INNEHÅLLSFÖRTECKNING
1.Inledning9
1.1.Översikt över föreliggande policy och dess tillämpningsområde9
1.2.Definitioner och akronymer11
1.3.PKI-deltagare13
1.3.1.Inledning13
1.3.2.C-ITS-instans med ansvar för certifikatpolicyn16
1.3.3.Förvaltare av förteckningen över betrodda certifieringsinstanser17
1.3.4.Ackrediterad PKI-revisor17
1.3.5.C-ITS-kontaktpunkt (CPOC)17
1.3.6.Operativa funktioner18
1.4.Användning av certifikat18
1.4.1.Tillämpliga användningsområden18
1.4.2.Ansvarsbegränsningar19
1.5.Förvaltning av certifikatpolicyn19
1.5.1.Uppdatering av CA:ers CPS förtecknade i ECTL19
1.5.2.Förfarande för CPS-godkännande20
2.Ansvar för offentliggörande och datakatalog20
2.1.Metoder för offentliggörande av certifikatinformation20
2.2.Tidpunkt eller frekvens för offentliggörandet21
2.3.Datakataloger21
2.4.Kontroller av datakatalogåtkomst21
2.5.Offentliggörande av certifikatinformation22
2.5.1.TLM:s offentliggörande av certifikatinformation22
2.5.2.CA:s offentliggörande av certifikatinformation22
3.Identifiering och autentisering23
3.1.Benämningsmetod23
3.1.1.Namntyper23
3.1.1.1.Namn för TLM, rot-CA, EA och AA23
3.1.1.2.Namn för slutenheter23
3.1.1.3.Identifiering av certifikat23
3.1.2.Måste namnet ha en betydelse?23
3.1.3.Anonymitet och pseudonymitet för slutenheterna23
3.1.4.Finns det särskilda regler för tolkningen av olika namnformer?23
3.1.5.Unika namn24
3.2.Initial identitetsvalidering24
3.2.1.Metod för att påvisa innehav av privat nyckel24
3.2.2.Autentisering av organisationens identitet24
3.2.2.1.Autentisering av rot-CA:s organisationsidentitet24
3.2.2.2.Autentisering av en TLM:s organisationsidentitet25
3.2.2.3.Autentisering av underordnad CA:s organisationsidentitet25
3.2.2.4.Autentisering av slutenheters sätt att organisera abonnenter26
3.2.3.Autentisering av enskild enhet26
3.2.3.1.Autentisering av TLM/CA som enskild enhet26
3.2.3.2.Autentisering av C-ITS-stationers abonnentidentitet27
3.2.3.3.Autentisering av C-ITS-stationers identitet27
3.2.4.Icke-verifierad abonnentinformation27
3.2.5.Validering av instans27
3.2.5.1.Validering av TLM, rot-CA, EA och AA27
3.2.5.2.Validering av C-ITS stationens abonnenter28
3.2.5.3.Validering av C-ITS-stationer 28
3.2.6.Kriterier för driftskompatibilitet28
3.3.Identifiering och autentisering för begäranden om nyckelförnyelse28
3.3.1.Identifiering och autentisering för rutinbegäranden om nyckelförnyelse28
3.3.1.1.TLM-certifikat28
3.3.1.2.Rot-CA-certifikat28
3.3.1.3.Förnyelse av EA-/AA-certifikat eller nyckelförnyelse28
3.3.1.4.Slutenheters autentiseringsbehörigheter29
3.3.1.5.Slutenheters auktorisationsbiljetter29
3.3.2.Identifiering och autentisering för begäranden om nyckelförnyelse efter återkallande29
3.3.2.1.CA-certifikat29
3.3.2.2.Slutenheters autentiseringsbehörigheter29
3.3.2.3.Slutenheters begäranden om auktorisation29
3.4.Identifiering och autentisering för begäran om återkallande29
3.4.1.Rot-CA/EA-/AA-certifikat29
3.4.2.C-ITS-stationers autentiseringsbehörighet30
3.4.3.C-ITS-stationers auktorisationsbiljetter30
4.Driftkrav under certifikatets livscykel30
4.1.Användning av certifikat30
4.1.1.Vem kan lämna in en ansökan om certifikat?30
4.1.1.1.Rot-CA:er30
4.1.1.2.TLM31
4.1.1.3.EA och AA31
4.1.1.4.C-ITS-station31
4.1.2.autentiseringsprocess och ansvar i samband därmed31
4.1.2.1.Rot-CA:er31
4.1.2.2.TLM32
4.1.2.3.EA och AA32
4.1.2.4.C-ITS-station32
4.2.Behandling av certifikattillämpning33
4.2.1.Fullgörande av identifierings- och autentiseringsfunktioner33
4.2.1.1.Identifiering och autentisering av en rot-CA33
4.2.1.2.Identifiering och autentisering av en TLM33
4.2.1.3.Identifiering och autentisering av EA och AA33
4.2.1.4.Identifiering och autentisering av EE-abonnenten34
4.2.1.5.Auktorisationsbiljetter34
4.2.2.Godkännande eller förkastande av ansökningar om certifikat34
4.2.2.1.Godkännande eller förkastande av rot-CA-certifikat34
4.2.2.2.Godkännande eller förkastande av TLM-certifikat34
4.2.2.3.Godkännande eller förkastande av EA- och AA-certifikat34
4.2.2.4.Godkännande eller förkastande av EC34
4.2.2.5.Godkännande eller förkastande av AT35
4.2.3.Tid för handläggning av ansökan om certifikat35
4.2.3.1.Ansökan om certifikat från rot-CA35
4.2.3.2.Ansökan om TLM-certifikat35
4.2.3.3.Ansökan om EA- och AA-certifikat35
4.2.3.4.EC-ansökan35
4.2.3.5.AT-ansökan35
4.3.Utfärdande av certifikat35
4.3.1.CA-åtgärder under utfärdandet av certifikat35
4.3.1.1.Rot-CA – utfärdande av certifikat35
4.3.1.2.Utfärdande av TLM-certifikat36
4.3.1.3.Utfärdande av EA- och AA-certifikat36
4.3.1.4.Utfärdande av EC36
4.3.1.5.AT-utfärdande36
4.3.2.CA:s anmälan till abonnenten om utfärdande av certifikat.36
4.4.Godtagande av certifikat37
4.4.1.Förfarande för godtagande av certifikat37
4.4.1.1.Rot-CA37
4.4.1.2.TLM37
4.4.1.3.EA och AA37
4.4.1.4.C-ITS-station37
4.4.2.Offentliggörande av certifikat37
4.4.3.Meddelande om utfärdande av certifikat37
4.5.Användning av nyckelpar och certifikat37
4.5.1.Användning av privata nycklar och certifikat37
4.5.1.1.Användning av privata nycklar och certifikat i fråga om TLM37
4.5.1.2.Användning av privata nycklar och certifikat i fråga om rot-CA37
4.5.1.3.Användning av privata nycklar och certifikat i fråga om EA och AA37
4.5.1.4.Slutenheters användning av privata nycklar och certifikat38
4.5.2.Förlitande parters användning av öppna nycklar och certifikat38
4.6.Certifikatförnyelse38
4.7.Förnyelse av certifikatnyckel38
4.7.1.Omständigheter för förnyelse av certifikatnyckel38
4.7.2.Vem kan begära nyckelförnyelse?38
4.7.2.1.Rot-CA38
4.7.2.2.TLM38
4.7.2.3.EA och AA38
4.7.2.4.C-ITS-station39
4.7.3.Nyckelförnyelse39
4.7.3.1.TLM-certifikat39
4.7.3.2.Rot-CA-certifikat39
4.7.3.3.EA- och AA-certifikat39
4.7.3.4.Certifikat för C-ITS-stationer40
4.8.Ändring av certifikat40
4.9.Återkallande och tillfälligt upphävande av certifikat40
4.10.Tjänster rörande certifikatstatus40
4.10.1.Operativa egenskaper40
4.10.2.Tjänsters tillgänglighet40
4.10.3.Frivilliga inslag40
4.11.Abonnemanget upphör40
4.12.Nyckeldeponering och nyckelåterställning40
4.12.1.Abonnent40
4.12.1.1.Vilka nyckelpar kan deponeras?40
4.12.1.2.Vem kan lämna in en ansökan om återställning?40
4.12.1.3.Återställningsprocess och ansvarsområden40
4.12.1.4.Identifiering och autentisering40
4.12.1.5.Godkännande eller förkastande av ansökningar om återställning40
4.12.1.6.KEA- och KRA-åtgärder under återställandet av nyckelpar41
4.12.1.7.KEA och KRA (tillgänglighet)41
4.12.2.Inkapsling av sessionsnyckel samt policy och praxis för återställande41
5.Anläggning, förvaltning och operativa kontroller41
5.1.Fysiska kontroller41
5.1.1.Lokalisering och byggnation41
5.1.1.1.Rot-CA, CPOC och TLM41
5.1.1.2.EA/AA42
5.1.2.Fysisk åtkomst42
5.1.2.1.Rot-CA, CPOC och TLM42
5.1.2.2.EA/AA43
5.1.3.El och luftkonditionering43
5.1.4.Exponering för vatten43
5.1.5.Förebyggande av och skydd mot bränder44
5.1.6.Medieförvaltning44
5.1.7.Bortskaffande av avfall44
5.1.8.Säkerhetskopia på annan plats44
5.1.8.1.Rot-CA, CPOC och TLM44
5.1.8.2.EA/AA45
5.2.Förfarandekontroller45
5.2.1.Betrodda funktioner45
5.2.2.Antal personer som krävs per uppgift45
5.2.3.Identifiering och autentisering för respektive funktion46
5.2.4.Funktioner som kräver separation av arbetsuppgifter46
5.3.Kontroll av personal47
5.3.1.Kvalifikationer, erfarenheter och säkerhetskrav47
5.3.2.Säkerhetsprövningar47
5.3.3.Utbildningskrav48
5.3.4.Omskolning – frekvens och krav48
5.3.5.Arbetsrotation – frekvens och sekvens48
5.3.6.Påföljder för otillåtna åtgärder48
5.3.7.Krav på oberoende uppdragstagare49
5.3.8.Dokumentation som personalen förses med49
5.4.Revisionsloggning49
5.4.1.Typ av händelse som ska registreras och rapporteras av respektive CA49
5.4.2.Frekvens för bearbetningen av loggen50
5.4.3.Lagringstid för loggar50
5.4.4.Skydd av revisionsloggar51
5.4.5.Säkerhetskopiering av revisionsloggar51
5.4.6.Revisionsinsamlingssystem (internt eller externt)51
5.4.7.Anmälan till den registrerade som ligger bakom händelsen51
5.4.8.Sårbarhetsbedömning51
5.5.Arkivering av dokumentation52
5.5.1.Typer av dokumentation som arkiveras52
5.5.2.Lagringstiden för arkivmaterial53
5.5.3.Skydd av arkivmaterial53
5.5.4.System för arkivering och lagring53
5.5.5.Krav på tidsstämpling av dokumentationen54
5.5.6.Revisionsinsamlingssystem (internt eller externt)54
5.5.7.Förfaranden för att erhålla och kontrollera arkivinformation54
5.6.Nyckelomställning för element i tillitsmodellen för C-ITS-stationer54
5.6.1.TLM54
5.6.2.Rot-CA54
5.6.3.EA-/AA-certifikat54
5.6.4.Revisor55
5.7.Hantering av påverkan och haverier55
5.7.1.Hantering av incidenter och påverkan55
5.7.2.Korruption av dataresurser, programvara och/eller data56
5.7.3.Förfaranden för hantering av påverkan på enheters privata nyckel56
5.7.4.Möjligheterna till kontinuitet efter ett haveri56
5.8.Avslutande och överföring57
5.8.1.TLM57
5.8.2.Rot-CA57
5.8.3.EA/AA58
6.Kontroller av den tekniska säkerheten58
6.1.Generering och installation av nyckelpar58
6.1.1.TLM, rot-CA, EA och AA58
6.1.2.EE – mobil C-ITS-station58
6.1.3.EE – fast C-ITS-station59
6.1.4.Krypteringskrav59
6.1.4.1.Algoritm och nyckellängd – signaturalgoritmer59
6.1.4.2.Algoritm och nyckellängd – krypteringsalgoritmer för registrering och godkännande60
6.1.4.3.Krypteringsflexibilitet61
6.1.5.Säker lagring av privata nycklar61
6.1.5.1.Rot-CA, underordnad CA och TLM-nivå61
6.1.5.2.Slutenhet62
6.1.6.Säkerhetskopia av privata nycklar63
6.1.7.Destruering av privata nycklar63
6.2.Aktiveringsdata63
6.3.Kontroll av datorsäkerheten63
6.4.Tekniska kontroller över livscykeln63
6.5.Kontroll av nätverkssäkerheten63
7.Cerifikatprofiler, CRL och CTL63
7.1.Certifikatprofil63
7.2.Certifikatets giltighet64
7.2.1.Pseudonymiserade certifikat65
7.2.2.Auktorisationsbiljett för fasta C-ITS-stationer65
7.3.Återkallande av certifikat65
7.3.1.Återkallande av CA-, EA- och AA-certifikat65
7.3.2.Återkallande av autentiseringsbehörigheter66
7.3.3.Återkallande av auktorisationsbiljetter66
7.4.Spärrlista för certifikat (återkallande)66
7.5.den europeiska förteckningen över betrodda certifieringsinstanser (European certificate trust list)66
8.Granskning av överensstämmelse med regelverket och andra bedömningar66
8.1.Ämnen som omfattas av revision och revisionsbas66
8.2.Revisionsfrekvens67
8.3.Revisorns identitet/kvalifikationer67
8.4.Revisorns förhållande till den granskade enheten67
8.5.Åtgärder som vidtagits till följd konstaterade brister68
8.6.Rapportering av resultat68
9.Övriga bestämmelser68
9.1.Avgifter68
9.2.Ekonomiskt ansvar69
9.3.Sekretess för företagsinformation69
9.4.Integritetsplan69
10.Referenser69
BILAGA III
1.Inledning
1.1.Översikt och tillämpningsområde för denna policy
I denna certifikatpolicy definieras den europeiska tillitsmodellen för C-ITS-stationer baserad på infrastruktur för kryptering med öppen nyckel (PKI) inom ramen för EU:s förvaltningssystem för säkerhetsbehörighetsuppgifter för C-ITS (EU CCMS). Häri fastställs krav för förvaltningen av certifikat med öppen nyckel för C-ITS-tillämpningar genom utfärdande slutenheter och hur de används av slutanvändare i Europa. På sin högsta nivå består PKI av ett antal rot-CA, vilka ”aktiverats” när förvaltaren av förteckningen över betrodda certifikat (TLM) fört upp deras certifikat i en europeisk förteckning över betrodda certifieringsinstanser (ECTL), som utfärdas och offentliggörs av den centrala användarens TLM (se avsnitten 1.2 och 1.3).
Denna policy är bindande för alla rättssubjekt som deltar i det betrodda C-ITS-systemet i Europa. Den bidrar till bedömningen av vilken grad av förtroende som kan tillmätas den information som mottagits av varje mottagare av ett meddelande som autentiserats med ett slutenhetscertifikat grundat på PKI. För att möjliggöra en bedömning av tilliten till de certifikat som grundar sig på EU CCMS fastställs ett antal bindande krav för hur den centrala enhetens TLM ska arbeta och hur sammanställningen och hanteringen av ECTL ska skötas. Därför berörs här följande aspekter med koppling till ECTL:
·Identifiering och autentisering av huvudmän som får PKI-funktioner för TLM, vilket inbegriper förklaringar om vilka rättigheter som följer av respektive funktion.
·Minimikrav för lokala säkerhetsrutiner för TLM, inklusive för fysiska kontroller samt personal och förfarandekontroller.
·Minimikrav för tekniska säkerhetsrutiner för TLM, inklusive för datorsäkerhet, nätverkssäkerhet och kontroller av krypteringsmodulernas tekniska utformning.
·Minimikrav för operativa rutiner för TLM, inklusive för registrering av nya rot-CA-certifikat, den tillfälliga eller permanenta avregistreringen av befintliga inbegripna rot-CA samt offentliggörandet och distributionen av ECTL-uppdateringar.
·En ECTL-profil, inklusive alla obligatoriska och frivilliga datafält i berörd ECTL, krypteringsalgoritmer som ska användas, det exakta ECTL-formatet och rekommendationerna för behandling av berörd ECTL.
·Livscykelhantering för certifikat i ECTL, inklusive distribution av ECTL-certifikat, aktivering, upphörande och återkallande.
·Förvaltning av återkallande av tilliten för rot-CA, om nödvändigt.
Eftersom ECTL:s tillförlitlighet inte enbart beror på själva ECTL, utan i hög grad också på de rot-CA som PKI består av och deras underordnade CA, fastställs också minimikrav i denna policy som är obligatoriska för samtliga deltagande CA (rot-CA och underordnade CA). Kraven omfattar följande områden:
·Identifiering och autentisering av huvudmän som får PKI-roller (t.ex. med uppgifter som rör säkerhet, dataskydd, säkerhetsadministration, katalogadministration och rollen som slutanvändare), inklusive riktlinjer om arbetsuppgifter, ansvar, skyldigheter och rättigheter förknippade med respektive roll.
·Nyckelförvaltning, inklusive godtagbara och obligatoriska algoritmer för certifikatsignering och datasignering samt certifikatens giltighetsperioder.
·Minimikrav för lokala säkerhetsmetoder, också fysiska, och kontroller enligt förfarandet.
·Minimikrav för tekniska säkerhetsrutiner såsom datorsäkerhet, nätverkssäkerhet och kontroller av krypteringsmodulernas tekniska utformning.
·Minimikrav för operativa rutiner för CA, EA, AA och slutanvändare, inklusive aspekter av registrering, avregistrering (dvs. strykning ur förteckning), återkallande, otillförlitliga nycklar, avsked på saklig grund, uppdatering av certifikat, revisionsrutiner och undanhållande av information.
·Certifikat och CRL-profil, inklusive format, godtagbara algoritmer, obligatoriska och frivilliga datafält och deras giltiga värdeintervall, samt hur kontrollörerna förväntas behandla certifikaten.
·Regelbunden övervakning, rapportering, varning och återställande av arbetsuppgifter för enheter som tillämpar tillitsmodellen för C-ITS-stationer för att fastställa säker drift, även i fall av oegentligheter.
Utöver dessa minimikrav kan de enheter som driver rotcertifieringsinstanserna (CA) och de underordade CA kan besluta om sina egna tilläggskrav och ange dem i de relevanta riktlinjerna om certifieringsrutiner (CPS), förutsatt att de inte strider mot kraven i certifikatspolicyn. Se avsnitt 1.5 för närmare uppgifter om hur CPS granskas och offentliggörs.
I certifieringspolicyn fastställs också de ändamål för vilka CA, underordnade CA och av dem utfärdade certifikat får användas. I policyn anges också vilka skyldigheter som fullgörs av:
·TLM.
·Varje rot-CA vars certifikat förtecknas i ECTL.
·Underordnade CA (EA och AA) under rot-CA.
·Varje medlem eller organisation som ansvarar för eller driver en av enheterna som tillämpar tillitsmodellen för C-ITS-stationer.
I CP anges också obligatoriska krav som gäller:
·TLM.
·Varje rot-CA vars certifikat förtecknas i ECTL.
·Varje underordnad CA som certifierats av en rot-CA.
·Alla slutenheter.
·Varje medlem eller organisation som ansvarar för eller driver en av enheterna som tillämpar tillitsmodellen för C-ITS-stationer för C-ITS.
Slutligen fastställs krav i CP som i fråga om dokumentation av begränsningar av skyldigheter och åligganden i CPS för varje rot-CA, vars certifikat förtecknas i ECTL.
Denna CP är förenlig med den ram för certifikatpolicy och certifieringspraxis som antagits av Internet Engineering Task Force (IETF) [3].
1.2.Definitioner och akronymer
Definitionerna i [2], [3] och [4] är tillämpliga.
AA
|
auktorisationsinstans (authorisation authority)
|
AT
|
auktorisationsbiljett (authorisation ticket)
|
CA
|
certifieringsinstans (certification authority)
|
CP
|
certifikatpolicy (certificate policy)
|
CPA
|
C-ITS-instans med ansvar för certifikatpolicyn (C-ITS certificate policy authority)
|
CPOC
|
C-ITS-kontaktpunkt (C-ITS point of contact)
|
CPS
|
riktlinjer för certifieringsrutiner (certificate practice statement)
|
CRL
|
spärrlista för återkallande av certifikat (certificate revocation list)
|
EA
|
autentiseringsorgan (enrolment authority)
|
EC
|
autentiseringsbehörighet (enrolment credential)
|
ECIES
|
integrerat schema för elliptisk kryptering (elliptic curve integrated encryption scheme)
|
EE
|
slutenhet (dvs. en C-ITS-station) (end-entity)
|
ECTL
|
den europeiska förteckningen över betrodda certifieringsinstanser (European certificate trust list)
|
EU CCMS
|
EU:s system för förvaltning av säkerhetsbehörighetsuppgifter för C-ITS (EU C-ITS security credential management system)
|
GDPR
|
allmänna dataskyddsförordningen (General Data Protection Regulation)
|
HSM
|
säkerhetsmodul i maskinvara (Hardware security module)
|
PKI
|
infrastruktur för kryptering med öppen nyckel (public key infrastructure)
|
RA
|
registreringsinstans (registration authority)
|
underordnad CA
|
EA och AA
|
TLM
|
förvaltare av förteckningen över betrodda certifieringsinstanser (trust list manager)
|
Ordlista
sökande (applicant)
|
Den fysiska eller juridiska person som ansöker om (eller vill förnya) ett certifikat. När det initiala certifikatet skapats (aktivering) kallas sökanden ”abonnenten”.
I fråga om certifikat som utfärdas till slutenheter är abonnenten (certifikatsökanden) den enhet som kontrollerar eller driver/förestår den slutenhet till vilken certifikatet utfärdas, även om det är slutenheten som översänder certifikatbegäran.
|
auktorisationsinstans (authorisation authority)
|
I detta dokument avses med ”auktorisationsinstans” (AA) inte enbart instansens specifika funktion, utan också den rättsliga och/eller operativa enhet som den förvaltas av.
|
certifieringsinstans (certification authority)
|
Kollektivt kallas rotcertifikatutfärdarna, autentiseringsorganet och auktorisationsinstansen ”certifieringsinstansen” (CA).
|
tillitsmodellen för C-ITS-stationer (C-ITS trust model)
|
tillitsmodellen för C-ITS-stationer används för att skapa en relation byggd på tillit mellan C-ITS-stationer. Den implementeras genom tillämpning av en PKI bestående av rot-CA, CPOC, TLM, EA, AA och ett säkert nätverk.
|
krypteringsflexibilitet (crypto-agility)
|
Förmågan hos enheterna i tillitsmodellen för C-ITS-stationer att anpassa CP till en föränderlig miljö eller nya framtida krav, t.ex. genom att ändra krypteringsalgoritmer och nyckellängden över tiden.
|
krypteringsmodul (cryptographic module)
|
En säker maskinvaruenhet i vilken nycklar genereras och/eller lagras, slumpmässiga tal genereras och data signeras eller krypteras.
|
autentiseringsorgan (enrolment authority)
|
I detta dokument avses med ”autentiseringsorgan” (EA) inte enbart organets specifika funktion, utan också den rättsliga och/eller operativa enhet som den förvaltas av.
|
PKI-deltagare (PKI participants)
|
Enheter i tillitsmodellen för C-ITS-stationer, dvs. TLM, rot-CA, EA, AA och C-ITS.
|
nyckelförnyelse (re-keying)
|
|
datakatalog (repository)
|
Den datakatalog som används till lagring av certifikaten och informationen om certifikat från enheter i tillitsmodellen för C-ITS-stationer, enligt definitionen i avsnitt 2.3.
|
Rotcertifikatutfärdare
|
I detta dokument avses med ”rotcertifikatutfärdare” (CA) inte enbart instansens specifika funktion, utan också den rättsliga och/eller operativa enhet som den förvaltas av.
|
registrerad (subject)
|
Fysisk person, apparat, system, enhet eller juridisk person som i ett certifikat betecknas som registrerad, dvs. antingen abonnenten eller en apparat under abonnentens kontroll och drift.
|
abonnent (subscriber)
|
En fysisk eller juridisk person till vilken ett certifikat är utfärdat och som är rättsligt bunden av en abonnent eller avtal om användarvillkor.
|
abonnentavtal
|
Ett avtal mellan CA och sökanden/abonnenten i vilket parternas rättigheter och skyldigheter anges.
|
1.3.PKI-deltagare
1.3.1.Inledning
PKI-deltagare har en funktion i PKI som definieras av föreliggande policy. Om inte annat uttryckligen anges, är deltagaren förbjuden att fylla flera funktioner samtidigt. Vederbörande kan förbjudas anta specifika funktioner samtidigt för att undvika intressekonflikter eller för att säkerställa att arbetsuppgifter hålls isär.
Deltagarna får också delegera delar av sin funktion till andra enheter som en del av ett tjänsteavtal. Exempelvis är CA också CRL-utfärdare när uppgifter om återkallandestatus tillhandahålls, men den kan delegera ansvaret för utfärdande av CRL till en annan enhet.
PKI-funktionerna består av:
·Auktoritativa funktioner, dvs. varje funktion är unik.
·Operativa funktioner, dvs. funktioner som kan utövas i en eller flera enheter.
Exempel: Funktionen som rot-CA kan utövas av en affärsdrivande enhet, en intressegrupp, en nationell organisation och/eller en europeisk organisation.
Figur 1 visar den arkitektur som tillitsmodellen för C-ITS-stationer bygger på [2]. Arkitekturen beskrivs i korthet här, men de viktigaste delarna beskrivs mer ingående i punkterna 1.3.2 till 1.3.6.
CPA utser TLM, som således är en betrodd enhet för alla PKI-deltagare. CPA godkänner driften genom rot-CA och bekräftar att TLM kan ha tillit till rot-CA. TLM utfärdar ECTL som gör att samtliga PKI-deltagare kan ha tillit till de godkända CA. Rot-CA utfärdar certifikat till EA och AA, och visar därmed förtroende för deras hantering. EA utfärdar autentiseringscertifikat till sändande och återutsändande C-ITS-stationer (i egenskap av slutenheter), och visar därmed tilliten för deras hantering. AA utfärdar AT till C-ITS-stationer på grundval av tilliten för EA.
Mottagande och återutsändande C-ITS (i egenskap av återutsändande part) kan lita på andra C-ITS-stationer, eftersom AT utfärdas av en AA som är betrodd av en rot-CA som i sin tur är betrodd av TLM och CPA.
Märk att i figur 1 beskrivs endast rot-CA-nivån i tillitsmodellen för C-ITS-stationer. Närmare uppgifter om de lägre skikten finns i följande avsnitt av föreliggande CP eller de specifika rot-CA:ernas CPS.
Figur 2 visar en översikt över informationsflödena mellan PKI-deltagare. De gröna prickarna visar flöden som kräver kommunikation mellan maskiner. Informationsflödena i rött har fastställda säkerhetskrav.
tillitsmodellen för C-ITS-stationer bygger på en multipel rot-CA-arkitektur, där rot-CA-certifikaten överförs regelbundet (på det sätt som beskrivs nedan) till den centrala kontaktpunkten (CPOC) via ett säkert protokoll (t.ex. länkcertifikat) som definierats av CPOC.
En rot-CA kan skötas av en offentlig eller privat organisation. Arkitekturen i tillitsmodellen för C-ITS-stationer innehåller minst en rot-CA (EU-rot-CA med samma nivå som övriga rot-CA). EU-rot-CA bemyndigas av alla enheter som deltar i tillitsmodellen för C-ITS-stationer som inte vill inrätta egna rot-CA. CPOC överför de mottagna rot-CA-certifikaten till TLM, som ansvarar för insamling och signeringen av förteckningen över rot-CA-certifikat och återsändande till CPOC, som gör dem allmänt tillgängliga (se nedan).
Tillitsförhållandena mellan enheterna i tillitsmodellen för C-ITS-stationer beskrivs i följande figurer, tabeller och avsnitt.
Figur 1: Arkitekturen i tillitsmodellen för C-ITS-stationer
Figur 2: Informationsflöden i tillitsmodellen för C-ITS-stationer
Flödes-ID
|
Från
|
Till
|
Innehåll
|
Referens
|
(1).
|
CPA
|
TLM
|
godkännande av rot-CA-tillämpning
|
8
|
(2).
|
CPA
|
TLM
|
information om återkallande av rot-CA
|
8.5
|
(3).
|
CPA
|
rot-CA
|
CP-uppdateringar
|
1.5
|
(4).
|
CPA
|
rot-CA
|
godkännande/förkastande av ansökningsformulär för rot-CA eller begäran om CPS-ändringar eller revisionsprocessen.
|
8.5, 8.6
|
(5).
|
TLM
|
CPA
|
meddelande om ändring av ECTL
|
4, 5.8.1
|
(6).
|
TLM
|
CPOC
|
TLM-certifikat
|
4.4.2.
|
(7).
|
TLM
|
CPOC
|
ECTL
|
4.4.2.
|
(8).
|
CPOC
|
TLM
|
information i rot-CA-certifikat
|
4.3.1.1.
|
(9).
|
CPOC
|
TLM
|
återkallande av certifikat från rot-CA
|
7.3
|
(10).
|
CPOC
|
alla slutenheter
|
TLM-certifikat
|
4.4.2.
|
(11).
|
rot-CA
|
CPOC
|
information i rot-CA-certifikat
|
4.3.1.1.
|
(12).
|
rot-CA
|
CPOC
|
återkallande av certifikat från rot-CA
|
7.3
|
(13).
|
rot-CA
|
revisor
|
revision
|
8
|
(14).
|
rot-CA
|
CPA
|
ansökningsformulär för rot-CA – initial begäran
|
4.1.2.1.
|
(15).
|
rot-CA
|
CPA
|
ansökningsformulär för rot-CA – CPS-ändringar
|
1.5.1.
|
(16).
|
rot-CA
|
CPA
|
ansökningsformulär för rot-CA – revisionberättelse
|
8.6
|
(17).
|
rot-CA
|
CPA
|
incidentrapporter för rot-CA, inklusive återkallande av underordnad CA (EA, AA)
|
Bilaga III, 7.3.1
|
(18).
|
rot-CA
|
EA
|
EA-certifikat (svar)
|
4.2.2.3.
|
(19).
|
rot-CA
|
AA
|
AA-certifikat (svar)
|
4.2.2.3.
|
(20).
|
rot-CA
|
Alla
|
EA-/AA-certifikat, CRL
|
4.4.2.
|
(21).
|
EA
|
rot-CA
|
EA-certifikatbegäran
|
4.2.2.3.
|
(22).
|
EA
|
C-ITS-station
|
autentiseringsbehörighet (svar)
|
4.3.1.4.
|
(23).
|
EA
|
AA
|
auktorisation (svar)
|
4.2.2.5.
|
(24).
|
AA
|
rot-CA
|
AA-certifikatbegäran
|
4.2.2.3.
|
(25).
|
AA
|
EA
|
behörighetsbegäran
|
4.2.2.5.
|
(26).
|
AA
|
C-ITS-station
|
svar om auktorisationsbiljett
|
4.3.1.5.
|
(27).
|
EA
|
rot-CA
|
inlämnande av begäran
|
4.1.2.3.
|
(28).
|
AA
|
rot-CA
|
inlämnande av begäran
|
4.1.2.3.
|
(29).
|
rot-CA
|
EA
|
svar
|
4.12 och 4.2.1
|
(30).
|
rot-CA
|
AA
|
svar
|
4.12 och 4.2.1
|
(31).
|
C-ITS-station
|
EA
|
begäran om autentiseringsbehörighet
|
4.2.2.4.
|
(32).
|
C-ITS-station
|
AA
|
begäran om auktorisationsbiljett
|
4.2.2.5.
|
(33).
|
tillverkare/operatör
|
EA
|
registrering
|
4.2.1.4.
|
(34).
|
tillverkare/operatör
|
EA
|
avaktivering
|
7.3
|
(35).
|
EA
|
tillverkare/operatör
|
svar
|
4.2.1.4.
|
(36).
|
revisor
|
rot-CA
|
rapport
|
8.1
|
(37).
|
alla
|
CPA
|
begäranden om CP-ändring
|
1.5
|
(38).
|
TLM
|
CPA
|
ansökningsformulär
|
4.1.2.2.
|
(39).
|
CPA
|
TLM
|
godkännande/förkastande
|
4.1.2.2.
|
(40).
|
TLM
|
CPA
|
revisionsrapport
|
4.1.2.2.
|
Tabell 1:
Ingående beskrivning av informationsflödena i tillitsmodellen för C-ITS-stationer
1.3.2.C-ITS-instans med ansvar för certifikatpolicyn
(1)C-ITS-instansen med ansvar för certifikatpolicyn (CPA) består av företrädare för offentliga och privata intressenter (t.ex. medlemsstaterna, fordonstillverkare osv.) som deltar i tillitsmodellen för C-ITS-stationer. Den ansvarar för två underordnade funktioner:
(1)Förvaltning av certifikatpolicyn, bland annat:
·Godkännande av begäranden om ändring av nuvarande och framtida CP.
·Beslut om översynen av begäranden om ändring av CP och rekommendationer som lämnats av andra PKI-deltagare eller -enheter.
·Beslut om frisläppande av nya CP-versioner.
(2)Förvaltning av PKI-auktorisation, bland annat:
·Fastställa, besluta om och offentliggöra CPS-godkännandet och CA-revisionsförfarandena (gemensamt kallade ”CA-godkännandeförfaranden”).
·Bemyndiga CPOC att verka och regelbundet rapportera.
·Bemyndiga TLM att verka och regelbundet rapportera.
·Godkännande av rot-CA:s CPS, om det överensstämmer med gällande gemensam CP.
·Granska revisionsrapporter från den ackrediterade PKI-revisorn för alla rot-CA.
·Underrätta TLM om förteckningen över godkända eller ej godkända rot-CA:n och deras certifikat på grundval av de mottagna godkännanderapporterna från rot-CA:n och regelbundna verksamhetsrapporter.
(2)CPA:s auktoriserade representant är ansvarig för att autentisera TLM:s auktoriserade representant och godkänna TLM:s ansökningsformulär för autentiseringsprocessen. CPA är ansvarig för att godkänna att TLM fungerar på det sätt som anges i detta avsnitt.
1.3.3.Förvaltare av förteckningen över betrodda certifieringsinstanser
(3)TLM utgör en enskild enhet som utses av CPA.
(4)TLM ansvarar för:
·Driften av ECTL i enlighet med den gemensamma giltiga CP och regelbundna verksamhetsrapporter till CPA för en säker övergripande användning av tillförlitlighetsmodellen för C-ITS-stationer.
·Mottagandet av rot-CA-certifikat från CPOC.
·Inbegripande/uteslutande av rot-CA-certifikat i ECTL efter anmälan av CPA.
·Signering av ECTL.
·Överföring av ECTL till CPOC regelbundet och i god tid.
1.3.4.Ackrediterad PKI-revisor
(5)Den ackrediterade PKI-revisorn är ansvarig för:
·Genomförande eller organisering av revisioner av CA, TLM och underordnade CA,
·Spridningen av revisionsrapporten (från en initial eller återkommande revision) till CPA i enlighet med kraven i avsnitt 8 nedan. revisionsrapporten ska innehålla rekommendationer från den ackrediterade PKI-revisorn.
·Den enhet som förvaltar rot-CA:n ska underrättas om huruvida en första eller återkommande revision av en underordnad CA har varit framgångsrik eller ej.
·En bedömning av föreliggande CPS överensstämmelse med föreliggande CP ska göras.
1.3.5.C-ITS-kontaktpunkt (CPOC)
(6)CPOC utgör en enskild enhet som utses av CPA. CPA:s auktoriserade representant är ansvarig för att autentisera CPOC:s auktoriserade representant och godkänna CPOC ansökningsformulär för autentiseringsprocessen. CPA är ansvarig för att godkänna att CPOC fungerar på det sätt som anges i detta avsnitt.
(7)CPOC ansvarar för följande:
·Upprätta och bidra till att säkra utbytet av meddelanden mellan alla enheter i tillitsmodellen för C-ITS-stationer på ett effektivt och snabbt sätt.
·Granska formella begäranden om ändringar och rekommendationer som lämnats av andra deltagare i tillitsmodellen (t.ex. en rot-CA).
·Överföra rot-CA-certifikat till TLM.
·Offentliggöra den gemensamma tillförlitlighetsbeviset (befintlig öppen nyckel och TLM:s länkcertifikat).
·Offentliggöra ECTL.
Fullständiga uppgifter om ECTL finns i avsnitt 7.
1.3.6.Operativa funktioner
(8)Följande enheter som anges i [2] har en operativ funktion på det sätt som definierat i RFC 3647:
Funktionselement
|
PKI-funktion ([3] och [4])
|
Detaljerad funktion ([2])
|
Rotcertifikatutfärdare
|
CA/RA (registreringsinstans)
|
Förser EA och AA med bevis som gör att den kan utfärda EC eller AT
|
autentiseringsorgan
|
abonnent till rot-CA/som omfattas av EA-certifikat
CA/RA
|
Autentiserar en C-ITS-station och ger den åtkomst till ITS-kommunikation
|
auktorisationsinstans (authorisation authority)
|
abonnent till rot-CA/som omfattas av AA-certifikat
CA/RA
|
Förser en C-ITS-station med styrkande bevis som gör att den får använda särskilda ITS-tjänster
|
sändande C-ITS-station
|
som omfattas av certifikat (EC) för slutenheter (EE)
|
Förvärvar åtkomsträttigheter till ITS-kommunikation från EA
Förhandlar om rättigheter från AA att använda ITS-tjänster
Sänder etthoppsmedelanden och sändningsmeddelanden i reläsändning
|
reläsändande (vidarebefordrande) C-ITS-station)
|
reläsändande part / som omfattas av EE-certificat
|
Tar emot sändningsmeddelanden från sändande C-ITS-station och vidarebefordrar dem till mottagande C-ITS-station, om så krävs.
|
mottagande C-ITS-station
|
reläsändande part
|
Tar emot meddelanden som sänds från sändande eller reläsändande C-ITS-station
|
tillverkare
|
abonnent till EA
|
Installerar information som är nödvändig för säkerhetsförvaltningen i en C-ITS-station vid produktion
|
operatör
|
abonnent till EA/AA
|
Installerar och uppdaterar information som är nödvändig för säkerhetsförvaltningen i en C-ITS-station i drift
|
Tabell 2: Operativa funktioner
Märk: i enlighet med [4] används olika termer i föreliggande CP för den ”abonnent” som sluter avtal med CA för utfärdande av certifikat och ”registrerad” som certifikatet avser. Abonnenter är alla enheter som har en avtalsförbindelse med en CA. Registrerade är enheter som omfattas av certifikatet. EA/AA är abonnenter och registrerade under rot-CA och kan begära EA-/AA-certifikat. CITS-stationer är registrerade enheter och kan begära slutenhetscertifikat.
(9)Registreringsinstanser:
EA ska fungera som registreringsinstans för slutenheter. Endast en autentiserad och godkänd abonnent kan registrera nya slutenheter (C-ITS-stationer) i en EA. Relevanta rot-CA ska fungera som genomförandeorgan för EA och AA.
1.4.Användning av certifikat
1.4.1.Tillämpliga användningsområden
(10)Certifikat som utfärdats i enlighet med föreliggande CP ska användas för att validera digitala signaturer i C-ITS-kommunikation i enlighet med arkitekturen i [2].
(11)Certifikatprofilerna i [5] är avgörande för användning av certifikat för TLM, rot-CA, EA, AA och slutenheter.
1.4.2.Ansvarsbegränsning
(12)Certifikat är varken avsedda eller godkända för användning på
·sätt som strider mot, bryter mot eller kränker tillämplig lag, förordning (t.ex. allmänna dataskyddsförordningen), dekret eller regeringsbeslut,
·sätt som bryter mot, kränker eller innebär överträdelser av andras rättigheter,
·sätt som bryter mot föreliggande CP eller det berörda abonnentavtalet,
·sätt som innebär att deras användning direkt kan leda till dödsfall, personskada eller allvarliga skador på miljön (t.ex. genom underlåtenhet i driften av kärntekniska anläggningar, navigering eller kommunikation som rör luftfartyg eller vapenkontrollsystem),
·sätt som strider mot de övergripande målen högre trafiksäkerhet och effektivare vägtransporter i Europa.
1.5.Förvaltning av certifikatpolicyn
1.5.1.Uppdatering av CA:ers CPS förtecknade i ECTL
(13)Varje rot-CA som förtecknas i ECTL ska offentliggöra sitt eget CPS, som måste överensstämma med denna policy. En rot-CA får lägga till ytterligare krav, men ska säkerställa att samtliga krav i föreliggande CP alltid uppfylls.
(14)Varje rot-CA som förtecknas i ECTL ska införa en lämplig process för ändring av sina CPS-dokument. De centrala egenskaperna i ändringsprocessen ska dokumenteras i den offentliga delen av CPS.
(15)Ändringsprocessen ska säkerställa att alla ändringar av denna CP har blivit noggrant analyserade och, om nödvändigt för överensstämmelse med CP:n i dess ändrade lydelse, uppdateras CPS:en inom den tidsram som fastställs i genomförandesteget i processen för ändring av CP:n. Ändringsprocessen ska i synnerhet omfatta ändringsprocesser för nödfall som säkerställer att säkerhetsrelaterade ändringar av CP:n kan genomföras i god tid.
(16)Ändringsprocessen ska omfatta lämpliga åtgärder för att kontrollera efterlevnaden av CP vid ändringar av CPS. Eventuella ändringar av CPS ska dokumenteras på ett otvetydigt sätt. Innan en ny version av CPS införs, ska överensstämmelsen med CP styrkas av en ackrediterad PKI-revisor.
(17)Rot-CA ska underrätta CPA om varje ändring som görs av CPS, åtminstone med följande information:
·En exakt beskrivning av ändringen.
·Skälet till ändringen.
·En rapport från den ackrediterade PKI-revisorn som bekräftar överensstämmelse med CP.
·Kontaktuppgifter om den person som ansvarar för CPS.
·Planerad tidsplan för genomförandet.
1.5.2.Förfarande för CPS-godkännande
(18)Innan en blivande rot-CA inleder driften, ska den lägga fram sitt CPS för en ackrediterad PKI-revisor som ett inslag i granskningen av regelefterlevnaden (flöde 13) och för CPA för godkännande (flöde 15).
(19)En rot-CA ska lägga fram sitt CPS för en ackrediterad PKI-revisor som ett inslag i granskningen av regelefterlevnaden (flöde 13) och för CPA för godkännande (flöde 15) innan dessa ändringar träder i kraft.
(20)En EA/AA ska lägga fram sitt CPS eller ändringar av detta för CA. Denna kan begära ut ett certifikat om överensstämmelse från det nationella organ eller den privata enhet som ansvarar för godkännande av EA/AA, på det sätt som anges i avsnitten 4.1.2 och 8.
(21)Den ackrediterade PKI-revisorn ska bedöma CPS i enlighet med avsnitt 8.
(22)Den ackrediterade PKI-revisorn ska vidarebefordra resultaten av CPS-bedömningen som en del av revisionsrapporten, på det sätt som anges i avsnitt 8.1. CPS ska godtas eller förkastas som en del av godkännandet av revisionsrapporten som avses i avsnitten 8.5 och 8.6.
2.Ansvar för offentliggörande och datakatalog
2.1.Metoder för offentliggörande av certifikatinformation
(23)Certifikatinformation får offentliggöras i enlighet med avsnitt 2.5
·regelbundet eller återkommande, eller
·på begäran från någon av de deltagande enheterna.
I varje enskilt fall gäller olika tidsfrister för offentliggörande och därmed också olika tidsplaner, men enheterna måste kunna klara av båda avtalstyperna.
(24)Genom regelbundna offentliggöranden av certifikatinformation blir det möjligt att fastställa en längsta tidsfrist inom vilken certifikatinformation uppdateras för alla knutpunkter i C-ITS-nätet. Frekvensen för offentliggörandet av all certifikatinformation anges i avsnitt 2.2.
(25)På begäran av enheter som deltar C-ITS-nätverket kan varje deltagare när som helst börja offentliggöra certifikatinformation och, beroende på dess status, begära en gällande uppsättning certifikatinformation för att bli en helt betrodd knutpunkt i C-ITS-nätverket. Syftet med ett sådant offentliggörande är främst att uppdatera enheter om vilken övergripande status som certifikatinformation för närvarande har och sätta dem i stånd att kommunicera på tillförlitlig grund fram till nästa regelbundna offentliggörande av informationen.
(26)Också en enskild rot-CA får när som helst inleda ett offentliggörande av certifikatinformation genom att sända en uppdaterad uppsättning certifikat till alla ”abonnerande medlemmar” av C-ITS-nätverket som är regelbundna mottagare av sådan information. Detta stöder CA:s arbete och gör att de kan kontakta medlemmar mellan de regelbundna och planerade datumen för offentliggörande av certifikaten.
(27)I avsnitt 2.5 anges mekanismen och alla förfaranden för offentliggöra av rot-CA-certifikat och ECTL.
(28)CPOC ska offentliggöra rot-CA-certifikaten (så länge de ingår i ECTL och är avsedda för offentligt bruk), TLM-certifikatet och den ECTL som den utfärdar.
(29)Rot-CA ska offentliggöra sina EA-/AA-certifikat och CRL samt kunna stödja samtliga tre mekanismer som avses här för att offentliggöra dem för sina abonnerande medlemmar och förlitande parter, under vidtagande av alla åtgärder som krävs för att garantera säker överföring, på det sätt som avses i avsnitt 4.
2.2.Tidpunkt eller frekvens för offentliggörandet
(30)Kraven avseende schemat för offentliggörande av certifikat och CRL måste fastställas mot bakgrund av de olika begränsande faktorerna för de enskilda C-ITS-knutpunkterna, i det övergripande syftet att bedriva ett ”tillförlitligt nätverk” och offentliggöra uppdateringar snarast möjligt till alla berörda C-ITS-stationer.
·I fråga om det regelbundna offentliggörandet av uppdaterad certifikatinformation (t.ex. förändringar i ECTL- eller CRL-sammansättningen) är en period på högst tre månader obligatorisk för säker drift av C-ITS-nätet.
·Rot-CA ska offentliggöra sina CA-certifikat och CRL snarast möjligt efter utfärdandet.
·För offentliggörandet av CRL ska rot-CA:s datakatalog användas.
I CPS för respektive CA ska dessutom anges den tidsfrist inom vilken ett certifikat kommer att offentliggöras sedan CA utfärdat certifikatet.
I detta avsnitt anges endast tidpunkten eller frekvensen för det regelbundna offentliggörandet. Konnektivitetsmetoder för att uppdatera C-ITS-stationer med ECTL och CRL inom en vecka efter offentliggörandet (under normala driftsförhållanden, t.ex. med cellulär täckning, fordon i faktisk drift osv.) ska genomföras i enlighet med bestämmelserna i detta dokument.
2.3.Datakataloger
(31)Kraven avseende datakatalogens struktur för lagring av certifikat och vilken information som tillhandahålls av enheterna i C-ITS-nätverket är följande för de enskilda enheterna:
·Generellt bör varje rot-CA använda en datakatalog för sin egen nuvarande aktiva information om EA-/AA-certifikat och CRL för att offentliggöra certifikat för andra PKI-deltagare (t.ex. en LDAP-baserad nummerupplysningstjänst). Varje rot-CA:s datakatalog ska stödja alla obligatoriska åtkomstkontroller (avsnitt 2.4) och överföringstider (avsnitt 2.2) för varje distributionsmetod för C-ITS-relaterade uppgifter.
·TLN-databasen (i vilken lagras ECTL- och TLM-certifikat som offentliggörs av CPOC) bör bygga på en mekanism för offentliggörande som gör att tidpunkterna för överföring i avsnitt 2.2. för varje metod för spridning kan efterlevas.
AA:s krav har inte definierats, men de måste stödja samma säkerhetsnivå som övriga enheter och dessa ska redovisas i deras CPS.
2.4.Kontroller av datakatalogåtkomst
(32)De krav på åtkomstkontroll för datakataloger med certifieringsuppgifter ska åtminstone uppfylla de allmänna normerna för säker informationshantering som anges i ISO/IEC 27001 och kraven i avsnitt 4. Därutöver ska de avspegla den processäkerhet som måste upprättas för de enskilda processtegen vid offentliggörandet av certifikatinformation.
·Detta omfattar införandet av datakatalogen för TLM-certifikat och ECTL i TLM/CPOC. Varje CA eller datakatalogsoperatör ska införa åtkomstkontroller för samtliga C-ITS-enheter och externa parter för minst tre olika nivåer (t.ex. offentlig, begränsad till C-ITS-enheter och rot-CA-nivå) i syfte att förhindra obehöriga enheter ifrån att lägga till, ändra eller radera datakatalogsposter.
·Den exakta mekanismen för åtkomstkontroll i den enskilda enheten bör vara en del av respektive CPS.
·EA- och AA-datakatalogerna ska, i fråga om varje rot-CA, uppfylla samma krav som gäller förfaranden för åtkomstkontroll oberoende av plats eller avtalskoppling till den tjänsteleverantör som sköter datakatalogen.
Som utgångspunkt för nivåerna på åtkomstkontrollerna ska varje rot-CA eller datakatalogsoperatör tillhandahålla minst tre olika nivåer (t.ex. offentlig, begränsad till C-ITS-enheter och rot-CA-nivå).
2.5.Offentliggörande av certifikatinformation
2.5.1.TLM:s offentliggörande av certifikatinformation
(33)TLM:en i det europeiska gemensamma tillförlitlighetsområdet för C-ITS ska offentliggöra följande information via CPOC:
·Alla gällande TLM-certifikat för nästa driftsperiod (vid tidpunkten giltiga certifikat och länkcertifikat, om tillgängligt).
·Information om åtkomstpunkten för CPOC:s datakatalog för tillhandahållande av den signerade förteckningen över rot-CA:er (ECTL).
·Punkt med allmän information för införandet av ECTL och C-ITS.
2.5.2.CA:s offentliggörande av certifikatinformation
(34)Rot-CA:er i det europeiska gemensamma tillförlitlighetsområdet för C-ITS ska offentliggöra följande information:
·utfärdade (befintliga) rot-CA-certifikat (befintliga certifikat som korrekt försetts med ny nyckel, inklusive ett länkcertifikat) i den datakatalog som avses i avsnitt 2.3.
·Alla giltiga EA- och AA-enheter, med sina operatör-id och planerad driftsperiod.
·Utfärdade CA-certifikat i de datakataloger som avses i avsnitt 2.3.
·CRL för alla återkallade CA-certifikat som täcker deras underställda EA och AA.
·Information om rot-CA:s åtkomstpunkt till CRL- och CA-information.
All certifikatinformation ska kategoriseras i tre sekretessnivåer och handlingar avsedda för allmänheten måste vara allmänt tillgängliga utan begränsningar.
3.Identifiering och autentisering
3.1.Benämning
3.1.1.Namntyper
3.1.1.1.Namn för TLM, rot-CA, EA och AA
(35)Namnet i TLM-certifikatet ska bestå av ett enskilt subject_name-attribut med det reserverade värdet ”EU_TLM”.
(36)Namn för en rot-CA ska bestå av ett enskilt subject_name-attribut med ett värde tilldelat av CPA. CPA ansvarar ensam för att namnet är unikt och TLM ska upprätthålla registret över rot-CA-namn efter anmälan av CPA (godkännande, återkallande/avlägsnande av en rot-CA). Ett subject_name i ett certifikat är begränsat till 32 byte. Varje rot-CA lägger fram sitt namn för CPA i ansökningsformuläret (flöde 14). CPA är ansvariga för kontrollen av att namnet är unikt. Om namnet inte är unikt förkastas ansökningsformuläret (flöde 4).
(37)Namnet för varje EA-/AA-certifikat får bestå av ett enskilt subject_name-attribut med ett värde tilldelat av utfärdaren av certifikatet. Utfärdande rot-CA är ensam ansvarig för att namnet är unikt.
(38)EA och AA ska inte använda ett namn som överstiger 32 byte, eftersom ett subject_name i ett certifikat är begränsat till 32 byte.
(39)AT ska inte innehålla något namn.
3.1.1.2.Namn för slutenheter
(40)Varje C-ITS-station ska förses med två typer av unik identitetsmärkning:
·Ett kanoniskt id som sparas i samband med C-ITS stationens initiala registrering under tillverkarens ansvar. Detta id ska innehålla en delsträng som identifierar tillverkaren eller operatören på ett sätt som gör identitetsmärkningen unik.
·Ett subject_name, som kan vara en del av C-ITS-stationens EC, under EA:s ansvar.
3.1.1.3.Identifiering av certifikat
(41)Certifikat i enlighet med formatet i [5] ska identifieras genom ett HashedId8-värde enligt definitionen i [5].
3.1.2.Måste namnet ha en betydelse?
Nej
3.1.3.Anonymitet och pseudonymitet för slutenheterna
(42)AA ska säkerställa att en C-ITS-stations pseudonymitet fastställs genom att C-ITS-stationen förses med AT som inte innehåller namn eller information som möjliggör en koppling mellan den registrerade och vederbörandes verkliga identitet.
3.1.4.Finns det särskilda regler för tolkningen av olika namnformer?
Nej
3.1.5.Unika namn
(43)De namn som skapas för TLM, rot-CA, EA, AA och kanoniska id-märkningar för C-ITS-stationer ska vara unika.
(44)TLM ska i samband med registreringen av en viss rot-CA i ECTL se till att dess identitetsmärkning (HashedId8) är unik. Under utfärdandeprocessen ska rot-CA säkerställa att certifikatsidentifieringen (HashedId8) för varje underordnad CA är unik.
(45)Ett EC:s HashedId8 av ska vara unikt inom den utfärdande CA. En AT:s HashedId8 behöver inte vara unikt.
3.2.Initial identitetsvalidering
3.2.1.Metod för att påvisa innehav av privat nyckel
(46)Rot-CA ska visa att den rättmätigt har den privata nyckel som motsvarar den öppna nyckeln i det egensignerade certifikatet. CPOC ska kontrollera detta belägg.
(47)EA/AA ska visa att den rättmätigt har den privata nyckel som motsvarar den öppna nyckel som ska listas i certifikatet. Detta belägg ska kontrolleras av rot-CA.
(48)Innehav av en ny privat nyckel (för nyckelförnyelse) ska bevisas genom signeringen av begäran om den nya privata nyckeln (inre signatur) efter genereringen av en yttre signatur över den signerade begäran med befintlig gällande privat nyckel (för att garantera äktheten i begäran). Sökanden ska inkomma med den signerade certifikatbegäran till den utfärdande behöriga myndigheten genom säker kommunikation. Utfärdande CA ska kontrollera att sökandens digitala signatur i meddelandet om begäran har skapats med hjälp av den privata nyckel som motsvarar den öppna nyckeln i certifikatbegäran. Rot-CA ska i sin CPS ange vilken certifikatbegäran och vilka svar den stöder.
3.2.2.Autentisering av organisationens identitet
3.2.2.1.Autentisering av rot-CA:s organisationsidentitet
(49)I ett ansökningsformulär till CPA (dvs. flöde 14), ska rot-CA uppge organisationens identitet och registreringsinformation, bestående av:
·Organisationsnamn.
·Postadress.
·E-postadress.
·Namnet på en fysisk person inom organisationen.
·Telefonnummer.
·Det digitala fingeravtrycket (dvs. SHA 256-hashvärde) på certifikatet från rot-CA i tryckt form.
·Krypteringsinformation (dvs. krypteringsalgoritmer och nyckellängder) i rot-CA-certifikatet.
·alla tillstånd som rot-CA får använda och föra vidare till underordnade CA.
(50)CPA ska kontrollera organisationens identitet och annan registreringsinformation som tillhandahållits av den certifikatsökande för införandet av ett rot-CA-certifikat i ECTL.
(51)CPA ska samla in antingen direkta belägg, eller ett certifikat från en lämplig och auktoriserad källa, som intygar identiteten (t.ex. namnet) och, i förekommande fall, eventuella särskilda attribut som utmärker registrerade för vilka ett certifikat utfärdas. De inlämnade beläggen får lämnas i pappersform eller som elektronisk dokumentation.
(52)Den registrerades identitet ska, på lämpligt sätt och i enlighet med nuvarande certifikatpolicy, verifieras vid registreringen.
(53)Vid varje certifikatansökan ska följande beläggas:
·Organisationsenhetens fullständiga namn (privat organisation, offentlig enhet eller icke-kommersiell enhet).
·Nationellt erkänd registrering eller andra attribut som kan användas för att i möjligaste mån skilja den organisationsenheten från andra med samma namn.
Reglerna ovan är grundar sig på TS 102 042 [4]: CA ska säkerställa att belägg för att abonnentens och den registrerades namn är korrekta och att tillhörande data antingen undersökts ordentligt som ett led i den definierade tjänsten eller, i tillämpliga fall, genom granskning av intyg från lämpliga och godkända källor, och att certifikatbegäranden är korrekta, godkända och fullständiga i enlighet med insamlade bevis eller intyg.
3.2.2.2.Autentisering av en TLM:s organisationsidentitet
(54)Den organisation som driver en TLM ska kunna belägga att identifieringen och namnet är korrekta samt tillhandahålla relaterade data för att möjliggöra lämplig verifiering vid det initiala upprättandet av TLM-certifikatet och nyckelförnyelse.
(55)Den registrerades identitet ska verifieras när certifikatet skapas eller en ny nyckel genereras på lämpligt sätt och i enlighet med nuvarande certifikatpolicy.
(56)Organisationens belägg ska tillhandahållas på det sätt som anges i avsnitt 3.2.2.1.
3.2.2.3.Autentisering av underordnad CA:s organisationsidentitet
(57)Rot-CA ska kontrollera organisationens identitet och annan registreringsinformation som tillhandahålls av certifikatssökande för underordnade CA-(EA-/AA-)certifikat.
(58)En rot-CA ska åtminstone:
·Fastställa att organisationen existerar genom användning av minst en tredje parts tjänster för bevisande av identitet eller databas eller, alternativt, organisationsdokumentation utfärdad av eller inlämnad till berörda statliga organ eller erkända instanser som bekräftar organisationens existens.
·Använda sig av postförsändelse eller annan jämförbar metod för att begära in en bekräftelse från den certifikatsökande angående viss information om organisationen, att denna har godkänt certifikatansökan och att den person som lämnar in ansökan på sökandens vägnar är behörig att göra detta. När ett certifikat inbegriper namnet på en enskild som en auktoriserad representant för en organisation, ska denna organisation också bekräfta att denna är den enskildes arbetsgivare som har bemyndigat vederbörande att agera på organisationens vägnar.
(59)Valideringsförfaranden för utfärdandet av CA-certifikat ska dokumenteras i en CPS hos rot-CA.
3.2.2.4.Autentisering av slutenheters sätt att organisera abonnenter
(60)Innan abonnenterna på slutenheter (tillverkare/operatör) kan registrera sig med en tillförlitlig EA så att dess slutenheter kan skicka begäranden om EC-certifikat, ska EA göra följande:
·Kontrollera abonnentorganisationens identitet och annan registreringsinformation som tillhandahålls den certifikatsökande.
·Kontrollera att C-ITS-stationstypen (dvs. den konkreta produkten byggd på märke, modell och version av C-ITS-stationen) uppfyller alla kriterier för bedömning av överensstämmelse.
(61)EA ska åtminstone göra följande:
·Fastställa att organisationen existerar genom användning av minst en tredje parts tjänster för bevisande av identitet eller databas eller, alternativt, organisationsdokumentation utfärdad av eller inlämnad till berörda statliga organ eller erkända instanser som bekräftar organisationens existens.
·Använda sig av postförsändelse eller annan jämförbar metod för att begära in en bekräftelse från den certifikatsökande angående viss information om organisationen, att denna har godkänt certifikatansökan och att den person som lämnar in ansökan på dess vägnar är behörig att göra detta. När ett certifikat inbegriper namnet på en enskild som en organisations auktoriserade representant, ska organisationen också bekräfta att denna är den enskildes arbetsgivare som har bemyndigat vederbörande att agera på organisationens vägnar.
(62)Valideringsförfaranden för registreringen av en C-ITS-station genom dess abonnent ska dokumenteras i en CPS från EA.
3.2.3.Autentisering av enskild enhet
3.2.3.1.Autentisering av TLM/CA som enskild enhet
(63)Vid autentiseringen av en enskild enhet (fysisk person) som identifieras i samband med en juridisk person eller organisationsenhet (t.ex. abonnenten), ska belägg för följande tillhandahållas:
·Den registrerades fullständiga namn (inklusive för- och efternamn, i enlighet med gällande lagstiftning och nationell praxis).
·Födelsedatum och födelseort, hänvisning till en nationellt erkänd identitetshandling eller andra attribut för abonnenten som får användas, så långt möjligt, för att särskilja personen från andra med samma namn.
·Fullständigt namn och rättslig ställning för den associerade juridiska personen eller annan organisationsenhet (t.ex. abonnenten).
·All relevant registreringsinformation (t.ex. bolagsregistrering) om den associerade juridiska personen eller annan organisationsenhet.
·Belägg för att den registrerade har kopplingar till den juridiska personen eller organisatoriska enheten.
De inlämnade beläggen får lämnas i pappersform eller som elektronisk dokumentation.
(64)För att kontrollera vederbörandes identitet ska den auktoriserade representanten för en rot-CA, EA, AA eller abonnent tillhandahålla dokumentation som styrker att han/hon arbetar för organisationen (auktorisationscertifikat). Vederbörande ska också uppvisa en officiell legitimation.
(65)Vad gäller den initiala autentiseringsprocessen (flödena 31/32), ska en företrädare för EA/AA förse rot-CA med all nödvändig information (se avsnitt 4.1.2).
(66)Personalen vid rot-CA ska kontrollera den certifikatsökande företrädarens identitet och alla tillhörande dokument, under tillämpning av kraven på ”betrodd personal” på det sätt som anges i avsnitt 5.2.1. (Förfarandet att validera informationen i ansökan och rot-CA:s generering av certifikat ska genomföras av ”betrodda personer” vid rot-CA, åtminstone under dubbel tillsyn, eftersom det är känsliga uppgifter i den mening som avses avsnitt 5.2.2).
3.2.3.2.Autentisering av C-ITS-stationers abonnentidentitet
(67)Abonnenter företräds av auktoriserade slutanvändare i organisationen vilka är registrerade vid den utfärdande EA och AA. Dessa slutanvändare som utsetts av organisationer (tillverkare eller operatörer) ska styrka sin identitet och autenticitet före:
·Registreringen av EE vid dess motsvarande EA, inbegripet dess kanoniska öppna nyckel, kanoniskt id (unik identitetsmärkning) och tillstånden i enlighet med EE.
·Registrering vid AA och säkrande av belägg för ett abonnentavtal som kan skickas till EA.
3.2.3.3.Autentisering av C-ITS-stationers identitet
(68)EC:s EE-registrerade ska autentisera sig vid begäran om EC (flöde 31) genom användning av sin kanoniska privata nyckel för den initiala autentiseringen. EA ska kontrollera autentisering med hjälp av den öppna nyckel som motsvarar EE. EE:s kanoniska öppna nycklar överlämnas till EA innan den initiala begäran verkställs genom en säker kanal mellan tillverkare eller operatör av C-ITS stationen eller firmanamn och EA (flöde 33).
(69)EE som är underställda AT ska autentisera sig vid begäran om AT (flöde 32) med hjälp av deras unika privata autentiseringsnyckel. AA ska skicka signaturen till EA (flöde 25) för validering. EA ska validera den och bekräfta resultatet av AA (flöde 23).
3.2.4.Icke-verifierad abonnentinformation
Nej
3.2.5.Validering av instans
3.2.5.1.Validering av TLM, rot-CA, EA och AA
(70)Varje organisation ska i sin CPS ange åtminstone en företrädare (t.ex. en säkerhetsansvarig) med ansvar för att begära nya certifikat och förnyelser. Namngivningsreglerna i avsnitt 3.2.3 ska tillämpas.
3.2.5.2.Validering av C-ITS stationens abonnenter
(71)Minst en fysisk person som ansvarar för att registrera C-ITS-stationer vid en EA (t.ex. en säkerhetsansvarig) ska vara känd och godkänd av EA (se avsnitt 3.2.3).
3.2.5.3.Validering av C-ITS-stationer
(72)En C-ITS-stations abonnent får registrera C-ITS-stationer vid en specifik EA (flöde 33) så länge den är autentiserad vid denna EA.
Om C-ITS-stationen är registrerad vid en EA med ett unikt kanoniskt id och en kanonisk öppen nyckel, kan den begära ett EC med hjälp av en begäran signerad med den kanoniska privata nyckeln med koppling till den tidigare registrerade kanoniska öppna nyckeln.
3.2.6.Kriterier för driftskompatibilitet
(73)I fråga om kommunikationen mellan C-ITS-stationer och EA (eller AA) ska C-ITS-stationer kunna upprätta säker kommunikation med EA (eller AA), för att kunna fullgöra autentiserings-, sekretess- och integritetsfunktioner på det sätt som anges i [1]. Andra protokoll får användas, under förutsättning att [1] genomförs. EA och AA ska stödja denna säkra kommunikation.
(74)EA och AA ska stödja begäranden om certifikat och svar som är förenliga med [1], vilket möjliggör ett säkert AT-protokoll för begäranden/svar som bevarar sökandens anonymitet visavi AA och separerar AA:s och EA:s funktioner. Andra protokoll får användas, under förutsättning att [1] genomförs. För att förebygga avslöjanden av C-ITS stationers långsiktiga identitet ska kommunikation mellan en mobil station C-ITS-station och en EA vara konfidentiell (t.ex. ska kommunikationsdata vara genomgående krypterade).
(75)AA ska lämna in en begäran om validering av auktorisation (flöde 25) för varje begäran om auktorisation som inkommer från en registrerad med EE-certifikat. EA ska validera sin begäran med avseende på följande:
·EE:s status vid EA.
·Signaturens giltighet.
·Begärda ITS-applikation-id:n (IS-AID) och tillstånd.
·AA:s tillhandahållande av tjänster till abonnenten och deras status.
3.3.Identifiering och autentisering för begäranden om nyckelförnyelse
3.3.1.Identifiering och autentisering för rutinbegäranden om nyckelförnyelse
3.3.1.1.TLM-certifikat
(76)TLM:en genererar ett nyckelpar och certifikat: ett egensignerat och ett länkcertifikat som avses i avsnitt 7.
3.3.1.2.Rot-CA-certifikat
Ej tillämpligt.
3.3.1.3.Förnyelse av EA-/AA-certifikat eller nyckelförnyelse
(77)Innan ett EA-/AA-certifikat löper ut ska EA/AA begära ett nytt certifikat (flöde 21/flöde 24) för att upprätthålla kontinuiteten i certifikatanvändningen. EA/AA ska generera ett nytt nyckelpar för att ersätta det utgående nyckelparet och signera begäran om nyckelförnyelse som innehåller den nya öppna nyckeln med befintlig giltig privat nyckel (”nyckelförnyelse”). EA eller AA genererar ett nytt nyckelpar och signerar begäran med den nya privata nyckeln (inre signatur) för att styrka innehavet av den nya privata nyckeln. Hela ansökan signeras (översigneras) med befintlig giltig privat nyckel (yttre signatur) för att säkerställa integriteten och autenticiteten i begäran. Om ett nyckelpar för kryptering och dekryptering används, ska innehavet av privata nycklar bevisas (för en ingående beskrivning av nyckelförnyelse, se avsnitt 4.7.3.3).
(78)Identifierings- och autentiseringsmetoden för rutinmässig nyckelförnyelse är densamma som för det initiala utfärdandet av en initial validering av rot-CA-certifikat, på det sätt som anges i avsnitt 3.2.2.
3.3.1.4.Slutenheters autentiseringsbehörigheter
(79)Innan ett befintligt EC löper ut, ska EE begära ett nytt certifikat (flöde 31) för att upprätthålla kontinuiteten i certifikatanvändningen. EE ska generera ett nytt nyckelpar för att ersätta det utgående nyckelparet och begära ett nytt certifikat som innehåller den nya nyckeln. Begäran ska signeras med befintlig giltig privat EC-nyckel.
(80)EE kan signera begäran om den nya genererade privata nyckeln (inre signatur) för att styrka innehavet av den nya privata nyckeln. Hela ansökan signeras (översigneras) sedan med nuvarande giltig privat nyckel (yttre signatur) och krypteras till mottagande EA på det sätt som anges i [1] för att säkerställa sekretessen, integriteten och autenticiteten i begäran. Andra protokoll får användas, under förutsättning att [1] genomförs.
3.3.1.5.Slutenheters auktorisationsbiljetter
(81)Förnyelsen av nyckel till certifikatet för AT bygger på samma förfarande som det initiala auktorisationen, på det sätt som anges i [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
3.3.2.Identifiering och autentisering för begäranden om nyckelförnyelse efter återkallande
3.3.2.1.CA-certifikat
(82)Autentisering av en CA-organisation för erhållande av nya nyckelcertifikat för rot-CA, EA och AA efter återkallande hanteras på samma sätt som det initiala utfärdandet av ett CA-certifikat, på det sätt som beskrivs i avsnitt 3.2.2.
3.3.2.2.Slutenheters autentiseringsbehörigheter
(83)Autentisering av en EE för genererande av nya nycklar till EC-certifikat efter återkallande hanteras på samma sätt som det initiala utfärdandet av ett EE-certifikat, på det sätt som beskrivs i avsnitt 3.2.2.
3.3.2.3.Slutenheters begäranden om auktorisation
Inte tillämpligt, eftersom AT inte återkallas.
3.4.Identifiering och autentisering för begäran om återkallande
3.4.1.Rot-CA/EA-/AA-certifikat
(84)Begäranden om radering av ett rot-CA-certifikat från ECTL ska autentiseras av rot-CA och meddelas TLM (flödena 12 och 9). Begäranden om återkallande av ett EA-/AA-certifikat ska autentiseras av relevant rot-CA och underordnad CA själv.
(85)Godtagbara förfaranden för autentisering av en abonnents begäranden om återkallande omfattar:
·Ett skriftligt och undertecknat meddelande på företagets papper från den abonnent som begär återkallande, med hänvisning till det certifikat som ska återkallas.
·Kommunikation med abonnenten som ger rimliga garantier för att den person eller organisation som begär återkallande faktiskt är abonnenten. Beroende på omständigheterna kan kommunikationen omfatta en eller flera av följande: e-post, post eller bud.
3.4.2.C-ITS-stationers autentiseringsbehörighet
(86)C-ITS-stationens abonnent får återkalla EC som tillhör en tidigare registrerad C-ITS-station vid en EA (flöde 34). Den abonnent som lämnar in begäran ska skapa en begäran om återkallande av en viss C-ITS-station eller förteckning över C-ITS-stationer. EA ska autentisera begäran om återkallande innan den behandlas och bekräfta återkallandet av C-ITS-stationerna och deras EC.
(87)EA kan återkalla en C-ITS-stations EC i enlighet med avsnitt 7.3.
3.4.3.C-ITS-stationers auktorisationsbiljetter
(88)Eftersom AT inte återkallas, ska deras giltighet begränsas till en viss period. De godtagbara giltighetsperioderna i denna certifikatpolicy anges i avsnitt 7.
4.Driftkrav under certifikatets livscykel
4.1.Användning av certifikat
(89)I detta avsnitt fastställs kraven för en initial ansökan om utfärdande av certifikat.
(90)Termen ”ansökan om certifikat” avser följande processer:
·Registrering och upprättande av ett tillitsförhållande mellan TLM och CPA.
·Registrering och upprättande av ett tillitsförhållande mellan rot-CA och CPA och TLM, inbegripet uppförandet av det första rot-CA-certifikatet i ECTL.
·Registrering och upprättande av ett tillitsförhållande mellan rot-CA och CPA och TLM, inbegripet uppförandet av det första rot-CA-certifikatet i ECTL.
·Registrering av C-ITS-stationen vid EA genomförd av tillverkaren/operatören.
·C-ITS-stationens begäran för EC/AT.
4.1.1.Vem kan lämna in en ansökan om certifikat?
4.1.1.1.Rot-CA:er
(91)Rot-CA genererar sina egna nyckelpar och utfärdar själva sina rotcertifikat. En rot-CA kan lämna in en certifikatansökan genom sin utsedda företrädare (flöde 14).
4.1.1.2.TLM
(92)TLM:en skapar sina egna nyckelpar och utfärdar själv sina certifikat. Det initiala upprättandet av TLM-certifikatet ska behandlas av en företrädare för TLM-organisationen under kontroll av CPA.
4.1.1.3.EA och AA
(93)En auktoriserad representant för EA eller AA får lämna in ansökan rörande en begäran om certifikat för underordnad CA (EA och/eller AA) till berörd rot-CA:s ombud (27/28).
4.1.1.4.C-ITS-station
(94)Abonnenter ska registrera varje C-ITS-station vid EA i enlighet med avsnitt 3.2.5.3.
(95)Varje C-ITS-station som är registrerad vid EA får skicka in EC-begäranden (flöde 31).
(96)Varje C-ITS-station får skicka in AT-begäranden (flöde 32) utan att ansöka om abonnentens samverkan. Innan en C-ITS-station begär en AT ska den ha en EC.
4.1.2.autentiseringsprocess och ansvar i samband därmed
(97)Tillstånd för rot-CA och underordnad CA som utfärdar certifikat för särskilda (statliga) ändamål (dvs. särskilda mobil och fasta C-ITS-stationer) får beviljas endast av den medlemsstat i vilken organisationerna är belägna.
4.1.2.1.Rot-CA:er
(98)Efter revisionen (flöde 13 och 36 avsnitt 8) får rot-CA ansöka om införande av sina certifikat i ECTL vid CPA (flöde 14). autentiseringsprocessen bygger på ett signerat manuellt ansökningsformulär som ska levereras i fysisk form till CPA av rot-CA:s auktoriserade representant och som innehåller åtminstone den information som avses i avsnitten 3.2.2.1, 3.2.3 och 3.2.5.1.
(99)Rot-CA:s ansökningsformulär ska signeras av auktoriserade representant.
(100)Utöver ansökningsformuläret ska rot-CA:s auktoriserade representant överlämna en kopia av rot-CA:ns CPS (flöde 15) och dess revisionsrapport till CPA för godkännande (flöde 16). I fall av godkännande, upprättar och skickar CPA ett certifikat om överensstämmelse till CPOC/TLM och motsvarande rot-CA.
(101)Rot-CA:s auktoriserade representant ska därefter förse CPOC/TLM med sitt ansökningsformulär (med fingeravtrycken från det egensignerade certifikatet), officiella id-handling och en handling som styrker auktorisationen. Det egensignerade certifikatet ska levereras elektroniskt till CPOC/TLM. CPOC/TLM ska kontrollera alla handlingar och egensignerade certifikat.
(102)I fall av positiva verifieringar ska TLM ska föra upp rot-CA-certifikatet i ECTL på grundval av anmälan från CPA (flödena 1 och 2). Processen beskrivs ingående i TLM:ens CPS.
(103)I vissa länder bör ytterligare ett förfarande vara möjligt för att få ett godkännande av CPS och revisionsrapporten från en rot-CA vid en nationell myndighet.
4.1.2.2.TLM
(104)Efter revisionen får TLM registrera sig i CPA. Autentiseringsprocessen bygger på ett manuellt signerat anmälningsformulär som ska levereras i fysisk form till CPA (flöde 38) av TLM:s auktoriserade representant och innehåller åtminstone den information som anges i avsnitten3.2.2.2 och 3.2.3.
(105)TLM:s ansökningsformulär ska signeras av dess auktoriserade representant.
(106)För det första genererar TLM sitt egensignerade certifikat och överför det på ett säkert sätt till CPA. TLM förser sedan CPA med sitt ansökningsformulär (med fingeravtrycken från det egensignerade certifikatet), en kopia av sitt CPS, en officiell id-handling, en handling som styrker auktorisationen och sin revisionsrapport (flöde 40). CPA ska kontrollera alla handlingar och egensignerade certifikat. I fall av en positiv verifiering av alla handlingar, egensignerade certifikat och fingeravtryck ska CPA bekräfta autentiseringsprocessen genom att skicka sitt godkännande till TLM och CPOC (flöde 39). CPA ska lagra den ansökningsinformation som översänts av TLM. TLM:s certifikat utfärdas sedan via CPOC.
4.1.2.3.EA och AA
(107)Under autentiseringsprocessen ska EA/AA förse motsvarande rot-CA med relevanta handlingar (t.ex. CPS och revisionsrapporten) för godkännande (flödena 27/28). I fall av positiva kontroller av handlingarna skickar rot-CA ett godkännande till motsvarande underordnad CA (flödena 29/30). Underordnad CA (EA eller AA) ska sedan skicka sin signerade begäran elektroniskt och i fysisk form lämna in sitt ansökningsformulär (i enlighet med avsnitt 3.2.2.1), auktorisationsbevis och id-handling till motsvarande rot-CA. Rot-CA verifierar begäran och de handlingar som mottagits (ansökningsformuläret med fingeravtryck, vilket är hashvärde SHA 256 för begäran från underordnad CA, handlings som styrker bemyndigandet som ombud och id-handling). Om alla kontroller leder till ett positivt resultat, utfärdar rot-CA motsvarande certifikat för en underordnad CA. Ingående information om hur en initial ansökan upprättas beskrivs i dess särskilda CPS.
(108)Utöver underordnad CA:s ansökningsformuläret ska underordnad CA:s auktoriserade representant bifoga en kopia av det CPS som lämnas till rot-CA.
(109)Information ska lämnas till en ackrediterad PKI-revisor för revision i enlighet med avsnitt 8.
(110)Om en underordnad CA ägs av en annan enhet än den som äger en rot-CA, innan en begäran om certifikat för en underordnad CA lämnas in, ska underordnad CA:s enhet ingå ett kontrakt om rot-CA-tjänsten.
4.1.2.4.C-ITS-station
(111)Den initiala registreringen av registrerade vid slutenheter (C-ITS-stationer) ska utföras av ansvarig abonnent (tillverkare/operatör) med EA (flödena 33 och 35) efter framgångsrik autentisering av abonnentorganisationen och en av dess företrädare i enlighet med avsnitten 3.2.2.4 och 3.2.5.2.
(112)En C-ITS-station får generera ett EC-nyckelpar (se avsnitt 6.1) och skapa en signerad EC-begäran i enlighet med [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
(113)I samband med registreringen av en normal C-ITS-station (i motsats till en särskild mobil eller fast C-ITS-station) måste EA kontrollera att tillstånden i den initiala begäran inte är avsedda för myndighetsbruk. Tillstånd för myndighetsbruk definieras av de berörda medlemsstaterna. Hur förfarandet för registreringen och svaret från EA till tillverkaren/operatören (flödena 33 och 35) ser ut i detalj anges i EAs motsvarande CPS.
(114)En C-ITS-station ska vara inskriven vid en EA (avsnitt 3.2.5.3) genom att den skickar sin initiala EC-begäran i enlighet med [1].
(115)Vid den initiala registreringen av en autentiserad företrädare för abonnenten godkänner EA vilka AT som den som registrerats av slutenheten (dvs. C-ITS-stationen) kan få. Dessutom tilldelas varje slutenhet en tillitsgarantinivå som är relaterade till certifieringen av slutenheten i enlighet med en av de skyddsprofiler som förtecknas i avsnitt 6.1.5.2.
(116)Fordon i reguljär trafik ska ha en enda C-ITS-station som är registrerad vid en EA. Fordon för särskilda ändamål (exempelvis polisbilar och andra specialfordon med särskilda rättigheter) kan registreras vid ytterligare en EA eller C-ITS-station för auktorisation enligt definitionen särskilda ändamål. Fordon som omfattas av ett sådant undantag ska definieras av ansvariga medlemsstater. Tillstånd för särskilda mobila och fasta C-ITS-stationer ska beviljas enbart av de ansvariga medlemsstaterna. CPS från rot-CA eller underordnad CA som utfärdar certifikat för sådana fordon i dessa medlemsstater ska vara vägledande för hur certifieringsprocessen ska tillämpas på sådana fordon.
(117)När abonnenten är i färd med att migrera en C-ITS-station från en EA till en annan, kan C-ITS-stationen registreras vid två (lika) EA.
(118)En C-ITS-station genererar ett AT-nyckelpar (se avsnitt 6.1) och skapar en AT-begäran i enlighet med [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
(119)C-ITS-stationer skickar auktorisationsbegäran till AA:s URL (flödena 32 och 26) genom att sända åtminstone den obligatoriska information som avses i avsnitt 3.2.3.3). AA och EA validerar auktorisationen för varje begäran i enlighet med avsnitten 3.2.6 och 4.2.2.5.
4.2.Behandling av certifikattillämpning
4.2.1.Fullgörande av identifierings- och autentiseringsfunktioner
4.2.1.1.Identifiering och autentisering av en rot-CA
(120)CPA:s auktoriserade representant är ansvarig för registreringen av rot-CA:s auktoriserade representant och godkännandet av dess autentiseringsprocess i enlighet med avsnitt 3.
4.2.1.2.Identifiering och autentisering av en TLM
(121)CPA:s auktoriserade representant är ansvarig för registreringen av TLM:s auktoriserade representant och godkännandet av dess ansökningsformulär för autentiseringsprocessen i enlighet med avsnitt 3.
4.2.1.3.Identifiering och autentisering av EA och AA
(122)Motsvarande rot-CA är ansvarig för att registreringen av den auktoriserade representanten för EA/AA och godkännandet av dess ansökningsformulär för autentiseringsprocessen i enlighet med avsnitt 3.
(123)Rot-CA ska bekräfta sin positiva validering av ansökningsformuläret för EA/AA. EA/AA får skicka en certifikatbegäran till rot-CA (flödena 21/24), som ska utfärda certifikat till motsvarande EA/AA (18/19).
4.2.1.4.Identifiering och autentisering av EE-abonnenten
(124)Innan en C-ITS-stationen kan begära ett EC-certifikat, ska EE-abonnenten på ett säkert sätt överföra C-ITS-stationens identitetsmärkningsinformation till EA (flöde 33). EA ska verifiera begäran och i fall av positiv verifiering registrera informationen om C-ITS-stationen i sin databas och bekräfta detta för EE-abonnenten (flöde 35). Detta görs vid ett enda tillfälle av tillverkaren eller operatören för varje station för varje C-ITS-station. När en C-ITS-station registrerats av en EA, kan den vid behov begära ett enskilt EC-certifikat åt gången (flöde 31). EA autentiserar och kontrollerar att informationen i certifikatbegäran är giltig för en C-ITS-station.
4.2.1.5.Auktorisationsbiljetter
(125)Vad gäller begäranden om auktorisation (flöde 32), måste AA i enlighet med [1] autentisera den EA från vilken C-ITS-stationen mottagit sitt EC. Andra protokoll får användas, under förutsättning att [1] genomförs. Om AA inte kan autentisera EA förkastas begäran (flöde 26). Det är ett krav att AA ska inneha EA-certifikatet för att autentisera EA och kontrollera dess svar (flödena 25 och 23, avsnitt 3.2.5.3).
(126)EA autentiserar den C-ITS-station som begär en AT genom att kontroller dess EC (flödena 25 och 23).
4.2.2.Godkännande eller förkastande av ansökningar om certifikat
4.2.2.1.Godkännande eller förkastande av rot-CA-certifikat
(127)Rot-CA-certifikat förs upp/raderas i ECTL i enlighet godkännandet av CPA (flödena 1/2).
(128)TLM bör verifiera signaturen, informationen och kodningen av rot-CA-certifikat sedan den fått ett godkännande från CPA (flöde 1). Efter positiv validering och godkännande från CPA ska TLM föra upp motsvarande rotcertifikat i ECTL och underrätta CPA (flöde 5).
4.2.2.2.Godkännande eller förkastande av TLM-certifikat
(129)CPA är ansvarig för att godkänna eller förkasta TLM certifikat.
4.2.2.3.Godkännande eller förkastande av EA- och AA-certifikat
(130)Rot-CA kontrollerar begäranden om certifikat från underordnad CA (flödena 21/24) och relevanta rapporter (som utfärdats av den ackrediterade PKI-revisorn) vid mottagandet av dem (flöde 36, avsnitt 8) från rot-CA:s motsvarande underordnade CA. Om kontrollen av begäran leder till ett positivt resultat, utfärdar motsvarande rot-CA ett certifikat till den EA/AA som inkommer med begäran (flödena 18/19). I annat fall förkastas begäran och inget certifikat får utfärdas till EA/AA.
4.2.2.4.Godkännande eller förkastande av begäran om EC
(131)EA ska kontrollera och validera EC-begäranden i enlighet med avsnitten 3.2.3.2 och 3.2.5.3.
(132)Om certifikatbegäran i enlighet med [1] är korrekt och giltigt, ska EA generera det begärda certifikatet.
(133)Om certifikatbegäran är ogiltig, ger EA avslag och skickar ett svar som innehåller skälen till avslaget i enlighet med [1]. Om en C-ITS-station ändå vill ha ett EC, ska den lämna in en ny certifikatbegäran. Andra protokoll får användas, under förutsättning att [1] genomförs.
4.2.2.5.Godkännande eller förkastande av AT
(134)Certifikatbegäran kontrolleras av EA. AA ska upprätta kommunikation med EA för att validera begäran (flöde 25). EA ska autentisera den C-ITS-station som lämnar in begäran och bekräfta huruvida den har befogenhet att ta emot begärd AT enligt gällande CP (t.ex. genom kontroll av återkallandestatus och validering av certifikatet med avseende på tid/region, tillstånd, säkerhetsnivå osv.). EA ska återsända ett valideringssvar (flöde 23) och, om svaret är jakande, ska AA generera det begärda certifikatet och överlämna det till C-ITS-station. Om begäran om en AT inte är korrekt eller EA:s valideringssvar är negativt, kommer begäran att avslås av AA. Om en C-ITS-station ändå begär en AT, ska den lämna in en ny begäran om auktorisation.
4.2.3.Tid för handläggning av ansökan om certifikat
4.2.3.1.Ansökan om certifikat från rot-CA
(135)Tiden för handläggning av identifierings- och autentiseringsförfarandet löper under en arbetsdag och ska omfattas av en maximal tidsfrist som fastställts i rot-CA:s CPS.
4.2.3.2.Ansökan om TLM- certifikat
(136)Handläggningen av ansökan om TLM-certifikat ska omfattas av en maximal tidsfrist som fastställts i TLM:s CPS.
4.2.3.3.Ansökan om EA- och AA-certifikat
(137)Tiden för behandling av identifieringen och autentiseringen av en ansökan är under arbetsdagen i enlighet med avtalet och kontraktet mellan medlemsstaten/den privata organisation som sköter rot-CA och den underordnade CA. Handläggningstiden för ansökan om CA-certifikat ska omfattas av en maximal tidsfrist som fastställts i underordnad CA:s CPS.
4.2.3.4.EC-ansökan
(138)Handläggningen av ansökningar om EC ska omfattas av en maximal tidsfrist som fastställts i EA:s CPS.
4.2.3.5.AT ansökan
(139)Handläggningen av ansökan om AT ska omfattas av en maximal tidsfrist som fastställts i AA:ernas CPS.
4.3.Utfärdande av certifikat
4.3.1.CA-åtgärder under utfärdandet av certifikat
4.3.1.1.Rot-CA – utfärdande av certifikat
(140)Rot-CA:er utfärdar sina egna egensignerade rot-CA-certifikat, länkcertifikat, certifikat för underordnade CA och CRL:er.
(141)Efter CPA-godkännandet (flöde 4) skickar rot-CA sitt certifikat till TLM genom CPOC för att det ska läggas till i ECTL (flödena 11 och 8) (se avsnitt 4.1.2.1). TLM kontrollerar om CPA har godkänt certifikatet (flöde 1).
4.3.1.2.Utfärdande av TLM-certifikat
(142)TLM utfärdar sin eget egensignerade TLM- och länkcertifikat och skickar det till CPOC (flöde 6).
4.3.1.3.Utfärdande av EA- och AA-certifikat
(143)Underordnade CA genererar en signerad certifikatbegäran och skickar den till motsvarande rot-CA (flödena 21 och 24). Rot-CA kontrollerar begäran och utfärdar snarast möjligt ett certifikat till den begärande underordnade CA i enlighet med [5] på det sätt som fastställs i CPS för vanliga operativa förfaranden, dock senast fem arbetsdagar efter det att begäran har mottagits.
(144)Rot-CA ska uppdatera den datakatalog som innehåller certifikat tillhörande underordnade CA.
4.3.1.4.Utfärdande av EC
(145)C-ITS-stationerna ska skicka en EC-begäran till EA i enlighet med [1]. EA ska autentisera och kontrollera att den information i certifikatbegäran är giltig för en C-ITS-station. Andra protokoll får användas, under förutsättning att [1] genomförs.
(146)Om utfallet av valideringen är positivt, ska EA utfärda ett certifikat i enlighet med C-ITS-stationens registrering (se 4.2.1.4) och skicka det till C-ITS-stationen med hjälp av ett svarsmeddelande i enlighet med [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
(147)Om det inte finns någon registrering, ska EA generera en felkod och skicka den till C-ITS-stationen med hjälp av ett svarsmeddelande i enlighet med [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
(148)EC-begäranden och EC-svar ska krypteras för att säkerställa sekretess och signeras för att säkerställa autentisering och integritet.
4.3.1.5.Utfärdande av AT
(149)C-ITS-stationerna ska skicka en AT-begäran till AA i enlighet med [1]. AA ska till EA skicka en begäran om validering av AT i enlighet med [1]. EA ska överända ett svar på begäran om AT till AA. Om det inte finns någon registrering, ska EA generera en felkod och skicka den till C-ITS-stationen med hjälp av ett svarsmeddelande i enlighet med [1]. Om svaret är negativt, ska AA generera en felkod och skicka den till C-ITS-stationen med hjälp av ett AT-svarsmeddelande i enlighet med [1]. Andra protokoll får användas, under förutsättning att [1] genomförs.
(150)AT-begäranden och AT-svar ska krypteras (nödvändigt endast för mobila C-ITS-stationer) för att säkerställa sekretess och undertecknas för att säkerställa autentisering och integritet.
4.3.2.CA:s anmälan till abonnenten om utfärdande av certifikat.
Ej tillämpligt.
4.4.Godtagande av certifikat
4.4.1.Förfarande för godtagande av certifikat
4.4.1.1.Rot-CA
Ej tillämpligt.
4.4.1.2.TLM
Ej tillämpligt.
4.4.1.3.EA och AA
(151)EA/AA ska verifiera typen av certifikat samt signaturen och informationen i det mottagna certifikatet. EA/AA ska förkasta samtliga EA/AA-certifikat som inte kan verifieras som korrekta och utfärda en ny begäran.
4.4.1.4.C-ITS-station
(152)C-ITS-stationen ska verifiera det EC/AT-svar som mottagits från EA/AA mot sin ursprungliga begäran, inklusive signaturen och certifikatkedjan. Den ska förkasta samtliga EC/AT-svar som inte kan verifieras som korrekta. I sådana fall ska den skicka en ny EC/AT-begäran.
4.4.2.Offentliggörande av certifikat
(153)TLM-certifikat och deras länkcertifikat ska göras tillgängliga för samtliga deltagare via CPOC.
(154)Rot-CA-certifikat offentliggörs av CPOC via ECTL, som signeras av TLM.
(155)Certifikat från underordnade CA (EA och AA) offentliggörs av rot-CA.
(156)EC och AT offentliggörs inte.
4.4.3.Meddelande om utfärdande av certifikat
Utfärdandet av certifikat meddelas inte.
4.5.Användning av nyckelpar och certifikat
4.5.1.Användning av privata nycklar och certifikat
4.5.1.1.Användning av privata nycklar och certifikat i fråga om TLM
(157)TLM ska använda sina privata nycklar för att signera sina egna certifikat (TLM-certifikat och länkcertifikat) och ECTL.
(158)PKI-deltagarna ska använda TLM-certifikatet för att verifiera ECTL och autentisera TLM.
4.5.1.2.Användning av privata nycklar och certifikat i fråga om rot-CA
(159)Rot-CA ska använda sina privata nycklar för att signera sina egna certifikat, CRL, länkcertifikat och EA/AA-certifikat.
(160)PKI-deltagarna ska använda rot-CA-certifikat för att verifiera tillhörande AA/EA-certifikat, länkcertifikat och CRL.
4.5.1.3.Användning av privata nycklar och certifikat i fråga om EA och AA
(161)EA ska använda sina privata nycklar för att signera EC och dekryptera autentiseringsbegäranden.
(162)EA-certifikat ska användas för att verifiera signaturen i tillhörande EC:er och för EE:ers kryptering av begäranden om EC och AT enligt definitionen i [1].
(163)AA ska använda sina privata nycklar för att signera AT och dekryptera begäranden om AT.
(164)EE:er ska använda AA-certifikat för att verifiera tillhörande AT och begära kryptering för AT enligt definitionen i [1].
4.5.1.4.Slutenheters användning av privata nycklar och certifikat
(165)EE:er ska använda den privata nyckel som motsvarar en giltig EC för att signera en ny autentiseringsbegäran enligt definitionen i [1]. Den nya privata nyckeln ska användas för att bygga den inre signatur i begäran som krävs för att styrka innehavet av den privata nyckel som motsvarar den nya öppna EC-nyckeln.
(166)EE ska använda den privata nyckel som motsvarar en giltig EC för att signera en begäran om auktorisation enligt definitionen i [1]. Den privata nyckel som motsvarar den nya AT bör användas för att bygga den inre signatur i begäran som krävs för att styrka innehavet av den privata nyckel som motsvarar den nya öppna AT-nyckeln.
(167)EE ska använda den privata nyckel som motsvarar en lämplig AT för att signera C-ITS-meddelanden enligt definitionen i [5].
4.5.2.Förlitande parters användning av öppna nycklar och certifikat
(168)Förlitande parter använder den sedvanliga vägen till certifiering och tillhörande öppna nycklar för de ändamål som avses i certifikaten och för att autentisera den tillförlitliga gemensamma identiteten för EC:er och AT:er.
(169)Förlitande parter får inte använda rot-CA-certifikat, EA- och AA-certifikat, EC och AT utan att först ha gjort en preliminär kontroll.
4.6.Certifikatförnyelse
Tillåts inte
4.7.Förnyelse av certifikatnyckel
4.7.1.Omständigheter för förnyelse av certifikatnyckel
(170)Förnyelsen av nyckeln till ett certifikat ska behandlas när ett certifikat löper ut eller när en privat nyckel inte längre är operativ, samtidigt som tillitsförhållandet till CA fortfarande föreligger. Ett nytt nyckelpar och motsvarande certifikat ska genereras och utfärdas i samtliga fall.
4.7.2.Vem kan begära nyckelförnyelse?
4.7.2.1.Rot-CA
(171)Rot-CA begär inte nyckelförnyelse. Den är en intern process för rot-CA, eftersom dess certifikat är egensignerat. Rot-CA ska förnya nyckeln antingen med hjälp av länkcertifikat eller genom utfärdande av en ny nyckel (se avsnitt 4.3.1.1).
4.7.2.2.TLM
(172)TLM begär inte nyckelförnyelse. Förnyelsen av nyckeln är intern för TLM, eftersom TLM-certifikatet är egensignerat.
4.7.2.3.EA och AA
(173)Underordnade CA måste lämna in sin begäran om certifikat i god tid, så att de kan få ett nytt certifikat och ett operativt nyckelpar för underordnade CA innan deras befintliga privata nyckel löper ut. Tidpunkten för inlämningen måste också beakta den tid som krävs för godkännande.
4.7.2.4.C-ITS-station
Ej tillämpligt.
4.7.3.Nyckelförnyelse
4.7.3.1.TLM-certifikat
(174)TLM beslutar att förnya nyckeln på grundval av kraven i avsnitten 6.1 och 7.2. Processen beskrivs närmare i dess CPS.
(175)TLM ska utföra processen för att förnya nyckeln i god tid så att det nya TLM-certifikatet och länkcertifikatet kan distribueras till samtliga deltagare innan det befintliga TLM-certifikatet löper ut.
(176)TLM ska använda länkcertifikat för att förnya nycklar och garantera tilliten till det nya egensignerade certifikatet. Det på nytt genererade TLM-certifikatet och länkcertifikatet överförs till CPOC.
4.7.3.2.Rot-CA-certifikat
(177)Rot-CA beslutar att förnya nyckeln på grundval av kraven i avsnitten 6.1.5 och 7.2. Processen bör beskrivas närmare i dess CPS.
(178)Rot-CA ska utföra processen för att förnya nyckeln i god tid (innan rot-CA-certifikatet löper ut) så att det nya certifikatet kan föras upp i ECTL innan rot-CA-certifikatet blir giltigt (se avsnitt 5.6.2). Processen för att förnya nyckeln ska utföras antingen med hjälp av länkcertifikat eller som en initial begäran.
4.7.3.3.EA- och AA-certifikat
(179)EA eller AA e ska begära ett nytt certifikat enligt följande:
Steg
|
Beteckning
|
Begäran om nyckelförnyelse
|
1
|
Generering av nyckelpar
|
Underordnade CA (EA och AA) ska generera nya nyckelpar i enlighet med avsnitt 6.1.
|
2
|
Generering av en begäran om certifikat och en inre signatur
|
Underordnade CA genererar en begäran om certifikat med hjälp av den nyligen genererade öppna nyckeln, med hänsyn till systemet för namngivning (subject_info) enligt avsnitt 3, signaturalgoritmen, de tjänstespecifika tillstånden (SSP) och frivilliga ytterligare parametrar, och genererar den inre signaturen med motsvarande nya privata nyckel. Om en krypteringsnyckel krävs måste underordnade CA också styrka innehavet av motsvarande privata dekrypteringsnyckel.
|
3
|
Generering av en yttre signatur
|
Hela begäran ska signeras med befintlig giltig privat nyckel, för att garantera autenticiteten hos den signerade begäran.
|
4
|
Inlämning av begäran till rot-CA
|
Den signerade begäran ska lämnas in till motsvarande rot-CA.
|
5
|
Verifiering av begäran
|
Motsvarande rot-CA ska verifiera begärans integritet och autenticitet. Först ska den kontrollera den yttre signaturen. Om denna verifiering ger ett positivt resultat, ska den kontrollera den inre signaturen. Om det finns ett bevis på innehav av den privata dekrypteringsnyckeln, ska den även kontrollera detta bevis.
|
6
|
Godtagande eller avvisande av begäran
|
Om samtliga kontroller ger ett positivt resultat, godtar rot-CA begäran, och i annat fall avvisas den.
|
7
|
Generering och utfärdande av certifikat
|
Rot-CA genererar ett nytt certifikat och distribuerar det till begärande underordnade CA.
|
8
|
Sändning av svar
|
Underordnade CA ska sända ett statusmeddelande (om huruvida de mottagit certifikatet) till rot-CA.
|
Tabell 3: Förnyelse av nycklar för EA och AA
(180)Vid en automatisk förnyelse av nycklar för underordnade CA ska rot-CA säkerställa att den begärande aktören verkligen innehar sin privata nyckel. Lämpliga protokoll för att bevisa innehav av privata dekrypteringsnycklar ska tillämpas, exempelvis de som definieras i RFC 4210 och 4211. För privata signaturnycklar bör den inre signaturen användas.
4.7.3.4.Certifikat för C-ITS-stationer
Ej tillämpligt för AT.
4.8.Ändring av certifikat
Tillåts inte.
4.9.Återkallande och tillfälligt upphävande av certifikat
Se avsnitt 7.
4.10.Tjänster rörande certifikatstatus
4.10.1.Operativa egenskaper
Ej tillämpligt.
4.10.2.Tjänsters tillgänglighet
Ej tillämpligt.
4.10.3.Frivilliga inslag
Ej tillämpligt.
4.11.Abonnemanget upphör
Ej tillämpligt.
4.12.Nyckeldeponering och nyckelåterställning
4.12.1.Abonnent
4.12.1.1.Vilka nyckelpar kan deponeras?
Ej tillämpligt.
4.12.1.2.Vem kan lämna in en ansökan om återställning?
Ej tillämpligt.
4.12.1.3.Återställningsprocess och ansvarsområden
Ej tillämpligt.
4.12.1.4.Identifiering och autentisering
Ej tillämpligt.
4.12.1.5.Godkännande av eller avslag på ansökningar om återställning
Ej tillämpligt.
4.12.1.6.KEA- och KRA-åtgärder under återställandet av nyckelpar
Ej tillämpligt.
4.12.1.7.KEA och KRA (tillgänglighet)
Ej tillämpligt.
4.12.2.Inkapsling av sessionsnyckel samt policy och praxis för återställande
Ej tillämpligt.
5.Anläggning, förvaltning och operativa kontroller
(181)PKI består av rot-CA, EA/AA, CPOC och TLM, inklusive deras IKT-komponenter (t.ex. nätverk och servrar).
(182)I detta avsnitt definieras den enhet som ansvarar för ett element i PKI av själva elementet. Med andra ord ska meningen ”CA är ansvarig för genomförandet av revisionen” motsvara ”den enhet eller personal som förvaltar CA är ansvarig för...”.
(183)Begreppet ”element i tillitsmodellen för C-ITS-stationer” omfattar rot-CA, TLM, EA/AA, CPOC och det säkra nätverket.
5.1.Fysiska kontroller
(184)Alla moment enligt tillitsmodellen för C-ITS-stationer ska utföras i en fysiskt skyddad miljö som avskräcker från, förhindrar och upptäcker otillåten användning av, åtkomst eller avslöjande av information och system av känslig art. Element i tillitsmodellen för C-ITS-stationer ska använda fysiska säkerhetskontroller i enlighet med ISO 27001 och ISO 27005.
(185)De enheter som förvaltar element i tillitsmodellen för C-ITS-stationer ska beskriva säkerhetskontrollerna avseende den fysiska sidan, förfaranden och personal i deras CPS. CPS ska i synnerhet omfatta information om byggnadernas lokalisering och konstruktion samt vilka fysiska säkerhetsåtgärder som garanterar kontrollerat tillträde till alla lokaler som används i anläggningen som används av enheterna i tillitsmodellen för C-ITS-stationer.
5.1.1.Lokalisering och byggnation
5.1.1.1.Rot-CA, CPOC och TLM
(186)Den anläggning som hyser rot-CA, CPOC och TLM-utrustning och -uppgifter (HSM, aktiveringsuppgifter, säkerhetskopia av nyckelpar, dator, logg, nyckelceremoniskript, certifikatbegäranden osv.) ska motsvara anläggningar som används för att hysa mycket värdefull och känslig information. Rot-CA ska köras inom ett särskilt fysiskt område separerad från andra PKI-komponenters fysiska områden.
(187)Rot-CA, CPOC och TLM ska genomföra strategier och förfaranden för att säkerställa att en hög säkerhetsnivå upprätthålls i den fysiska miljö där rot-CA-utrustning installerats för att garantera att
·den är isolerad från nätverk utanför tillitsmodellen för C-ITS-stationer,
·den är uppdelad i ett antal (minst två) progressivt säkrare fysiskt avgränsade områden,
·känsliga uppgifter (HSM, säkerhetskopior av nyckelpar, aktiveringsuppgifter osv.) sparas i ett särskilt kassaskåp inom ett därför avsett fysiskt område med flera tillträdeskontroller.
(188)Den teknik som används ska vara utformad för att motstå ett stort antal och kombinationer av olika attacktyper. Mekanismerna ska åtminstone omfatta följande:
·Larmning av området, kameraövervakning, förstärkta väggar och rörelsedetektorer.
·Tvåfaktorsautentisering (t.ex. smartkort och PIN-kod) för varje person och passerkort för inpassering till eller utpassering från rot-CA-anläggningarna och säkra fysiskt avgränsade områden.
(189)Rot-CA, CPOC och TLM använder sig av auktoriserad personal för fortlöpande dygnetruntövervakning av den anläggning som hyser utrustning. Den operativa miljön (t.ex. fysisk anläggning) får aldrig lämnas obevakad. Personal i den operativa miljön får aldrig ha tillgång till rot-CA:s säkra områden eller underordnade CA, såvida den inte har tillstånd.
5.1.1.2.EA/AA
(190)Samma bestämmelser i avsnitt 5.1.1.1 är tillämpliga.
5.1.2.Fysisk åtkomst
5.1.2.1.Rot-CA, CPOC och TLM
(191)Utrustning och data (HSM, aktiveringsdata, säkerhetskopior av nyckelpar, dator, logg, nyckelceremoniskript, certifikatbegäran, osv.) ska alltid skyddas mot obehörig åtkomst. Den fysiska säkerhetsmekanismen för utrustning ska åtminstone säkerställa följande:
·Ständig övervakning, antingen manuellt eller elektroniskt, mot obehörigt intrång.
·Att obehöriga inte tillåts få tillträde till maskinvaran och aktiveringsdata.
·Att alla löstagbara medier och papper med känslig information i klartext lagras i en säker behållare.
·Att varje enskild person som inte är permanent auktoriserad och som träder in i säkra områden inte lämnas utan tillsyn av en behörig anställd vid rot-CA-, TLM- och CPOC-anläggningarna.
·Säkerställa att en tillträdeslogg förs och besiktas regelbundet.
·Inrätta minst två nivåer av successivt ökande säkerhet, t.ex. området, byggnaden och det operativa utrymmet.
·Kräva två fysiska tillträdeskontroller för två tillförlitliga funktioner för krypterings-HSM och aktiveringsuppgifter.
(192)En säkerhetskontroll av anläggningen som hyser utrustningen ska utföras om den kommer att lämnas utan uppsikt. Kontrollen ska åtminstone säkerställa följande:
·Utrustningen är i ett skick som är lämpligt för det aktuella driftsättet.
·Att all utrustning avstängd när det gäller off-linekomponenter.
·Att alla säkerhetsbehållare (förseglade kuvert, kassaskåp, osv.) är tillräckligt skyddade.
·Att fysiska säkerhetssystem (t.ex. dörrlås, ventilationskåpor och el) fungerar korrekt.
·Att området är säkrat mot obehörigt tillträde.
(193)Flyttbara krypteringsmoduler ska avaktiveras före lagring. När de inte är i bruk, ska sådana moduler och de aktiveringsdata som används för att få tillgång till eller aktivera dem vara placerade i kassaskåp. Aktiveringsdata ska antingen vara memorerade eller registreras och lagras på ett sätt som motsvarar den säkerhet som erbjuds krypteringsmodulen. De får inte lagras tillsammans med krypteringsmodulen för att undvika att endast en person har tillgång till den privata nyckeln.
(194)En person eller grupp av betrodda funktioner ska uttryckligen göras ansvariga för att utföra sådana kontroller. Om en grupp av personer är ansvarig, ska en logg föras som identifierar personen utför respektive kontroll. Om anläggningen inte fortlöpande hålls under uppsikt, ska den person som sist lämnar den parafera ett blad för utpassage som visar datum och tidpunkt samt bekräftar att alla nödvändiga fysiska skyddsmekanismer är på plats och aktiverade.
5.1.2.2.EA/AA
(195)Samma bestämmelser i avsnitt 5.1.2.1 är tillämpliga.
5.1.3.El och luftkonditionering
(196)Säkra anläggningar för element i tillitsmodellen för C-ITS-stationer (rot-CA, CPOC, TLM, EA och AA) ska vara utrustade med tillförlitlig elförsörjning för att säkerställa drift utan eller med endast mindre avvikelser. Både primära installationer och installationer för reservdrift är nödvändiga vid externa strömavbrott och mjuk avstängning av utrutning inom modellen för betrodda C-ITS-stationer i händelse av elbrist. Anläggningar inom tillitsmodellen för C-ITS-stationer ska vara utrustade med värme/ventilation/luftkonditioneringssystem för att hålla temperaturen och den relativa luftfuktigheten för utrustningen i tillitsmodellen för C-ITS-stationer på den nivå som driften kräver. I tillitsmodellen för C-ITS-stationers CPS kommer planen och processerna för att uppfylla dessa krav att beskrivas.
5.1.4.Exponering för vatten
(197)Säkra anläggningar för element i tillitsmodellen för C-ITS-stationer (rot-CA, CPOC, TLM, EA och AA) bör skyddas på ett sätt som minimerar påverkan från exponering för vatten. Därför ska vatten- och avloppsledningar undvikas. I tillitsmodellen för C-ITS-stationers CPS kommer planen och processerna för att uppfylla dessa krav att beskrivas.
5.1.5.Förebyggande av och skydd mot bränder
(198)För att förhindra skadlig exponering för lågor eller rök, ska de säkra anläggningarna för element i tillförlitlighetsmodellen för C-ITS-stationer hos CITS förtroende modell (rot-CA, CPOC, TLM, EA och AA) vara utformade och utrustade i enlighet med detta och förfaranden ska införas för att hantera brandrelaterade hot. Lagrade medier ska vara skyddade mot brand i lämpliga behållare.
(199)Element i tillitsmodellen för C-ITS-stationer ska skydda fysiska medier som innehåller säkerhetskopior av kritiska systemdata eller annan känslig information mot miljörisker och obehörig användning av, tillgång till eller avslöjande av sådana medier. I tillitsmodellen för C-ITS-stationers CPS kommer planen och processerna för att uppfylla dessa krav att beskrivas.
5.1.6.Förvaltning av medier
(200)Medier som används i element i tillitsmodellen för C-ITS-stationer (rot-CA, CPOC, TLM, EA och AA) ska hanteras på ett säkert sätt så att de skyddas mot skador, stöld och obehörig åtkomst. Förfaranden för hantering av medier genomförs för att skydda medier mot åldrande och försämrad kvalitet under den period då uppgifterna ska bevaras.
(201)Känsliga uppgifter ska vara skyddade mot åtkomst till följd av att lagringsmedier återanvänds (t.ex. raderade filer), vilket kan göra att de känsliga uppgifterna tillgängliga för obehöriga användare.
(202)En förteckning över alla informationstillgångar ska föras och krav fastställas för skyddet av dessa tillgångar som är förenliga med riskanalys. I tillitsmodellen för C-ITS-stationers CPS kommer planen och processerna för att uppfylla dessa krav att beskrivas.
5.1.7.Bortskaffande av avfall
(203)tillitsmodellen för C-ITS-stationer (rot-CA, CPOC, TLM, EA och AA) ska genomföra förfaranden för säkert och permanent bortskaffande av avfall (papper, medier eller annat avfall) för att förhindra obehörig användning av, tillgång till eller upptäckt av avfall som innehåller konfidentiell/privat information. Alla medier som används för lagring av känslig information, såsom nycklar, aktiveringsdata eller -filer, ska förstöras innan de bortskaffas. I tillitsmodellen för C-ITS-stationers CPS kommer planen och processerna för att uppfylla dessa krav att beskrivas.
5.1.8.Säkerhetskopia på annan plats
5.1.8.1.Rot-CA, CPOC och TLM
(204)Fullständiga säkerhetskopior av rot-CA-, CPOC- och TLM-komponenter, som är tillräckliga för återställa systemet efter ett sammanbrott, ska göras off-line efter rotcertifikatutfärdare efter införande av rot-CA, CPOC och TLM och efter generering av varje nytt nyckelpar. Säkerhetskopior av väsentlig affärsinformation (nyckelpar och CLR) och programvara ska göras regelbundet. Lämpliga kopieringsmöjligheter ska tillhandahållas för att säkerställa att all väsentlig affärsinformation och programvara kan återvinnas efter ett sammanbrott eller mediefel. Metoderna för säkerhetskopiering i individuella system ska testas regelbundet för att se till att de uppfyller kraven i kontinuitetsplanen. Minst en fullständig säkerhetskopia ska lagras på annan plats (haverihantering). Säkerhetskopian ska lagras på en plats med fysiska kontroller och förfarandekontroller i proportion till dem som tillämpas i det operativa PKI-systemet.
(205)Säkerhetskopior ska omfattas av samma krav som operativa data. Data i säkerhetskopior ska krypteras och lagras på annan plats. I händelse av fullständig förlust av data ska den information som krävs för att rot-CA, CPOC och TLM åter ska fungera i sin helhet återhämtats från data i säkerhetskopian.
(206)Privat nyckelmaterial hos rot-CA, CPOC och TLM ska inte säkerhetskopieras med hjälp av standardmetoder för säkerhetskopiering, utan med hjälp av krypteringsmodulens funktioner för säkerhetskopiering.
5.1.8.2.EA/AA
(207)De förfaranden som beskrivs i avsnitt 5.1.8.1 gäller detta avsnitt.
5.2.Förfarandekontroller
I detta avsnitt beskrivs kraven för funktioner, arbetsuppgifter och identifiering av personal.
5.2.1.Betrodda funktioner
(208)Anställda, uppdragstagare och konsulter som ges betrodda funktioner ska betraktas som ”betrodda personer”. Personer som ansöker om att bli betrodda personer genom att bli betrodda ska uppfylla kraven i denna certifikatpolicy.
(209)Betrodda personer har tillgång till eller kontrollerar autentiserings- eller krypteringsoperationer som väsentligt kan påverka:
·Valideringen av informationen i certifikatansökningarna.
·Godtagande, förkastande eller annan behandling av certifikatansökningar, begäranden om återkallande eller begäranden om förnyelse.
·Utfärdande eller återkallande av certifikat, inklusive personal som har tillgång till begränsade delar av dess arkiv eller hanteringen av abonnentinformation eller begäranden från abonnenter.
(210)Betrodda funktioner kan t.ex. vara följande:
·Kundtjänst
·Systemadministration.
·Särskilda tekniska uppgifter
·Chefer med ansvar för förvaltningen av infrastrukturell tillförlitlighet.
(211)CA ska tillhandahålla tydliga beskrivningar av alla betrodda funktioner i sin CPS.
5.2.2.Antal personer som krävs per uppgift
(212)Element i tillitsmodellen för C-ITS-stationer ska inrätta, upprätthålla och tillämpa stränga kontrollförfaranden för att säkerställa att åtskillnaden av arbetsuppgifter på grundval av betrodda funktioner och säkerställa att flera betrodda personer är skyldiga att utföra känsliga uppgifter. Elementen i tillitsmodellen för C-ITS-stationer (TLM, CPOC, rot-CA, EA och AA) bör vara förenliga med [4] och med kraven i följande punkter.
(213)Strategier och kontrollförfaranden finns för att säkerställa åtskillnad av arbetsuppgifter utifrån de anställdas ansvarsområden. De känsligaste uppgifterna, såsom tillgång till och förvaltning av CA:s krypteringsmaskinvara (HSM) och tillhörande nyckelmaterial, ska kräva godkännande av flera betrodda personer.
(214)Dessa interna kontrollförfaranden ska utformas för att säkerställa att minst två betrodda personer som är skyldiga att ha fysisk eller logisk tillgång till apparaten. Begränsningar av åtkomsten till CA:s maskinvara för kryptering måste tillämpas strikt av flera betrodda personer under hela dess livscykel, från inkommande mottagande och inspektion till slutlig logisk och/eller fysisk destruktion. När en modul aktiveras med driftsnycklar, ska ytterligare åtkomstkontroller åberopas för att upprätthålla delad kontroll över både fysiska och logiska tillgången till apparaten.
5.2.3.Identifiering och autentisering för respektive funktion
(215)Alla personer som tilldelats en funktion, på det sätt som beskrivs i föreliggande CP, identifieras och autentiseras för att säkerställa att de i sin funktion kan utföra sina PKI-uppgifter.
(216)Element i tillitsmodellen för C-ITS-stationer ska verifiera identiteten för all personal som vill bli betrodda personer och bekräfta att de är godkända innan de
·förses med åtkomstutrustning och beviljas tillgång till de aktuella anläggningarna,
·får elektroniska behörighetsuppgifter som ger dem tillgång till och utföra särskilda uppgifter i CA-system.
(217)I CPS beskrivs de metoder som använts för att identifiera och autentisera enskilda personer.
5.2.4.Funktioner som kräver separation av arbetsuppgifter
(218)Roller som kräver åtskillnad mellan arbetsuppgifterna omfattar (men är inte begränsade till):
·Godkännande, avslag och återkallande av ansökningar och annan behandling av ansökningar om CA-certifikat.
·Generering, utställande och destruktion av CA-certifikat.
(219)Åtskillnad mellan arbetsuppgifter kan verkställas med hjälp av PKI-utrustning, förfaranden eller både och. Ingen enskild ska tilldelas mer än en identitet utan särskilt godkännande från den behöriga myndigheten.
(220)Den del av rot-CA och CA som berörs av certifikatgenerering och hantering av återkallande ska vara oberoende av andra organisationer för sina beslut om inrättande, finansiering, upprätthållande och upphävande av tjänster i enlighet med tillämplig certifikatpolicy. I synnerhet ska dess högre verkställande chefer, högre tjänstemän och personal i betrodda funktioner vara fria från alla kommersiella, ekonomiska och andra påtryckningar som negativt kan påverka tilliten till de tjänster som tillhandahålls.
(221)EA och AA som betjänar mobila C-ITS-stationer ska vara separata operativa enheter, med IT-infrastruktur och enheter för IT-administration separerade från varandra. I enlighet med GDPR ska EA och AA inte utbyta personuppgifter, förutom vid gokännande av begäranden om AT. De ska överföra data som rör godkännande av begäranden om AT enbart med användning av valideringsprotokollet för godkännande från [1] över ett särskilt avsett säkert gränssnitt. Andra protokoll får användas, under förutsättning att [1] genomförs.
(222)De loggfiler som lagras av EA och AA får användas endast för att återkalla felfungerande EC på grundval av AT i uppfångade CAM/DENM-meddelanden som sänts med ont uppsåt. När det fastställts att ett CAM/DENM-meddelande skickats med ont uppsåt, kommer AA att kontrollera AT:s verifieringsnyckel i sin utfärdandelogg och lämna in en begäran om återkallande till EA med den krypterade signaturen under EC:s privata nyckel som användes vid utfärdandet av AT. Alla loggfiler måste vara tillräckligt skyddade mot åtkomst av obehöriga parter och får inte delas med andra enheter eller instanser.
Märk: Vid tidpunkten för utarbetandet av denna version av CP definieras inte den felfungerande funktionen. Det finns planerar på att eventuellt ange den felfungerande funktionen i samband med framtida översyner av policyn.
5.3.Kontroll av personal
5.3.1.Kvalifikationer, erfarenheter och säkerhetskrav
(223)Element i tillitsmodellen för C-ITS-stationer har anställt tillräckligt med personal med sakkunskap, erfarenhet och kvalifikationer som är nödvändiga för att utföra befintliga funktioner och tjänster. PKI-personal uppfyller dessa krav genom formell utbildning och behörighet, faktisk erfarenhet eller en kombination av båda två. Betrodda funktioner och ansvar, på det sätt som beskrivs i CPS, är dokumenterade i arbetsbeskrivningarna och tydligt identifierade. PKI-personal som är anställd av underleverantörer har arbetsbeskrivningar som innebär att arbetsuppgifter och rättigheter hålls isär. Vidare avgörs tjänstens känslighet på grundval av arbetsuppgifter och åtkomstnivåer, säkerhetsprövningen, och de anställdas utbildning och medvetenhet.
5.3.2.Säkerhetsprövningar
(224)Element i tillitsmodellen för C-ITS-stationer ska genomföra säkerhetsprövningen av personal som vill bli betrodda personer. Säkerhetsprövningarna ska upprepas för personal med betrodda tjänster minst vart femte år.
(225)De faktorer som avslöjas i samband med en säkerhetsprövning och som kan anses utgöra skäl för att underkänna kandidater för betrodda tjänster eller för att vidta åtgärder mot en betrodd person inbegriper (men är inte begränsade till) följande:
·Felaktiga uppgifter från kandidaten eller den betrodda personen.
·Mycket ogynnsamma eller otillförlitliga yrkesreferenser.
·Vissa brottmålsdomar.
·Tecken på bristande ekonomiskt ansvar.
(226)Rapporter som innehåller sådan information ska utvärderas av personalavdelningen som ska vidta rimliga åtgärder mot bakgrund av typ, omfattning och frekvens av de beteenden som avslöjats i samband med säkerhetsprövningen. Detta kan vara åtgärder som till och med leder till att anställningserbjudanden till kandidater till betrodda tjänster dras tillbaka eller att anställda betrodda personer avskedas. Användningen av information som avslöjtas i en säkerhetsprövning som en grundval för en sådan åtgärd ska omfattas av tillämplig lagstiftning.
(227)Säkerhetsprövningen av personer som vill bli en betrodd person inbegriper, men är inte begränsad till:
·Bekräftelse av tidigare anställning.
·En kontroll av yrkesreferenser som omfattar anställningar under en period av minst fem år.
·En bekräftelse av vederbörandes högsta eller mest relevanta examen.
·Sökning i belastningsregistret.
5.3.3.Utbildningskrav
(228)Element i tillitsmodellen för C-ITS-stationer ska förse sin personal med nödvändig fortbildning för att den kompetent och nöjaktigt ska kunna fullgöra sina skyldigheter med avseende på CA-insatser.
(229)Fortbildningsprogramen ska regelbundet ses över och kurserna ska behandla frågor som är relevanta för funktioner som utförs av personalen.
(230)Utbildningsprogram ska behandla frågor som är relevanta för den särskilda miljö som praktikanten verkar i, bland annat:
·Säkerhetsprinciper och -mekanismer hos elementen i tillitsmodellen för C-ITS-stationer.
·Maskinvaru- och programvaruversioner som används.
·Alla uppgifter som personen förväntas utföra samt interna och externa rapporteringsprocesser och -sekvenser.
·Affärsprocesser och arbetsflöden med koppling till PKI.
·Rapportering om och hantering av incidenter och påverkan.
·Förfaranden för haverihantering och driftskontinuitet.
·Tillräckliga it-kunskaper.
5.3.4.Omskolning – frekvens och krav
(231)De personer som tilldelas betrodda funktioner är skyldiga att uppdatera de kunskaper som de fått genom fortbildning inom ramen för ett fortbildningsprogram. Utbildningen ska upprepas när så anses nödvändigt och minst vartannat år.
(232)Elementen i tillitsmodellen för C-ITS-stationer ska förse sin personal med fortbildning och uppdatering i den omfattning och med den frekvens som är nödvändig för att säkerställa att den upprätthåller den kompetensnivå som krävs för att fullgöra arbetsuppgifterna kompetent och nöjaktigt.
(233)Personer i betrodda funktioner ska, i tillämplig grad, vara medvetna om förändringar i PKI-operationerna. Varje betydande förändring av operationerna ska åtföljas av en (medvetandegörande) fortbildningsplan och genomförandet av den planen ska dokumenteras.
5.3.5.Arbetsrotation – frekvens och sekvens
(234)Ingen föreskrift så länge de tekniska färdigheterna, erfarenheterna och åtkomsträttigheterna är garanterade. Administratörerna för elementen i tillitsmodellen för C-ITS-stationer ska säkerställa att ändringarna inte påverkar systemets säkerhet.
5.3.6.Påföljder för otillåtna åtgärder
(235)Varje element i tillitsmodellen för C-ITS-stationer måste utveckla ett formellt disciplinärt förfarande för att säkerställa att otillåtna åtgärder leder till lämpliga påföljder. I allvarliga fall måste den tilldelade funktionen och motsvarande rättigheter återkallas.
5.3.7.Krav på oberoende uppdragstagare
(236)Element i tillitsmodellen för C-ITS-stationer får tillåta oberoende uppdragstagare eller konsulter att bli betrodda personer endast i den mån som detta krävs för att tillgodose tydligt definierade utkontrakteringsrelationer och enheten har tillit till uppdragstagarna eller konsulterna i samma grad som om de vore anställda och att de uppfyller de krav som gäller anställda.
(237)Annars ska oberoende uppdragstagare och konsulter ha tillgång till säkra anläggningar (C-ITS PKI) endast om de ledsagas av och direkt övervakas av betrodda personer.
5.3.8.Dokumentation som personalen förses med
(238)tillitsmodellen för C-ITS-stationer ska förse sin personal med nödvändig fortbildning och den dokumentation som behövs för att arbetsuppgifterna ska kunna utföras kompetent och nöjaktigt.
5.4.Revisionsloggning
(239)I detta avsnitt fastställs kraven vad gäller de typer av händelser som ska registreras och förvaltningen av revisionsloggarna.
5.4.1.Typ av händelse som ska registreras och rapporteras av respektive CA
(240)En företrädare ska regelbundet se över CA-loggar, händelser och förfaranden.
(241)tillitsmodellen för C-ITS-stationer ska (om tillämpligt) registrera följande typer av revisionshändelser:
·Tillträde till den fysiska anläggningen – fysiska personers tillträde till anläggningarna kommer att dokumenteras att begärandena om tillträde lagras med hjälp av smarta kort. En händelse kommer att skapas varje gång en registrering skapas.
·Förvaltning av betrodda funktioner – ändringar av definitionen av och nivån på de olika funktioner som ska registreras, inklusive ändring av funktionernas attribut. En händelse kommer att skapas varje gång en registrering skapas.
·Logisk åtkomst – en händelse kommer att genereras när en enhet (t.ex. ett program) har tillträde till känsliga områden (t.ex. nätverk och servrar).
·Förvaltning av säkerhetskopiering – en händelse skapas varje gång en säkerhetskopiering slutförs, med eller utan framgång.
·Loggförvaltning – loggar kommer att lagras. En händelse skapas när loggen överstiger en viss storlek.
·Data från autentiseringsförfarandet för abonnenter och element i tillitsmodellen för C-ITS-stationer – händelser kommer att genereras för varje begäran om autentisering från abonnenter och element i tillitsmodellen för C-ITS-stationer.
·Godtagande och förkastande av certifikatbegäranden, inklusive skapande och förnyelse av certifikat – en händelse kommer att genereras periodiskt med en förteckning över godkända och förkastade certifikatbegäranden de senaste sju dagarna.
·Registrering av tillverkare – en händelse kommer att skapas när tillverkaren registrerats.
·Registrering av C-ITS-stationer – en händelse kommer att skapas när en C-ITS-station registrerats.
·HSM-förvaltning – en händelse kommer att skapas när ett överträdelse mot HSM-säkerheten registreras.
·IT- och nätverksförvaltning, när de tillhör PKI-systemen – en händelse kommer att skapas när en PKI-server stängs av eller startas om.
·Säkerhetsförvaltning (lyckade och misslyckade försök att få tillträde till PKI-systemet, åtgärder som utförts med avseende på PKI och säkerhetssystemet, ändrade säkerhetsprofiler, systemavbrott, maskinvarufel och andra avvikelser, brandväggs- och routerverksamhet. Inpassager till och utpassager från PKI-anläggningarna).
·Händelserelaterade data kommer att lagras i minst fem år, såvida inga andra nationella regler är tillämpliga.
(242)Enligt GDPR ska revisionsloggarna inte medge åtkomst till data om integritetsrelaterade data som rör C-ITS-stationens privata fordon.
(243)Revisionsloggarna ska så långt möjligt samlas in automatiskt. Om detta inte är möjligt ska en loggbok, ett pappersformulär eller andra fysiska lösningar användas. Alla loggar över säkerhetsrevision, både elektroniska och icke-elektroniska, ska sparas kunna tas fram vid revisioner av regelefterlevnad.
(244)Varje händelse som rör certifikatets livscykel ska loggas på ett sådant sätt att den kan tillskrivas den person som genomfört den. Alla uppgifter som rör en personlig identitet ska krypteras och skyddas mot obehörig åtkomst.
(245)Varje revisionsgranskning ska åtminstone innehålla följande (automatiskt eller manuellt registrerat för varje händelse som kan bli föremål för revision):
·Typ av händelse (från listan ovan).
·Betrott datum och klockslag för den inträffade händelsen.
·Resultat av händelsen – om tillämpligt, framgångsrik eller misslyckad.
·Enhetens identitet och/eller aktörer som orsakat händelsen, om tillämpligt.
·Identitet för den enhet som hädelsen avser.
5.4.2.Frekvens för bearbetningen av loggen
(246)Revisionsloggarna ska ses över till följd av varningar som grundar sig på avvikelser och incidenter inom CA-systemet och därutöver regelbundet varje år.
(247)Bearbetningen av revisionsloggen ska bestå av en granskning av revisionsloggar och dokumentation av skälen till alla betydande händelser i en sammanfattning av revisionsloggen. Granskningen av revisionsloggen ska omfatta en verifiering för att visa att loggen inte har manipulerats, en inspektion av alla loggdata och en undersökning av alla varningar eller avvikelser i loggarna. Åtgärder som vidtas på grundval av granskningen av revisionsloggen ska dokumenteras.
(248)Revisionsloggen ska arkiveras minst en gång i veckan. En administratör ska arkivera det manuellt om det fria diskutrymmet för revisionsloggen ligger under den förväntade mängden data från revisionsloggen den veckan.
5.4.3.Lagringstid för loggar
(249)Loggregister rörande certifikatets livscykel ska lagras i minst fem år efter det att motsvarande certifikat löpt ut.
5.4.4.Skydd av revisionsloggar
(250)Revisionsloggens integritet och sekretess garanteras av en funktionsbaserad mekanism för åtkomstkontroll. Endast administratörer har tillgång till loggar över internrevision. Revisionsloggar som avser certifikatens livscykel kan också nås av användare med lämplig behörighet från en webbsida med användarinloggning. Åtkomst måste beviljas med fleranvändarinloggning (minst två användare) och autentisering på minst två nivåer. Det måste vara tekniskt säkerställt att användarna inte kan få tillgång till sina egna loggfiler.
(251)Varje loggpost ska signeras med hjälp av nyckelmaterial från HSM.
(252)Händelseloggar som innehåller information som möjliggör identifiering av person, t.ex. ett privat fordon, är kodade på ett sådant sätt att endast behöriga personer kan läsa dem.
(253)Händelser loggas på ett sådant sätt att de inte lätt kan spåras eller förstöras (utom för överföring till långlagringsmedier) inom den period för vilken loggarna måste upprätthållas.
(254)Händelseloggar skyddas på ett sådant sätt att de förblir läsbara under hela lagringsperioden.
5.4.5.Säkerhetskopiering av revisionsloggar
(255)Revisionsloggar och sammanfattningar säkerhetskopieras av företagets kopieringssystem, under överinseende av behöriga betrodda funktioner, åtskilt från genereringen av deras källkomponent. Säkerhetskopior av revisionsloggen är skyddade med samma tillförlitlighetsnivå som gäller originalloggarna.
5.4.6.Revisionsinsamlingssystem (internt eller externt)
(256)Den utrustning som elementen i tillitsmodellen för C-ITS-stationer förfogar över ska aktivera revisionsprocessen när systemet startas och avaktivera först när systemet stängs av. Om revisionsprocesserna inte är tillgängliga, ska elementen i tillitsmodellen för C-ITS-stationer upphöra med sin verksamhet.
(257)Vid slutet av varje driftsperiod och vid certifikatens nyckelförnyelse bör utrustningens kollektiva status rapporteras till driftchefen och driftansvarigt organ vid respektive PKI-element.
5.4.7.Anmälan till den registrerade som ligger bakom händelsen
(258)Om en händelse loggas av revisionsinsamlingssystemet är det säkerställt att händelsen är knuten till en betrodd funktion.
5.4.8.Sårbarhetsbedömning
(259)Funktionen med ansvar revision och funktioner med ansvar för att förverkliga PKI-systemets drift inom tillitsmodellen för C-ITS-stationer förklarar alla betydelsefulla händelser i en sammanfattning av revisionsloggen. Sådana granskningar innefattar kontroller av att loggen inte har manipulerats och att det inte förekommit några avbrott eller andra förluster av revisionsdata, samt därefter en översiktlig inspektion av alla loggposter, med en mer ingående undersökning av varningar eller avvikelser i loggarna. Åtgärder som vidtagits till följd av dessa granskningar ska dokumenteras.
(260)Informationsflöden i tillitsmodellen för C-ITS-stationer ska:
·Införa organisatorisk och/eller teknisk upptäckt och förebyggande kontroller under överinseende av element i tillitsmodellen för C-ITS-stationer för att skydda PKI-system mot virus och sabotageprogram.
·Dokumentera och följa en process för sårbarhetskorrigering med inriktning på hur sårbarhet identifieras, kontrolleras och åtgärdas.
·Genomgå eller utföra en sårbarhetskontroll
·efter eventuella ändringar av systemet eller nätet som element i tillitsmodellen för C-ITS-stationer bedömt vara nödvändiga för PKI komponenter, och
·minst en gång i månaden, på offentliga och privata IP-adresser identifierade av CA, CPOC i egenskap av PKI:s system.
·Genomföra ett genomträngningstest på PKI:s system minst en gång om året och efter uppgraderingar eller förändringar av infrastruktur som element i tillitsmodellen för C-ITS-stationer bedömt som betydande för CA:s PKI-komponent.
·För on-linesystemens vidkommande dokumentera belägg för att varje sårbarhetskontroll och genomträngningstest har utförts av en person eller enhet (eller grupp i denna enhet) med erforderliga behörigheter, verktyg, färdigheter, etiska regler och det oberoende som krävs för att utföra ett tillförlitligt sårbarhets eller genomträngningstest.
·Spåra och åtgärda svagheter i enlighet med företagets policy för it-säkerhet och riskreduktionsmetoder.
5.5.Arkivering av dokumentation
5.5.1.Typer av dokumentation som arkiveras
(261)Element i tillitsmodellen för C-ITS-stationer ska arkivera register som är så detaljerade att det kan fastställas om en signatur är giltig och om PKI fungerar korrekt. Åtminstone ska följande dokumentation om PKI-händelser (i förekommande fall) arkiveras:
·Inpasseringslogg från fysiska anläggningar tillhörande element i tillitsmodellen för C-ITS-stationer (minst ett år).
·Logg för förvaltning av betrodda funktioner för element i tillitsmodellen för C-ITS-stationer (minst tio år).
·IT-åtkomstlogg element i tillitsmodellen för C-ITS-stationer (minst fem år).
·Logg för skapande och destruktion av CA-nyckel (minst fem år) (inte för TLM och CPOC).
·Logg för skapande, användning och destruktion av certifikat (minst två år).
·Logg för begäranden om CPA (minst två år).
·Logg för förvaltning av aktiveringsdata för element i tillitsmodellen för C-ITS-stationer (minst fem år).
·IT- och nätverkslogg för element i tillitsmodellen för C-ITS-stationer (minst fem år).
·PKI-dokumentation för element i tillitsmodellen för C-ITS-stationer (minst fem år).
·Säkerhetsincidents- och revisionsrapport för element i tillitsmodellen för C-ITS-stationer (minst tio år).
·Systemutrustning, programvara och konfigurering (minst fem år).
(262)Element i tillitsmodellen för C-ITS-stationer ska bevara följande dokumentation rörande begäranden om certifikat och verifieringen av dessa samt alla TLM, rot-CA och CA-certifikat, och spärrlistor minst sju år efter varje certifikat som grundar sig på denna dokumentation upphör att gälla:
·Revisionsdokumentation om PKI som bevaras av element i tillitsmodellen för C-ITS-stationer.
·CPS-dokument som bevaras av element i tillitsmodellen för C-ITS-stationer.
·Avtal mellan CPA och andra enheter som bevaras av element i tillitsmodell.
·Certifikat (eller annan återkallandeinformation) som bevaras av CA och TLM.
·Dokumentation om begäranden om certifikat i rot-CA-system (ej tillämpligt på TLM).
·Andra data eller ansökningar som räcker till för att kontrollera arkivinnehåll.
·Allt arbete med anknytning till eller från elementen i tillitsmodellen för C-ITS-stationer och revisorer som kontrollerar efterlevnaden av regelverket.
(263)CA-enheten ska bevara alla dokumentation rörande begäranden om certifikat och verifieringen av dessa, samt alla certifikat och återkallanden av dessa, minst sju år efter varje certifikat som grundar sig på denna dokumentation upphör att gälla:
5.5.2.Lagringstiden för arkivmaterial
(264)Utan att det påverkar tillämpningen av bestämmelser som kräver en längre arkiveringsperiod ska element i tillitsmodellen för C-ITS-stationer spara all dokumentation i minst fem år efter det att motsvarande certifikat har löpt ut.
5.5.3.Skydd av arkivmaterial
(265)Elementen i tillitsmodellen för C-ITS-stationer ska lagra dokumentationen för arkivet i ett säkert förvaringsutrymme, separerat från CA-utrustningen, med fysiska säkerhetskontroller och kontroller av förfarandet som motsvarar eller är bättre än i fråga om PKI.
(266)Arkivet ska genom lagring i ett tillförlitligt system vara skyddat mot obehörig insyn, ändring, radering eller annan manipulation.
(267)De medier som innehåller arkiverade data och de tillämpningar som krävs för att behandla dem ska bevaras för att säkerställa att de kan nås under den period som fastställs i föreliggande CP.
5.5.4.System för arkivering och lagring
(268)Elementen i tillitsmodellen för C-ITS-stationer ska säkerhetskopiera sådana uppgifter dagligen och göra fullständiga säkerhetskopior en gång i veckan. Kopior av dokumentation på papper ska sparas i en säker anläggning på annan plats.
5.5.5.Krav på tidsstämpling av dokumentationen
(269)Element i tillitsmodellen för C-ITS-stationer som förvaltar en databas över återkallanden ska se till att dokumentationen innehåller uppgifter om tidpunkt och datum för skapandet av återkallandedokumentationen. Informationens integritet kommer att skyddas med hjälp av krypteringsbaserade lösningar.
5.5.6.Revisionsinsamlingssystem (internt eller externt)
(270)Systemet för arkivering är internt.
5.5.7.Förfaranden för att erhålla och kontrollera arkivinformation
(271)Samtliga element i tillitsmodellen för C-ITS-stationer ska endast ge auktoriserade betrodda auktoriserade personer tillgång till arkiven. Rot-CA ska beskriva förfarandena för att skapa, kontrollera, förpacka, överföra och lagra information i CPS.
(272)Rot-CA och CA-utrustningen ska kontrollera informationens riktighet innan den återställs.
5.6.Nyckelomställning för element i tillitsmodellen för C-ITS-stationer
(273)Följande element i tillitsmodellen för C-ITS-stationer omfattas av särskilda krav för sin nyckelomställning: TLM-, Rot-CA-/EA-/AA-certifikat.
5.6.1.TLM
(274)TLM ska radera sin privata nyckel när certifikatet för dem löper ut. Den ska generera ett nytt nyckelpar och motsvarande TLM-certifikat före avaktiveringen av befintlig giltig privat nyckel. Den ska se till att det nya (länk-)certifikatet förs upp i ECTL i tid så att de kan delas ut till samtliga C-ITS-stationer innan det blir giltigt. Länkcertifikatet och nya egensignerade certifikatet överförs till CPOC.
5.6.2.Rot-CA
(275)Rot-CA ska avaktivera och radera den befintliga privata nyckeln (inklusive säkerhetskopor av nycklar), så att den inte kommer att utfärda EA/AA-certifikat med en giltighetstid som sträcker sig längre än giltighetstiden för rot-CA-certifikatet.
(276)Rot-CA ska generera ett nytt nyckelpar och motsvarande rot-CA och länkcertifikat före avaktiveringen av befintlig privat nyckel (inklusive säkerhetskopior av nycklar) och skicka den till TLM för uppförande i ECTL. Giltighetstiden för det nya rot-CA-certifikatet ska inledas i och med den planerade avaktiveringen av den befintliga privata nyckeln. Rot-CA ska se till att det nya certifikatet förs upp i ECTL i tid så att de kan delas ut till samtliga C-ITS-stationer innan det blir giltigt.
(277)Rot-CA ska aktivera den nya privata nyckeln när motsvarande rot-CA-certifikat blir giltigt.
5.6.3.EA-/AA-certifikat
(278)EA/AA ska avaktivera och befintlig privat nyckel, så att den inte kommer att utfärda EC/AT med en giltighetstid som sträcker sig längre än giltighetstiden för EA/AA-certifikatet.
(279)EA/AA ska generera ett nytt nyckelpar och begära ett motsvarande EA/AA-certifikat före avaktiveringen av befintlig giltig privat nyckel. Giltighetstiden för det nya EA/AA-certifikatet ska inledas i och med den planerade avaktiveringen av den befintliga privata nyckeln. EA/AA ska se till att det nya certifikatet offentliggöras i tid så att de kan delas ut till samtliga C-ITS-stationer innan det blir giltigt.
(280)EA/AA ska aktivera den nya privata nyckeln när motsvarande EA/AA blir giltigt.
5.6.4.Revisor
Bestämmelser saknas
5.7.Hantering av påverkan och haverier
5.7.1.Hantering av incidenter och påverkan
(281)Elementen i tillitsmodellen för C-ITS-stationer ska fortlöpande övervaka sin utrustning för att upptäcka eventuella försök till dataintrång eller andra former av påverkan. I sådana fall ska de undersöka och fastställa skadans art och grad.
(282)Om personal med ansvarar för förvaltningen av rot-CA eller TLM upptäcker ett eventuellt försök till dataintrång eller annan form av påverkan, ska skadans art och grad fastställas. Om den privata nyckeln har påverkats, ska rot-CA-certifikatet återkallas. CPA:s experter på IT-säkerhet ska bedöma omfattningen av den eventuella skadan för att avgöra om PKI måste återuppbyggas, om endast vissa certifikat behöver återkallas och/eller om PKI har påverkats. Vidare avgör CPA vilka tjänster som ska upprätthållas (återkallande och information om certifikatets) och hur, i enlighet med CPA:s övergripande kontinuitetsplan.
(283)Incidenter, påverkan och kontinuitet omfattas av CPS, som även kan åberopa andra företagsresurser och planer för sitt genomförande.
(284)Om personal med ansvarar för förvaltningen av EA/AA/CPOC upptäcker ett eventuellt försök till dataintrång eller annan form av påverkan, ska skadans art och grad fastställas. Personal med ansvar för förvaltningen av CA eller CPOC-enheten ska bedöma omfattningen av den eventuella skadan för att avgöra om PKI-komponenten måste återuppbyggas, om endast vissa certifikat behöver återkallas och/eller om PKI-komponenten har påverkats. Vidare avgör den underordnade CA-enheten vilka tjänster som ska upprätthållas och hur, i enlighet med CPA:s övergripande kontinuitetsplan. Om en PKI-komponent påverkas, ska CA-enheten underrätta sin egen rot-CA och TLM genom CPOC.
(285)Incidenter, påverkan och kontinuitet omfattas av rot-CA:s eller TLM:s CPS eller andra relevanta dokument i fall av CPOC, som också kan åberopa andra företagsresurser och planer för sitt genomförande.
(286)Rot-CA och CA ska, med angivande av exakta uppgifter om konsekvenserna av incidenten, underrätta varje företrädare för en medlemsstat och rot-CA med vilka de har ett avtal inom ramen för C-ITS för att de ska kunna tillämpa sina egna planer för incidentshantering.
5.7.2.Korruption av dataresurser, programvara och/eller data
(287)Vid upptäckt av ett haveri som hindrar ett element i tillitsmodellen för C-ITS-stationer ifrån att fungera ordentligt, ska detta element upphöra med sin verksamhet och undersöka om den privata nyckeln har påverkats (detta gäller inte CPOC). Defekt maskinvara ska bytas ut så snabbt som möjligt och de förfaranden som beskrivs i avsnitten 5.7.3 och 5.7.4 ska tillämpas.
(288)Korruption av dataresurser, programvara och/eller data ska rapporteras till rot-CA inom 24 timmar för den högsta risknivån. Alla andra händelser måste tas med i den periodiska rapporten från rot-CA, EA och AA.
5.7.3.Förfaranden för hantering av påverkan på enheters privata nyckel
(289)Om en rot-CA:s privata nyckel påverkas, försvinner, förstörts eller misstänks ha utsatts för påverkan ska rot-CA göra följande:
·Upphöra med verksamheten.
·Sätta igång planen för hantering av haveri och migration.
·Återkalla sitt rot-CA-certifikat.
·Undersöka det problem med nyckeln som gav upphov till påverkan och underrätta CPA, som kommer att återkalla certifikatet genom TLM (se avsnitt 7).
·Underrätta alla abonnenter med vilka avtal har slutits.
(290)Om en EA/AA:s nyckel påverkas, försvinner, förstörts eller misstänks ha utsatts för påverkan, ska EA/AA göra följande:
·Upphöra med verksamheten.
·Återkalla sitt eget certifikat.
·Undersöka problemet med nyckeln och meddela rotcertifikatutfärdare.
·Underrätta abonnenter med vilka avtal har slutits.
(291)Om en C-ITS-stations-, EC- eller AT-nyckel påverkas, försvinner, förstörts eller misstänks ha utsatts för påverkan, ska den EA/AA hos vilken C-ITS-stationen är abonnent göra följande:
·Återkalla den EC som tillhör berörd ITS.
·Undersöka problemet med nyckeln och meddela rotcertifikatutfärdare.
·Underrätta abonnenter med vilka avtal har slutits.
(292)Om någon av de algoritmer eller tillhörande parametrar som används av rot-CA och/eller CA eller C-ITS stationer inte längre räcker till för sin återstående avsedda användning, ska CPA (med en rekommendation från krypteringsexperter) underrätta den rot-CA-enhet med vilken den har slutit ett avtal och ändra de algoritmer som används. (För närmare uppgifter, se avsnitt 6 och de CPS som tillhör rot-CA och den underordade CA).
5.7.4.Möjligheterna till kontinuitet efter ett haveri
(293)De element i tillitsmodellen för C-ITS-stationer som driver säkra anläggningar för CA-operationer ska utveckla, testa, underhålla och tillämpa en plan för haverihantering så att effekterna av naturkatastrofer eller katastrofer orsakade av människor kan mildras. En sådan plan omfattar återställande av informationssystemtjänster och centrala funktioner i verksamheten.
(294)Efter en incident med en viss risknivå måste CA som utsatts för påverkan revideras på nytt av en ackrediterad PKI-revisor (se avsnitt 8).
(295)Om CA som utsatts för påverkan inte kan fungera längre (t.ex. efter en allvarlig incident), måste en migrationsplan utarbetas för överföringen av dess funktioner till en annan rot-CA. Åtminstone ska EU-rot-CA kunna stödja migrationsplanen. Den CA som utsatts för påverkan ska upphöra med sin verksamhet.
(296)Rot-CA ska inbegripa planen för haverihantering och migrationsplanen i sitt CPS.
5.8.Avslutning och överföring
5.8.1.TLM
(297)TLM ska inte avsluta driften, men en enhet som förvaltar TLM får ta över ett annan enhet.
(298)Vid byte av förvaltningsenhet
·ska den begära CPA:s godkännande för en ändring av TLM-förvaltningen från den gamla enheten till den nya.
·ska CPA godkänna ändringen av TLM-förvaltningen.
·alla revisionsloggar och arkiverad dokumentation överföras från den gamla förvaltningsenheten till den nya.
5.8.2.Rot-CA
(299)Rot-CA får inte avsluta/starta driften utan att ha upprättat en övergångsplan (införd i relevant CPS) som garanterar alla abonnenter löpande drift.
(300)Om en rot-CA avslutar sin tjänst, ska rot-CA
·meddela CPA.
·meddela TLM så att den kan radera rot-CA-certifikatet från ECTL.
·återkalla motsvarande rot-CA genom att utfärda en CRL som det ingår i.
·underrätta de rot-CA med vilka den har ett avtal om förnyelse av EA/AA certifikat.
·förstöra CA:s privata nyckel.
·överlämna den senaste informationen om återkallelsestatus (CRL signerad av rot-CA) för den förlitande parten, som tydligt anger att det är den senaste återkallandeinformationen.
·arkivera alla loggar och annan dokumentation innan PKI avslutas.
·överföra arkiverad dokumentation till behörig instans.
(301)Den TLM ska radera motsvarande rot-CA-certifikat från ECTL.
5.8.3.EA/AA
(302)I händelse av att EA-/AA- tjänsten avslutas ska EA-/AA-enheten meddela detta nedstängningen. Rot-CA får inte avsluta/starta driften utan att ha upprättat en övergångsplan (införd i relevant CPS) som garanterar alla abonnenter fortsatt drift. EA/AA ska göra följande:
·Underrätta rot-CA genom en rekommenderad skrivelse.
·Förstöra CA:s privata nyckel.
·Överföra sin databas till den enhet som utsetts av rot-CA.
·Avbryta utfärdandet av certifikat.
·Under överföringen av databasen, och till dess att basen är fullt fungerande i en ny enhet, bibehålla möjligheten att godkänna begäranden från berörd myndighet med ansvar för integritetsfrågor.
·Om en underordnad CA har påverkats, ska rot-CA återkalla underordnad CA och utfärda en ny CRL med en förteckning över återkallade underordnade CA.
·Arkivera alla loggar och annan dokumentation innan PKI avslutas.
·Överföra arkiverad dokumentation till en enhet som utsetts av rot-CA.
(303)Om en CA upphör med sina tjänster, ska CA ansvara för bevarandet av all relevant dokumentation om behoven av CA- och PKI-komponenter.
6.Kontroller av den tekniska säkerheten
6.1.Generering och installation av nyckelpar
6.1.1.TLM, rot-CA, EA och AA
(304)Genereringen av nyckelpar ska uppfylla följande krav:
·Varje deltagare ska kunna generera sina egna nyckelpar i enlighet med vad som anges i avsnitten 6.1.4 och 6.1.5.
·Processen för att härleda symmetriska krypteringsnycklar och en MAC-nyckel för begäranden om certifikat ska utföras i enlighet med [1] och [5].
·När nycklar genereras ska de algoritmer och nyckellängder som beskrivs i avsnitten 6.1.4.1 och 6.1.4.2 användas.
·Genereringen av nyckelpar ska omfattas av kraven på ”säker lagring av privata nycklar” (se avsnitt 6.1.5).
·Rot-CA och deras abonnenter (underordnade CA) ska säkerställa att integriteten och autenticiteten hos deras öppna nycklar och därmed förknippade parametrar bibehålls vid distributionen till registrerade underordnade CA-enheter.
6.1.2.EE – mobil C-ITS-station
(305)Varje mobil C-ITS-station ska generera sina egna nyckelpar i enlighet med vad som anges i avsnitten 6.1.4 och 6.1.5.
(306)Processen för att härleda symmetriska krypteringsnycklar och en MAC-nyckel för begäranden om certifikat (ECIES) ska genomföras i enlighet med [1] och [5].
(307)När nycklar genereras ska de algoritmer och nyckellängder som beskrivs i avsnitten 6.1.4.1 och 6.1.4.2 användas.
(308)Genereringen av nyckelpar ska omfattas av kraven på ”säker lagring av privata nycklar” (se avsnitt 6.1.5).
6.1.3.EE – fast C-ITS-station
(309)Varje fast C-ITS-station ska generera sitt eget nyckelpar i enlighet med vad som anges i avsnitten 6.1.4 och 6.1.5.
(310)När nycklar genereras ska de algoritmer och nyckellängder som beskrivs i avsnitten 6.1.4.1 och 6.1.4.2 användas.
(311)Genereringen av nyckelpar ska omfattas av kraven på ”säker lagring av privata nycklar” (se avsnitt 6.1.5).
6.1.4.Krypteringskrav
(312)Alla PKI-deltagare ska uppfylla de krypteringskrav som anges i följande punkter i fråga om signeringsalgoritm, nyckellängd, slumptalsgenerator och länkcertifikat.
6.1.4.1.Algoritm och nyckellängd – signaturalgoritmer
(313)Alla PKI-deltagare (TLM, rot-CA, EA, AA och C-ITS-stationer) ska kunna generera nyckelpar och använda den privata nyckeln för signeringsoperationer med utvalda algoritmer senast två år efter ikraftträdandet av denna förordning i enlighet med tabell 4.
(314)Alla PKI-deltagare som måste kontrollera integriteten i fråga om ECTL, certifikat och/eller signerade mededelanden i enlighet med deras egen funktion, på det sätt som den definieras i avsnitt 1.3.6, ska stödja motsvarande algoritmer förtecknade i tabell 5 för kontroll. I synnerhet ska C-ITS-stationer kunna kontrollera ECT:s integritet.
|
TLM
|
rot-CA
|
EA
|
AA
|
C-ITS-station
|
ECDSA_nistP256_with_SHA(256)
|
-
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP256r1_with_SHA(256)
|
-
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
-
|
-
|
X anger obligatoriskt stöd
|
Tabell 4: Generering av nyckelpar och användning av privat nyckel för signering av enskilda operationer
|
TLM
|
rot-CA
|
EA
|
AA
|
C-ITS-station
|
ECDSA_nistP256_with_SHA(256)
|
X
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP256r1_with_SHA 256
|
X
|
X
|
X
|
X
|
X
|
ECDSA_brainpoolP384r1_with_SHA 384
|
X
|
X
|
X
|
X
|
X
|
X anger obligatoriskt stöd
|
Tabell 5: Kontrollöversikt
(315)Om CPA på grundval av nyligen konstaterade krypteringsbrister så beslutar, ska C-ITS-stationer snarast möjligt kunna byta till en av de båda algoritmerna (ECDSA_nistP256_with_SHA 256 eller ECDSA_brainpoolP256_with_SHA 256). De faktiska algoritmer som används ska fastställas i CPS tillhörande den CA som utfärdar certifikatet för motsvarande offentlig nyckel, i enlighet med föreliggande CP.
6.1.4.2.Algoritm och nyckellängd – krypteringsalgoritmer för autentisering och godkännande
(316)Alla PKI-deltagare (EA, AA och C-ITS-stationer) ska kunna använda öppna nycklar för att kryptera begäranden om/svar på autentisering och godkännande med utvalda algoritmer senast två år efter ikraftträdandet av denna förordning i enlighet med tabell 6. De faktiska algoritmer som används ska fastställas i CPS tillhörande den CA som utfärdar certifikatet för motsvarande offentlig nyckel, i enlighet med föreliggande CP.
(317)De angivna algoritmerna i tabell 6 anger nyckellängden och hashalgoritmens längd och ska implementeras i enlighet med [5].
|
TLM
|
rot-CA
|
EA
|
AA
|
C-ITS-station
|
ECIES_nistP256_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
X anger obligatoriskt stöd
|
Tabell 6: Användningen av kryptering av öppna nycklar för autentisering och godkännande av begäranden/svar
(318)Alla PKI-deltagare (EA, AA och C-ITS-stationer) ska kunna generera nyckelpar och använda den privata nyckeln för att dekryptera begäranden om/svar på autentisering och godkännande med utvalda algoritmer senast två år efter ikraftträdandet av denna förordning i enlighet med tabell 7:
|
TLM
|
rot-CA
|
EA
|
AA
|
C-ITS-station
|
ECIES_nistP256_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
ECIES_brainpoolP256r1_with_AES 128_CCM
|
-
|
-
|
X
|
X
|
X
|
X anger obligatoriskt stöd
|
Tabell 7: Generera nyckelpar och användning av privat nyckel för dekryptering av begäranden om/svar på autentisering och godkännande
6.1.4.3.Krypteringsflexibilitet
(319)Krav med avseende på nyckellängder och algoritmer måste ändras över tiden för att bibehålla en lämplig säkerhetsnivå. CPA ska övervaka behovet av sådana förändringar mot bakgrund av den faktiska sårbarheten och avancerad kryptografi. CPA kommer att utarbeta, godkänna och offentliggöra en uppdatering av denna certifikatpolicy om den beslutar att krypteringsalgoritmerna måste uppdateras. Om en ny utgåva av föreliggande CP medför en förändring av algoritm- och/eller nyckellängd, kommer CPA att anta en migrationsstrategi som omfattar övergångsperioder under vilka gamla algoritmer och nyckellängder måste stödjas.
(320)För att möjliggöra och underlätta övergången till nya algoritmer och/eller nyckellängder, rekommenderas det att alla som deltar i PKI skaffar maskinvara och/eller programvara som medger ändringar av nyckellängder och algoritmer.
(321)Förändringar av rot- och TLM-certifikat ska stödjas och genomföras med hjälp av länkcertifikat (se avsnitt 4.6) som används för att täcka övergångsperioden mellan gamla och nya rotcertifikat (”migration av tillitsmodellen”).
6.1.5.Säker lagring av privata nycklar
I detta avsnitt beskrivs kraven på säker lagring och generering av nyckelpar samt slumpgenererade siffror för CA och slutenheter. Dessa krav definieras för krypteringsmoduler och beskrivs i nedansående avsnitt.
6.1.5.1.Rot-CA, underordnad CA och TLM-nivå
(322)En krypteringsmodul ska användas för:
·Generering, användning, förvaltning och lagring av privata nycklar.
·Skapa och använda slumpgenererade siffror (bedömning av funktionen för slumpgenererade siffror ska vara ett inslag i säkerhetsutvärderingen och certifieringen).
·Säkerhetskopiering av privata nycklar i enlighet med avsnitt 6.1.6.
·Radering av privata nycklar.
Krypteringsmodulen ska certifieras med en av följande skyddsprofiler (PP), med tillförlitlighetsnivå EAL-4 eller högre:
·Skyddsprofiler för HSM:er:
·CEN EN 419 221-2: Skyddsprofiler för TSP-krypteringsmoduler – Del 2: Krypteringsmodul för CSP-signeringar med säkerhetskopiering.
·CEN EN 419 221-4: Skyddsprofiler för TSP-krypteringsmoduler – Del 4: Krypteringsmodul för CSP-signeringar utan säkerhetskopiering.
·CEN EN 419 221-5: Skyddsprofiler för TSP-krypteringsmoduler – Del 5: Krypteringsmodul för betrodda tjänster.
·Skyddsprofiler för smartkort:
·CEN EN 419 211-2: Skyddsprofiler för utrustning för skapande av säkra signaturer – Del 2: Nyckelgenereringsanordning
·CEN EN 419 211-3: Skyddsprofiler för utrustning för skapande av säkra signaturer – Del 3: Nyckelimportanordning
Manuell tillgång till krypteringsmodulen ska kräva tvåfaktorsautentisering från förvaltaren. Dessutom ska detta kräver deltagande av två godkända personer.
Implementeringen av en krypteringsmodul ska säkerställa att nycklarna inte finns tillgängliga utanför krypteringsmodul. Den krypteringsmodulen ska innehålla en mekanism för tillgångskontroll för att förhindra obehörig användning av privata nycklar.
6.1.5.2.Slutenhet
(323)En krypteringsmodul för EE ska användas till följande:
·Generering, användning, förvaltning och lagring av privata nycklar.
·Skapa och använda slumpgenererade siffror (bedömning av funktionen för slumpgenererade siffror ska vara ett inslag i säkerhetsutvärderingen och certifieringen).
·Säker radering av en privat nyckel.
(324)Krypteringsmodulen ska skyddas mot obehörig bortflyttning, ersättning och ändring. Alla skyddsprofiler och relaterade dokument som är tillämpliga för säkerhetscertifieringen av krypteringsmodulen ska utvärderas, valideras och certifieras i enlighet med ISO 15408, med tillämpning av avtalet om ömsesidigt erkännande av certifikat för evaluering av it-säkerhet (Mutual recognition agreement of information technology security evaluation certificates) som antagits av gruppen av höga tjänstemän på informationssäkerhetsområdet (Senior Officials Group on Information Systems Security, SOG-IS ), eller ett likvärdigt europeiskt program för certifiering av cybersäkerhet inom berörd europeisk cybersäkerhetsram.
(325)Med tanke på hur viktigt det är att högsta möjliga säkerhetsnivå upprätthålls ska säkerhetscertifikaten för krypteringsmodulen utfärdas enligt det gemensamma systemet för kriteriecertifiering (ISO 15408) av ett organ för bedömning av överensstämmelse som erkänns av förvaltningskommittén inom ramen för SOG-IS-avtalet, eller utfärdas av ett organ för bedömning av överensstämmelse som är ackrediterat av en medlemsstats nationella myndighet cybersäkerhetscertifiering. Ett sådant organ för bedömning av överensstämmelse ska åtminstone tillhandahålla likvärdiga villkor för säkerhetsutvärdering i den mening som avses i SOG-IS-avtalet om ömsesidigt erkännande.
Märk: Kopplingen mellan krypteringsmodulen och C-ITS-stationen ska skyddas.
6.1.6.Säkerhetskopia av privata nycklar
(326)Generering, lagring och användning av säkerhetskopior av privata nycklar ska uppfylla kraven för åtminstone den säkerhetsnivå som krävs för de ursprungliga nycklarna.
(327)Säkerhetskopior av privata nycklar ska göras av rot-CA, EA och AA.
(328)Säkerhetskopior av privata nycklar ska göras för EC och AT.
6.1.7.Destruering av privata nycklar
(329)Rot-CA, EA, AA samt mobila och fasta C-ITS-stationer ska förstöra sina privata nycklar och motsvarande säkerhetskopior, om ett nytt nyckelpar och motsvarande certifikat har genererats och framgångsrikt installerats, och övergångsperioden (om alls – endast CA) har löpt ut. Den privata nyckeln ska förstöras med hjälp av den metod som erbjuds av den krypteringsmodul som används för lagring av nycklar eller enligt beskrivningen i motsvarande skyddsprofil på det sätt som avses i avsnitt 6.1.5.2.
6.2.Aktiveringsdata
(330)Aktiveringsdata avser autentiseringsfaktorer som krävs för att sköta krypteringsmoduler så obehörig åtkomst kan förhindras. För användning av aktiveringsdata från en CA:s krypteringsutrustning ska det krävas två behöriga personer.
6.3.Kontroll av datorsäkerheten
(331)CA:s datorsäkerhetskontroller av ska utformas i enlighet med den höga skyddsnivå som erhålls genom att kraven i ISO/IEC 27002 följs.
6.4.Tekniska kontroller över livscykeln
(332)En CA:s tekniska kontroller ska omfatta hela livscykeln för en CA. Detta omfattar särskilt kraven i avsnitt 6.1.4.3 (”Krypteringsflexibilitet”).
6.5.Kontroll av nätverkssäkerheten
(333)CA-närverken (CA, EA och AA) ska vara förstärkta för att klara av angrepp i enlighet med kraven och genomförandevägledningen i ISO/IEC 27001 och ISO/IEC 27002.
(334)Tillgången till CA:s nätverk ska utformas mot bakgrund av den beräknade trafiken.
7.Certifikatprofiler, CRL och CTL
7.1.Certifikatprofil
(335)Certifikatprofilerna som definieras i [5] ska användas för TLM, rotcertifikat, EA-certifikat, AA-certifikat, AT och ECS. Nationella statliga EA får använda andra certifikatprofiler för EC.
(336)Rot-CA-, EA- och AA-certifikat ska visa de tillstånd för vilka dessa CA (rot-CA, EA och AA) har rätt att utfärda certifikat.
(337)På grundval av [5] gäller följande:
·Varje rot-CA ska använda sin egen privata signeringsnyckel för att utfärda CRL.
·Varje rot-CA ska använda sin egen privata signeringsnyckel för att utfärda ETCL.
7.2.Certifikatets giltighet
(338)Alla C-ITS-certifikatprofiler ska innehålla ett utfärdande- och ett utgångsdatum, vilket markerar certifikatets giltighetsperiod. På varje PKI-nivå ska certifikat genereras i god tid före sista giltighetsdagen.
(339)Giltighetperioden för CA- och EC-certifikat ska inbegripa en övergångsperiod. TLM och rot-CA-certifikat ska utfärdas och föras upp i ECTL högst tre månader men minst en månad innan de börjar gälla, med utgångspunkt i certifikatets startdatum. Denna förinstallationsfas krävs för att på ett säkert sätt dela ut certifikaten till respektive förlitande parter i enlighet med avsnitt 2.2. Detta säkerställer att alla förlitande parter, redan från övergångsperiodens början, kan kontrollera meddelanden som utfärdats med ett nytt certifikat.
(340)I början av övergångsperioden ska CA-, EC och AT-certifikat (om tillämpligt) successivt utfärdas, distribueras till och installeras av respektive förlitande parter. Under övergångsperioden får nuvarande certifikat endast användas för kontroll.
(341)Eftersom de giltighetsperioder som anges i tabell inte får överskrida det överordnade certifikatets giltighetstid, gäller följande begränsningar:
·maximmal giltighet (rot-CA) = användning av privat nyckel (rot-CA) + maximal giltighet (EA, AA).
·maximal giltighet (EA) = användning av privat nyckel (EA) + maximal giltighet (EG).
·maximal giltighet (AA) = användning av privat nyckel (AA) + förinstallationsperiod (AT).
(342)Giltigheten för länkcertifikat (rot- och TLM-) börjar med motsvarande användning av den privata nyckeln och slutar med den maximala giltighetstidpunkten för rot-CA eller TLM.
(343)I tabell 8 visas den maximala giltighetstiden för C-ITS-CA-certifikat (giltighetsperioder för AT, se avsnitt 7.2.1).
Enhet
|
Maximal användningsperiod för privat nyckel
|
Maximal giltighetstid
|
Rot-CA
|
3 år
|
8 år
|
EA
|
2 år
|
5 år
|
AA
|
4 år
|
5 år
|
EC
|
3 år
|
3 år
|
TLM
|
3 år
|
4 år
|
Tabell 8: Giltighetsperioder för certifikaten i tillitsmodellen för C-ITS-stationer
7.2.1.Pseudonymiserade certifikat
(344)I detta sammanhang implementeras pseudonymer med hjälp av AT. Detta avsnitt avser AT snarare än pseudonymer.
(345)Kraven i detta avsnitt gäller endast AT för mobila C-ITS-stationer som sänder CAM- och DENM-meddelanden, där det föreligger en risk för platsintegriteten. Inga särskilda krav på AT-certifikat gäller AT för fasta C-ITS-stationer och mobila C-ITS-stationer som används för särskilda uppgifter när platsintegriteten inte är tillämplig (t.ex. markerade utrycknings- och polisfordon).
(346)Följande definitioner är tillämpliga:
·giltighetsperiod för AT: den period under vilken en AT är giltig, dvs. perioden mellan AT:s startdatum och utgångsdatum.
·förinstallationsperiod för AT: förinstallation innebär en möjlighet för C-ITS-stationer att få tillgång till sina AT innan giltighetsperioden inleds. Förinstallationsperioden är den längsta tillåtna tidsperiod från begäran om AT till sista giltighetsdatum för någon av de AT som begärts.
·användningsperiod för AT: den period under vilken AT faktiskt används för att signera CAM-/DENM-meddelanden.
·maximalt antal parallella AT: antalet AT från vilka en C-ITS-station kan välja vid varje tidpunkt när ett CAM-/DENM-meddelande signeras, dvs. antalet olika AT till en C-ITS-station som är giltiga samtidigt.
(347)Följande krav skall tillämpas:
·Förinstallationsperioden för AT får inte överstiga tre månader.
·Giltighetsperioden för AT får inte överstiga tre månader.
·Det maximala antalet parallella AT ska inte överstiga 100 per C-ITS-station.
·Användningsperioden för en AT beror på strategin för utbyte av AT och den tid som fordonet är i drift, men är begränsad det maximala antalet parallella AT och giltighetstiden. Det genomsnittliga användningsperioden för en C-ITS-station är närmare bestämt åtminstone fordonets operativa tid under en giltighetsperiod dividerat med det högsta antalet parallella AT.
7.2.2.Auktorisationsbiljett för fasta C-ITS-stationer
(348)Definitionerna i avsnitt 7.2.1 och följande krav gäller:
·Förinstallationsperioden för AT får inte överstiga tre månader.
·Det maximala antalet parallella AT ska inte överstiga två per C-ITS-station.
7.3.Återkallande av certifikat
7.3.1.Återkallande av CA-, EA- och AA-certifikat
Rot-CA, EA och AA ska kunna återkallas. Återkallade certifikat tillhörande rot-CA, EA och AA ska offentliggöras på en CRL så snart som möjligt och utan opåkallat dröjsmål. Denna CRL ska signeras av motsvarande rot-CA och använda den profil som beskrivs i avsnitt 7.4. För att återkalla ett rot-CA-certifikat ska motsvarande rot-CA utfärda en CRL som det ingår i. Dessutom gäller avsnitt 5.7.3 i fall av säkerhetspåverkan. Dessutom ska TLM avlägsna återkallade rot-CA från den betrodda listan och utfärda en ny. Certifikat som löpt ut ska avlägsnas från motsvarande CRL och betrodd lista.
(349)Certifikat återkallas om
·rot-CA:er har skäl att anta eller misstänka att den motsvarande privat nyckel har påverkats,
·rot-CA:er har underrättats om att avtalet med abonnenten har upphört,
·information (såsom namn och kopplingar mellan CA och den registrerade) i certifikatet är felaktig eller har ändrats,
·en säkerhetsincident inträffar som påverkar certifikatet,
·en revision (se avsnitt 8) leder till ett negativt resultat.
(350)Abonnenten ska omedelbart underrätta CA om en känd eller misstänkt påverkan på deras privata nyckel. Det måste säkerställas att endast autentiserade begäranden leder att certifikat återkallas.
7.3.2.Återkallande av autentiseringsbehörigheter
(351)Återkallandet av EC kan initieras av C-ITS-stationens abonnent (flöde 34) och ska genomföras med hjälp av en intern svart lista i en databas över återkallande databas med en tidsstämpel som skapas och underhålls av varje EA. Svarta listan offentliggörs aldrig och ska vara konfidentiellt och användas enbart av motsvarande EA för att kontrollera giltigheten i de motsvarande EC i samband med begäranden om AT och nya EC.
7.3.3.Återkallande av auktorisationsbiljetter
(352)Då AT inte återkallas av motsvarande CA, ska de ha kort livslängd och kan inte utfärdas för långt innan de blir giltiga. De tillåtna parametervärdena för certifikatets livscykel anges i avsnitt 7.2.
7.4.Spärrlista för certifikat (återkallande)
(353)Den CRL som utfärdas av rot-CA ska till sitt format och innehåll följa anvisningen i [1].
7.5.den europeiska förteckningen över betrodda certifieringsinstanser (European certificate trust list)
(354)Den ECTL som utfärdas av TLM ska till sitt format och innehåll följa anvisningen i [1].
8.Granskning av överensstämmelse med regelverket och andra bedömningar
8.1.Ämnen som omfattas av revision och revisionsbas
(355)Syftet med en efterlevnadsrevision är att kontrollera att TLM, rot-CA, EA och AA arbetar i enlighet med CP. TLM, rot-CA, EA och AA ska välja en oberoende aktiv och ackrediterad PKI-revisor till att granska deras CPS. Revisionen ska kombineras med en bedömning enligt ISO/IEC 27001 och ISO/IEC 27002.
(356)En efterlevnadsrevision beställs av en rot-CA (flöde 13) för rot-CA:n själv, och för underordnad CA av dess underordnade EA/AA.
(357)En efterlevnadsrevision för TLM beställs av CPA (flöde 38).
(358)En ackrediterad PKI-revisor ska, på begäran utföra en efterlevnadsrevision på följande nivåer:
(1)TLM:s, rot-CA:s, EA:s eller AA:s förenlighet med föreliggande CP.
(2)Förenligheten i TLM:s, rot-CA:s, EA:s eller AA:s planerade metoder med sin CPS före drift.
(3)Förenligheten i TLM:s, rot-CA:s, EA:s eller AA:s metoder operativa arbete med sin CPS under drift.
(359)Revisionen ska omfatta samtliga krav i föreliggande CP som ska uppfyllas av de TLM, rot-CA, EA och AA som ska granskas. Den ska även täcka CA:s drift i C-ITS PKI samt alla processer som anges i dess CPS, lokalerna och ansvariga personer.
(360)Den ackrediterade PKI-revisorn ska till rot-CA överlämna en ingående rapport om revisionen (flöde 36), EA, AA eller CPA (flödena 16 och 40), beroende på vad som är tillämpligt.
8.2.Revisionsfrekvens
(361)En rot-CA, TLM, EA eller AA ska av en ackrediterad PKI-revisor begära en efterlevnadsrevision av sig själv i följande fall:
·När den först etableras (efterlevnad av nivåerna 1 och 2).
·Varje gång CP ändras. CPA ska definiera innehållet i ändringen av CP och tidtabellen för införandet och avgöra revisionsbehoven (inbegripet nödvändig efterlevnadsnivå) i enlighet med detta.
·Varje gång dess CPS ändras (efterlevnad av nivåerna 1, 2 och 3). Eftersom förvaltningsenheterna inom CA, TLM och AA/EE beslutar om vilka genomförandeförändringar som ska följa på uppdateringen av deras CPS, ska de begära en efterlevnadsrevision innan dessa ändringar görs. I fall av endast mindre ändringar av CPS (t.ex. av redaktionell karaktär) får förvaltingsenheten skicka en vederbörligen motiverad begäran till CPA för att få dess godkännande att inte genomföra efterlevnadsrevisionerna för nivå 1, 2 eller 3.
·Regelbundet, och minst vart tredje år under driften (efterlevnadsrevision nivå 3).
8.3.Revisorns identitet/kvalifikationer
(362)Den CA som ska granskas ska välja en oberoende och ackrediterad firma/organisation (”revisionsorgan”) eller ackrediterade PKI-revisorer för att granska sig i enlighet med föreliggande CP. Revisionsorganet ska vara ackrediterat och certifierat av en medlem av European Accreditation.
8.4.Revisorns förhållande till den granskade enheten
(363)Den ackrediterade PKI revisorn ska vara oberoende av den granskade enheten.
8.5.Åtgärder som vidtagits till följd konstaterade brister
(364)Om det i en revisionsrapport konstateras att TLM inte följer regelverket, ska CPA ålägga TLM att omedelbart vidta förebyggande eller korrigerande åtgärder.
(365)Om en rot-CA med en revisionsrapport som visar bristande efterlevnad av regelverket lämnar in en ny ansökan, ska CPA avslå ansökan och skicka en motsvarande avslag till rot-CA (flöde 4). I sådana fall kommer rot-CA att stängas av. Den måste vidta korrigeringsåtgärder, begära en ny revision och lämna in en ny begäran om CPA-godkännande. Rot-CA ska inte ha rätt att utfärda certifikat under avstängningsperioden.
(366)I fall av en vanlig rot-CA-revision eller en ändring av en underordnad CA:s CPS, och beroende på arten av den bristande efterlevnad som beskrivs i revisionsrapporten, får CPA får besluta om att återkalla rot-CA och meddela TLM om detta beslut (flöde 2), vilket leder till radering av rot-CA-certifikatet från ECTL och uppförande av rot-CA i CRL. CPA ska skicka ett motsvarande avslag till rot-CA (flöde 4). Rot-CA måste vidta korrigeringsåtgärder, begära en fullständig revision (nivåerna 1–3) och lämna in en ny begäran om CPA-godkännande. Alternativt får CPA besluta att inte återkalla rot-CA, utan att medge en frist inom vilken rot-CA ska vidta korrigeringsåtgärder, begära en ny revision och på nytt lämna in revisionsrapporten till CPA. I detta fall måste rot-CA upphöra med driften och den får inte utfärda certifikat och spärrlistor.
(367)I händelse av en EA/AA-revision ska rot-CA besluta om huruvida rapporten ska godkännas eller ej. Beroende på revisionsresultatet ska rot-CA besluta om ett eventuellt återkallande av EA/AA-certifikatet i enlighet med reglerna i underliggande CA:s CPS. Rot-CA ska hela tiden säkerställa EA/AA:s överensstämmelse med föreliggande CP.
8.6.Rapportering av resultat
(368)Rot-CA och TLM ska skicka revisionsrapporten till CPA (flöde 16). Rot-CA och TLM ska lagra alla revisionsrapporter som de har beställt. CPA ska skicka ett motsvarande godkännande eller avslag (flöde 4) till rot-CA och TLM.
(369)Rot-CA ska skicka ett certifikat om överensstämmelse till motsvarande EA/AA.
9.Övriga bestämmelser
9.1.Avgifter
(370)En av principerna för den genomförda tillitsmodellen för EU:s C-ITS-stationer är att rot-CA:erna tillsammans fullt ut finansierar CPA:s regelbundet återkommande driftskostnader och de centrala elementen (TLM och CPOC) för den verksamhet som fastställs i föreliggande CP.
(371)Rot-CA (inklusive EU rot-CA) har rätt att ta ut avgifter från sina underordnade CA.
(372)Under hela deras driftperiod ska varje deltagare i tillitsmodellen för C-ITS-stationer på icke-diskriminerande grund ha tillgång till minst en rot-CA, EA och AA.
(373)Varje rot-CA har rätt att överföra de avgifter som det betalar för CPA och de centrala elementen (TLM och CPOC) på de registrerade deltagarna i tillitsmodellen för C-ITS-stationer, inklusive inskrivna och godkända stationer för samverkande ITS.
9.2.Ekonomiskt ansvar
(374)Det initiala fastställandet av en rot-CA ska omfatta en period av minst tre års drift för att den ska kunna bli medlem av tillitsmodellen för EU:s C-ITS-stationer. En rot-CA-operatörs CPS ska också innehålla närmare bestämmelser om återkallande eller avslutande av rot-CA.
(375)Varje rot-CA måste påvisa att den juridiska person som implementerar den kommer att vara lönsam i minst tre år. Denna lönsamhetsplan är en del av den ursprungliga uppsättningen autentiseringshandlingar och måste uppdateras vart tredje år och rapporteras till CPA.
(376)Varje rot-CA måste varje år till driftschefen och CPA rapportera vilken avgiftsstrukturen som tillämpas på EA/AA och de autentiserade och auktoriserade C-ITS-stationerna för att visa sin ekonomiska hållbarhet.
(377)Alla finansiella och rättsliga ansvariga enheter inom rot-CA, EA, AA och de centrala elementen (CPOC och TLM) i tillitsmodellen för C-ITS-stationer måste ha tillräckliga försäkringar för sina operativa uppdrag för att kompensera för driftsfel och finansiell ersättning för sina uppgifter om något tekniskt element fallerar.
9.3.Sekretess för företagsinformation
(378)Följande ska vara konfidentiellt och privat:
·Dokumentation om ansökningar om rot-CA, EA, AA, oavsett om ansökan godkänts eller avslagits.
·Revisionsrapporter om rot-CA, EA, AA och TLM.
·Rot-CA:s, EA:s, AA:s, CPOC:s och TLM:s planer för haverihantering.
·Privata nycklar för olika element i tillitsmodellen för C-ITS-stationer (C-ITS-stationer, TLM, EA, AA och rot-CA).
·All annan information som betraktas som konfidentiell av CPA, rot-CA, EA, AA, TLM och CPOC.
9.4.Integritetsplan
(379)Rot-CA:s och EA:s/AA:s CPS ska upprätta planen och ange kraven för behandlingen av personuppgifter och integriteten på grundval av GDPR och andra tillämpliga rättsliga ramar (t.ex. nationella).
10.Referenser
Följande referenser används i denna bilaga:
[1]
|
ETSI TS 102 941 V1.2.1 Intelligenta transportsystem (ITS) – förvaltning av säkerhet, tillit och integritet.
|
[2]
|
ETSI TS 102 941 V1.3.1 Intelligenta transportsystem (ITS) – säkerhet, ITS-kommunikation, säkerhetsarkitektur och säkerhetsförvaltning.
|
[3]
|
Ram för certifikatpolicy och certifieringspraxis (RFC 3647, 1999).
|
[4]
|
ETSI TS 102 042 V2.4.1 Policykrav för certifieringsinstanser som utfärdar certifikat med öppen nyckel.
|
[5]
|
ETSI TS 103 097 V1.3.1 Intelligenta transportsystem (ITS) – säkerhet, säkerhetshuvud och certifikatformat.
|
[6]
|
Calder, A. (2006). Information security based on ISO 27001/ISO 1779: a management guide. Van Haren Publishing.
|
[7]
|
ISO, I., & Std, I. E. C. (2011). ISO 27005 (2011) – informationsteknik, säkerhetsteknik, riskhantering för informationssäkerhet. ISO.
|
|
|