SISUKORD
1.Sissejuhatus9
1.1.Poliitika ülevaade ja kohaldamisala9
1.2.Mõisted ja lühendid11
1.3.PKI osalejad13
1.3.1.Sissejuhatus13
1.3.2.C-ITSi sertifitseerimispoliitika asutus16
1.3.3.Usaldusnimekirja haldaja17
1.3.4.Akrediteeritud PKI audiitor17
1.3.5.C-ITSi kontaktpunkt (CPOC)17
1.3.6.Operatiivrollid18
1.4.Sertifikaadi kasutamine18
1.4.1.Kohaldatavad kasutusvaldkonnad18
1.4.2.Vastutuse piirid19
1.5.Sertifitseerimispoliitika haldamine19
1.5.1.ECTLis olevate CAde CPSide ajakohastamine19
1.5.2.CPSi heakskiitmise kord20
2.Avaldamine ja hoidla kohustused20
2.1.Sertifikaatide teabe avaldamise meetodid20
2.2.Avaldamise aeg või sagedus21
2.3.Hoidlad21
2.4.Hoidlatele juurdepääsu kontroll21
2.5.Sertifikaadi teabe avaldamine22
2.5.1.Sertifikaadi teabe avaldamine TLMi poolt22
2.5.2.Sertifikaadi teabe avaldamine CAde poolt22
3.Identifitseerimine ja autentimine23
3.1.Nimetamine23
3.1.1.Nime liigid23
3.1.1.1.TLMi, juur-CAde, EAde ja AAde nimed23
3.1.1.2.Lõppüksuste nimed23
3.1.1.3.Sertifikaatide identifitseerimine23
3.1.2.Tähenduslike nimede vajadus23
3.1.3.Lõppüksuste anonüümsus ja pseudonüümsus23
3.1.4.Eri nimevormide tõlgendamise eeskirjad23
3.1.5.Nimede kordumatus24
3.2.Identiteedi esmane valideerimine24
3.2.1.Privaatvõtme olemasolu tõendamise meetod24
3.2.2.Organisatsiooni identiteedi autentimine24
3.2.2.1.Juur-CAde organisatsiooni identiteedi autentimine24
3.2.2.2.TLMi organisatsiooni identiteedi autentimine25
3.2.2.3.All-CAde organisatsiooni identiteedi autentimine25
3.2.2.4.Lõppüksuste abonendiorganisatsiooni autentimine26
3.2.3.Üksiküksuse autentimine26
3.2.3.1.TLMi/CA üksiküksuse autentimine26
3.2.3.2.C-ITSi jaamade abonendi identiteedi autentimine27
3.2.3.3.C-ITSi jaamade identiteedi autentimine27
3.2.4.Kontrollimata abonendi teave27
3.2.5.Asutuse valideerimine27
3.2.5.1.TLMi, juur-CA, EA ja AA valideerimine27
3.2.5.2.C-ITSi jaama abonentide valideerimine28
3.2.5.3.C-ITSi jaamade valideerimine28
3.2.6.Koostalitluskriteeriumid28
3.3.Võtmeuuendustaotluste identifitseerimine ja autentimine28
3.3.1.Regulaarsete võtmeuuendustaotluste identifitseerimine ja autentimine28
3.3.1.1.TLMi sertifikaadid28
3.3.1.2.Juur-CA sertifikaadid28
3.3.1.3.EA/AA sertifikaadi uuendamine või võtmeuuendus28
3.3.1.4.Lõppüksuste liikmestusmandaat29
3.3.1.5.Lõppüksuste volituspiletid29
3.3.2.Võtmeuuendustaotluste identifitseerimine ja autentimine pärast tühistamist29
3.3.2.1.CA sertifikaadid29
3.3.2.2.Lõppüksuste liikmestusmandaat29
3.3.2.3.Lõppüksuste volitustaotlused29
3.4.Tühistamistaotluse identifitseerimine ja autentimine29
3.4.1.Juur-CA/EA/AA sertifikaadid29
3.4.2.C-ITSi jaama liikmestusmandaat30
3.4.3.C-ITSi jaama volituspiletid30
4.Sertifikaadi käitamise nõuded selle elutsükli jooksul30
4.1.Sertifikaaditaotlus30
4.1.1.Kes võib esitada sertifikaaditaotluse30
4.1.1.1.Juur-CAd30
4.1.1.2.TLM31
4.1.1.3.EA ja AA31
4.1.1.4.C-ITSi jaam31
4.1.2.Liikmestusprotsess ja vastutus31
4.1.2.1.Juur-CAd31
4.1.2.2.TLM32
4.1.2.3.EA ja AA32
4.1.2.4.C-ITSi jaam32
4.2.Sertifikaaditaotluste töötlemine33
4.2.1.Identifitseerimis- ja autentimisfunktsioonide täitmine33
4.2.1.1.Juur-CAde identifitseerimine ja autentimine33
4.2.1.2.TLMide identifitseerimine ja autentimine33
4.2.1.3.EAde ja AAde identifitseerimine ja autentimine33
4.2.1.4.EE abonendi identifitseerimine ja autentimine34
4.2.1.5.Volituspiletid34
4.2.2.Sertifikaaditaotluste heakskiitmine või tagasilükkamine34
4.2.2.1.Juur-CA sertifikaatide heakskiitmine või tagasilükkamine34
4.2.2.2.TLMi sertifikaatide heakskiitmine või tagasilükkamine34
4.2.2.3.EA ja AA sertifikaatide heakskiitmine või tagasilükkamine34
4.2.2.4.EC heakskiitmine või tagasilükkamine34
4.2.2.5.AT heakskiitmine või tagasilükkamine35
4.2.3.Sertifikaaditaotluse töötlemise aeg35
4.2.3.1.Juur-CA sertifikaaditaotlus35
4.2.3.2.TLMi sertifikaaditaotlus35
4.2.3.3.EA ja AA sertifikaaditaotlus35
4.2.3.4.EC taotlus35
4.2.3.5.AT taotlus35
4.3.Sertifikaadi väljastamine35
4.3.1.CA tegevus sertifikaadi väljastamise ajal35
4.3.1.1.Juur-CA sertifikaadi väljastamine35
4.3.1.2.TLMi sertifikaadi väljastamine36
4.3.1.3.EA ja AA sertifikaadi väljastamine36
4.3.1.4.EC väljastamine36
4.3.1.5.AT väljastamine36
4.3.2.CA teade abonendile sertifikaatide väljastamise kohta36
4.4.Sertifikaadi heakskiitmine37
4.4.1.Sertifikaadi heakskiitmise läbiviimine37
4.4.1.1.Juur-CA37
4.4.1.2.TLM37
4.4.1.3.EA ja AA37
4.4.1.4.C-ITSi jaam37
4.4.2.Sertifikaadi avaldamine37
4.4.3.Sertifikaadi väljastamisest teatamine37
4.5.Võtmepaari ja sertifikaadi kasutamine37
4.5.1.Privaatvõtme ja sertifikaadi kasutamine37
4.5.1.1.Privaatvõtme ja sertifikaadi kasutamine TLMi jaoks37
4.5.1.2.Privaatvõtme ja sertifikaatide kasutamine juur-CA jaoks37
4.5.1.3.Privaatvõtme ja sertifikaadi kasutamine EAde ja AAde jaoks37
4.5.1.4.Privaatvõtme ja sertifikaadi kasutamine lõppüksuse jaoks38
4.5.2.Tugineva isiku avaliku võtme ja sertifikaadi kasutamine38
4.6.Sertifikaadi uuendamine38
4.7.Sertifikaadi võtmeuuendus38
4.7.1.Sertifikaadi võtmeuuenduse asjaolud38
4.7.2.Kes võib taotleda võtmeuuendust38
4.7.2.1.Juur-CA38
4.7.2.2.TLM38
4.7.2.3.EA ja AA38
4.7.2.4.C-ITSi jaam39
4.7.3.Võtmeuuendusprotsess39
4.7.3.1.TLMi sertifikaat39
4.7.3.2.Juur-CA sertifikaat39
4.7.3.3.EA ja AA sertifikaadid39
4.7.3.4.C-ITSi jaama sertifikaadid40
4.8.Sertifikaadi muutmine40
4.9.Sertifikaadi tühistamine ja peatamine40
4.10.Sertifikaadi olekuteenused40
4.10.1.Kasutusnäitajad40
4.10.2.Teenuse kättesaadavus40
4.10.3.Vabatahtlikud tunnused40
4.11.Tellimuse lõppemine40
4.12.Võtmehoiustus ja -taaste40
4.12.1.Abonent40
4.12.1.1.Millist võtmepaari saab hoiustada40
4.12.1.2.Kes saab esitada taastetaotluse40
4.12.1.3.Taasteprotsess ja vastutus40
4.12.1.4.Identifitseerimine ja autentimine40
4.12.1.5.Taastetaotluste heakskiitmine või tagasilükkamine40
4.12.1.6.KEA ja KRA toimingud võtmepaari taastamisel41
4.12.1.7.KEA ja KRA kättesaadavus41
4.12.2.Seansivõtme kapseldamine ning taastepoliitika ja tavad41
5.Rajatis, juhtimine ja operatiivkontroll41
5.1.Füüsiline kontroll41
5.1.1.Asukoht ja ehitus41
5.1.1.1.Juur-CA, CPOC, TLM41
5.1.1.2.EA/AA42
5.1.2.Füüsiline juurdepääs42
5.1.2.1.Juur-CA, CPOC, TLM42
5.1.2.2.EA/AA43
5.1.3.Elekter ja kliimaseade43
5.1.4.Kokkupuude veega43
5.1.5.Tuleennetus ja -kaitse44
5.1.6.Andmekandjate haldus44
5.1.7.Jäätmete kõrvaldamine44
5.1.8.Asukohaväline varundus44
5.1.8.1.Juur-CA, CPOC ja TLM44
5.1.8.2.EA/AA45
5.2.Menetluslikud kontrollid45
5.2.1.Usaldusrollid45
5.2.2.Ülesande kohta nõutav isikute arv45
5.2.3.Iga rolli identifitseerimine ja autentimine46
5.2.4.Ülesannete lahusust nõudvad rollid46
5.3.Töötajate kontroll47
5.3.1.Kvalifikatsioon, kogemused ja loa andmise nõuded47
5.3.2.Taustakontrolli kord47
5.3.3.Koolitusnõuded48
5.3.4.Ümberõppe sagedus ja nõuded48
5.3.5.Töökohtade rotatsiooni sagedus ja järjekord48
5.3.6.Sanktsioonid volitamata tegevuse eest48
5.3.7.Sõltumatu töövõtja nõuded49
5.3.8.Personalile esitatavad dokumendid49
5.4.Auditilogimise kord49
5.4.1.Sündmuste liigid, mille iga CA registreerib ja millest aru annab49
5.4.2.Logi töötlemise sagedus50
5.4.3.Auditilogi säilitamise periood50
5.4.4.Auditilogi kaitse51
5.4.5.Auditilogi varundamise kord51
5.4.6.Auditi kogumissüsteem (sisemine või väline)51
5.4.7.Sündmust põhjustava subjekti teavitamine51
5.4.8.Nõrkuste hindamine51
5.5.Dokumentide arhiveerimine52
5.5.1.Arhiivitavad kirjetüübid52
5.5.2.Arhiivi säilitamise periood53
5.5.3.Arhiivi kaitse53
5.5.4.Süsteemi arhiiv ja säilitamine53
5.5.5.Dokumentide ajatembelduse nõuded54
5.5.6.Arhiivi kogumissüsteem (sisemine või väline)54
5.5.7.Arhiiviteabe hankimise ja kontrollimise kord54
5.6.C-ITSi usaldusmudeli elementide võtmevahetus54
5.6.1.TLM54
5.6.2.Juur-CA54
5.6.3.EA/AA sertifikaat54
5.6.4.Audiitor55
5.7.Rikkumisest ja õnnetusest taastumine55
5.7.1.Intsidentide ja rikkumiste käsitlemine55
5.7.2.Andmetöötlusressursside, tarkvara ja/või andmete rikkumine56
5.7.3.Menetlused üksuse privaatvõtme rikkumise korral56
5.7.4.Talitluspidevuse võimalused pärast õnnetust56
5.8.Lõpetamine ja üleandmine57
5.8.1.TLM57
5.8.2.Juur-CA57
5.8.3.EA/AA58
6.Tehniline turvakontroll58
6.1.Võtmepaari genereerimine ja paigaldamine58
6.1.1.TLM, juur-CA, EA ja AA58
6.1.2.EE – mobiilne C-ITSi jaam58
6.1.3.EE – paikne C-ITSi jaam59
6.1.4.Krüptograafilised nõuded59
6.1.4.1.Algoritm ja võtme pikkus – allkirja algoritmid59
6.1.4.2.Algoritm ja võtme pikkus – liikmestuse ja volitamise krüptoalgoritmid60
6.1.4.3.Krüptopaindlikkus61
6.1.5.Privaatvõtmete turvaline hoiustamine61
6.1.5.1.Juur-CA, all-CA ja TLMi tasand61
6.1.5.2.Lõppüksus62
6.1.6.Privaatvõtmete varundamine63
6.1.7.Privaatvõtmete hävitamine63
6.2.Aktiveerimisandmed63
6.3.Arvuti turvameetmed63
6.4.Elutsükli tehniline kontroll63
6.5.Võrguturbe kontroll63
7.Sertifikaadi profiil, CRL ja CTL63
7.1.Sertifikaadi profiil63
7.2.Sertifikaadi kehtivus64
7.2.1.Pseudonüümsertifikaadid65
7.2.2.Paiksete C-ITSi jaamade volituspiletid65
7.3.Sertifikaatide tühistamine65
7.3.1.CA, EA ja AA sertifikaatide tühistamine65
7.3.2.Liikmestusmandaadi tühistamine66
7.3.3.Volituspiletite tühistamine66
7.4.Tühistatud sertifikaatide loend66
7.5.Euroopa sertifikaatide usaldusnimekiri66
8.Vastavusaudit ja muud hindamised66
8.1.Auditis käsitletavad teemad ja auditialus66
8.2.Auditite sagedus67
8.3.Audiitori identiteet ja pädevus67
8.4.Audiitori suhe auditeeritava üksusega67
8.5.Puuduse tõttu võetavad meetmed68
8.6.Tulemuste edastamine68
9.Muud sätted68
9.1.Tasud68
9.2.Finantsvastutus69
9.3.Äriteabe konfidentsiaalsus69
9.4.Privaatsuskava69
10.Viited69
III LISA
1.Sissejuhatus
1.1.Poliitika ülevaade ja kohaldamisala
Käesolevas sertifitseerimispoliitikas on määratletud Euroopa C-ITSi usaldusmudel, mis põhineb avaliku võtme taristul (PKI) ELi C-ITSi üldises turvamandaatide haldamise süsteemis (EU CCMS). Selles määratakse kindlaks nõuded, kuidas C-ITSi rakenduste avaliku võtme sertifikaate väljastavad üksused peavad neid haldama ja kuidas Euroopa lõppüksused peavad neid kasutama. Kõige kõrgemal tasemel koosneb PKI juur-sertifitseerimisasutustest (juur-CAd), kelle sertifikaadid on usaldusnimekirja haldaja (TLM) lisanud Euroopa sertifikaatide usaldusnimekirja (ECTL), mille koostab ja avaldab kesküksuse TLM (vt punktid 1.2 ja 1.3).
Käesolev poliitika on siduv kõikide Euroopa C-ITSi usaldussüsteemis osalevate üksuste jaoks. See aitab hinnata, kui suur on usaldus teabe suhtes, mille on saanud sõnumi vastuvõtja ja mis on autenditud PKI lõppüksuse sertifikaadiga. Et võimaldada hinnata EU CCMSi väljastatud sertifikaatide usaldusväärsust, on käesolevas poliitikas sätestatud siduvad nõuded kesküksuse TLMi toimimiseks ning ECTLi koostamiseks ja haldamiseks. Sellest tulenevalt reguleeritakse käesoleva dokumendiga järgmisi ECTLiga seotud aspekte:
·selliste peamiste osalejate identifitseerimine ja autentimine, kes omandavad TLMi jaoks PKI rolle, sh igale rollile antud õiguste kirjeldus;
·TLMi kohalike turbetavade miinimumnõuded, sh füüsiline, personali- ja menetluskontroll;
·TLMi tehniliste turbetavade miinimumnõuded, sh arvutiturve, võrguturve ja krüptomoodulite tehniline kontroll;
·TLMi tegevustavade miinimumnõuded, sh uute juur-CAde sertifikaatide registreerimine, olemasolevate juur-CAde ajutine või alaline registrist kustutamine ning ECTLi uuenduste avaldamine ja jaotamine;
·ECTLi profiil, sh ECTLi kõik kohustuslikud ja vabatahtlikud andmeväljad, kasutatavad krüptoalgoritmid, ECTLi täpne vorming ja soovitused ECTLi töötlemiseks;
·ECTLi sertifikaadi elutsükli juhtimine, sh ECTLi sertifikaatide jaotamine, aktiveerimine, aegumine ja tühistamine;
·vajaduse korral juur-CAde usaldamise tühistamine.
Kuna ECTLi usaldusväärsus ei sõltu üksnes ECTList endast, vaid suurel määral ka PKI moodustavatest juur-CAdest ja nende all-CAdest, on käesolevas poliitikas sätestatud ka miinimumnõuded, mis on kohustuslikud kõigile osalevatele CAdele (juur-CAd ja all-CAd). Nõuete valdkonnad on järgmised:
·PKI rolle omandavate osalejate identifitseerimine ja autentimine (nt turvaülem, eraelu puutumatuse eest vastutav ametnik, turvaametnik, registri haldaja ja lõppkasutaja), sh määrang iga rolliga seotud kohustuste, vastutuse ja õiguste kohta;
·võtmete haldamine, sh vastuvõetavad ja kohustuslikud sertifikaatide ja andmete allkirjastamise algoritmid ning sertifikaatide kehtivusajad;
·kohalike turbetavade miinimumnõuded, sh füüsiline, personali- ja menetluskontroll;
·tehniliste turbetavade miinimumnõuded, nt arvutiturve, võrguturve ja krüptomoodulite tehniline kontroll;
·CA, EA, AA ja lõppüksuste tegevustavade miinimumnõuded, sh registreerimise, registrist kustutamise (st nimekirjast kustutamise), tühistamise, võtme rikkumise, ametist vabastamise, sertifikaadi ajakohastamise, audititavade ja eraelu puutumatusega seotud teabe mitteavalikustamise aspektid;
·sertifikaadi ja CRLi profiil, sh vormingud, aktsepteeritavad algoritmid, kohustuslikud ja vabatahtlikud andmeväljad ja nende kehtivad väärtusvahemikud ning see, kuidas kontrollijad peaksid sertifikaate töötlema;
·C-ITSi usaldusmudeli üksuste tegevuse korrapärane jälgimine, sellekohane aruandlus, nende hoiatamine ja ülesannete taastamine, et tagada turvaline toimimine, sh ebaõige toimimise korral.
Lisaks nimetatud miinimumnõuetele võivad juur-CAsid ja all-CAsid haldavad üksused ise otsustada oma lisanõuete üle ja esitada need asjakohastes sertifitseerimistava määrangutes (CPSid), tingimusel et need ei ole vastuolus sertifitseerimispoliitikas sätestatud nõuetega. CPSide auditeerimise ja avaldamise üksikasjad on esitatud punktis 1.5.
CPs esitatakse ka otstarbed, milleks juur-CAsid, all-CAsid ja nende välja antud sertifikaate võib kasutada. Selles on sätestatud järgmiste üksuste vastutus:
·TLM;
·iga juur-CA, mille sertifikaadid on loetletud ECTLis;
·juur-CA all-CAd (EA ja AA);
·kõik C-ITSi usaldusmudeli üksuste eest vastutavad või neid käitavad liikmed või organisatsioonid.
CPs on kindlaks määratud ka kohustused, mida kohaldatakse järgmiste suhtes:
·TLM;
·iga juur-CA, mille sertifikaadid on loetletud ECTLis;
·iga juur-CA poolt sertifitseeritud all-CA;
·kõik lõppüksused;
·kõik C-ITSi usaldusmudeli üksuste eest vastutavad või neid käitavad liikmesorganisatsioonid.
CPs on sätestatud ka nõuded seoses vastutuse ja kohustuste piirangute CPSis dokumenteerimisega iga juur-CA puhul, mille sertifikaadid on loetletud ECTLis.
CP on kooskõlas Interneti Tehniline Operatiivkogu (IETF) poolt vastu võetud sertifitseerimispoliitika ja sertifitseerimistavade raamistikuga [3].
1.2.Mõisted ja lühendid
Kohaldatakse viitedokumentides [2], [3] ja [4] esitatud määratlusi.
AA
|
volitav asutus (authorisation authority)
|
AT
|
volituspilet (authorisation ticket)
|
CA
|
sertifitseerimisasutus (certification authority)
|
CP
|
sertifitseerimispoliitika (certificate policy)
|
CPA
|
C-ITSi sertifitseerimispoliitika asutus (C-ITSi certificate policy authority)
|
CPOC
|
C-ITSi kontaktpunkt (C-ITSi point of contact)
|
CPS
|
sertifitseerimistava määrang (certificate practice statement)
|
CRL
|
tühistatud sertifikaatide loend (certificate revocation list)
|
EA
|
liikmestusasutus (enrolment authority)
|
EC
|
liikmestusmandaat (enrolment credential)
|
ECIES
|
elliptilise kõvera integreeritud krüpteerimissüsteem (elliptic curve integrated encryption scheme)
|
EE
|
lõppüksus (end-entity) (st C-ITSi jaam)
|
ECTL
|
Euroopa sertifikaatide usaldusnimekiri
|
EU CCMS
|
ELi C-ITSi turvamandaatide haldamise süsteem (EU C-ITSi security credential management system)
|
GDPR
|
isikuandmete kaitse üldmäärus (General Data Protection Regulation)
|
HSM
|
riistvara turvamoodul (hardware security module)
|
PKI
|
avaliku võtme taristu (public key infrastructure)
|
RA
|
registreerimisasutus (registration authority)
|
all-CA
|
EA ja AA
|
TLM
|
usaldusnimekirja haldaja (trust list manager)
|
Sõnastik
taotleja
|
Füüsiline või juriidiline isik, kes taotleb sertifikaadi väljastamist (või uuendamist). Pärast algse sertifikaadi loomist (initsialiseerimine) nimetatakse taotlejat abonendiks.
Lõppüksustele välja antud sertifikaatide puhul on abonent (sertifikaadi taotleja) üksus, kes kontrollib või käitab lõppüksust, kellele sertifikaat väljastatakse, isegi kui lõppüksus saadab tegeliku sertifikaaditaotluse.
|
volitav asutus
|
Käesolevas dokumendis ei tähenda mõiste „volitav asutus“ mitte ainult AA konkreetset ülesannet, vaid ka seda haldavat juriidilist ja/või tegevusüksust.
|
sertifitseerimisasutus
|
juur-sertifitseerimisasutust, liikmestusasutust ja volitavat asutust nimetatakse kokku sertifitseerimisasutuseks (CA).
|
C-ITSi usaldusmudel
|
C-ITSi usaldusmudeli ülesanne on luua usaldussuhe C-ITSi jaamade vahel. Selle rakendamisel kasutatakse PKId, mis koosneb juur-CAdest, CPOCst, TLMist, EAdest, AAdest ja turvalisest võrgust.
|
krüptopaindlikkus
|
C-ITSi usaldusmudeli üksuste suutlikkus kohandada CPd muutuva keskkonnaga või uute tulevaste vajadustega, nt krüptoalgoritmide ja võtme pikkuse muutmise abil aja jooksul.
|
krüptomoodul
|
Turvaline riistvarapõhine element, milles genereeritakse ja/või salvestatakse võtmed, genereeritakse juhuslikke numbreid ning allkirjastatakse või krüpteeritakse andmeid.
|
liikmestusasutus
|
Käesolevas dokumendis ei tähenda mõiste „liikmestusasutus“ mitte ainult EA konkreetset ülesannet, vaid ka seda haldavat juriidilist ja/või tegevusüksust.
|
PKI osalejad
|
C-ITSi usaldusmudeli üksused, st TLM, juur-CAd, EAd, AAd ja C-ITSi jaamad.
|
võtmeuuendus
|
|
keskhoidla
|
Keskhoidla, mida kasutatakse selliste sertifikaatide ja sellise sertifikaate käsitleva teabe hoidmiseks, mille on esitanud C-ITSi usaldusmudeli üksused, nagu on määratletud punktis 2.3.
|
juur-sertifitseerimisasutus
|
Käesolevas dokumendis ei tähenda mõiste „juur-sertifitseerimisasutus“ mitte ainult CA konkreetset ülesannet, vaid ka seda haldavat juriidilist ja/või tegevusüksust.
|
subjekt
|
Füüsiline isik, seade, süsteem, üksus või juriidiline isik, kes on identifitseeritud sertifikaadis subjektina, st abonent või abonendi kontrolli all või kasutuses olev seade.
|
abonent
|
Füüsiline või juriidiline isik, kellele sertifikaat on välja antud ja kes on tellimis- või kasutustingimuste lepinguga õiguslikult seotud.
|
tellimisleping
|
CA ja taotleja/abonendi vaheline leping, milles määratakse kindlaks poolte õigused ja kohustused.
|
1.3.PKI osalejad
1.3.1.Sissejuhatus
PKI osalejatel on PKIs oma osa, mis on kindlaks määratud käesoleva poliitikaga. Kui see ei ole sõnaselgelt keelatud, võib osaleja võtta samaaegselt mitu rolli. Huvide konflikti vältimiseks või ülesannete lahususe tagamiseks võib olla keelatud teatavate rollide üheaegne võtmine.
Osalejad võivad teenuslepingu osana delegeerida osa oma rollist ka teistele üksustele. Näiteks kui tühistamist käsitlev teave esitatakse CRLide kaudu, on CA ka CRLi väljastaja, kuid ta võib delegeerida CRLide väljastamise kohustuse mõnele muule üksusele.
PKI rollide hulka kuuluvad:
·juhtrollid, s.t et üks roll võib olla vaid ühel osalejal;
·operatiivrollid, mille puhul sama roll võib olla ühel või mitmel osalejal.
Näiteks juur-CAd võib rakendada kaubanduslik üksus, ühishuvirühm, riiklik organisatsioon ja/või Euroopa organisatsioon.
Joonisel 1 on kujutatud C-ITSi usaldusmudeli ülesehitust, mis põhineb viitedokumendil [2]. Ülesehitust kirjeldatakse lühidalt siin, kuid põhielemente kirjeldatakse üksikasjalikumalt punktides 1.3.2–1.3.6.
CPA määrab TLMi, mis on seega kõigi PKI osalejate jaoks usaldusväärne üksus. CPA kiidab heaks juur-CA tegevuse ja kinnitab, et TLM võib juur-CAsid usaldada. TLM annab välja ECTLi, mis tagab kõigile PKI osalejatele usalduse heakskiidetud juur-CAde vastu. Juur-CA väljastab sertifikaadid EA-le ja AA-le, tagades seega usalduse nende tegevuse vastu. EA väljastab liikmestussertifikaadid saatvatele ja edastatavatele C-ITSi jaamadele (kui lõppüksustele), tagades seega usalduse nende tegevuse vastu. AA väljastab ATd C-ITSi jaamadele, lähtudes usaldusest EA vastu.
Vastuvõttev ja edastav C-ITSi jaam (tugineva isikuna) võib usaldada teisi C-ITSi jaamu, sest ATd annab välja AA, mida usaldab juur-CA, mida omakorda usaldavad TLM ja CPA.
Pange tähele, et joonisel 1 on kirjeldatud ainult C-ITSi usaldusmudeli juur-CA tasandit. Madalamate tasandite üksikasjad on esitatud käesoleva CP järgmistes osades või konkreetsete juur-CAde CPSis.
Joonis 2 annab ülevaate PKI osalejate vahelistest teabevoogudest. Rohelised täpid näitavad voogusid, mis nõuavad masinatevahelist sidet. Punaste teabevoogude puhul on kehtestatud turvanõuded.
C-ITSi usaldusmudel põhineb mitmest juur-CAst koosneval ülesehitusel, kus juur-CA sertifikaate edastatakse korrapäraselt (nagu allpool näidatud) kesksele kontaktpunktile (CPOC) turvalise protokolli kaudu (nt lingisertifikaadid), mille on kindlaks määranud CPOC.
Juur-CAd võib juhtida kas valitsussektor või eraorganisatsioon. C-ITSi usaldusmudeli ülesehitus sisaldab vähemalt üht juur-CAd (ELi juur-CA, millel on sama tase kui teistel juur-CAdel). ELi juur-CA on delegeeritud kõigi üksuste poolt, kes osalevad C-ITSi usaldusmudelis ega soovi luua oma juur-CAd. CPOC edastab saadud juur-CA sertifikaadid TLMile, kes vastutab juur-CA sertifikaatide nimekirja kogumise ja allkirjastamise eest ning saadab need tagasi CPOC-le, kes teeb need kõigile avalikult kättesaadavaks (vt allpool).
C-ITSi usaldusmudelis olevate üksuste vahelisi usaldussuhteid on kirjeldatud järgmistel joonistel, tabelites ja punktides.
Joonis 1: C-ITSi usaldusmudeli ülesehitus
Joonis 2: C-ITSi usaldusmudeli teabevood
Voo ID
|
Kellelt
|
Kellele
|
Sisu
|
Viide
|
(1).
|
CPA
|
TLM
|
juur-CA taotluse heakskiitmine
|
8.
|
(2).
|
CPA
|
TLM
|
teave juur-CA tühistamise kohta
|
8,5.
|
(3).
|
CPA
|
juur-CA
|
CP uuendused
|
1,5.
|
(4).
|
CPA
|
juur-CA
|
juur-CA taotluse vormi või CPSi taotluse muudatuste või auditiprotsessi heakskiitmine/tagasilükkamine.
|
8.5, 8.6
|
(5).
|
TLM
|
CPA
|
ECTLi muutmisest teatamine
|
4, 5.8.1
|
(6).
|
TLM
|
CPOC
|
TLMi sertifikaat
|
4.4.2
|
(7).
|
TLM
|
CPOC
|
ECTL
|
4.4.2
|
(8).
|
CPOC
|
TLM
|
juur-CA sertifikaadi teave
|
4.3.1.1
|
(9).
|
CPOC
|
TLM
|
juur-CA sertifikaadi tühistamine
|
7.3.
|
(10).
|
CPOC
|
kõik lõppüksused
|
TLMi sertifikaat
|
4.4.2
|
(11).
|
juur-CA
|
CPOC
|
juur-CA sertifikaadi teave
|
4.3.1.1
|
(12).
|
juur-CA
|
CPOC
|
juur-CA sertifikaadi tühistamine
|
7.3.
|
(13).
|
juur-CA
|
audiitor
|
auditikorraldus
|
8.
|
(14).
|
juur-CA
|
CPA
|
juur-CA taotlusvorm – esialgne taotlus
|
4.1.2.1
|
(15).
|
juur-CA
|
CPA
|
juur-CA taotlusvorm – CPSi muudatused
|
1.5.1
|
(16).
|
juur-CA
|
CPA
|
juur-CA taotlusvorm – auditiaruanne
|
8.6.
|
(17).
|
juur-CA
|
CPA
|
juur-CA intsidendi aruanded, sh all-CA (EA, AA) tühistamine
|
III lisa, 7.3.1
|
(18).
|
juur-CA
|
EA
|
EA sertifikaadi vastus
|
4.2.2.3
|
(19).
|
juur-CA
|
AA
|
AA sertifikaadi vastus
|
4.2.2.3
|
(20).
|
juur-CA
|
Kõik
|
EA/AA sertifikaat, CRL
|
4.4.2
|
(21).
|
EA
|
juur-CA
|
EA sertifikaaditaotlus
|
4.2.2.3
|
(22).
|
EA
|
C-ITSi jaam
|
liikmestusmandaadi vastus
|
4.3.1.4
|
(23).
|
EA
|
AA
|
volitamise vastus
|
4.2.2.5
|
(24).
|
AA
|
juur-CA
|
AA sertifikaaditaotlus
|
4.2.2.3
|
(25).
|
AA
|
EA
|
volitustaotlus
|
4.2.2.5
|
(26).
|
AA
|
C-ITSi jaam
|
volituspileti vastus
|
4.3.1.5
|
(27).
|
EA
|
juur-CA
|
taotluse esitamine
|
4.1.2.3
|
(28).
|
AA
|
juur-CA
|
taotluse esitamine
|
4.1.2.3
|
(29).
|
juur-CA
|
EA
|
vastus
|
4.12 ja 4.2.1
|
(30).
|
juur-CA
|
AA
|
vastus
|
4.12 ja 4.2.1
|
(31).
|
C-ITSi jaam
|
EA
|
liikmestusmandaadi taotlus
|
4.2.2.4
|
(32).
|
C-ITSi jaam
|
AA
|
volituspileti taotlus
|
4.2.2.5
|
(33).
|
valmistaja / käitaja
|
EA
|
registreerimine
|
4.2.1.4
|
(34).
|
valmistaja / käitaja
|
EA
|
desaktiveerimine
|
7.3.
|
(35).
|
EA
|
valmistaja / käitaja
|
vastus
|
4.2.1.4
|
(36).
|
audiitor
|
juur-CA
|
aruanne
|
8.1.
|
(37).
|
kõik
|
CPA
|
CP muutmise taotlus
|
1.5.
|
(38).
|
TLM
|
CPA
|
taotlusvorm
|
4.1.2.2
|
(39).
|
CPA
|
TLM
|
heakskiitmine / tagasilükkamine
|
4.1.2.2
|
(40).
|
TLM
|
CPA
|
auditiaruanne
|
4.1.2.2
|
Tabel 1.
C-ITSi usaldusmudeli teabevoogude üksikasjalik kirjeldus
1.3.2.C-ITSi sertifitseerimispoliitika asutus
(1)C-ITSi sertifitseerimispoliitika asutus (CPA) koosneb avaliku ja erasektori sidusrühmade esindajatest (nt liikmesriigid, sõidukitootjad jne), kes osalevad C-ITSi usaldusmudelis. Ta vastutab kahe allülesande eest:
(1)sertifitseerimispoliitika juhtimine, sh:
·praeguse CP ja tulevaste CP muutmise taotluste heakskiitmine;
·otsustamine, kas vaadata läbi teiste PKI osalejate või üksuste esitatud CP muutmise taotlused ja soovitused;
·otsustamine CP uute versioonide avaldamise üle;
(2)PKI volituste haldamine, sh:
·CPSi heakskiitmise ja CA auditimenetluste (edaspidi „CA heakskiitmise menetlused”) kindlaksmääramine, otsustamine ja avaldamine;
·CPOC volitamine tegutsemiseks ja korrapäraseks aruandluseks;
·TLMi volitamine tegutsemiseks ja korrapäraseks aruandluseks;
·juur-CA CPSi heakskiitmine, kui see on kooskõlas ühise ja kehtiva CPga;
·kõikide juur-CAde puhul akrediteeritud PKI audiitori auditiaruannete kontroll;
·TLMi teavitamine heakskiidetud ja -kiitmata juur-CAde ja nende sertifikaatide nimekirjast, lähtudes saadud juur-CAde heakskiitmisaruannetest ja korrapärastest tegevusaruannetest.
(2)CPA volitatud esindaja vastutab TLMi volitatud esindaja autentimise eest ning TLMi liikmestustaotluse vormi heakskiitmise eest. CPA ülesanne on volitada TLMi tegutsema käesolevas punktis nimetatud viisil.
1.3.3.Usaldusnimekirja haldaja
(3)TLM on üks CPA poolt määratud üksus.
(4)TLMi ülesanded on järgmised:
·ECTLi haldamine kooskõlas üldise kehtiva CPga ja korrapärased tegevusaruanded CPA-le C-ITSi usaldusmudeli üldise turvalise toimimise kohta;
·juur-CA sertifikaatide saamine CPOC-lt;
·juur-CA sertifikaatide lisamine ECTLi / ECTList välja arvamine pärast CPA-lt teate saamist;
·ECTLi allkirjastamine;
·ECTLi korrapärane ja õigeaegne edastamine CPOC-le.
1.3.4.Akrediteeritud PKI audiitor
(5)Akrediteeritud PKI audiitori ülesanded on järgmised:
·juur-CAde, TLMi ja all-CAde auditite läbiviimine või korraldamine;
·auditiaruande (esialgse või perioodilise auditi põhjal) jaotamine CPA-le kooskõlas allpool punktis 8 esitatud nõuetega. Auditiaruanne peab sisaldama akrediteeritud PKI audiitori soovitusi;
·juur-CAd haldava üksuse teavitamine sellest, kas all-CAde esialgne või perioodiline audit on edukalt läbi viidud;
·CPSide CP-le vastavuse hindamine.
1.3.5.C-ITSi kontaktpunkt (CPOC)
(6)CPOC on üks CPA määratud üksus. CPA volitatud esindaja vastutab CPOC volitatud esindaja autentimise eest ning CPOC liikmestustaotluse vormi heakskiitmise eest. CPA ülesanne on volitada CPOCd käesolevas punktis nimetatud viisil.
(7)CPOC ülesanded on järgmised:
·C-ITSi usaldusmudeli kõigi üksuste vahel turvalise teabevahetuse loomine ja sellele tõhus ja kiire kaasaaitamine;
·usaldusmudeli teiste osaliste (nt juur-CAde) esitatud menetluse muutmise taotluste ja soovituste läbivaatamine;
·juur-CA sertifikaatide edastamine TLMile;
·ühise ankurvõtme (praegune avalik võti ja TLMi lingisertifikaat) avaldamine;
·ECTLi avaldamine.
Kõik üksikasjad ECTLi kohta on esitatud punktis 7.
1.3.6.Operatiivrollid
(8)Järgmised viitedokumendis [2] määratletud üksused omavad RFC 3647s määratletud operatiivrolli:
Funktsionaalne üksus
|
PKI roll ([3] ja [4])
|
Üksikasjalik roll ([2])
|
juur-sertifitseerimisasutus
|
CA/RA (registreerimisasutus)
|
Esitab EA-le ja AA-le tõendi selle kohta, et ta võib väljastada ECsid või ATsid
|
liikmestusasutus
|
juur-CA abonent / EA sertifikaadi subjekt
CA/RA
|
Autendib C-ITSi jaama ja annab sellele juurdepääsu ITSi sidele
|
volitav asutus
|
juur-CA abonent / AA sertifikaadi subjekt
CA/RA
|
Esitab C-ITSi jaamale autoriteetse tõendi selle kohta, et ta võib kasutada konkreetseid ITSi teenuseid
|
saatev C-ITSi jaam
|
lõppüksuse (EE) sertifikaadi (EC) subjekt
|
Omandab EA-lt õiguse juurdepääsuks ITSi sidele
Taotleb AA-lt õigust ITSi teenuste kasutamiseks
Saadab ühe hopi ja ülekantavad sõnumid
|
tuginev (edastav) C-ITSi jaam
|
tuginev isik / EE sertifikaadi subjekt
|
Saab sõnumid saatvalt C-ITSi jaamalt ja edastab need vajaduse korral vastuvõtvale C-ITSi jaamale
|
vastuvõttev C-ITSi jaam
|
tuginev isik
|
Saab sõnumid saatvalt või tuginevalt C-ITSi jaamalt
|
valmistaja
|
EA abonent
|
Paigaldab turbehalduseks vajaliku teabe tootmisel C-ITSi jaama
|
käitaja
|
EA / AA abonent
|
Paigaldab ja ajakohastab turbehalduseks vajalikku teavet C-ITSi jaamas selle käitamisel
|
Tabel 2. Operatiivrollid
Märkus: vastavalt viitedokumendile [4] kasutatakse käesolevas CPs eri mõisteid „abonendi“ kohta, kes sõlmib CAga lepingu sertifikaatide väljastamiseks, ja „subjekti“ kohta, kelle suhtes sertifikaati kohaldatakse. Abonendid on kõik üksused, kellel on CAga lepinguline suhe. Subjektid on üksused, kelle suhtes sertifikaati kohaldatakse. EAd/AAd on juur-CA abonendid ja subjektid ning võivad taotleda EA/AA sertifikaate. C-ITSi jaamad on subjektid ja võivad taotleda lõppüksuse sertifikaate.
(9)Registreerimisasutused:
EA täidab lõppüksuste puhul registreerimisasutuse rolli. Ainult autenditud ja volitatud abonent saab registreerida EAs uusi lõppüksuseid (C-ITSi jaamu). Asjaomane juur-CA täidab EAde ja AAde jaoks registreerimisasutuse ülesandeid.
1.4.Sertifikaadi kasutamine
1.4.1.Kohaldatavad kasutusvaldkonnad
(10)Käesoleva CP raames väljastatud sertifikaadid on ette nähtud digitaalallkirjade valideerimiseks C-ITSi side kontekstis kooskõlas viitedokumendi [2] etalonarhitektuuriga.
(11)Viitedokumendis [5] esitatud sertifikaadi profiilid määravad TLMi, juur-CAde, EAde, AAde ja lõppüksuste sertifikaadi kasutamise võimalused.
1.4.2.Vastutuse piirid
(12)Sertifikaadid ei ole mõeldud kasutamiseks ja neid ei ole lubatud kasutada järgmistel asjaoludel:
·kui rikutakse või eiratakse kohaldatavat õigust, eeskirja (nt GDPRi), dekreeti või valitsuse korraldust;
·kui rikutakse võin eiratakse teiste isikute õigusi;
·kui rikutakse käesolevat CPd või asjaomast abonendi lepingut;
·kui sertifikaadi kasutamine võib otseselt põhjustada surma, vigastusi või tõsist keskkonnakahju (nt tuumarajatiste, õhusõiduki navigatsiooni või side või relvakontrollisüsteemide toimimise häire tõttu);
·kui tekib vastuolu Euroopa suurema liiklusohutuse ja tõhusama maanteetranspordi üldeesmärkidega.
1.5.Sertifitseerimispoliitika haldamine
1.5.1.ECTLis loetletud CAde CPSi ajakohastamine
(13)Kõik ECTLis loetletud juur-CAd avaldavad oma CPSi, mis peab olema kooskõlas käesoleva poliitikaga. Juur-CA võib lisada täiendavaid nõudeid, kuid peab tagama, et kõik käesoleva CP nõuded on alati täidetud.
(14)Kõik ECTLis loetletud juur-CAd rakendavad oma CPSi dokumendi suhtes asjakohast muutmisprotsessi. Muutmisprotsessi põhitunnused dokumenteeritakse CPSi avalikus osas.
(15)Muutmisprotsessiga tagatakse, et kõiki käesolevasse CPsse tehtud muudatusi analüüsitakse hoolikalt ning – kui see on vajalik muudetud CP järgimiseks – muudetakse CPSi muutmisprotsessi rakendusetapis sätestatud aja jooksul. Eelkõige sisaldab muutmisprotsess erakorraliste muudatuste menetlust, et tagada turvalisuse seisukohast oluliste muudatuste õigeaegne rakendamine.
(16)Muutmisprotsess peab sisaldama asjakohaseid meetmeid, et kontrollida CPSi kõikide muudatuste vastavust CP-le. Kõik CPSi muudatused tuleb selgelt dokumenteerida. Enne CPSi uue versiooni rakendamist peab selle vastavust CP-le kinnitama akrediteeritud PKI audiitor.
(17)Juur-CA teavitab CPAd kõikidest CPSi tehtud muudatustest, esitades vähemalt järgmise teabe:
·muudatuse täpne kirjeldus;
·muudatuse põhjendus;
·akrediteeritud PKI audiitori aruanne, milles kinnitatakse vastavust CP-le;
·CPSi eest vastutava isiku kontaktandmed;
·rakendamise kavandatav ajakava.
1.5.2.CPSi heakskiitmise kord
(18)Enne tegevuse alustamist esitab potentsiaalne juur-CA oma CPSi akrediteeritud PKI audiitorile vastavusauditi tegemiseks (voog 13) ja CPA-le heakskiitmiseks (voog 15).
(19)Juur-CA esitab oma CPSi muudatused enne muudatuste jõustumist akrediteeritud PKI audiitorile vastavusauditi tegemiseks (voog 13) ja CPA-le heakskiitmiseks (voog 15).
(20)EA/AA esitab oma CPSi või selle muudatused juur-CA-le. Juur-CA võib tellida vastavussertifikaadi riiklikult asutuselt või eraõiguslikult üksuselt, mis vastutab EA/AA heakskiitmise eest, nagu on kindlaks määratud punktides 4.1.2 ja 8.
(21)Akrediteeritud PKI audiitor hindab CPSi vastavalt punktile 8.
(22)Akrediteeritud PKI audiitor edastab CPSi hindamise tulemused osana auditiaruandest, nagu on sätestatud punktis 8.1. CPS kiidetakse heaks või lükatakse tagasi osana punktides 8.5 ja 8.6 osutatud auditaruande vastuvõtmisest.
2.Avaldamine ja hoidla kohustused
2.1.Sertifikaatide teabe avaldamise meetodid
(23)Sertifikaadi teabe võib avaldada vastavalt punktile 2.5
·korrapäraselt või perioodiliselt või
·osaleva üksuse taotlusel.
Mõlemal juhul kohaldatakse avaldamise suhtes kiireloomulisuse tasemest tingitud erinevaid ajakavasid, kuid üksused peavad olema valmis mõlemaks avaldamisviisiks.
(24)Sertifikaadi andmete korrapärane avaldamine võimaldab kindlaks määrata maksimaalse tähtaja, mille jooksul sertifikaadi teavet C-ITSi võrgu kõigi sõlmede jaoks uuendatakse. Kogu sertifikaaditeabe avaldamise sagedus on sätestatud punktis 2.2.
(25)C-ITSi võrgus osalevate üksuste taotlusel võivad kõik osalejad igal ajal alustada sertifikaadi teabe avaldamist ning olenevalt staatusest taotleda sertifikaadi teabe praegust kogumit, et saada C-ITSi võrgu täielikult usaldatud sõlmeks. Teabe avaldamise eesmärk on eelkõige teavitada üksusi võrgus sertifikaadi teabe üldise seisu kohta ning võimaldada neil edastada teavet usaldusväärsel alusel kuni teabe järgmise korrapärase avaldamiseni.
(26)Üksik juur-CA võib samuti algatada igal ajal sertifikaadi teabe avaldamise, saates ajakohastatud sertifikaatide kogumi kõigile C-ITSi võrgu „abonentidest liikmetele“, kes on sellise teabe tavapärased saajad. See toetab CAde tegevust ja võimaldab neil pöörduda liikmete poole sertifikaatide avaldamise korrapäraste ja kavandatud kuupäevade vahel.
(27)Punktis 2.5 on sätestatud juur-CA sertifikaatide ja ECTLi avaldamise mehhanism ja kõik menetlused.
(28)CPOC avaldab juur-CA sertifikaadid (mis sisalduvad ECTLis ja on ette nähtud avalikuks kasutamiseks), TLMi sertifikaadi ja ECTLi, mida ta välja annab.
(29)Juur-CAd avaldavad oma EA/AA sertifikaadid ja CRLid ning on võimelised toetama kõiki kolme siin osutatud mehhanismi nende avaldamiseks oma abonentidest liikmetele ja tuginevatele isikutele, võttes kõik vajalikud meetmed, et tagada turvaline edastamine, nagu on osutatud punktis 4.
2.2.Avaldamise aeg ja sagedus
(30)Sertifikaatide ja CRLide avaldamise ajakava nõuete kindlaksmääramisel tuleb silmas pidada üksikute C-ITSi sõlmede erinevaid piiravaid tegureid, üldise eesmärgiga käitada „usaldusväärset võrku“, ja avaldada ajakohastatud andmed kõikidele osalevatele C-ITSi jaamadele nii kiiresti kui võimalik.
·Ajakohastatud sertifikaaditeabe (nt muudatused ECTLis või CRLis) korrapäraseks avaldamiseks on C-ITSi võrgu turvalist käitamist silmas pidades nõutav maksimaalselt kolme kuu pikkune ajavahemik.
·Juur-CAd avaldavad oma CA sertifikaadid ja CRLid pärast nende väljastamist niipea kui võimalik.
·CRLi avaldamiseks kasutatakse juur-CA hoidlat.
Lisaks määratakse iga CA CPSis kindlaks, millise aja jooksul pärast sertifikaadi väljastamist CA poolt sertifikaat avaldatakse.
Käesolevas punktis määratakse kindlaks üksnes korrapärase avaldamise aeg või sagedus. Ühendusvahendeid C-ITSi jaamade ajakohastamiseks ECTLi ja CRLidega ühe nädala jooksul pärast nende avaldamist (tavapärastes tegevustingimustes, nt mobiilivõrgu teenindusalas, sõiduk tegelikus kasutuses jne) rakendatakse vastavalt käesolevas dokumendis esitatud nõuetele.
2.3.Hoidlad
(31)Nõuded, mis on seotud sertifikaatide säilitamise hoidla struktuuri ja C-ITSi võrgu üksuste esitatud teabega, on üksikutele üksustele järgmised:
·üldiselt peaks iga juur-CA kasutama oma parajasti aktiivse EA/AA sertifikaadi teabe ja CRLi hoidlat, et avaldada sertifikaadid teiste PKI osalejate jaoks (nt LDAP-põhist kataloogiteenust). Iga juur-CA hoidla peab toetama kõiki nõutavaid juurdepääsukontrolle (punkt 2.4) ja edastusaegu (punkt 2.2) C-ITSiga seotud teabe iga jaotusmeetodi puhul;
·TLMi hoidla (kus hoitakse näiteks CPOC avaldatud ECTLi ja TLMi sertifikaate) peaks põhinema avaldamismehhanismil, millega on võimalik tagada iga jaotusmeetodi puhul punktis 2.2 sätestatud edastusaeg.
AAde nõuded ei ole kindlaks määratud, kuid nad peavad toetama samu turvatasemeid nagu teised üksused ning need peavad olema nende CPSis deklareeritud.
2.4.Hoidlatele juurdepääsu kontroll
(32)Sertifikaadi teabe hoidlatele juurdepääsu kontrolli käsitlevad nõuded peavad vastama vähemalt standardis ISO/IEC 27001 kirjeldatud üldistele teabe turvalise töötlemise standarditele ja punkti 4 nõuetele. Lisaks peavad need kajastama protsessi turbe vajadusi, mis tuleb kindlaks määrata sertifikaadi teabe avaldamise ühtse protsessi etappide jaoks.
·See hõlmab TLMi sertifikaatide ja ECTLi hoidla rakendamist TLMis/CPOCs. Iga CA või hoidla käitaja rakendab juurdepääsukontrolli kõigi C-ITSi üksuste ja väliste poolte suhtes vähemalt kolmel eri tasandil (nt avalik, piiratud C-ITSi üksustega ja juur-CA tasand), et takistada volitamata üksustel hoidlasse kandeid lisada, neid muuta või kustutada.
·Üksiküksuse täpsed juurdepääsukontrolli mehhanismid peaksid olema vastava CPSi osa.
·Iga juur-CA puhul peavad EA ja AA hoidlad vastama samadele juurdepääsukontrolli menetluste nõuetele, olenemata hoidlat käitava teenusepakkuja asukohast või lepingulisest suhtest.
Juurdepääsukontrolli tasemete lähtepunktina peaks iga juur-CA või hoidla käitaja esitama vähemalt kolm eri taset (nt avalik, piiratud C-ITSi üksustega ja juur-CA tasand).
2.5.Sertifikaadi teabe avaldamine
2.5.1.Sertifikaadi teabe avaldamine TLMi poolt
(33)Euroopa ühise C-ITSi usaldusdomeeni TLM avaldab CPOC kaudu järgmise teabe:
·kõik parajasti kehtivad TLMi sertifikaadid järgmiseks tegevusperioodiks (olemasolu korral kehtiv ja lingisertifikaat);
·teave pääsupunkti kohta, et CPOC hoidla saaks esitada juur-CAde allkirjastatud nimekirja;
·üldine teabepunkt ECTLi ja C-ITSi kasutuselevõtu jaoks.
2.5.2.Sertifikaadi teabe avaldamine CAde poolt
(34)Euroopa ühise C-ITSi usaldusdomeeni juur-CAd avaldavad järgmise teabe:
·välja antud (parajasti kehtivad) juur-CA sertifikaadid (kehtivad ja korrektselt uuendatud võtmega sertifikaadid, sh lingisertifikaat) punktis 2.3 osutatud hoidlas;
·kõik kehtivad EA ja AA üksused koos käitaja tunnuse ja kavandatud tegevusperioodiga;
·väljastatud CA sertifikaadid punktis 2.3 osutatud hoidlates;
·kõigi tühistatud CA sertifikaatide CRLid, mis sisaldavad neile alluvaid EAsid ja AAsid;
·teave, mis on seotud juur-CA pääsupunktiga CRLi ja CA teabele.
Kogu sertifikaaditeave liigitatakse vastavalt kolmele konfidentsiaalsustasemele ja üldsusele suunatud dokumendid peavad olema ilma piiranguteta avalikult kättesaadavad.
3.Identifitseerimine ja autentimine
3.1.Nimetamine
3.1.1.Nime liigid
3.1.1.1.TLMi, juur-CAde, EAde ja AAde nimed
(35)TLMi sertifikaadil esitatud nimi peab koosnema ühest „subject_name“ atribuudist reserveeritud väärtusega „EU_TLM“.
(36)Juur-CAde nimi peab koosnema ühest „subject_name“ atribuudist, mille väärtuse on määranud CPA. Nimede kordumatus on CPA ainuvastutus ning TLM haldab juur-CAde nimede registrit vastavalt CPA teavitusele (juur-CA heakskiitmine, tühistamine/eemaldamine). Sertifikaatide subjektide nimed piirduvad 32 baidiga. Iga juur-CA teeb taotlusvormis CPA-le ettepaneku oma nime kohta (voog 14). Nime kordumatuse kontrollimise eest vastutab CPA. Kui nimi ei ole kordumatu, lükatakse taotlusvorm tagasi (voog 4).
(37)Nimi igas EA/AA sertifikaadis võib koosneda ühest „subject_name“ atribuudist, mille väärtuse on genereerinud sertifikaadi väljastaja. Nimede kordumatus on väljastava juur-CA ainuvastutus.
(38)EA ja AA sertifikaadid ei kasuta nime, mis on suurem kui 32 baiti, sest sertifikaatides on „subject_name“ piiratud 32 baidiga.
(39)ATd ei sisalda nime.
3.1.1.2.Lõppüksuste nimed
(40)Igale C-ITSi jaamale antakse kaks kordumatut identifikaatorit:
·kanooniline ID, mida hoitakse tootja vastutusel C-ITSi jaama esialgsel registreerimisel. See sisaldab allstringi, mille abil tehakse kindlaks tootja või käitaja, nii et see identifikaator on kordumatu;
·„subject_name“, mis võib olla osa C-ITSi jaama ECst, EA vastutusel.
3.1.1.3.Sertifikaatide identifitseerimine
(41)Sertifikaadid, mis vastavad viitedokumendis [5] esitatud vormingule, identifitseeritakse HashedId8 väärtuse arvutamisega, nagu on määratletud viitedokumendis [5].
3.1.2.Tähenduslike nimede vajadus
Sätted puuduvad.
3.1.3.Lõppüksuste anonüümsus ja pseudonüümsus
(42)AA tagab, et C-ITSi jaama pseudonüümsus on tagatud C-ITSi jaamale selliste ATde andmise abil, mis ei sisalda nime ega teavet, mis võivad siduda subjekti tema tegeliku isikuga.
3.1.4.Eri nimevormide tõlgendamise eeskirjad
Sätted puuduvad.
3.1.5.Nimede kordumatus
(43)TLMi, juur-CAde, EAde, ja AAde nimed ning C-ITSi jaamade kanoonilised IDd peavad olema kordumatud.
(44)TLM tagab konkreetse juur-CA ECTLis registreerimise protsessis, et tema sertifikaadi identifikaator (HashedId8) on kordumatu. Juur-CA tagab väljastamisprotsessis, et iga madalama astme CA sertifikaadi identifikaator (HashedId8) on kordumatu.
(45)EC HashedId8 peab olema kordumatu väljastava CA piires. AT HashedId8 ei pea olema kordumatu.
3.2.Identiteedi esmane valideerimine
3.2.1.Privaatvõtme olemasolu tõendamise meetod
(46)Juur-CA peab tõendama, et tal on õigustatult privaatvõti, mis vastab endasigneeritud sertifikaadi avalikule võtmele. Seda tõendit kontrollib CPOC.
(47)EA/AA peab tõendama, et tal on õigustatult privaatvõti, mis vastab sertifikaadis loetletud avalikule võtmele. Seda tõendit kontrollib juur-CA.
(48)Uue privaatvõtme omamist (võtmeuuenduseks) tõendatakse taotluse allkirjastamisega uue privaatvõtmega (siseallkiri), millele järgneb välisallkirja genereerimine allkirjastatud taotlusele parajasti kehtiva privaatvõtmega (taotluse autentsuse tagamiseks). Taotleja esitab allkirjastatud sertifikaaditaotluse väljastavale asutusele turvalise teate kaudu. Sertifikaati väljastav CA kontrollib, kas taotleja digiallkiri taotlusteates on loodud, kasutades eravõtit, mis vastab sertifikaaditaotlusele lisatud avalikule võtmele. Juur-CA täpsustab oma CPSis, milliseid sertifikaaditaotlusi ja vastuseid ta toetab.
3.2.2.Organisatsiooni identiteedi autentimine
3.2.2.1.Juur-CAde organisatsiooni identiteedi autentimine
(49)Taotlusvormis CPA-le (voog 14) esitab juur-CA organisatsiooni identiteedi ja registreerimisteabe, mis koosneb järgmistest osadest:
·organisatsiooni nimi;
·postiaadress;
·e-posti aadress;
·organisatsiooni füüsilise kontaktisiku nimi;
·telefoninumber;
·juur-CA sertifikaadi digitaalne sõrmejälg (st SHA 256 hashvalue) trükitud kujul;
·krüptograafiline teave (st krüptoalgoritmid, võtme pikkused) juur-CA sertifikaadis;
·kõik load, mida juur-CA tohib kasutada ja all-CAdele edastada.
(50)CPA kontrollib organisatsiooni identiteeti ja muud registreerimisteavet, mille sertifikaadi taotleja on esitanud juur-CA sertifikaadi lisamiseks ECTLi.
(51)CPA kogub kas otseseid tõendeid või asjakohasest ja volitatud allikast pärinevaid tõendeid subjektide, kellele sertifikaat on väljastatud, isikusamasuse (nt nimi) ja vajaduse korral konkreetsete tunnuste kohta. Esitatud tõendid võivad olla paberkandjal või elektroonilisel kujul.
(52)Subjekti isikut kontrollitakse asjakohaste vahendite abil registreerimise ajal ja kooskõlas käesoleva sertifitseerimispoliitikaga.
(53)Igal sertifikaaditaotlusel esitatakse tõendid järgmise kohta:
·organisatsioonilise üksuse (eraõiguslik organisatsioon, valitsusüksus või mittekaubanduslik üksus) täisnimi;
·riiklikult tunnustatud registreerimisnumber või muud tunnused, mida võib võimaluste piires kasutada organisatsioonilise üksuse eristamiseks teistest samanimelistest.
Eespool esitatud eeskirjad põhinevad tehnilisel spetsifikatsioonil TS 102 042 [4]: CA tagab, et tõendid abonendi ja subjekti identifitseerimise ning nende nimede ja seonduvate andmete täpsuse kohta on nõuetekohaselt kontrollitud määratletud teenuse osana või asjakohasel juhul sobivate ja volitatud allikate tunnistuste läbivaatamisega ning et sertifikaaditaotlused on täpsed, volitatud ja terviklikud kooskõlas kogutud tõendite või tunnistustega.
3.2.2.2.TLMi organisatsiooni identiteedi autentimine
(54)TLMi käitav organisatsioon esitab tõendid identifitseerimise kohta ning nime ja sellega seotud andmete täpsuse kohta, et võimaldada TLMi sertifikaadi esmakordsel loomisel ja võtmeuuendusel asjakohast kontrollimist.
(55)Subjekti isikut kontrollitakse sertifikaadi loomise või võtmeuuenduse ajal asjakohaste vahendite abil ja kooskõlas käesoleva CPga.
(56)Organisatsiooni tõendid esitatakse vastavalt punktile 3.2.2.1.
3.2.2.3.All-CAde organisatsiooni identiteedi autentimine
(57)Juur-CA kontrollib organisatsiooni identiteeti ja muud all-CA (EA/AA) sertifikaadi taotlejate esitatud registreerimisteavet.
(58)Juur-CA teeb vähemalt järgmist:
·teeb kindlaks, et organisatsioon on olemas, kasutades vähemalt ühte kolmanda isiku identiteedi tõendamise teenust või andmebaasi või teise võimalusena organisatsioonilist dokumentatsiooni, mille on välja andnud või esitanud asjaomane valitsusasutus või tunnustatud asutus, kes kinnitab organisatsiooni olemasolu;
·kasutab posti või võrreldavat menetlust, et nõuda, et sertifikaadi taotleja kinnitaks teatavat teavet organisatsiooni kohta, et ta on sertifikaaditaotluse heaks kiitnud ja et taotleja nimel taotluse esitanud isikul on selleks luba. Kui sertifikaat sisaldab organisatsiooni volitatud esindajana tegutseva isiku nime, kinnitatakse selles ka, et organisatsioon on kõnealuse isiku tööandja ja on volitanud teda organisatsiooni nimel tegutsema.
(59)CA sertifikaatide väljastamise valideerimise kord dokumenteeritakse juur-CA CPSis.
3.2.2.4.Lõppüksuste abonendiorganisatsiooni autentimine
(60)Enne, kui lõppüksuste abonent (tootja/käitaja) saab end registreerida usaldatud EA juures, et võimaldada lõppüksustel saata EC sertifikaaditaotlusi, teeb EA järgmist:
·kontrollib abonendiorganisatsiooni identiteeti ja muud sertifikaadi taotleja esitatud registreerimisteavet;
·kontrollib, kas C-ITSi jaama tüüp (st C-ITSi jaama kaubamärgil, mudelil ja versioonil põhinev konkreetne toode) vastab kõigile vastavushindamise kriteeriumidele.
(61)EA teeb vähemalt järgmist:
·teeb kindlaks, et organisatsioon on olemas, kasutades vähemalt ühte kolmanda isiku identiteedi tõendamise teenust või andmebaasi või teise võimalusena organisatsioonilist dokumentatsiooni, mille on välja andnud või esitanud asjaomane valitsusasutus või tunnustatud asutus, kes kinnitab organisatsiooni olemasolu;
·kasutab posti või võrreldavat menetlust, et nõuda, et sertifikaadi taotleja kinnitaks teatavat teavet organisatsiooni kohta, et ta on sertifikaaditaotluse heaks kiitnud ja et tema nimel taotluse esitanud isikul on selleks luba. Kui sertifikaat sisaldab organisatsiooni volitatud esindajana tegutseva isiku nime, kinnitatakse selles ka, et organisatsioon on kõnealuse isiku tööandja ja on volitanud teda organisatsiooni nimel tegutsema.
(62)Valideerimiskord C-ITSi jaama registreerimiseks abonendi poolt dokumenteeritakse EA CPSis.
3.2.3.Üksiküksuse autentimine
3.2.3.1.TLMi/CA üksiküksuse autentimine
(63)Juriidilise isiku või organisatsioonilise üksusega (nt abonent) seoses identifitseeritud üksiküksuse (füüsiline isik) autentimiseks tuleb esitada tõendid järgmise kohta:
·subjekti täielik nimi (sh perekonnanimi ja eesnimed, kooskõlas kohaldatava õiguse ja riiklike identifitseerimistavadega);
·sünniaeg ja -koht, viide riiklikult tunnustatud isikut tõendavale dokumendile või abonendi muudele tunnustele, mida võib võimaluste piires kasutada isiku eristamiseks teistest sama nimega isikutest;
·asjaomase juriidilise isiku või muu organisatsioonilise üksuse täielik nimi ja õiguslik seisund (nt abonent);
·asjakohane registreerimisteave seotud juriidilise isiku või muu organisatsioonilise üksuse kohta (nt äriühingu registreerimine);
·tõendid selle kohta, et subjekt on seotud selle juriidilise isiku või muu organisatsioonilise üksusega.
Esitatud tõendid võivad olla paberkandjal või elektroonilisel kujul.
(64)Identiteedi kontrollimiseks esitab CA, EA, AA või abonendi volitatud esindaja dokumendid, mis tõendavad, et ta töötab organisatsiooni heaks (volitussertifikaat). Samuti esitab ta ametliku isikutunnistuse.
(65)Esmase liikmestusprotsessi (voog 31/32) puhul esitab EA/AA esindaja vastavale juur-CA-le kogu vajaliku teabe (vt punkt 4.1.2).
(66)Juur-CA töötajad kontrollivad sertifikaati taotleva esindaja isikut ja kõiki seotud dokumente, kohaldades punkti 5.2.1 kohaseid „usaldusisiku“ nõudeid. (Taotlusteabe valideerimise ja sertifikaadi genereerimise juur-CA poolt teostavad juur-CA „usaldusisikud“ vähemalt kahekordse järelevalve all, sest need on tundlikud toimingud punkti 5.2.2 tähenduses.)
3.2.3.2.C-ITSi jaamade abonendi identiteedi autentimine
(67)Abonente esindavad organisatsiooni volitatud lõppkasutajad, kes on registreeritud sertifikaate väljastavas EAs ja AAs. Need organisatsioonide (tootjate või käitajate) poolt määratud lõppkasutajad tõendavad oma identiteeti ja autentsust enne:
·EE ja sellele vastava EA registreerimist (sh selle kanooniline avalik võti, kanooniline ID (kordumatu identifikaator) ja load vastavalt EE-le);
·AA juures registreerumist ja abonendilepingu tõendi hankimist, mille saab saata EA-le.
3.2.3.3.C-ITSi jaamade identiteedi autentimine
(68)ECde EE subjektid autendivad end EC taotlemisel (voog 31), kasutades esmase autentimise jaoks oma kanoonilist privaatvõtit. EA kontrollib autentimist, kasutades EE-le vastavat kanoonilist avalikku võtit. EEde kanoonilised avalikud võtmed esitatakse EA-le enne esmase taotluse tegemist C-ITSi jaama tootja või käitaja ja EA vahelise turvalise kanali kaudu (voog 33).
(69)ATde EE subjektid autendivad end ATde taotlemisel (voog 32), kasutades oma kordumatut liikmestuse privaatvõtit. AA edastab allkirja valideerimiseks EA-le (voog 25). EA valideerib selle ja kinnitab tulemust AA-le (voog 23).
3.2.4.Kontrollimata abonendi teave
Sätted puuduvad.
3.2.5.Asutuse valideerimine
3.2.5.1.TLMi, juur-CA, EA ja AA valideerimine
(70)Iga organisatsioon nimetab CPSis vähemalt ühe esindaja (nt turvaametnik), kes vastutab uute sertifikaatide ja uuenduste taotlemise eest. Kohaldatakse punktis 3.2.3 esitatud nimetamiseeskirju.
3.2.5.2.C-ITSi jaama abonentide valideerimine
(71)Vähemalt üks füüsiline isik, kes vastutab C-ITSi jaamade registreerimise eest EAs (nt turvaametnik), peab olema EA-le teada ja EA poolt heaks kiidetud (vt punkt 3.2.3).
3.2.5.3.C-ITSi jaamade valideerimine
(72)C-ITSi jaama abonent võib C-ITSi jaamad registreerida konkreetses EAs (voog 33), juhul kui ta on selles EAs autenditud.
Kui C-ITSi jaam on registreeritud EAs kordumatu kanoonilise ID ja kanoonilise avaliku võtmega, võib ta taotleda ECd, kasutades eelnevalt registreeritud kanoonilise avaliku võtmega seotud kanoonilise privaatvõtmega allkirjastatud taotlust.
3.2.6.Koostalitluskriteeriumid
(73)C-ITSi jaamade ja EAde (või AAde) vahelise side puhul peab C-ITSi jaam suutma luua EAdega (või AAdega) turvalise side, st suutma rakendada autentimis-, konfidentsiaalsus- ja terviklusfunktsioone, nagu on sätestatud viitedokumendis [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle. EA ja AA toetavad seda turvalist sidet.
(74)EA ja AA toetavad sertifikaaditaotlusi ja vastuseid, mis vastavad viitedokumendile [1], mis näeb ette turvalise AT taotluse/vastuse protokolli, mis toetab taotleja anonüümsust AA suhtes ning AA ja EA ülesannete lahusust. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle. Selleks et vältida C-ITSi jaamade pikaajalise identiteedi avalikustamist, peab side mobiilse C-ITSi jaama ja EA vahel olema konfidentsiaalne (nt sideandmed on otspunktkrüpteeritud).
(75)AA esitab volituse valideerimise taotluse (voog 25) iga volitustaotluse kohta, mille ta saab EE sertifikaadi subjektilt. EA valideerib selle taotluse seoses järgmisega:
·EE staatus EAs;
·allkirja kehtivus;
·taotletud ITSi rakenduste IDd (ITS-AID) ja load;
·AA abonendile teenuse osutamise staatus.
3.3.Võtmeuuendustaotluste identifitseerimine ja autentimine
3.3.1.Regulaarsete võtmeuuendustaotluste identifitseerimine ja autentimine
3.3.1.1.TLMi sertifikaadid
(76)TLM genereerib võtmepaari ja kaks sertifikaati: ühe endasigneeritud ja ühe lingisertifikaadi, nagu on osutatud punktis 7.
3.3.1.2.Juur-CA sertifikaadid
Ei kohaldata.
3.3.1.3.EA/AA sertifikaadi uuendamine või võtmeuuendus
(77)Enne EA/AA sertifikaadi kehtivusaja lõppu peab EA/AA taotlema uut sertifikaati (voog 21/voog 24), et säilitada sertifikaadi kasutamise järjepidevus. EA/AA genereerib aeguva võtmepaari asendamiseks uue võtmepaari ja allkirjastab uue avalikku võtit sisaldava võtmeuuendustaotluse parajasti kehtiva privaatvõtmega („võtmeuuendus“). EA või AA genereerib uue võtmepaari ja allkirjastab taotluse uue privaatvõtmega (siseallkiri), et tõendada uue privaatvõtme omamist. Kogu taotlus allkirjastatakse (oversigned) parajasti kehtiva privaatvõtmega (välisallkiri), et tagada taotluse terviklus ja autentsus. Kui kasutatakse krüpteerimis- ja dekrüpteerimisvõtmepaari, tõendatakse dekrüpteerimise privaatvõtmete omamist (võtmeuuenduse üksikasjalik kirjeldus punktis 4.7.3.3).
(78)Regulaarse võtmeuuenduse identifitseerimise ja autentimise meetod on sama, mis esmase juur-CA sertifikaadi esmakordsel väljastamisel, nagu on sätestatud punktis 3.2.2.
3.3.1.4.Lõppüksuste liikmestusmandaat
(79)Enne olemasoleva EC kehtivusaja lõppu peab EE taotlema uut sertifikaati (voog 31), et säilitada sertifikaadi kasutamise järjepidevus. EE genereerib aeguva võtmepaari asendamiseks uue võtmepaari ja taotleb uut avalikku võtit sisaldavat sertifikaati; taotlus allkirjastatakse parajasti kehtiva EC privaatvõtmega.
(80)EE võib allkirjastada taotluse uue privaatvõtmega (siseallkiri), et tõendada uue privaatvõtme omamist. Kogu taotlus allkirjastatakse (oversigned) seejärel parajasti kehtiva privaatvõtmega (välisallkiri) ja krüpteeritakse vastuvõtva EA jaoks, nagu on sätestatud viitedokumendis [1], et tagada taotluse konfidentsiaalsus, terviklus ja autentsus. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
3.3.1.5.Lõppüksuste volituspiletid
(81)ATde sertifikaadi võtmeuuendus põhineb samal protsessil, nagu esmane volitamine, nagu on määratletud viitedokumendis [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
3.3.2.Võtmeuuendustaotluste identifitseerimine ja autentimine pärast tühistamist
3.3.2.1.CA sertifikaadid
(82)CA organisatsiooni autentimist juur-CA, EA ja AA sertifikaadi võtmeuuenduseks pärast tühistamist käsitletakse samamoodi nagu CA sertifikaadi esmast väljastamist, nagu on sätestatud punktis 3.2.2.
3.3.2.2.Lõppüksuste liikmestusmandaat
(83)EE autentimist EC sertifikaadi võtmeuuenduseks pärast tühistamist käsitletakse samamoodi nagu EE sertifikaadi esmast väljastamist, nagu on sätestatud punktis 3.2.2.
3.3.2.3.Lõppüksuste volitustaotlused
Ei kohaldata, kuna ATsid ei tühistata.
3.4.Tühistamistaotluse identifitseerimine ja autentimine
3.4.1.Juur-CA/EA/AA sertifikaadid
(84)ECTList juur-CA sertifikaadi kustutamise taotlused autendib TLMile juur-CA (vood 12 ja 9). EA/AA sertifikaadi tühistamistaotlused autendivad asjaomane juur-CA ja all-CA ise.
(85)Abonendi tühistamistaotluste autentimise lubatavad menetlused on järgmised:
·tühistamist taotleva abonendi kirjalik ja allkirjastatud teade ettevõtte blanketil viitega sertifikaadile, mida soovitakse tühistada;
·suhtlus abonendiga, mis annab piisava kindluse selle kohta, et tühistamist taotlev isik või organisatsioon on tõesti abonent. Sõltuvalt asjaoludest võib selline suhtlus hõlmata ühte või mitut järgmistest: e-post, tavapost või kullerteenus.
3.4.2.C-ITSi jaama liikmestusmandaat
(86)C-ITSi jaama abonent võib tühistada varem registreeritud C-ITSi jaama EC EAs (voog 34). Taotlev abonent esitab tühistamistaotluse konkreetse C-ITSi jaama või C-ITSi jaamade loetelu kohta. EA autendib tühistamistaotluse enne selle töötlemist ning kinnitab C-ITSi jaamade ja nende ECde tühistamist.
(87)EA võib tühistada C-ITSi jaama EC vastavalt punktile 7.3.
3.4.3.C-ITSi jaama volituspiletid
(88)Kuna ATsid ei tühistata, piirdub nende kehtivus teatava ajavahemikuga. Käesoleva sertifitseerimispoliitikaga lubatud kehtivusperioodide ulatus on määratud punktis 7.
4.Sertifikaadi käitamise nõuded selle elutsükli jooksul
4.1.Sertifikaaditaotlus
(89)Käesolevas punktis on sätestatud nõuded sertifikaadi väljastamise esmase taotluse kohta.
(90)Mõiste „sertifikaaditaotlus“ viitab järgmistele protsessidele:
·TLMi ja CPA vahelise usaldussuhte registreerimine ja loomine;
·juur-CA ning CPA ja TLMi vahelise usaldussuhte registreerimine ja loomine, sh esimese juur-CA sertifikaadi lisamine ECTLi;
·EA/AA ja juur-CA vahelise usaldussuhte registreerimine ja loomine, sh uue EA/AA sertifikaadi väljastamine;
·C-ITSi jaama registreerimine EAs tootja/käitaja poolt;
·C-ITSi jaama EC/AT taotlus.
4.1.1.Kes võib esitada sertifikaaditaotluse
4.1.1.1.Juur-CAd
(91)Juur-CAd genereerivad oma võtmepaarid ja väljastavad oma juursertifikaadi ise. Juur-CA võib esitada sertifikaaditaotluse oma volitatud esindaja kaudu (voog 14).
4.1.1.2.TLM
(92)TLM genereerib oma võtmepaarid ja väljastab oma sertifikaadi ise. TLMi sertifikaadi esmast loomist menetleb TLMi organisatsiooni esindaja CPA kontrolli all.
4.1.1.3.EA ja AA
(93)EA või AA volitatud esindaja võib esitada all-CA (EA ja/või AA) sertifikaaditaotluse asjaomase juur-CA volitatud esindajale (voog 27/28).
4.1.1.4.C-ITSi jaam
(94)Abonendid registreerivad kõik C-ITSi jaamad EAs vastavalt punktile 3.2.5.3.
(95)Iga EAs registreeritud C-ITSi jaam võib saata EC taotlusi (voog 31).
(96)Iga C-ITSi jaam võib saata AT taotlusi (voog 32) ilma abonentsuhtlust taotlemata. Enne AT taotlemist peab C-ITSi jaamal olema EC.
4.1.2.Liikmestusprotsess ja vastutus
(97)Eriotstarbel (st eriotstarbelistele mobiilsetele ja paiksetele C-ITSi jaamadele) sertifikaate väljastavatele juur-CAdele ja all-CAdele võivad lube anda ainult need liikmesriigid, kus need organisatsioonid asuvad.
4.1.2.1.Juur-CAd
(98)Pärast auditeerimist (vood 13 ja 36, punkt 8) võivad juur-CAd taotleda CPAs oma sertifikaadi või sertifikaatide lisamist ECTLi (voog 14). Liikmestusprotsess põhineb allkirjastatud käsitsi koostatud taotlusvormil, mille juur-CA volitatud esindaja toimetab füüsiliselt CPA-le ja mis sisaldab vähemalt punktides 3.2.2.1, 3.2.3 ja 3.2.5.1 osutatud teavet.
(99)Juur-CA taotlusvormile kirjutab alla tema volitatud esindaja.
(100)Lisaks taotlusvormile esitab juur-CA volitatud esindaja CPA-le heakskiitmiseks juur-CA CPSi koopia (voog 15) ja tema auditiaruande (voog 16). Heakskiitmise korral genereerib ja saadab CPA vastavussertifikaadi CPOC-le/TLMile ja vastavale juur-CA-le.
(101)Seejärel viib juur-CA volitatud esindaja taotlusvormi (mis sisaldab endasigneeritud sertifikaadi sõrmejälge), ametliku isikutunnistuse ja volitustõendi CPOC-le/TLMile. endasigneeritud sertifikaat edastatakse CPOC-le/TLMile elektrooniliselt. CPOC/TLM kontrollib kõiki dokumente ja endasigneeritud sertifikaati.
(102)Positiivse kontrollitulemuse korral lisab TLM juur-CA sertifikaadi ECTLi, lähtudes CPA-lt saadud teatest (vood 1 ja 2). Protsess on üksikasjalikult kirjeldatud TLMi CPSis.
(103)Konkreetsete riikide riiklikus asutuses peaks olema võimalik täiendav menetlus, et saada heakskiit juur-CA CPSile ja auditiaruandele.
4.1.2.2.TLM
(104)Pärast auditeerimist võib TLMi liikmestada CPA juures. Liikmestusprotsess põhineb allkirjastatud käsitsi koostatud taotlusvormil, mille TLMi volitatud esindaja toimetab füüsiliselt CPA-le (voog 38) ja mis sisaldab vähemalt punktides 3.2.2.2 ja 3.2.3 osutatud teavet.
(105)TLMi taotlusvormile kirjutab alla tema volitatud esindaja.
(106)Kõigepealt genereerib TLM endasigneeritud sertifikaadi ja edastab selle turvaliselt CPA-le. Seejärel toob TLM oma taotlusvormi (mis sisaldab endasigneeritud sertifikaadi sõrmejälge), CPSi koopia, ametliku isikutunnistuse, volitustõendi ja oma auditiaruande CPA-le (voog 40). CPA kontrollib kõiki dokumente ja endasigneeritud sertifikaati. Kõikide dokumentide, endasigneeritud sertifikaadi ja sõrmejälje kontrollimise positiivse tulemuse korral kinnitab CPA liikmestusprotsessi, saates oma heakskiidu TLMile ja CPOC-le (voog 39). CPA säilitab TLMi saadetud taotlusteabe. Seejärel väljastatakse TLMi sertifikaat CPOC kaudu.
4.1.2.3.EA ja AA
(107)Liikmestusprotsessi käigus toob EA/AA asjakohased dokumendid (nt CPSi ja auditiaruande) vastavale juur-CA-le heakskiitmiseks (voog 27/28). Dokumendikontrolli positiivse tulemuse korral saadab juur-CA vastavatele all-CAdele heakskiidu (voog 29/30). Seejärel edastab all-CA (EA või AA) oma allkirjastatud taotluse elektrooniliselt ning toimetab oma taotlusvormi (vastavalt punktile 3.2.2.1), volitustõendi ja isikut tõendava dokumendi füüsiliselt vastavale juur-CA-le. Juur-CA kontrollib taotlust ja saadud dokumente (sõrmejälge sisaldav taotlusvorm, mis on all-CA taotluse SHA 256 hashvalue, volitustõend ja isikut tõendav dokument). Kui kõikide kontrollide tulemus on positiivne, väljastab juur-CA vastava all-CA sertifikaadi. Üksikasjalikku teavet esmase taotluse esitamise kohta kirjeldatakse konkreetses CPSis.
(108)Lisaks all-CA taotlusvormile esitab all-CA volitatud esindaja juur-CA-le CPSi koopia.
(109)Teave antakse akrediteeritud PKI audiitorile auditeerimiseks kooskõlas punktiga 8.
(110)Kui all-CA omanik on muu üksus, kui üksus, kellele kuulub juur-CA, allkirjastab all-CA üksus enne all-CA sertifikaaditaotluse esitamist juur-CA teenuse kohta lepingu.
4.1.2.4.C-ITSi jaam
(111)Lõppüksuste subjektide (C-ITSi jaamad) esmast registreerimist teostab vastutav abonent (tootja/käitaja) koos EAga (vood 33 ja 35) pärast abonentorganisatsiooni ja ühe selle esindaja edukat autentimist kooskõlas punktidega 3.2.2.4 ja 3.2.5.2.
(112)C-ITSi jaam võib genereerida EC võtmepaari (vt punkt 6.1) ja luua allkirjastatud EC taotluse vastavalt viitedokumendile [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(113)Tavalise C-ITSi jaama (erinevalt eriotstarbelisest mobiilsest või paiksest C-ITSi jaamast) registreerimise ajal peab EA kontrollima, et esmases taotluses esitatud volitused ei ole ette nähtud valitsuses kasutamiseks. Valitsuses kasutamiseks ette nähtud load määravad kindlaks vastavad liikmesriigid. EA registreerimise ja tootjale/käitajale reageerimise üksikasjalik kord (vood 33 ja 35) sätestatakse EA vastavates CPSides.
(114)C-ITSi jaam registreeritakse EAs (punkt 3.2.5.3), saates tema esmase EC taotluse vastavalt viitedokumendile [1].
(115)Pärast esmast registreerimist autenditud abonendi esindaja poolt kinnitab EA, millised ATd võib lõppüksuse subjekt (st C-ITSi jaam) omandada. Lisaks määratakse igale lõppüksusele usaldusväärsustase, mis on seotud lõppüksuse sertifitseerimisega vastavalt ühele punktis 6.1.5.2 loetletud kaitseprofiilidest.
(116)Tavasõidukitel on ainult üks C-ITSi jaam, mis on registreeritud ühes EAs. Eriotstarbelised sõidukid (näiteks politseiautod ja muud eriõigustega sõidukid) võib registreerida täiendavas EAs või neil võib olla üks täiendav C-ITSi jaam eriotstarbe alla kuuluvate volituste jaoks. Sõidukid, mille suhtes sellist erandit kohaldatakse, määravad kindlaks vastutavad liikmesriigid. Eriotstarbelistele mobiilsetele ja paiksetele C-ITSi jaamadele annavad loa ainult vastutavad liikmesriigid. Kõnealustes liikmesriikides selliste sõidukite jaoks sertifikaate väljastavate juur-CAde või all-CAde CPSis on kindlaks määratud, kuidas selliste sõidukite suhtes sertifitseerimismenetlust kohaldatakse.
(117)Kui abonent viib C-ITSi jaama üle ühest EAst teise, võib C-ITSi jaama registreerida kahes (sarnases) EAs.
(118)C-ITSi jaam genereerib AT võtmepaari (vt punkti 6.1) ja loob vastavalt viitedokumendile [1] AT taotluse. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(119)C-ITSi jaamad saadavad volitustaotluse AA URLile (vood 32 ja 26), saates vähemalt punktis 3.2.3.3 osutatud nõutava teabe. AA ja EA valideerivad volituse iga taotluse kohta vastavalt punktidele 3.2.6 ja 4.2.2.5.
4.2.Sertifikaaditaotluste töötlemine
4.2.1.Identifitseerimis- ja autentimisfunktsioonide täitmine
4.2.1.1.Juur-CAde identifitseerimine ja autentimine
(120)CPA volitatud esindaja vastutab juur-CA volitatud esindaja autentimise eest ning tema liikmestusprotsessi heakskiitmise eest vastavalt punktile 3.
4.2.1.2.TLMi identifitseerimine ja autentimine
(121)CPA volitatud esindaja vastutab TLMi volitatud esindaja autentimise eest ning tema liikmestustaotluse vormi heakskiitmise eest vastavalt punktile 3.
4.2.1.3.EA ja AA identifitseerimine ja autentimine
(122)Vastav juur-CA vastutab EA/AA volitatud esindaja autentimise eest ning tema liikmestustaotluse vormi heakskiitmise eest vastavalt punktile 3.
(123)Juur-CA kinnitab taotlusvormi positiivset valideerimist EA-le/AA-le. EA/AA võib seejärel saata sertifikaaditaotluse juur-CA-le (voog 21/24), mis väljastab sertifikaadid vastavale EA/AA-le (voog 18/19).
4.2.1.4.EE abonendi identifitseerimine ja autentimine
(124)Enne kui C-ITSi jaam saab taotleda EC sertifikaati, edastab EE abonent C-ITSi jaama identifikaatori teabe turvaliselt EA-le (voog 33). EA kontrollib taotlust ja kontrolli positiivse tulemuse korral registreerib C-ITSi jaama teabe oma andmebaasis ning kinnitab seda EE abonendile (voog 35). Tootja või käitaja teeb seda ainult ühe korra iga C-ITSi jaama kohta. Kui C-ITSi jaam on EA poolt registreeritud, võib ta taotleda ühekordset EC sertifikaati, mida ta vajab (voog 31). EA autendib ja kontrollib, et EC sertifikaadi taotluses esitatud teave kehtib C-ITSi jaama kohta.
4.2.1.5.Volituspiletid
(125)Volitustaotluste ajal (voog 32) peab AA vastavalt viitedokumendile [1] autentima EA, kust C-ITSi jaam sai oma EC. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle. Kui AA ei saa EAd autentida, lükatakse taotlus tagasi (voog 26). Nõude kohaselt peab AA-l olema EA sertifikaat EA autentimiseks ja tema vastuse kontrollimiseks (vood 25 ja 23, punkt 3.2.5.3).
(126)EA autendib C-ITSi jaama, mis taotleb ATd, kontrollides tema ECd (vood 25 ja 23).
4.2.2.Sertifikaaditaotluste heakskiitmine või tagasilükkamine
4.2.2.1.Juur-CA sertifikaatide heakskiitmine või tagasilükkamine
(127)TLM lisab juur-CA sertifikaadid ECTLi või kustutab need ECTList vastavalt CPA heakskiidule (voog 1/2).
(128)TLM peaks kontrollima juur-CA sertifikaatide allkirja, teavet ja kodeerimist pärast seda, kui ta on saanud CPA-lt heakskiidu (voog 1). Pärast positiivset valideerimist ja CPA heakskiitu lisab TLM vastava juursertifikaadi ECTLi ja teavitab CPAd (voog 5).
4.2.2.2.TLMi sertifikaadi heakskiitmine või tagasilükkamine
(129)CPA vastutab TLMi sertifikaatide heakskiitmise või tagasilükkamise eest.
4.2.2.3.EA ja AA sertifikaadi heakskiitmine või tagasilükkamine
(130)Juur-CA kontrollib all-CA sertifikaaditaotlusi (voog 21/24) ja asjakohaseid aruandeid (mille on välja andnud akrediteeritud PKI audiitor) nende saamisel (voog 36, punkt 8) juur-CA vastavalt all-CA-lt. Kui taotluse kontrolli tulemus on positiivne, väljastab vastav juur-CA taotluse esitanud EA-le/AA-le sertifikaadi (voog 18/19); vastasel juhul lükatakse taotlus tagasi ja EA-le/AA-le sertifikaati ei väljastata.
4.2.2.4.EC heakskiitmine või tagasilükkamine
(131)EA kontrollib ja valideerib EC taotlusi vastavalt punktidele 3.2.3.2 ja 3.2.5.3.
(132)Kui viitedokumendi [1] kohane sertifikaaditaotlus on nõuetekohane ja kehtiv, genereerib EA taotletud sertifikaadi.
(133)Kui sertifikaaditaotlus on kehtetu, keeldub EA sellest ja põhjendab oma vastuses keeldumist vastavalt viitedokumendile [1]. Kui C-ITSi jaam soovib ikkagi ECd, esitab ta uue sertifikaaditaotluse. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
4.2.2.5.AT heakskiitmine või tagasilükkamine
(134)Sertifikaaditaotlust kontrollib EA. AA loob taotluse valideerimiseks side EAga (voog 25). EA autendib taotluse esitanud C-ITSi jaama ja kontrollib, kas tal on CP järgi õigus saada taotletud AT (nt kontrollides tühistamisstaatust ja valideerides sertifikaadi kehtivusaja/piirkonna, load, usaldustaseme jne). EA saadab valideerimisvastuse (voog 23) ja kui vastus on positiivne, genereerib AA taotletud sertifikaadi ja edastab selle C-ITSi jaamale. Kui AT taotlus ei ole nõuetekohane või EA valideerimisvastus on negatiivne, lükkab AA taotluse tagasi. Kui C-ITSi jaam vajab ikkagi ATd, esitab ta uue volitustaotluse.
4.2.3.Sertifikaaditaotluse töötlemise aeg
4.2.3.1.Juur-CA sertifikaaditaotlus
(135)Sertifikaaditaotluse identifitseerimiseks ja autentimiseks on aega tööpäev ning selle aja suhtes kohaldatakse juur-CA CPSis sätestatud maksimaalset tähtaega.
4.2.3.2.TLMi sertifikaaditaotlus
(136)TLMi sertifikaaditaotluse menetlemisel kohaldatakse TLMi CPSis sätestatud maksimaalset tähtaega.
4.2.3.3.EA ja AA sertifikaaditaotlus
(137)Sertifikaaditaotluse identifitseerimiseks ja autentimiseks on aega tööpäev kooskõlas liikmesriigi/eraorganisatsiooni juur-CA ja all-CA vahelise kokkuleppe ja lepinguga. All-CA sertifikaaditaotluste menetlemisel kohaldatakse all-CA CPSis sätestatud maksimaalset tähtaega.
4.2.3.4.EC taotlus
(138)EC taotluste menetlemisel kohaldatakse EA CPSis sätestatud maksimaalset tähtaega.
4.2.3.5.AT taotlus
(139)AT taotluste menetlemisel kohaldatakse AA CPSis sätestatud maksimaalset tähtaega.
4.3.Sertifikaadi väljastamine
4.3.1.CA tegevus sertifikaadi väljastamise ajal
4.3.1.1.Juur-CA sertifikaadi väljastamine
(140)Juur-CAd väljastavad oma endasigneeritud juur-CA sertifikaate, lingisertifikaate, all-CA sertifikaate ja CRLe.
(141)Pärast CPA heakskiitu (voog 4) saadab juur-CA oma sertifikaadi CPOC kaudu TLMile, et see lisataks ECTLi (vood 11 ja 8) (vt punkt 4.1.2.1). TLM kontrollib, kas CPA on sertifikaadi heaks kiitnud (voog 1).
4.3.1.2.TLMi sertifikaadi väljastamine
(142)TLM väljastab oma endasigneeritud TLMi ja lingisertifikaadi ning saadab selle CPOC-le (voog 6).
4.3.1.3.EA ja AA sertifikaadi väljastamine
(143)All-CA-d genereerivad allkirjastatud sertifikaaditaotluse ja edastavad selle vastavale juur-CA-le (vood 21 ja 24). Juur-CA kontrollib taotlust ja väljastab sertifikaadi taotluse esitanud all-CA-le vastavalt viitedokumendile [5] nii kiiresti kui võimalik, nagu on sätestatud CPSis harilike tegevustavade kohta, kuid mitte hiljem kui viis tööpäeva pärast taotluse saamist.
(144)Juur-CA ajakohastab hoidlat, mis sisaldab all-CAde sertifikaate.
4.3.1.4.EC väljastamine
(145)C-ITSi jaam saadab EC taotluse EA-le vastavalt viitedokumendile [1]. EA autendib ja kontrollib, et sertifikaaditaotluses esitatud teave kehtib C-ITSi jaama kohta. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(146)Valideerimise positiivse tulemuse korral väljastab EA sertifikaadi vastavalt C-ITSi jaama registreerimisele (vt punkt 4.2.1.4) ja saadab selle C-ITSi jaamale, kasutades EC vastussõnumit vastavalt viitedokumendile [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(147)Kui registreerimist ei toimu, genereerib EA veakoodi ja saadab selle C-ITSi jaamale, kasutades EC vastussõnumit vastavalt viitedokumendile [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(148)EC taotlused ja vastused krüpteeritakse konfidentsiaalsuse tagamiseks ning allkirjastatakse autentimise ja tervikluse tagamiseks.
4.3.1.5.AT väljastamine
(149)C-ITSi jaam saadab AT taotlussõnumi AA-le vastavalt viitedokumendile [1]. AA saadab AT valideerimistaotluse EA-le vastavalt viitedokumendile [1]. EA saadab AT valideerimisvastuse AA-le. Positiivse vastuse korral genereerib AA AT ja saadab selle C-ITSi jaamale, kasutades AT vastussõnumit vastavalt viitedokumendile [1]. Negatiivse vastuse korral genereerib AA veakoodi ja saadab selle C-ITSi jaamale, kasutades AT vastussõnumit vastavalt viitedokumendile [1]. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(150)AT taotlused ja vastused krüpteeritakse (vajalik ainult mobiilsete C-ITSi jaamade puhul) konfidentsiaalsuse tagamiseks ning allkirjastatakse autentimise ja tervikluse tagamiseks.
4.3.2.CA teade abonendile sertifikaatide väljastamise kohta
Ei kohaldata.
4.4.Sertifikaadi heakskiitmine
4.4.1.Sertifikaadi heakskiitmise läbiviimine
4.4.1.1.Juur-CA
Ei kohaldata.
4.4.1.2.TLM
Ei kohaldata.
4.4.1.3.EA ja AA
(151)EA/AA kontrollib sertifikaadi liiki, allkirja ja saadud sertifikaadis sisalduvat teavet. EA/AA jätab kõrvale kõik EA/AA sertifikaadid, mida ei ole nõuetekohaselt kontrollitud, ja esitab uue taotluse.
4.4.1.4.C-ITSi jaam
(152)C-ITSi jaam kontrollib EA-lt/AA-lt saadud EC/AT vastust oma algse taotluse suhtes, sh allkirja ja sertifikaadiahelat. Ta jätab kõrvale kõik EC/AT vastused, mida ei ole nõuetekohaselt kontrollitud. Sel juhul peaks ta saatma uue EC/AT taotluse.
4.4.2.Sertifikaadi avaldamine
(153)TLMi sertifikaadid ja nende lingisertifikaadid tehakse kõikidele osalejatele CPOC kaudu kättesaadavaks.
(154)CPOC avaldab juur-CA sertifikaadid ECTLi kaudu, mille allkirjastab TLM.
(155)All-CAde (EAde ja AAde) sertifikaadid avaldab juur-CA.
(156)ECsid ja ATsid ei avaldata.
4.4.3.Sertifikaadi väljastamisest teatamine
Väljastamisteateid ei ole.
4.5.Võtmepaari ja sertifikaadi kasutamine
4.5.1.Privaatvõtme ja sertifikaadi kasutamine
4.5.1.1.Privaatvõtme ja sertifikaadi kasutamine TLMi puhul
(157)TLM kasutab oma privaatvõtmeid enda (TLMi ja lingi-)sertifikaatide ja ECTLi allkirjastamiseks.
(158)TLMi sertifikaati kasutavad PKI osalejad ECTLi kontrollimiseks ja TLMi autentimiseks.
4.5.1.2.Privaatvõtme ja sertifikaatide kasutamine juur-CA puhul
(159)Juur-CAd kasutavad oma privaatvõtmeid enda sertifikaatide, CRLi, lingisertifikaatide ja EA/AA sertifikaatide allkirjastamiseks.
(160)PKI osalejad kasutavad juur-CA sertifikaate, et kontrollida seotud AA ja EA sertifikaate, lingisertifikaate ja CRLe.
4.5.1.3.Privaatvõtme ja sertifikaadi kasutamine EAde ja AAde puhul
(161)EAd kasutavad oma privaatvõtmeid ECde allkirjastamiseks ja liikmestustaotluste dekrüpteerimiseks.
(162)EA sertifikaate kasutatakse selleks, et kontrollida seotud ECsid ning EC ja AT taotluste krüpteerimiseks EEde poolt, nagu on määratletud viitedokumendis [1].
(163)AAd kasutavad oma privaatvõtmeid ATde allkirjastamiseks ja AT taotluste dekrüpteerimiseks.
(164)EEd kasutavad AA sertifikaate seotud ATde kontrollimiseks ja AT taotluse krüpteerimiseks, nagu on määratletud viitedokumendis [1].
4.5.1.4.Privaatvõtme ja sertifikaadi kasutamine lõppüksuse puhul
(165)EEd kasutavad kehtivale EC-le vastavat privaatvõtit, et allkirjastada uus liikmestustaotlus, nagu on määratletud viitedokumendis [1]. Uut privaatvõtit kasutatakse siseallkirja loomiseks taotluses, et tõendada EC uuele avalikule võtmele vastava privaatvõtme omamist.
(166)EEd kasutavad kehtivale EC-le vastavat privaatvõtit, et allkirjastada volitustaotlus, nagu on määratletud viitedokumendis [1]. Uuele AT-le vastavat privaatvõtit tuleks kasutada siseallkirja loomiseks taotluses, et tõestada uuele AT avalikule võtmele vastava privaatvõtme omamist.
(167)EE kasutab asjakohasele AT-le vastavat privaatvõtit C-ITSi sõnumite allkirjastamiseks, nagu on määratletud viitedokumendis [5].
4.5.2.Tugineva isiku avaliku võtme ja sertifikaadi kasutamine
(168)Tuginevad isikud kasutavad usaldusväärset sertifitseerimisteed ja sellega seotud avalikke võtmeid sertifikaatides osutatud eesmärkidel ning selleks, et autentida ECde ja ATde usaldusväärset ühist identiteeti.
(169)Juur-CA, EA ja AA sertifikaate, ECsid ega ATsid ei tohi kasutada ilma tugineva isiku eelkontrollita.
4.6.Sertifikaadi uuendamine
Ei ole lubatud.
4.7.Sertifikaadi võtmeuuendus
4.7.1.Sertifikaadi võtmeuuenduse asjaolud
(170)Sertifikaadi võtmeuuendust töödeldakse juhul, kui sertifikaadi kasutusaeg lõpeb või kui privaatvõtme kasutusaeg lõpeb, kuid usaldussuhe CAga on endiselt olemas. Igal juhul genereeritakse ja väljastatakse uus võtmepaar ja vastav sertifikaat.
4.7.2.Kes võib taotleda võtmeuuendust
4.7.2.1.Juur-CA
(171)Juur-CA ei taotle võtmeuuendust. Võtmeuuendus on juur-CA siseprotsess, sest tema sertifikaat on endasigneeritud. Juur-CA teostab võtmeuuenduse kas lingisertifikaatide või uue väljastamisega (vt punkt 4.3.1.1).
4.7.2.2.TLM
(172)TLM ei taotle võtmeuuendust. Võtmeuuendus on TLMi siseprotsess, sest TLMi sertifikaat on endasigneeritud.
4.7.2.3.EA ja AA
(173)All-CA sertifikaaditaotlus tuleb esitada õigeaegselt, et uus all-CA sertifikaat ja toimiv all-CA võtmepaar oleks enne all-CA kehtiva privaatvõtme aegumist kindlasti olemas. Esitamiskuupäeva puhul tuleb arvesse võtta ka heakskiitmiseks vajaminevat aega.
4.7.2.4.C-ITSi jaam
Ei kohaldata.
4.7.3.Võtmeuuendusprotsess
4.7.3.1.TLMi sertifikaat
(174)TLM otsustab võtmeuuenduse üle punktide 6.1 ja 7.2 nõuete alusel. Üksikasjalik protsess on sätestatud tema CPSis.
(175)TLM teostab võtmeuuenduse õigel ajal, et võimaldada uue TLMi sertifikaadi ja lingisertifikaadi jaotamist kõigile osalejatele enne kehtiva TLMi sertifikaadi aegumist.
(176)TLM kasutab lingisertifikaate võtmeuuenduseks ja uue endasigneeritud sertifikaadi usaldussuhte tagamiseks. Genereeritud uus TLMi sertifikaat ja lingisertifikaat edastatakse CPOC-le.
4.7.3.2.Juur-CA sertifikaat
(177)Juur-CA otsustab võtmeuuenduse üle punktide 6.1.5 ja 7.2 nõuete alusel. Üksikasjalik protsess peaks olema sätestatud tema CPSis.
(178)Juur-CA teostab võtmeuuenduse õigel ajal (enne juur-CA sertifikaadi aegumist), et võimaldada uue sertifikaadi lisamist ECTLi enne juur-CA sertifikaadi kehtima hakkamist (vt punkt 5.6.2). Võtmeuuendus toimub lingisertifikaatide kaudu või sarnaselt esmasele taotlusele.
4.7.3.3.EA ja AA sertifikaadid
(179)EA või AA taotleb uut sertifikaati järgmiselt:
Etapp
|
Tähis
|
Võtmeuuendustaotlus
|
1.
|
Võtmepaari genereerimine
|
All-CAd (EAd ja AAd) genereerivad uued võtmepaarid vastavalt punktile 6.1.
|
2.
|
Sertifikaaditaotluse genereerimine ja siseallkiri
|
All-CA genereerib sertifikaaditaotluse äsja genereeritud avalikust võtmest, võttes arvesse punkti 3 nimekava (subject_info), allkirja algoritmi, teenusepõhiseid lubasid (Service Specific Permissions, SSP) ja võimalikku lisaparameetrit, ning genereerib siseallkirja koos vastava uue privaatvõtmega. Kui on vaja krüptovõtit, peab all-CA tõendama ka vastava dekrüpteerimise privaatvõtme omamist.
|
3.
|
Välisallkirja genereerimine
|
Kogu taotlus allkirjastatakse parajasti kehtiva privaatvõtmega, et tagada allkirjastatud taotluse autentsus.
|
4.
|
Taotluse saatmine juur-CA-le
|
Allkirjastatud taotlus esitatakse vastavale juur-CA-le.
|
5.
|
Taotluse kontrollimine
|
Vastav juur-CA kontrollib taotluse terviklust ja autentsust. Kõigepealt kontrollib ta välisallkirja. Kui kontrolli tulemus on positiivne, kontrollib ta siseallkirja. Kui on esitatud tõendid dekrüpteerimise privaatvõtme omamise kohta, kontrollib ta ka neid tõendeid.
|
6.
|
Taotluse heakskiitmine või tagasilükkamine
|
Kui kõiki kontrollide tulemus on positiivne, kiidab juur-CA taotluse heaks, vastasel juhul lükkab ta selle tagasi.
|
7.
|
Sertifikaadi genereerimine ja väljastamine
|
Juur-CA genereerib uue sertifikaadi ja jaotab selle taotlevale all-CA-le.
|
8.
|
Vastuse saatmine
|
All-CA saadab juur-CA-le olekusõnumi (selle kohta, kas sertifikaat saadi või mitte).
|
Tabel 3. EAde ja AAde võtmeuuendusprotsess
(180)All-CAde automaatse võtmeuuenduse ajal tagab juur-CA, et taotleja valduses on tõepoolest privaatvõti. Kohaldatakse asjakohaseid protokolle dekrüpteerimise privaatvõtme omamise tõendamiseks, näiteks vastavalt RFC 4210-le ja 4211-le. Privaat-allkirjavõtmete puhul tuleks kasutada siseallkirja.
4.7.3.4.C-ITSi jaama sertifikaadid
Ei kohaldata AT suhtes.
4.8.Sertifikaadi muutmine
Ei ole lubatud.
4.9.Sertifikaadi tühistamine ja peatamine
Vt punkt 7.
4.10.Sertifikaadi oleku teenused
4.10.1.Kasutusnäitajad
Ei kohaldata
4.10.2.Teenuse kättesaadavus
Ei kohaldata
4.10.3.Vabatahtlikud tunnused
Ei kohaldata
4.11.Tellimuse lõppemine
Ei kohaldata
4.12.Võtmehoiustus ja -taaste
4.12.1.Abonent
4.12.1.1.Millist võtmepaari saab hoiustada
Ei kohaldata.
4.12.1.2.Kes saab esitada taastetaotluse
Ei kohaldata.
4.12.1.3.Taasteprotsess ja vastutus
Ei kohaldata.
4.12.1.4.Identifitseerimine ja autentimine
Ei kohaldata.
4.12.1.5.Taastetaotluste heakskiitmine või tagasilükkamine
Ei kohaldata.
4.12.1.6.KEA ja KRA toimingud võtmepaari taastamisel
Ei kohaldata.
4.12.1.7.KEA ja KRA kättesaadavus
Ei kohaldata.
4.12.2.Seansivõtme kapseldamine ning taastepoliitika ja tavad
Ei kohaldata.
5.Rajatis, juhtimine ja operatiivkontroll
(181)PKI koosneb juur-CAst, EAst/AAst, CPOCst ja TLMist, sh nende IKT komponentidest (nt võrgud ja serverid).
(182)Käesolevas punktis on PKI elemendi eest vastutav üksus identifitseeritud elemendi enda poolt. Teisisõnu on lause „CA vastutab auditi teostamise eest“ samaväärne lausega „CAd haldav üksus või personal vastutab auditi teostamise eest“.
(183)Mõiste „C-ITSi usaldusmudeli elemendid“ hõlmab juur-CAd, TLMi, EAd/AAd, CPOCd ja turvalist võrku.
5.1.Füüsiline kontroll
(184)Kõik C-ITSi usaldusmudeli toimingud viiakse läbi füüsiliselt kaitstud keskkonnas, mis aitab vältida, takistab ja tuvastab tundliku teabe ja süsteemide loata kasutamist, neile juurdepääsu või nende avalikustamist. C-ITSi usaldusmudeli elemendid kasutavad ISO 27001 ja ISO 27005 nõuetele vastavaid füüsilisi turvameetmeid.
(185)C-ITSi usaldusmudeli elemente haldavad üksused kirjeldavad oma CPSis füüsilist, menetluslikku ja personali turvakontrolli. Eelkõige sisaldab CPS teavet hoonete asukoha ja ehituse kohta ning nende füüsilise julgeoleku kontrolli kohta, mis tagab kontrollitud juurdepääsu kõigile C-ITSi usaldusmudeli üksuste rajatises kasutatavatele ruumidele.
5.1.1.Asukoht ja ehitus
5.1.1.1.Juur-CA, CPOC, TLM
(186)Juur-CA, CPOC ja TLMi seadmeid ja andmeid (HSM, aktiveerimisandmed, võtmepaaride varukoopia, arvuti, logi, võtmepaari genereerimise skript, sertifikaaditaotlus jne) majutava rajatise asukoht ja ehitus peavad olema kooskõlas väärtusliku ja tundliku teabe majutamiseks kasutatavatele rajatistele esitatavate nõuetega. Juur-CAd käitatakse spetsiaalses füüsilises piirkonnas, mis on eraldatud teiste PKI komponentide füüsilistest piirkondadest.
(187)Juur-CA, CPOC ja TLM rakendavad poliitikat ja menetlusi, et tagada kõrge turvalisustase füüsilises keskkonnas, kuhu on paigaldatud juur-CA seadmed, eesmärgiga tagada, et:
·see on eraldatud väljaspool usaldusmudelit asuvatest võrkudest;
·see on eraldatud mitmeks (vähemalt kaheks) kasvava turvalisusastmega füüsiliseks perimeetriks;
·tundlikke andmeid (HSM, võtmepaaride varukoopia, aktiveerimisandmed jne) säilitatakse spetsiaalses seifis, mis asub spetsiaalses füüsilises piirkonnas mitmekordse juurdepääsukontrolli all.
(188)Kasutatavad turvameetodid peavad olema kavandatud vastu pidama suurele hulgale erinevatele rünnakuvormidele. Kasutatavad mehhanismid hõlmavad vähemalt järgmist:
·perimeetrialarmid, videovalvesüsteem, tugevdatud seinad ja liikumisandurid;
·iga isiku kaksikautentimine (nt kiipkaart ja PIN-kood) ning läbipääsukaart, et juur-CA hoonetesse ja füüsilisse turvapiirkonda siseneda ja sealt lahkuda.
(189)Juur-CA, CPOC ja TLM kasutavad volitatud personali, et pidevalt jälgida seadmeid majutavat rajatist (24 tundi päevas, 7 päeva nädalas ja 365 päeva aastas). Tegevuskeskkonda (nt füüsilist rajatist) ei jäeta kunagi järelevalveta. Tegevuskeskkonna personalil ei ole kunagi juurdepääsu juur-CAde või all-CAde turvaaladele, kui selleks ei ole luba antud.
5.1.1.2.EA/AA
(190)Kohaldatakse punkti 5.1.1.1 sätteid.
5.1.2.Füüsiline juurdepääs
5.1.2.1.Juur-CA, CPOC, TLM
(191)Seadmeid ja andmeid (HSM, aktiveerimisandmed, võtmepaari varukoopia, arvuti, logi, võtmepaari genereerimise skript, sertifikaaditaotlus jne) kaitstakse alati loata juurdepääsu eest. Seadmete füüsilised turvamehhanismid teevad vähemalt järgmist:
·jälgivad igal ajal kas manuaalselt või elektrooniliselt loata sissetungimist;
·tagavad, et riistvarale ja aktiveerimisandmetele ei ole loata juurdepääsu;
·tagavad, et kõik tundlikku lihttekstis teavet sisaldavad irdkandjad ja paberid on hoiustatud turvalises konteineris;
·tagavad, et ühtegi isikut, kes siseneb turvapiirkonda ja kellel ei ole alalist luba, ei jäeta juur-CA, CPOC ja TLMi rajatiste volitatud töötaja järelevalveta;
·tagavad, et peetakse juurdepääsulogi, mida kontrollitakse korrapäraselt;
·tagavad vähemalt kaks kasvavat turvalisusastet, näiteks perimeetri, hoone ja operatiivruumi tasand;
·nõuavad krüptograafilise HSMi ja aktiveerimisandmete jaoks kahte usaldatud rolli füüsilise juurdepääsu kontrolli.
(192)Kui seadmeid majutav rajatis jäetakse järelevalveta, tuleb läbi viia selle turvakontroll. Kontrolli käigus kontrollitakse vähemalt, kas:
·seadmed on seisundis, mis on sobiv hetketöörežiimi jaoks;
·kõik võrguühenduseta seadmed on välja lülitatud;
·kõik turvakonteinerid (avamiskindel ümbrik, seif jne) on nõuetekohaselt suletud;
·füüsilised turvasüsteemid (nt ukselukud, ventilatsiooniavade katted, elekter) toimivad nõuetekohaselt;
·ala on kaitstud loata juurdepääsu eest.
(193)Teisaldatavad krüptomoodulid desaktiveeritakse enne säilitamist. Kui neid mooduleid ei kasutata, paigutatakse need ja neile juurdepääsuks või nende aktiveerimiseks kasutatavad andmed seifi. Aktiveerimisandmed tuleb kas meelde jätta või salvestada ja säilitada viisil, mis vastab krüptomooduli turvatasemele. Neid ei tohi säilitada koos krüptomooduliga, et vältida ainult ühe isiku juurdepääsu privaatvõtmele.
(194)Sellise kontrolli teostamise eest tehakse selgesõnaliselt vastutavaks usaldusrolli kandev isik või rühm. Kui vastutav on inimeste rühm, peetakse logi, milles on märgitud iga kontrolli teostav isik. Kui rajatises ei viibita pidevalt, peab viimane lahkuv isik parafeerima väljalogimislehe, kus on kuupäev ja kellaaeg ning mis kinnitab, et kõik vajalikud füüsilise kaitse mehhanismid on paigas ja aktiveeritud.
5.1.2.2.EA/AA
(195)Kohaldatakse punkti 5.1.2.1 sätteid.
5.1.3.Elekter ja kliimaseade
(196)C-ITSi usaldusmudeli elementide (juur-CA, CPOC, TLM, EA ja AA) turvalised rajatised peavad olema varustatud usaldusväärse elektritoitega, et tagada nende elementide tõrgeteta või ainult pisitõrgetega talitlus. Välise voolukatkestuse jaoks on vaja esmaseid ja varupaigaldisi ning C-ITS usaldusmudeli seadmed peavad voolukatkestuse puhul sujuvalt välja lülituma. C-ITSi usaldusmudeli rajatised peavad olema varustatud kütte-, ventilatsiooni- ja õhu konditsioneerimise süsteemidega, et hoida C-ITSi usaldusmudeli seadmete temperatuur ja suhteline niiskus tööks sobivas vahemikus. C-ITSi usaldusmudeli elemendi CPSis kirjeldatakse üksikasjalikult selliste nõuete rakendamise kava ja protsesse.
5.1.4.Kokkupuude veega
(197)C-ITSi usaldusmudeli elementide (juur-CA, CPOC, TLM, EA ja AA) turvalisi rajatisi tuleks kaitsta viisil, mis minimeerib veega kokkupuute mõju. Sel põhjusel välditakse vee- ja heitveetorusid. C-ITSi usaldusmudeli elemendi CPSis kirjeldatakse üksikasjalikult selliste nõuete rakendamise kava ja protsesse.
5.1.5.Tuleennetus ja -kaitse
(198)Et vältida kahjustavat kokkupuudet tule või suitsuga, ehitatakse ja varustatakse C-ITSi usaldusmudeli elementide (juur-CA, CPOC, TLM, EA ja AA) turvalised rajatised vastavalt ning rakendatakse tuleohu kõrvaldamise menetlusi. Andmekandjad peavad olema tuleohu eest kaitstud sobivates konteinerites.
(199)C-ITSi usaldusmudeli elemendid kaitsevad füüsilisi andmekandjaid, kuhu on talletatud kriitilise tähtsusega süsteemiandmete varukoopiad või muu tundlik teave, keskkonnaohtude eest ning selliste andmekandjate loata kasutamise, neile loata juurdepääsu ja andmete avalikustamise eest. C-ITSi usaldusmudeli elemendi CPSis kirjeldatakse üksikasjalikult selliste nõuete rakendamise kava ja protsesse.
5.1.6.Andmekandjate haldamine
(200)C-ITSi usaldusmudeli elementides (juur-CA, CPOC, TLM, EA ja AA) kasutatud andmekandjaid käideldakse turvaliselt, et kaitsta neid kahjustuste, varguse ja loata juurdepääsu eest. Et kaitsta andmekandjaid iganemise ja riknemise eest perioodil, mille kohta tuleb andmeid säilitada, rakendatakse andmekandjate haldamise korda.
(201)Tundlikke andmeid kaitstakse juurdepääsu eest salvestusobjektide taaskasutamise tagajärjel (nt kustutatud failid), mis võib muuta tundlikud andmed loata kasutajatele kättesaadavaks.
(202)Säilitatakse kogu teabevara loetelu ja sellise vara kaitseks kehtestatakse nõuded, mis on kooskõlas riskianalüüsiga. C-ITSi usaldusmudeli elemendi CPSis kirjeldatakse üksikasjalikult selliste nõuete rakendamise kava ja protsesse.
5.1.7.Jäätmete kõrvaldamine
(203)C-ITSi usaldusmudeli elemendid (juur-CA, CPOC, TLM, EA ja AA) rakendavad korda jäätmete (paberi, andmekandjate või muude jäätmete) turvaliseks ja pöördumatuks kõrvaldamiseks, et vältida konfidentsiaalset ja erateavet sisaldavate jäätmete loata kasutamist, neile juurdepääsu ja nende avalikustamist. Kõik tundliku teabe (nt võtmed, aktiveerimisandmed või failid) salvestamiseks kasutatavad andmekandjad hävitatakse enne jäätmetena kõrvaldamist. C-ITSi usaldusmudeli elemendi CPSis kirjeldatakse üksikasjalikult selliste nõuete rakendamise kava ja protsesse.
5.1.8.Asukohaväline varundus
5.1.8.1.Juur-CA, CPOC ja TLM
(204)Juur-CA, CPOC ja TLMi komponentide täielikud varukoopiad, mis on piisavad süsteemirikkest taastumiseks, tehakse võrguühenduseta režiimis pärast juur-CA, CPOC ja TLMi juurutamist ning pärast iga uue võtmepaari genereerimist. Olulise äriteabe (võtmepaar ja CRL) ja tarkvara varukoopiaid tehakse korrapäraselt. Pakutakse piisavaid varuseadmeid, et tagada kogu olulise äriteabe ja tarkvara taastamine pärast õnnetusjuhtumit või andmekandja riket. Üksikute süsteemide varundamise korda kontrollitakse korrapäraselt, et tagada selle vastavus talitluspidevuse plaani nõuetele. Vähemalt ühte täielikku varukoopiat säilitatakse väljaspool asukohta (avariitaaste). Varukoopiat säilitatakse kohas, kus füüsilised ja menetluslikud kontrollid vastavad toimiva PKI süsteemi kontrollidele.
(205)Varundatud andmete suhtes kehtivad samad juurdepääsunõuded nagu tööandmete suhtes. Varundatud andmed krüpteeritakse ja neid säilitatakse väljaspool asukohta. Täieliku andmekao korral taastatakse juur-CA, CPOC ja TLMi uuesti kasutusele võtmiseks vajalik teave täielikult varundatud andmetest.
(206)Juur-CA, CPOC ja TLMi privaatvõtmematerjali ei varundata standardsete varundamismehhanismide abil, vaid krüptomooduli varundusfunktsiooni abil.
5.1.8.2.EA/AA
(207)Käesoleva punkti suhtes kohaldatakse punktis 5.1.8.1 kirjeldatud protsesse.
5.2.Menetluslikud kontrollid
Käesolevas punktis kirjeldatakse töötajate rollide, kohustuste ja identifitseerimise nõudeid.
5.2.1.Usaldusrollid
(208)Usaldusrollidesse määratud töötajaid, töövõtjaid ja konsultante loetakse „usaldusisikuteks“. Isikud, kes soovivad saada usaldusisikuks, et saada endale usalduspositsiooni, peavad vastama käesoleva sertifitseerimispoliitika sõelumisnõuetele.
(209)Usaldusisikutel on juurdepääs autentimisele või krüptograafilistele toimingutele (või kontroll nende üle), mis võivad oluliselt mõjutada järgmist:
·sertifikaaditaotlustes esitatud teabe valideerimine;
·sertifikaadi-, tühistamis- või uuendamistaotluste heakskiitmine, tagasilükkamine või muu töötlemine;
·sertifikaatide väljastamine või tühistamine, sh töötajad, kellel on juurdepääs hoidla piiratud osadele, või abonenditeabe või -taotluste menetlemine.
(210)Usaldusrollide hulka kuuluvad (loetelu ei ole ammendav):
·klienditeenindus;
·süsteemihaldus;
·määratud projekteerimine;
·juhtivtöötajad, kelle ülesandeks on taristu usaldusväärsuse haldamine.
(211)CA esitab oma CPSis selged kirjeldused kõigi usaldusrollide kohta.
5.2.2.Ülesande kohta nõutav isikute arv
(212)C-ITSi usaldusmudeli elemendid kehtestavad, säilitavad ja jõustavad ranged kontrollimenetlused, et tagada usaldusrollidel põhinevate ülesannete lahusus ning tagada, et tundlike ülesannete täitmiseks on vaja mitut usaldusisikut. C-ITSi usaldusmudeli elemendid (juur-CA, CPOC, TLM, EA ja AA) peaksid järgima viitedokumendi [4] ja järgmiste lõikude nõudeid.
(213)On kehtestatud poliitika ja kontrollimenetlused, et tagada ülesannete lahusus töökohustuste alusel. Kõige tundlikumad ülesanded, nagu juurdepääs CA krüptograafilisele riistvarale (HSM) ja sellega seotud võtmematerjalile ja nende haldamine, peavad nõudma mitme usaldusisiku luba.
(214)Need sisekontrollimenetlused peavad tagama, et vähemalt kahel usaldusisikul peab olema seadmele füüsiline või loogiline juurdepääs. CA krüptograafilisele riistvarale juurdepääsu piirangud peavad olema rangelt jõustatud mitme usaldusisiku poolt kogu selle elutsükli jooksul alates vastuvõtmisest ja kontrollimisest kuni lõpliku loogilise ja/või füüsilise hävitamiseni. Kui moodul on töövõtmetega aktiveeritav, käivitatakse täiendavad juurdepääsukontrolli elemendid, et säilitada jagatud kontroll nii füüsilise kui ka loogilise juurdepääsu üle seadmele.
5.2.3.Identifitseerimine ja autentimine iga rolli puhul
(215)Kõik isikud, kellele on antud käesolevas CPs kirjeldatud roll, identifitseeritakse ja autenditakse selle tagamiseks, et see roll võimaldaks neil täita oma PKI kohustusi.
(216)C-ITSi usaldusmudeli elemendid kontrollivad ja kinnitavad kõigi usaldusisikuteks saada soovivate töötajate isikut ja volitusi, enne kui neile:
·väljastatakse juurdepääsuseadmed ja võimaldatakse juurdepääs rajatistele;
·antakse elektrooniline mandaat CA süsteemidele juurdepääsuks ja konkreetsete ülesannete täitmiseks.
(217)CPS kirjeldab üksikisikute identifitseerimiseks ja autentimiseks kasutatavaid mehhanisme.
5.2.4.Ülesannete lahusust nõudvad rollid
(218)Ülesannete lahusust nõudvate rollide hulka kuuluvad (loetelu ei ole ammendav):
·CA sertifikaaditaotluste heakskiitmine, tagasilükkamine ja tühistamine ning muu töötlemine;
·CA sertifikaadi genereerimine, väljastamine ja hävitamine.
(219)Ülesannete lahusust võib jõustada PKI seadmete või menetluste või mõlema abil. Ühelegi isikule ei määrata rohkem kui ühte identiteeti, välja arvatud juhul, kui juur-CA on selle heaks kiitnud.
(220)Sertifikaadi genereerimise ja tühistamise haldamisega seotud juur-CA ja CA osa peab olema teistest organisatsioonidest sõltumatu, kui ta teeb otsuseid, mis on seotud teenuste loomise, ettevalmistamise, säilitamise ja peatamisega kooskõlas kohaldatava sertifitseerimispoliitikaga. Eelkõige peavad tema kõrgem juhtivtöötaja, kõrgemad ametnikud ja usaldusrolle täitvad töötajad olema vabad igasugusest ärilisest, rahalisest ja muust survest, mis võiks kahjustada usaldust pakutavate teenuste vastu.
(221)Mobiilseid C-ITSi jaamu teenindavad EA ja AA on eraldiseisvad operatiivüksused, millel on eraldi IT-taristu ja IT juhtrühmad. Vastavalt GDPRile ei vaheta EA ja AA isikuandmeid, välja arvatud AT taotluste volitamiseks. Nad edastavad AT taotluste heakskiitmisega seotud andmeid ainult spetsiaalse turvalise liidese kaudu viitedokumendi [1] kohase volituse valideerimise protokolli abil. Tingimusel, et viitedokumenti [1] on rakendatud, võib kasutada ka muid protokolle.
(222)EA ja AA salvestatud logifaile võib kasutada ainult selleks, et tühistada valesti käituvad ECd, mis põhinevad ATdel, mis on kinni püütud pahatahtlikes CAMi/DENMi sõnumites. Pärast seda, kui CAMi/DENMi sõnum on tunnistatud pahatahtlikuks, otsib AA oma väljastamislogidest üles AT verifitseerimisvõtme ja esitab EA-le tühistamistaotluse, mis sisaldab krüpteeritud allkirja EC privaatvõtme all, mida kasutati AT väljastamise ajal. Kõik logifailid peavad olema piisavalt kaitstud volitamata isikute juurdepääsu eest ning neid ei tohi jagada muude üksuste ega asutustega.
Märkus: CP käesoleva versiooni koostamise ajal ei ole valesti käituva funktsiooni ülesehitus määratletud. Valesti käituva funktsiooni ülesehitus võidakse määratleda edasistes poliitikaversioonides.
5.3.Töötajate kontroll
5.3.1.Kvalifikatsioon, kogemused ja loa andmise nõuded
(223)C-ITSi usaldusmudeli elementidel on piisav arv töötajaid, kellel on tööülesanneteks ja pakutavateks teenusteks vajalikud erialateadmised, kogemused ja kvalifikatsioon. PKI töötajad täidavad neid nõudeid ametliku koolituse ja mandaadi, tegeliku kogemuse või nende kahe kombinatsiooni kaudu. Usaldusrollid ja kohustused, nagu on täpsustatud CPSis, on dokumenteeritud töökirjeldustes ja selgelt määratletud. PKI töötajate allhankijate töökirjeldus tagab töökohustuste ja privileegide lahususe ning ametikoha tundlikkus määratakse kindlaks töökohustuste ja juurdepääsutasemete, taustakontrolli ning töötajate koolituse ja teadlikkuse alusel.
5.3.2.Taustakontrolli kord
(224)C-ITSi usaldusmudeli elemendid viivad läbi taustakontrolli töötajatele, kes soovivad saada usaldusisikuks. Usaldusrolle täitvate töötajate taustakontrolli korratakse vähemalt iga viie aasta järel.
(225)Taustakontrollis ilmnenud tegurid, mida võib pidada usaldusisiku kandidaadi tagasilükkamise või olemasoleva usaldusisiku vastu meetmete võtmise aluseks, on muu hulgas järgmised (loetelu ei ole ammendav):
·kandidaadi või usaldusisiku esitatud ebaõiged andmed;
·väga ebasoodsad või ebausaldusväärsed töökogemust tõendavad dokumendid;
·teatavad süüdimõistvad kohtuotsused;
·märgid finantsvastutuse puudumise kohta.
(226)Sellist teavet sisaldavaid aruandeid hindavad personaliosakonna töötajad, kes võtavad mõistlikke meetmeid taustakontrolliga hõlmamata käitumise laadi, ulatust ja sagedust silmas pidades. Need meetmed võivad hõlmata samme kuni usaldusisiku kandidaatidele tehtud tööpakkumiste tühistamise või olemasolevate usaldusisikute töösuhte lõpetamiseni. Taustakontrolli käigus ilmnenud teabe kasutamise suhtes selliste meetmete alusena kohaldatakse kohaldatavat õigust.
(227)Usaldusisikuks saada soovivate isikute tausta uurimine hõlmab muu hulgas järgmist:
·eelmise töökoha kinnitus;
·vähemalt viie aasta töökogemust tõendavate dokumentide kontroll;
·kinnitus kõige kõrgema või asjakohasema omandatud haridustaseme kohta;
·karistusregistri andmete otsing.
5.3.3.Koolitusnõuded
(228)C-ITSi usaldusmudeli elemendid korraldavad oma töötajatele vajaliku koolituse, et viimased saaksid täita oma kohustusi seoses CA toimingutega pädevalt ja rahuldavalt.
(229)Koolitusprogrammid vaadatakse korrapäraselt läbi ja koolitused käsitlevad küsimusi, mis on olulised nende töötajate poolt täidetavate ülesannete seisukohast.
(230)Koolitusprogrammides käsitletakse koolitatava isiku konkreetse keskkonnaga seotud küsimusi, sh järgmisi:
·C-ITSi usaldusmudeli elementide turvapõhimõtted ja -mehhanismid;
·kasutusel olevad riist- ja tarkvaraversioonid;
·kõik ülesanded, mille täitmist isikult oodatakse, ning sisemised ja välised aruandlusprotsessid;
·PKI äriprotsessid ja töövood;
·intsidentide ja rikkumiste aruandlus ja käsitlemine;
·õnnetusest taastumise ja talitluspidevuse menetlused;
·piisavad IT-teadmised.
5.3.4.Ümberõppe sagedus ja nõuded
(231)Usaldusrollidesse määratud isikud peavad koolituskeskkonda kasutades pidevalt täiendama koolitusel saadud teadmisi. Koolitust tuleb korrata vajaduse korral ja vähemalt iga kahe aasta järel.
(232)C-ITSi usaldusmudeli elemendid tagavad oma töötajatele täienduskoolituse ja teadmiste ajakohastamise sellises ulatuses ja sellise sagedusega, mis on vajalik töökohustuste pädevaks ja rahuldavaks täitmiseks nõutava oskuste taseme säilitamiseks.
(233)Usaldusrollidesse määratud isikud peavad olema vastavalt vajadusele teadlikud PKI tegevuse muudatustest. Iga tegevuse olulise muudatusega peab kaasnema koolituskava (teadlikkuse kava) ning selle kava elluviimine dokumenteeritakse.
5.3.5.Töökohtade rotatsiooni sagedus ja järjekord
(234)Ei kohaldata, kuni on tagatud tehnilised oskused, kogemused ja juurdepääsuõigused. C-ITSi usaldusmudeli elementide haldajad tagavad, et töötajate koosseisu muutused ei mõjuta süsteemi turvalisust.
5.3.6.Sanktsioonid volitamata tegevuse eest
(235)Iga C-ITSi usaldusmudeli element peab välja töötama ametliku distsiplinaarmenetluse, et tagada volitamata tegevuse asjakohane sanktsioneerimine. Rasketel juhtudel tuleb rollimäärangud ja vastavad privileegid tühistada.
5.3.7.Sõltumatu töövõtja nõuded
(236)C-ITSi usaldusmudeli elemendid võivad lubada sõltumatutel töövõtjatel või konsultantidel saada usaldusisikuks ainult niivõrd, kuivõrd see on vajalik selgelt määratletud allhankelepingute sõlmimiseks, ning tingimusel, et üksus usaldab töövõtjaid või konsultante sellisel määral, nagu oleksid nad tema töötajad, ja nad vastavad töötajate suhtes kohaldatavatele nõuetele.
(237)Vastasel juhul on sõltumatutel töövõtjatel ja konsultantidel juurdepääs C-ITSi PKI turvalistele rajatistele ainult juhul, kui neid saadavad ja nende üle teostavad otsest järelevalvet usaldusisikud.
5.3.8.Töötajatele esitatavad dokumendid
(238)C-ITSi usaldusmudeli elemendid tagavad oma töötajatele vajaliku koolituse ja juurdepääsu dokumentidele, mida nad vajavad oma töökohustuste pädevaks ja rahuldavaks täitmiseks.
5.4.Auditilogimise kord
(239)Käesolevas punktis sätestatakse nõuded registreeritavate sündmuste liikide ja auditilogide haldamise kohta.
5.4.1.Sündmuste liigid, mille iga CA registreerib ja millest aru annab
(240)CA esindaja vaatab korrapäraselt läbi CA logid, sündmused ja menetlused.
(241)C-ITSi usaldusmudeli elemendid peavad registreerima järgmised auditisündmused (kui on kohaldatav):
·füüsiline juurdepääs rajatisele – füüsiliste isikute juurdepääs rajatistele registreeritakse juurdepääsutaotluste talletamisega kiipkaartide abil. Sündmus luuakse iga kord, kui luuakse kirje;
·usaldusrollide haldamine – registreeritakse kõik eri rollide määratlemise ja juurdepääsutasemete muutused, sh rollitunnuste muutused. Sündmus luuakse iga kord, kui luuakse kirje;
·loogiline juurdepääs – sündmus genereeritakse, kui üksusel (nt programmil) on juurdepääs tundlikele aladele (st võrkudele ja serveritele);
·varundushaldus – sündmus luuakse iga kord, kui varundamine on edukalt või edutult lõpule viidud;
·logihaldus – logid salvestatakse. Sündmus luuakse siis, kui logi ületab kindla suuruse;
·abonentide ja C-ITSi usaldusmudeli elementide autentimisprotsessi andmed – sündmused luuakse abonentide ja C-ITSi usaldusmudeli elementide autentimise iga taotluse kohta;
·sertifikaaditaotluste heakskiitmine ja tagasilükkamine, sh sertifikaatide genereerimine ja uuendamine – sündmus luuakse perioodiliselt koos viimase seitsme päeva jooksul aktsepteeritud ja tagasilükatud sertifikaaditaotluste loeteluga;
·tootja registreerimine – sündmus luuakse tootja registreerimisel;
·C-ITSi jaama registreerimine – sündmus luuakse C-ITSi jaama registreerimisel;
·HSMi haldus – sündmus luuakse HSMi turvarikkumise registreerimisel;
·IT ja võrguhaldus seoses PKI süsteemidega – sündmus luuakse siis, kui PKI server välja lülitatakse või taaskäivitatakse;
·turbehaldus (edukad ja edutud PKI süsteemile juurdepääsu katsed, teostatud PKI ja turvasüsteemi toimingud, turvaprofiili muudatused, süsteemi krahhid, riistvararikked ja muud anomaaliad, tulemüüri- ja ruuteritoimingud ning PKI rajatistesse sisenemised ja sealt väljumised);
·sündmusega seotud andmeid säilitatakse vähemalt viis aastat, välja arvatud juhul, kui kohaldatakse täiendavaid siseriiklikke eeskirju.
(242)Vastavalt GDPRile ei võimalda auditilogid juurdepääsu privaatsusega seotud andmetele C-ITSi jaama erasõidukite kohta.
(243)Võimaluse korral kogutakse turvaauditi logid automaatselt. Kui see ei ole võimalik, kasutatakse logiraamatut, pabervormi või muud füüsilist mehhanismi. Kõik turvaauditi logid, nii elektroonilised kui ka mitteelektroonilised, säilitatakse ja tehakse vastavusauditite käigus kättesaadavaks.
(244)Iga sertifikaadi elutsükliga seotud sündmus logitakse nii, et seda saab seostada selle sooritanud isikuga. Kõik isiku identiteediga seotud andmed on krüpteeritud ja kaitstud loata juurdepääsu eest.
(245)Iga auditikirje sisaldab vähemalt järgmist (salvestatakse automaatselt või käsitsi iga auditeeritava sündmuse kohta):
·sündmuse liik (vastavalt eespool esitatud loetelule);
·sündmuse toimumise usaldusväärne kuupäev ja kellaaeg;
·sündmuse tulemus – õnnestumine või ebaõnnestumine, kui on asjakohane;
·sündmuse põhjustanud üksuse ja/või käitaja identiteet, kui on asjakohane;
·üksuse nimi, kellele sündmus on adresseeritud.
5.4.2.Logi töötlemise sagedus
(246)Auditilogid vaadatakse läbi vastuseks hoiatustele, mis põhinevad eeskirjade eiramistel ja intsidentidel CA süsteemides, ning lisaks korrapäraselt igal aastal.
(247)Auditilogi töötlemine koosneb auditilogide ülevaatamisest ja kõikide oluliste sündmuste põhjuste dokumenteerimisest auditilogi kokkuvõttes. Auditilogi ülevaatamine sisaldab kontrollimist, et logi ei ole rikutud, kõikide logikirjete kontrollimist ning logides sisalduvate hoiatuste või eeskirjade eiramiste uurimist. Auditilogi ülevaatamise põhjal võetavad meetmed dokumenteeritakse.
(248)Auditilogi arhiveeritakse vähemalt kord nädalas. Administraator arhiveerib selle käsitsi, kui auditilogi vaba kettaruum on väiksem kui asjaomasel nädalal koostatud auditilogi andmete eeldatav maht.
5.4.3.Auditilogi säilitamise periood
(249)Sertifikaatide elutsükliga seotud logikirjeid säilitatakse vähemalt viis aastat pärast vastava sertifikaadi aegumist.
5.4.4.Auditilogi kaitse
(250)Auditilogi tervikluse ja konfidentsiaalsuse tagab rollipõhine juurdepääsukontrolli mehhanism. Sisemistele auditilogidele võivad juurde pääseda ainult administraatorid; sertifikaadi elutsükliga seotud auditilogidele võivad vastavate volitustega kasutajad juurde pääseda ka kasutaja sisselogimisega veebilehe kaudu. Juurdepääs tuleb anda mitme kasutajaga (vähemalt kahe kasutajaga) ja vähemalt kahetasandilise autentimisega. Peab olema tehniliselt tagatud, et kasutajad ei pääse juurde enda logifailidele.
(251)Iga logikirje allkirjastatakse HSMi võtmematerjali abil.
(252)Sündmuselogid, mis sisaldavad teavet, mis võib kaasa tuua isikutuvastuse (nt erasõiduk), krüpteeritakse nii, et neid saavad lugeda ainult volitatud isikud.
(253)Sündmused logitakse nii, et neid ei saa hõlpsasti kustutada ega hävitada (välja arvatud üleviimiseks pikaajalisele andmekandjale) ajavahemiku jooksul, mille jooksul logisid tuleb säilitada.
(254)Sündmuselogid on kaitstud nii, et need jäävad loetavaks nende säilitusperioodi jooksul.
5.4.5.Auditilogi varundamise kord
(255)Auditilogid ja kokkuvõtted varundatakse ettevõtte varundusmehhanismide abil volitatud usaldusrollide kontrolli all, eraldatuna nende komponendiallika genereerimisest. Auditilogi varukoopiaid kaitstakse sama usaldustasemega, mis kehtib originaallogide puhul.
5.4.6.Auditi kogumissüsteem (sisemine või väline)
(256)C-ITSi usaldusmudeli elementide seadmed aktiveerivad auditiprotsessid süsteemi käivitamisel ja desaktiveerivad need ainult süsteemi väljalülitamisel. Kui auditiprotsessid ei ole kättesaadavad, peatab C-ITSi usaldusmudeli element oma tegevuse.
(257)Iga tegevusperioodi lõpus ja sertifikaatide võtmeuuenduste ajal tuleks vastava PKI elemendi tegevjuhile ja juhtorganile seadmete üldisest seisundist aru anda.
5.4.7.Sündmust põhjustava subjekti teavitamine
(258)Kui auditi kogumissüsteem logib sündmuse, tagab see, et sündmus on seotud usaldusrolliga.
5.4.8.Nõrkuste hindamine
(259)C-ITSi usaldusmudeli elementides auditi läbiviimise eest vastutav roll ja PKI süsteemi toimingu teostamise eest vastutavad rollid selgitavad kõiki olulisi sündmusi auditilogi kokkuvõttes. Sellised ülevaated hõlmavad kontrollimist, et logi ei ole muudetud ning et auditiandmed ei ole katkenud ega kadunud, ning seejärel kõigi logikirjete lühidat ülevaatamist, uurides põhjalikumalt logides olevaid hoiatusi või eeskirjade eiramisi. Nende läbivaatamiste tulemusena võetud meetmed dokumenteeritakse.
(260)C-ITSi usaldusmudeli elemendid:
·rakendavad C-ITSi usaldusmudeli elementide kontrolli all organisatsioonilisi ja/või tehnilisi avastus- ja ennetuskontrolle, et kaitsta PKI süsteeme viiruste ja pahavara eest;
·dokumenteerivad ja järgivad nõrkuse parandamise protsessi, mis hõlmab nõrkuste identifitseerimist ja läbivaatamist, neile reageerimist ja nende parandamist;
·läbivad või teostavad nõrkuste kontrolli:
·pärast kõiki süsteemi- või võrgumuudatusi, mida C-ITSi usaldusmudeli elemendid peavad PKI komponentide jaoks oluliseks, ning
·vähemalt kord kuus avalikel ja privaatsetele IP-aadressidel, mille CA ja CPOC on tuvastanud PKI süsteemidena,
·läbivad PKI süsteemide läbistustestimise vähemalt kord aastas ja pärast taristu või rakenduste uuendusi või muudatusi, mida C-ITSi usaldusmudeli elemendid peavad CA PKI komponendi jaoks oluliseks;
·internetipõhiste süsteemide puhul registreerivad tõendid selle kohta, et iga nõrkuste kontrolli ja läbistustestimise tegi isik või üksus (või nende rühm), kellel on sellised oskused, vahendid, pädevus, eetikakoodeks ja sõltumatus, mis on vajalikud usaldusväärse nõrkuste või läbistustesti tegemiseks;
·jälgivad ja parandavad nõrkusi kooskõlas ettevõtte küberturbepoliitika ja riskimaandamismetoodikaga.
5.5.Dokumentide arhiveerimine
5.5.1.Arhiveeritavad dokumendid
(261)C-ITSi usaldusmudeli elemendid arhiveerivad kirjed, mis on piisavalt üksikasjalikud, et teha kindlaks allkirja kehtivus ja PKI nõuetekohane toimimine. Arhiveeritakse vähemalt järgmised PKI sündmuste kirjed (kui on kohaldatav):
·C-ITSi usaldusmudeli elementide füüsilise juurdepääsu logi (vähemalt üks aasta);
·C-ITSi usaldusmudeli elementide usaldusrollide haldamise logi (vähemalt kümme aastat);
·C-ITSi usaldusmudeli elementide IT-juurdepääsu logi (vähemalt viis aastat);
·CA võtme loomise, kasutamise ja hävitamise logi (vähemalt viis aastat) (mitte TLMi ja CPOC puhul);
·sertifikaatide loomise, kasutamise ja hävitamise logi (vähemalt kaks aastat);
·CPA taotluste logi (vähemalt kaks aastat);
·C-ITSi usaldusmudeli elementide aktiveerimisandmete haldamise logi (vähemalt viis aastat);
·C-ITSi usaldusmudeli elementide IT- ja võrgulogi (vähemalt viis aastat);
·C-ITSi usaldusmudeli elementide PKI dokumendid (vähemalt viis aastat);
·C-ITSi usaldusmudeli elementide turvaintsidentide ja auditiaruanne (vähemalt kümme aastat);
·süsteemiseadmed, tarkvara ja konfiguratsioon (vähemalt viis aastat).
(262)C-ITSi usaldusmudeli elemendid säilitavad vähemalt seitsme aasta jooksul pärast mis tahes sellel dokumentatsioonil põhineva sertifikaadi kehtivuse lõppemist järgmised dokumendid, mis on seotud sertifikaaditaotluste ja nende kontrollimisega, ning kõik TLMi, juur-CA ja CA sertifikaadid ja nende CRLid:
·PKI auditidokumendid, mida hoiavad C-ITSi usaldusmudeli elemendid;
·CPSi dokumendid, mida hoiavad C-ITSi usaldusmudeli elemendid;
·leping CPA ja muude üksuste vahel, mida hoiavad C-ITSi usaldusmudeli elemendid;
·sertifikaadid (või muu tühistamisteave), mida hoiavad CA ja TLM;
·sertifikaaditaotluste kirjed juur-CA süsteemis (ei kohaldata TLMi suhtes);
·muud andmed või rakendused, mis on piisavad arhiivi sisu kontrollimiseks;
·kõik C-ITSi usaldusmudeli elementide ja vastavusaudiitoritega seotud või neilt saadud tööd.
(263)CA üksus säilitab vähemalt seitsme aasta jooksul pärast mis tahes sellel dokumentatsioonil põhineva sertifikaadi kehtivuse lõppemist kõik dokumendid, mis on seotud sertifikaaditaotluste ja nende kontrollimisega, ning kõik sertifikaadid ja nende tühistamised.
5.5.2.Arhiivi säilitamise periood
(264)Ilma et see piiraks pikemat arhiveerimisperioodi nõudvate eeskirjade kohaldamist, säilitavad C-ITSi usaldusmudeli elemendid kõik andmed vähemalt viis aastat pärast vastava sertifikaadi kehtivuse lõppemist.
5.5.3.Arhiivi kaitse
(265)C-ITSi usaldusmudeli elemendid säilitavad dokumentide arhiivi turvalises hoidlas, mis on eraldi CA seadmetest, kusjuures füüsilised ja menetluslikud turvakontrollid on samaväärsed PKI omadega või nendest paremad.
(266)Arhiivi kaitstakse volitamata vaatamise, muutmise, kustutamise või muu rikkumise eest, hoides seda usaldusväärses süsteemis.
(267)Andmekandjad, millel on arhiiviandmed, ja nende töötlemiseks vajalikud rakendused tuleb säilitada, et tagada neile juurdepääs käesolevas CPs sätestatud ajavahemikul.
5.5.4.Süsteemi arhiiv ja säilitamine
(268)C-ITSi usaldusmudeli elemendid sammvarundavad sellise teabe süsteemiarhiivid iga päev ja teevad iga nädal täielikud varukoopiad. Paberkandjal dokumentide koopiaid hoitakse asukohavälises turvalises rajatises.
5.5.5.Dokumentide ajatembelduse nõuded
(269)C-ITSi usaldusmudeli elemendid, mis haldavad tühistusandmebaasi, tagavad, et dokumendid sisaldavad teavet tühistuskirjete loomise aja ja kuupäeva kohta. Sellise teabe terviklust rakendatakse krüptograafiapõhiste lahendustega.
5.5.6.Arhiivi kogumissüsteem (sisemine või väline)
(270)Arhiivi kogumissüsteem on sisemine.
5.5.7.Arhiiviteabe hankimise ja kontrollimise kord
(271)Kõik C-ITSi usaldusmudeli elemendid võimaldavad arhiivile juurde pääseda ainult volitatud usaldusisikutel. Juur-CAd ja CAd kirjeldavad arhiiviteabe loomise, kontrollimise, pakendamise, edastamise ja säilitamise korda CPSis.
(272)Juur-CA ja CA seadmed kontrollivad enne teabe taastamist selle terviklust.
5.6.C-ITSi usaldusmudeli elementide võtmevahetus
(273)C-ITSi usaldusmudeli järgmistel elementidel on võtmevahetuseks erinõuded: TLM, juur-CA ja EA/AA sertifikaadid.
5.6.1.TLM
(274)TLM kustutab oma privaatvõtme vastava sertifikaadi kehtivuse lõppemisel. Enne kehtiva privaatvõtme desaktiveerimist genereerib ta uue võtmepaari ja vastava TLMi sertifikaadi. Ta hoolitseb selle eest, et uus (lingi)sertifikaat lisatakse ECTLi piisavalt varakult, et jaotada see kõigile C-ITSi jaamadele enne selle kehtima hakkamist. Lingisertifikaat ja uus endasigneeritud sertifikaat edastatakse CPOC-le.
5.6.2.Juur-CA
(275)Juur-CA desaktiveerib ja kustutab praeguse privaatvõtme (sh varuvõtmed), nii et ta ei väljastaks EA/AA sertifikaate kehtivusajaga, mis ületab juur-CA sertifikaadi kehtivuse.
(276)Juur-CA genereerib uue võtmepaari ja vastava juur-CA lingisertifikaadi enne praeguse privaatvõtme (sh varuvõtmete) desaktiveerimist ning saadab selle ECTLi lisamiseks TLMile. Uue juur-CA sertifikaadi kehtivusaeg algab praeguse privaatvõtme kavandatud desaktiveerimisest. Juur-CA hoolitseb selle eest, et uus sertifikaat lisatakse ECTLi piisavalt varakult, et jaotada see kõigile C-ITSi jaamadele enne selle kehtima hakkamist.
(277)Juur-CA aktiveerib uue privaatvõtme, kui vastav juur-CA sertifikaat hakkab kehtima.
5.6.3.EA/AA sertifikaat
(278)EA/AA desaktiveerib praeguse privaatvõtme, nii et ta ei väljastaks ECsid/AAsid kehtivusajaga, mis ületab EA/AA sertifikaadi kehtivuse.
(279)Enne kehtiva privaatvõtme desaktiveerimist genereerib EA/AA uue võtmepaari ning taotleb vastavat EA/AA sertifikaati. Uue EA/AA sertifikaadi kehtivusaeg algab praeguse privaatvõtme kavandatud desaktiveerimisest. EA/AA hoolitseb selle eest, et uue sertifikaadi saab avaldada piisavalt varakult, et jaotada see kõigile C-ITSi jaamadele enne selle kehtima hakkamist.
(280)EA/AA aktiveerib uue privaatvõtme, kui vastav EA/AA sertifikaat hakkab kehtima.
5.6.4.Audiitor
Sätted puuduvad.
5.7.Rikkumisest ja õnnetusest taastumine
5.7.1.Intsidentide ja rikkumiste käsitlemine
(281)C-ITSi usaldusmudeli elemendid jälgivad oma seadmeid pidevalt, et avastada võimalikke häkkimiskatseid või muid rikkumisvorme. Sellise juhtumikorral püüavad nad juurdluse abil kindlaks teha kahju olemuse ja ulatuse.
(282)Kui juur-CA või TLMi juhtimise eest vastutavad töötajad avastavad võimaliku häkkimiskatse või muu rikkumisvormi, püüavad nad juurdluse abil kindlaks teha kahju olemuse ja ulatuse. Kui privaatvõti on rikutud, tühistatakse juur-CA sertifikaat. CPA IT-turbe eksperdid hindavad võimaliku kahju ulatust, et teha kindlaks, kas PKI tuleb ümber ehitada, kas ainult mõned sertifikaadid tuleb tühistada ja/või kas PKI on rikutud. Lisaks määrab CPA kooskõlas CPA talitluspidevuse plaaniga kindlaks, millised teenused tuleb säilitada (tühistamis- ja sertifikaadistaatuse teave) ja kuidas seda teha.
(283)CPSis käsitletakse intsidente, rikkumisi ja talitluspidevust, mis võivad tugineda ka muudele ettevõtte ressurssidele ja selle rakendamise kavadele.
(284)Kui EA/AA/CPOC juhtimise eest vastutavad töötajad avastavad võimaliku häkkimiskatse või muu rikkumisvormi, püüavad nad juurdluse abil kindlaks teha kahju olemuse ja ulatuse. CA või CPOC üksuse haldamise eest vastutavad töötajad hindavad võimaliku kahju ulatust, et teha kindlaks, kas PKI komponent tuleb ümber ehitada, kas ainult mõned sertifikaadid tuleb tühistada ja/või kas PKI komponent on rikutud. Lisaks määrab all-CA üksus kooskõlas all-CA üksuse talitluspidevuse plaaniga kindlaks, millised teenused tuleb säilitada ja kuidas seda teha. Kui PKI komponent on rikutud, teavitab CA üksus CPOC kaudu oma juur-CAd ja TLMi.
(285)Juur-CA või TLMi CPS või CPOC puhul muud asjakohased dokumendid käsitlevad intsidente, rikkumisi ja talitluspidevust, mis võivad tugineda ka muudele ettevõtte ressurssidele ja nende rakendamise kavadele.
(286)Juur-CA ja CA hoiatavad iga liikmesriigi esindajat ja juur-CAd, kellega neil on leping C-ITSi kontekstis, esitades täpse teabe intsidendi tagajärgede kohta, et nad saaksid aktiveerida oma intsidentide haldamise kava.
5.7.2.Andmetöötlusressursside, tarkvara ja/või andmete rikkumine
(287)Kui avastatakse õnnetus, mis takistab C-ITSi usaldusmudeli elemendi nõuetekohast toimimist, peatab see element oma toimimise ja uurib, kas privaatvõti on rikutud (välja arvatud CPOC). Defektne riistvara asendatakse nii kiiresti kui võimalik ning kohaldatakse punktides 5.7.3 ja 5.7.4 kirjeldatud menetlusi.
(288)Andmetöötlusressursside, tarkvara ja/või andmete rikkumisest teatatakse juur-CA-le kõrgeima riskitaseme korral 24 tunni jooksul. Kõik muud sündmused tuleb lisada juur-CA, EAde ja AAde perioodilisse aruandesse.
5.7.3.Menetlused üksuse privaatvõtme rikkumise korral
(289)Kui juur-CA privaatvõti on rikutud, kaotatud või hävitatud või esineb rikkumise kahtlus, teeb juur-CA järgmist:
·peatab oma tegevuse;
·käivitab avariitaaste- ja migratsiooniplaani;
·tühistab oma juur-CA sertifikaadi;
·uurib rikkumise genereerinud „võtmeküsimust“ ja teavitab CPAd, kes tühistab TLMi kaudu juur-CA sertifikaadi (vt punkt 7);
·hoiatab kõiki abonente, kellega tal on leping.
(290)Kui EA/AA võti on rikutud, kaotatud, hävitatud või esineb rikkumise kahtlus, teeb EA/AA järgmist:
·peatab oma tegevuse;
·tühistab oma sertifikaadi;
·uurib „võtmeküsimust“ ja teavitab juur-CAd;
·hoiatab abonente, kellega on olemas leping.
(291)Kui C-ITSi jaama EC või AT võti on rikutud, kaotatud, hävitatud või esineb rikkumise kahtlus, teeb EA/AA, kelle abonent C-ITSi jaam on, järgmist:
·tühistab mõjutatud ITSi EC;
·uurib „võtmeküsimust“ ja teavitab juur-CAd;
·hoiatab abonente, kellega tal on leping.
(292)Kui juur-CA ja/või CA või C-ITSi jaamades kasutatud algoritmidest või nendega seotud parameetritest ei piisa selle järelejäänud kavandatud kasutuseks, teavitab CPA (koos krüptograafiaekspertide soovitusega) sellest juur-CA üksust, kellega tal on leping, ning muudab kasutatavaid algoritme. (Vt üksikasju punktis 6 ning juur-CA ja all-CA CPSe).
5.7.4.Talitluspidevuse võimalused pärast õnnetust
(293)C-ITSi usaldusmudeli elemendid, mis käitavad turvalisi rajatisi CA toimingute jaoks, töötavad välja, katsetavad, säilitavad ja rakendavad avariitaasteplaane, mille eesmärk on leevendada mis tahes loodusõnnetuse või inimtegevusest tingitud õnnetuse mõju. Sellised plaanid käsitlevad infosüsteemide teenuste taastamist ja võtmetähtsusega funktsioone.
(294)Pärast teatava riskitasemega intsidenti peab PKI akrediteeritud audiitor rikutud CAd uuesti auditeerima (vt punkt 8).
(295)Kui rikutud CA ei saa enam toimida (nt pärast ränka intsidenti), tuleb koostada migratsiooniplaan tema ülesannete üleandmiseks teisele juur-CA-le. Migratsiooniplaani toetamiseks peab olema kättesaadav vähemalt ELi juur-CA. Rikutud CA lõpetab tegevuse.
(296)Juur-CAd lisavad CPSi avariitaasteplaani ja migratsiooniplaani.
5.8.Lõpetamine ja üleandmine
5.8.1.TLM
(297)TLM ei lõpeta tegevust, kuid TLMi juhtiv üksus võib teise üksuse üle võtta.
(298)Kui juhtüksus muutub:
·taotleb ta CPA heakskiitu TLMi juhtimise viimiseks vanast üksusest uude üksusesse;
·CPA kiidab heaks TLMi juhtimise muutmise;
·kõik auditilogid ja arhiveeritud dokumendid kantakse vanalt juhtüksuselt üle uuele üksusele.
5.8.2.Juur-CA
(299)Juur-CA ei tohi tegevust lõpetada ega alustada, ilma et ta koostaks migratsiooniplaani (mis on sätestatud vastavas CPSis), mis tagab jätkuva toimimise kõigi abonentide jaoks.
(300)Juur-CA teenuse lõpetamise korral teeb juur-CA järgmist:
·teavitab CPAd;
·teavitab TLMi, et viimane saaks juur-CA sertifikaadi ECTList kustutada;
·tühistab vastava juur-CA, väljastades teda ennast sisaldava CRLi;
·hoiatab juur-CAsid, millega tal on leping EA/AA sertifikaatide uuendamiseks;
·hävitab juur-CA privaatvõtme;
·edastab viimase tühistamisstaatuse teabe (juur-CA allkirjastatud CRL) tuginevale isikule, märkides selgelt, et tegemist on viimase tühistamisteabega;
·arhiveerib kõik auditilogid ja muud dokumendid enne PKI lõpetamist;
·edastab arhiveeritud dokumendid sobivale asutusele.
(301)TLM kustutab vastava juur-CA sertifikaadi ECTList.
5.8.3.EA/AA
(302)EA/AA teenuse lõpetamise korral teatab EA/AA üksus sellest enne lõpetamist. EA või AA ei tohi tegevust lõpetada ega alustada, ilma et ta koostaks migratsiooniplaani (mis on sätestatud vastavas CPSis), mis tagab jätkuva toimimise kõigi abonentide jaoks. EA/AA teeb järgmist:
·teavitab juur-CAd tähitud kirjaga;
·hävitab CA privaatvõtme;
·edastab oma andmebaasi juur-CA määratud üksusele;
·peatab sertifikaatide väljastamise;
·säilitab oma andmebaasi edastamise ajal ja kuni andmebaas on uues üksuses täielikult toimiv suutlikkuse volitada vastutava eraelu puutumatuse asutuse taotlusi;
·kui all-CA on rikutud, tühistab juur-CA all-CA ja väljastab uue CRLi, mis sisaldab tühistatud all-CAde loetelu;
·arhiveerib enne PKI lõpetamist kõik auditilogid ja muud dokumendid;
·edastab arhiveeritud dokumendid juur-CA määratud üksusele;
(303)CA teenuste lõpetamise korral vastutab CA selle eest, et säiliksid kõik asjakohased dokumendid CA ja PKI komponentide vajaduste kohta.
6.Tehniline turvakontroll
6.1.Võtmepaari genereerimine ja paigaldamine
6.1.1.TLM, juur-CA, EA ja AA
(304)Võtmepaari genereerimise protsess peab vastama järgmistele nõuetele:
·igal osalejal on võimalik genereerida oma võtmepaarid vastavalt punktidele 6.1.4 ja 6.1.5;
·sertifikaaditaotluste sümmeetriliste krüptovõtmete ja MAC-võtme tuletamise protsess (ECIES) viiakse läbi kooskõlas viitedokumentidega [1] ja [5];
·võtme genereerimise protsessis kasutatakse punktides 6.1.4.1 ja 6.1.4.2 kirjeldatud algoritme ja võtme pikkusi;
·võtmepaari genereerimise protsessi suhtes kohaldatakse privaatvõtmete turvalise säilitamise nõudeid (vt punkt 6.1.5);
·juur-CAd ja nende abonendid (all-CAd) tagavad, et nende avalike võtmete ja nendega seotud parameetrite terviklus ja autentsus säiliks jaotamisel all-CA registreeritud üksustele.
6.1.2.EE – mobiilne C-ITSi jaam
(305)Iga mobiilne C-ITSi jaam genereerib oma võtmepaarid vastavalt punktidele 6.1.4 ja 6.1.5.
(306)Sertifikaaditaotluste sümmeetriliste krüptovõtmete ja MAC-võtme tuletamise protsess (ECIES) viiakse läbi kooskõlas viitedokumentidega [1] ja [5].
(307)Võtme genereerimise protsessis kasutatakse punktides 6.1.4.1 ja 6.1.4.2 kirjeldatud algoritme ja võtme pikkusi.
(308)Võtmepaari genereerimise protsessi suhtes kohaldatakse privaatvõtmete turvalise säilitamise nõudeid (vt punkt 6.1.5).
6.1.3.EE – paikne C-ITSi jaam
(309)Iga paikne C-ITSi jaam genereerib oma võtmepaari vastavalt punktidele 6.1.4 ja 6.1.5.
(310)Võtme genereerimise protsessis kasutatakse punktides 6.1.4.1 ja 6.1.4.2 kirjeldatud algoritme ja võtme pikkusi.
(311)Võtmepaari genereerimise protsessi suhtes kohaldatakse privaatvõtmete turvalise säilitamise nõudeid (vt punkt 6.1.5).
6.1.4.Krüptograafilised nõuded
(312)Kõik PKI osalejad peavad vastama järgmistes lõikudes sätestatud krüptograafilistele nõuetele seoses allkirja algoritmi, võtme pikkuse, juhuarvude generaatori ja lingisertifikaatidega.
6.1.4.1.Algoritm ja võtme pikkus – allkirja algoritmid
(313)Kõigil PKI osalejatel (TLM, juur-CA, EA, AA ja C-ITSi jaamad) peab olema võimalik genereerida võtmepaare ja kasutada privaatvõtit valitud algoritmidega toimingute allkirjastamiseks hiljemalt kaks aastat pärast käesoleva määruse jõustumist vastavalt tabelile 4.
(314)Kõik PKI osalejad, kes peavad kontrollima ECTLi, sertifikaatide ja/või allkirjastatud sõnumite terviklust vastavalt oma rollile, nagu on määratletud punktis 1.3.6, toetavad vastavaid tabelis 5 loetletud algoritme kontrollimiseks. Eelkõige peavad C-ITS jaamad suutma kontrollida ECTLi terviklust.
|
TLM
|
juur-CA
|
EA
|
AA
|
C-ITSi jaam
|
ECDSA_nistP256_with_SHA 256
|
–
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP256r1_with_SHA 256
|
–
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
–
|
–
|
X tähistab kohustuslikku toetust
|
Tabel 4. Võtmepaaride genereerimine ja privaatvõtme kasutamine allkirjastamistoiminguteks
|
TLM
|
juur-CA
|
EA
|
AA
|
C-ITSi jaam
|
ECDSA_nistP256_with_SHA 256
|
X
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP256r1_with_SHA 256
|
X
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
X
|
X
|
X tähistab kohustuslikku toetust
|
Tabel 5. Kontrollimise ülevaade
(315)Kui CPA uute leitud krüptograafiliste nõrkuste põhjal nii otsustab, peavad kõik C-ITSi jaamad saama võimalikult kiiresti üle minna ühele kahest algoritmist (ECDSA_nistP256_with_SHA 256 või ECDSA_brainpoolP256_with_SHA 256). Tegelik(ud) algoritm(id), mida kasutatakse, määratakse kindlaks selle CA CPSis, kes väljastab vastava avaliku võtme sertifikaadi, vastavalt käesolevale CP-le.
6.1.4.2.Algoritm ja võtme pikkus – liikmestuse ja volitamise krüptoalgoritmid
(316)Kõigil PKI osalejatel (EA, AA ja C-ITSi jaamad) peab olema võimalik kasutada avalikku võtit, et krüpteerida liikmestus- ja volitustaotlusi ning vastuseid valitud algoritmidega, hiljemalt kaks aastat pärast käesoleva määruse jõustumist vastavalt tabelile 6. Tegelik(ud) algoritm(id), mida kasutatakse, määratakse kindlaks selle CA CPSis, kes väljastab vastava avaliku võtme sertifikaadi, vastavalt käesolevale CP-le.
(317)Nimetatud algoritmid näitavad võtme pikkust ja räsialgoritmi pikkust ning neid rakendatakse vastavalt viitedokumendile [5].
|
TLM
|
juur-CA
|
EA
|
AA
|
C-ITSi jaam
|
ECIES_nistP256_with_AES 128_CCM
|
–
|
–
|
X
|
X
|
X
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
–
|
–
|
X
|
X
|
X
|
X tähistab kohustuslikku toetust
|
Tabel 6. Avalike võtmete kasutamine liikmestus- ja volitustaotluste ning -vastuste krüpteerimiseks
(318)Kõigil PKI osalejatel (EA, AA ja C-ITSi jaamad) peab olema võimalik genereerida võtmepaare ja kasutada privaatvõtit, et dekrüpteerida liikmestus- ja volitustaotlusi ning -vastuseid valitud algoritmidega, hiljemalt kaks aastat pärast käesoleva määruse jõustumist vastavalt tabelile 7.
|
TLM
|
juur-CA
|
EA
|
AA
|
C-ITSi jaam
|
ECIES_nistP256_with_AES 128_CCM
|
–
|
–
|
X
|
X
|
X
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
–
|
–
|
X
|
X
|
X
|
X tähistab kohustuslikku toetust
|
Tabel 7. Võtmepaaride genereerimine ja privaatvõtme kasutamine liikmestus- ja volitustaotluste ning -vastuste dekrüpteerimiseks
6.1.4.3.Krüptopaindlikkus
(319)Võtme pikkuse ja algoritmide nõudeid tuleb aja jooksul muuta, et säilitada asjakohane turvatase. CPA jälgib selliste muudatuste vajadust, võttes arvesse tegelikke nõrkusi ja krüptograafia tipptaset. Kui ta otsustab, et krüptoalgoritme tuleks ajakohastada, siis ta koostab, kiidab heaks ja avaldab käesoleva sertifitseerimispoliitika ajakohastatud versiooni. Kui käesoleva CP uus versioon annab märku algoritmi ja/või võtme pikkuse muutumisest, võtab CPA vastu migratsioonistrateegia, mis hõlmab üleminekuperioode, mille jooksul tuleb toetada ka vanu algoritme ja võtme pikkusi.
(320)Et võimaldada ja hõlbustada üleminekut uutele algoritmidele ja/või võtme pikkustele, on soovitatav, et kõik PKI osalejad kasutaksid riistvara ja/või tarkvara, mis on võimeline muutma võtme pikkusi ja algoritme.
(321)Juur- ja TLMi sertifikaatide muudatusi toetatakse ja teostatakse lingisertifikaatide abil (vt punkt 4.6), mida kasutatakse vanalt juursertifikaadilt uuele ülemineku perioodi katmiseks („usaldusmudeli migreerimine“).
6.1.5.Privaatvõtmete turvaline hoiustamine
Käesolevas punktis kirjeldatakse CAde ja lõppüksuste võtmepaaride ja juhuarvude turvalise hoiustamise ja genereerimise nõudeid. Need nõuded on määratletud krüptomoodulite kohta ja neid kirjeldatakse järgmistes alapunktides.
6.1.5.1.Juur-CA, all-CA ja TLMi tasand
(322)Krüptomoodulit kasutatakse järgmisteks toiminguteks:
·privaatvõtmete genereerimine, kasutamine, haldamine ja hoiustamine;
·juhuarvude genereerimine ja kasutamine (juhuarvu genereerimise funktsiooni hindamine on osa turvalisuse hindamisest ja sertifitseerimisest);
·privaatvõtmete varukoopiate loomine vastavalt punktile 6.1.6;
·privaatvõtmete kustutamine.
Krüptomoodul peab olema sertifitseeritud ühe järgmise kaitseprofiiliga (PP), mille usaldusväärsustase on EAL-4 või kõrgem:
·HSMide PPd:
·CEN EN 419 221-2: TSP krüptomoodulite kaitseprofiilid – 2. osa: Krüptomoodul CSP allkirjastamistoimingute jaoks koos varundamisega;
·CEN EN 419 221-4: TSP krüptomoodulite kaitseprofiilid – 4. osa: Krüptomoodul CSP allkirjastamistoimingute jaoks ilma varundamiseta;
·CEN EN 419 221-5: TSP krüptomoodulite kaitseprofiilid – 5. osa: Usaldusteenuste krüptomoodul;
·Kiipkaartide PPd:
·CEN EN 419 211-2: Turvalise allkirja loomise seadme kaitseprofiilid – 2. osa: võtme genereerimisega seade;
·CEN EN 419 211-3: Turvalise allkirja loomise seadme kaitseprofiilid – 3. osa: võtme importimisega seade.
Krüptomoodulile manuaalseks juurdepääsuks on vaja administraatori kaksikautentimist. Lisaks nõuab see kahe volitatud isiku osalust.
Krüptomooduli rakendamine peab tagama, et võtmed ei ole kättesaadavad väljaspool krüptomoodulit. Krüptomoodul peab sisaldama juurdepääsukontrolli mehhanismi, et vältida privaatvõtmete loata kasutamist.
6.1.5.2.Lõppüksus
(323)EEde krüptomoodulit kasutatakse järgmisteks toiminguteks:
·privaatvõtmete genereerimine, kasutamine, haldamine ja hoiustamine;
·juhuarvude genereerimine ja kasutamine (juhuarvu genereerimise funktsiooni hindamine on osa turvalisuse hindamisest ja sertifitseerimisest);
·privaatvõtme turvaline kustutamine.
(324)Krüptomoodul peab olema kaitstud loata eemaldamise, asendamise ja muutmise eest. Kõik PPd ja nendega seotud dokumendid, mida kasutatakse krüptomooduli turvalisuse sertifitseerimiseks, hinnatakse, kinnitatakse ja sertifitseeritakse vastavalt standardile ISO 15408, kasutades kõrgemate ametnike infosüsteemide turbe rühma (SOG-IS) kokkulepet „Mutual Recognition Agreement of information technology security evaluation certificates“ (infotehnoloogia turvalisuse hindamise sertifikaatide vastastikuse tunnustamise kokkulepe) või samaväärset asjakohase Euroopa küberturvalisuse raamistiku alla kuuluvat Euroopa küberturvalisuse sertifitseerimise kava.
(325)Arvestades, kui oluline on tagada võimalikult kõrge turvatase, annab krüptomooduli turvasertifikaadid välja ühiste kriteeriumide sertifitseerimise kava (standard ISO 15408) alusel vastavushindamisasutus, keda on tunnustanud halduskomitee SOG-ISi kokkuleppe raames, või liikmesriigi küberturvalisuse sertifitseerimisasutuse poolt akrediteeritud vastavushindamisasutus. Selline vastavushindamisasutus pakub vähemalt samaväärseid turvalisuse hindamise tingimusi, nagu on ette nähtud SOG-ISi vastastikuse tunnustamise kokkuleppes.
Märkus: krüptomooduli ja C-ITSi jaama vaheline link peab olema kaitstud.
6.1.6.Privaatvõtmete varundamine
(326)Privaatvõtmete varukoopiate genereerimine, säilitamine ja kasutamine peab vastama vähemalt originaalvõtmete puhul nõutavale turvatasemele.
(327)Privaatvõtmete varukoopiad teevad juur-CAd, EAd ja AAd.
(328)Privaatvõtmete varukoopiaid ei tehta ECde ja ATde jaoks.
6.1.7.Privaatvõtmete hävitamine
(329)Juur-CAd, EAd, AAd ning mobiilsed ja paiksed C-ITSi jaamad hävitavad oma privaatvõtme ja kõik selle varukoopiad, kui on genereeritud ja edukalt paigaldatud uus võtmepaar ja vastav sertifikaat ning kattuvusperiood (kui on olemas – ainult CA puhul) on lõppenud. Privaatvõti hävitatakse mehhanismi abil, mida pakub võtmetalletuseks kasutatav krüptomoodul või nagu on kirjeldatud vastavas PPs, millele on osutatud punktis 6.1.5.2.
6.2.Aktiveerimisandmed
(330)Aktiveerimisandmed viitavad autentimisteguritele, mis on vajalikud krüptomoodulite kasutamiseks, et vältida loata juurdepääsu. CA krüpteerimisvahendi aktiveerimisandmete kasutamine nõuab kahe volitatud isiku tegevust.
6.3.Arvuti turvameetmed
(331)CAde arvuti turvameetmed projekteeritakse vastavalt kõrgele turvatasemele, järgides standardi ISO/IEC 27002 nõudeid.
6.4.Elutsükli tehniline kontroll
(332)CA tehniline kontroll hõlmab CA kogu elutsüklit. Eelkõige hõlmab see punkti 6.1.4.3 nõudeid („Krüptopaindlikkus“).
6.5.Võrgu turvameetmed
(333)CAde (juur-CA, EA ja AA) võrke tugevdatakse rünnakute vastu kooskõlas standardite ISO/IEC 27001 ja ISO/IEC 27002 nõuete ja rakendusjuhistega.
(334)CA võrkude kättesaadavus kavandatakse eeldatavat andmeliiklust silmas pidades.
7.Sertifikaadi profiilid, CRL ja CTL
7.1.Sertifikaadi profiil
(335)Viitedokumendis [5] määratletud sertifikaadiprofiile kasutatakse TLMi, juursertifikaatide, EA sertifikaatide, AA sertifikaatide, ATde ja ECde puhul. Riiklikud EAd võivad kasutada ECde puhul muid sertifikaadiprofiile.
(336)Juur-CA, EA ja AA sertifikaadid peavad näitama lubasid, mille jaoks neil CAdel (juur-CAd, EA ja AA) on lubatud sertifikaate väljastada.
(337)Viitedokumendi [5] kohaselt:
·kasutab juur-CA oma allkirjastamise privaatvõtit CRLide väljastamiseks;
·kasutab TLM oma allkirjastamise privaatvõtit ECTLi väljastamiseks.
7.2.Sertifikaadi kehtivus
(338)Kõik C-ITSi sertifikaadi profiilid peavad sisaldama sertifikaadi kehtivusaega tähistavat väljastamis- ja aegumiskuupäeva. Igal PKI tasandil genereeritakse sertifikaadid aegsasti enne aegumist.
(339)CA ja EC sertifikaatide kehtivusaeg sisaldab kattuvusperioodi. TLMi ja juur-CA sertifikaadid väljastatakse ja lisatakse ECTLi maksimaalselt kolm kuud ja minimaalselt üks kuu enne nende kehtivuse algust vastavalt sertifikaadi kehtivuse algusajale. See eellaadimise etapp on vajalik sertifikaatide ohutuks jaotamiseks kõigile korrespondentidest tuginevatele isikutele vastavalt punktile 2.2. Sellega tagatakse, et alates kattuvusperioodi algusest on kõigil tuginevatel isikutel juba võimalik kontrollida uue sertifikaadiga väljastatud sõnumeid.
(340)Üleminekuperioodi alguses väljastatakse järjestikused CA, EC ja AT sertifikaadid (kui see on asjakohane), mida jaotavad ja paigaldavad korrespondentidest tuginevad isikud. Kattuvusperioodil kasutatakse kehtivat sertifikaati ainult kontrollimiseks.
(341)Kuna tabelis 8 loetletud kehtivusajad ei tohi ületada kõrgema sertifikaadi kehtivusaega, kohaldatakse järgmisi piiranguid:
·maksimumkehtivus(juur-CA) = privaatvõtmekasutus(juur-CA) + maksimumkehtivus(EA,AA);
·maksimumkehtivus(EA) = privaatvõtmekasutus(EA) + maksimumkehtivus(EC);
·maksimumkehtivus(AA) = privaatvõtmekasutus(AA) + eellaadimisperiood(AT).
(342)(Juur- ja TLMi) lingisertifikaatide kehtivus algab vastava privaatvõtme kasutusest ja lõpeb juur-CA või TLM maksimaalse kehtivusajaga.
(343)Tabelis 8 on näidatud C-ITSi CA sertifikaatide maksimaalne kehtivusaeg (AT kehtivusaegade kohta vt punkt 7.2.1).
Üksus
|
Privaatvõtme maksimaalne kasutusaeg
|
Maksimaalne kehtivusaeg
|
Juur-CA
|
3 aastat
|
8 aastat
|
EA
|
2 aastat
|
5 aastat
|
AA
|
4 aastat
|
5 aastat
|
EC
|
3 aastat
|
3 aastat
|
TLM
|
3 aastat
|
4 aastat
|
Tabel 8. C-ITSi usaldusmudeli sertifikaatide kehtivusajad
7.2.1.Pseudonüümsertifikaadid
(344)Selles kontekstis rakendatakse ATde poolt pseudonüüme. Sellest tulenevalt viidatakse käesolevas punktis pigem ATdele kui pseudonüümidele.
(345)Käesolevas punktis sätestatud nõudeid kohaldatakse ainult CAM- ja DENM-sõnumeid saatvate mobiilsete C-ITSi jaamade ATde suhtes, juhul kui esineb oht asukoha privaatsusele. AT sertifikaatide erinõudeid ei kohaldata selliste ATde suhtes, mis on ette nähtud paiksetele C-ITSi jaamadele ja mobiilsetele C-ITSi jaamadele, mida kasutatakse eriülesannete jaoks, mille puhul asukoha privaatsust ei kohaldata (nt erimärgistatud hädaolukorra ja õiguskaitseasutuste sõidukite puhul).
(346)Kasutatakse järgmisi mõisteid:
·„ATde kehtivusaeg“ – ajavahemik, mille jooksul AT kehtib, st ajavahemik AT alguskuupäevast lõppkuupäevani;
·„ATde eellaadimisperiood“ – eellaadimine on C-ITSi jaamade jaoks võimalus hankida ATsid enne kehtivusaja algust. Eellaadimisperiood on maksimaalne lubatud ajavahemik alates ATde taotlusest kuni taotletud ATde kehtivusaja lõpuni;
·„ATde kasutusaeg“ – ajavahemik, mille jooksul ATd tegelikult kasutatakse CAM/DENM-sõnumite allkirjastamiseks;
·„paralleelsete ATde maksimaalne arv“ – nende ATde arv, mille hulgast C-ITSi jaam saab igal ajal CAM/DENM-sõnumi allkirjastamisel valida, st ühele C-ITSi jaamale väljastatud erinevate ATde arv, mis kehtivad samal ajal.
(347)Kohaldatakse järgmisi nõudeid:
·ATde eellaadimisperiood ei tohi olla pikem kui kolm kuud;
·ATde kehtivusaeg ei tohi olla pikem kui üks nädal;
·paralleelsete ATde maksimaalne arv C-ITSi jaama kohta ei tohi olla suurem kui 100;
·AT kasutusaeg sõltub AT muutmise strateegiast ja sõiduki tööajast, kuid seda piirab paralleelsete ATde maksimaalne arv ja kehtivusaeg. Täpsemalt on ühe C-ITSi jaama keskmine kasutusaeg vähemalt sõiduki tööaeg ühe kehtivusaja jooksul, mis on jagatud paralleelsete ATde maksimaalse arvuga.
7.2.2.Paiksete C-ITSi jaamade volituspiletid
(348)Kohaldatakse punkti 7.2.1 määratlusi ja järgmisi nõudeid:
·ATde eellaadimisperiood ei tohi olla pikem kui kolm kuud;
·paralleelsete ATde maksimaalne arv C-ITSi jaama kohta ei tohi olla suurem kui kaks.
7.3.Sertifikaatide tühistamine
7.3.1.CA, EA ja AA sertifikaatide tühistamine
Juur-CA, EA ja AA sertifikaadid on tühistatavad. Juur-CAde, EAde ja AAde tühistatud sertifikaadid avaldatakse CRLis nii kiiresti kui võimalik ja põhjendamatu viivituseta. Selle CRLi allkirjastab vastav juur-CA ja kasutatakse punktis 7.4 kirjeldatud profiili. Juur-CA sertifikaatide tühistamiseks väljastab vastav juur-CA CRLi, mis sisaldab teda ennast. Lisaks kohaldatakse turvarikkumise korral punkti 5.7.3. TLM eemaldab ka tühistatud juur-CAd usaldusnimekirjast ja väljastab uue usaldusnimekirja. Aegunud sertifikaadid eemaldatakse vastavast CRList ja usaldusnimekirjast.
(349)Sertifikaadid tühistatakse, kui:
·juur-CAdel on põhjust uskuda või kahtlustada, et vastav privaatvõti on rikutud;
·juur-CAdele on teatatud, et leping abonendiga on lõpetatud;
·sertifikaadis sisalduv teave (näiteks nimi ja ning seosed CA ja subjekti vahel) on vale või muutunud;
·toimub turvaintsident, mis mõjutab sertifikaadi omanikku;
·audit (vt punkt 8) annab negatiivse tulemuse.
(350)Abonent teatab CA-le viivitamata oma privaatvõtme teadaolevast või kahtlustatavast rikkumisest. Tuleb tagada, et sertifikaate tühistatakse ainult autenditud taotluste alusel.
7.3.2.Liikmestusmandaadi tühistamine
(351)ECde tühistamise võib algatada C-ITSi jaama abonent (voog 34) ja seda rakendatakse sisemise musta nimekirjaga tühistamisandmebaasis, millel on ajatempel ning mille genereerib ja mida haldab iga EA. Musta nimekirja ei avaldata kunagi, seda hoitakse konfidentsiaalsena ja seda kasutab ainult vastav EA, et kontrollida vastavate ECde kehtivust ATde ja uute ECde taotluste kontekstis.
7.3.3.Volituspiletite tühistamine
(352)Kuna vastavad CAd ei tühista ATsid, on neil lühike eluiga ja neid ei saa liiga pikalt enne kehtima hakkamist välja anda. Lubatavad sertifikaadi elutsükli parameetrite väärtused on esitatud punktis 7.2.
7.4.Tühistatud sertifikaatide loend
(353)Juur-CAde poolt väljastatava CRLi vorm ja sisu on sätestatud viitedokumendis [1].
7.5.Euroopa sertifikaatide usaldusnimekiri
(354)TLMi poolt väljastatava ECTLi vorm ja sisu on sätestatud viitedokumendis [1].
8.Vastavusaudit ja muud hindamised
8.1.Auditis käsitletavad teemad ja auditialus
(355)Vastavusauditi eesmärk on kontrollida, kas TLM, juur-CAd, EAd ja AAd toimivad kooskõlas käesoleva CPga. TLM, juur-CAd, EAd ja AAd valivad oma CPSi auditeerimiseks sõltumatu ja akrediteeritud PKI audiitori. Audit kombineeritakse ISO/IEC 27001 ja ISO/IEC 27002 hinnanguga.
(356)Vastavusauditi tellib juur-CA (voog 13) jaoks juur-CA ise ja all-CA jaoks talle alluv EA/AA.
(357)TLMi vastavusauditi tellib CPA (voog 38).
(358)Taotluse korral peab PKI akrediteeritud audiitor teostama vastavusauditi ühel järgmistest tasemetest:
(1)TLMi, juur-CA, EA või AA CPSi vastavus käesolevale CP-le;
(2)TLMi, juur-CA, EA või AA kavandatud tavade vastavus tema CPSile enne tegevust;
(3)TLMi, juur-CA, EA või AA tavade ja operatiivtegevuse vastavus CPSile tegevuse ajal.
(359)Audit hõlmab kõiki käesoleva CP nõudeid, mida auditeeritavad TLM, juur-CAd, EAd ja AAd peavad täitma. See hõlmab ka CA tegevust C-ITSi PKIs, sh kõiki CPSis nimetatud protsesse, ruume ja vastutavaid isikuid.
(360)Akrediteeritud PKI audiitor esitab üksikasjaliku auditiaruande vastavalt vajadusele juur-CA-le (voog 36), EA-le, AA-le või CPA-le (vood 16 ja 40).
8.2.Auditite sagedus
(361)Juur-CA, TLM, EA või AA tellib enda vastavusauditi sõltumatult ja akrediteeritud PKI audiitorilt järgmistel juhtudel:
·esmakordsel tegevuse alustamisel (1. ja 2. taseme vastavus);
·igal CP muutmisel. CPA määratleb CP muudatuste sisu ja kasutuselevõtu ajakava ning määrab vastavalt kindlaks auditivajadused (sh vajaliku vastavustaseme);
·tema CPSi iga muutmise korral (1., 2. ja 3. taseme vastavus). Kuna juur-CAde, TLMi ja EAde/AAde juhtüksused otsustavad, millised rakendusmuudatused nende CPSi ajakohastamisele järgnevad, tellivad nad enne nende muudatuste rakendamist vastavusauditi. Kui CPS muutub vaid vähesel määral (nt keeleliselt), võib juhtüksus saata CPA-le nõuetekohaselt põhjendatud taotluse jätta 1., 2. või 3. tasandi vastavusauditid vahele;
·korrapäraselt ja vähemalt iga kolme aasta järel selle tegevuse ajal (3. taseme vastavus).
8.3.Audiitori identiteet ja pädevus
(362)Auditeeritav CA valib sõltumatult tegutseva ja akrediteeritud äriühingu/organisatsiooni (edaspidi „auditeerimisasutus“) või akrediteeritud PKI audiitorid, et auditeerida teda kooskõlas käesoleva CPga. Auditeerimisasutuse peab akrediteerima ja sertifitseerima Euroopa akrediteerimisasutuse liige.
8.4.Audiitori suhe auditeeritava üksusega
(363)PKI akrediteeritud audiitor peab olema auditeeritavast üksusest sõltumatu.
8.5.Puuduse tõttu võetavad meetmed
(364)Kui auditiaruandes leitakse, et TLM ei vasta nõuetele, nõuab CPA, et TLM võtaks viivitamata ennetus- või parandusmeetmeid.
(365)Kui nõuetele mittevastava auditiaruandega juur-CA esitab uue taotluse, lükkab CPA taotluse tagasi ja saadab vastava tagasilükkamise juur-CA-le (voog 4). Sel juhul juur-CA tegevus peatatakse. Ta peab võtma parandusmeetmeid, tellima uuesti auditi ja esitama CPA-le uue heakskiitmise taotluse. Juur-CA ei tohi peatamise ajal sertifikaate väljastada.
(366)Korrapärase juur-CA auditi või juur-CA CPSi muudatuse puhul ning auditiaruandes kirjeldatud mittevastavuse laadist sõltuvalt võib CPA otsustada juur-CA tühistada ja edastada selle otsuse TLMile (voog 2). See toob kaasa juur-CA väljajätmise ECTList ja lisamise CRLi. CPA saadab vastava tagasilükkamisotsuse juur-CA-le (voog 4). Juur-CA peab võtma parandusmeetmeid, tellima uuesti täisauditi (1.–3. tasand) ja esitama CPA-le uue heakskiitmise taotluse. Teise võimalusena võib CPA otsustada juur-CAd mitte tühistada, vaid anda talle ajapikendust, mille jooksul juur-CA võtab parandusmeetmeid, tellib uuesti auditi ja esitab auditiaruande uuesti CPA-le. Sel juhul tuleb juur-CA tegevus peatada ning tal ei ole lubatud sertifikaate ja CRLe väljastada.
(367)EA/AA auditi korral otsustab juur-CA, kas aruanne heaks kiita või mitte. Sõltuvalt auditi tulemusest otsustab juur-CA, kas tühistada EA/AA sertifikaat kooskõlas juur-CA CPSi eeskirjadega. Juur-CA peab alati tagama, et EA/AA järgib käesolevat CPd.
8.6.Tulemuste edastamine
(368)Juur-CA ja TLM saadavad auditiaruande CPA-le (voog 16). Juur-CA ja TLM talletavad kõik tellitud auditiaruanded. CPA saadab vastava heakskiitmise või tagasilükkamise (voog 4) juur-CA-le ja TLMile.
(369)Juur-CA saadab vastavussertifikaadi vastavale EA-le/AA-le.
9.Muud sätted
9.1.Tasud
(370)Üks rakendatud ELi C-ITSi usaldusmudeli põhimõte on see, et juur-CAd rahastavad koos täielikult CPA ja kesksete elementide (TLM ja CPOC) regulaarseid jooksvaid tegevuskulusid, mis on seotud käesolevas CPs sätestatud tegevusega.
(371)Juur-CA-del (sh ELi juur-CA-l) on õigus võtta tasu oma all-CAdelt.
(372)Kõikidel C-ITSi usaldusmudeli osalejatel on kogu tegevusaja jooksul mittediskrimineerival viisil juurdepääs vähemalt ühele juur-CA-le, EA-le ja AA-le.
(373)Kõikidel juur-CAdel on õigus koguda CPA-le ja kesksetele elementidele (TLM ja CPOC) makstavaid tasusid C-ITSi usaldusmudeli registreeritud osalejatelt, sh liikmestatud ja volitatud C-ITSi jaamadelt.
9.2.Finantsvastutus
(374)Juur-CA esmane loomine hõlmab vähemalt kolmeaastast tegevusperioodi, et juur-CAst saaks ELi C-ITSi usaldusmudeli liige. Juur-CA käitaja CPS sisaldab ka üksikasjalikke sätteid juur-CA tühistamise ja sulgemise kohta.
(375)Iga juur-CA peab tõendama seda rakendava juriidilise isiku rahalist elujõulisust vähemalt kolm aastat. See rahalise elujõulisuse kava on osa algsest liikmestusdokumentide kogumist, mida tuleb ajakohastada iga kolme aasta järel ja millest tuleb CPA-le aru anda.
(376)Iga juur-CA peab igal aastal esitama tegevuse haldajale ja CPA-le oma rahalise jätkusuutlikkuse tõendamiseks tasustruktuuri, mida kohaldatakse EAde/AAde ning liikmestatud ja volitatud C-ITSi jaamade suhtes.
(377)Kõik juur-CA, EA, AA ja C-ITSi usaldusmudeli kesksete elementide (CPOC ja TLM) rahalised ja juriidilised vastutavad üksused peavad katma oma tegevuskohustused piisava kindlustustasemega, et hüvitada tegevusvead ja nende kohustuste rahaline sissenõudmine, kui üks tehnilistest elementidest ei toimi.
9.3.Äriteabe konfidentsiaalsus
(378)Konfidentsiaalsena ja privaatsena hoitakse järgmist teavet:
·juur-CA, EA ja AA heakskiidetud või tagasilükatud taotlusdokumendid;
·juur-CA, EA, AA ja TLMi auditiaruanded;
·juur-CAde, EAde, AAde, CPOCde ja TLMide avariitaasteplaanid;
·C-ITSi usaldusmudeli elementide (C-ITSi jaamad, TLM, EA, AA ja juur-CAd) privaatvõtmed;
·mis tahes muu teave, mida CPA, juur-CAd, EA, AA, TLM ja CPOC määratlevad konfidentsiaalsena.
9.4.Privaatsuskava
(379)Juur-CAde ning EAde/AAde CPSides sätestatakse GDPRi ja muude kohaldatavate (nt siseriiklike) seadusandlike raamistike alusel isikuandmete ja eraelu puutumatuse käsitlemise kava ja nõuded.
10.Viited
Käesolevas lisas viidatakse järgmistele dokumentidele.
[1]
|
ETSI TS 102 941 V1.2.1, Intelligent transport systems (ITS) – security, trust and privacy management.
|
[2]
|
ETSI TS 102 940 V1.3.1, Intelligent transport systems (ITS) – security, ITS communications security architecture and security management.
|
[3]
|
Certificate policy and certification practices framework (RFC 3647, 1999).
|
[4]
|
ETSI TS 102 042 V2.4.1 Policy requirements for certification authorities issuing public key certificates.
|
[5]
|
ETSI TS 103 097 V1.3.1, Intelligent transport systems (ITS) – security, security header and certificate formats.
|
[6]
|
Calder, A. (2006). Information security based on ISO 27001/ISO 1779: a management guide. Van Haren Publishing.
|
[7]
|
ISO, I., & Std, I. E. C. (2011). ISO 27005 (2011) – information technology, security techniques, information security risk management. ISO.
|
|
|