DELAVNICA: Varnost v e-Arhivarju Roglit 2007

1. PKI = {e-ključi, e-kriptografija, e-podpisi, e-certifikati, e-žigi} okolju prijazne informacijske rešitve www.genis.si www.arhivar.si DELAVNICA: Varnost v e-Arhivarju Roglit 2007 dr.Simon Vavpotič arhivski sistemi Simon.Vavpotic@genis.si

2. Asimetrična kriptografija javnega in zasebnega ključa 1. Janezov javni e-ključ Janez … … povprečen direktor, ki je neprestano na službenih poteh Janezov zasebni (privatni) e-ključ Janezovi (so)delavci Poznajo Janezov javni ključ Ana … … vodja oddelka Rok Tim

3. Asimetrična kriptografija javnega in zasebnega ključa Rok in Tim prestrežeta e-pismo, vendar ga ne znata prebrati, ker ne poznata Janezovega zasebnega ključa, zato še naprej v miru malicata … 2. e-pismo Ana z Janezovim javnim ključem e-kriptografira sporočilo in mu ga pošlje po e-pošti Naloga še ni končana! Rok in Tim še vedno malicata! Ana e-pismo e-pismo Janez s svojim zasebnim ključem e-dekriptografira Anino e-pismo in ga prebere HNFmsE m6Un Be jhhyCGK K JUxhiy Naloga še ni končana! Rok in Tim še vedno malicata! Rok Janez Tim

4. e-Podpis: e-Podpisovanje OP št. 12345: Odmor za malico traja 30 min. 3. OP št. 12345: Odmor za malico traja 30 min. … in podpiše organizacijski predpis s svojim zasebnim ključem 3W $r3 fff Dfrw rwe rw Janez … … napiše nov organizacijski predpis … Računalnik doda e-podpis na konec sporočila ali pa mu ga priloži kot posebno datoteko 3 Računalnik izdela e-odtis sporočila 1 e-odtis sporočila (hash) 3W $r3 fff Dfrw rwe rw Računalnik kriptografira e-odtis sporočila z Janezovim zasebnim ključem in dobi e-podpis sporočila 2

5. e-Podpis: Preverjanje veljavnosti } 4. e-pismo OP št. 12345: Odmor za malico traja 30 min. Ana Vsak zase s pomočjo računalnika preverijo veljavnost e-podpisa organizacijskega predpisa Janez … … pošlje novi organizacijski predpis po e-pošti Ani, Roku in Timu Rok 3W $r3 fff Dfrw rwe rw Tim

6. e-Podpis: Preverjanje veljavnosti 4. OP št. 12345: Odmor za malico traja 30 min. “novi” e-odtis sporočila (hash) Računalnik ponovno izdela e-odtis vsebine sporočila 2 e-pismo ? OP št. 12345: Odmor za malico traja 30 min. Računalnik primerja odtisa. Če sta enaka, je e-podpis veljaven. 4 Računalnik loči vsebino in e-podpis 1 Računalnik dekriptografira e-podpis z Janezovim javnim ključem 3 e-odtis sporočila (hash) 3W $r3 fff Dfrw rwe rw 3W $r3 fff Dfrw rwe rw

7. OP št. 12345: Odmor za malico naj traja vsaj 30 min. e-Podpis: Ponaredek 5. x&”*!?! Medtem, ko Rok obupa in le še stresa svojo jezo na Janeza, se Tim domisli, kako ponovno “podaljšati” odmor za malico, vsaj za toliko časa, dokler se Janez ne vrne s službene poti. T34 $r3 jjff tztrzzrwe rw Rok Tim … in z “Janezovim novim javnim “e-ključem” podpiše “novi” organizacijski predpis 3 OP št. 12345: Odmor za malico naj traja vsaj 30 min. Pripravi nov organizacijski predpis … Nato izdela nov par “Janezovih” e-ključev … 1 2 “Janezov novi” javni e-ključ “Janezov novi” zasebni e-ključ

8. e-Podpis: Ponaredek } Zaposleni vsak zase preverijo “Janezov” novi e-podpis: Ana in Rok verjameta, da je “novi” Janezov javni ključ “pristen”. Nato Ana presenečena “ugotovi”, da si je Janez “premislil”, Rok in Tim pa navdušeno odhitita na “težko” zasluženo malico. 5 5. e-pismo OP št. 12345: Odmor za malico naj traja vsaj 30 min. Tim pošlje “novi” organizacijski predpis z “Janezovim” e-podpisom (seveda v Janezovem imenu) vsem zaposlenim v podjetju, razen Janezu… e-pismu priloži tudi “Janezov novi” javni e-ključ. ! 4 Ana Tim T34 $r3 jjff tztrzzrwe rw Rok

9. e-CERTIFIKAT Ime in priimek: Janez Novak Podjetje: ABCDEF, d.o.o. Delovno mesto: direktor Veljavnost certifikata do: 1.1.2010 Serijska številka certifikata: 12345678 Janezov javni ključ: Certifikat izdal: CA – Jakob (www.ca-jakob.si) Jakobov e-podpis: Wafq23adsqW#d23 e-Certifikat: Izdelava 6. Jakob izdela digitalni certifikat, tako da Janezov javni ključe-podpiše s svojim zasebnim ključem, hkrati pa mu doda še nekaj informacij, ki jih prav tako e-podpiše s svojim zasebnim ključem. 2 Jakob pošlje e-certifikat Janezu, skupaj z e-certifikatom svoje CA, hkrati pa Janezov e-certifikat shrani tudi v svoji podatkovni zbirki 3 Janez … … se vrne iz službene poti in ugotovi, da je vse po starem, saj zaposleni ne morejo preveriti pristnosti njegovega javnega e-ključa Jakob … … je Janezov brat in ima agencijo za izdajo elektronskih certifikatov (CA – Certificate Authority), ki ima svoje javni, zasebni ključ in e-certifikat, ki jih je prejela od svoje nadrejene CA Pošlje svoj javni ključ Jakobu v e-podpis 1

10. e-Certifikat in e-podpisovanje e-pismo 7. OP št. 12346: e-podpisi brez e-certifikata CA-Jakob so neveljavni … ga podpiše z svojim zasebnim Ključem (ki ima zdaj e-certifikat) … OP št. 12346: e-podpisi brez e-certifikata CA-Jakob so neveljavni 2 …pripravi nov organizacijski predpis, ki … 1 Janez … … prejme e-certifikat in nato … … in v e-pismo priloži svoj e-certifikat 45weEtr45 stwetr234

11. Preverjanje e-certifikata in e-podpisa } e-pismo 8. OP št. 12346: e-podpisi brez e-certifikata CA-Jakob so neveljavni Ana Vsak zase s pomočjo računalnika preverijo veljavnost Janezovega e-certifikata in nato še veljavnost e-podpisa organizacijskega predpisa 45weEtr45 stwetr234 Rok Tim

12. e-Certifikat: Preverjanje veljavnosti e-CERTIFIKAT -Ime in priimek: Janez Novak -Podjetje: ABCDEF, d.o.o. -Delovno mesto: direktor -Veljavnost certifikata do: 1.1.2010 -Serijska številka certifikata: 12345678 -Janezov javni ključ: -Certifikat izdal: CA – Jakob (www.ca-jakob.si) Računalnik ponovno izdela e-odtis vsebine e-certifikata 8. 2 “novi” e-odtis e-certifikata (hash) ? e-CERTIFIKAT -Ime in priimek: Janez Novak -Podjetje: ABCDEF, d.o.o. -Delovno mesto: direktor -Veljavnost certifikata do: 1.1.2010 -Serijska številka certifikata: 12345678 -Janezov javni ključ: -Certifikat izdal: CA – Jakob (www.ca-jakob.si) -Jakobov e-podpis: Wafq23adsqW#d23 Računalnik primerja odtisa. Če sta enaka, je e-certifikat veljaven. 4 Računalnik dekriptira e-podpis CA-Jakob z Jakobovim javnim ključem (ki ga pridobi od CA-Jakob, ali iz shranjenega e-certifikata nadrejene CA) 3 Računalnik loči vsebino e-certifikata in e-podpis 1 e-odtis e-certifikata (hash) Wafq23ads qW#d23

13. e-Podpis: Preverjanje veljavnosti na osnovi e-certifikata 8. OP št. 12346: e-podpisi brez e-certifikata CA-Jakob so neveljavni. “novi” e-odtis sporočila (hash) Računalnik ponovno izdela e-odtis vsebine sporočila 2 e-pismo ? OP št. 12346: e-podpisi brez e-certifikata CA-Jakob so neveljavni Računalnik primerja odtisa. Če sta enaka, je e-podpis veljaven. 4 Računalnik dekriptira e-podpis z Janezovim javnim ključem iz Janezovega e-certifikata 3 Računalnik loči vsebino in e-podpis 1 e-CERTIFIKAT Ime in priimek: Janez Novak Podjetje: ABCDEF, d.o.o. Delovno mesto: direktor Veljavnost certifikata do: 1.1.2010 Serijska številka certifikata: 12345678 Janezov javni ključ: Certifikat izdal: CA – Jakob (www.ca-jakob.si) Jakobov e-podpis: Wafq23adsqW#d23 e-odtis sporočila (hash) 3W $r3 fff Dfrw rwe rw 45weEtr45 stwetr234

14. Hierarhija izdajateljev e-certifikatov Podrejena CA.4.4 Korenska CA 9. Podrejena CA.4.3 Podrejena CA.4 Podrejena CA.4.2 Podrejena CA.1 Podrejena CA.3 Podrejena CA.2 Podrejena CA.3.3 Podrejena CA.4.1 Podrejena CA.1.1 Podrejena CA.3.2 Podrejena CA.3.1 Podrejena CA.1.2 Podrejena CA.1.3 Podrejena CA.2.1 Podrejena CA.2.2 CA-Jakob

15. Podrejena CA.4.1 CA-Jakob Hierarhija e-certifikatov CA 10. Korenska CA Podrejena CA.4 e-certifikat korenske CA e-certifikat podrejene CA.4 e-certifikat podrejene CA.4.1 (CA-Jakob) Nadrejena CA izda e-certifikat (ter javni in zasebni ključ) podrejeni. Korenska CA izda svoj lastni e-certifikat.

16. Podrejena CA.4.1 CA-Jakob Preverjanje veljavnosti e-certifikatov po hierarhiji navzgor 11. Korenska CA Podrejena CA.4 e-certifikat podrejene CA.4 2 ? 3 ? e-certifikat podrejene CA.4.1 (CA-Jakob) e-certifikat korenske CA 1 ? Vsaka delovna postaja v podjetju ima nameščen e-certifikat korenske CA na ravni operacijskega sistema. Veljavnost Janezovega certifikata lahko preveri s pomočjo hierarhije e-certifikatov Janezov e-certifikat

17. Vzpostavitev splošnega zaupanja hierarhiji e-certifikatov 12. Primer 1 Korenska CA (na ravni države npr. SIGOV-CA) Poslovni subjekt n … Poslovni subjekt 1 Poslovni subjekt 3 Poslovni subjekt 2 Puščice kažejo smer pridobitve e-certifikatov. Poslovni subjekti se medsebojno zaupajo, saj lahko preverijo veljavnost tujih e-certifikatov pri korenski CA.

18. Vzpostavitev splošnega zaupanja hierarhiji e-certifikatov 12. Primer 2 Korenska CA (na ravni države npr. SIGOV-CA) Poslovni subjekt n … Poslovni subjekt 1 z lastno CA Poslovni subjekt 3 Poslovni subjekt 2 Poslovni subjekt 2 pridobi zaupanje subjektov 3 in 4 na osnovi zaupanja, ki ga uživa poslovni subjekt 1.

19. Preverjanje veljavnosti e-certifikatov pri izdajatelju 13. Certifikatna Agencija (CA) Spletna stran CA spletni vpogled Register izdanih e-certifikatov Register preklicanih e-certifikatov lastni e-certifikat CA Izdajatelj e-certifikatov javno objavi svoj certifikat, v katerem je tudi njegov javni e-ključ. V primeru dvoma v pristnost e-certifikata izdajatelja, je le tega mogoče ponovno prenesti iz njegove spletne strani, oziroma ga tam preveriti. Po dogovoru z lastniki e-certifikatov, so lahko v spletu objavljeni ali na zahtevo posredovani podatki iz registrov certifikatov.

20. Infrastruktura javnega ključa PKI = Public key infrastructure 14. • Odprta PKI • (v SLO po uvedbi ZEPEP) • Prednosti: •  Ni potrebnih posebnih pogodb med udeleženci e-trgovanja. • Pravna razmerja med udeleženci e-trgovanja so urejena z zakonodajo, ki določa pristojnosti CA in način za pridobite statusa CA. • Slabosti: • V primeru slabo napisane zakonodaje je lahko odškodninska odgovornost izdajateljev e-certifikatov (tudi do tretjih oseb) izredno velika, kar zavira razvoj, saj so cene e-certifikatov previsoke. •  Krog prodajalcev in kupcev je odprt. Zato je več možnosti za zlorabe. • Zaprta PKI • Prednosti: •  Odškodninska odgovornost izdajateljev CA je urejena s posebnimi pogodbami, ki jih podpišejo naročniki certifikatov •  Ni potrebna posebna pravna ureditev •  Krog prodajalcev in kupcev je zaprt, zato je manj možnosti za zlorabe. • Slabost: •  Podpis posebne pogodbe in overovitev pri notarju je pogosto vzrok, da raje ostanemo pri “papirnem” trgovanju, še posebej, če je transakcij malo. PRIMER: POSTARCA: Standardno kvalificirano digitalno potrdilo (e-certifikat) z obvezno uporabo pametne kartice, je kvalificirano digitalno potrdilo z enim parom ključev. Par ključev se uporablja tako za podpisovanje, kot za kriptiranje. Standardno kvalificirano digitalno potrdilo z obvezno uporabo pametne kartice mora biti za kakršno koli jamstvo shranjeno na pametni kartici, pri tem overitelj jamči za vse transakcije do višine 1.000.000 SIT po transakciji. PRIMER: POSTARCA: Napredno kvalificirano digitalno potrdilo (e-certifikat), je kvalificirano digitalno potrdilo z dvema paroma ključev. En par ključev je namenjen digitalnemu podpisu, drugi par ključev pa je namenjen kriptiranju. Zasebni ključ za podpisovanje je shranjen samo pri uporabniku, zasebni ključ za šifriranje pa je shranjen pri uporabniku in v bazi overitelja. Prednost tega mehanizma je predvsem v tem, da lahko uporabnik za dokumente, ki so bili zašifrirani za njega, od overitelja zahteva svoj zasebni ključ in prebere svoje dokumente, če iz kakršnega koli razloga izgubi svoj zasebni ključ. Napredno digitalno potrdilo mora biti za kakršno koli jamstvo shranjeno na pametni kartici, pri tem overitelj jamči za vse transakcije do višine 5.000.000 SIT po transakciji. PRIMER: POSTARCA: Standardno kvalificirano digitalno potrdilo (e-certifikat), je kvalificirano digitalno potrdilo z enim parom ključev. Par ključev se uporablja tako za podpisovanje, kot za kriptiranje. Pri standardnem kvalificiranem digitalnem potrdilu overitelj jamči za vse transakcije do višine 100.000 SIT po transakciji.

21. Ena izmed možnih rešitev problema zmanjšanja odgovornosti CA v PKIe-Notariat = e-Notarske storitve Certifikatna avtoriteta (CA) 15. e-certifikat e-notarska storitev Notariatna avtoriteta (NA) e-arhiviranje e-dokumenta e-avtorizacija zasebnega e-dokumenta e-žigosanje Avtorizacija Izvedba (oz. zapis) notarskega dejstva Podjetje B Podjetje A

22. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Potrebujem lastno CA? Koliko stane pridobitev e-certifikata? Ali lahko več e-dokumentov podpišem z istim e-certifikatom? Kako podaljšati veljavnost e-podpisa? Katere e-certifikate moram shraniti? Koliko e-certifikatov potrebujem? Kateri podatki spremljajo e-podpis?

23. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Potrebujem lastno CA? Koliko stane pridobitev e-certifikata? Ali lahko več e-dokumentov podpišem z istim e-certifikatom? Kako podaljšati veljavnost e-podpisa? Katere e-certifikate moram shraniti? Koliko e-certifikatov potrebujem? Kateri podatki spremljajo e-podpis?

24. e-podpisovanje (velikih količin) e-dokumentacije 16. Ali lahko več e-dokumentov podpišem z istim e-certifikatom? Lahko! Vendar moramo potem e-dokumente obravnavati kot paket oz. e-mapo z enakimi pravili e-hrambe. Ustrezna programska oprema lahko poskrbi za združevanje e-dokumentov v e-mape, ki jih lahko e-podpišemo z enim e-podpisom. Programska oprema skrbi tudi za varno hrambo e-certifikatov podpisnikov.

25. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Potrebujem lastno CA? Koliko stane pridobitev e-certifikata? Kako podaljšati veljavnost e-podpisa? Katere e-certifikate moram shraniti? Koliko e-certifikatov potrebujem? Kateri podatki spremljajo e-podpis?

26. e-podpisovanje (velikih količin) e-dokumentacije 16. Potrebujem lastno CA? Lastno CA potrebujete, če želite sami izdajati e-certifikate in se s tem izogniti stroškom za pridobivanje c-certifikatov od zunanjih ponudnikov. Strojna in programska oprema za vzpostavitev CA sta dragi, zato je nakup smiseln, če je tudi ekonomsko upravičen s količino e-dokumentacije.

27. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Koliko stane pridobitev e-certifikata? Kako podaljšati veljavnost e-podpisa? Katere e-certifikate moram shraniti? Koliko e-certifikatov potrebujem? Kateri podatki spremljajo e-podpis?

28. e-podpisovanje (velikih količin) e-dokumentacije 16. e-podpis potrjuje, da je vsebina e-dokumenta pristna in neposredno povezuje e-dokument z njegovim podpisnikom. e-podpisu lahko priložimo e-certifikat podpisnika, s čemer olajšamo preverjanje veljavnosti e-podpisa. Hkrati pa e-certifikat že vsebuje podatke o podpisniku. e-podpisu pogosto dodamo tudi grafično podobo in opis, s katero podamo podatke o podpisniku, hkrati pa podobo e-podpisa približamo podobi ročnega podpisa z žigom. Navadno se v vizualno berljivi obliki zapiše se tudi čas in datum podpisa in ime in/ali grafično podobo e-certifikata, s katerim je bil narejen e-podpis. Vmesnik za prikaz e-dokumenta lahko obenem tudi preverja veljavnost e-podpisa tako, da prikaže njegov status. Kateri podatki spremljajo e-podpis?

29. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Koliko stane pridobitev e-certifikata? Kako podaljšati veljavnost e-podpisa? Katere e-certifikate moram shraniti? Koliko e-certifikatov potrebujem?

30. e-podpisovanje (velikih količin) e-dokumentacije 16. Brez e-certifikata ni mogoče preverjanje verodostojnosti e-podpisa. Zato je dobro hraniti veljavnee-certifikate podpisnikov e-dokumentov (ali e-map e-dokumentov), ki jih hranimo v e-arhivu, saj jih bomo v nasprotnem ponovno morali pridobiti iz registra izdanih e-certifikatov pri CA, ali pa od samih podpisnikov. Katere e-certifikate moram shraniti?

31. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Koliko stane pridobitev e-certifikata? Kako podaljšati veljavnost e-podpisa? Koliko e-certifikatov potrebujem?

32. e-podpisovanje (velikih količin) e-dokumentacije 16. Koliko stane pridobitev e-certifikata? Posamezen e-certifikat lahko stane manj kot 10 €. Cena e-certifikata je lahko odvisna tudi od zakonodaje v državi, ki ima zakonsko urejeno e-trgovanje. Če je odškodninska odgovornost CA zelo velika, so cene e-certifikatov lahko sorazmerno visoke.

33. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Kako podaljšati veljavnost e-podpisa? Koliko e-certifikatov potrebujem?

34. e-podpisovanje (velikih količin) e-dokumentacije Kdaj je potrebno zamenjati e-certifikat? 16. Vsak aktivni e-certifikat (npr. direktorjev) potrebno vsaj pred iztekom njegove veljavnosti nadomestiti z novim! Če je zasebni ključ “e-certifikata” pridobila nepooblaščena oseba, ali so se pooblastila osebe, ki poseduje certifikat spremenila. V primeru razkritja zasebnega ključa certifikata CA, oz. preden, CA zamenja svoj e-certifikat.

35. e-podpisovanje (velikih količin) e-dokumentacije 16. Kako podaljšati veljavnost e-podpisa? Koliko e-certifikatov potrebujem?

36. e-podpisovanje (velikih količin) e-dokumentacije 16. e-ovojnica To dosežemo s časovnim e-žigosanjem! OP št. 12345: Odmor za malico traja 30 min. e-vsebina e-žig je posebna vrsta e-podpisa, ki jo izvedemo tako, da e-dokument z vključno e-podpisom ponovno e-podpišemo pred iztekom veljavnosti originalnega e-podpisa in pripadajočega e-certifikata, vendar za e-žig uporabimo nov e-certifikat. Hkrati tvorimo tudi e-ovojnico okoli originalnega e-dokumenta. Kako podaljšati veljavnost e-podpisa? 3W $r3 fff Dfrw rwe rw e-podpis Wfdwer432 sdf234234 e-žig

37. e-podpisovanje (velikih količin) e-dokumentacije 16. Koliko e-certifikatov potrebujem?

38. e-podpisovanje (velikih količin) e-dokumentacije 16. Pri e-poslovanju v odprtem sistemu PKI morajo imeti vsi e-dokumenti, ki imajo status dokumentarnega ali arhivskega gradiva, e-podpis Da bi lahko ugotovili natančen izvor vsakega e-dokumenta, mora imeti vsak podpisnik svoj e-certifikat. Lahko torej sklepamo, da morajo imeti vsi podpisniki v podjetju svoje e-certifikate, ki jim hkrati zagotavljajo vloge (npr. direktor, pomočnik direktorja, vodja sektorja, …) Poleg tega potrebujejo e-certifikate tudi nekatere samodejne storitve, denimo storitev za e-žigosanje arhivskih dokumentov v e-arhivu. Potreba po zagotavljanju novih e-certifikatov je stalna in je povezana s preklicem ali pretekom njihove veljavnosti. Koliko e-certifikatov potrebujem?

39. Programska in strojna oprema CA modul za nadzor in upravljanje e-dokumentov) 17. Časovni etalon (atomska ura, AC) Strežnik za upravljanje z e-certifikati, e-podpisi in e-žigi ter enkripcijo in dekripcijo (CST Server) Avtoriteta (strežnik), ki izdaja certifikate (CA) Podmodul za izvajanje e-podpisovanja in e-žigosanja

40. PKI = {e-ključi, e-kriptografija, e-podpisi, e-certifikati, e-žigi} okolju prijazne informacijske rešitve www.genis.si www.arhivar.si DELAVNICA: Varnost v e-Arhivarju Vprašanja & odgovori Genisvet 2006 Arboretum Volčji potok, 30. november 2006 dr.Simon Vavpotič arhivski sistemi Simon.Vavpotic@genis.si