SATURS
1.Ievads9
1.1.Šās politikas pārskats un darbības joma9
1.2.Definīcijas un akronīmi11
1.3.PKI dalībnieki13
1.3.1.Ievads13
2.3.1.C-ITS sertifikātu politikas iestāde16
1.3.3.Uzticamības saraksta pārvaldītājs17
1.3.4.Akreditētais PKI auditors17
1.3.5.C-ITS kontaktpunkts (CPOC)17
1.3.6.Operatīvās lomas18
1.4.Sertifikātu izmantojums18
1.4.1.Piemērojamie izmantojamie domēni18
1.4.2.Atbildības ierobežojumi19
1.5.Sertifikātu politikas pārvalde19
1.5.1.ECTL ietverto CA CPS atjaunināšana19
1.5.2.CPS apstiprināšanas procedūras20
2.Publicēšanas un repozitorija pienākumi20
2.1.Sertifikātu informācijas publicēšanas metodes20
2.2.Publicēšanas laiks vai biežums21
2.3.Repozitoriji21
2.4.Piekļuves kontroles pasākumi attiecībā uz repozitorijiem21
2.5.Sertifikātu informācijas publicēšana22
2.5.1.Sertifikātu informācijas publicēšana, ko veic TLM22
2.5.2.Sertifikātu informācijas publicēšana, ko veic CA22
3.Identifikācija un autentifikācija23
3.1.Nosaukumdošana23
3.1.1.Nosaukuma veidi23
3.1.1.1.TLM, galvenās CA, EA, AA nosaukumi23
3.1.1.2.Gala entitāšu nosaukumi23
3.1.1.3.Sertifikātu identifikācija23
3.1.2.Vajadzība nodrošināt, lai nosaukumi būtu jēgpilni23
3.1.3.Gala entitāšu anonimitāte un pseidonimitāte23
3.1.4.Dažādu nosaukumu formu interpretēšanas noteikumi23
3.1.5.Nosaukumu unikalitāte24
3.2.Sākotnējā identitātes validācija24
3.2.1.Privātās atslēgas valdījuma pierādīšanas metode24
3.2.2.Organizācijas identitātes autentifikācija24
3.2.2.1.Galvenās CA organizācijas identitātes autentifikācija24
3.2.2.2.TLM organizācijas identitātes autentifikācija25
3.2.2.3.Pakārtoto CA organizācijas identitātes autentifikācija25
3.2.2.4.Gala entitāšu abonenta organizācijas autentifikācija26
3.2.3.Individuālas entitātes autentifikācija26
3.2.3.1.TLM/CA individuālas entitātes autentifikācija26
3.2.3.2.C-ITS staciju abonenta identitātes autentifikācija27
3.2.3.3.C-ITS staciju identitātes autentifikācija27
3.2.4.Neverificēta abonenta informācija27
3.2.5.Iestādes validācija27
3.2.5.1.TLM, galvenās CA, EA, AA validācija27
3.2.5.2.C-ITS stacijas abonentu validācija28
3.2.5.3.C-ITS staciju validācija28
3.2.6.Sadarbspējas kritēriji28
3.3.Atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija28
3.3.1.Periodisko atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija28
3.3.1.1.TLM sertifikāti28
3.3.1.2.Galvenās CA sertifikāti28
3.3.1.3.EA/AA sertifikātu atjaunošana vai atslēgu atjaunošana28
3.3.1.4.Gala entitāšu priekšreģistrācijas akreditācijas dati29
3.3.1.5.Gala entitāšu autorizācijas biļete29
3.3.2.Atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija pēc atsaukšanas29
3.3.2.1.CA sertifikāti29
3.3.2.2.Gala entitāšu priekšreģistrācijas akreditācijas dati29
3.3.2.3.Gala entitāšu autorizācijas pieprasījumi29
3.4.Atsaukšanas pieprasījumu identifikācija un autentifikācija29
3.4.1.Galvenās CA/EA/AA sertifikāti29
3.4.2.C-ITS stacijas priekšreģistrācijas akreditācijas dati30
3.4.3.C-ITS stacijas autorizācijas biļetes30
4.Sertifikāta dzīves cikla darbības prasības30
4.1.Sertifikāta pieteikums30
4.1.1.Kurš var iesniegt sertifikāta pieteikumu30
4.1.1.1.Galvenās CA30
4.1.1.2.TLM31
4.1.1.3.EA un AA31
4.1.1.4.C-ITS stacija31
4.1.2.Priekšreģistrācijas process un pienākumi31
4.1.2.1.Galvenās CA31
4.1.2.2.TLM32
4.1.2.3.EA un AA32
4.1.2.4.C-ITS stacija32
4.2.Sertifikāta pieteikuma apstrāde33
4.2.1.Identifikācijas un autentifikācijas funkciju veikšana33
4.2.1.1.Galvenās CA identifikācija un autentifikācija33
4.2.1.2.TLM identifikācija un autentifikācija33
4.2.1.3.EA un AA identifikācija un autentifikācija33
4.2.1.4.EE abonenta identifikācija un autentifikācija34
4.2.1.5.Autorizācijas biļetes34
4.2.2.Sertifikātu pieteikumu apstiprināšana vai noraidīšana34
4.2.2.1.Galvenās CA sertifikātu apstiprināšana vai noraidīšana34
4.2.2.2.TLM sertifikāta apstiprināšana vai noraidīšana34
4.2.2.3.EA un AA sertifikātu apstiprināšana vai noraidīšana34
4.2.2.4.EC apstiprināšana vai noraidīšana34
4.2.2.5.AT apstiprināšana vai noraidīšana35
4.2.3.Sertifikāta pieteikuma apstrādes laiks35
4.2.3.1.Galvenās CA sertifikāta pieteikums35
4.2.3.2.TLM sertifikāta pieteikums35
4.2.3.3.EA un AA sertifikāta pieteikums35
4.2.3.4.EC pieteikums35
4.2.3.5.AT pieteikums35
4.3.Sertifikātu izdošana35
4.3.1.CA darbības sertifikātu izdošanas laikā35
4.3.1.1.Galvenās CA sertifikātu izdošana35
4.3.1.2.TLM sertifikātu izdošana36
4.3.1.3.EA un AA sertifikātu izdošana36
4.3.1.4.EC izdošana36
4.3.1.5.AT izdošana36
4.3.2.CA paziņojums abonentam par sertifikātu izdošanu36
4.4.Sertifikātu akceptēšana37
4.4.1.Sertifikātu akceptēšanas process37
4.4.1.1.Galvenā CA37
4.4.1.2.TLM37
4.4.1.3.EA un AA37
4.4.1.4.C-ITS stacija37
4.4.2.Sertifikāta publicēšana37
4.4.3.Paziņojums par sertifikāta izdošanu37
4.5.Atslēgu pāru un sertifikātu izmantošana37
4.5.1.Privāto atslēgu un sertifikātu izmantošana37
4.5.1.1.Privāto atslēgu un sertifikātu izmantošana TLM vajadzībām37
4.5.1.2.Privāto atslēgu un sertifikātu izmantošana galvenās CA vajadzībām37
4.5.1.3.Privāto atslēgu un sertifikātu izmantošana EA un AA vajadzībām37
4.5.1.4.Privāto atslēgu un sertifikātu izmantošana gala entitātei38
4.5.2.Uzticamās puses publisko atslēgu un sertifikātu izmantošana38
4.6.Sertifikātu atjaunošana38
4.7.Sertifikātu atslēgu atjaunošana38
4.7.1.Apstākļi sertifikātu atslēgu atjaunošanai38
4.7.2.Kurš var pieprasīt atslēgu atjaunošanu38
4.7.2.1.Galvenā CA38
4.7.2.2.TLM38
4.7.2.3.EA un AA38
4.7.2.4.C-ITS stacija39
4.7.3.Atslēgu atjaunošanas process39
4.7.3.1.TLM sertifikāts39
4.7.3.2.Galvenās CA sertifikāts39
4.7.3.3.EA un AA sertifikāti39
4.7.3.4.C-ITS stacijas sertifikāti40
4.8.Sertifikātu modificēšana40
4.9.Sertifikātu atsaukšana un apturēšana40
4.10.Sertifikātu statusa pakalpojumi40
4.10.1.Darbības īpašības40
4.10.2.Pakalpojumu pieejamība40
4.10.3.Brīvizvēles raksturpazīmes40
4.11.Abonēšanas beigas40
4.12.Šifratslēgas uzticējumglabāšana un atkopšana40
4.12.1.Abonents40
4.12.1.1.Kuru atslēgu pāri var nodot uzticējumglabāšanā40
4.12.1.2.Kurš var iesniegt atkopšanas pieteikumu40
4.12.1.3.Atkopšanas process un pienākumi40
4.12.1,4.Identifikācija un autentifikācija40
4.12.1.5.Atkopšanas pieteikumu apstiprināšana vai noraidīšana40
4.12.1.6.KEA un KRA darbības atslēgu pāra atkopšanas laikā41
4.12.1.7.KEA un KRA pieejamība41
4.12.2.Sesijas atslēgas iekapsulēšanas un atkopšanas politika un prakse41
5.Infrastruktūras, vadības un darbības kontroles pasākumi41
5.1.Fiziskās kontroles pasākumi41
5.1.1.Objekta izvietojums un konstrukcija41
5.1.1.1.Galvenā CA, CPOC, TLM41
5.1.1.2.EA/AA42
5.1.2.Fiziskā piekļuve42
5.1.2.1.Galvenā CA, CPOC, TLM42
5.1.2.2.EA/AA43
5.1.3.Energoapgāde un gaisa kondicionēšana43
5.1.4.Pakļautība ūdens iedarbībai43
5.1.5.Ugunsgrēka novēršana un ugunsdrošība44
5.1.6.Datu nesēju pārvaldība44
5.1.7.Atkritumu apsaimniekošana44
5.1.8.Dublējumkopiju glabāšana ārpus objekta44
5.1.8.1.Galvenā CA, CPOC un TLM44
5.1.8,2.EA/AA45
5.2.Procedūru kontroles pasākumi45
5.2.1.Uzticamās lomas45
5.2.2.Katram uzdevumam vajadzīgo personu skaits45
5.2.3.Katras lomas identifikācija un autentifikācija46
5.2.4.Lomas, kuru pienākumi ir jānodala46
5.3.Personāla kontroles pasākumi47
5.3.1.Kvalifikācija, pieredze un apstiprināšanas prasības47
5.3.2.Iepriekšējās darbības pārbaudes procedūras47
5.3.3.Apmācības prasības48
5.3.4.Pārkvalifikācijas biežums un prasības48
5.3.5.Darba rotācijas biežums un secība48
5.3.6.Sankcijas par nesankcionētām darbībām48
5.3.7.Prasības neatkarīgiem līgumslēdzējiem49
5.3.8.Dokumentācija, ko izsniedz personālam49
5.4.Audita reģistrācijas procedūras49
5.4.1.Notikumu veidi, ko reģistrē un paziņo katra CA49
5.4.2.Žurnāla apstrādes biežums50
5.4.3.Audita žurnāla glabāšanas ilgums50
5.4.4.Audita žurnāla aizsardzība51
5.4.5.Audita žurnāla dublēšanas procedūras51
5.4.6.Audita datu vākšanas sistēma (iekšējā vai ārējā)51
5.4.7.Paziņošana notikuma izraisītājam subjektam51
5.4.8.Ievainojamības novērtējums51
5.5.Ierakstu arhivēšana52
5.5.1.Arhivēto ierakstu veidi52
5.5.2.Arhīva glabāšanas ilgums53
5.5.3.Arhīva aizsardzība53
5.5.4.Sistēmu arhīvs un glabāšana53
5.5.5.Prasības ierakstu laika zīmogošanai54
5.5.6.Arhīva apkopošanas sistēma (iekšējā vai ārējā)54
5.5.7.Arhīva informācijas iegūšanas un verificēšanas procedūras54
5.6.Atslēgu aizvietošana C-ITS uzticamības modeļa elementiem54
5.6.1.TLM54
5.6.2.Galvenā CA54
5.6.3.EA/AA sertifikāts54
5.6.4.Auditors55
5,7.Kompromitējumi un ārkārtas atkopšana55
5.7.1.Rīcība incidentu un kompromitējumu gadījumos55
5.7.2.Datošanas resursu, programmatūras un/vai datu bojājumi56
5.7.3.Procedūras entitāšu privāto atslēgu kompromitējumu gadījumos56
5.7.4.Spēja nodrošināt darbības nepārtrauktību pēc ārkārtas situācijas56
5.8.Darbības izbeigšana un nodošana57
5.8.1.TLM57
5.8.2.Galvenā CA57
5.8.3.EA/AA58
6.Tehniskās drošības kontroles pasākumi58
6.1.Atslēgu pāru ģenerēšana un instalēšana58
6.1.1.TLM, galvenā CA, EA, AA58
6.1.2.EE – mobila C-ITS stacija58
6.1.3.EE – stacionāra C-ITS stacija59
6.1.4.Kriptogrāfijas prasības59
6.1.4.1.Algoritmu un atslēgu garums – paraksta algoritmi59
6.1.4.2.Algoritmu un atslēgu garums – šifrēšanas algoritmi priekšreģistrācijai un autorizācijai60
6.1.4.3.Kriptogrāfiskā elastība61
6.1.5.Privāto atslēgu droša glabāšana61
6.1.5.1.Galvenās CA, pakārtotās CA un TLM līmenis61
6.1.5.2.Gala entitāte62
6.1.6.Privāto atslēgu dublēšana63
6.1.7.Privāto atslēgu iznīcināšana63
6.2.Aktivizācijas dati63
6.3.Datoru drošības kontroles pasākumi63
6.4.Dzīves cikla tehniskās kontroles pasākumi63
6.5.Tīkla drošības kontroles pasākumi63
7.Sertifikātu profili, CRL un CTL63
7.1.Sertifikāta profils63
7.2.Sertifikāta derīgums64
7.2.1.Pseidonīmu sertifikāti65
7.2.2.Autorizācijas biļetes stacionārām C-ITS stacijām65
7.3.Sertifikātu atsaukšana65
7.3.1.CA, EA un AA sertifikātu atsaukšana65
7.3.2.Priekšreģistrācijas akreditācijas datu atsaukšana66
7.3.3.Autorizācijas biļešu atsaukšana66
7.4.Sertifikātu atsaukšanas saraksts66
7.5.Eiropas sertifikātu uzticamības saraksts66
8.Atbilstības audits un citi novērtējumi66
8.1.Auditējamās jomas un audita pamats66
8.2.Audita biežums67
8.3.Auditora identitāte/kvalifikācijas67
8.4.Auditora saikne ar auditēto entitāti67
8.5.Rīcība pēc nepilnību konstatēšanas68
8.6.Rezultātu paziņošana68
9.Citi noteikumi68
9.1.Maksas68
9.2.Finansiālā atbildība69
9.3.Komerciālās informācijas konfidencialitāte69
9.4.Privātuma plāns69
10.Atsauces69
III PIELIKUMS
1.Ievads
1.1.Šās politikas pārskats un darbības joma
Šajā sertifikātu politikā ir definēts Eiropas sadarbīgo intelektisko transporta sistēmu (C-ITS) uzticamības modelis, kura pamatā ir publiskās atslēgas infrastruktūra (PKI), kas ietilpst kopējā ES C-ITS drošības akreditācijas datu pārvaldības sistēmā (EU CCMS). Tā nosaka prasības attiecībā uz to, kā izdevējām entitātēm ir jāpārvalda publiskās atslēgas sertifikāti, ko izdod C-ITS lietojumprogrammām, un kā gala entitātēm Eiropā šādi sertifikāti ir jāizmanto. Visaugstākajā līmenī PKI sastāv no tādu galveno CA kopuma, kas ir “iespējotas”, sertifikātu uzticamības saraksta pārvaldītājam (TLM) iekļaujot to sertifikātus Eiropas sertifikātu uzticamības sarakstā (ECTL), kuru izdod un publicē centrālās entitātes TLM (sk. 1.2. un 1.3. iedaļu).
Šī politika ir saistoša visām entitātēm, kas piedalās uzticamajā C-ITS sistēmā Eiropā. Tā palīdz novērtēt saņemtās informācijas uzticamības līmeni, ko tai var piešķirt jebkurš saņēmējs, kurš saņēmis ziņojumu, kas autentificēts ar PKI gala entitātes sertifikātu. Lai varētu novērtēt to sertifikātu uzticamību, kurus piešķir EU CCMS, šajā politikā ir izklāstīts saistošs prasību kopums attiecībā uz centrālās entitātes TLM darbību un ECTL sagatavošanu un pārvaldību. Attiecīgi šis dokuments reglamentē šādus ar ECTL saistītus aspektus:
·to identitāšu identifikācija un autentifikācija, kuras saņem PKI lomas TLM vajadzībām, ieskaitot apliecinājumus par katrai lomai piešķirtajām privilēģijām;
·minimālās prasības vietējās drošības praksei attiecībā uz TLM, ieskaitot fiziskās, personāla un procedūru kontroles pasākumus;
·minimālās prasības tehniskās drošības praksei attiecībā uz TLM, ieskaitot datordrošību, tīklu drošību un kriptogrāfisko moduļu inženiertehniskās izstrādes kontroles pasākumus;
·minimālās prasības darbības praksei attiecībā uz TLM, ieskaitot jaunu galvenās CA sertifikātu reģistrāciju, esošo iekļauto galveno CA īslaicīgu vai pastāvīgu reģistrācijas atcelšanu un ECTL atjauninājumu publicēšanu un izplatīšanu;
·ECTL profils, kā arī visi ECTL iekļaujamie obligātie un neobligātie datu lauki, izmantojamie šifrēšanas algoritmi, precīzs ECTL formāts un ieteikumi ECTL apstrādei;
·ECTL sertifikātu dzīves cikla pārvaldība, kā arī ECTL sertifikātu izplatīšana, aktivizēšana, to darbības izbeigšanās un atsaukšana;
·galvenās CA uzticamības atsaukšanas pārvaldība, ja nepieciešams.
Tā kā ECTL uzticamība ir atkarīga ne tikai no paša ECTL, bet lielā mērā arī no galvenās CA, kas veido PKI, un to pakārtotajām CA, šajā politikā ir arī izklāstītas minimālās prasības, kas ir obligātas visām iesaistītajām CA (galvenajām CA un pakārtotajām CA). Prasību jomas ir šādas:
·to identitāšu identifikācija un autentifikācija, kuras saņem PKI lomas (piemēram, drošības speciālists, privātuma speciālists, drošības administrators, direktoriju administrators un galalietotājs), ieskaitot apliecinājums par pienākumiem, uzdevumiem, saistībām un privilēģijām, kas saistītas ar katru lomu;
·atslēgu pārvaldība, kā arī pieņemamie un obligātie sertifikātu parakstīšanas un datu parakstīšanas algoritmi un sertifikātu derīguma termiņi;
·minimālās prasības vietējās drošības praksei, ieskaitot fiziskās, personāla un procedūru kontroles pasākumus;
·minimālās prasības tehniskās drošības praksei, piemēram, datordrošība, tīklu drošība un kriptogrāfisko moduļu inženiertehniskās izstrādes kontroles pasākumi;
·minimālās prasības CA, EA, AA un gala entitāšu darbības praksei, ietverot reģistrācijas, reģistrācijas atcelšanas (t. i., svītrošanas no saraksta), atsaukšanas, atslēgu kompromitējumu, pamatotas darbinieku atlaišanas, sertifikātu atjaunināšanas, audita prakses un ar privātumu saistītas informācijas neizpaušanas aspektus;
·sertifikātu un CRL profils, arī formāti, pieņemamie algoritmi, obligātie un neobligātie datu lauki un to derīguma datu diapazoni, un tas, kā verificētājiem būtu jāapstrādā sertifikāti;
·C-ITS uzticamības modeļu entitāšu regulārās uzraudzības, ziņošanas, brīdināšanas un atjaunošanas pienākumi, lai nodrošinātu drošu darbību, arī neatbilstošas darbības gadījumos.
Papildus šīm minimālajām prasībām entitātes, kas vada galvenās CA un pakārtotās CA, var izlemt, ka piemēros savas papildu prasības un izklāstīs šādas prasības attiecīgajos sertifikātu prakses paziņojumos (CPS), ar nosacījumu, ka prasības nav pretrunā sertifikāta politikā izklāstītajām prasībām. Plašāku informāciju pat to, kā notiek CPS auditēšana un publicēšana, sk. 1.5. iedaļā.
CP arī nosaka, kādiem mērķiem var izmantot galvenās CA, pakārtotās CA un to izdotos sertifikātus. Tajā ir izklāstītas saistības, ko uzņemas:
·TLM;
·katra galvenā CA, kuras sertifikāti ir iekļauti ECTL;
·galvenās CA pakārtotās CA (EA un AA);
·katrs dalībnieks vai organizācija, kas atbild par vienu no C-ITS uzticamības modeļu entitātēm vai vada vienu no C-ITS uzticamības modeļu entitātēm.
CP ir arī noteikti obligātie pienākumi, kas attiecas uz:
·TLM;
·katra galvenā CA, kuras sertifikāti ir iekļauti ECTL;
·katru pakārtoto CA, ko sertificējusi galvenā CA;
·visām gala entitātēm;
·katru dalīborganizāciju, kas atbild par vienu no C-ITS uzticamības modeļu entitātēm vai vada vienu no C-ITS uzticamības modeļu entitātēm.
Visbeidzot, CP ir izklāstītas prasības attiecībā uz to, kā dokumentēt CPS noteikto saistību un pienākumu ierobežojumus katrai galvenajai CA, kuras sertifikāti ir iekļauti ECTL.
Šī CP atbilst sertifikātu politikas un sertificēšanas prakses regulējumam, ko pieņēmusi Interneta tehniskā uzdevumgrupa (IETF) (3. vēre).
1.2.Definīcijas un akronīmi
Piemēro 2., 3. un 4. vērē noteiktās definīcijas.
|
AA
|
autorizācijas iestāde
|
|
AT
|
autorizācijas biļete
|
|
CI
|
sertificēšanas iestāde
|
|
CP
|
sertifikātu politika
|
|
CPA
|
C-ITS sertifikātu politikas iestāde
|
|
CPOC
|
C-ITS kontaktpunkts
|
|
CPS
|
sertifikātu prakses paziņojums
|
|
CRL
|
sertifikātu atsaukšanas saraksts
|
|
EA
|
priekšreģistrācijas iestāde
|
|
EC
|
priekšreģistrācijas akreditācijas dati
|
|
ECIES
|
eliptiskās līknes integrētās šifrēšanas shēma
|
|
EE
|
gala entitāte (t. i., C-ITS stacija)
|
|
ECTL
|
Eiropas sertifikātu uzticamības saraksts
|
|
EU CCMS
|
ES C-ITS drošības akreditācijas datu pārvaldības sistēma
|
|
VDAR
|
Vispārīgā datu aizsardzības regula
|
|
HSM
|
aparatūras drošības modulis
|
|
PKI
|
publiskās atslēgas infrastruktūra
|
|
RA
|
reģistrācijas iestāde
|
|
pakārtota CA
|
EA un AA
|
|
TLM
|
uzticamības saraksta pārvaldītājs
|
Glosārijs
|
pieteikuma iesniedzējs
|
Fiziskā persona vai tiesībsubjekts, kas piesakās uz sertifikātu (vai pieprasa sertifikāta atjaunošanu). No brīža, kad tiek izveidots sākotnējais sertifikāts (inicializācija), pieteikuma iesniedzēju dēvē par abonentu.
Attiecībā uz sertifikātiem, kas izdoti gala entitātēm, abonents (sertifikāta pieteikuma iesniedzējs) ir entitāte, kas kontrolē vai vada gala entitāti, kurai sertifikāts izdots, pat ja faktisko sertifikāta pieprasījumu nosūta gala entitāte.
|
|
autorizācijas iestāde
|
Šajā dokumentā termins “autorizācijas iestāde” (AA) attiecas ne tikai uz konkrēto AA funkciju, bet arī uz tiesībsubjektu un/vai operatīvo entitāti, kas pārvalda AA.
|
|
sertificēšanas iestāde
|
Galveno sertificēšanas iestādi, priekšreģistrācijas iestādi un autorizācijas iestādi visas kopā dēvē par “sertificēšanas iestādi” (CA).
|
|
C-ITS uzticamības modelis
|
C-ITS uzticamības modelis atbild par uzticamības attiecību nodibināšanu starp C-ITS stacijām. To īsteno, izmantojot PKI, ko veido CA, CPOC, TLM, EA, AA un drošs tīkls.
|
|
kriptogrāfiskā elastība
|
C-ITS uzticamības modeļa entitāšu spēja pielāgot CP mainīgajai videi vai jaunām nākotnes prasībām, piemēram, laika gaitā mainot šifrēšanas algoritmus un atslēgu garumu.
|
|
kriptogrāfiskais modulis
|
Drošs uz aparatūru balstīts elements, kurā tiek ģenerētas un/vai glabātas atslēgas, tiek ģenerēti nejauši skaitļi un tiek parakstīti vai šifrēti dati.
|
|
priekšreģistrācijas iestāde
|
Šajā dokumentā termins “priekšreģistrācijas iestāde” (EA) attiecas ne tikai uz konkrēto EA funkciju, bet arī uz tiesībsubjektu un/vai operatīvo entitāti, kas pārvalda EA.
|
|
PKI dalībnieki
|
C-ITS uzticamības modeļa entitātes, t. i., TLM, galvenā CA, EA, AA un C-ITS stacijas.
|
|
atslēgu atjaunošana
|
|
|
repozitorijs
|
Repozitorijs, ko izmanto, lai tajā glabātu sertifikātus un informāciju par sertifikātiem, kuru sniedz C-ITS uzticamības modeļa entitātes, kā noteikts 2.3. iedaļā.
|
|
galvenā sertificēšanas iestāde
|
Šajā dokumentā termins “galvenā sertificēšanas iestāde” (CA) attiecas ne tikai uz konkrēto CA funkciju, bet arī uz tiesībsubjektu un/vai operatīvo entitāti, kas pārvalda CA.
|
|
subjekts
|
Fiziska persona, ierīce, sistēma, vienība vai tiesībsubjekts, kas norādīts sertifikātā kā subjekts, t. i., vai nu abonents, vai ierīce, ko kontrolē un vada abonents.
|
|
abonents
|
Fiziska persona vai tiesībsubjekts, kuram izdots sertifikāts un kuram saistošs ir abonenta vai lietošanas nosacījumu līgums.
|
|
abonenta līgums
|
Līgums, kuru noslēdz starp CA un pieteikuma iesniedzēju/abonentu un kurā izklāstītas pušu tiesības un pienākumi.
|
1.3.PKI dalībnieki
1.3.1.Ievads
PKI dalībniekiem ir noteikta loma attiecībā uz PKI, ko nosaka šī politika. Ja nav skaidri aizliegts, dalībnieks var vienlaikus uzņemties vairākas lomas. Var būt aizliegts vienlaicīgi uzņemties konkrētas lomas, lai izvairītos no interešu konfliktiem vai nodrošinātu pienākumu nošķiršanu.
Dalībnieki var arī deleģēt savas lomas daļas citām entitātēm, noslēdzot pakalpojumu līgumu. Piemēram, kad tiek sniegta atsaukšanas statusa informācija, izmantojot CRL, tad CA ir arī CRL izdevēja, bet atbildību par CRL izdošanu tā var deleģēt citai entitātei.
PKI lomas veido šādi komponenti:
·autoritatīvās lomas, t. i., katra loma tiek instancēta unikāli;
·operatīvās lomas, t. i., lomas, ko var instancēt vienā vai vairākās entitātēs.
Piemēram, galveno CA var īstenot komerciāla entitāte, kopīgu interešu grupa, valsts organizācija un/vai Eiropas organizācija.
1. attēlā ir parādīta C-ITS uzticamības modeļa arhitektūra, pamatojoties uz 2. vēri. Arhitektūra ir īsumā raksturota šajā dokumentā, bet galvenie elementi ir izklāstīti sīkāk 1.3.2.–1.3.6. iedaļā.
CPA ieceļ TLM, kas līdz ar to ir uzticamības entitāte visiem PKI dalībniekiem. CPA apstiprina galvenās CA darbību un apliecina, ka TLM var uzticēties galvenajai CA. TLM izdod ECTL, kas visiem PKI dalībniekiem dod pārliecību, ka tie var uzticēties apstiprinātajām galvenajām CA. Galvenā CA izdod sertifikātus EA un AA, tādējādi dodot pārliecību, ka to darbība ir uzticama. EA izdod priekšreģistrācijas sertifikātus nosūtītājām un retranslētājām C-ITS stacijām (kā gala entitātēm), tādējādi dodot pārliecību, ka to darbībai var uzticēties. AA izdod C-ITS stacijām AT, pamatojoties uz EA uzticamību.
Saņēmēja un retranslētāja C-ITS stacija (kā retranslētāja puse) var uzticēties citām C-ITS stacijām, jo AT izdevēja ir AA, kam uzticas galvenā CA, kurai savukārt uzticas TLM un CPA.
Jāņem vērā, ka 1. attēlā ir atspoguļots tikai C-ITS uzticamības modeļa galvenās CA līmenis. Informācija par zemākiem līmeņiem ir ietverta šās CP nākamajās iedaļās vai konkrēto galveno CA CPS.
2. attēlā dots pārskats par informācijas plūsmām starp PKI dalībniekiem. Ar zaļajiem punktiem apzīmē plūsmas, kurām vajadzīga starpmašīnu komunikācija. Ar sarkano krāsu apzīmētajām informācijas plūsmām piemēro noteiktas drošības prasības.
C-ITS uzticamības modeļa pamatā ir vairāku galveno CA arhitektūra, kurā galvenās CA sertifikātus periodiski (kā tālāk norādīts) pārraida centrālajam kontaktpunktam (CPOC), izmantojot drošu protokolu (piemēram, saites sertifikātus), ko nosaka CPOC.
Galveno CA var vadīt valsts organizācija vai privāta organizācija. C-ITS uzticamības modeļa arhitektūra ietver vismaz vienu galveno CA (ES galveno CA, kas ir no tāda paša līmeņa kā pārējās galvenās CA). ES galveno CA deleģē visas entitātes, kas piedalās C-ITS uzticamības modelī un nevēlas izveidot savu galveno CA. CPOC pārsūta saņemtos galvenās CA sertifikātus TLM, kurš atbild par galvenās CA sertifikātu saraksta sagatavošanu un parakstīšanu un minēto sertifikātu atpakaļnosūtīšanu CPOC, kas tos dara publiski pieejamus visiem (sk. tālāk).
Uzticamības relācijas starp C-ITS uzticamības modelī ietvertajām entitātēm ir atspoguļotas nākamajos attēlos, tabulās un iedaļās.
1. attēls. C-ITS uzticamības modeļa arhitektūra
2. attēls. C-ITS uzticamības modeļa informācijas plūsmas
|
Plūsmas identifikators
|
Nosūtītājs
|
Saņēmējs
|
Saturs
|
Atsauce
|
|
(1).
|
CPA
|
TLM
|
galvenās CA pieteikuma apstiprināšana
|
8.
|
|
(2).
|
CPA
|
TLM
|
informācija par galvenās CA atsaukšanu
|
8.5.
|
|
(3).
|
CPA
|
galvenā CA
|
CP atjauninājumi
|
1.5.
|
|
(4).
|
CPA
|
galvenā CA
|
galvenās CA pieteikuma veidlapas, CPS pieprasījuma izmaiņu vai audita procesa apstiprināšana/noraidīšana
|
8.5., 8.6.
|
|
(5).
|
TLM
|
CPA
|
paziņojums par ECTL izmaiņām
|
4., 5.8.1.
|
|
(6).
|
TLM
|
CPOC
|
TLM sertifikāts
|
4.4.2.
|
|
(7).
|
TLM
|
CPOC
|
ECTL
|
4.4.2.
|
|
(8).
|
CPOC
|
TLM
|
galvenās CA sertifikāta informācija
|
4.3.1.1.
|
|
(9).
|
CPOC
|
TLM
|
galvenās CA sertifikāta atsaukšana
|
7.3.
|
|
(10).
|
CPOC
|
visas gala entitātes
|
TLM sertifikāts
|
4.4.2.
|
|
(11).
|
galvenā CA
|
CPOC
|
galvenās CA sertifikāta informācija
|
4.3.1.1.
|
|
(12).
|
galvenā CA
|
CPOC
|
galvenās CA sertifikāta atsaukšana
|
7.3.
|
|
(13).
|
galvenā CA
|
auditors
|
audita rīkojums
|
8.
|
|
(14).
|
galvenā CA
|
CPA
|
galvenās CA pieteikuma veidlapa – sākotnējais pieprasījums
|
4.1.2.1.
|
|
(15).
|
galvenā CA
|
CPA
|
galvenās CA pieteikuma veidlapa – CPS izmaiņas
|
1.5.1.
|
|
(16).
|
galvenā CA
|
CPA
|
galvenās CA pieteikuma veidlapa – audita ziņojums
|
8.6.
|
|
(17).
|
galvenā CA
|
CPA
|
galvenās CA incidentu ziņojumi, ieskaitot pakārtotas CA (EA, AA) atsaukšanu
|
III pielikuma 7.3.1. punkts
|
|
(18).
|
galvenā CA
|
EA
|
EA sertifikāts – atbilde
|
4.2.2.3.
|
|
(19).
|
galvenā CA
|
AA
|
AA sertifikāts – atbilde
|
4.2.2.3.
|
|
(20).
|
galvenā CA
|
Visi
|
EA/AA sertifikāts, CRL
|
4.4.2.
|
|
(21).
|
EA
|
galvenā CA
|
EA sertifikāts – pieprasījums
|
4.2.2.3.
|
|
(22).
|
EA
|
C-ITS stacija
|
priekšreģistrācijas akreditācijas dati – atbilde
|
4.3.1.4.
|
|
(23).
|
EA
|
AA
|
autorizācija – atbilde
|
4.2.2.5.
|
|
(24).
|
AA
|
galvenā CA
|
AA sertifikāts – pieprasījums
|
4.2.2.3.
|
|
(25).
|
AA
|
EA
|
autorizācija – pieprasījums
|
4.2.2.5.
|
|
(26).
|
AA
|
C-ITS stacija
|
autorizācijas biļete – atbilde
|
4.3.1.5.
|
|
(27).
|
EA
|
galvenā CA
|
pieprasījuma iesniegšana
|
4.1.2.3.
|
|
(28).
|
AA
|
galvenā CA
|
pieprasījuma iesniegšana
|
4.1.2.3.
|
|
(29).
|
galvenā CA
|
EA
|
atbilde
|
4.12. un 4.2.1.
|
|
(30).
|
galvenā CA
|
AA
|
atbilde
|
4.12. un 4.2.1.
|
|
(31).
|
C-ITS stacija
|
EA
|
priekšreģistrācijas akreditācijas dati – pieprasījums
|
4.2.2.4.
|
|
(32).
|
C-ITS stacija
|
AA
|
autorizācijas biļete – pieprasījums
|
4.2.2.5.
|
|
(33).
|
ražotājs/operators
|
EA
|
reģistrācija
|
4.2.1.4.
|
|
(34).
|
ražotājs/operators
|
EA
|
dezaktivizācija
|
7.3.
|
|
(35).
|
EA
|
ražotājs/operators
|
atbilde
|
4.2.1.4.
|
|
(36).
|
auditors
|
galvenā CA
|
ziņojums
|
8.1.
|
|
(37).
|
visi
|
CPA
|
CP izmaiņas – pieprasījums
|
1.5.
|
|
(38).
|
TLM
|
CPA
|
pieteikuma veidlapa
|
4.1.2.2.
|
|
(39).
|
CPA
|
TLM
|
apstiprinājums/noraidījums
|
4.1.2.2.
|
|
(40).
|
TLM
|
CPA
|
audita ziņojums
|
4.1.2.2.
|
1. tabula.
C-ITS uzticamības modelī notiekošo informācijas plūsmu sīks apraksts
1.3.2.C-ITS sertifikātu politikas iestāde
(1)C-ITS sertifikātu politikas iestādes (CPA) sastāvu veido publisku un privātu ieinteresēto personu (piemēram, dalībvalstu, transportlīdzekļu ražotāju u. c.), kas piedalās C-ITS uzticamības modelī, pārstāvji. Tās atbildībā ir divas apakšlomas:
(1)sertifikātu politikas pārvaldība, kur ietilpst:
·šās CP un turpmāko CP izmaiņu pieprasījumu apstiprināšana;
·lēmumu pieņemšana par CP izmaiņu pieprasījumu pārskatīšanu un ieteikumiem, ko sniedz citi PKI dalībnieki vai entitātes;
·lēmumu pieņemšana par jaunu CP versiju izlaišanu;
(2)PKI autorizācijas pārvaldība, kur ietilpst:
·CPS apstiprināšanas un CA audita procedūru (visas kopā dēvētas par “CA apstiprināšanas procedūrām”) noteikšana, publicēšana un lēmumu pieņemšana par tām;
·CPOC pilnvarošana darboties un regulāri sniegt ziņojumus;
·TLM pilnvarošana darboties un regulāri sniegt ziņojumus;
·galvenās CA CPS apstiprināšana, ja tas ir saskaņā ar kopīgo un derīgo CP;
·no akreditētā PKI auditora saņemto audita ziņojumu par visām galvenajām CA pārbaude;
·TLM informēšana par apstiprināto vai neapstiprināto galveno CA sarakstu un to sertifikātiem, pamatojoties uz saņemtajiem galvenās CA apstiprinājuma ziņojumiem un regulāriem darbības ziņojumiem.
(2)CPA pilnvarotais pārstāvis atbild par TLM pilnvarotā pārstāvja autentifikāciju un TLM priekšreģistrācijas procesa pieteikuma veidlapas apstiprināšanu. CPA atbild par TLM pilnvarošanu darboties, kā minēts šajā iedaļā.
1.3.3.Uzticamības saraksta pārvaldītājs
(3)TLM ir atsevišķa entitāte, ko ieceļ CPA.
(4)TLM ir atbildīgs par šādām jomām:
·ECTL uzturēšana saskaņā ar vispārējo derīgo CP un regulāra ziņošana par darbību CPA, lai nodrošinātu SITS uzticamības modeļa darbības drošību kopumā;
·galvenās CA sertifikātu saņemšana no CPOC;
·galvenās CA sertifikātu iekļaušana ECTL / izslēgšana no ECTL, pamatojoties uz CPA paziņojumu;
·ECTL parakstīšana;
·ECTL regulāra un laicīga pārsūtīšana CPOC.
1.3.4.Akreditētais PKI auditors
(5)Akreditētais PKI auditors ir atbildīgs par šādām jomām:
·galvenās CA, TLM un pakārtoto CA auditu veikšana vai organizēšana;
·audita ziņojuma (kas sagatavots pēc sākotnējā vai regulārā audita) izplatīšana CPA atbilstoši 8. iedaļā noteiktajām prasībām. Audita ziņojumā jābūt ietvertiem akreditētā PKI auditora ieteikumiem;
·entitātes, kas pārvalda galveno CA, informēšana par pakārtoto CA sākotnējā vai periodiskā audita sekmīgu vai nesekmīgu izpildi;
·CPS atbilstības šai CP novērtēšana.
1.3.5.C-ITS kontaktpunkts (CPOC)
(6)CPOC ir atsevišķa entitāte, ko ieceļ CPA. CPA pilnvarotais pārstāvis atbild par CPOC pilnvarotā pārstāvja autentifikāciju un CPOC priekšreģistrācijas procesa pieteikuma veidlapas apstiprināšanu. CPA atbild par CPOC pilnvarošanu darboties, kā izklāstīts šajā iedaļā.
(7)CPOC ir atbildīgs par šādām jomām:
·drošas komunicējumu apmaiņas izveide un veicināšana starp visām C-ITS uzticamības modeļa entitātēm efektīvi un ātri;
·citu uzticamības modeļa dalībnieku (piemēram, galvenās CA) iesniegto procedūras izmaiņu pieprasījumu un ieteikumu izskatīšana;
·galvenās CA sertifikātu pārsūtīšana TLM;
·kopējā uzticamības enkura (TLM aktuālās publiskās atslēgas un saites sertifikāta) publicēšana;
·ECTL publicēšana.
Pilnīga informācija par ECTL ir atrodama 7. iedaļā.
1.3.6.Operatīvās lomas
(8)Tālāk norādītajām entitātēm, kas definētas 2. vērē, ir operatīva loma, kā noteikts RFC 3647.
|
Funkcionālais elements
|
PKI loma (3. un 4. vēre)
|
Detalizēta loma (2. vēre)
|
|
galvenā sertificēšanas iestāde
|
CA/RA (reģistrācijas iestāde)
|
Sniedz EA un AA apliecinājumu, ka tā var izdot EC vai AT
|
|
priekšreģistrācijas iestāde
|
galvenās CA abonents / EA sertifikāta subjekts
CA/RA
|
Autentificē C-ITS staciju un piešķir tai piekļuvi ITS komunicējumiem
|
|
autorizācijas iestāde
|
galvenās CA abonents / AA sertifikāta subjekts
CA/RA
|
Sniedz C-ITS stacijai autoritatīvu apliecinājumu, ka tā var izmantot īpašus ITS pakalpojumus
|
|
nosūtītāja C-ITS stacija
|
gala entitātes (EE) sertifikāta (EC) subjekts
|
Saņem no EA tiesības piekļūt ITS komunicējumiem
Apspriež no AA saņemtās tiesības, lai izsauktu ITS pakalpojumus
Nosūta viena lēkuma un retranslētus apraides ziņojumus
|
|
retranslētāja (pārsūtītāja) C-ITS stacija
|
retranslētāja puse / EE sertifikāta subjekts
|
Saņem apraides ziņojumus no nosūtītājas C-ITS stacijas un vajadzības gadījumā pārsūta tos saņēmējai C-ITS stacijai
|
|
saņēmēja C-ITS stacija
|
retranslētāja puse
|
Saņem apraides ziņojumus no nosūtītājas vai retranslētājas C-ITS stacijas
|
|
ražotājs
|
EA abonents
|
C-ITS stacijas ražošanas laikā stacijā instalē drošības pārvaldībai nepieciešamo informāciju
|
|
operators
|
EA/AA abonents
|
C-ITS stacijas ekspluatācijas laikā stacijā instalē un atjaunina drošības pārvaldībai nepieciešamo informāciju
|
2. tabula. Operatīvās lomas
Piezīme. Saskaņā ar 4. vēri šajā CP lieto atšķirīgus terminus, lai apzīmētu “abonentu”, kas noslēdz līgumu ar CA par sertifikātu izdošanu, un “subjektu”, uz kuru attiecas sertifikāts. “Abonenti” ir visas entitātes, kam ir līgumsaistības ar CA. “Subjekti” ir entitātes, uz kurām attiecas sertifikāts. EA/AA ir galvenās CA abonenti un subjekti un var pieprasīt EA/AA sertifikātus. SITS stacijas ir subjekti un var pieprasīt gala entitāšu sertifikātus.
(9)Reģistrācijas iestādes
EA ir jāuzņemas reģistrācijas iestādes loma attiecībā uz gala entitātēm. Tikai autentificēts un autorizēts abonents var reģistrēt EA jaunas gala entitātes (C-ITS stacijas). Attiecīgajām galvenajām CA ir jāuzņemas reģistrācijas iestāžu loma attiecībā uz EA un AA.
1.4.Sertifikātu izmantošana
1.4.1.Piemērojamie izmantojamie domēni
(10)Sertifikātus, ko izdod saskaņā ar šo CP, ir paredzēts izmantot, lai validētu digitālos parakstus sadarbīgo ITS komunikācijas kontekstā saskaņā ar arhitektūru, kas norādīta 2. vērē.
(11)Sertifikātu profili, kas norādīti 5. vērē, nosaka sertifikātu izmantojumu TLM, galveno CA, EA, AA un gala entitāšu vajadzībām.
1.4.2.Atbildības ierobežojumi
(12)Sertifikātus nav paredzēts un nav atļauts izmantot:
·apstākļos, ar kuriem tiek aizskarti vai pārkāpti kādi piemērojamie tiesību akti, noteikumi (piemēram, VDAR), dekrēti vai valdības rīkojumi vai kuri ir pretrunā šiem dokumentiem;
·apstākļos, ar kuriem tiek pārkāptas vai aizskartas citu indivīdu tiesības vai kuri ir pretrunā citu indivīdu tiesībām;
·pārkāpjot šo CP vai attiecīgo abonenta līgumu;
·apstākļos, kad to izmantošana var tieši izraisīt nāvi, miesas bojājumus vai būtisku kaitējumu videi (piemēram, ja rodas kļūme kodoliekārtu ekspluatācijā, gaisa kuģu navigācijā vai sakaros vai ieroču kontroles sistēmās);
·apstākļos, kas ir pretrunā vispārējiem mērķiem palielināt ceļu satiksmes drošību un autotransporta efektivitāti Eiropā.
1.5.Sertifikātu politikas pārvalde
1.5.1.ECTL ietverto CA CPS atjaunināšana
(13)Katra ECTL iekļautā galvenā CA publicē savu CPS, kam ir jāatbilst šai politikai. Galvenā CA var noteikt papildu prasības, bet tā nodrošina, ka vienmēr tiek ievērotas visas šās CP prasības.
(14)Katra ECTL iekļautā CA īsteno atbilstošu procesu, lai pārvaldītu izmaiņas savā CPS dokumentā. Izmaiņu procesa galvenās iezīmes dokumentē CPS publiskajā daļā.
(15)Izmaiņu procesā nodrošina, ka visas šajā CP ieviestās izmaiņas tiek rūpīgi izanalizētas un – ja tā nepieciešams grozītās CP ievērošanai – CPS tiek atjaunināts termiņā, kas noteikts CP izmaiņu procesa īstenošanas posmā. Izmaiņu procesā jo īpaši iekļauj ārkārtas izmaiņu procedūras, kas nodrošina drošībai būtisku CP izmaiņu savlaicīgu īstenošanu.
(16)Izmaiņu procesā iekļauj attiecīgus pasākumus, lai verificētu, vai visas CPS izmaiņas atbilst CP. Visas CPS izmaiņas skaidri dokumentē. Pirms jaunas CPS versijas īstenošanas akreditētajam PKI auditoram ir jāapstiprina tās atbilstība CP.
(17)Galvenā CA informē CPA par visām CPS ieviestajām izmaiņām, sniedzot vismaz šādu informāciju:
·precīzs izmaiņu apraksts;
·izmaiņu loģiskais pamatojums;
·akreditētā PKI ziņojums, kurā apstiprināta atbilstība CP;
·par CPS atbildīgās personas kontaktinformācija;
·plānotais īstenošanas grafiks.
1.5.2.CPS apstiprināšanas procedūras
(18)Pirms savu darbību sākšanas potenciālā galvenā CA iesniedz savu CPS akreditētam PKI auditoram atbilstības nodrošināšanas rīkojuma audita ietvaros (13. plūsma), kā arī iesniedz to CPA apstiprināšanai (15. plūsma).
(19)Galvenā CA iesniedz savas CPS izmaiņas akreditētam PKI auditoram atbilstības nodrošināšanas rīkojuma audita ietvaros (13. plūsma), kā arī iesniedz tās CPA apstiprināšanai (15. plūsma), pirms šādas izmaiņas stājas spēkā.
(20)EA/AA iesniedz savu CPS vai sava CPS izmaiņas galvenajai CA. Galvenā CA var likt, lai par EA/AA atbildīgā valsts vai privātā struktūra izdod atbilstības sertifikātu, kā noteikts 4.1.2. un 8. iedaļā.
(21)Akreditētais PKI auditors novērtē CPS saskaņā ar 8. iedaļu.
(22)Akreditētais PKI auditors CPS novērtējuma rezultātus izklāsta audita ziņojumā, kā noteikts 8.1. iedaļā. CPS akceptē vai noraida, kad tiek akceptēts audita ziņojums, kā minēts 8.5. un 8.6. iedaļā.
2.Publicēšanas un repozitorija pienākumi
2.1.Sertifikātu informācijas publicēšanas metodes
(23)Sertifikātu informāciju var publicēt atbilstoši 2.5. iedaļai:
·regulāri vai periodiski, vai
·atbildot uz pieprasījumu, ko izteikusi viena no piedalīgajām entitātēm.
Katrā no minētajiem gadījumiem piemēro atšķirīgu publicēšanas steidzamības pakāpi un attiecīgi arī atšķirīgus grafikus, tomēr entitātēm ir jābūt gatavām abiem šo procedūru veidiem.
(24)Regulāra sertifikātu informācijas publicēšana sniedz iespēju noteikt maksimālo termiņu, līdz kuram sertifikātu informācija tiek atjaunināta attiecībā uz visiem C-ITS tīkla mezgliem. Visas sertifikātu informācijas publicēšanas biežums ir noteikts 2.2. iedaļā.
(25)Pēc C-ITS tīklā iesaistīto entitāšu pieprasījuma jebkurš no dalībniekiem var jebkurā laikā sākt sertifikātu informācijas publicēšanu un atkarībā no sava statusa pieprasīt aktuālu sertifikātu informācijas kopumu, lai kļūtu par pilnībā uzticamu C-ITS tīkla mezglu. Šādas publicēšanas mērķis ir galvenokārt sniegt entitātēm jaunāko informāciju par sertifikātu informācijas vispārējo aktuālo statusu tīklā un sniegt tām iespēju uzticami komunicēt līdz nākamajai regulārajai informācijas publicēšanai.
(26)Arī atsevišķa galvenā CA var jebkurā laikā iniciēt sertifikātu informācijas publicēšanu, nosūtot atjauninātu sertifikātu kopumu visiem C-ITS tīkla “abonentdalībniekiem”, kas ir šādas informācijas regulārie saņēmēji. Tā tiek atbalstīta CA darbība, un CA var vērsties pie dalībniekiem laikposmā starp regulārajiem un plānotajiem sertifikātu publicēšanas datumiem.
(27)Galvenās CA sertifikātu un ECTL publicēšanas mehānisms un visas ar to saistītās procedūras ir izklāstītas 2.5. iedaļā.
(28)CPOC publicē galvenās CA sertifikātus (kas iekļauti ECTL un paredzēti publiskai izmantošanai), TLM sertifikātu un savu izdoto ECTL.
(29)Galvenā CA publicē savus EA/AA sertifikātus un CRL un spēj atbalstīt visus trīs šajā iedaļā minētos mehānismus to publicēšanai saviem abonentdalībniekiem un uzticamajām pusēm, veicot visus nepieciešamos pasākumus, lai nodrošinātu drošu pārraidi, kā minēts 4. iedaļā.
2.2.Publicēšanas laiks vai biežums
(30)Prasības par sertifikātu un CRL publicēšanas grafiku jānosaka, ņemot vērā atsevišķo C-ITS mezglu dažādos ierobežojošos faktorus, ar vispārējo mērķi uzturēt “uzticamu tīklu” un iespējami drīz publicēt atjauninājumus visām iesaistītajām C-ITS stacijām.
·Attiecībā uz atjauninātas sertifikātu informācijas (piemēram, ECTL vai CRL sastāva izmaiņu) regulāro publicēšanu maksimālais laikposms, kas vajadzīgs, lai nodrošinātu C-ITS tīkla drošu uzturēšanu, ir trīs mēneši.
·Galvenā CA publicē savus CA sertifikātus un CRL iespējami drīz pēc to izdošanas.
·CRL publicēšanai izmanto galvenās CA repozitoriju.
Turklāt CPS par katru CA norāda laikposmu, kurā publicē sertifikātu pēc tam, kad to ir izdevusi CA.
Šajā iedaļā ir noteikts tikai regulārās publicēšanas laiks vai biežums. Savienojamības līdzekļus jaunākās informācijas sniegšanai C-ITS stacijām par ECTL un CRL nedēļas laikā no to publicēšanas (normālos darbības apstākļos, piemēram, ar mobilo sakaru pārklājumu, kad transportlīdzeklis tiek ekspluatēts, u. tml.) īsteno saskaņā ar šajā dokumentā noteiktajām prasībām.
2.3.Repozitoriji
(31)Prasības atsevišķajām entitātēm attiecībā uz sertifikātu glabāšanas repozitorija struktūru un to, kādu informāciju sniedz C-ITS tīkla entitātes, ir šādas:
·parasti, lai publicētu sertifikātus PKI dalībniekiem, katrai galvenajai CA jāizmanto savu aktuālo EA/AA sertifikātu informācijas repozitorijs (piemēram, uz LDAP balstīts direktoriju pakalpojums). Katras galvenās CA repozitorijs atbalsta visus vajadzīgos piekļuves kontroles pasākumus (2.4. iedaļa) un pārraides laikus (2.2. iedaļa) attiecībā uz ikvienu ar C-ITS saistītas informācijas izplatīšanas metodi;
·TLM repozitorijam (kurā glabā, piemēram, CPOC publicētos ECTL un TLM sertifikātus) jābūt balstītam uz publicēšanas mehānismu, lai varētu nodrošināt 2.2. iedaļā noteiktos pārraides laikus attiecībā uz ikvienu izplatīšanas metodi.
Prasības, ko piemēro AA, nav noteiktas, bet tām ir jāatbalsta tādi paši drošības līmeņi kā pārējām entitātēm, kuri ir jādeklarē to CPS.
2.4.Piekļuves kontroles pasākumi attiecībā uz repozitorijiem
(32)Prasības attiecībā uz to, kā tiek kontrolēta piekļuve sertifikātu informācijas repozitorijiem, atbilst vismaz ISO/IEC 27001 izklāstītajiem drošas informācijas apstrādes vispārīgajiem standartiem un 4. iedaļā noteiktajām prasībām. Turklāt tajās atspoguļo procesa drošības vajadzības, kas jānosaka vienotajiem procesa posmiem sertifikātu informācijas publikācijā.
·Tas ietver TLM sertifikātu repozitorija īstenošanu un ECTL iekļaušanu TLM/CPOC. Katrs CA vai repozitorija operators īsteno piekļuves kontroles pasākumus attiecībā uz visām C-ITS entitātēm un ārējām pusēm vismaz trīs dažādos līmeņos (piemēram, publisks līmenis, tikai C-ITS entitāšu līmenis, galvenās CA līmenis), lai novērstu, ka nepilnvarotas entitātes papildina, groza vai dzēš repozitorija ierakstus.
·Konkrētajiem atsevišķas entitātes piekļuves kontroles mehānismiem vajadzētu būt daļai no attiecīgā CPS.
·Attiecībā uz katru galveno CA, EA un AA repozitoriji atbilst vienām un tām pašām piekļuves kontroles procedūras prasībām neatkarīgi no vietas vai līgumiskās saites ar pakalpojumu sniedzēju, kas pārvalda repozitoriju.
Attiecībā uz piekļuves kontroles līmeņiem katrai galvenajai CA vai repozitorija operatoram iesākumā jānodrošina vismaz trīs dažādi līmeņi (piemēram, publisks līmenis, tikai C-ITS entitāšu līmenis, galvenās CA līmenis).
2.5.Sertifikātu informācijas publicēšana
2.5.1.Sertifikātu informācijas publicēšana, ko veic TLM
(33)TLM Eiropas kopējā C-ITS uzticamības domēnā caur CPOC publicē šādu informāciju:
·visi aktuālie un derīgie TLM sertifikāti nākamajam darbības periodam (aktuālais un saites sertifikāts, ja pieejams);
·CPOC repozitorija piekļuves punkta informācija parakstītā galvenās CA saraksta (ECTL) iesniegšanai;
·vispārīgās informācijas punkts ECTL un C-ITS izmantošanai.
2.5.2.Sertifikātu informācijas publicēšana, ko veic CA
(34)Galvenās CA Eiropas kopīgajā C-ITS uzticamības domēnā publicē šādu informāciju:
·izdotie (aktuālie un derīgie) galvenās CA sertifikāti (aktuālie sertifikāti un sertifikāti ar korekti atjaunotiem sertifikātiem, ieskaitot saites sertifikātu) 2.3. iedaļā minētajā repozitorijā;
·visas derīgās EA, AA entitātes, norādot to operatora identifikāciju un plānoto darbības laiku;
·izdotie CA sertifikāti 2.3. iedaļā minētajos repozitorijos;
·CRL par visiem atsauktajiem CA sertifikātiem, aptverot to pakārtotās EA un AA;
·informācija par galvenās CA piekļuves punktu, ko izmanto, lai piekļūtu CRL un CA informācijai.
Visa sertifikātu informācija ir kategorizēta atbilstoši trīs konfidencialitātes līmeņiem, un dokumentiem, kas paredzēti plašai sabiedrībai, jābūt publiski pieejamiem bez ierobežojumiem.
3.Identifikācija un autentifikācija
3.1.Nosaukumdošana
3.1.1.Nosaukuma veidi
3.1.1.1.TLM, galvenās CA, EA, AA nosaukumi
(35)TLM sertifikātā norādītais nosaukums sastāv no atsevišķa “subject_name” (subjekta nosaukuma) atribūta ar rezervēto vērtību “EU_TLM”.
(36)Galvenās CA nosaukums sastāv no atsevišķa “subject_name” (subjekta nosaukuma) atribūta ar vērtību, ko piešķir CPA. Par nosaukumu unikalitāti atbild vienīgi CPA, un TLM pēc paziņojuma saņemšanas no CPA uztur galvenās CA nosaukumu reģistru (galvenās CA apstiprināšana, atsaukšana/izslēgšana). Subjektu nosaukumiem, ko norāda sertifikātos, piemēro 32 baitu ierobežojumu. Katra galvenā CA ierosina CPA savu nosaukumu, to norādot pieteikuma veidlapā (14. plūsma). CPA atbild par nosaukumu unikalitātes pārbaudi. Ja nosaukums nav unikāls, pieteikuma veidlapu noraida (4. plūsma).
(37)Katrā EA/AA sertifikātā nosaukums var sastāvēt no atsevišķa “subject_name” (subjekta nosaukuma) atribūta ar vērtību, ko ģenerē sertifikāta izdevējs. Par nosaukumu unikalitāti atbild vienīgi izdevēja galvenā CA.
(38)EA un AA sertifikātos izmanto nosaukumus, kas nav lielāki par 32 baitiem, jo “subject_name” (subjekta nosaukumam) sertifikātos piemēro 32 baitu ierobežojumu.
(39)AT nesatur nosaukumu.
3.1.1.2.Gala entitāšu nosaukumi
(40)Katrai C-ITS stacijai piešķir divu veidu unikālos identifikatorus:
·kanonisks identifikators, ko saglabā C-ITS stacijas sākotnējās reģistrācijas brīdī ražotāja atbildībā. Tas satur apakšvirkni, kas identificē ražotāju vai operatoru, lai identifikators varētu būt unikāls;
·“subject_name” (subjekta nosaukums), kas var būt daļa no C-ITS stacijas EC, EA atbildībā.
3.1.1.3.Sertifikātu identifikācija
(41)Sertifikātus, kas atbilst 5. vērē norādītajam formātam, identificē ar “HashedId8” vērtību, kas noteikta 5. vērē.
3.1.2.Vajadzība nodrošināt, lai nosaukumi būtu jēgpilni
Nav prasību.
3.1.3.Gala entitāšu anonimitāte un pseidonimitāte
(42)AA nodrošina, ka tiek noteikta C-ITS stacijas pseidonimitāte, piešķirot C-ITS stacijai AT, kas nesatur nosaukumus vai informāciju, uz kuras pamata subjektu ir iespējams sasaistīt ar tā reālo identitāti.
3.1.4.Dažādu nosaukumu formu interpretēšanas noteikumi
Nav prasību.
3.1.5.Nosaukumu unikalitāte
(43)TLM, galvenās CA, EA, AA nosaukumi un C-ITS staciju kanoniskie identifikatori ir unikāli.
(44)Procesā, kad konkrēta galvenā CA tiek reģistrēta ECTL, TLM nodrošina, ka tās sertifikāta identifikators (“HashedId8”) ir unikāls. Izdošanas procesā galvenā CA nodrošina, ka katras pakārtotās CA sertifikāta identifikators (“HashedId8”) ir unikāls.
(45)EC “HashedId8” ir unikāls izdevējas CA ietvaros. AT “HashedId8” nav jābūt unikālam.
3.2.Sākotnējā identitātes validācija
3.2.1.Privātās atslēgas valdījuma pierādīšanas metode
(46)Galvenā CA pierāda, ka tās likumīgā valdījumā ir privātā atslēga, kas atbilst publiskajai atslēgai pašparakstītajā sertifikātā. CPOC pārbauda šo pierādījumu.
(47)EA/AA pierāda, ka tās likumīgā valdījumā ir privātā atslēga, kas atbilst publiskajai atslēgai, kura tiks iekļauta sertifikātā. Galvenā CA pārbauda šo pierādījumu.
(48)Jaunas privātās atslēgas (atslēgu atjaunošanai) valdījumu pierāda, parakstot pieprasījumu ar jauno privāto atslēgu (iekšējais paraksts) un pēc tam ģenerējot ārēju parakstu parakstītā pieprasījuma parakstīšanai ar aktuālo un derīgo privāto atslēgu (lai garantētu pieprasījuma autentiskumu). Pieteikuma iesniedzējs iesniedz parakstīto sertifikāta pieprasījumu izdevējai CA ar drošas komunikācijas metodes starpniecību. Izdevēja CA verificē, vai pieteikuma iesniedzēja digitālais paraksts uz pieprasījuma ziņojuma ir izveidots, izmantojot privāto atslēgu, kas atbilst sertifikāta pieprasījumam pievienotajai publiskajai atslēgai. Galvenā CA norāda, kuru sertifikāta pieprasījumu un atbildes tā atbalsta savā CPS.
3.2.2.Organizācijas identitātes autentifikācija
3.2.2.1.Galvenās CA organizācijas identitātes autentifikācija
(49)CPA adresētajā pieteikuma veidlapā (t. i., 14. plūsma) galvenā CA norāda organizācijas identitāti un reģistrācijas informāciju, kas sastāv no šādiem datiem:
·organizācijas nosaukums;
·pasta adrese;
·e-pasta adrese;
·organizācijas fiziskās kontaktpersonas vārds un uzvārds;
·tālruņa numurs;
·galvenās CA sertifikāta digitālais nospiedums (t. i., SHA 256 jaucējvērtība) drukātā formātā;
·kriptogrāfiskā informācija (t. i., šifrēšanas algoritmi, atslēgu garumi) galvenās CA sertifikātā;
·visas atļaujas, ko galvenajai CA ir atļauts izmantot un nodot pakārtotajām CA.
(50)CPA pārbauda organizācijas identitāti un citu reģistrācijas informāciju, ko sniedzis sertifikāta pieteikuma iesniedzējs galvenās CA sertifikāta iekļaušanai ECTL.
(51)CPA savāc tiešus pierādījumus, vai arī iegūst apliecinājumu no atbilstoša un apstiprināta avota par to subjektu identitāti (piemēram, nosaukumu) un, attiecīgā gadījumā, īpašiem atribūtiem, kuriem tiek izdots sertifikāts. Iesniegtie pierādījumi var būt papīra vai elektroniskas dokumentācijas veidā.
(52)Subjekta identitāti verificē reģistrācijas brīdī, izmantojot atbilstošus līdzekļus un saskaņā ar šo sertifikātu politiku.
(53)Ikreiz, kad iesniedz sertifikāta pieteikumu, iesniedz šādu apliecinošu informāciju:
·organizatoriskās struktūras (privātas organizācijas, valsts struktūras vai nekomerciālas struktūras) pilns nosaukums;
·valsts atzīta reģistrācija vai citas iezīmes, ko, ciktāl iespējams, var izmantot, lai atšķirtu organizatorisko struktūru no citām struktūrām ar tādu pašu nosaukumu.
Iepriekš izklāstītie noteikumi ir balstīti uz TS 102 042 (4. vēre): CA nodrošina, ka pierādījumi par abonenta un subjekta identifikāciju, kā arī to nosaukumu un saistīto datu precizitāte ir pienācīgi pārbaudīta noteiktā pakalpojuma ietvaros vai attiecīgā gadījumā ir izsecināta, pārbaudot apliecinājumus, kas iegūti no atbilstošiem un apstiprinātiem avotiem, un ka sertifikātu pieprasījumi ir precīzi, apstiprināti un pilnīgi un atbilst savāktajiem pierādījumiem vai apliecinājumiem.
3.2.2.2.TLM organizācijas identitātes autentifikācija
(54)Organizācija, kas pārvalda TLM, sniedz pierādījumus par identifikāciju un nosaukuma un saistīto datu precizitāti, lai būtu iespējama TLM sertifikāta verifikācija tā sākotnējās izveides brīdī un sertifikāta atslēgu atjaunošana.
(55)Subjekta identitāti verificē sertifikāta izveides vai atslēgu atjaunošanas brīdī, izmantojot atbilstošus līdzekļus un saskaņā ar šo CP.
(56)Organizatoriskos pierādījumus sniedz tā, kā noteikts 3.2.2.1. iedaļā.
3.2.2.3.Pakārtoto CA organizācijas identitātes autentifikācija
(57)Galvenā CA pārbauda organizācijas identitāti un citu reģistrācijas informāciju, ko snieguši pakārtoto CA (EA/AA) sertifikātu pieteikumu iesniedzēji.
(58)Galvenā CA vismaz
·pārliecinās, ka organizācija pastāv, izmantojot vismaz vienu trešās personas identitātes pierādīšanas pakalpojumu vai datubāzi vai – alternatīvi – organizatorisko dokumentāciju, ko izdevusi attiecīgā valsts aģentūra vai atzītā iestāde vai kas iesniegta attiecīgajai valsts aģentūrai vai atzītajai iestādei un apliecina organizācijas esību;
·izmanto pastu vai tam pielīdzināmu procedūru, lai prasītu sertifikāta pieteikuma iesniedzējam apstiprināt konkrētu informāciju par organizāciju, to, ka viņš ir atļāvis sertifikāta pieteikuma iesniegšanu, un to, ka persona, kas iesniedz pieteikumu pieteikuma iesniedzēja vārdā, ir pilnvarota to darīt. Ja sertifikātā privātpersona ir norādīta kā organizācijas pilnvarotais pārstāvis, organizācija arī apliecina, ka tā nodarbina konkrēto privātpersonu un ir pilnvarojusi viņu rīkoties tās vārdā.
(59)Validācijas procedūras saistībā ar CA sertifikātu izdošanu dokumentē galvenā CA CPS.
3.2.2.4.Gala entitāšu abonenta organizācijas autentifikācija
(60)Pirms gala entitāšu abonents (ražotājs/operators) var reģistrēties uzticamā EA, lai tā gala entitātes varētu nosūtīt EC sertifikātu pieprasījumus, EA
·pārbauda abonenta organizācijas identitāti un citu reģistrācijas informāciju, ko sniedzis sertifikāta pieteikuma iesniedzējs;
·pārbauda, vai C-ITS stacijas veids (t. i., konkrētais produkts, pamatojoties uz C-ITS stacijas zīmolu, modeli un versiju) atbilst visiem atbilstības novērtēšanas kritērijiem.
(61)EA vismaz
·pārliecinās, ka organizācija pastāv, izmantojot vismaz vienu trešās personas identitātes pierādīšanas pakalpojumu vai datubāzi vai – alternatīvi – organizatorisko dokumentāciju, ko izdevusi attiecīgā valsts aģentūra vai atzītā iestāde vai kas iesniegta attiecīgajai valsts aģentūrai vai atzītajai iestādei un apliecina organizācijas esību;
·izmanto pastu vai tam pielīdzināmu procedūru, lai prasītu sertifikāta pieteikuma iesniedzējam apstiprināt konkrētu informāciju par organizāciju, to, ka viņš ir atļāvis sertifikāta pieteikuma iesniegšanu, un to, ka persona, kas iesniedz pieteikumu pieteikuma iesniedzēja vārdā, ir pilnvarota to darīt. Ja sertifikātā privātpersona ir norādīta kā organizācijas pilnvarotais pārstāvis, organizācija arī apliecina, ka tā nodarbina konkrēto privātpersonu un ir pilnvarojusi viņu rīkoties tās vārdā.
(62)Validācijas procedūras C-ITS stacijas reģistrācijai, ko veic tās abonents, dokumentē EA CPS.
3.2.3.Individuālas entitātes autentifikācija
3.2.3.1.TLM/CA individuālas entitātes autentifikācija
(63)Lai autentificētu individuālu entitāti (fizisku personu), kas norādīta saistībā ar juridisku personu vai organizatorisku struktūru (piemēram, abonentu), iesniedz šādu apliecinošu informāciju:
·pilns subjekta vārds (norādot uzvārdu un priekšvārdus atbilstoši piemērojamiem tiesību aktiem un valstī pastāvošajai identitātes apliecināšanas praksei);
·dzimšanas datums un vieta, atsauce uz valstī atzītu personas apliecību vai citas abonenta iezīmes, ko, ciktāl iespējams, var izmantot, lai atšķirtu personu no citām personām ar tādu pašu vārdu;
·saistītās juridiskās personas vai citas organizatoriskās struktūras (piemēram, abonenta) pilns nosaukumus un juridiskais statuss;
·būtiska reģistrācijas informācija (piemēram, uzņēmuma reģistrācija) par saistīto juridisko personu vai citu organizatorisko struktūru;
·pierādījumi, ka subjekts ir saistīts ar juridisko personu vai organizatorisko struktūru.
Iesniegtie pierādījumi var būt papīra vai elektroniskas dokumentācijas veidā.
(64)Lai varētu verificēt galvenās CA, EA, AA vai abonenta pilnvarotā pārstāvja identitāti, pārstāvis iesniedz dokumentāciju, kas apliecina, ka viņš strādā attiecīgajā organizācijā (pilnvarojuma apliecinājums). Viņš arī uzrāda oficiālu personas apliecību.
(65)Sākotnējam priekšreģistrācijas procesam (31./32. plūsma) EA/AA pārstāvis sniedz attiecīgajai galvenajai CA visu nepieciešamo informāciju (sk. 4.1.2. iedaļu).
(66)Galvenās CA personāls verificē sertifikāta pieteikuma iesniedzēja identitāti un visus saistītos dokumentus, piemērojot “uzticama personāla” prasības, kas izklāstītas 5.2.1. iedaļā. (Pieteikuma informācijas validēšanas un galvenās CA sertifikāta ģenerēšanas procesu veic uzticamas personas galvenajā CA, vismaz divkāršā uzraudzībā, jo šīs darbības ir sensitīvas darbības 5.2.2. iedaļas nozīmē.)
3.2.3.2.C-ITS staciju abonenta identitātes autentifikācija
(67)Abonentus pārstāv organizācijas pilnvaroti galalietotāji, kas reģistrēti izdevējā EA un AA. Šie organizāciju (ražotāju vai operatoru) norīkotie galalietotāji pierāda savu identitāti un autentiskumu, pirms tie
·reģistrē EE savā attiecīgajā EA, iekļaujot savu kanonisko publisko atslēgu, kanonisko identifikatoru (unikālo identifikatoru) un atļaujas saskaņā ar EE;
·reģistrējas AA un nodrošina apliecinājumu par abonenta līgumu, ko var nosūtīt EA.
3.2.3.3.C-ITS staciju identitātes autentifikācija
(68)EC EE subjekti autentificējas, kad tie pieprasa EC (31. plūsma), izmantojot savu kanonisko privāto atslēgu sākotnējai autentifikācijai. EA pārbauda autentifikāciju, izmantojot kanonisko publisko atslēgu, kas atbilst EE. EE kanoniskās publiskās atslēgas nodod EA pirms sākotnējā pieprasījuma izpildes, izmantojot drošu komunikācijas kanālu starp C-ITS stacijas ražotāju vai operatoru un EA (33. plūsma).
(69)AT EE subjekti autentificējas, kad tie pieprasa AT (32. plūsma), izmantojot savu unikālo priekšreģistrācijas privāto atslēgu. AA pārsūta parakstu EA (25. plūsma) validācijai; EA to validē un apstiprina rezultātu AA (23. plūsma).
3.2.4.Neverificēta abonenta informācija
Nav prasību.
3.2.5.Iestādes validācija
3.2.5.1.TLM, galvenās CA, EA, AA validācija
(70)Ikviena organizācija norāda CPS vismaz vienu pārstāvi (piemēram, drošības speciālistu), kas atbild par jaunu sertifikātu pieprasīšanu un atjauninājumiem. Piemēro 3.2.3. iedaļā izklāstītos nosaukumdošanas noteikumus.
3.2.5.2.C-ITS stacijas abonentu validācija
(71)EA ir zināma vismaz viena fiziskā persona, kas atbild par C-ITS staciju reģistrāciju EA (piemēram, drošības speciālists), un tā apstiprina vismaz vienu šādu fizisko personu (sk. 3.2.3. iedaļu).
3.2.5.3.C-ITS staciju validācija
(72)C-ITS stacijas abonents var reģistrēt C-ITS stacijas konkrētā EA (33. plūsma), kamēr tas ir autentificēts attiecīgajā EA.
Ja C-ITS stacija ir reģistrēta EA ar unikālu kanonisko identifikatoru un kanonisko publisko atslēgu, tā var pieprasīt EC, izmantojot pieprasījumu, kas parakstīts ar kanonisko privāto atslēgu, kura saistīta ar iepriekš reģistrēto kanonisko publisko atslēgu.
3.2.6.Sadarbspējas kritēriji
(73)Komunikācijai starp C-ITS stacijām un EA (vai AA) C-ITS stacija spēj izveidot drošu komunikāciju ar EA (vai AA), t. i., īstenot autentifikācijas, konfidencialitātes un integritātes funkcijas, kā norādīts 1. vērē. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre. EA un AA atbalsta šo drošo komunikāciju.
(74)EA un AA atbalsta sertifikātu pieprasījumus un atbildes, kas atbilst 1. vērei, kurā ir paredzēts drošs AT pieprasījumu/atbilžu protokols, kas atbalsta pieprasītāja anonimitāti attiecībā pret AA un pienākumu nošķiršanu starp AA un EA. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre. Lai novērstu C-ITS staciju ilgtermiņa identitātes izpaušanu, komunikācija starp mobilu C-ITS staciju un EA ir konfidenciāla (piemēram, komunikācijas datiem piemēro pilnīgu (end-to-end) šifrēšanu).
(75)AA iesniedz autorizācijas validācijas pieprasījumu (25. plūsma) par katru autorizācijas pieprasījumu, ko tas saņem no EE sertifikāta subjekta. EA validē šādu pieprasījumu attiecībā uz:
·EE statusu EA;
·paraksta derīgumu;
·pieprasītajiem ITS pieteikuma ID (ITS-AID) un atļaujām;
·abonentam sniegto AA pakalpojumu statusu.
3.3.Atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija
3.3.1.Periodisko atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija
3.3.1.1.TLM sertifikāti
(76)TLM ģenerē atslēgu pāri un divus sertifikātus – vienu pašparakstītu sertifikātu un vienu saites sertifikātu, kā minēts 7. iedaļā.
3.3.1.2.Galvenās CA sertifikāti
Nav piemērojams.
3.3.1.3.EA/AA sertifikātu atjaunošana vai atslēgu atjaunošana
(77)Pirms EA/AA sertifikāta derīguma termiņa beigām EA/AA pieprasa jaunu sertifikātu (21. plūsma / 24. plūsma), lai saglabātu sertifikātu izmantojuma nepārtrauktību. EA/AA ģenerē jaunu atslēgu pāri, lai ar to aizstātu atslēgu pāri, kuram beidzas derīguma termiņš, un paraksta atslēgu atjaunošanas pieprasījumu, kurā ir ietverta jaunā publiskā atslēga, ar aktuālo un derīgo privāto atslēgu (“atslēgu atjaunošana”). EA vai AA ģenerē jaunu atslēgu pāri un paraksta pieprasījumu ar jauno privāto atslēgu (iekšējais paraksts), lai pierādītu jaunās privātās atslēgas valdījumu. Visu pieprasījumu paraksta, iepriekšējo parakstu pārrakstot ar aktuālo un derīgo privāto atslēgu (ārējais paraksts), lai nodrošinātu pieprasījuma integritāti un autentiskumu. Ja izmanto šifrēšanas un atšifrēšanas atslēgu pāri, jābūt pierādītam privāto atšifrēšanas atslēgu valdījumam (atslēgu atjaunošanas sīkāku aprakstu sk. 4.7.3.3. iedaļā).
(78)Identifikācijas un autentifikācijas metode periodiskajai atslēgu atjaunošanai ir tāda pati kā metode, ko izmanto sākotnējās galvenās CA sertifikāta validācijas sākotnējai izdošanai, kā izklāstīts 3.2.2. iedaļā.
3.3.1.4.Gala entitāšu priekšreģistrācijas akreditācijas dati
(79)Pirms esoša EC derīguma termiņa beigām EE pieprasa jaunu sertifikātu (31. plūsma), lai saglabātu sertifikātu izmantojuma nepārtrauktību. EE ģenerē jaunu atslēgu pāri, lai ar to aizstātu atslēgu pāri, kuram beidzas derīguma termiņš, un pieprasa jaunu sertifikātu, kurā ietverta jaunā publiskā atslēga; pieprasījumu paraksta ar aktuālo un derīgo EC privāto atslēgu.
(80)EE var parakstīt pieprasījumu ar jaunizveidoto privāto atslēgu (iekšējais paraksts), lai pierādītu jaunās privātās atslēgas valdījumu. Tad visu pieprasījumu paraksta, iepriekšējo parakstu pārrakstot ar aktuālo un derīgo privāto atslēgu (ārējais paraksts) un šifrē saņēmējai EA, kā norādīts 1. vērē, lai nodrošinātu pieprasījuma konfidencialitāti, integritāti un autentiskumu. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
3.3.1.5.Gala entitāšu autorizācijas biļete
(81)Sertifikātu atslēgu atjaunošana AT mērķiem notiek tāpat kā sākotnējās autorizācijas process, kā noteikts 1. vērē. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
3.3.2.Atslēgu atjaunošanas pieprasījumu identifikācija un autentifikācija pēc atsaukšanas
3.3.2.1.CA sertifikāti
(82)CA organizāciju attiecībā uz galvenās CA, EA un AA sertifikātu atslēgu atjaunošanu pēc atsaukšanas autentificē tāpat kā CA sertifikāta sākotnējo izdošanu, kā izklāstīts 3.2.2. iedaļā.
3.3.2.2.Gala entitāšu priekšreģistrācijas akreditācijas dati
(83)EE autentifikāciju EC sertifikātu atslēgu atjaunošanai pēc atsaukšanas autentificē tāpat kā EE sertifikāta sākotnējo izdošanu, kā izklāstīts 3.2.2. iedaļā.
3.3.2.3.Gala entitāšu autorizācijas pieprasījumi
Nav piemērojams, jo AT netiek atsauktas.
3.4.Atsaukšanas pieprasījumu identifikācija un autentifikācija
3.4.1.Galvenās CA/EA/AA sertifikāti
(84)Pieprasījumus dzēst no ECTL galvenās CA sertifikātu attiecīgā galvenā CA autentificē TLM (12. un 9. plūsma). Pieprasījumus atsaukt EA/AA sertifikātu autentificē attiecīgā galvenā CA vai pakārtotā CA pati.
(85)Pieņemamās procedūras abonenta atsaukšanas pieprasījumu autentifikācijai ietver:
·abonenta, kas pieprasa atsaukšanu, rakstisku un parakstītu ziņojumu, kas sagatavots uz uzņēmuma vēstuļu veidlapas, tajā norādot atsauci uz atsaucamo sertifikātu;
·komunikāciju ar abonentu, kas sniedz pamatotus apliecinājumus, ka persona vai organizācija, kas pieprasa atsaukšanu, faktiski ir abonents. Atkarībā no apstākļiem šāda komunikācija var ietvert vienu vai vairākus šādus komunikācijas līdzekļus: e-pasts, pasts vai kurjerpasta pakalpojums.
3.4.2.C-ITS stacijas priekšreģistrācijas akreditācijas dati
(86)C-ITS stacijas abonents var EA atsaukt iepriekš reģistrētas C-ITS stacijas EC (34. plūsma). Abonents, kas pieprasa atsaukšanu, izveido pieprasījumu konkrētas C-ITS stacijas vai C-ITS staciju saraksta atsaukšanai. EA autentificē atsaukšanas pieprasījumu pirms tā apstrādes un apstiprina C-ITS staciju un to EC atsaukšanu.
(87)EA var atsaukt C-ITS stacijas EC saskaņā ar 7.3. iedaļu.
3.4.3.C-ITS stacijas autorizācijas biļetes
(88)Tā kā AT netiek atsauktas, tās ir derīgas konkrētu termiņu. Pieņemamo derīguma termiņu diapazons ir noteikts šās sertifikātu politikas 7. iedaļā.
4.Sertifikāta dzīves cikla darbības prasības
4.1.Sertifikāta pieteikums
(89)Šajā iedaļā ir izklāstītas prasības par sākotnējo sertifikāta izdošanas pieteikumu.
(90)Termins “sertifikāta pieteikums” attiecas uz šādiem procesiem:
·uzticamības relācijas reģistrācija un iestatīšana starp TLM un CPA;
·uzticamības relācijas reģistrācija un iestatīšana starp galveno CAun CPA un TLM, ietverot galvenās CA pirmā sertifikāta iekļaušanu ECTL;
·uzticamības relācijas reģistrācija un iestatīšana starp EA/AA un galveno CA, ietverot jauna EA/AA sertifikāta izdošanu;
·C-ITS stacijas reģistrācija EA, ko veic ražotājs/operators;
·C-ITS stacijas pieprasījums EC/AT izdošanai.
4.1.1.Kurš var iesniegt sertifikāta pieteikumu
4.1.1.1.Galvenās CA
(91)Galvenās CA ģenerē savus atslēgu pārus un pašas izdod savus saknes sertifikātus. Galvenā CA var iesniegt sertifikāta pieteikumu caur savu norīkoto pārstāvi (14. plūsma).
4.1.1.2.TLM
(92)TLM ģenerē savus atslēgu pārus un pats izdod savu sertifikātu. TLM sertifikāta sākotnējās izveides apstrādi veic TLM organizācijas pārstāvis CPA kontrolē.
4.1.1.3.EA un AA
(93)EA vai AA pilnvarots pārstāvis var iesniegt pakārtotas CA (EA un/vai AA) sertifikāta pieprasījuma pieteikumu attiecīgās galvenās CA pilnvarotajam pārstāvim (27./28. plūsma).
4.1.1.4.C-ITS stacija
(94)Abonenti reģistrē katru C-ITS staciju EA saskaņā ar 3.2.5.3. iedaļu.
(95)Katra EA reģistrētā C-ITS stacija var nosūtīt EC pieprasījumus (31. plūsma).
(96)Katra C-ITS stacija var nosūtīt AT pieprasījumus (32. plūsma), neprasot abonenta iesaistīšanos. Pirms AT pieprasīšanas C-ITS stacijai ir jābūt izdotam EC.
4.1.2.Priekšreģistrācijas process un pienākumi
(97)Atļaujas galvenajām CA un pakārtotajām galvenajām CA, kas izdod sertifikātus īpašām (valstiskām) vajadzībām (t. i., īpašām mobilām un stacionārām C-ITS stacijām), var piešķirt tikai dalībvalstis, kurās atrodas attiecīgās organizācijas.
4.1.2.1.Galvenās CA
(98)Galvenās CA pēc to auditēšanas (13. un 36. plūsma, 8. iedaļa) var pieteikties CPA sava(-u) sertifikāta(-u) iekļaušanai ECTL (14. plūsma). Priekšreģistrācijas procesa pamatā ir parakstīta ar roku sagatavota pieteikuma veidlapa, kuru galvenās CA pilnvarotais pārstāvis fiziski iesniedz CPA un kurā ir ietverta vismaz 3.2.2.1., 3.2.3. un 3.2.5.1. iedaļā minētā informācija.
(99)Galvenās CA pieteikuma veidlapu paraksta tās pilnvarotais pārstāvis.
(100)Papildus pieteikuma veidlapai galvenās CA pilnvarotais pārstāvis iesniedz CPA apstiprināšanai (16. plūsma) galvenās CA CPS kopiju (15. plūsma) un tās audita ziņojuma kopiju. Pozitīva apstiprinājuma gadījumos CPA ģenerē un nosūta CPOC/TLM un attiecīgajai galvenajai CA atbilstības sertifikātu.
(101)Galvenās CA pilnvarotais pārstāvis tad iesniedz savu pieteikuma veidlapu (kas satur pašparakstītā sertifikāta digitālo nospiedumu), oficiālo identifikatoru un autorizācijas apliecinājumu CPOC/TLM. Pašparakstīto sertifikātu elektroniski nosūta CPOC/TLM. CPOC/TLM verificē visus dokumentus un pašparakstīto sertifikātu.
(102)Pozitīvu verifikāciju gadījumos TLM iekļauj galvenās CA sertifikātu ECTL, pamatojoties uz paziņojumu, kas saņemts no CPA (1. un 2. plūsma). Šo detalizēto procesu izklāsta TLM CPS.
(103)Jābūt iespējamai papildu procedūrai, lai saņemtu CPS apstiprinājumu un galvenās CA audita ziņojumu valsts struktūrā konkrētās valstīs.
4.1.2.2.TLM
(104)Pēc TLM auditēšanas to var priekšreģistrēt CPA. Priekšreģistrācijas procesa pamatā ir parakstīta ar roku sagatavota pieteikuma veidlapa, kuru galvenās CA pilnvarotais pārstāvis fiziski iesniedz CPA (38. plūsma) un kurā ietverta vismaz 3.2.2.2. un 3.2.3. iedaļā minētā informācija.
(105)TLM pieteikuma veidlapu paraksta tās pilnvarotais pārstāvis.
(106)Pirmkārt, TLM ģenerē savu pašparakstīto sertifikātu un to droši pārraida CPA. Tad TLM iesniedz savu pieteikuma veidlapu (kas satur pašparakstītā sertifikāta digitālo nospiedumu), sava CPS kopiju, oficiālo identifikatoru, autorizācijas apliecinājumu un savu audita ziņojumu CPA (40. plūsma). CPA pārbauda visus dokumentus un pašparakstīto sertifikātu. Visu dokumentu, pašparakstītā sertifikāta un digitālā nospieduma pozitīvas verifikācijas gadījumos CPA apstiprina priekšreģistrācijas procesu, nosūtot savu apstiprinājumu TLM un CPOC (39. plūsma). CPA saglabā TLM nosūtīto pieteikuma informāciju. Tad caur CPOC izdod TLM sertifikātu.
4.1.2.3.EA un AA
(107)Priekšreģistrācijas procesā EA/AA iesniedz attiecīgos dokumentus (piemēram, CPS un audita ziņojumu) attiecīgajai galvenajai CA apstiprināšanai (27./28. plūsma). Dokumentu pozitīvu pārbaužu gadījumos galvenā CA nosūta apstiprinājumu attiecīgajām pakārtotajām galvenajām CA (29./30. plūsma). Tad pakārtotā CA (EA vai AA) elektroniski pārsūta savu parakstīto pieprasījumu un fiziski iesniedz savu pieteikuma veidlapu (saskaņā ar 3.2.2.1. iedaļu), autorizācijas apliecinājumu un identifikācijas dokumentu attiecīgajai galvenajai CA. Galvenā CA verificē pieprasījumu un saņemtos dokumentus (pieteikuma veidlapu, kas satur digitālo nospiedumu, kurš ir pakārtotās CA pieprasījuma SHA 256 jaucējvērtība, kā arī autorizācijas apliecinājumu un identitātes dokumentu). Ja visās pārbaudēs rezultāts ir pozitīvs, galvenā CA izdod attiecīgo pakārtotās CA sertifikātu. Tās konkrētajā CPS sīki izklāsta informāciju par to, kā iesniedz sākotnējo pieprasījumu.
(108)Papildus pakārtotās CA pieteikuma veidlapai pakārtotās CA pilnvarotās pārstāvis galvenajai CA pievieno CPS kopiju.
(109)Sniedz informāciju akreditētam PKI auditoram audita veikšanai saskaņā ar 8. iedaļu.
(110)Ja pakārtotā CA pieder citai entitātei, nevis tai, kurai pieder galvenā CA, pakārtotās CA entitāte pirms pakārtotās CA sertifikāta pieprasījuma izdošanas paraksta līgumu par galvenās CA pakalpojumu.
4.1.2.4.C-ITS stacija
(111)Gala entitāšu subjektu (C-ITS staciju) sākotnējo reģistrāciju EA (33. un 35. plūsma) veic atbildīgais abonents (ražotājs/operators) pēc tam, kad ir veiksmīgi autentificēta abonenta organizācija un viens no tās pārstāvjiem atbilstoši 3.2.2.4. un 3.2.5.2. iedaļai.
(112)C-ITS stacija var ģenerēt EC atslēgu pāri (sk. 6.1. iedaļu) un izveidot parakstītu EC pieprasījumu saskaņā ar 1. vēri. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(113)Parastas C-ITS stacijas reģistrācijas laikā (atšķirībā no īpašas mobilas vai stacionāras C-ITS stacijas reģistrācijas) EA ir jāverificē, vai atļaujas sākotnējā pieprasījumā nav paredzētas izmantošanai valstiskiem nolūkiem. Atļaujas, kas paredzētas izmantošanai valstiskiem nolūkiem, nosaka atbilstošās dalībvalstis. Sīku procedūru attiecībā uz reģistrāciju un EA atbildes sniegšanu ražotājam/operatoram (33. un 35. plūsma) izklāsta attiecīgajā EA CPS.
(114)C-ITS staciju priekšreģistrē EA (3.2.5.3. iedaļa), nosūtot tās sākotnējo EC pieteikumu saskaņā ar 1. vēri.
(115)Kad autentificēts abonenta pārstāvis veic sākotnējo reģistrāciju, EA apstiprina, kuras AT gala entitātes subjekts (t. i., C-ITS stacija) var iegūt. Turklāt katrai entitātei tiek piešķirts uzticības nodrošināšanas līmenis, kas ir saistīts ar gala entitātes sertificēšanu saskaņā ar vienu no 6.1.5.2. iedaļā uzskaitītajiem aizsardzības profiliem.
(116)Parastajiem transportlīdzekļiem ir tikai viena C-ITS stacija, kas reģistrēta vienā EA. Speciālie transportlīdzekļi (piemēram, policijas automobiļi un citi speciālie transportlīdzekļi, kam ir īpašas tiesības) var būt reģistrēti vēl kādā EA vai tiem var būt viena papildu C-ITS stacija autorizācijām, kas ietilpst “speciālo transportlīdzekļu” kategorijā. To, uz kuriem transportlīdzekļiem attiecas šāds izņēmums, nosaka atbildīgās dalībvalstis. Atļaujas īpašajām mobilajām un stacionārajām C-ITS stacijām piešķir tikai atbildīgās dalībvalstis. To galveno CA vai pakārtoto CA CPS, kuras izdod sertifikātus tādiem transportlīdzekļiem minētajās dalībvalstīs, nosaka, kā ir piemērojams sertificēšanas process tādiem transportlīdzekļiem.
(117)Ja abonents ir procesā, kurā notiek C-ITS stacijas migrācija no vienas EA uz citu EA, C-ITS staciju var reģistrēt divās (līdzīgās) EA.
(118)C-ITS stacija ģenerē AT atslēgu pāri (sk. 6.1. iedaļu) un izveido AT pieprasījumu saskaņā ar 1. vēri. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(119)C-ITS stacijas nosūta autorizācijas pieprasījumu uz AA URL (32. un 26. plūsma), nosūtot vismaz vajadzīgo informāciju, kas minēta 3.2.3.3. iedaļā. AA un EA validē autorizāciju par katru pieprasījumu saskaņā 3.2.6. un 4.2.2.5. iedaļu.
4.2.Sertifikāta pieteikuma apstrāde
4.2.1.Identifikācijas un autentifikācijas funkciju veikšana
4.2.1.1.Galveno CA identifikācija un autentifikācija
(120)CPA pilnvarotais pārstāvis atbild par galvenās CA pilnvarotā pārstāvja autentifikāciju un tā priekšreģistrācijas procesa apstiprināšanu saskaņā ar 3. iedaļu.
4.2.1.2.TLM identifikācija un autentifikācija
(121)CPA pilnvarotais pārstāvis atbild par TLM pilnvarotā pārstāvja autentifikāciju un tā priekšreģistrācijas procesa pieteikuma veidlapas apstiprināšanu saskaņā ar 3. iedaļu.
4.2.1.3.EA un AA identifikācija un autentifikācija
(122)Attiecīgā galvenā CA atbild par EA/AA pilnvarotā pārstāvja autentifikāciju un tā priekšreģistrācijas procesa pieteikuma veidlapas apstiprināšanu saskaņā ar 3. iedaļu.
(123)Galvenā CA apstiprina EA/AA savu pozitīvo pieteikuma veidlapas validāciju. Tad EA/AA var nosūtīt sertifikāta pieprasījumu galvenajai CA (21./.24. plūsma), kas izdod sertifikātus attiecīgajai EA/AA (18./19. plūsma).
4.2.1.4.EE abonenta identifikācija un autentifikācija
(124)Pirms C-ITS stacija var pieprasīt EC sertifikātu, EE abonents droši pārraida C-ITS stacijas identifikatora informāciju EA (33. plūsma). EA verificē pieprasījumu un pozitīvas verifikācijas gadījumos reģistrē C-ITS stacijas informāciju savā datubāzē un to apstiprina arī EE abonentam (35. plūsma). Šo darbību ražotājs vai operators veic tikai vienreiz par katru C-ITS staciju. Kad EA ir reģistrējusi C-ITS staciju, stacija var jebkurā laikā pieprasīt atsevišķu EC sertifikātu, kas tai vajadzīgs (31. plūsma). EA autentificē un verificē, ka EC sertifikāta pieprasījumā ietvertā informācija ir derīga attiecībā uz C-ITS staciju.
4.2.1.5.Autorizācijas biļetes
(125)Autorizācijas pieprasījumu laikā (32. plūsma) saskaņā ar 1. vēri AA ir jāautentificē EA, no kuras C-ITS stacija saņēmusi savu EC. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre. Ja AA nespēj autentificēt EA, pieprasījums tiek noraidīts (26. plūsma). Piemēro prasību, ka AA ir valdījumā ir jābūt EA sertifikātam, lai varētu autentificēt EA un verificēt tās atbildes (25. un 23. plūsma, 3.2.5.3. iedaļa).
(126)EA autentificē AT pieprasītāju C-ITS staciju, verificējot tās EC (25. un 23. plūsma).
4.2.2.Sertifikātu pieteikumu apstiprināšana vai noraidīšana
4.2.2.1.Galvenās CA sertifikātu apstiprināšana vai noraidīšana
(127)TLM iekļauj ECTL / dzēš no ECTL galvenās CA sertifikātus saskaņā ar CPA apstiprinājumu (1./2. plūsma).
(128)TLM jāverificē galvenās CA sertifikātu paraksts, informācija un kodējums pēc tam, kad ir saņemts CPA apstiprinājums (1. plūsma). Pēc pozitīvas validācijas un CPA apstiprinājuma TLM iekļauj attiecīgo saknes sertifikātu ECTL un informē CPA (5. plūsma).
4.2.2.2.TLM sertifikāta apstiprināšana vai noraidīšana
(129)CPA atbild par TLM sertifikātu apstiprināšanu vai noraidīšanu.
4.2.2.3.EA un AA sertifikātu apstiprināšana vai noraidīšana
(130)Galvenā CA verificē pakārtoto CA sertifikātu pieprasījumus (21./24. plūsma) un attiecīgos ziņojumus (ko uzdevis akreditētais PKI auditors) par to saņemšanu (36. plūsma, 8. iedaļa) no galvenās CA attiecīgās pakārtotās CA. Ja pieprasījuma pārbaudes rezultāts ir pozitīvs, atbilstošā galvenā CA izdod sertifikātu pieprasītājai EA/AA (18./19. plūsma); citos gadījumos pieprasījumu noraida un neizdod sertifikātu EA/AA.
4.2.2.4.EC apstiprināšana vai noraidīšana
(131)EA verificē un validē EC pieprasījumus saskaņā ar 3.2.3.2. un 3.2.5.3. iedaļu.
(132)Ja sertifikāta pieprasījums saskaņā ar 1. vēri ir pareizs un derīgs, EA ģenerē prasīto sertifikātu.
(133)Ja sertifikāta pieprasījums ir nederīgs, EA to atsaka un nosūta atbildi, kurā izklāsta atteikuma iemeslu saskaņā ar 1. vēri. Ja C-ITS stacija joprojām vēlas EC, tā iesniedz jaunu sertifikāta pieprasījumu. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
4.2.2.5.AT apstiprināšana vai noraidīšana
(134)Sertifikāta pieprasījumu pārbauda EA. AA izveido komunikāciju ar EA, lai validētu pieprasījumu (25. plūsma). EA autentificē pieprasītāju C-ITS staciju un validē, vai tā ir tiesīga saņemt prasīto AT, ievērojot CP (piemēram, pārbaudot atsaukšanas statusu un validējot sertifikāta laika/reģiona derīgumu, atļaujas, uzticamības līmeni utt.). EA nosūta validācijas atbildi (23. plūsma), un, ja atbilde ir pozitīva, AA ģenerē prasīto sertifikātu un nosūta to C-ITS stacijai. Ja AT pieprasījums nav pareizs vai EA validācijas atbilde ir negatīva, AA noraida pieprasījumu. Ja C-ITS stacijai joprojām ir vajadzīga AT, tā iesniedz jaunu autorizācijas pieprasījumu.
4.2.3.Sertifikāta pieteikuma apstrādes laiks
4.2.3.1.Galvenās CA sertifikāta pieteikums
(135)Termiņš sertifikāta pieteikuma identifikācijas un autentifikācijas procesa apstrādei ir viena darba diena, un tam piemēro maksimālo laika ierobežojumu, kas noteikts galvenās CA CPS.
4.2.3.2.TLM sertifikāta pieteikums
(136)TLM sertifikāta pieteikuma apstrādei piemēro maksimālo laika ierobežojumu, kas noteikts TLM CPS.
4.2.3.3.EA un AA sertifikāta pieteikums
(137)Termiņš sertifikāta pieteikuma identifikācijas un autentifikācijas procesa apstrādei ir viena darba diena saskaņā ar vienošanos un līgumu, kas noslēgts starp dalībvalsts/privātās organizācijas galveno CA un pakārtoto CA. Pakārtotās CA sertifikātu pieteikumu apstrādei piemēro maksimālo laika ierobežojumu, kas noteikts pakārtotās CA CPS.
4.2.3.4.EC pieteikums
(138)EC pieteikumu apstrādei piemēro maksimālo laika ierobežojumu, kas noteikts EA CPS.
4.2.3.5.AT pieteikums
(139)AT pieteikumu apstrādei piemēro maksimālo laika ierobežojumu, kas noteikts AA CPS.
4.3.Sertifikātu izdošana
4.3.1.CA darbības sertifikātu izdošanas laikā
4.3.1.1.Galvenās CA sertifikātu izdošana
(140)Galvenā CA izdod savus pašparakstītos galvenās CA sertifikātus, saites sertifikātus, pakārtoto CA sertifikātus un CRL.
(141)Pēc CPA apstiprināšanas (4. plūsma) galvenā CA caur CPOC nosūta savu sertifikātu TLM, kas jāiekļauj ECTL (11. un 8. plūsma) (sk. 4.1.2.1. iedaļu). TLM pārbauda, vai CPA ir apstiprinājusi sertifikātu (1. plūsma).
4.3.1.2.TLM sertifikātu izdošana
(142)TLM izdod savu pašparakstīto TLM un saites sertifikātu un nosūta to CPOC (6. plūsma).
4.3.1.3.EA un AA sertifikātu izdošana
(143)Pakārtotās CA ģenerē parakstītu sertifikāta pieprasījumu un nosūta to attiecīgajai galvenajai CA (21. un 24. plūsma). Galvenā CA verificē pieprasījumu un izdod sertifikātu pieprasītājai pakārtotajai CA saskaņā ar 5. vēri, kolīdz iespējams, kā noteikts CPS attiecībā uz parasto darbības praksi, bet ne vēlāk kā piecu darba dienu laikā pēc pieprasījuma saņemšanas.
(144)Galvenā CA atjaunina repozitoriju, kurā tiek glabāti pakārtoto CA sertifikāti.
4.3.1.4.EC izdošana
(145)C-ITS stacija nosūta EC pieprasījumu EA saskaņā ar 1. vēri. EA autentificē un verificē, ka sertifikāta pieprasījumā ietvertā informācija ir derīga attiecībā uz C-ITS staciju. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(146)Pozitīvas validācijas gadījumā EA izdod sertifikātu saskaņā ar C-ITS stacijas reģistrāciju (sk. 4.2.1.4. iedaļu) un nosūta to C-ITS stacijai, izmantojot EC atbildes ziņojumu saskaņā ar 1. vēri. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(147)Ja reģistrācijas nav, EA ģenerē kļūdas kodu un nosūta to C-ITS stacijai, izmantojot EC atbildes ziņojumu saskaņā ar 1. vēri. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(148)EC pieprasījumus un EC atbildes šifrē, lai nodrošinātu konfidencialitāti, un paraksta, lai nodrošinātu autentifikāciju un integritāti.
4.3.1.5.AT izdošana
(149)C-ITS stacija nosūta AT pieprasījumu AA saskaņā ar 1. vēri. AA nosūta AT validācijas pieprasījumu EA saskaņā ar 1. vēri. EA nosūta AT validācijas atbildi AA. Pozitīvas atbildes gadījumā AA ģenerē AT un nosūta to C-ITS stacijai, izmantojot AT atbildes ziņojumu saskaņā ar 1. vēri. Negatīvas atbildes gadījumā AA ģenerē kļūdas kodu un nosūta to C-ITS stacijai, izmantojot AT atbildes ziņojumu saskaņā ar 1. vēri. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(150)AT pieprasījumus un AT atbildes šifrē (šifrēšana vajadzīga tikai mobilajām SITS stacijām), lai nodrošinātu konfidencialitāti, un paraksta, lai nodrošinātu autentifikāciju un integritāti.
4.3.2.CA paziņojums abonentam par sertifikātu izdošanu
Nav piemērojams.
4.4.Sertifikātu akceptēšana
4.4.1.Sertifikātu akceptēšanas process
4.4.1.1.Galvenā CA
Nav piemērojams.
4.4.1.2.TLM
Nav piemērojams.
4.4.1.3.EA un AA
(151)EA/AA verificē sertifikāta veidu, parakstu un saņemtajā sertifikātā ietverto informāciju. EA/AA atmet visus EA/AA sertifikātus, kas nav pareizi verificēti, un izdod jaunu pieprasījumu.
4.4.1.4.C-ITS stacija
(152)C-ITS stacija verificē EC/AT atbildi, kas saņemta no EA/AA, veicot salīdzināšanu ar tās sākotnējo pieprasījumu, verificē arī parakstu un sertificēšanas ķēdi. Tā atmet visas EC/AT atbildes, kas nav pareizi verificētas. Tādos gadījumos tā nosūta jaunu EC/AT pieprasījumu.
4.4.2.Sertifikāta publicēšana
(153)TLM sertifikātus un to saites sertifikātus caur CPOC dara pieejamus visiem dalībniekiem.
(154)CPOC publicē galvenās CA sertifikātus, izmantojot ECTL, ko paraksta TLM.
(155)Pakārtoto CA (EA un AA) sertifikātus publicē galvenā CA.
(156)EC un AT nepublicē.
4.4.3.Paziņojums par sertifikāta izdošanu
Paziņojumus par izdošanu nesniedz.
4.5.Atslēgu pāru un sertifikātu izmantošana
4.5.1.Privāto atslēgu un sertifikātu izmantošana
4.5.1.1.Privāto atslēgu un sertifikātu izmantošana TLM vajadzībām
(157)TLM izmanto savas privātās atslēgas, lai parakstītu savus (TLM un saites) sertifikātus un ECTL.
(158)TLM sertifikātu izmanto PKI dalībnieki, lai verificētu ECTL un autentificētu TLM.
4.5.1.2.Privāto atslēgu un sertifikātu izmantošana galvenās CA vajadzībām
(159)Galvenā CA izmanto savas privātās atslēgas, lai parakstītu savus sertifikātus, CRL, saites sertifikātus un EA/AA sertifikātus.
(160)Saiknes CA sertifikātus izmanto PKI dalībnieki, lai verificētu AA un EA sertifikātus, saites sertifikātus un CRL.
4.5.1.3.Privāto atslēgu un sertifikātu izmantošana EA un AA vajadzībām
(161)EA izmanto savas privātās atslēgas EC parakstīšanai un priekšreģistrācijas pieprasījuma atšifrēšanai.
(162)EA sertifikātus izmanto saistīto EC paraksta verificēšanai un EC un AT pieprasījumu šifrēšanai, ko veic EE, kā noteikts 1. vērē.
(163)AA izmanto savas privātās atslēgas AT parakstīšanai un AT pieprasījumu atšifrēšanai.
(164)AA sertifikātus EE izmanto saistīto AT verificēšanai un AT pieprasījumu šifrēšanai, kā noteikts 1. vērē.
4.5.1.4.Privāto atslēgu un sertifikātu izmantošana gala entitātei
(165)EE izmanto privāto atslēgu, kas atbilst derīgam EC, lai parakstītu jaunu priekšreģistrācijas pieprasījumu, kā noteikts 1. vērē. Jauno privāto atslēgu izmanto, lai pieprasījumā iekļautu iekšējo parakstu, tādējādi pierādot, ka valdījumā ir privātā atslēga, kas atbilst jaunajai EC publiskajai atslēgai.
(166)EE izmanto privāto atslēgu, kas atbilst derīgam EC, lai parakstītu autorizācijas pieprasījumu, kā noteikts 1. vērē. Privātā atslēga, kas atbilst jaunajai AT, būtu jāizmanto, lai pieprasījumā iekļautu iekšējo parakstu, tādējādi pierādot, ka valdījumā ir privātā atslēga, kas atbilst jaunajai AT publiskajai atslēgai.
(167)EE izmanto privāto atslēgu, kas atbilst attiecīgai AT, lai parakstītu C-ITS ziņojumus, kā noteikts 5. vērē.
4.5.2.Uzticamās puses publisko atslēgu un sertifikātu izmantošana
(168)Uzticamās puses izmanto uzticamo sertificēšanas ceļu un saistītās publiskās atslēgas mērķiem, kas norādīti sertifikātos, un lai autentificētu EC un AT uzticamo kopējo identitāti.
(169)Galvenās CA, EA un AA sertifikātus, EC un AT neizmanto bez uzticamās puses iepriekš veiktas sākotnējās pārbaudes.
4.6.Sertifikātu atjaunošana
Nav atļauts.
4.7.Sertifikātu atslēgu atjaunošana
4.7.1.Apstākļi sertifikātu atslēgu atjaunošanai
(170)Sertifikātu atslēgu atjaunošanu veic, kad beidzas sertifikāta darbības termiņš vai privātās atslēgas operatīvās izmantošanas termiņš, bet uzticamības relācija ar CA joprojām pastāv. Visos gadījumos ģenerē un izdod jaunu atslēgu pāri un tam atbilstošo sertifikātu.
4.7.2.Kurš var pieprasīt atslēgu atjaunošanu
4.7.2.1.Galvenā CA
(171)Galvenā CA nepieprasa atslēgu atjaunošanu. Atslēgu atjaunošana ir galvenās CA iekšējais process, jo tā pati paraksta savu sertifikātu. Galvenā CA veic atslēgu atjaunošanu vai nu ar saites sertifikātiem, vai izdodot jaunus sertifikātus (sk. 4.3.1.1. iedaļu).
4.7.2.2.TLM
(172)TLM nepieprasa atslēgu atjaunošanu. Atslēgu atjaunošana ir TLM iekšējais process, jo TLM pats paraksta savu sertifikātu.
4.7.2.3.EA un AA
(173)Pakārtotās CA sertifikāta pieprasījums jāiesniedz laicīgi, lai būtu pārliecība, ka jaunu pakārtotās CA sertifikātu un pakārtotās CA operatīvo atslēgu pāri varēs saņemt pirms pakārtotās CA aktuālās un derīgās privātās atslēgas derīguma termiņa beigām. Nosakot iesniegšanas datumu, jāņem vērā arī apstiprināšanai vajadzīgais laiks.
4.7.2.4.C-ITS stacija
Nav piemērojams.
4.7.3.Atslēgu atjaunošanas process
4.7.3.1.TLM sertifikāts
(174)TLM lemj par atslēgu atjaunošanu, pamatojoties uz 6.1. un 7.2. iedaļā noteiktajām prasībām. Sīku procesa izklāstu iekļauj CPS.
(175)TLM īsteno atslēgu atjaunošanas procesu laicīgi, lai jauno TLM sertifikātu un saites sertifikātu varētu izplatīt visiem dalībniekiem, pirms beidzas aktuālā TLM sertifikāta derīguma termiņš.
(176)TLM izmanto saites sertifikātus atslēgu atjaunošanai un lai garantētu jaunā pašparakstītā sertifikāta uzticamības relāciju. Jaunģenerēto TLM un saites sertifikātu nosūta CPOC.
4.7.3.2.GCA sertifikāts
(177)Galvenā CA lemj par atslēgu atjaunošanu, pamatojoties uz 6.1.5. un 7.2. iedaļas prasībām. Sīks procesa izklāsts jāiekļauj tā CPS.
(178)Galvenā CA īsteno atslēgu atjaunošanas procesu laicīgi (pirms galvenās CA sertifikāta derīguma termiņa beigām), lai jauno sertifikātu varētu iekļaut ECTL, pirms galvenās CA sertifikāts kļūst derīgs (sk. 5.6.2. iedaļu). Atslēgu atjaunošanas procesu īsteno, vai nu izmantojot saites sertifikātus, vai iesniedzot sākotnēju pieprasījumu.
4.7.3.3.EA un AA sertifikāti
(179)EA vai AA pieprasa jaunu sertifikātu, kā norādīts tālāk.
|
Solis
|
Norāde
|
Atslēgu atjaunošanas pieprasījums
|
|
1.
|
Atslēgu pāra ģenerēšana
|
Pakārtotās CA (EA un AA) ģenerē jaunus atslēgu pārus saskaņā ar 6.1. iedaļu.
|
|
2.
|
Sertifikāta pieprasījuma un iekšējā paraksta ģenerēšana
|
Pakārtotā CA ģenerē sertifikāta pieprasījumu no jaunģenerētās publiskās atslēgas, ņemot vērā 3. iedaļā norādīto nosaukumdošanas shēmu (“subject_info”), paraksta algoritmu, pakalpojumam specifisko atļauju (SSP) un neobligāto papildu parametru, un ģenerē iekšējo parakstu ar attiecīgo jauno privāto atslēgu. Ja ir vajadzīga šifrēšanas atslēga, pakārtotajai CA ir arī jāpierāda, ka tās valdījumā ir attiecīgā privātā atšifrēšanas atslēga.
|
|
3.
|
Ģenerē ārējo atslēgu
|
Visu pieprasījumu paraksta ar aktuālo un derīgo privāto atslēgu, lai garantētu parakstītā pieprasījuma autentiskumu.
|
|
4.
|
Nosūta pieprasījumu galvenajai CA
|
Parakstīto pieprasījumu iesniedz attiecīgajai galvenajai CA.
|
|
5.
|
Pieprasījuma verifikācija
|
Attiecīgā galvenā CA verificē pieprasījuma integritāti un autentiskumu. Vispirms tā pārbauda ārējo parakstu. Ja verifikācija ir pozitīva, tā pārbauda iekšējo parakstu. Ja ir pierādījums par privātās atšifrēšanas atslēgas valdījumu, pārbauda arī šādu pierādījumu.
|
|
6.
|
Akceptē vai noraida pieprasījumu
|
Ja visās pārbaudēs rezultāts ir pozitīvs, galvenā CA akceptē pieprasījumu; visos citos gadījumos tā noraida pieprasījumu.
|
|
7.
|
Ģenerē un izdod sertifikātu
|
Galvenā CA ģenerē jaunu sertifikātu un to nosūta pieprasītājai pakārtotajai CA.
|
|
8.
|
Nosūta atbildi
|
Pakārtotā CA nosūta statusa ziņojumu (norādot, vai sertifikāts ir vai nav saņemts) galvenajai CA.
|
3. tabula. EA un AA atslēgu atjaunošanas process
(180)Automātiskās atslēgu atjaunošanas procesā, ko veic pakārtotajām CA, galvenā CA pārliecinās, ka pieprasītāja valdījumā patiešām ir tās privātā atslēga. Piemēro atbilstošus protokolus, kas attiecas uz privāto atšifrēšanas atslēgu valdījumu, piemēram, tos, kas noteikti RFC 4210 un 4211. Privātajām paraksta atslēgām izmanto iekšējo parakstu.
4.7.3.4.C-ITS stacijas sertifikāti
Neattiecas uz AT.
4.8.Sertifikātu modificēšana
Nav atļauts.
4.9.Sertifikātu atsaukšana un apturēšana
Sk. 7. iedaļu.
4.10.Sertifikātu statusa pakalpojumi
4.10.1.Darbības īpašības
Nav piemērojams
4.10.2.Pakalpojumu pieejamība
Nav piemērojams
4.10.3.Brīvizvēles raksturpazīmes
Nav piemērojams
4.11.Abonēšanas beigas
Nav piemērojams
4.12.Šifratslēgas uzticējumglabāšana un atkopšana
4.12.1.Abonents
4.12.1.1.Kuru atslēgu pāri var nodot uzticējumglabāšanā
Nav piemērojams.
4.12.1.2.Kurš var iesniegt atkopšanas pieteikumu
Nav piemērojams.
4.12.1.3.Atkopšanas process un pienākumi
Nav piemērojams.
4.12.1.4.Identifikācija un autentifikācija
Nav piemērojams.
4.12.1.5.Atkopšanas pieteikumu apstiprināšana vai noraidīšana
Nav piemērojams.
4.12.1.6.KEA un KRA darbības atslēgu pāra atkopšanas laikā
Nav piemērojams.
4.12.1.7.KEA un KRA pieejamība
Nav piemērojams.
4.12.2.Sesijas atslēgas iekapsulēšanas un atkopšanas politika un prakse
Nav piemērojams.
5.Infrastruktūras, vadības un darbības kontroles pasākumi
(181)PKI sastāv no saknēm CA, EA/AA, CPOC un TLM, ieskaitot to IKT komponentus (piemēram, tīklus un serverus).
(182)Šās iedaļas entitāti, kas ir atbildīga par PKI elementu, identificē pats elements. Citiem vārdiem sakot, teikumam “CA atbild par audita veikšanu” ir tāda pati nozīme kā teikumam “entitāte vai personāls, kas pārvalda CA, atbild par .. veikšanu”.
(183)Termins “C-ITS uzticamības modeļa elementi” ietver galveno CA, TLM, EA/AA, CPOC un drošo tīklu.
5.1.Fiziskās kontroles pasākumi
(184)Visas C-ITS uzticamības modeļa darbības veic fiziski aizsargātā vidē, kas attur, novērš un konstatē sensitīvas informācijas un sistēmu nesankcionētu izmantošanu, piekļuvi šādai informācijai un sistēmām vai to izpaušanu. C-ITS uzticamības modeļa elementi izmanto fiziskās kontroles pasākumus atbilstoši ISO 27001 un ISO 27005.
(185)Entitātes, kas pārvalda C-ITS uzticamības modeļa elementus, savos CPS apraksta fiziskās, procedūru un personāla drošības kontroles pasākumus. Galvenais, CPS izklāsta informāciju par objekta izvietojumu, ēku konstrukciju un to fiziskās drošības kontroles pasākumiem, kas garantē kontrolētu piekļuvi visām telpām, kuras izmanto C-ITS uzticamības modeļa entitāšu infrastruktūrā.
5.1.1.Objekta izvietojums un konstrukcija
5.1.1.1.Galvenā CA, CPOC, TLM
(186)Tās infrastruktūras izvietojums un konstrukcija, kurā ir izvietots galvenās CA, CPOC un TLM aprīkojums un dati (HSM, aktivizācijas dati, atslēgu pāru dublējumkopijas, datori, žurnāli, atslēgu ceremoniju šrifts, sertifikāta pieprasījums utt.), atbilst infrastruktūrai, ko izmanto vērtīgas un sensitīvas informācijas mitināšanai. Galvenā CA darbojas īpaši šim nolūkam paredzētā fiziskā telpā, kas ir nodalīta no citu PKI komponentu fiziskajām telpām.
(187)Galvenā CA, CPOC un TLM īsteno politiku un procedūras, lai nodrošinātu augsta drošības līmeņa uzturēšanu fiziskajā vidē, kurā uzstādīts galvenās CA aprīkojums, tādējādi garantējot, ka:
·aprīkojums ir nošķirts no tīkliem ārpus uzticamības modeļa;
·tas ir sadalīts tādu (vismaz divu) fizisko parametru kopumos, kuru drošība pakāpeniski palielinās;
·sensitīvi dati (HSM, atslēgu pāru dublējumkopijas, aktivizācijas dati utt.) tiek glabāti speciālā seifā, kas atrodas speciālā fiziskajā telpā ar vairākkārtēju piekļuves kontroli.
(188)Izmantotās drošības metodes ir izstrādātas tā, lai tās būtu noturīgas pret daudzām dažādu uzbrukuma veidu kombinācijām. Izmantotie mehānismi ietver vismaz šādus elementus:
·perimetra signalizācija, videonovērošanas sistēma, pastiprinātas sienas un kustību detektori;
·divu faktoru autentifikācija (piemēram, viedkarte un PIN numurs) ikvienai personai un žetons, kas izmantojams, lai iekļūtu galvenās CA infrastruktūrā un drošajā fiziski aizsargātajā telpā un izkļūtu no tiem.
(189)Galvenā CA, CPOC un TLM izmanto pilnvarotu personālu, kas augu diennakti cauru gadu pastāvīgi uzrauga infrastruktūru, kurā izvietots aprīkojums. Operatīvo vidi (piemēram, fizisko infrastruktūru) nekad neatstāj bez uzraudzības. Operatīvās vides personālam nekad nav piekļuves galvenās CA vai pakārtoto CA drošajām teritorijām, ja viņi nav pilnvaroti to darīt.
5.1.1.2.EA/AA
(190)Piemēro tos pašus noteikumus, kas izklāstīti 5.1.1.1. iedaļā.
5.1.2.Fiziskā piekļuve
5.1.2.1.Galvenā CA, CPOC, TLM
(191)Aprīkojumu un datus (HSM, aktivizācijas datus, atslēgu pāru dublējumkopijas, datoru, žurnālu, atslēgu ceremonijas šriftu, sertifikāta pieprasījumu u. c.) vienmēr aizsargā no nesankcionētas piekļuves. Aprīkojuma fiziskās drošības mehānismi vismaz
·manuāli vai elektroniski vienmēr uzrauga, vai nenotiek nesankcionēta ielaušanās;
·nodrošina, ka netiek atļauta nesankcionēta piekļuve aparatūrai un aktivizācijas datiem;
·nodrošina, ka visi noņemamie datu nesēji un dokumenti, kas satur sensitīvu vienkārša teksta informāciju, tiek glabātu aizsargātā konteinerā;
·nodrošina, ka neviena persona, kura ienāk aizsargātajās telpās un kurai nav pastāvīga pilnvarojuma, netiek atstāta bez galvenās CA, CPOC un TLM infrastruktūras pilnvarota darbinieka uzraudzības;
·nodrošina, ka tiek vests piekļuves žurnāls, ko regulāri pārbauda;
·nodrošina vismaz divus drošības slāņus, kuru drošības līmenis pakāpeniski palielinās, piemēram, perimetra, ēkas un operatīvās telpas līmenī;
·pieprasa divus uzticamās lomas fiziskās piekļuves kontroles pasākumus kriptogrāfiskajiem HSM un aktivizācijas datiem.
(192)Ja infrastruktūru, kurā izvietots aprīkojums, jāatstāj bez uzraudzības, veic tās drošības pārbaudi. Pārbaudē pārliecinās vismaz par to, vai
·aprīkojums ir tādā stāvoklī, kas ir piemērots aktuālajam darbības režīmam;
·bezsaistes komponentiem viss aprīkojums ir izslēgts;
·visi drošības konteineri (viltojumdroša aploksne, seifs u. tml.) ir pienācīgi aizsargāti;
·fiziskās drošības sistēmas (piemēram, durvju slēdzenes, ventilācijas šahtu vāki, elektropadeves sistēma) darbojas pienācīgi;
·teritorija ir aizsargāta no nesankcionētas piekļuves.
(193)Noņemamus kriptogrāfiskos moduļus pirms to novietošanas glabāšanai dezaktivizē. Kad šādus moduļus neizmanto, moduļus un aktivizācijas datus, ko izmanto, lai piekļūtu moduļiem vai tos iespējotu, novieto drošā vietā. Aktivizācijas datus memorizē vai ieraksta un glabā tādā veidā, kas ir samērīgs ar kriptogrāfiskajam modulim piešķirto drošību. Tos neglabā kopā ar kriptogrāfisko moduli, lai izvairītos no tā, ka tikai vienai personai ir piekļuve privātajai atslēgai.
(194)Uzticamo lomu personai vai grupai nepārprotami uztic atbildību par šādu pārbaužu veikšanu. Ja atbildīga ir personu grupa, uztur žurnālu, kurā norāda personu, kura veic katru pārbaudi. Ja infrastruktūra netiek pastāvīgi uzraudzīta, pēdējā persona, kas pamet objektu, izveido izrakstīšanās lapu, kurā norāda datumu un laiku un apstiprina, ka visi nepieciešamie fiziskās aizsardzības mehānismi ir ieviesti un aktivizēti.
5.1.2.2.EA/AA
(195)Piemēro tos pašus noteikumus, kas izklāstīti 5.1.2.1. iedaļā.
5.1.3.Energoapgāde un gaisa kondicionēšana
(196)C-ITS uzticamības modeļu elementu (galvenās CA, CPOC, TLM, EA un AA) drošo infrastruktūru aprīko ar uzticamu piekļuvi elektroapgādei, lai nodrošinātu darbību bez atteicēm vai tikai ar minimālām atteicēm. Ārēju energopadeves traucējumu gadījumā ir vajadzīgas pamatinstalācijas un to dublējumkopijas, un energopadeves pārtraukuma gadījumā ir jānodrošina C-ITS uzticamības modeļa aprīkojuma vienmērīga izslēgšanās. C-ITS uzticamības modeļa infrastruktūru aprīko ar apkures / ventilācijas / gaisa kondicionēšanas sistēmām, lai C-ITS uzticamības modeļa aprīkojuma temperatūru un relatīvo mitrumu uzturētu darba diapazonā. C-ITS uzticamības modeļa elementa CPS sīki izklāsta šādu prasību īstenošanas plānu un procesus.
5.1.4.Pakļautība ūdens iedarbībai
(197)C-ITS uzticamības modeļa elementu (galvenās CA, CPOC, TLM, EA un AA) drošā infrastruktūra jāaizsargā tā, lai minimalizētu ūdens iedarbību. Šā iemesla dēļ izvairās no ūdens un notekūdeņu caurulēm. C-ITS uzticamības modeļa elementa CPS sīki izklāsta šādu prasību īstenošanas plānu un procesus.
5.1.5.Ugunsgrēka novēršana un ugunsdrošība
(198)Lai novērstu kaitējošu pakļaušanu liesmu vai dūmu iedarbībai, SITS uzticamības modeļa elementu (galvenās CA, CPOC, TLM, EA un AA) drošo infrastruktūru atbilstoši izbūvē un aprīko, kā arī īsteno procedūras ar ugunsgrēku saistītu draudu novēršanai. Datu nesēji jāaizsargā no uguns atbilstošos konteineros.
(199)C-ITS uzticamības modeļa elementi aizsargā fiziskos datu nesējus, kuros glabā kritisku sistēmdatu vai citādas sensitīvas informācijas dublējumkopijas, no vides radītiem apdraudējumiem un šādu datu nesēju nesankcionētas izmantošanas, izpaušanas vai piekļuves tiem. C-ITS uzticamības modeļa elementa CPS sīki izklāsta šādu prasību īstenošanas plānu un procesus.
5.1.6.Datu nesēju pārvaldība
(200)Ar datu nesējiem, ko izmanto C-ITS uzticamības modeļa elementos (galvenajā CA, CPOC, TLM, EA un AA), rīkojas drošā veidā, lai tos aizsargātu no bojājumiem, zādzības un nesankcionētas piekļuves. Īsteno datu nesēju pārvaldības procedūras, lai aizsargātu datu nesējus no novecošanas un sabojāšanās periodā, kad ir jāsaglabā tajos esošie ieraksti.
(201)Sensitīvus datus aizsargā, lai tiem nevarētu piekļūt ar atkārtoti izmantotu glabāšanas objektu (piemēram, dzēstu failu) starpniecību, kas var padarīt sensitīvus datus pieejamus nesankcionētiem lietotājiem.
(202)Uztur visu informācijas aktīvu uzskaiti, un nosaka šādu aktīvu aizsardzības prasības, kas ir atbilstošas riska analīzei. C-ITS uzticamības modeļa elementa CPS sīki izklāsta šādu prasību īstenošanas plānu un procesus.
5.1.7.Atkritumu apsaimniekošana
(203)C-ITS uzticamības modeļa elementi (galvenā CA, CPOC, TLM, EA un AA) īsteno atkritumu (papīra, datu nesēju vai citu atkritumu) drošas un neatgriezeniskas utilizācijas procedūras, lai novērstu konfidenciālu/privātu informāciju saturošu atkritumu nesankcionētu izmantošanu, piekļuvi tiem vai to satura izpaušanu. Visus datu nesējus, ko izmanto sensitīvas informācijas glabāšanai, piemēram, atslēgas, aktivizācijas datus vai failus, pirms to nodošanas utilizācijai iznīcina. C-ITS uzticamības modeļa elementa CPS sīki izklāsta šādu prasību īstenošanas plānu un procesus.
5.1.8.Dublējumkopiju glabāšana ārpus objekta
5.1.8.1.Galvenā CA, CPOC un TLM
(204)Pēc CA, CPOC un TLM izvietošanas un pēc katras jauna atslēgu pāra ģenerēšanas bezsaistē izveido galvenās CA, CPOC un TLM komponentu pilnīgas dublējumkopijas, kas ir pietiekamas, lai atjaunotu darbību pēc sistēmas atteices. Svarīgas darbības informācijas (atslēgu pāru un CRL) un programmatūras dublējumkopijas izveido regulāri. Nodrošina pietiekamu dublēšanas infrastruktūru, lai visu būtisko darbības informāciju un programmatūru varētu atjaunot pēc katastrofas vai datu nesēja atteices. Regulāri testē individuālu sistēmu dublēšanas procedūras, lai nodrošinātu to atbilstību darbības nepārtrauktības plāna prasībām. Vismaz vienu pilnīgu dublējumkopiju glabā ārpus objekta (ārkārtas atkopšana). Dublējumkopiju glabā vietā, kur īsteno fiziskās un procedūru drošības kontroles pasākumus, kas ir samērīgi ar operatīvās PKI sistēmas drošības kontroles pasākumiem.
(205)Uz dublējumdatiem attiecina tādas pašas piekļuves prasības kā uz operatīvajiem datiem. Dublējumdatus šifrē un glabā ārpus objekta. Pilnīgas datu zaudēšanas gadījumā informāciju, kas vajadzīga galvenās CA, CPOC un TLM darbības atjaunošanai, pilnīgi atkopj no dublējumdatiem.
(206)Galvenās CA, CPOC un TLM privāto atslēgu materiālu dublē, izmantojot nevis standarta dublēšanas mehānismus, bet kriptogrāfiskā moduļa dublēšanas funkciju.
5.1.8.2.EA/AA
(207)Uz šo iedaļu attiecas procesi, kas izklāstīti 5.1.8.1. iedaļā.
5.2.Procedūru kontroles pasākumi
Šajā iedaļā ir izklāstītas prasības attiecībā uz personāla lomām, pienākumiem un identifikāciju.
5.2.1.Uzticamās lomas
(208)Darbiniekus, līgumslēdzējus un konsultantus, kuriem piešķir uzticamās lomas, uzskata par “uzticamajām personām”. Personām, kuras vēlas kļūt par uzticamajām personām, lai iegūtu uzticamu amatu, jāatbilst šajā sertifikātu politikā noteiktajām atlases prasībām.
(209)Uzticamajām personām ir piekļuve autentifikācijas vai kriptogrāfijas darbībām – vai tās kontrolē autentifikācijas vai kriptogrāfijas darbības – kas var būtiski ietekmēt
·sertifikātu pieteikumos ietvertās informācijas validāciju;
·sertifikātu pieteikumu, atsaukšanas pieprasījumu vai atjaunošanas pieprasījumu akceptēšanu, noraidīšanu vai citu apstrādi;
·sertifikātu izdošanu vai atsaukšanu, ietverot personālu, kam ir piekļuve ierobežotām repozitorija daļām vai kas strādā ar abonentu informāciju vai pieprasījumiem.
(210)Uzticamo lomu starpā ir šīs (bet ne tikai):
·klientu apkalpošana;
·sistēmu administrēšana;
·speciālie inženierpakalpojumi;
·izpildpersonas, kuru atbildībā ir infrastruktūru uzticamības pārvaldība.
(211)CA savā CPS iekļauj visu uzticamo lomu skaidrus aprakstus.
5.2.2.Katram uzdevumam vajadzīgo personu skaits
(212)C-ITS uzticamības modeļa elementi izstrādā, uztur un īsteno stingras kontroles procedūras, lai nodrošinātu pienākumu nošķiršanu, pamatojoties uz uzticamajām lomām, un to, ka sensitīvu uzdevumu veikšanai tiek piesaistītas vairākas uzticamas personas. C-ITS uzticamības modeļu elementiem (TLM, CPOC, galvenajai CA, EA un AA) jāatbilst 4. vērei un nākamajos punktos izklāstītajām prasībām.
(213)Ir ieviestas politikas un kontroles procedūras, lai nodrošinātu pienākumu nošķiršanu, pamatojoties uz darba atbildības jomām. Vissensitīvāko uzdevumu veikšanai, piemēram, piekļuvei CA kriptogrāfijas aparatūrai (HSM) un ar to saistītajam atslēgu materiālam un to pārvaldībai, jāpilnvaro vairākas uzticamas personas.
(214)Šīs iekšējās kontroles procedūras izstrādā tā, lai nodrošinātu, ka attiecībā uz fizisku vai loģisku piekļuvi ierīcei ir vajadzīgas vismaz divas uzticamas personas. Ierobežojumi attiecībā uz piekļuvi CA kriptogrāfijas aparatūrai ir stingri jāīsteno vairākām uzticamām personām visā aparatūras dzīves ciklā, sākot ar pieņemšanas kvīti un pārbaudi un beidzot ar galīgo loģisko un/vai fizisko iznīcināšanu. Tiklīdz modulis ir aktivizēts ar operatīvajām atslēgām, aktivizē turpmākās piekļuves kontroles pasākumus, lai uzturētu dalītu kontroli pār fizisko un loģisko piekļuvi ierīcei.
5.2.3.Katras lomas identifikācija un autentifikācija
(215)Visas personas, kurām ir piešķirta kāda loma, kā aprakstīs šajā CP, identificē un autentificē tā, lai garantētu, ka loma ļauj viņām pildīt viņu PKI pienākumus.
(216)C-ITS uzticamības modeļu elementi verificē un apstiprina visu to personu identitāti un autorizāciju, kuras vēlas kļūt par uzticamajām personām, pirms minētajām personām
·izsniedz viņu piekļuves ierīces un piešķir piekļuvi vajadzīgajai infrastruktūrai;
·piešķir elektroniskos akreditācijas datus, lai viņas varētu piekļūt CA sistēmām un veikt īpašas funkcijas CA sistēmās.
(217)CPS apraksta mehānismus, ko izmanto personu identificēšanai un autentifikācijai.
5.2.4.Lomas, kuru pienākumi ir jānodala
(218)Lomas, kuru pienākumi ir jānodala, ir šīs (bet ne tikai):
·pieprasījumu akceptēšana, noraidīšana un atsaukšana un CA sertifikātu pieprasījumu cita apstrāde;
·CA sertifikāta ģenerēšana, izdošana un iznīcināšana.
(219)Pienākumu nošķiršanu var veikt, izmantojot PKI aprīkojumu, procedūras, vai gan vienu, gan otru. Nevienai personai nepiešķir vairāk par vienu identitāti, ja vien vairāku identitāšu piešķiršanu neapstiprina galvenā CA.
(220)Tā galvenās CA un CA daļa, kas ir saistīta ar sertifikātu ģenerēšanas un atsaukšanas pārvaldību, savos lēmumos par pakalpojumu izveidi, sniegšanu, uzturēšanu un apturēšanu atbilstoši piemērojamajai sertifikātu politikai ir neatkarīga no citām organizācijām. Proti, minētās daļas vecākajām izpildpersonām, vecākajiem darbiniekiem un darbiniekiem, kuriem ir uzticamas lomas, nepiemēro komerciālu, finansiālu un citādu spiedienu, kas varētu nelabvēlīgi ietekmēt tās sniegto pakalpojumu uzticamību.
(221)EA un AA, kas apkalpo mobilās C-ITS stacijas, ir atsevišķas operatīvās entitātes ar atsevišķu IT infrastruktūru un IT vadības grupām. Saskaņā ar VDAR EA un AA neapmainās ar personas datiem, izņemot AT pieprasījumu autorizācijas nolūkos. Tās pārsūta tikai datus, kas saistīti ar AT pieprasījumu apstiprināšanu, izmantojot 1. vērē minēto autorizācijas validācijas protokolu un ar speciālas drošas saskarnes starpniecību. Var izmantot citus protokolus, ar nosacījumu, ka tiek īstenota 1. vēre.
(222)EA un AA glabātos žurnālfailus var izmantot vienīgi, lai atsauktu neatbilstoši darbojošos EC, kuru pamatā ir AT, pārtvertos ļaunprātīgos CAM/DENM ziņojumos. Pēc tam, kad CAM/DENM ziņojums ir identificēts kā ļaunprātīgs, AA sameklē AT verifikācijas atslēgu savos izdošanas žurnālos un iesniedz EA atsaukšanas pieprasījumu, kurā ietverts EC privātās atslēgas šifrētais paraksts, kurš izmantots AT izdošanas laikā. Visiem žurnālfailiem jābūt pienācīgi aizsargātiem no nesankcionētu personu piekļuves, un tos nedrīkst nodot citām entitātēm vai iestādēm.
Piezīme. Šās CP versijas sagatavošanas laikā netiek definēta funkcija, kas darbojas neatbilstoši. Ir plānots neatbilstoši darbojošos funkciju potenciāli definēt nākamajās politikas versijās.
5.3.Personāla kontroles pasākumi
5.3.1.Kvalifikācija, pieredze un apstiprināšanas prasības
(223)C-ITS uzticamības modeļa elementi izmanto pietiekami daudz darbinieku, kuriem ir speciālās zināšanas, pieredze un kvalifikācija, kas nepieciešama attiecīgajām darba funkcijām un piedāvātajiem pakalpojumiem. PKI personāls izpilda minētās prasības, apgūstot oficiālu apmācību un iegūstot vajadzīgās apliecības, gūstot faktisku pieredzi, vai arī kombinējot abus šos veidus. Uzticamās lomas un pienākumus, kas norādīti CPS, dokumentē amata aprakstos un skaidri norāda. PKI darbinieku nolīgtajiem apakšuzņēmējiem ir noteikti amata apraksti, lai nodrošinātu pienākumu un privilēģiju nošķiršanu, un viņu amata sensitivitāti nosaka, pamatojoties uz pienākumiem un piekļuves līmeņiem, iepriekšējās darbības izvērtēšanu un darbinieku apmācību un informētību.
5.3.2.Iepriekšējās darbības pārbaudes procedūras
(224)C-ITS uzticamības modeļu elementi veic iepriekšējās darbības pārbaudes tiem darbiniekiem, kuri vēlas kļūt par uzticamām personām. Darbiniekiem, kuri ieņem uzticamus amatus, iepriekšējās darbības pārbaudes veic vismaz reizi piecos gados.
(225)Iepriekšējās darbības pārbaudes laikā atklāti faktori, kurus var uzskatīt par pietiekamiem, lai noraidītu kandidātus uz uzticamajām amata vietām vai vērstu pasākumus pret personu, kura jau ieņem uzticamu lomu, cita starpā ir (bet ne tikai šie):
·maldinoša informācija, ko sniedzis kandidāts vai uzticamā persona;
·īpaši nelabvēlīgas vai neuzticamas profesionālās atsauksmes;
·noteikti kriminālsodi;
·pazīmes, kas liecina par finansiālās atbildības trūkumu.
(226)Ziņojumus, kuros ietverta šāda informācija, izvērtē personāla nodaļas darbinieki, kuri veic pamatotas darbības, ņemot vērā iepriekšējās darbības pārbaudē atklātās rīcības veidu, smagumu un biežumu. Šādas darbības var būt pasākumi, kas var ietvert pat darba piedāvājumu atcelšanu kandidātiem uz uzticamajām amata vietām vai darba attiecību izbeigšanu ar esošajām uzticamajām personām. Uz iepriekšējās darbības pārbaudē atklātas informācijas izmantošanu par pamatu šādām darbībām attiecas piemērojamie tiesību akti.
(227)To personu iepriekšējās darbības pārbaude, kuras vēlas kļūt par uzticamām personām, cita starpā ietver:
·pārliecināšanos par iepriekšējo nodarbinātību;
·profesionālo atsauksmju pārbaudi saistībā ar viņu nodarbinātību, kas aptver vismaz piecu gadu laikposmu;
·pārliecināšanos par visaugstāko vai visbūtiskāko iegūto izglītības līmeni;
·reģistrētu kriminālsodu pārbaudi.
5.3.3.Apmācības prasības
(228)C-ITS uzticamības modeļa elementi nodrošina savam personālam apmācību, kas nepieciešama ar CA darbībām saistīto pienākumu kompetentai un apmierinošai izpildei.
(229)Apmācības programmas periodiski pārskata, un apmācībā iekļauj jautājumus, kas ir būtiski personāla funkciju veikšanai.
(230)Apmācības programmās aplūko jautājumus, kas būtiski attiecas uz konkrēto vidi, kurā strādā apmācāmais, to vidū:
·C-ITS uzticamības modeļa elementu drošības principus un mehānismus;
·izmantojamās aparatūras un programmatūras versijas;
·visus pienākumus, kuru izpilde tiek gaidīta no attiecīgās personas, un iekšējos un ārējos ziņošanas procesus un kārtību;
·PKI darbības procesus un darbplūsmas;
·incidentu un kompromitējumu ziņošanu un tādu ziņojumu apstrādi;
·ārkārtas atkopšanas un darbības nepārtrauktības procedūras;
·pietiekamas zināšanas IT jomā.
5.3.4.Pārkvalifikācijas biežums un prasības
(231)Personām, kurām piešķirtas uzticamības lomas, ir pastāvīgi jāatsvaidzina apmācībā apgūtās zināšanas, izmantojot mācību vidi. Apmācība ir jāatkārto vienmēr, kad to uzskata par nepieciešamu, un vismaz reizi divos gados.
(232)C-ITS uzticamības modeļa elementi nodrošina saviem darbiniekiem profesionālās pilnveides un kvalifikācijas celšanas iespējas tiktāl un tik bieži, cik tas nepieciešams, lai viņi uzturētu vajadzīgo kvalifikācijas līmeni viņu darba pienākumu kompetentai un apmierinošai izpildei.
(233)Personām, kurām ir uzticamās lomas, attiecīgā gadījumā ir jāpārzina PKI darbību izmaiņas. Būtiskas izmaiņas darbībā pavada apmācības (informētības veicināšanas) plāns, kura izpildi dokumentē.
5.3.5.Darba rotācijas biežums un secība
(234)Nepiemēro prasības, kamēr tiek nodrošinātas tehniskās prasmes, pieredze un piekļuves tiesības. C-ITS uzticamības modeļa elementu administratori nodrošina, ka personāla izmaiņas neietekmē sistēmas drošību.
5.3.6.Sankcijas par nesankcionētām darbībām
(235)Katram C-ITS uzticamības modeļa elementam ir jāizstrādā oficiāls disciplinārais process, lai nodrošinātu, ka par nesankcionētām darbībām piemēro attiecīgas sankcijas. Smagos gadījumos piešķirtās lomas un to attiecīgās privilēģijas ir jāatsauc.
5.3.7.Prasības neatkarīgiem līgumslēdzējiem
(236)C-ITS uzticamības modeļu elementi var atļaut neatkarīgiem līgumslēdzējiem vai konsultantiem kļūt par uzticamām personām tikai tiktāl, cik tas nepieciešams, lai īstenotu skaidri definētas attiecības ar ārpakalpojumu sniedzējiem, un ar nosacījumu, ka konkrētā entitāte uzticas līgumslēdzējiem vai konsultantiem tāpat, kā būtu gadījumā, ja tie būtu darbinieki, un ka tie atbilst prasībām, kuras piemēro darbiniekiem.
(237)Visos citos gadījumos neatkarīgiem līgumslēdzējiem un konsultantiem piekļuve C-ITS PKI drošajai infrastruktūrai ir tikai tad, ja viņi tiek eskortēti un viņus tieši uzrauga uzticamas personas.
5.3.8.Dokumentācija, ko izsniedz personālam
(238)C-ITS uzticamības modeļa elementi nodrošina savam personālam nepieciešamo apmācību un piekļuvi dokumentācijai, kas tam vajadzīga savu darba pienākumu kompetentai un apmierinošai izpildei.
5.4.Audita reģistrācijas procedūras
(239)Šajā iedaļā ir izklāstītas prasības attiecībā uz notikumu veidiem, kas jāreģistrē, un audita žurnālu pārvaldību.
5.4.1.Notikumu veidi, ko reģistrē un paziņo katra CA
(240)CA pārstāvis regulāri pārskata CA žurnālus, notikumus un procedūras.
(241)C-ITS uzticamības modeļa elementi reģistrē šādus audita notikumu veidus (attiecīgā gadījumā):
·fiziska piekļuve infrastruktūrai – fizisku personu piekļuvi infrastruktūrai reģistrē, saglabājot piekļuves pieprasījumus, kas nosūtīti caur viedkartēm. Ikreiz, kad tiek izveidots ieraksts, izveido arī notikumu;
·uzticamo lomu pārvaldība – reģistrē visas dažādo lomu piekļuves definīcijas un līmeņa izmaiņas, ieskaitot lomu atribūtu pārveidojumus. Ikreiz, kad tiek izveidots ieraksts, izveido arī notikumu;
·loģiskā piekļuve – notikumu izveido, kad entitātei (piemēram, programmai) ir piekļuve sensitīvām zonām (t. i., tīkliem un serveriem);
·dublēšanas pārvaldība – notikumu izveido ikreiz, kad veiksmīgi vai neveiksmīgi tiek izpildīta dublēšana;
·žurnālu pārvaldība – žurnālus saglabā. Kad žurnāla apmērs pārsniedz noteiktu apmēru, izveido notikumu;
·dati no abonentu un C-ITS uzticamības modeļa elementu autentifikācijas procesa – notikumus ģenerē par katru abonentu un C-ITS uzticamības modeļa elementu autorizācijas pieprasījumu;
·sertifikātu pieprasījumu akceptēšana un noraidīšana, arī sertifikātu izveide un atjaunošana – periodiski tiek ģenerēts notikums ar iepriekšējās septiņās dienās akceptēto un noraidīto sertifikātu pieprasījumu sarakstu;
·ražotāja reģistrācija – notikumu izveido, kad ražotājs ir reģistrēts;
·C-ITS stacijas reģistrācija – notikumu izveido, kad C-ITS stacija ir reģistrēta;
·HSM pārvaldība – notikumu izveido, kad reģistrēts HSM drošības pārkāpums;
·IT un tīkla pārvaldība saistībā ar PKI sistēmām – notikumu izveido, kad PKI serveris tiek izslēgts vai restartēts;
·drošības pārvaldība (veiksmīgi un neveiksmīgi mēģinājumi piekļūt PKI sistēmai, veiktās darbības PKI un drošības sistēmā, drošības profila izmaiņas, sistēmu avārijas, aparatūras darbības atteices un citas anomālijas, ar ugunsmūri un maršrutētāju saistītas darbības, kā arī ienākšana PKI infrastruktūrā un iznākšana no tās);
·ar notikumiem saistītos datus glabā vismaz piecus gadus, ja vien nav piemērojami valsts papildu noteikumi.
(242)Saskaņā ar VDAR audita žurnāli neļauj piekļūt ar privātumu saistītiem datiem, kas attiecas uz C-ITS stacijas privātajiem transportlīdzekļiem.
(243)Ja iespējams, drošības žurnālus apkopo automātiski. Ja tas nav iespējams, izmanto reģistrācijas žurnālu, papīra veidlapu vai citu fizisku mehānismu. Visus drošības audita žurnālus – gan elektroniskos, gan neelektroniskos – glabā un dara pieejamus atbilstības auditiem.
(244)Katru notikumu, kas saistīts ar sertifikātu dzīves ciklu, reģistrē tā, lai to varētu sasaistīt ar personu, kura to izveidojusi. Visus datus, kas saistīti ar personas identitāti, šifrē un aizsargā no nesankcionētas piekļuves.
(245)Katrā audita ierakstā iekļauj vismaz šādus elementus (ko reģistrē automātiski vai manuāli par katru auditējamo notikumu):
·noteikuma veids (no iepriekš dotā uzskaitījuma);
·uzticams datums un laiks, kad notikums noticis;
·notikuma rezultāts – sekmīgs vai nesekmīgs, attiecīgi;
·notikumu izraisījušās entitātes un/vai operatora identitāte, attiecīgā gadījumā;
·tās entitātes identitāte, kurai notikums adresēts.
5.4.2.Žurnāla apstrādes biežums
(246)Audita žurnālus pārskata, atbildot uz trauksmes brīdinājumiem par pārkāpumiem un incidentiem CA sistēmās, un arī periodiski katru gadu.
(247)Audita žurnāla apstrādē pārskata audita žurnālus, un visu būtisko notikumu iemeslus dokumentē audita žurnālu kopsavilkumā. Audita žurnāla pārskatīšanā pārbauda, vai ar žurnālu nav veiktas neatļautas manipulācijas, pārbauda visus žurnāla ierakstus un izmeklē visus brīdinājumus vai pārkāpumus žurnālos. Pasākumus, kas veikti, pamatojoties uz audita žurnāla pārskatīšanu, dokumentē.
(248)Audita žurnālu arhivē vismaz reizi nedēļā. Administrators to arhivē manuāli, ja audita žurnāla brīvā vieta diskā ir mazāka par attiecīgajā nedēļā prognozēto audita žurnāla datu apjomu.
5.4.3.Audita žurnāla glabāšanas ilgums
(249)Žurnāla ierakstus, kas attiecas uz sertifikātu dzīves ciklu, glabā vismaz piecus gadus, sākot no attiecīgā sertifikāta derīguma termiņa beigām.
5.4.4.Audita žurnāla aizsardzība
(250)Audita žurnāla integritāti un konfidencialitāti garantē, izmantojot uz lomām balstītu piekļuves kontroles mehānismu. Iekšējiem audita žurnāliem var piekļūt tikai administratori; ar sertifikātu dzīves ciklu saistītiem audita žurnāliem var piekļūt arī lietotāji, kuriem ir atbilstoša atļauja, izmantojot tīmekļa lapu un savus lietotāja pieteikšanās datus. Piekļuve jāpiešķir ar vairāku lietotāju (vismaz divu lietotāju) un vismaz divu līmeņu autentifikāciju. Ir tehniski jānodrošina, ka lietotāji nevar piekļūt saviem žurnālfailiem.
(251)Katru žurnāla ierakstu paraksta, izmantojot no HSM saņemto atslēgu materiālu.
(252)Notikumu žurnālus, kas ietver informāciju, pēc kuras var identificēt personu, piemēram, par privātu transportlīdzekli, šifrē tā, lai tos varētu izlasīt tikai pilnvarotās personas.
(253)Notikumus reģistrē tā, lai tos nevarētu viegli izdzēst vai iznīcināt (izņemot to pārnešanu uz ilgtermiņa datu nesējiem) laikposmā, kurā žurnāli ir jāsaglabā.
(254)Notikumu žurnālus aizsargā tā, lai tie būtu lasāmi visā to saglabāšanas termiņā.
5.4.5.Audita žurnāla dublēšanas procedūras
(255)Audita žurnālus un kopsavilkumus dublē, izmantojot uzņēmuma dublēšanas mehānismus, autorizētu uzticamu lomu kontrolē un atsevišķi no to komponentu avota ģenerēšanas. Audita žurnālu dublējumkopijas aizsargā ar tādu pašu uzticamības līmeni, kādu attiecina uz žurnālu oriģinālkopijām.
5.4.6.Audita datu vākšanas sistēma (iekšējā vai ārējā)
(256)C-ITS uzticamības modeļa elementu aprīkojums aktivizē audita procesus sistēmas startēšanas brīdī un dezaktivizē tos tikai sistēmas izslēgšanas brīdī. Ja audita procesi nav pieejami, C-ITS uzticamības modeļa elements aptur savu darbību.
(257)Katra darbības perioda beigās un sertifikātu atslēgu atjaunošanas gadījumā aprīkojuma kopējais statuss ir jāpaziņo attiecīgā PKI elementa darbību pārvaldītājam un darbību pārvaldības struktūrai.
5.4.7.Paziņošana notikuma izraisītājam subjektam
(258)Ja audita apkopošanas sistēma reģistrē notikumu, tā garantē, ka notikums ir saistīts ar uzticamu lomu.
5.4.8.Ievainojamības novērtējums
(259)Loma, kas atbild par audita veikšanu, un lomas, kas atbild par PKI sistēmas darbības īstenošanu C-ITS uzticamības modeļa elementos, izskaidro visus būtiskos notikumus audita žurnāla kopsavilkumā. Šādā pārskatīšanā pārbauda, vai ar žurnālu nav veiktas neatļautas manipulācijas un vai nav audita datu pārtraukumu vai citu zaudējumu, un tad īsumā caurskata visus žurnāla ierakstus, rūpīgāk izmeklējot visus trauksmes brīdinājumus vai pārkāpumus žurnālos. Pasākumus, kas veikti šādas pārskatīšanas rezultātā, dokumentē.
(260)C-ITS uzticamības modeļa elementi
·īsteno organizatoriskos un/tehniskos atklāšanas un novēršanas kontroles pasākumus C-ITS uzticamības modeļa elementu kontrolē, lai aizsargātu PKI sistēmas no vīrusiem un ļaunprogrammatūras;
·dokumentē un ievēro ievainojamības novēršanas procesu, kas ietver ievainojamības identificēšanu, izvērtēšanu, reaģēšanu un izlabošanu;
·veic ievainojamības skenēšanu
·pēc sistēmas vai tīkla izmaiņām, kuras C-ITS uzticamības modeļa elementi atzinuši par būtiskām attiecībā uz PKI komponentiem, un,
·vismaz reizi mēnesī – publiskām un privātām IP adresēm, ko CA un CPOC norādījuši kā PKI sistēmas;
·veic PKI sistēmu ielaušanās testus vismaz reizi gadā un pēc infrastruktūras vai lietojumprogrammu jauninājumiem vai pārveidojumiem, ko C-ITS uzticamības modeļa elementi atzīst par CA PKI komponentam būtiskiem;
·attiecībā uz tiešsaistes sistēmām reģistrē pierādījumus, ka katru ievainojamības skenēšanu un ielaušanās testu ir veikusi persona vai entitāte (vai to kolektīva grupa), kurai ir prasmes, rīki, kvalifikācija, ētikas kodekss un neatkarība, kas nepieciešama, lai veiktu uzticamu ievainojamības vai ielaušanās testu;
·izseko un izlabo ievainojamību atbilstoši uzņēmuma kiberdrošības politikai un riska mazināšanas metodikai.
5.5.Ierakstu arhivēšana
5.5.1.Arhivēto ierakstu veidi
(261)C-ITS uzticamības modeļa elementi ierakstus arhivē pietiekami detalizēti, lai būtu iespējams noteikt paraksta un PKI pienācīgās darbības derīgumu. Arhivē vismaz šādus PKI notikumu ierakstus (attiecīgā gadījumā):
·C-ITS uzticamības modeļa elementu infrastruktūras fiziskās piekļuves žurnāls (vismaz gadu);
·C-ITS uzticamības modeļa elementu uzticamo lomu pārvaldības žurnāls (vismaz 10 gadus);
·C-ITS uzticamības modeļa elementu IT piekļuves žurnāls (vismaz piecus gadus);
·CA atslēgu izveides, izmantošanas un iznīcināšanas žurnāls (vismaz piecus gadus) (neattiecas uz TLM un CPOC);
·sertifikātu izveides, izmantošanas un iznīcināšanas žurnāls (vismaz divus gadus);
·CPA pieprasījumu žurnāls (vismaz divus gadus);
·C-ITS uzticamības modeļa elementu aktivizācijas datu pārvaldības žurnāls (vismaz piecus gadus);
·C-ITS uzticamības modeļa elementu IT un tīkla žurnāls (vismaz piecus gadus);
·C-ITS uzticamības modeļa elementu PKI dokumentācija (vismaz piecus gadus);
·C-ITS uzticamības modeļa elementu drošības incidentu un audita ziņojumi (vismaz 10 gadus);
·sistēmu aprīkojums, programmatūra un konfigurācija (vismaz piecus gadus).
(262)C-ITS uzticamības modeļa elementi glabā šādu dokumentāciju, kas attiecas uz sertifikātu pieprasījumiem un to verifikāciju, un visus TLM, galvenās CA un CA sertifikātus un to CRL vismaz septiņus gadus no brīža, kad sertifikāts, kura pamatā ir šāda dokumentācija, pārstāj būt spēkā:
·PKI audita dokumentācija, ko glabā C-ITS uzticamības modeļa elementi;
·CPS dokumenti, ko glabā C-ITS uzticamības modeļa elementi;
·līgums starp CPA un citām entitātēm, ko glabā C-ITS uzticamības modeļa elementi;
·sertifikāti (vai cita atsaukšanas informācija), ko glabā CA un TLM;
·sertifikātu pieprasījumu ieraksti galvenās CA sistēmā (neattiecas uz TLM);
·citi dati vai lietojumprogrammas, kas ir pietiekamas, lai verificētu arhīva saturu;
·viss darbs, kas saistīts ar C-ITS uzticamības modeļa elementiem un atbilstības auditoriem vai ko tie veikuši.
(263)CA entitāte glabā visu dokumentāciju, kas attiecas uz sertifikātu pieprasījumiem un to verifikāciju, un visus attiecīgos sertifikātus un atsauktos sertifikātus vismaz septiņus gadus no brīža, kad derīgumu zaudē sertifikāts, kura pamatā ir minētā dokumentācija.
5.5.2.Arhīva glabāšanas ilgums
(264)Neskarot noteikumus, kas nosaka ilgāku arhivēšanas termiņu, C-ITS uzticamības modeļa elementi glabā visus ierakstus vismaz piecus gadus no brīža, kad ir beidzies attiecīgā sertifikāta derīguma termiņš.
5.5.3.Arhīva aizsardzība
(265)C-ITS uzticamības modeļa elementi glabā ierakstu arhīvu drošā, aizsargātā seifā atsevišķi no CA aprīkojuma, piemērojot fiziskās un procedūru drošības kontroles pasākumus, kas ir līdzvērtīgi PKI piemērojamajiem kontroles pasākumiem vai labāki par tiem.
(266)Arhīvu aizsargā no nesankcionētas skatīšanas, pārveidošanas, dzēšanas vai citām manipulācijām, to glabājot uzticamā sistēmā.
(267)Datu nesējus, kuros iekļauti arhīva dati, un to apstrādei vajadzīgās lietojumprogrammas saglabā, lai nodrošinātu, ka tām var piekļūt uz šajā CP noteikto laikposmu.
5.5.4.Sistēmu arhīvs un glabāšana
(268)C-ITS uzticamības modeļa elementi katru dienu izveido šādas informācijas sistēmas arhīvu inkrementālās dublējumkopijas un katru nedēļu veic pilnīgu dublēšanu. Papīra formāta ierakstu kopijas glabā drošā infrastruktūrā ārpus objekta.
5.5.5.Prasības ierakstu laika zīmogošanai
(269)C-ITS uzticamības modeļa elementi, kas pārvalda atsaukšanas datubāzi, nodrošina, ka ierakstos ir ietverta informācija par atsaukšanas ierakstu izveides laiku un datumu. Šādas informācijas integritāti īsteno, izmantojot kriptogrāfiskus risinājumus.
5.5.6.Arhīva apkopošanas sistēma (iekšējā vai ārējā)
(270)Arhīva apkopošanas sistēma ir iekšēja sistēma.
5.5.7.Arhīva informācijas iegūšanas un verificēšanas procedūras
(271)Visi C-ITS uzticamības modeļa elementi tikai pilnvarotām uzticamām personām ļauj piekļūt arhīvam. Galvenās CA un CA savas arhīva informācijas izveides, verificēšanas, iepakošanas, pārraidīšanas un glabāšanas procedūras apraksta CPS.
(272)Galvenās CA un CA aprīkojums verificē informācijas integritāti, pirms tā tiek atjaunota.
5.6.Atslēgu aizvietošana C-ITS uzticamības modeļa elementiem
(273)Šādiem C-ITS uzticamības modeļa elementiem piemēro īpašas prasības attiecībā uz to atslēgu aizvietošanu: TLM, galvenās CA un EA/AA sertifikāti.
5.6.1.TLM
(274)TLM dzēš savu privāto atslēgu, beidzoties attiecīgā sertifikāta derīguma termiņam. Tas ģenerē jaunu atslēgu pāri un atbilstošu TLM sertifikātu pirms aktuālās un derīgās privātās atslēgas dezaktivizācijas. TLM gādā, lai jaunais (saites) sertifikāts tiktu laikus iekļauts ECTL, lai to var izplatīt visām C-ITS stacijām, pirms tas kļūst derīgs. Saites sertifikātu un jauno pašparakstīto sertifikātu pārsūta CPOC.
5.6.2.Galvenā CA
(275)Galvenā CA dezaktivizē un dzēš aktuālo privāto atslēgu (un tās dublējumus), lai tā neizdotu jaunus EA/AA sertifikātus, kuru derīguma termiņš pārsniedz galvenās CA sertifikāta derīguma termiņu.
(276)Galvenā CA ģenerē jaunu atslēgu pāri un attiecīgu galvenās CA un saites sertifikātu pirms aktuālās privātās atslēgas (un tās dublējumu) dezaktivizācijas un nosūta to TLM iekļaušanai ECTL. Jaunā galvenās CA sertifikāta derīguma termiņš sākas aktuālās privātās atslēgas plānotās dezaktivizācijas brīdī. Galvenā CA gādā, lai jaunais sertifikāts tiktu laikus iekļauts ECTL tā izplatīšanai visām C-ITS stacijām, pirms tas kļūst derīgs.
(277)Galvenā CA aktivizē jauno privāto atslēgu, kad attiecīgais galvenās CA sertifikāts kļūst derīgs.
5.6.3.EA/AA sertifikāts
(278)EA/AA dezaktivizē aktuālo privāto atslēgu, lai tā neizdotu jaunus EC/AT, kuru derīguma termiņš pārsniedz EA/AA sertifikāta derīguma termiņu.
(279)EA/AA ģenerē jaunu atslēgu pāri un pieprasa attiecīgu EA/AAsertifikātu pirms aktuālās privātās atslēgas dezaktivizācijas. Jaunā EA/AA sertifikāta derīguma termiņš sākas aktuālās privātās atslēgas plānotās dezaktivizācijas brīdī. EA/AA gādā, lai jauno sertifikātu varētu laikus publicēt tā izplatīšanai visām C-ITS stacijām, pirms tas kļūst derīgs.
(280)EA/AA aktivizē jauno privāto atslēgu, kad attiecīgais EA/AA sertifikāts kļūst derīgs.
5.6.4.Auditors
Nav nosacījumu.
5.7.Kompromitējumi un ārkārtas atkopšana
5.7.1.Rīcība incidentu un kompromitējumu gadījumos
(281)C-ITS uzticamības modeļa elementi pastāvīgi uzrauga savu aprīkojumu, lai konstatētu potenciālus uzlaušanas mēģinājumus vai citus kompromitējumu veidus. Šādā gadījumā tie veic izmeklēšanu, lai noteiktu kaitējuma veidu un pakāpi.
(282)Ja par galvenās CA vai TLM pārvaldību atbildīgais personāls konstatē potenciālu uzlaušanas mēģinājumu vai cita veida kompromitējumu, tas veic izmeklēšanu, lai noteiktu kaitējuma veidu un pakāpi. Privātās atslēgas kompromitējuma gadījumā galvenās CA sertifikātu atsauc. CPA IT drošības eksperti novērtē potenciālā kaitējuma jomu, lai noteiktu, vai PKI ir jāpārbūvē, vai ir jāatsauc tikai daži sertifikāti un vai ir noticis PKI kompromitējums. Turklāt CPA nosaka, kuri pakalpojumi ir jāsaglabā (atsaukšana un sertifikātu statusa informācija) un kā tas ir jādara saskaņā ar CPA darbības nepārtrauktības plānu.
(283)Incidentus, kompromitējumus un darbības nepārtrauktību apraksta CPS, kura īstenošanā var izmantot arī citus uzņēmuma resursus un plānus.
(284)Ja par EA/AA/CPOC pārvaldību atbildīgais personāls konstatē potenciālu uzlaušanas mēģinājumu vai citādu kompromitējumu, tas veic izmeklēšanu, lai noteiktu kaitējuma veidu un pakāpi. Par CA vai CPOC entitātes pārvaldību atbildīgais personāls novērtē potenciālā kaitējuma apjomu, lai noteiktu, vai PKI komponents ir jāpārbūvē, vai ir jāatsauc tikai daži sertifikāti un vai ir noticis PKI komponenta kompromitējums. Turklāt pakārtotā CA entitāte nosaka, kuri pakalpojumi ir jāsaglabā un kā tas jādara saskaņā ar pakārtotās CA entitātes darbības nepārtrauktības plānu. PKI komponenta kompromitējuma gadījumā CA entitāte brīdina savu galveno CA un TLM caur CPOC.
(285)Incidentus, kompromitējumus un darbības nepārtrauktību apraksta galvenās CA vai TLM CPS vai – CPOC gadījumā – citos attiecīgos dokumentos, kuru īstenošanā var izmantot arī citus uzņēmuma resursus un plānus.
(286)Galvenā CA un CA, sniedzot precīzu informāciju par incidenta sekām, brīdina katru dalībvalsts pārstāvi un galveno CA, ar kuru tām ir vienošanās C-ITS kontekstā, lai tie varētu aktivizēt savu incidentu pārvaldības plānu.
5.7.2.Datošanas resursu, programmatūras un/vai datu bojājumi
(287)Ja tiek konstatēta ārkārtas situācija, kuras dēļ nav iespējama C-ITS uzticamības modeļa elementa pienācīga darbība, attiecīgais elements aptur savu darbību un izmeklē, vai ir noticis privātās atslēgas kompromitējums (izņemot CPOC). Bojātu aparatūru nomaina iespējami drīz, un piemēro 5.7.3. un 5.7.4. iedaļā izklāstītās procedūras.
(288)Par datošanas resursu, programmatūras un/vai datu bojājumiem visaugstāko riska līmeņu gadījumos paziņo galvenajai CA 24 stundu laikā. Visi citi gadījumi ir jāiekļauj galvenās CA, EA un AA periodiskajā ziņojumā.
5.7.3.Procedūras entitāšu privāto atslēgu kompromitējumu gadījumos
(289)Ja ir noticis galvenās CA privātās atslēgas kompromitējums, tā ir pazaudēta, iznīcināta vai ir aizdomas par tās kompromitējumu, galvenā CA
·aptur savu darbību;
·sāk ārkārtas atkopšanas un migrācijas plāna īstenošanu;
·atsauc savu galvenās CA sertifikātu;
·izmeklē “atslēgas jautājumu”, kas radījis kompromitējumu, un informē CPA, kas atsauc galvenās CA sertifikātu caur TLM (sk. 7. iedaļu);
·brīdina visus abonentus, ar kuriem tai ir vienošanās.
(290)Ja ir noticis EA/AA atslēgas kompromitējums, tā ir pazaudēta, iznīcināta vai ir aizdomas par tās kompromitējumu, EA/AA
·aptur savu darbību;
·atsauc savu sertifikātu:
·izmeklē atslēgas jautājumu un informē galveno CA;
·brīdina abonentus, ar kuriem tai ir vienošanās.
(291)Ja ir noticis C-ITS stacijas EC vai AT atslēgas kompromitējums, tā ir pazaudēta, iznīcināta vai ir aizdomas par tās kompromitējumu, EA/AA, kuras abonents ir C-ITS stacija,
·atsauc skartās ITS EC;
·izmeklē atslēgas jautājumu un informē galveno CA;
·brīdina abonentus, ar kuriem tai ir vienošanās.
(292)Ja kāds no algoritmiem vai saistītajiem parametriem, ko izmanto galvenā CA un/vai CA vai C-ITS stacijas, kļūst nepietiekams atlikušajam paredzētajam lietojumam, CPA (ar kriptogrāfijas ekspertu ieteikumu) informē galvenās CA entitāti, ar kuru tai ir vienošanās, un maina izmantotos algoritmus. (Plašāku informāciju sk. 6. iedaļā un galvenās CA un CA CPS).
5.7.4.Spēja nodrošināt darbības nepārtrauktību pēc ārkārtas situācijas
(293)C-ITS uzticamības modeļa elementi, kas uztur drošu infrastruktūru CA darbībai, izstrādā, testē, uztur un īsteno ārkārtas atkopšanas plānu, kas paredzēts, lai mazinātu dabas vai cilvēka izraisītu katastrofu sekas. Šādos plānos apraksta informācijas sistēmu pakalpojumu un galveno darbības funkciju atjaunošanu.
(294)Pēc konkrēta riska līmeņa incidenta akreditētam PKI auditoram ir atkārtoti jāauditē CA, pret kuru noticis kompromitējums (sk. 8. iedaļu).
(295)Ja CA, pret kuru noticis kompromitējums, nespēj turpināt darbību (piemēram, pēc nopietna incidenta), ir jābūt izstrādātam migrācijas plānam tās funkciju pārcelšanai uz citu galveno CA. Ir pieejama vismaz ES galvenā CA, kas atbalsta migrācijas plānu. CA, pret kuru noticis kompromitējums, pārtrauc savu funkciju pildīšanu.
(296)Galvenā CA iekļauj ārkārtas atkopšanas plānu un migrācijas plānu savā CPS.
5.8.Darbības izbeigšana un nodošana
5.8.1.TLM
(297)TLM neizbeidz savu darbību, bet entitāte, kas pārvalda TLM, var pārņemt citu entitāti.
(298)Ja mainās pārvaldītāja entitāte,
·tā prasa CPA apstiprinājumu TLM pārvaldības maiņai no vecās entitātes uz jauno entitāti;
·CPA apstiprina TLM pārvaldības maiņu;
·vecā pārvaldības entitāte nodod visus audita žurnālus un arhivētos ierakstus jaunajai entitātei.
5.8.2.Galvenā CA
(299)Galvenā CA neizbeidz/nesāk darbību, ja nav noteikusi migrācijas plānu (kas izklāstīts attiecīgajā CPS), kas garantē darbības nepārtrauktību visiem abonentiem.
(300)Galvenās CA pakalpojuma izbeigšanas gadījumā galvenā CA
·informē CPA;
·informē TLM, lai tas var dzēst galvenās CA sertifikātu no ECTL;
·atsauc attiecīgo galveno CA, izdodot CRL, kurā iekļauj sevi;
·brīdina galveno CA, ar kuru tai ir vienošanās par EA/AA sertifikātu atjaunošanu;
·iznīcina galvenās CA privāto atslēgu;
·paziņo pēdējo atsaukšanas statusa informāciju (CRL, ko parakstījusi galvenā CA) uzticamajai pusei, skaidri norādot, ka tā ir jaunākā atsaukšanas informācija;
·arhivē visus audita žurnālus un citus ierakstus pirms PKI darbības izbeigšanas;
·nodod arhivētos ierakstus attiecīgai iestādei.
(301)TLM dzēš attiecīgo galveno CA sertifikātu no ECTL.
5.8.3.EA/AA
(302)EA/AA pakalpojuma izbeigšanas gadījumā EA/AA sniedz paziņojumu pirms izbeigšanas. EA vai AA neizbeidz/nesāk darbību, ja nav noteikusi migrācijas plānu (kas izklāstīts attiecīgajā CPS), kas garantē darbības nepārtrauktību visiem abonentiem. EA/AA
·ar ierakstītu vēstuli informē galveno CA;
·iznīcina CA privāto atslēgu;
·nodod savu datubāzi galvenās CA ieceltajai entitātei;
·pārstāj izdot sertifikātus;
·savas datubāzes nodošanas laikā un līdz brīdim, kad datubāze ir pilnīgā darba kārtībā, saglabā spēju autorizēt pieprasījumus, kas tiek saņemti no atbildīgās privātuma iestādes;
·ja ir noticis kompromitējums pret pakārtotu CA, galvenā CA atsauc pakārtoto CA un izdod jaunu CRL ar atsaukto pakārtoto CA uzskaitījumu;
·arhivē visus audita žurnālus un citus ierakstus pirms PKI darbības izbeigšanas;
·nodod arhivētos ierakstus galvenās CA norīkotai entitātei.
(303)CA pakalpojumu izbeigšanas gadījumā CA atbildībā ir glabāt visus būtiskos ierakstus, kas attiecas uz CA un PKI komponentu vajadzībām.
6.Tehniskās drošības kontroles pasākumi
6.1.Atslēgu pāru ģenerēšana un instalēšana
6.1.1.TLM, galvenā CA, EA, AA
(304)Atslēgu pāru ģenerēšanas process atbilst šādām prasībām:
·katrs dalībnieks spēj ģenerēt savus atslēgu pārus saskaņā ar 6.1.4. un 6.1.5. iedaļu;
·procesu, kurā tiek atvasinātas simetriskās šifrēšanas atslēgas un MAC atslēga sertifikātu pieprasījumiem (ECIES), īsteno atbilstoši 1. un 5. vērei;
·atslēgu ģenerēšanas procesā izmanto algoritmus un atslēgu garumus, kas aprakstīti 6.1.4.1. un 6.1.4.2. iedaļā;
·atslēgu pāru ģenerēšanas procesam piemēro prasības par privāto atslēgu drošu glabāšanu (sk. 6.1.5. iedaļu);
·galvenās CA un to abonenti (pakārtotās CA) nodrošina, ka to publisko atslēgu un saistīto parametru izplatīšanā pakārtoto CA reģistrētajām entitātēm tiek saglabāta atslēgu un parametru integritāte un autentiskums.
6.1.2.EE – mobila C-ITS stacija
(305)Katra mobilā C-ITS stacija ģenerē savus atslēgu pārus saskaņā ar 6.1.4. un 6.1.5. iedaļu.
(306)Procesu, kurā tiek atvasinātas simetriskās šifrēšanas atslēgas un MAC atslēga sertifikātu pieprasījumiem (ECIES), īsteno saskaņā ar 1. un 5. vēri.
(307)Atslēgu ģenerēšanas procesos izmanto algoritmus un atslēgu garumus, kas aprakstīti 6.1.4.1. un 6.1.4.2. iedaļā.
(308)Atslēgu pāru ģenerēšanas procesiem piemēro prasības par privāto atslēgu drošu glabāšanu (sk. 6.1.5. iedaļu).
6.1.3.EE – stacionāra C-ITS stacija
(309)Katra stacionārā C-ITS stacija ģenerē savu atslēgu pāri saskaņā ar 6.1.4. un 6.1.5. iedaļu.
(310)Atslēgu ģenerēšanas procesos izmanto algoritmus un atslēgu garumus, kas aprakstīti 6.1.4.1. un 6.1.4.2. iedaļā.
(311)Atslēgu pāru ģenerēšanas procesiem piemēro prasības par privāto atslēgu drošu glabāšanu (sk. 6.1.5. iedaļu).
6.1.4.Kriptogrāfijas prasības
(312)Visi PKI dalībnieki ievēro nākamajos punktos izklāstītās prasības attiecībā uz paraksta algoritmu, atslēgu garumu, nejaušo skaitļu ģeneratoru un saites sertifikātiem.
6.1.4.1.Algoritmu un atslēgu garums – paraksta algoritmi
(313)Visi PKI dalībnieki (TLM, galvenā CA, EA, AA un C-ITS stacijas) spēj ģenerēt atslēgu pārus un izmantot privāto atslēgu parakstīšanas darbībām ar atlasītiem algoritmiem, vēlākais, no brīža divus gadus pēc šās regulas stāšanās spēkā saskaņā ar 4. tabulu.
(314)Visi PKI dalībnieki, kam jāpārbauda ECTL integritāte, sertifikāti un/vai parakstītie ziņojumi atbilstoši to lomai, kā noteikts 1.3.6. iedaļā, atbalsta attiecīgos algoritmus, kas uzskaitīti 5. tabulā attiecībā uz verifikāciju. Konkrēti, C-ITS stacijas spēj pārbaudīt ECTL integritāti.
|
|
TLM
|
galvenā CA
|
EA
|
AA
|
C-ITS stacija
|
|
ECDSA_nistP256_with_SHA 256
|
-
|
X
|
X
|
X
|
X
|
|
ECDSA_brainpoolP256r1_with_SHA 256
|
-
|
X
|
X
|
X
|
X
|
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
-
|
-
|
|
“X” nozīmē obligātu atbalstu.
|
4. tabula. Atslēgu pāru ģenerēšana un privātās atslēgas izmantošana parakstīšanas darbībām
|
|
TLM
|
galvenā CA
|
EA
|
AA
|
C-ITS stacija
|
|
ECDSA_nistP256_with_SHA 256
|
X
|
X
|
X
|
X
|
X
|
|
ECDSA_brainpoolP256r1_with_SHA 256
|
X
|
X
|
X
|
X
|
X
|
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
X
|
X
|
|
“X” nozīmē obligātu atbalstu.
|
5. tabula. Verifikācijas pārskats
(315)Ja CPA tā izlemj, ņemot vērā jaunatklātos kriptogrāfiskos trūkumus, visas C-ITS stacijas spēj pārslēgties uz vienu no abiem algoritmiem (ECDSA_nistP256_with_SHA 256 vai ECDSA_brainpoolP256_with_SHA 256), cik drīz vien iespējams. Faktiskos(-os) algoritmu(-us), ko izmanto, nosaka tās CA CPS, kura izdod sertifikātu attiecīgajai publiskajai atslēgai, saskaņā ar šo CP.
6.1.4.2.Algoritmu un atslēgu garums – šifrēšanas algoritmi priekšreģistrācijai un autorizācijai
(316)Visi PKI dalībnieki (EA, AA un C-ITS stacijas) spēj izmantot publiskās atslēgas, lai šifrētu priekšreģistrācijas un autorizācijas pieprasījumus/atbildes ar atlasītiem algoritmiem, vēlākais divus gadus pēc šās regulas stāšanās spēkā saskaņā ar 6. tabulu. Faktiskos(-os) algoritmu(-us), ko izmanto, nosaka tās CA CPS, kura izdod sertifikātu attiecīgajai publiskajai atslēgai, saskaņā ar šo CP.
(317)Algoritmi, kas norādīti 6. tabulā, norāda atslēgu garumu un kontrolsummas algoritma garumu, un tos īsteno saskaņā ar 5. vēri.
|
|
TLM
|
galvenā CA
|
EA
|
AA
|
C-ITS stacija
|
|
ECIES_nistP256_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
|
“X” nozīmē obligātu atbalstu.
|
6. tabula. Publisko atslēgu izmantošana priekšreģistrācijas un autorizācijas pieprasījumu/atbilžu šifrēšanai
(318)Visi PKI dalībnieki (EA, AA un C-ITS stacijas) spēj ģenerēt atslēgu pārus un izmantot privāto atslēgu, lai atšifrētu priekšreģistrācijas un autorizācijas pieprasījumus/atbildes ar atlasītiem algoritmiem, vēlākais divus gadus pēc šās regulas stāšanās spēkā saskaņā ar 7. tabulu.
|
|
TLM
|
galvenā CA
|
EA
|
AA
|
C-ITS stacija
|
|
ECIES_nistP256_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
|
“X” nozīmē obligātu atbalstu.
|
7. tabula. Atslēgu pāru ģenerēšana un privātās atslēgas izmantošana priekšreģistrācijas un autorizācijas pieprasījumu/atbilžu atšifrēšanai
6.1.4.3.Kriptogrāfiskā elastība
(319)Prasības, ko attiecina uz atslēgu garumiem un algoritmiem, ir laika gaitā jāmaina, lai uzturētu atbilstošu drošības līmeni. CPA uzrauga vajadzību pēc šādām izmaiņām, ņemot vērā faktisko neaizsargātību un pašu modernāko kriptogrāfiju. Tā izstrādā, apstiprina un publicē šās sertifikātu politikas atjauninājumu, ja nolemj, ka šifrēšanas algoritmi jāatjaunina. Ja jauns šās CP izdevums liecina, ka ir jāmaina algoritma un/vai atslēgas garums, CPA pieņem migrācijas stratēģiju, tajā norādot pārejas periodus, kuru laikā jābūt atbalstītiem vecajiem algoritmiem un atslēgu garumiem.
(320)Lai iespējotu un veicinātu pāreju uz jauniem algoritmu un/vai atslēgu garumiem, ir ieteicams, lai visi PKI dalībnieki izmantotu aparatūru un/vai programmatūru, kas spēj pārslēgt atslēgu garumus un algoritmus.
(321)Saknes un TLM sertifikātu izmaiņas atbalsta un izpilda, piesaistot saites sertifikātus (sk. 4.6. iedaļu), ko izmanto, lai nosegtu pārejas periodu starp vecajiem un jaunajiem saknes sertifikātiem (“uzticamības modeļa migrācija”).
6.1.5.Privāto atslēgu droša glabāšana
Šajā iedaļā ir izklāstītas prasības CA un gala entitātēm paredzēto atslēgu pāru un nejaušo skaitļu drošai glabāšanai un ģenerēšanai. Minētās prasības ir noteiktas kriptogrāfiskajiem moduļiem un ir aprakstītas nākamajās apakšiedaļās.
6.1.5.1.Galvenās CA, pakārtotās CA un TLM līmenis
(322)Kriptogrāfisko moduli izmanto:
·privāto atslēgu ģenerēšanai, izmantošanai, pārvaldībai un glabāšanai;
·nejaušo skaitļu ģenerēšanai un izmantošanai (nejaušo skaitļu ģenerēšanas funkcijas novērtēšana ir daļa no drošības novērtēšanas un sertifikācijas);
·privāto atslēgu dublējumkopiju izveidošanai saskaņā ar 6.1.6. iedaļu;
·privāto atslēgu dzēšanai.
Kriptogrāfisko moduli sertificē ar vienu no šādiem aizsardzības profiliem (PP), kuru uzticamības līmenis ir EAL-4 vai augstāks;
·PP attiecībā uz HSM:
·CEN EN 419 221-2: aizsardzības profili TSP kriptogrāfiskajiem moduļiem. 2. daļa. Kriptogrāfiskais modulis CSP parakstīšanas darbībām ar dublēšanu;
·CEN EN 419 221-4: aizsardzības profili TSP kriptogrāfiskajiem moduļiem. 4. daļa. Kriptogrāfiskais modulis CSP parakstīšanas darbībām bez dublēšanas;
·CEN EN 419 221-5: aizsardzības profili TSP kriptogrāfiskajiem moduļiem. 5. daļa. Kriptogrāfiskais modulis uzticamības pakalpojumiem;
·PP attiecībā uz viedkartēm:
·CEN EN 419 211-2: aizsardzības profili drošai paraksta radīšanas ierīcei. 2. daļa. ierīce ar atslēgu ģenerēšanu;
·CEN EN 419 211-3: aizsardzības profili drošai paraksta radīšanas ierīcei. 3. daļa. Ierīce ar atslēgu importēšanu.
Lai manuāli piekļūtu kriptogrāfiskajam modulim, ir vajadzīga divu faktoru autentifikācija no administratora. Turklāt šajā procesā jābūt iesaistītām divām pilnvarotām personām.
Kriptogrāfiskā moduļa īstenošanā nodrošina, ka atslēgas nav pieejamas ārpus kriptogrāfiskā moduļa. Kriptogrāfiskajā modulī iekļauj piekļuves kontroles mehānismu, lai novērstu privāto atslēgu nesankcionētu izmantošanu.
6.1.5.2.Gala entitāte
(323)Kriptogrāfisko moduli, kas paredzēts EE, izmanto:
·privāto atslēgu ģenerēšanai, izmantošanai, pārvaldībai un glabāšanai;
·nejaušo skaitļu ģenerēšanai un izmantošanai (nejaušo skaitļu ģenerēšanas funkcijas novērtējums ir daļa no drošības novērtēšanas un sertifikācijas);
·drošai privātās atslēgas dzēšanai.
(324)Kriptogrāfisko moduli aizsargā no nesankcionētas izņemšanas, nomaiņas un pārveidošanas. Visus PP un saistītos dokumentus, kas piemērojami kriptogrāfiskā moduļa drošības sertifikācijai, izvērtē, validē un sertificē saskaņā ar ISO 15408, piemērojot Informācijas sistēmu drošības augstāko amatpersonu grupas Savstarpējās atzīšanas nolīgumu par informāciju tehnoloģiju drošības izvērtējuma sertifikātiem (SOG-IS) vai līdzvērtīgu Eiropas kiberdrošības sertifikācijas shēmu saskaņā ar attiecīgo Eiropas kiberdrošības regulējumu.
(325)Tā kā ir svarīgi uzturēt visaugstāko iespējamo drošības līmeni, drošības sertifikātus kriptogrāfiskajam modulim izdod atbilstoši kopējai kritēriju sertifikācijas shēmai (ISO 15408) atbilstības novērtēšanas struktūra, kuru atzinusi vadības komiteja SOG-IS nolīguma ietvaros, vai izdod dalībvalsts kiberdrošības sertifikācijas iestādes akreditēta atbilstības novērtēšanas struktūra. Tāda atbilstības novērtēšanas struktūra nodrošina drošības novērtēšanas nosacījumus, kas vismaz līdzvērtīgi SOG-IS Savstarpējās atzīšanas nolīgumā paredzētajiem.
Piezīme. Aizsargā saiti starp kriptogrāfisko moduli un C-ITS staciju.
6.1.6.Privāto atslēgu dublēšana
(326)Privāto atslēgu dublējumkopiju ģenerēšanā, glabāšanā un izmantošanā ievēro vismaz oriģinālajām atslēgām noteiktā drošības līmeņa prasības.
(327)Privāto atslēgu dublējumkopijas izveido CA, EA un AA.
(328)Privāto atslēgu dublējumkopijas neveido EC un AT vajadzībām.
6.1.7.Privāto atslēgu iznīcināšana
(329)Galvenās CA, EA, AA un mobilās un stacionārās C-ITS stacijas iznīcina savas privātās atslēgas un visas attiecīgās dublējumkopijas, ja ir ģenerēts un veiksmīgi instalēts jauns atslēgu pāris un attiecīgs sertifikāts un ir pagājis pārklāšanās laiks (ja tāds ir noteikts – attiecas tikai uz CA). Privāto atslēgu iznīcina, izmantojot mehānismu, ko piedāvā kriptogrāfiskais modulis, kuru izmanto atslēgu glabāšanai, vai kā aprakstīts attiecīgajā PP, kurš minēts 6.1.5.2. iedaļā.
6.2.Aktivizācijas dati
(330)Aktivizācijas dati ir autentifikācijas faktori, kas vajadzīgi kriptogrāfisko moduļu izmantošanai, lai novērstu nesankcionētu piekļuvi. Lai izmantotu CA kriptogrāfiskās ierīces aktivizācijas datus, ir vajadzīga divu pilnvarotu personu rīcība.
6.3.Datoru drošības kontroles pasākumi
(331)CA datordrošības kontroles pasākumus izstrādā atbilstoši visaugstākajam drošības līmenim, ievērojot ISO/IEC 27002 prasības.
6.4.Dzīves cikla tehniskās kontroles pasākumi
(332)CA tehniskās kontroles pasākumi aptver visu CA dzīves ciklu. Šajā ziņā īpaši ievēro 6.1.4.3. iedaļā (Kriptogrāfiskā elastība) noteiktās prasības.
6.5.Tīkla drošības kontroles pasākumi
(333)CA (galvenās CA, EA un AA) tīklus nocietina pret uzbrukumiem atbilstoši prasībām un īstenošanas norādījumiem, kas paredzēti ISO/IEC 27001 un ISO/IEC 27002.
(334)CA tīklu pieejamību plāno, ņemot vērā prognozēto datplūsmu.
7.Sertifikātu profili, CRL un CTL
7.1.Sertifikāta profils
(335)TLM, saknes sertifikātiem, EA sertifikātiem, AA sertifikātiem, AT un EC izmanto sertifikātu profilus, kas noteikti 5. vērē. Valstu valdību EA var izmantot citus sertifikātu profilus EC vajadzībām.
(336)Galvenās CA, EA un AA sertifikātos norāda atļaujas, attiecībā uz kurām attiecīgajām CA (galvenajai CA, EA un AA) ir atļauts izdot sertifikātus.
(337)Pamatojoties uz 5. vēri,
·katra galvenā CA izmanto savu parakstīšanas privāto atslēgu, lai izdotu CRL;
·TLM izmanto savu parakstīšanas privāto atslēgu, lai izdotu ECTL.
7.2.Sertifikāta derīgums
(338)Visos C-ITS sertifikātu profilos iekļauj izdošanas un derīguma termiņa beigu datumus, kas norāda uz sertifikāta derīguma termiņu. Katrā PKI līmenī sertifikātus ģenerē pietiekamu laiku pirms to derīguma termiņa beigām.
(339)CA un EC derīguma termiņš ietver pārklāšanās laiku. TLM un galvenās CA sertifikātus izdod un iekļauj ECTL ne vairāk kā trīs mēnešus un ne mazāk kā vienu mēnesi pirms to derīguma termiņa sākuma, pamatojoties uz sertifikāta derīguma sākuma laiku. Šis priekšielādes posms ir vajadzīgs, lai sertifikātus droši izplatītu visām atbilstošajām uzticamajām pusēm saskaņā ar 2.2. iedaļu. Tādējādi tiek nodrošināts, ka, sākot no pārklāšanās laika, visas uzticamās puses jau var verificēt ziņojumus, kas izdoti ar jaunu sertifikātu.
(340)Pārklāšanās laika sākumā secīgos CA, EC un AT sertifikātus izdod (attiecīgā gadījumā), izplata atbilstošajām uzticamajām pusēm, un uzticamās puses tos instalē. Pārklāšanās laikā aktuālo sertifikātu izmanto tikai verifikācijai.
(341)Tā kā derīguma termiņi, kas norādīti 8. tabulā, nedrīkst pārsniegt virssertifikāta derīguma termiņu, piemēro šādus ierobežojumus:
·maksimālais termiņš (galvenā CA) = privātās atslēgas izmantojums (galvenā CA) + maksimālais termiņš (EA, AA);
·maksimālais termiņš (EA) = c (EA) + maksimālais termiņš (EC);
·maksimālais termiņš (AA) = privātās atslēgas izmantojums (AA) + priekšielādes termiņš (AT).
(342)(Saknes un TLM) saites sertifikātu derīguma termiņš sākas, kad sākas attiecīgās privātās atslēgas izmantojums, un beidzas, kad beidzas galvenās CA vai TLM maksimālais derīguma termiņš.
(343)C-ITS CA sertifikātu maksimālais derīguma termiņš ir norādīts 8. tabulā (attiecībā uz AT derīguma termiņiem sk. 7.2.1. iedaļu).
|
Entitāte
|
Maksimālais privātās atslēgas izmantošanas termiņš
|
Maksimālais derīguma termiņš
|
|
Galvenā CA
|
3 gadi
|
8 gadi
|
|
EA
|
2 gadi
|
5 gadi
|
|
AA
|
4 gadi
|
5 gadi
|
|
EC
|
3 gadi
|
3 gadi
|
|
TLM
|
3 gadi
|
4 gadi
|
8. tabula. Sertifikātu derīguma termiņi C-ITS uzticamības modelī
7.2.1.Pseidonīmu sertifikāti
(344)Šajā kontekstā AT īsteno pseidonīmus. Tādējādi šī iedaļa vairāk attiecas uz AT nekā uz pseidonīmiem.
(345)Šajā iedaļā izklāstītās prasības attiecas tikai uz to mobilo C-ITS staciju AT, kuras nosūta CAM un DENM ziņojumus, ja ir piemērojams atrašanās vietas privātuma risks. Nepiemēro īpašas AT sertifikātu prasības tām AT, kas paredzētas stacionārajām C-ITS stacijām un mobilajām C-ITS stacijām, kuras izmanto īpašām funkcijām, ja nav piemērojams atrašanās vietas privātums (piemēram, marķēti avārijas dienestu un tiesībaizsardzības iestāžu transportlīdzekļi).
(346)Piemēro šādas definīcijas:
·“AT derīguma termiņš” ir laikposms, kurā AT ir derīga, t. i., laikposms no AT derīguma termiņa sākuma datumam līdz tā beigu datumam;
·“AT priekšielādes termiņš” – priekšielāde ir iespēja, ko C-ITS stacijas var izmantot, lai iegūtu AT, pirms sākas derīguma termiņš. Priekšielādes termiņš ir maksimālais pieļaujamais laikposms no AT pieprasījuma līdz jebkuras pieprasītās AT vēlākajam derīguma termiņa beigu datumam;
·“AT izmantojuma termiņš” ir laikposms, kurā AT faktiski tiek izmantota, lai parakstītu CAM/DENM ziņojumus;
·“vienlaicīgu AT maksimālais skaits” ir to AT skaits, no kurām C-ITS stacija var kādu izvēlēties jebkurā konkrētā laikā, kad tā paraksta CAM/DENM ziņojumu, t. i., to dažādo AT skaits, kuras izdotas vienai C-ITS stacijai un ir derīgas vienlaicīgi.
(347)Piemēro šādas prasības:
·AT priekšielādes termiņš nepārsniedz trīs mēnešus;
·AT derīguma termiņš nepārsniedz vienu nedēļu;
·vienlaicīgu AT maksimālais skaits nepārsniedz 100 uz vienu C-ITS staciju;
·AT izmantojuma termiņš ir atkarīgs no AT maiņas stratēģijas un no tā, cik ilgi transportlīdzeklis tiek ekspluatēts, bet nepārsniedz vienlaicīgu AT maksimālo skaitu un derīguma termiņu. Konkrētāk, vidējais izmantojuma termiņš vienai C-ITS stacijai ir vismaz transportlīdzekļa ekspluatācijas laiks vienā derīguma termiņā, kas dalīts ar vienlaicīgu AT maksimālo skaitu.
7.2.2.Autorizācijas biļetes stacionārām C-ITS stacijām
(348)Piemēro 7.2.1. iedaļā dotās definīcijas un šādas prasības:
·AT priekšielādes termiņš nepārsniedz trīs mēnešus;
·vienlaicīgu AT maksimālais skaits nepārsniedz divas AT uz vienu C-ITS staciju.
7.3.Sertifikātu atsaukšana
7.3.1.CA, EA un AA sertifikātu atsaukšana
Galvenās CA, EA un AA sertifikāti ir atsaucami. Atsauktos galvenās CA, EA un AA sertifikātus publicē CRL, cik drīz vien iespējams un bez liekas kavēšanās. Attiecīgo CRL paraksta tā attiecīgā galvenā CA, un izmanto 7.4. iedaļā aprakstīto profilu. Galvenās CA sertifikātu atsaukšanai attiecīgā galvenā CA izdod CRL, kurā tā iekļauj sevi. Turklāt drošības kompromitējuma gadījumos piemēro 5.7.3. iedaļu. Bez tam TLM izņem atsauktās galvenās CA no uzticamības saraksta un izdod jaunu uzticamības sarakstu. Sertifikātus, kuru derīguma termiņš ir beidzies, izņem no attiecīgā CRL un uzticamības saraksta.
(349)Sertifikātus atsauc šādos gadījumos:
·galvenajai CA ir iemesls uzskatīt vai tai ir stingras aizdomas, ka pret attiecīgo privāto atslēgu ir vērsts kompromitējums;
·galvenā CA ir informēta, ka ar abonentu noslēgtajam līgumam ir beidzies darbības termiņš;
·sertifikātā ietvertā informācija (piemēram, nosaukums un saistība starp CA un subjektu) ir nepareiza vai ir mainīta;
·notiek drošības incidents, kas skar sertifikāta īpašnieku;
·audita (sk. 8. iedaļu) rezultāts ir negatīvs.
(350)Abonents nekavējoties informē CA par gadījumiem, kad ir zināms vai ir aizdomas par tā privātās atslēgas kompromitējumu. Jānodrošina, ka sertifikātus atsauc, pamatojoties tikai uz autentificētiem pieprasījumiem.
7.3.2.Priekšreģistrācijas akreditācijas datu atsaukšana
(351)EC atsaukšanu var ierosināt C-ITS stacijas abonents (34. plūsma), un to īsteno, izveidojot iekšēju melno sarakstu atsaukšanas datubāzē ar laika zīmogu, ko ģenerē un uztur katra EA. Melno sarakstu nekad nepublicē; tas ir konfidenciāls, un to izmanto tikai attiecīgā EA, lai verificētu attiecīgo EC derīgumu AT un jaunu EC pieprasījumu kontekstā.
7.3.3.Autorizācijas biļešu atsaukšana
(352)Tā kā attiecīgās CA neatsauc AT, AT ir īss pastāvēšanas laiks, un tās nevar izdot pārlieku ilgu laiku pirms to derīguma iestāšanās. Pieļaujamās sertifikātu dzīves cikla parametru vērtības ir noteiktas 7.2. iedaļā.
7.4.Sertifikātu atsaukšanas saraksts
(353)Galvenās CA izdotā CRL formāts un saturs atbilst 1. vērē noteiktajam.
7.5.Eiropas sertifikātu uzticamības saraksts
(354)TLM izdotā ECTL formāts un saturs atbilst 1. vērē noteiktajam.
8.Atbilstības audits un citi novērtējumi
8.1.Auditējamās jomas un audita pamats
(355)Atbilstības audita mērķis ir pārliecināties, vai TLM, galvenās CA, EA un AA darbojas saskaņā ar šo CP. TLM, galvenās CA, EA un AA izvēlas neatkarīgu un akreditētu PKI auditoru to CPS auditēšanai. Auditu apvieno ar ISO/IEC 27001 un ISO/IEC 27002 paredzēto novērtējumu.
(356)Atbilstības auditu uzdod veikt galvenā CA (13. plūsma) par sevi un pakārtotā CA par tai pakārtoto EA/AA.
(357)CPA uzdod veikt TLM atbilstības auditu (38. plūsma).
(358)Pēc pieprasījuma akreditēts PKI auditors veic atbilstības auditu vienā no šādiem līmeņiem:
(1)TLM, galvenās CA, EA vai AA CPS atbilstība šai CP;
(2)TLM, galvenās CA, EA vai AA iecerētās prakses atbilstība to CPS pirms darbības sākšanas;
(3)TLM, galvenās CA, EA vai AA CPS prakses un operatīvo darbību atbilstība to CPS darbības laikā.
(359)Auditā pārbauda atbilstību visām šās CP prasībām, kuras jāievēro TLM, galvenajai CA, EA un AA, kas tiek auditētas. Auditā pārbauda arī CA darbību C-ITS PKI, ieskaitot visus tās CPS minētos procesus, telpas un atbildīgās personas.
(360)Akreditētais PKI auditors iesniedz sīki sagatavotu audita ziņojumu attiecīgi CA (36. plūsma), EA, AA vai CPA (16. un 40. plūsma).
8.2.Audita biežums
(361)Galvenā CA, TLM, EA vai AA uzdod neatkarīgam un akreditētam PKI auditoram veikt atbilstības auditu par sevi šādos gadījumos:
·pirmreizējās izveidošanas laikā (1. un 2. atbilstības līmenis);
·ikreiz, kad tiek ieviestas izmaiņas CP. CPA nosaka CP izmaiņu saturu un ieviešanas termiņu un attiecīgi nosaka audita vajadzības (arī nepieciešamo atbilstības līmeni);
·ikreiz, kad mainās tās CPS (1., 2. un 3. atbilstības līmenis). Tā kā galveno CA, TLM un EA/AA vadības entitātes izlemj, kādas īstenošanas izmaiņas ir jāievieš pēc to CPS atjaunināšanas, tās uzdod veikt auditu pirms attiecīgo izmaiņu veikšanas. Ja izmaiņas CPS ir nenozīmīgas (piemēram, redakcionālas), vadības entitāte var nosūtīt CPA pienācīgi pamatotu pieprasījumu CPS apstiprināšanai, lai izlaistu 1., 2. vai 3. līmeņa auditus;
·regulāri un vismaz reizi trīs gados tās darbības laikā (3. atbilstības līmenis).
8.3.Auditora identitāte/kvalifikācija
(362)Auditējamā CA izvēlas neatkarīgu un akreditētu uzņēmumu/organizāciju (“audita struktūru”) vai akreditētus PKI auditorus audita veikšanai saskaņā ar šo CP. Audita struktūru ir akreditējis un sertificējis Eiropas Akreditācijas kooperācijas loceklis.
8.4.Auditora saikne ar auditēto entitāti
(363)Akreditētais PKI auditors ir neatkarīgs no auditētās entitātes.
8.5.Rīcība pēc nepilnību konstatēšanas
(364)Ja audita ziņojumā ir konstatēta TLM neatbilstība, CPA uzdod TLM nekavējoties veikt preventīvus/korektīvus pasākumus.
(365)Ja galvenā CA, kura audita ziņojumā atzīta par neatbilstošu, iesniedz jaunu pieteikumu, CPA noraida pieteikumu un nosūta attiecīgu noraidījumu galvenajai CA (4. plūsma). Šādos gadījumos galvenās CA darbību aptur. Tai jāveic korektīvi pasākumi, atkārtoti jāuzdod veikt auditu un jāiesniedz jauns pieprasījums CPA apstiprināšanai. Galvenajai CA nav atļauts izdot sertifikātus, kamēr tās darbība ir apturēta.
(366)CA rutīnas audita gadījumā vai mainoties galvenās CA CPS, kā arī atkarā no audita ziņojumā aprakstītās neatbilstības veida CPA var nolemt atsaukt galveno CA un paziņot šo lēmumu TLM (2. plūsma), kā rezultātā galvenās CA sertifikāts tiek dzēsts no ECTL un galvenā CA tiek iekļauta CRL. CPA nosūta attiecīgu noraidījumu galvenajai CA (4. plūsma). Galvenajai CA jāveic korektīvi pasākumi, atkārtoti jāuzdod veikt pilnu auditu (1.–3. līmenis) un jāiesniedz jauns pieprasījums CPA apstiprināšanai. Alternatīvi CPA var nolemt neatsaukt galveno CA, bet noteikt tai termiņa pagarinājumu, kura laikā galvenā CA veic korektīvus pasākumus, atkārtoti uzdod veikt pilnu auditu un atkārtoti iesniedz audita ziņojumu CPA. Šādā gadījumā galvenās CA darbība ir jāaptur un tai nav atļauts izdot sertifikātus un CRL.
(367)EA/AA audita gadījumā galvenā CA izlemj, vai akceptēt ziņojumu. Atkarībā no audita rezultāta galvenā CA izlemj, vai atsaukt EA/AA sertifikātu saskaņā ar galvenās CA CPS noteikumiem. Galvenā CA vienmēr nodrošina EA/AA atbilstību šai CP.
8.6.Rezultātu paziņošana
(368)Galvenā CA un TLM nosūta audita ziņojumu CPA (16. plūsma). Galvenā CA un TLM glabā ziņojumus par visiem auditiem, ko uzdevuši veikt. CPA nosūta attiecīgu apstiprinājumu vai noraidījumu (4. plūsma) galvenajai CA un TLM.
(369)Galvenā CA nosūta atbilstības apliecinājumu attiecīgajai EA/AA.
9.Citi noteikumi
9.1.Maksas
(370)Viens no īstenotā ES C-ITS uzticamības modeļa principiem nosaka, ka galvenā CA kopīgi finansē CPA darbības un centrālo elementu (TLM un CPOC) regulāros izdevumus par šajā CP izklāstītajām darbībām.
(371)Galvenās CA (ieskaitot ES galveno CA) ir tiesīgas ņemt maksu no savām pakārtotajām CA.
(372)Visā darbības periodā ikvienam C-ITS uzticamības modeļa dalībniekam ir nediskriminējoša piekļuve vismaz vienai galvenajai CA, EA un AA.
(373)Katrai saiknes CA ir tiesības maksu, ko tā maksā par CPA un centrālajiem elementiem (TLM un CPOC), nodot C-ITS uzticamības modeļa reģistrētajiem dalībniekiem, ieskaitot priekšreģistrētās un autorizētās C-ITS stacijas.
9.2.Finansiālā atbildība
(374)Galvenajai CA pēc tās sākotnējās izveides ir jādarbojas vismaz trīs gadus, lai tā varētu kļūt par ES C-ITS uzticamības modeļa locekli. Galvenās CA operatora CPS arī ietver sīki izstrādātus noteikumus par galvenās CA atsaukšanu vai slēgšanu.
(375)Katrai galvenajai CA jāpierāda tās īstenotāja tiesībsubjekta finansiālā dzīvotspēja vismaz trīs gadus. Šāds finansiālās dzīvotspējas plāns ir daļa no sākotnējā priekšreģistrācijas dokumentu kopuma, un tas jāatjaunina reiz trīs gados un jāpaziņo CPA.
(376)Katrai galvenajai CA katru gadu ir jāziņo darbību pārvaldītājam un CPA par EA/AA un priekšreģistrētajām un autorizētajām C-ITS stacijām noteikto maksu struktūru, lai pierādītu savu finansiālo ilgtspēju.
(377)Galvenās CA, EA, AA un C-ITS uzticamības modeļa centrālo elementu (CPOC un TLM) visām par finansiālajiem un juridiskajiem jautājumiem atbildīgajām entitātēm jānodrošina pietiekama līmeņa apdrošināšanas segums saviem operatīvajiem pienākumiem, lai kompensētu to pienākumu izpildē pieļautās darbības kļūdas un finansiālo atkopšanu, ja kāds no tehniskajiem elementiem pārstāj darboties.
9.3.Komerciālās informācijas konfidencialitāte
(378)Šāda informācija ir konfidenciāla un privāta:
·galvenās CA, EA, AA pieteikumu ieraksti neatkarīgi no tā, vai pieteikumi apstiprināti vai noraidīti;
·galvenās CA, EA, AA un TLM audita ziņojumi;
·galvenās CA, EA, AA, CPOC un TLM ārkārtas atkopšanas plāni;
·C-ITS uzticamības modeļa elementu (C-ITS staciju, TLM, EA, AA, galvenās CA) privātās atslēgas;
·cita informācija, ko CPA, galvenā CA, EA, AA, TLM un CPOC norādījuši kā konfidenciālu.
9.4.Privātuma plāns
(379)Galvenā CA un EA/AA CPS izklāsta plānu un prasības persondatu un privātuma aizsardzībai, pamatojoties uz VDAR un citiem piemērojamiem tiesiskajiem (piemēram, valsts) regulējumiem.
10.Vēres
Šajā pielikumā vēres attiecas uz šīm publikācijām:
|
1.
|
ETSI TS 102 941 V1.2.1, intelektiskās transporta sistēmas (ITS) – drošības, uzticamības un privātuma pārvaldība.
|
|
2.
|
ETSI TS 102 940 V1.3.1, intelektiskās transporta sistēmas (ITS) – drošība, ITS komunikācijas drošības arhitektūra un drošības pārvaldība.
|
|
3.
|
Sertifikātu politika un sertifikācijas praktiskās darbības struktūra (RFC 3647, 1999).
|
|
4.
|
ETSI TS 102 042 V2.4.1 Politikas prasības sertificēšanas iestādēm, kas izdod publisko atslēgu sertifikātus.
|
|
5.
|
ETSI TS 103 097 V1.3.1, intelektiskās transporta sistēmas (ITS) – drošība, drošības galvene un sertifikātu formāti.
|
|
6.
|
Calder, A. (2006). Information security based on ISO 27001/ISO 1779: a management guide. Van Haren Publishing.
|
|
7.
|
ISO, I., & Std, I. E. C. (2011. gads). ISO 27005 (2011) – Informācijas tehnoloģija, drošības paņēmieni, informācijas drošības riska pārvaldība. ISO.
|