PKI för accesspunkter - komponentspecifikation

Sammanfattning

Benämning: PKI för Accesspunkter
Version: 1.0.1
Livscykelstatus: Fastställd
Ägare: DIGG
Nyckelord: PKI; eDelivery; Accesspunktcertifikat

Komponenten hanterar utfärdande av certifikat. Dessa certifikat används uteslutande av accesspunkter för att dessa skall kunna identifiera varandra som legitima accesspunkter och för att kunna kryptera och signera meddelanden mellan accesspunkterna. Certifikatsutgivningen är specifik för den miljö där certifikatet ska användas i samt för den federation som accesspunktsoperatören är godkänd för.

De centrala funktionerna för utfärdande och administration av certifikat utgörs av en certifikatfabrik som tillverkar och signerar certifikaten samt en spärrtjänst där certifikat som inte längre skall vara giltiga kan spärras, detta kan också kontrolleras av accesspunkterna.

Som en del av plattformen ger PKI för accesspunkter följande nyttor:

• Den möjliggör tillits- och certifikatshantering mellan accesspunkter
• Kontrollerad, säker och standardiserad hantering av samtliga accesspunktcertifikat inom en federation
• Dedikerad certifikatkedja per federationsmiljö

1 Inledning

Inledande beskrivning av komponenten PKI för accesspunkter

Syftet med PKI för accesspunkter (PKIAP) är att skapa och möjliggöra kontroll av certifikat som används av SMP och av Accesspunkter. Certifikat utgivna av den är endast tänkta att användas för dessa ändamål, inte för generell certifikatshantering.

Komponenten ger ett administrationsgränssnitt där en användare kan skapa eller revokera certifikat efter att accesspunkterna skickat in så begäran om detta. Den ger också ett API för att kontrollera certifikats giltighet enligt [OCSP] samt kan leverera en certificate revocation list [PKI].

• API och GUI
  • API: OCSP
  • API: CRL
  • GUI: Administration
• Information
  • Certifikat

API’erna är publicerade mot internet medan GUI ej behöver vara tillgänglig utåt.

Det finns en option att ha ett internt API som kan användas av SMP när en AP skapas där men den beskrivs inte ytterligare i denna version av komponentbeskrivningen.

1.1 Beroenden till specifikationer och komponenter

PKIAP använder och är följsam mot följande specifikationer:

• 509 PKI och CRL, [PKI]
• 509 OCSP [OCSP]

Denna komponent har inga beroenden mot andra komponenter.

1.2 Målgrupper

Informationen nedanför syftar till att stödja följande intressenter i deras arbete, dess informationsbehov samt ge svar på vanligt förekommande frågeställningar.

Intressenter:

• Verksamhetsutvecklare
  • Analyserar verksamheters behov av digital samverkan
  • Stödjer verksamhetsutvecklingsprojekt under dess olika faser.
  • Utvärderar ramverk, plattformar, infrastrukturer, och teknologier för digital samverkan ur ett verksamhetsperspektiv
  • Utför systematiskt och riskbaserat informationssäkerhetsarbete.
  • Kravställer utveckling av system för digital samverkan
  • Stödjer utveckling system för digital samverkan
• IT-arkitekt
  • Utvärderar ramverk, plattformar, infrastrukturer, och teknologier för digital samverkan ur ett informationssystemperspektiv
  • Utför systematiskt och riskbaserat informationssäkerhetsarbete.
  • Kravställer utveckling av informationssystem för digital samverkan
  • Utvärderar, analyserar, designar, dokumenterar och utvärderar informationssystem
  • Stödjer utveckling av informationssystem för digital samverkan
  • Tar fram arkitekturer för informationssystem för digital samverkan

1.3 Externa Referenser

2 För Verksamhetsutvecklare

Information som är riktad till verksamhetsutvecklare

2.1 Inledning

PKI för accesspunkter gör att en eDelivery federation har kontroll över vilka certifikat som används och säkerställer att accesspunkterna inom en federation endast kommunicerar med varandra.

2.2 Egenskaper hos komponent

PKI för accesspunkter håller de certifikat som har utfärdats och information om de som har revokerats. En klient kan kontrollera om ett certifikat har getts ut av komponenten och om det fortfarande är giltigt.

2.3 Nyttor med användning

PKI för accesspunkter undviker beroende mot externa certifikatsleverantörer och gör att endast godkända AP-operatörer får certifikat.

2.4 Hur komponenten fungerar

Komponenten håller internt de utgivna certifikaten. En administratör kan granska dessa och vid behov revokera dem.

2.5 Villkor och förutsättningar för användning

En implementation av komponenten behöver godkännas av Digg för att få användas inom en federation som Digg hanterar.

2.6 Aktörer och roller

2.7 Översiktliga användningsfall

Denna komponent kan användas enligt följande användningsfall:

2.7.1 AF: Utfärda Certifikat

En ny accesspunkt har tillkommit och behöver registreras ett certifikat

2.7.2 AF: Revokera certifikat

2.7.3 AF: Kontrollera certifikat

2.8 API: OCSP

Se [OCSP]. Användande av OCSP gör att klienten alltid får en aktuell bild av certifikatets giltighet. Nackdelen är att komponenten måste vara tillgänglig.

2.9 API: CRL

Se [PKI]. Användande av CRL har nackdelen att CRL-filer kan bli stora efter hand. (Detta lär dock inte hända för denna komponent eftersom antalet accesspunkter är relativt litet.) CRL-filer kan laddas ner och användas under en tidsperiod. Det har nackdelen att en revokering som händer under den tidsperioden inte upptäcks, men har fördelen att komponenten inte behöver vara tillgänglig för kontroll.

2.10 GUI: Administration

I detta GUI kan en administratör skapa, lista och revokera certifikat.

2.11 Informationsmodell: Certifikat

För certifikat, se [PKI].

De utgivna certifikaten lagras lokalt.

2.11.1 Informationssäkerhetsklassning

Digg har klassificerat komponenten utifrån det metodstöd och rekommendationer som Myndigheten för samhällsskydd och beredskap (MSB 0040-09) tagit fram för informationsklassificering, se [MSB-KLASS]. Informationens skyddsvärde bestäms genom att relatera till konsekvenser som otillåten spridning av information och meddelanden inom plattformen riskerar att leda till.

Konsekvensnivåer är värderad i en av fyra skyddsklasser i informationssäkerhetsklassningsmodellen nedan.

Informationssäkerhetsklassning

2.12 Informationssäkerhet- och tillit

Komponentens uppgift är att publicera, administrerar samt lagra och distribuera certifikat för accesspunkter i den federation och miljö där komponenten används. För informationssäkerhet- och tillit så finns styrande regler och rutiner för komponenten beskriven i transportinfrastrukturen.

Komponenten är uppdelad i en

• Kontrolldel där klienter kan kontrollera om certifikat har revokerats eller inte. Denna del är öppen för alla.
• Administrationsdel där certifikat hanteras (läggs till, tas bort eller uppdateras) är skyddad av stark autentisering(identifiering) och auktorisering(behörighet) för registrerade klienter (admistratörer eller SMP).

Säkerhetsåtgärder och servicenivåer finns övergripande beskrivna i transportmodeller samt miljöer per federation.

3 För IT-arkitekter

Information som är riktad till IT-arkitekter

3.1 Inledning

En PKIAP måste uppfylla de villkor som ges i [PKI] och [OCSP]

3.2 Tekniska villkor och förutsättningar för användning

Komponenten behöver skydda administratörsgränssnittet, till exempel genom att det endast är tillgängligt för intern användning. PKIAP behöver ej själv nå ut men inåt måste URL för att hämta CRL och kontrollera OCSP vara öppen.

3.3 Tekniska aktörer och roller

Se även avsnitt 2.6

3.4 Översiktliga användningsfall

Se även avsnitt 2.7

3.4.1 Tekniskt AF: Backup

Backup av den information som lagts in i PKIAP ska göras regelbundet.

3.4.2 Tekniskt AF: Återställning

Om något har hänt med PKIAP som har gjort att data är felaktigt så ska data återställas från senast korrekta backup.

3.4.3 Tekniskt AF: Uppgradering

Om en ny version av PKIAP finns tillgänglig och det är beslutat att den ska användas så ska den nya versionen ersätta den gamla. Alla data som fanns innan ska finnas tillgängliga efteråt. Detta kan göras genom Backup/Återställning eller genom att data finns kvar sedan den tidigare versionen. En uppgradering ska göras så att den i minsta möjliga mån stör den ordinarie driften, framför allt kontroll av certifikat.

3.5 API

Se avsnitt 2.8 och 2.9.

3.6 Tekniskt GUI

Inga andra GUI än de som beskrivs i 2.10 finns specificerade.

3.7 Datamodell: Certifikat

Hur data lagras internt lämnas fritt till implementationen, betrakta dock informationsmodellen och säkerhetskraven.

3.8 Open API Specifikation

Ingen Open API specifikation finns för denna komponent.

4 Generella servicenivåer

Denna sektion specificerar generella servicenivåer som gäller för tjänster som implementerar denna komponent.

Servicenivåer för programvaror som implementerar denna komponent