PKIoverheid

1. PKIoverheid “Get connected” 27 oktober 2011

2. Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

3. Inhoud • Encryptie => Theorie • Symmetrische encryptie • Asymmetrische encryptie • Certificaten en SBR • PKIoverheid • Structuur • Domeinen • Eisen • Stellingen Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

4. Encryptie Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

5. Twee vormen van encryptie • Encryptie is het coderen (versleutelen) van gegevens op basis van een bepaald algoritme • Twee vormen: • Symmetrisch • Asymmetrisch Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

6. Symmetrische encryptie • Verzender en ontvanger gebruiken dezelfde sleutel • Bijvoorbeeld A = 1 G =7 M = 13 S = 19 Y = 25 B = 2 H = 8 N = 14 T = 20 Z = 26 C = 3 I = 9 O = 15 U = 21 D = 4 J = 10 P = 16 V = 22 E = 5 K = 11 Q = 17 W = 23 F = 6 L = 12 R = 18 X = 24

7. 2.15.2 9.11 22.9.14.4 10.5 12.9.5.6 Bob Ik Vind Je Lief Bob Ik Vind Je Lief Symmetrische encryptie Bob Alice

8. Voor- en nadelen symmetrische encryptie • Algoritmen relatief eenvoudig (rekencapaciteit) • Geschikt voor streaming encryptie • Lange sleutels voor voldoende beveiliging • Sleutelmanagement zwakke plek! (hoe draag je de sleutel over!)

9. Asymmetrische encryptie • Verzender en ontvanger maken gebruik van een sleutelpaar • Men spreekt over een public key en een private key, de sleutels zijn verschillend • Wanneer een bericht met een van de sleutels uit een paar wordt versleuteld, kan de andere gebruikt worden om het bericht te ontsleutelen

10. Asymmetrische encryptie ZXV !eDr2@@e$ FD*wE1 E17EFe Alice Ik Jou Niet Alice Ik Jou Niet Publieke sleutels Alice Private Alice Bob

11. Alice Ik Jou Ook - x- Bob Xv4 TnTG7 OssN Px3W TE!e Eve Bedreiging 1 ZXV !eDr2@@e$ FD*wE1 E17EFe Alice Ik Jou Ook -x-Bob Publieke sleutels Alice Private Alice Bob

12. T5% KAMPP Alb12T E”17( Asymmetrische encryptie ZXV !eDr2@@e$ FD*wE1 E17EFe ZXV !eDr2@@e$ FD*wE1 E17EFe Alice Ik Jou Niet Alice Ik Jou Niet Publieke sleutels Alice Private Private Bob Alice Bob

13. Eve Bedreiging 2 Private Eve Alice Publieke sleutels Alice Private Private Bob Bob Alice

14. Voor- en nadelen asymmetrische encryptie • Uitwisseling sleutel kan over onveilig kanaal plaatsvinden • Algoritmen complex, vraagt veel rekencapaciteit • Behoefte aan een betrouwbare partij voor het uitgeven van sleutelparen en het beheren van publieke sleutels

15. Certificaten

16. Certificaat Een certificaat is een bestand met hierin vastgelegd • de geregistreerde naam van de houder • de publieke sleutel van de houder • de geldigheidsduur van het certificaat • de locatie van de 'Certificate Revocation List' (bij de uitgever van het certificaat) • een samenvatting van het certificaat, versleuteld met de privésleutel van een vertrouwde partij. Deze "handtekening" maakt het certificaat moeilijk te vervalsen en is door iedereen d.m.v. de bijbehorende publieke sleutel te controleren.

17. PKI.Overheid is het vertrouwde stelsel binnen SBR • Voor certificaten maakt de overheid gebruik van PKIoverheid. • PKIoverheid is de public keyinfrastructurevan de overheid

18. Gelaagd vertrouwen Eindgebruikerscertificaten Certificaatdienstverlener(CSP)certificaten Domeincertificaten Stamcertificaat (Root certificate)

19. Bob Certificate service provider 20.04.09-20.04.12 http://revocation.nl TTP-CSP 90592318b749a1e5374120195e893a8451711b92 46e24a86486a139b13f8f713e858759234918475895 46e24a86486a139b13f8f713e858759234918475895 Certificate Service Provider TTP-CSP

20. PKIoverheid heeft een boomstructuur

21. Welke type certificaten zijn er in het domein Organisatie? • Persoonsgebonden certificaten • Gebonden aan een natuurlijk persoon • Persoon kan meerdere persoonsgebonden certificaten hebben. • Elektronische handtekening alleen mogelijk met persoonsgebonden certificaat • Services certificaten

22. Elektronische handtekening De wet stelt de volgende eisen aan de elektronische handtekening: • Zij is op unieke wijze aan de ondertekenaar verbonden; • Zij maakt het mogelijk de ondertekenaar te identificeren; • Zij komt tot stand met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden; • Zij is op zodanige wijze aan het elektronisch bestand waarop zij betrekking heeft verbonden, dat elke wijziging achteraf van de gegevens kan worden opgespoord; • Zij is gebaseerd op een gekwalificeerd certificaat als bedoeld in artikel 1.1, onderdeel ss Telecommunicatiewet; en • Zij is gegenereerd door een veilig middel voor het aanmaken van elektronische handtekeningen als bedoeld is artikel 1.1, onderdeel vv Telecommunicatiewet.

23. NBA certificaat • Accountants hebben beroepscertificaat • Persoonsgebonden certificaat

24. BIV/Digipoort vereisen services certificaten • BIV maakt gebruik van services certificaten. • Vereisen dus geen elektronische handtekening

25. Services certificaten • Services certificaten zijn niet gebonden aan een persoon, maar aan een apparaat of systeem. Deze certificaten kunnen ook gekoppeld zijn aan een functie (user/groep gebruikers binnen een organisatie – bijvoorbeeld fiscale adviseurs). • Deze certificaten zijn niet bruikbaar voor een elektronische handtekening.

26. Certificaat bevat serienummer • Serienummer identificeert eindgebruiker certificaat. • Serienummer maakt het certificaat direct herleidbaar tot de organisatie. • Serienummer is gemaakt volgens OverheidsIdentificatieNummersystematiek (OIN)

27. 2 verplichte toepassingen certificaat gebruik Inter. KvK:12345 http://revocation.nl 141c334b2674ca13459a3e96925293842c5121e4 DP. Port. KvK:54321 OIN:222 http://revocation.nl http://revocation.nl XBRL 141c334b2674ca13459a3e96925293842c5121e4 141c334b2674ca13459a3e96925293842c5121e4 Niet vereist, wel toegestaan 141c334b2674ca13459a3e96925293842c5121e4 Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid 141c334b2674ca13459a3e96925293842c5121e4

28. In de praktijk 3 manieren waarop certificaten binnen SBR gebruikt worden • Het opzetten van een dubbelzijdige SSL-verbinding. Dit dient ter vaststelling van de identiteit van een gebruiker van de infrastructuur. • Het zetten van een handtekening in de WS-securityheader van een SOAP-request. Hiermee wordt de authenticiteit van de kredietrapportage vastgesteld. • Het zetten van een digitale handtekening in de body van de XBRL-instance ter bewaking van de integriteit van het instance-document. • In de praktijk wordt deze nog niet vaak toegepast.

29. In dit kader verder relevant • Authenticiteit: de zekerheid dat gegevens daadwerkelijk afkomstig zijn van de als de afzender aangeduide service. • Integriteit: de zekerheid dat gegevens volledig zijn en ongewijzigd zijn gebleven.

30. Controle van bevoegdheden • Iemand kan optreden namens een ander. Een persoon kan een andere persoon machtigen informatie aan te leveren of op te vragen. • Wij stellen op basis van het bericht of opvraag vast met wie wij te maken hebben, maar hoe weten wij of deze partij bevoegd is? • Hiervoor is een extra controle nodig.

31. Voorbeeld OPT-OUT Servicedesk Is inter 12345 bevoegd? Machtigingenregister Inter 12345 = bevoegd voor 555555 2 weken Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

32. Machtigingenregister Voorbeeld OPT-OUT Inter 12345 = bevoegd voor 555555 Inter. KvK:12345 http://revocation.nl Geef mij bericht 555555 141c334b2674ca13459a3e96925293842c5121e4 Ja! Bevoegd? Bericht 555555 141c334b2674ca13459a3e96925293842c5121e4 Mededelingenmagazijn Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

33. NEE!!!! Is inter 12345 bevoegd? Stop registratie!!! Machtigingenregister 2 weken Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

34. Machtigingenregister Voorbeeld OPT-OUT Inter. KvK:12345 http://revocation.nl Geef mij bericht 555555 141c334b2674ca13459a3e96925293842c5121e4 Nee!!! Bevoegd? Bericht 555555 BOEF!! 141c334b2674ca13459a3e96925293842c5121e4 Mededelingenmagazijn Standard Business Reporting ProgrammaEen initiatief van de Nederlandse overheid

35. Standard Business Reporting Programma Een initiatief van de Nederlandse overheid www.sbr-nl.nl info@sbr-nl.nl Remco van Wijk remco.van.wijk@logius.nl