen av certifikat för elektronisk identifiering och elektroniska signaturer inom statsförvaltningen. I uppdraget ingår att utarbeta allmänna riktlinjer och gemensamma rutiner för certifikathanteringen inom statsförvaltningen. Till området hör elektronisk identifiering, signering och stämpling av elektroniska handlingar samt kryptering för skydd mot obehörig insyn (insynsskydd).

RSV har i samarbete med Riksförsäkringsverket, Patent- och Registreringsverket och Statskontoret utarbetat följande allmänna riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m. i system för publika och privata nycklar på myndighetsområdet (PKI-system). Syftet med riktlinjerna är att samordna medborgare och myndigheters användning av PKI-system och elektroniska handlingar. Med medborgare menas här fysiska personer i deras egenskap av privatpersoner eller företrädare för juridiska personer som inte är myndigheter, oberoende av om de är svenska medborgare. Med handläggare avses den som kommunicerar med medborgare och myndigheter i egenskap av anställd eller uppdragstagare hos en myndighet.

Riktlinjerna tar sikte på den samlade användningen av certifikattjänster m.m. men de omfattar inte alla tekniska, juridiska och administrativa frågor som uppkommer i anknytning till PKI-system. De gäller inte för de samlade åtgärder för informationssäkerhet som en myndighet har att vidta, åtgärder till skydd främst för rikets säkerhet och frågor om rättslig prövning av bl.a. behörighet och sekretess i anknytning till myndigheternas verksamhet.

Föreskrifterna i lagen (2000:832) om kvalificerade elektroniska signaturer har beaktats. Riktlinjerna omfattar emellertid både avancerade och kvalificerade elektroniska signaturer och motsvarande funktioner för avancerad elektronisk myndighetsstämpel, identifiering och kryptering för insynsskydd. Detta innebär att signaturen – och sådan signering som beskrivs i dessa riktlinjer – skall vara knuten uteslutande till en undertecknare, göra det möjligt att identifiera undertecknaren, vara skapad med hjälpmedel som endast undertecknaren kontrollerar och vara knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas. För avancerad elektronisk myndighetsstämpel och sådan stämpling, identifiering och kryptering för insynsskydd som omfattas av dessa riktlinjer gäller motsvarande krav.

Elektroniska signaturer som varken är avancerade eller kvalificerade, myndighetsstämplar som inte är avancerade och elektronisk identifiering och kryptografiska rutiner som saknar motsvarande skyddsnivå omfattas inte av dessa riktlinjer.

1 Definitioner

I dessa riktlinjer används följande begrepp med nedan angiven betydelse.

2 Det samordnade området

2.1 I detta avsnitt anges vad som ingår i det område som samordnas för att medborgare skall kunna kommunicera med myndigheter med en och samma elektroniska identitet.

Rutiner och säkerhetskrav

2.2 Dessa riktlinjer gäller rutiner och säkerhetskrav, i PKI-system på myndighetsområdet, för att

1. utfärda elektroniska identitetshandlingar (certifikat),

2. använda certifikat och publika och privata nycklar,

3. tillhandahålla tjänster för att spärra certifikat och kontrollera om de har spärrats, och

4. bedöma vilka lösningar som tillgodoser de säkerhetskrav som gäller inom det samordnade området.

Funktioner

2.3 Produkter och tjänster som omfattas av dessa riktlinjer kan användas för

1. identifiering av fysiska personer,

2. identifiering av myndigheter som tillhandahåller elektroniska tjänster,

3. signering och verifiering av signerade elektroniska handlingar,

4. stämpling och verifiering av stämplade elektroniska handlingar, och

5. kryptering för insynsskydd och dekryptering av insynsskyddade data.

Användning

2.4 Medborgare använder tjänster för

1. identifiering vid

   1. tillträde,

      för att elektroniskt få tillgång till uppgifter som får lämnas ut till medborgaren och för att få skydd mot att någon annan får tillgång till uppgifterna under sken av att vara honom eller henne,

   2. uppgiftslämnande,

      för att få lämna uppgifter elektroniskt och för att få skydd mot att någon annan lämnar uppgifterna under sken av att vara honom eller henne,

2. identifiering av myndighet, för att kontrollera till vilken myndighets elektroniska tjänst medborgaren har anslutit,

3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling, (signerad elektronisk handling),

4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling är utställd av en handläggare vid en myndighet, som har angetts som undertecknare,

5. verifiering av myndighetens elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och

6. insynsskydd, att genom kryptering hindra obehöriga från att ta del av informationen.

2.5 Myndigheter använder tjänster för

1. identifiering av certifikatinnehavare vid

   1. tillträde, för att kunna ge tillgång till uppgifter elektroniskt så att inte någon obehörig får ut uppgifterna,

   2. uppgiftslämnande, för att kontrollera vem som var ansluten till myndighetens elektroniska tjänst när vissa uppgifter lämnades,

2. identifiering av annan myndighet, för att kontrollera till vilken myndighets elektroniska tjänst som anslutning skett,

3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling (signerad elektronisk handling),

4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling, som har kommit in till myndigheten eller upprättats vid myndigheten har ställts ut av den fysiska person som angetts som undertecknare,

5. myndighetens elektroniska stämpel, för att ställa ut elektroniska handlingar som är skyddade mot förfalskning på motsvarande sätt som en traditionell handling i vilken en myndighet anges som utställare genom särskilt tryck eller på annat liknande sätt (stämplad elektronisk handling),

6. verifiering av en annan myndighets elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och

7. insynsskydd, för att hindra att obehöriga gör krypterade data läsbara.

Typer av certifikat och certifikatens innehåll och användning

2.6 Certifikat kan utfärdas för fysiska personer, som medborgarcertifikat eller tjänstecertifikat, och för myndigheter, som webbservercertifikat eller certifikat för myndighetens elektroniska stämpel.

1. Medborgarcertifikat används för att fysiska personer skall kunna kommunicera elektroniskt med myndigheter, i egenskap av privatperson eller som företrädare för en juridisk person (medborgare).

2. Tjänstecertifikat används för att handläggare vid myndigheter skall kunna kommunicera elektroniskt inom myndigheten, med andra myndigheter och med medborgare.

3. Webbservercertifikat används för att medborgare och myndigheter skall kunna identifiera en myndighets elektroniska tjänst med vilken de kommunicerar och skydda denna kommunikation mot obehörig insyn.

4. Certifikat för myndighetens elektroniska stämpel används för att en myndighet skall kunna ställa ut elektroniska handlingar som är skyddade mot förfalskning och förnekande så att det kan verifieras att den elektroniska handlingen har ställts ut av myndigheten, eller inom ramen för ett visst verksamhetsområde inom myndigheten, och inte har ändrats.

2.7 Certifikat enligt 2.6 bör ha det innehåll och det format som framgår av följande bilagor:

3 Myndighet som avropar certifikattjänster

3.1 En myndighet som tar i bruk rutiner för elektronisk identifiering och signering kan avropa certifikattjänster som omfattas av ramavtal med Statskontoret; jfr 4.1 och 7.1.

3.2 Statskontoret har tecknat ramavtal med följande leverantörer för avrop av följande typer av certifikat.

* Erbjuds under första halvåret 2002.

3.3 Information om ramavtalen finns på Statskontorets webbplats för IT-upphandling http://it-upphandling.statskontoret.se

3.4 På Statskontorets webbplats finns generell information för avrop enligt ramavtalet; dels en vägledning till ramavtalet, dels skriften Statskontorets ramavtal – en introduktion för dig som är inköpare (http://www.statskontoret.se/pdf/2000102.pdf).

4 Certifikatutfärdare

4.1 I detta avsnitt anges regler och rutiner för utfärdare av certifikat som omfattas av ramavtal med Statskontoret om elektronisk identifiering och signering eller som annars utfärdar certifikat som godtas enligt 6.3.

Tillförlitliga regler och rutiner

4.2 Certifikatutfärdare bör ha sådana regler och rutiner för sin verksamhet att certifikatinnehavare, myndigheter och andra som anslutits till PKI-system på myndighetsområdet kan ha fog för att lita på dem. Certifikatutfärdaren säkerställer att dessa regler och rutiner följs i certifikatutfärdarens verksamhet.

Medborgarcertifikat och Tjänstecertifikat

Ansökan och avtalsvillkor

4.3 En certifikatutfärdare får utfärda medborgarcertifikat eller tjänstecertifikat som godtas enligt 6.3 endast efter skriftlig ansökan. Ansökan bör vara undertecknad av sökanden med intyg om att lämnade uppgifter är riktiga och fullständiga.

Om sökanden tidigare har identifierats enligt 4.9 får en sådan identifiering ersätta ett undertecknande enligt första stycket.

4.4 Ansökan bör innehålla

1. de uppgifter som behövs enligt 2.7 och i övrigt för certifikatets funktioner och certifikatutfärdarens kontroller, och

2. certifikatutfärdarens villkor för att tillhandahålla produkter och tjänster enligt ansökan.

4.5 En certifikatutfärdare, som avser att villkor enligt 4.4.2 som inte finns intagna i själva ansökningshandlingen, skall bli en del av ett avtal som sluts med en sökande, bör tydlig hänvisa till dessa villkor och utforma sina rutiner så att villkoren kommer sökanden tillhanda innan denne undertecknar eller signerar ansökan enligt 5.2 eller 5.3.

4.6 I avtal med sökanden bör certifikatutfärdaren, som villkor för att utfärda certifikat och tillhandahålla avtalade tjänster, ange att sökanden skall

1. skydda sina privata nycklar och aktiveringsdata enligt 5.10 och 5.11,

2. byta ut aktiveringsdata enligt 5.7,

3. använda olika aktiveringsdata enligt 5.7 för signering respektive identifiering och insynsskydd.

4.7 Certifikatutfärdaren bör informera sökande och myndigheter om innehållet i de avtal som sluts med sökandena. Certifikatutfärdaren bör vidare tillhandahålla uppgifter om avtal, villkor, certifikatpolicies, utfärdardeklarationer, regelverk och anknytande uppgifter till certifikatinnehavare, förlitande parter och andra som behöver uppgifterna i samband med sådana kontroller som avses i 5.14 – 5.18 och 6.2.

Första stycket innebär inte att certifikatutfärdaren behöver röja företagshemligheter eller uppgifter som skulle kunna äventyra informationssäkerheten om de blev tillgängliga.

Identifiering av sökande

4.8 Certifikatutfärdaren bör identifiera sökanden vid personligt besök, vid ansökan om eller utlämnande av certifikat och privata nycklar, på likvärdigt sätt som vid en ansökan om en SIS-godkänd identitetshandling.

4.9 Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör certifikatutfärdaren få identifiera sökanden genom sådan elektronisk rutin i stället för enligt 4.8. Denna elektroniska rutin bör dock inte användas om den har spärrats eller om det annars kan antas att den inte identifierar sökanden på ett tillräckligt säkert sätt.

Identifiering av sökanden vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3 bör också kunna ske elektroniskt. Certifikatinnehavaren bör vid sådan förnyelse signera ansökan eller en annan elektronisk handling med användning av sin privata nyckel för att visa att han eller hon innehar den privata nyckel som hör till certifikatet.

Kontroll av uppgifter m.m.

4.10 Certifikatutfärdaren bör kontrollera att

1. ansökan om certifikat är behörigen undertecknad eller signerad i de fall sökandens elektroniska signatur godtas enligt 5.3,

2. de uppgifter som sökanden har lämnat enligt 5.2 är fullständiga och stämmer överens med uppgifter som finns registrerade i SPAR-registret eller ett annat officiellt register.

Produktion av certifikat och utlämnande av aktiveringsdata m.m.

4.11 Certifikatutfärdaren bör, i enlighet med lämnade och av certifikatutfärdaren kontrollerade uppgifter, producera certifikat och signera dem med en avancerad elektronisk signatur eller en avancerad elektronisk stämpel.

Certifikatutfärdaren bör tilldela medborgare och handläggare ett certifikat för signering och ett certifikat för identifiering och insynsskydd.

4.12 I de fall certifikatutfärdaren tillhandahåller privata nycklar och aktiveringsdata till sådana nycklar bör dessa befordras i separata försändelser och lämnas ut till sökanden vid personligt besök hos certifikatutfärdaren eller ett ombud för utfärdaren eller genom ett elektroniskt förfarande som är förenligt med 4.9.

4.13 Privata nycklar som certifikatutfärdare använder för att signera certifikat i enlighet med dessa riktlinjer bör skyddas genom särskilt tillförlitliga rutiner och bör få användas endast för att signera certifikat och spärrinformation.

Anordning för signaturframställning m.m.

4.14 Certifikatutfärdaren bör förse den som tilldelas certifikat med maskin- eller programvara för att använda privata nycklar (anordning för signaturframställning m.m.). Denna anordning bör skydda privata nycklar, hantera aktiveringsdata på ett säkert sätt och i övrigt möjliggöra tillförlitliga metoder för signering, identifiering och insynsskydd.

I 3–5 §§ lagen (2000:832) om kvalificerade elektroniska signaturer finns bestämmelser om säkra anordningar för att framställa kvalificerad elektronisk signatur.

4.15 Anordning enligt 4.14 bör ha utformats så att det krävs en aktiv handling vid signering, identifiering och kryptering för insynsskydd. Rutinerna bör ta sikte på att likna de omständigheter som certifikatinnehavaren ställs inför när han eller hon

1. fattar en penna och skriver under,

2. överlämnar eller visar upp en legitimationshandling för identitetskontroll, respektive

3. försluter eller öppnar ett kuvert eller ett annat slutet förvar.

Spärrtjänst

4.16 Certifikatutfärdaren tillhandahåller en tjänst där certifikatinnehavaren snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat anmäler detta förhållande (spärrtjänst). Spärrtjänsten bör ha god tillgänglighet. Certifikatutfärdaren bör behandla en anmälan om spärr skyndsamt.

Spärrkontrolltjänst

4.17 Certifikatutfärdaren bör göra uppgifter om spärr av certifikat tillgängliga för den som skall bedöma om han eller hon kan lita på ett visst certifikat. Uppgifter om spärr av certifikat kan tillhandahållas genom spärrlistor som certifikatutfärdaren med korta intervaller uppdaterar, signerar och tillhandahåller eller genom en tjänst för kontroll i realtid av att certifikat inte har spärrats.

4.18 En förlitande parts kontroller och bedömningar enligt 5.14 – 5.18 bör automatiseras eller på annat sätt underlättas med stöd av helhetslösningar enligt 7.2 så att förlitande part enkelt kan överblicka och förstå åtgärdernas innebörd.

Arkivering

4.19 Certifikatutfärdaren bör arkivera

1. ansökningshandlingar,

2. handlingar rörande utlämnande och mottagande av nycklar och certifikat eller anmälan om spärr av certifikat samt information om spärrade certifikat som tillhandahållits av certifikatutfärdaren,

3. avtal rörande produkter och tjänster,

4. policydokument och utfärdardeklarationer, och

5. övriga handlingar och uppgifter som kan behövas för att verifiera elektroniska signaturer och stämplar, identifiera fysiska personer eller myndigheter och hantera insynsskydd för PKI-system.

4.20 Arkiverat material bör bevaras och skyddas mot förändring och förstörelse under den tid som behövs för att tillgodose ändamålen med certifikat för elektronisk identifiering och elektroniska signaturer m.m. på myndighetsområdet. Tiden för bevarande bör inte understiga tio år från händelsen. Arkiverat material bör kunna tas fram i läsbar form under hela tiden för bevarande.

4.21 Certifikatutfärdaren bör lämna ut information om enskilda händelser på begäran av den som behöver verifiera en elektronisk signatur eller en myndighets elektroniska stämpel eller kontrollera en identifiering eller en åtgärd för insynsskydd. Arkiverat material får emellertid inte lämnas ut i strid mot lag eller författning eller avtal med certifikatinnehavaren.

4.22 En certifikatutfärdare som upphör med sin verksamhet bör informera samtliga certifikatinnehavare och hålla arkiverat material tillgängligt enligt 4.20 och 4.21.

Webbservercertifikat och certifikat för myndighetens elektroniska stämpel

4.23 Bestämmelserna om medborgar- och tjänstecertifikat gäller i tillämpliga delar för webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

4.24 Webbservercertifikat bör säkerställa kopplingen till myndighetens elektroniska tjänst genom domännamn medan certifikat för myndighetens elektroniska stämpel bör individualisera myndigheten genom organisationsnummer. När ytterligare uppgifter behövs för att särskilja myndigheten eller en verksamhetsgren inom myndigheten bör den benämning under vilken myndigheten driver sin verksamhet eller en verksamhetsgren användas.

4.25 Certifikatutfärdaren får lämna ut webbservercertifikat eller certifikat för myndighetens elektroniska stämpel samt tillhörande privata nycklar endast till den som legitimerat sig med en SIS-godkänd legitimationshandling eller på motsvarande sätt och visat att han eller hon är behörig att företräda myndigheten i de frågor som utlämnandet avser. Utlämnande får ske först efter att företrädaren har mottagit information om hur och till vad certifikatet och tillhörande nycklar får användas.

Ansvar

4.26 Certifikatutfärdarens ansvar gentemot certifikatinnehavare bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, när avtal finns mellan utfärdaren och den som litar på ett certifikat. För kvalificerade certifikat gäller 14och 15 §§ lagen (2000:832) om kvalificerade elektroniska signaturer.

4.27 Certifikatutfärdaren kan anlita andra för att utföra delar av verksamheten men bör i förhållande till certifikatinnehavare och förlitande part ansvara som om han hade utfört hela arbetet själv.

5 Certifikatinnehavare

5.1 Idetta avsnitt anges regler och rutiner för

1. medborgare som ansöker om, tilldelas och använder medborgarcertifikat och som litar på tjänstecertifikat, certifikat för myndighetens elektroniska stämpel eller webbservercertifikat samt anknytande användning enligt 2.4, och

2. handläggare som ansöker om, tilldelas och använder tjänstecertifikat; jfr de regler för myndigheter och handläggare som ges i avsnitt 6.

Med certifikatinnehavare menas medborgare och handläggare som tilldelats certifikat enligt första stycket.

5.2 Medborgare och handläggare som avser att använda PKI-system på myndighetsområdet ansöker om certifikat. Sökanden bör skriftligt lämna de uppgifter som behövs enligt 4.4 och underteckna ansökan, med intyg om att lämnade uppgifter är riktiga och fullständiga.

5.3 Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör sökanden få använda elektroniska rutiner enligt 4.9 för att ansöka om certifikat, utan krav på underskrift enligt 5.2.

Detsamma gäller vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3. Certifikatinnehavaren bör signera ansökan med användning av den privata nyckel som hör till certifikatet.

5.4 Sökanden bör, innan ansökan sker, ta del av certifikatutfärdarens villkor och information enligt 4.4 – 4.7 samt tydligt ange om han eller hon till någon del inte godtar villkoren.

Identifiering

5.5 Den som ansöker om certifikat bör vidta de åtgärder som behövs för att certifikatutfärdaren skall kunna identifiera sökanden enligt 4.8 eller 4.9.

Mottagande och användning av certifikat och nycklar

5.6 En sökande som har fått ansökan beviljad erhåller privata nycklar, aktiveringsdata och certifikat m.m. på det sätt som certifikatutfärdaren tillämpar enligt 4.12 och behandlar dessa data i enlighet med villkoren i certifikatinnehavarens avtal med certifikatutfärdaren. Något mottagande av nycklar och aktiveringsdata sker inte beträffande nycklar som sökanden genererat och aktiveringsdata som denne själv valt.

5.7 Snarast efter att sökanden tagit emot certifikat, nycklar och aktiveringsdata skall han eller hon byta ut aktiveringsdata som tilldelats av certifikatutfärdaren. Certifikatinnehavaren väljer själv sina aktiveringsdata men får inte välja sådana som enkelt kan utrönas. Certifikatinnehavaren bör inte heller välja samma aktiveringsdata för signering respektive identifiering och insynsskydd.

5.8 Certifikatinnehavaren bör använda den anordning för signaturframställning m.m., som certifikatutfärdaren tillhandahåller enligt 4.14, på ett sådant sätt att signering, identifiering och kryptering för insynsskydd sker med tillförlitliga rutiner; jfr 4:15.

Roller och rutiner som undertecknare m.m.

5.9 Medborgare identifierar sig, signerar och använder rutiner för insynsskydd i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. Handläggare signerar, stämplar och använder rutiner för insynsskydd i egenskap av företrädare för myndigheten; jfr 5.19.

För medborgare som förlitande part finns regler i 5.14 – 5.18; jfr hänvisningen till dessa regler i 6.2 med avseende på handläggare som agerar för en myndighets räkning.

Certifikatinnehavaren bör bifoga sitt certifikat när han eller hon översänder en signerad elektronisk handling eller identifierar sig elektroniskt.

Skydd för privata nycklar och aktiveringsdata m.m.

5.10 Certifikatinnehavaren bör iaktta skälig aktsamhet för att undvika att obehöriga får tillgång till och använder innehavarens privata nycklar och aktiveringsdata. Dessa åtgärder består bl.a. i

1. att skydda den anordning för signaturframställning m.m. där de privata nycklarna förvaras på motsvarande sätt som ett värdeföremål och att inte lämna anordningen obevakad när en privat nyckel är aktiverad, och

2. att inte avslöja aktiveringsdata eller förvara anteckning om sådana data så att någon annan kan få del av uppgifterna eller förstå att noteringen avser aktiveringsdata.

5.11 Särskilda åtgärder bör vidtas för skydd enligt 5.10 om

1. flera personer använder en dator eller något annat tekniskt hjälpmedel som innehåller certifikatinnehavarens anordning för signaturframställning m.m., eller

2. hjälpmedlet förvaras så att andra än certifikatinnehavaren kan få tillgång till det.

Anmälan om spärr

5.12 Certifikatinnehavaren bör göra en spärranmälan snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat. Anledning att spärra kan föreligga bl.a. om

1. uppgifter i certifikatet visat sig vara felaktiga eller har blivit felaktiga, t.ex. till följd av att certifikatinnehavaren bytt namn,

2. en anordning för signaturframställning m.m. eller en privat nyckel har förkommit, eller

3. en privat nyckel eller aktiveringsdata har blivit tillgängliga för någon obehörig eller annars kan antas komma att missbrukas.

Ansvar m.m.

5.13 Certifikatinnehavarens ansvar mot certifikatutfärdaren bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, om avtal härom skulle ha träffats mellan certifikatinnehavaren och den som litar på ett certifikat.

Medborgare i rollen som förlitande part

Kontroll och bedömning av säkerhetsnivå och användningsområde

5.14 Förlitande part svarar för att kontrollera och bedöma om certifikatutfärdaren och certifikatet fyller uppställda säkerhetskrav och om certifikatet är lämpligt att använda för det aktuella ändamålet. Underlag för en sådan bedömning kan finnas i avtal med certifikatutfärdaren, i certifikatet samt i certifikatutfärdarens certifikatpolicy och utfärdardeklaration.

Förlitande part bör särskilt beakta

1. begränsningar i certifikatets användningsområde,

2. om en viss publik nyckel skall användas för signering, för identifiering, för insynsskydd eller för någon annan funktion för informationssäkerhet, och

3. regler om aktörernas ansvar.

Giltighetskontroll och spärrkontroll

5.15 En part bör lita på ett certifikat först efter att ha kontrollerat att certifikatet inte var spärrat och att dess giltighetstid inte hade löpt ut när det användes för signering, identifiering eller kryptering för insynsskydd.

5.16 Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för giltighetskontroll och spärrkontroll.

Uppgifter om spärr av certifikat kan anges i spärrlista. Spärrkontroll sker då mot av certifikatutfärdaren regelbundet uppdaterade spärrlistor som signerats för certifikatutfärdarens räkning eller försetts med dennes elektroniska stämpel. Uppgifter om spärr kan också tillhandahållas via en tjänst för kontroll i realtid av att certifikat inte har spärrats. Förlitande part kontrollerar att listans giltighetstid inte har löpt ut. Uppgifternas giltighet kontrolleras på likvärdigt sätt vid giltighetskontroll i realtid.

Äkthetskontroll

5.17 En part bör lita på ett certifikat, en spärrlista eller en annan elektronisk handling först efter att ha kontrollerat att den elektroniska handlingen är äkta. I PKI-system på myndighetsområdet har elektroniska handlingar som en part bör kontrollera vanligtvis ställts ut av en certifikatutfärdare, en handläggare vid en myndighet eller en myndighet som juridisk person. En verifiering av en avancerad eller kvalificerad elektronisk signatur, eller certifikatutfärdarens elektroniska stämpel innefattar en kontroll av att den signerade eller stämplade elektroniska handlingen inte har ändrats eftersom signaturen/stämpeln är en del av handlingen.

En part bör lita på en identifiering av myndighet först efter att ha kontrollerat data för identifiering (ett av myndigheten signerat slumptal), på motsvarande sätt som vid äkthetskontroll av en signerad eller stämplad elektronisk handling.

5.18 Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för kontroller enligt

5.17. För sådana kontroller kan parten på ett säkert sätt behöva ha tillgång till

1. certifikatutfärdarens publika nycklar för att verifiera certifikat och spärrlistor,

2. tjänstecertifikat, för att verifiera signerade elektroniska handlingar med en handläggare som undertecknare,

3. certifikat för myndighetens elektroniska stämpel, för att verifiera stämplade elektroniska handlingar med en myndighet som utställare, och

4. webbservercertifikat, för identifiering av myndighets elektroniska tjänst.

Förlitande parts roller

5.19 Medborgare verifierar signaturer, stämplar och webbservrar i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. För handläggare som agerar för en myndighets räkning finns regler i avsnitt 6; jfr 5.9.

Format och rutiner för att ge in handlingar

5.20 Medborgare som ger in elektroniska handlingar till myndigheter bör anpassa format och rutiner så att den myndighet som tar emot handlingen kan läsa och bevara den och skydda sig mot datavirus och andra hot mot informationssäkerheten; jfr 6.8.

Ansvar

5.21 Certifikatinnehavarens ansvar mot certifikatutfärdaren vid fel eller försummelse bör regleras i avtal med utfärdaren.

6 Myndigheter

6.1 I detta avsnitt anges regler och rutiner för

1. myndigheter som ansöker om, tilldelas och använder webbservercertifikat eller certifikat för myndighetens elektroniska stämpel och som litar på sådana certifikat, medborgarcertifikat och tjänstecertifikat samt anknytande användning enligt 2.5,

2. handläggare som i egenskap av företrädare för en myndighet litar på ett certifikat och anknytande användning enligt 2.5. Regler för handläggare som undertecknare m.m. finns i avsnitt 5.

Myndigheten i rollen som förlitande part

6.2 Som förlitande part bör myndigheten svara för kontroll och bedömning av säkerhetsnivå, användningsområde, giltighetskontroll, spärrkontroll och äkthetskontroll och för att bereda sig tillgång till de uppgifter som behövs för dessa kontroller.

Reglerna i 5.14 – 5.18 bör tillämpas på motsvarande sätt vid myndigheternas kontroller och bedömningar enligt första stycket. Kontroller som inte sker automatiskt bör utföras av en handläggare för myndighetens räkning; jfr 4.18. För handläggarens användning av sitt tjänstecertifikat finns regler i 5.10 – 5.12. Underlag för bedömningar enligt 5.14 kan också finnas i myndighetsföreskrifter eller som villkor i beslut för enskilda fall.

6.3 En myndighet bör godta giltiga och äkta certifikat som inte har spärrats och som har sådant innehåll och format som anges i bilagorna 1–4, under förutsättning att

1. certifikatet har ställts ut av en certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering,

2. det regelverk och de rutiner som gäller för certifikatet är förenliga med dessa riktlinjer,

3. myndigheten har tillgång till uppgifter för spärr-, giltighets- och äkthetskontroll, och

4. det inte i det enskilda fallet finns skäl för annan kontrollåtgärd.

För kvalificerade certifikat gäller begränsningarna i första stycket endast om det är förenligt med 17 § lagen (2000:832) om kvalificerade elektroniska signaturer.

Myndigheten som sökande och utställare

6.4 Bestämmelserna i 5.2 – 5.13 om medborgar- och tjänstecertifikat bör gälla i tillämpliga delar, med de anpassningar som följer av 4.24 och 4.25, för ansökan om och tilldelning och användning av webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

Interna föreskrifter och riktlinjer

6.5 En myndighet som använder PKI-system bör ha interna föreskrifter och riktlinjer där det bör framgå bl.a. hur handlingar signeras, stämplas, verifieras, krypteras och dekrypteras inom myndigheten, vilka som får utföra sådana åtgärder eller aktivera sådana automatiska rutiner och hur användningen av de kryptografiska rutinerna kontrolleras och revideras.

Rutiner för att ta emot, expediera och långtidslagra elektroniska handlingar

6.6 En myndighet som tar emot eller ställer ut signerade eller stämplade elektroniska handlingar bör säkerställa att de särskilda krav som de kryptografiska rutinerna för med sig beaktas från arkivsynpunkt.

6.7 Innan rutiner för insynsskydd av lagrade data tas i drift vid en myndighet bör myndigheten ha infört alternativa rutiner för att kunna göra krypterade elektroniska handlingar läsbara när den eller de som har tillgång till den privata nyckeln för dekryptering inte finns till hands. Dessa rutiner bör ge stöd för att handlingar som skall bevaras i krypterad form kan göras läsbara under hela den tid de bevaras.

6.8 En myndighet bör på sin webbsida eller på annat liknande sätt upplysa om vilka format och rutiner som medborgare och andra myndigheter kan använda för att ge in elektroniska handlingar så att myndigheten kan läsa och bevara inkomna handlingar och skydda sig mot datavirus och andra hot mot informationssäkerheten.

Om det finns särskilda skäl och det kan ske utan hinder för arbetets behöriga gång bör myndigheten tillgodose önskemål från medborgare om att godta format eller rutiner för ta emot elektroniska handlingar som inte uppfyller kraven i första stycket.

6.9 Myndigheter bör tydligt anvisa den adress där myndigheten tar emot elektroniska handlingar. Detta behövs dock inte inom ramen för t.ex. webbformulär och webbtjänster där adresseringen till mottagande myndighet sker automatiskt.

7 Helhetslösningar m.m.

7.1 Certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering bör tillhandahålla helhetslösningar för att använda PKI-system på myndighetsområdet. Varje sådan helhetslösning bör utformas som ett paket. I paketet bör ingå de produkter och tjänster som medborgaren eller myndigheten behöver för de funktioner och användningssätt enligt 2.3 – 2.5 och som paketet avses stödja, inom ramen för de typer av certifikat som utfärdaren tillhandahåller; jfr 2.6.

7.2 Certifikatinnehavares och myndigheters åtgärder för giltighetskontroll, spärrkontroll, äkthetskontroll och åtkomst till erforderliga uppgifter bör kunna genomföras helt eller delvis automatiskt med stöd av de programvaror och tjänster som ingår i ett paket enligt 7.1. Paketen bör vara utformade så att den som skall genomföra en kontroll eller en annan åtgärd enkelt kan överblicka och förstå åtgärdernas innebörd och resultatet av dem; jfr 4.15.

Helhetslösningar som tillhandahålls åt medborgare bör innefatta skydd enligt 4.14 för användarens anordning för signaturframställning m.m.

7.3 Certifikatutfärdarnas paket bör vara förenliga så att de funktioner de erbjuder fungerar vid kommunikation mellan olika myndigheter och medborgare även om certifikaten har ställts ut av olika certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering.

8 Säkerhetsskydd och standarder, m.m.

8.1 Myndigheter och medborgare som berörs av rutiner och funktioner m.m. inom det samordnade området erinras om föreskrifterna i säkerhetsskyddslagen (1996:627) rörande utredning och prövning av vilket skydd som kan behövas för en verksamhet.

8.2 Som stöd för myndigheternas arbete för informationssäkerhet erinras om standarden ISO/IEC 17799 Ledningssystem för informationssäkerhet – Riktlinjer för ledning av informationssäkerhet

Format för medborgarcertifikat

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

Standard-extensions

Private extensions

Format för tjänstecertifikat

M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt (M).

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess

Obligatoriskt (M).

Formaten på de ingående fältet specificeras i RFC 2459.

I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

Standard-extensions

Private extensions

Format för servercertifikat

Servercertifikat används här som benämning på de certifikat som används huvudsakligen av webbservrar för att upprätta skyddad kommunikationslänk mellan server och klient, oftast med SSL-protokollet.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess

obligatoriskt.

Servercertifikatet finns i en variant enligt nedan.

–Certifikat för autenticering och transport av sessionsnycklar med bitarna digitalSignature och keyEncipherment satta i keyUsage-fältet.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

Standard-extensions

Private extensions

Format för certifikat för myndighets elektroniska stämpel

Certifikat för myndighets elektroniska stämpel är främst avsedd att användas för att signera handlingar som ska lämnas ut alternativt arkiveras av myndighet. Handlingen signeras då i myndighetens namn och ej i enskilds handläggares.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Myndighetens stämpelcertifikat finns i variant enligt nedan.

–Certifikat för elektronisk signatur med non-repudiation biten satt i keyUsage-fältet

Leverantören skall tydligt markera eventuella avvikelser från RFC 3039 med nedanstående preciseringar.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

Standard-extensions

Private extensions