Javno preduzeće PTT saobraćaja Srbija Sertifikaciono telo Pošte

Javno preduzeće PTT saobraćaja "Srbija" Sertifikaciono telo Pošte Serbian Post Certification Authority Primena e-potpisivanja i vremenskog žigosanja dokumenata Mr Dragan Spasić, dipl. inž. GIAC GSEC Certified Professional 13. 4. 2011. dspasic@ptt. rs

Sertifikaciono telo Pošte: www. ca. posta. rs

Sertifikaciono telo Pošte je upisano u Registar • Sertifikaciono telo Pošte ima polisu osiguranja za izdavanje sertifikata i 5 stručnjaka sa položenim ispitima GIAC GSEC i Comp. TIA Security+.

Sertifikaciono telo Pošte je upisano u Registar

Vrste sertifikata koje izdaje Pošta 1. KVALIFIKOVANI sertifikati. 2. WEB sertifikati. 3. SER sertifikati za Web servere. 4. Unified Communications sertifikati. 5. TSA sertifikati za Timestamp servere. 6. VPN sertifikati za VPN servere. 7. Code Signing sertifikati.

Prvi kvalifikovani sertifikati u Srbiji

Karakteristike sertifikata Pošte • Pošta izdaje sertifikate pravnim i fizičkim licima. • U sertifikat pravnog lica se upisuje naziv pravnog lica i matični broj.

Karakteristike sertifikata Pošte • Od januara 2010. godine Pošta izdaje sertifikate sa RSA ključevima dužine 2048 bita!!!

Karakteristike sertifikata Pošte • Registar opozvanih sertifikata (CRL) je objavljen na 2 servera kojima se pristupa po 2 protokola (LDAP i HTTP): • • • ldap. ca. posta. rs (212. 62. 45. 154) na portu TCP/389 (LDAP protokol). sertifikati. ca. posta. rs (212. 62. 45. 153) na portu TCP/80 (HTTP protokol). Korisnici iz svoje mreže moraju da imaju pristup barem jednom od ta 2 servera, a poželjno je da imaju pristup ka oba servera (napomena: kod nekih korisnika je blokiran LDAP saobraćaj).

Karakteristike sertifikata Pošte • Sertifikaciono telo Pošte je član Microsoft Root Certificate programa od septembra 2009. godine. Sertifikat ROOT CA servera Sertifikacionog tela Pošte ("Posta CA Root") objavljen je u Windows Root Update paketu (KB 931125):

Karakteristike sertifikata Pošte • Mogućnost korišćenja sertifikata u bilo kojoj aplikaciji koja podržava rad sa sertifikatima: 1. Microsoft Word, Excel i Power. Point 2002, 2003, 2007 i 2010. 2. Open. Office Writer 2. x i 3. x. 3. Adobe Acrobat i Reader 7. x, 8. x, 9. x i 10. x. 4. Microsoft Outlook 2000, 2002, 2003, 2007 i 2010. 5. Microsoft Outlook Express 5 i 6. Microsoft Mail (Vista). 7. Mozilla Thunderbird 1. 5 i noviji. 8. Netscape Mail 7. x i noviji. 9. Internet Explorer 5. 0 i noviji. 10. Mozilla Firefox 1. 5 i noviji.

Karakteristike sertifikata Pošte • Upisivanje sertifikata na smart kartice ili USB tokene, prema želji korisnika. • Mogućnost naručivanja čitača smart kartica uz smart karticu, prema želji korisnika.

Karakteristike sertifikata Pošte • Izrada dizajna smart kartice po želji većih korisnika. • Primer kartice Ministarstva za lj. i m. prava, državnu upravu i lokalnu samoupravu (lice i poleđina kartice): • Upisivanje sertifikata na službene legitimacije:

Klijentski softver (middleware) A. E. T. Safe. Sign • Mogućnost instalisanja na: Windows, Linux (Debian, Ubuntu, Fedora, Free. BSD, Open. Su. SE, Su. Se Desktop Enterprise Edition ) MAC OS X. i

Klijentski softver (middleware) A. E. T. Safe. Sign • Podržana je srpska ćirilica i latinica. • Na formi za unos lozinke (PIN-a) postoje podaci o korisniku.

Primeri primene kvalifikovanih elektronskih sertifikata Sertifikacionog tela Pošte • Elektronska identifikacija velikih poreskih obveznika (oko 350 preduzeća) na sajt Poreske uprave od februara 2009.

Primeri primene kvalifikovanih elektronskih sertifikata Sertifikacionog tela Pošte • Od 1. 7. 2009. kvalifikovano elektronsko potpisivanje XML izveštaja koje Narodnoj banci Srbije dostavljaju: – Banke. – Osiguravajuća društva. – Društva za upravljanje dobrovoljnim penzijskim fondovima.

Primeri primene kvalifikovanih elektronskih sertifikata Sertifikacionog tela Pošte • Elektronska identifikacija i elektronsko potpisivanje na Portalu e-Uprave Republike Srbije od februara 2010. godine.

Primeri primene kvalifikovanih elektronskih sertifikata Sertifikacionog tela Pošte • Elektronska identifikacija i elektronsko potpisivanje na sajtu Centralnog sistema za elektronsku obradu i skladištenje drugog primerka matičnih knjiga od maja 2010.

Primeri primene kvalifikovanih elektronskih sertifikata Sertifikacionog tela Pošte • Elektronska prijava zaposlenih na zdravstveno osiguranje od juna 2010.

Postupak izdavanja kvalifikovanih sertifikata

Zahtevi za kvalifikovani elektronski potpis 1. Korišćenje kvalifikovanog elektronskog sertifikata kojeg je izdalo sertifikaciono telo koje je upisano u Registar Ministarstva koje je nadležno za informaciono društvo. 2. Kvalifikovani sertifikat i pripadajući tajni (privatni) ključ moraju da se nalaze na USB tokenu ili smart kartici koja ima CC EAL 4+ ili FIPS 140 -2 nivo 2 ili viši sertifikat (Secure Signature Creation Device - SSCD). 3. Korišćenje bezbedne aplikacije za kreiranje (Secure Signature Creation Application - SSCA, CWA 14170) i za proveru (Secure Signature Verification Application - SSVA, CWA 14171) kvalifikovanog e-potpisa. 4. Format potpisa mora da bude u skladu sa jednim od standarda: • • • 5. PKCS#7, RFC 3852 "Cryptographic Message Syntax (CMS)", ETSI TS 101 733 "CMS Advanced Electronic Signatures (CAd. ES)" (preporučeno!), RFC 3275 XMLDSIG ili ETSI TS 101 903 "XML Advanced Electronic Signatures (XAd. ES)" (preporučeno!). ETSI TS 102 778 "PDF Advanced Electronic Signature Profiles (PAd. ES)" (preporučeno!). Politika potpisa mora da bude u skladu sa: • ETSI TR 102 272 "ASN. 1 format for signature policies" ili • ETSI TR 102 038 "XML format for signature policies".

Podešavanje Adobe aplikacija za kvalifikovano e-potpisivanje • Za kvalifikovano elektronsko potpisivanje nije dovoljno posedovati samo kvalifikovani elektronski sertifikat, već ispuniti i niz drugih uslova koji su navedeni na prethodnom slajdu. • Aplikacije Adobe Acrobat i Reader 9 i 10 omogućavaju kvalifikovano e-potpisivanje (PAd. ES) ako se konfigurišu prema sledećem uputstvu:

Adobe Acrobat podešavanja za PAd. ES (1/2)

Adobe Acrobat podešavanja za PAd. ES (2/2)

CRL mora da bude ugrađen u e-potpis (1/2)

CRL mora da bude ugrađen u e-potpis (2/2) • CRL jeste ugrađen (embedded) u e-potpis: • CRL nije ugrađen u e-potpis:

APR potpisuje e-račune za bonitet - april 2010 • Za PDF potpisivanje je kreirana aplikacija koristi i. Text. Sharp:

E-računi Infostana su e-potpisani - januar 2010

E-računi Infostana su e-potpisani - januar 2010 • Za PDF potpisivanje je kreirana aplikacija koristi i. Text. Sharp:

Kreiranje PDF formulara sa poljem za potpis (1/3) • Ako je u PDF dokumentu kreirano polje za potpis, potpisivanje može da se uradi sa Adobe Reader-om. • Kreiranje PDF formulara sa poljem za potpis može da se uradi Adobe Acrobat-om:

Kreiranje PDF formulara sa poljem za potpis (2/3) • Adobe Live. Cycle Designer takođe može da se koristi za kreiranje PDF formulara sa poljem za potpis, s tim što je kontrola nad korišćenjem sertifikata bolja u odnosu na kreiranje PDF formulara sa Adobe Acrobat-om.

Kreiranje PDF formulara sa poljem za potpis (3/3) • Adobe Live. Cycle Designer najvažnije opcije koje je moguće koristiti prilikom kreiranja polja za potpis:

Podešavanje Microsoft Office 2010 za kvalifikovano e-potpisivanje • Potrebno je da format potpisa bude XAd. ES-X-L, a za to je neophodno da se koristi vremensko žigosanje.

Opredeljenje: Pošta kao izdavalac vremenskih žigova (TSA) • Opredeljenje Pošte je da se registruje za izdavanje vremenskih žigova u Republici Srbiji u skladu sa Zakonom o elektronskom dokumentu (Sl. gl. RS 51/2009) i Pravilnikom o izdavanju vremenskog žiga (Sl. gl. RS 112/2009). • Uskoro će Pošta izvršiti nabavku hardvera i softvera, i početi izgradnju TSA sistema (Time-Stamping Authority).

Razlozi vremenskog žigosanja • Vremenskim žigosanjem se onemogućava lažiranje trenutka elektronskog potpisivanja. • Vremenskim žigosanjem je omogućena uspešna verifikacija elektronskog potpisa i posle isteka roka važnosti elektronskog sertifikata. • Vremenskim žigosanjem je omogućena uspešna verifikacija elektronskog potpisa i posle opoziva elektronskog sertifikata. • Vremensko žigosanje je moguće primeniti nad elektronskim dokumentom i bez elektronskog potpisivanja. • Time se dokazuje da je elektronski dokument postojao pre trenutka vremenskog žigosanja.

Postupak vremenskog žigosanja • Da bi Timestamp server mogao precizno da vrši vremensko žigosanje, potrebno je da bude vremenski sinhronizovan sa nekim Time serverom, tj. serverom tačnog vremena.

Evidentiranja žigova u elektronskom dnevniku • TSA tela su dužna da podatke o izdatim vremenskim žigovima čuvaju na bezbedan način najmanje pet (5) godina od dana izdavanja.

Modeli naplate izdatih vremenskih žigova • Model prethodne naplate (prepaid model). • Model fakturisanja (postpaid model). • Model paušalne naplate (flat-rate). Poželjno je omogućiti korisnicima da preko Interneta pristupe svojim Web korisničkim profilima gde mogu da: • pogledaju istoriju kupljenih vremenskih žigova, • pogledaju potrošnju vremenskih žigova, • pogledaju trenutno stanje preostalih žigova.

Načini autentifikacije Timestamp klijenata na Timestamp server • Anonimno - bez autentifikacije. • Korisničko ime i lozinka (username/password). • Elektronski sertifikat.