ASMENS DOKUMENTŲ IŠRAŠYMO CENTRO
PRIE VIDAUS REIKALŲ MINISTERIJOS DIREKTORIAUS
ĮSAKYMAS
DĖL PASŲ IR KELIONĖS DOKUMENTŲ ELEKTRONINĖS LAIKMENOS IŠPLĖSTINĖS PRIEIGOS KONTROLĖS NACIONALINĖS SERTIFIKAVIMO POLITIKOS PATVIRTINIMO
2009 m. liepos 31 d. Nr. 1-32
Vilnius
Vadovaudamasis Lietuvos Respublikos Vyriausybės 2009 m. birželio 25 d. nutarimo Nr. 652 „Dėl atsakingos institucijos paskyrimo“ (Žin., 2009, Nr. 79-3281) 1.3 punktu, įgyvendindamas 2006 m. birželio 28 d. Europos Komisijos sprendimo K(2006) 2909, nustatančio valstybių narių išduodamų pasų ir kelionės dokumentų apsauginių savybių ir biometrikos standartų technines specifikacijas, priedo 5.5.3 punkto nuostatas ir 2008 m. gruodžio 22 d. Europos Komisijos sprendimo K(2008) 8657, kuriuo nustatoma sertifikavimo politika, kaip reikalaujama valstybių narių išduodamų pasų ir kelionės dokumentų apsauginių savybių ir biometrinių duomenų standartų techninėse specifikacijose, ir atnaujinami normatyviniai dokumentai, reikalavimus:
1. Tvirtinu Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinę sertifikavimo politiką, versija 1.0 (pridedama).
2. Nustatau, kad šis įsakymas skelbiamas leidinyje „Valstybės žinios“ ir Asmens dokumentų išrašymo centro prie Vidaus reikalų ministerijos interneto tinklalapyje.
PATVIRTINTA
Asmens dokumentų išrašymo centro prie Vidaus reikalų ministerijos direktoriaus 2009 m. liepos 31 d. įsakymu Nr. 1-32
PASŲ IR KELIONĖS DOKUMENTŲ ELEKTRONINĖS
LAIKMENOS IŠPLĖSTINĖS PRIEIGOS KONTROLĖS
NACIONALINĖ SERTIFIKAVIMO POLITIKA
Versija 1.0
I. BENDROSIOS NUOSTATOS
1. Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinės sertifikavimo politikos (toliau – Nacionalinė SP) tikslas – nustatyti pagrindinius organizacinius, techninius ir saugumo reikalavimus, kuriais grindžiama patikima už patikrą atsakingos Lietuvos Respublikos sertifikavimo įstaigos (angl. CVCA) (toliau – Lietuvos CVCA) ir Lietuvos bei valstybių narių dokumentus tikrinti įgaliotų įstaigų (angl. DV) (toliau – DV) sąveika, įgyvendinant išplėstinės prieigos kontrolės viešojo rakto infrastruktūrą (angl. EAC PKI) (toliau – EAC PKI).
2. Nacionalinė SP atitinka Bendrąją Europos Sąjungos valstybių narių išduodamų pasų ir kelionės dokumentų išplėstinės prieigos kontrolės infrastruktūros sertifikavimo politiką, nustatytą Europos Komisijos 2006 m. birželio 28 d. sprendimo C (2006) 2909 5.5.3 straipsnyje ir patvirtintą 2008 m. gruodžio 22 d. Europos Komisijos sprendimu K(2008) 8657.
3. Nacionalinė SP grindžiama techninėmis gairėmis „Mašininio skaitymo kelionės dokumentų pažangieji apsauginiai mechanizmai – Išplėstinė prieigos kontrolė“, 1.1.1 versija, TR-03110, paskelbta Bundesamt fur Sicherheit in der Informationstechnik (toliau – TR-EAC).
4. Nacionalinė SP taikoma įgyvendinat TR-EAC 2.2 punkte „Viešojo rakto infrastruktūra“ aprašytą viešojo rakto infrastruktūrą.
5. Nacionalinėje SP naudojamos sąvokos ir sutrumpinimai:
Bendroji sertifikavimo politika – bendra Europos Komisijos paskelbta sertifikavimo politika, kurioje nurodomi būtinieji reikalavimai, kuriuos turi atitikti valstybės narės Nacionalinė SP.
Dokumentus tikrinti įgaliota įstaiga (angl. DV) – Lietuvos Respublikos ar kitos valstybės narės EAC PKI subjektas, kuris atsakingas už sertifikatų patikros sistemoms (angl. IS) sudarymą ir išdavimą.
Jungiamasis sertifikatas (angl. Link certificate) – jungiamasis sertifikatas, susiejantis naują CVCA sertifikatą su vienu ankstesnių CVCA sertifikatų ir taip užtikrinantis naujo CVCA sertifikato pripažinimą.
Išplėstinės prieigos kontrolės viešojo rakto infrastruktūra (EAC PKI) – infrastruktūra, skirta kontroliuoti prieigai prie pasuose ir kelionės dokumentuose saugomų pirštų atspaudų biometrinių duomenų, kai realizuojama išplėstinė prieigos kontrolė.
Nacionalinė sertifikavimo politika (Nacionalinė SP) – valstybės narės sertifikavimo politika, kuria reglamentuojamas valstybės narės EAC PKI veikimas.
Mašininio skaitymo kelionės dokumentas (angl. MRTD) – tarptautinis kelionės dokumentas, kuriame yra plika akimi matomų ir mašininiu būdu nuskaitomų duomenų.
Patikros sistema (angl. IS) – MRTD esančių pirštų atspaudų biometrinių duomenų nuskaitymo techninės ir programinės įrangos sistema.
Registravimo institucija (angl. RA) – EAC PKI subjektas, vykdantis prašymų išduoti sertifikatus registravimo funkcijas, identifikuojantis ir autentifikuojantis prašymus teikiančius subjektus.
Už patikrą atsakinga Lietuvos Respublikos sertifikavimo įstaiga (Lietuvos CVCA) – Lietuvos Respublikos EAC PKI subjektas, kuris atsakingas už sertifikatų dokumentus tikrinti įgaliotoms įstaigoms (DV) sudarymą, išdavimą ir visą Lietuvos Respublikos EAC PKI infrastruktūrą
Už patikrą atsakinga kitos valstybės narės sertifikavimo įstaiga (valstybės narės CVCA) – kitos valstybės narės EAC PKI subjektas, kuris atsakingas už sertifikatų dokumentus tikrinti įgaliotoms įstaigoms (DV) sudarymą, išdavimą ir visos valstybės narės EAC PKI infrastruktūrą.
| Santrumpa |
Aprašymas |
| SP |
Sertifikavimo politika (taisyklės) |
| CVCA |
Už patikrą atsakinga šalies sertifikavimo įstaiga |
| CVRA |
Už patikrą atsakinga šalies registravimo įstaiga |
| DV |
Dokumentus tikrinti įgaliota įstaiga |
| DVRA |
Dokumentus tikrinti įgaliotos įstaigos registravimo įstaiga |
| EAC |
Išplėstinė prieigos kontrolė |
| EAC PKI |
Išplėstinės prieigos kontrolės viešojo rakto infrastruktūra |
| IS |
Patikros sistema |
| MRTD |
Mašininio skaitymo kelionės dokumentas |
| OID |
Objekto identifikatorius |
| PKI |
Viešojo rakto infrastruktūra |
| RA |
Registravimo įstaiga |
II. EAC PKI organizacinė struktūra
6. Lietuvos EAC PKI organizacinę struktūrą sudaro:
6.1. Lietuvos CVCA, kuri yra atsakinga už Lietuvos EAC PKI funkcionavimą ir patikimą veiklą. Lietuvos CVCA nustato tiek Lietuvos, tiek užsienio DV prieigos prie Lietuvos Respublikos išduodamų pasų ir kelionės dokumentų lustuose saugomų jautrių duomenų teises ir vykdo kontrolės funkcijas;
6.3. CVRA, atsakinga už DV prašymų sudaryti sertifikatą identifikavimą ir autentifikavimą, sertifikatų DV išdavimą. Toliau CVRA laikoma Lietuvos CVCA dalimi ir jos funkcijos ir atsakomybė atskirai neišskiriamos;
6.4. DVRA, atsakinga už IS prašymų sudaryti sertifikatą identifikavimą ir autentifikavimą, sertifikatų DV išdavimą. Viena DV gali turėti tik vieną DVRA. Toliau DVRA laikoma DV dalimi ir jos funkcijos ir atsakomybė atskirai neišskiriamos;
III. Kriptografinių raktų ir Sertifikatų naudojimas
8. Lietuvos CVCA kriptografinių raktų (toliau – raktų) poros ir sertifikatai gali būti naudojami tik šiais tikslais:
8.1. privatusis raktas naudojamas pasirašyti sertifikatus, kurie išduodami Lietuvos ir kitų valstybių DV;
8.2. privatusis raktas naudojamas pasirašyti Lietuvoje registruotos DV prašymus išduoti sertifikatą, teikiamą kitų valstybių narių CVCA (15.2.4.2 punktas);
9. DV raktų poros ir sertifikatai gali būti naudojami tik šiais tikslais:
IV. Sertifikatų sekos sudarymas
11. Sertifikatų seka formuojama šiuo būdu:
11.1. Lietuvos CVCA sudaro ir pati pasirašo savo sertifikatą (angl. self-signed certificate), sudaro ir pasirašo jungiamuosius Lietuvos CVCA sertifikatus ir pasirašo DV sertifikatus;
12. Kitos valstybės narės DV sertifikatas tvirtinamas Lietuvos CVCA parašu, suteikiančiu teisę tikrinti Lietuvos Respublikos pasus ir kelionės dokumentus tik tada, jei valstybės narės DV sertifikato užklausa yra patvirtinta tos valstybės narės CVCA parašu.
V. Identifikavimas ir autentifikavimas
14. EAC PKI subjektų ir jų viešojo rakto identifikavimas.
14.2. Sertifikate įrašoma sertifikato savininko ir sertifikatą išdavusios sertifikavimo įstaigos nuorodos.
14.4. Sertifikato savininko nuorodą sudaro unikalus identifikatorius, sudarytas iš šių elementų:
14.5. Sertifikato savininko nuoroda privalo būti unikali tarp visų Lietuvos CVCA sudaromų sertifikatų.
14.6. Valstybės narės tapatybę apibrėžia:
14.6.1. CVCA sertifikato:
14.6.2. DV sertifikato:
14.6.2.1. sertifikavimo įstaigos nuoroda – nacionalinės CVCA tapatybė arba kitos valstybės narės CVCA tapatybė;
15. Pradinis tapatybės patvirtinimas ir registracija.
15.1. Prieš pradėdama vykdyti DV prašymus išduoti sertifikatus, kiekviena CVCA privalo patvirtinti viena kitos tapatybę. CVCA tapatybės patvirtinimą prižiūri Europos Komisija. Lietuvos CVCA tapatybės patvirtinimui Europos Komisijai turi pateikti:
15.2. DV registracija Lietuvos CVCA turi būti vykdoma saugiu kanalu, registruodamasi DV privalo pateikti:
15.2.4. prašymą išduoti sertifikatą. Prašymo formatas turi atitikti TR-EAC A.4.2. punkte nurodytą sertifikato prašymo profilio šabloną (2 priedas). Prašyme išduoti sertifikatą turi būti 2 parašai:
15.2.4.1. vidinis parašas, kurio privatųjį raktą atitinkančiam viešajam raktui prašoma sudaryti sertifikatą;
15.3. Jei keičiasi esminiai ir svarbūs registracijos duomenys, DV turi pateikti išsamią informaciją apie pasikeitimus Lietuvos CVCA. Lietuvos CVCA vertina, ar reikalingas naujas tapatybės patvirtinimas.
16. Pakartotiniai prašymai išduoti sertifikatus.
16.1. Lietuvos CVCA, gavusi DV prašymą pakartotinai išduoti sertifikatą, turi užtikrinti prašymo galiojimą, patvirtindama, kad:
16.1.1. prašymas suformuotas pagal TR-EAC A.4.2. punkte nurodytą sertifikato prašymo profilį (2 priedas);
16.1.3. DV veiklos atitikties Nacionalinei SP ir DV sertifikavimo veiklos nuostatams sertifikatas galioja;
VI. Reikalavimai sertifikatų gyvavimo ciklui
17. Prašymas išduoti sertifikatą.
17.1. DV ir IS prašymus išduoti sertifikatą teikia tik atlikus pradinį tapatybės patvirtinimą pagal 15 punktą. Prašymas teikiamas pagal TR-EAC A.4.2. punkte pateiktą prašymo šablono profilį (2 priedas).
17.2. Lietuvos CVCA turi patikrinti, ar prašymas išduoti sertifikatą galioja, ir patvirtinti prašymo gavimą. Lietuvos CVCA privalo apdoroti prašymą per 72 val. Jei CVCA sistema neveikia ilgiau nei šis terminas, Lietuvos CVCA privalo apie tai pranešti DV ne vėliau kaip prieš 7 dienas iki veiklos sustabdymo, jei jis planuotas, o esant neplanuotam veiklos sustabdymui – kaip galima greičiau.
18. Sertifikato išdavimas.
18.1. Lietuvos CVCA ir DV turi imtis kovos su sertifikatų klastojimu priemonių bei užtikrinti, kad sertifikatų išdavimo procedūra būtų saugiai susijusi su registracijos ir kitomis sertifikato gyvavimo ciklo valdymo procedūromis.
18.2. Lietuvos CVCA ir DV sertifikatai turi būti generuojami ir išduodami pagal TR-EAC A.4 aprašytas procedūras ir sertifikato bei sertifikato prašymo šablonus (1, 2 priedai).
19. Prašymas pakartotinai išduoti sertifikatą.
19.1. Sertifikatą atitinkanti raktų pora ir sertifikatas gali būti keičiami šiais atvejais:
19.2. Jei baigiasi DV sertifikato galiojimas (19.1.1 punktas), teikiamas prašymas pakartotinai išduoti sertifikatą (16 punktas).
19.3. Lietuvos CVCA ir DV turi užtikrinti, kad anksčiau registruotų DV ir IS prašymai išduoti sertifikatus būtų išsamūs, tikslūs ir tinkamai autorizuoti:
19.3.1. patikrinti prašymo išorinio parašo sertifikato (kurio raktų pora keičiama) egzistavimą ir galiojimą ir kad informacija, naudojama patikrinti DV ir IS tapatybę, vis dar galioja;
19.3.2. išduoti naują sertifikatą, tik patikrinus sertifikato prašymo vidinio parašo galiojimą ir įsitikinus, kad tą parašą atitinkančio kriptografinio rakto saugumas yra pakankamas naujojo sertifikato galiojimo laikotarpiu ir nėra požymių, kad šis raktas yra pažeistas;
20. Raktų porų ir sertifikatų saugumo reikalavimai.
20.1. Lietuvos CVCA, DV ir IS privalo laikytis šių reikalavimų:
20.1.1. užtikrinti, kad Lietuvos CVCA ir DV būtų teikiama tiksli ir išsami informacija, laikantis Nacionalinės SP reikalavimų; ypatingas dėmesys turi būti skiriamas informacijai, gaunamai vykdant registracijos procedūras;
20.1.2. raktų poros turi būti naudojamos tik laikantis šios Nacionalinės SP reikalavimų ir pagal paskirtį, nurodytą sertifikato naudojimo paskirties lauke;
20.1.4. raktai turi būti generuojami pagal TR-EAC reikalavimus, kurie turi būti aprašyti sertifikavimo veiklos nuostatuose;
20.1.5. privatieji raktai turi būti naudojami tik pasirašyti ar informacijai šifruoti ir laikomi tik saugiame kriptografiniame įrenginyje, kaip aprašyta III skyriuje;
20.1.6. Lietuvos CVCA ir DV turi būti nedelsiant pranešta, jei iki sertifikato galiojimo termino pabaigos įvyksta kuris nors iš šių įvykių:
20.3. Gavus informaciją, kad pažeistas CVCA ar DV privatusis raktas, šiais raktais pasirašytais sertifikatais neturi būti pasitikima.
VII. Administracinės, Procedūrinės ir fizinės kontrolės ir saugumo užtikrinimo priemonės
22. Fizinės kontrolės priemonės:
22.1. Lietuvos CVCA ir DV turi užtikrinti, kad veikla, susijusi su sertifikatų sudarymu ir išdavimu, būtų vykdoma saugioje aplinkoje;
22.3. galimybė patekti į Lietuvos CVCA ir DV turi būti kontroliuojama ir suteikiama tik įgaliotiems asmenims;
22.4. informacijos saugojimo laikmenos turi būti apsaugotos nuo neteisėto panaudojimo, sugadinimo ar informacijos atskleidimo;
23. Procedūrinės kontrolės priemonės.
23.1. Procedūrinės kontrolės priemonės įgyvendinamos atskiriant ir paskirstant pareigas. Svarbiausios užduotys turi būti atliekamos esant dvigubai kontrolei.
23.2. Lietuvos CVCA, DV ir IS turi užtikrinti, kad sisteminę prieigą prie bet kurio EAC PKI įrenginio turėtų tik tam įgalioti asmenys.
23.3. Reikalavimai kitoms procedūrinėms kontrolės priemonėms:
23.3.1. DV vidaus tinklo sritis turi būti apsaugota nuo išorinių tinklų, prie kurių gali prieiti tretieji asmenys;
23.3.3. jautrūs duomenys turi būti apsaugoti (pvz., šifruojami), kai jie perduodami nesaugiais tinklais;
23.3.4. Lietuvos CVCA, DV, IS turi užtikrinti veiksmingą naudotojų, kuriems suteikta tiesioginė prieiga prie EAC PKI sistemų, administravimą, įskaitant naudotojų darbo laukų valdymą, auditą ir prieigos teisių keitimą arba panaikinimą laiku;
23.3.5. Lietuvos CVCA, DV ir IS turi užtikrinti, kad prieigą prie EAC PKI informacijos ir taikomųjų sistemų turėtų tik įgalioti darbuotojai, būtų įgyvendintas administracinių ir operacinių funkcijų atskyrimas. Turi būti griežtai kontroliuojamas sistemos taikomųjų programų naudojimas, prieiga turi būti suteikta tik prie tų resursų, kurie būtini reikiamai operacijai atlikti;
23.3.6. prieš naudojant EAC PKI taikomąsias programas, susijusias su sertifikatų tvarkymu arba prieiga prie MRTD, Lietuvos CVCA, DV ir IS darbuotojai turi būti sėkmingai identifikuoti ir autentifikuoti;
23.3.7. Lietuvos CVCA, DV ir IS darbuotojai turi būti atskaitingi už savo veiklą (pvz., išsaugoti įvykių registracijos žurnalus);
24. Darbuotojų kontrolės priemonės.
24.2. Reikalavimai CVCA, DV ir IS personalui:
24.2.1. Lietuvos CVCA, DV ir IS turi dirbti pakankamai darbuotojų, turinčių profesinių žinių, patirties ir kvalifikaciją, būtiną sertifikavimo įstaigos funkcijoms ir pareigoms vykdyti;
24.2.2. saugumo sumetimais turi būti atlikta darbuotojų vidaus patikra, atsižvelgiant į jų atliekamas funkcijas;
24.2.3. darbuotojams, pažeidžiantiems Lietuvos CVCA, DV arba IS veiklos reikalavimus, turi būti taikomos atitinkamos drausmines sankcijos;
24.2.4. įstaigos saugumo politikoje nurodyti įpareigojimai ir funkcijos turi būti įrašytos pareigybės aprašymuose. Aukšto patikimumo reikalaujančios funkcijos, nuo kurių priklauso sistemos operacijų saugumas, turi būti aiškiai apibrėžtos;
24.2.5. visi darbuotojai (laikinieji ir nuolatiniai) turi turėti pareigybės aprašymus, kuriuose aiškiai nurodomos jų pareigos ir įgaliojimų apribojimai;
24.2.6. visi Lietuvos CVCA, DV ir IS darbuotojai, vykdydami aukšto patikimumo reikalaujančias funkcijas, turi vengti bet kokio interesų konflikto, galinčio pakenkti sertifikavimo įstaigos veiklos nešališkumui;
24.2.7. už saugumą atsakinga vadovybė vykdyti didelio patikimumo reikalaujančias funkcijas turi paskirti vykdyti darbuotojams, turintiems prieigą prie Lietuvos CVCA, DV ir IS privačiųjų raktų;
25. Veiklos registracijos procedūros.
25.1. Lietuvos CVCA, DV ir IS privalo įgyvendinti tokias veiklos registracijos procedūras, kad galėtų atpažinti ir išanalizuoti bet kokį tinkamą ir netinkamą jos sistemų naudojimą.
25.2. Lietuvos CVCA, DV ir IS turi užtikrinti, kad būtų registruojama visa su sertifikatų gyvavimo ciklu susijusi informacija, siekiant pateikti tinkamos veiklos įrodymus atliekant patikros ar audito procedūras (IX skyrius).
25.3. Lietuvos CVCA ir DV turi užtikrinti, kad:
25.3.1. būtų išlaikytas su sertifikatų gyvavimo ciklu susijusių įrašų konfidencialumas ir vientisumas;
25.4. IS turi turėti registracijos žurnalą, atitinkantį šiuos reikalavimus:
25.4.1. IS raktų ir sertifikatų gyvavimo ciklo įvykiai turi būti registruojami taip, kad atsakinga DV galėtų nustatyti netinkamo naudojimo atvejus;
26. Įrašų archyvavimo procedūros.
26.1. Visos Lietuvos CVCA, DV ir IS turi įgyvendinti tinkamas įrašų archyvavimo procedūras. Tokios procedūros turi užtikrinti duomenų vientisumą, autentiškumą ir konfidencialumą.
26.2. Archyvai turi būti kuriami taip, kad jų nebūtų galima ištrinti ar sunaikinti per laikotarpį, kurį juos privaloma saugoti.
26.4. Jei pirminėje laikmenoje neįmanoma nustatytą laiką išsaugoti duomenų, archyvavimo sistemoje turi būti nustatytas periodiško archyvuojamų duomenų perkėlimo į naują laikmeną mechanizmas.
26.5. IS neturi registruoti arba persiųsti iš MRTD gautų pirštų atspaudų duomenų. Šie biometriniai duomenys turi būti ištrinami iš karto užbaigus iš turėtojo gautų pirštų atspaudų ir iš MRTD nuskaitytų pirštų atspaudų palyginimo procesą.
27. Pažeidimai ir avarinis duomenų atkūrimas.
27.1. Lietuvos CVCA turi imtis pagrįstų priemonių užtikrinti, kad būtų išlaikytas veiklos tęstinumas, įskaitant priemones, mažinančias:
27.2. Įvykus avariniam įvykiui, įskaitant privačiojo rakto pažeidimą, Lietuvos CVCA, DV ir IS turi užtikrinti, kad veikla būtų kuo greičiau atkurta:
27.2.2. turi būti daromos Lietuvos CVCA ir DV sistemų duomenų, būtinų atkurti Lietuvos CVCA ir DV veiklą, atsarginės kopijos, šie duomenys turi būti saugomi taip, kad įvykęs avarinis įvykis jų nepažeistų;
27.3. DV, kuriai buvo išduotas Lietuvos CVCA sertifikatas, turi nedelsdama informuoti Lietuvos CVCA apie DV arba IS privačiojo rakto pažeidimą ar netinkamą naudojimą.
27.4. Jei IS prarandama ar pavagiama, atitinkama DV, kuriai buvo išduotas Lietuvos CVCA sertifikatas, turi kuo skubiau, tačiau ne vėliau kaip kartu su kitu prašymu, išduoti sertifikatą, informuoti apie incidentą Lietuvos CVCA.
28. Lietuvos CVCA arba DV veiklos nutraukimas.
28.1. Jei Lietuvos CVCA nutraukia savo veiklą, ji privalo:
28.1.2. pranešti visoms CVCA, kuriose ji registruota, apie CVCA, kuri perims sertifikavimo veiklos įsipareigojimus (jei tokia yra);
28.1.4. pranešti apie veiklos nutraukimą visoms DV, kurioms ji išduoda sertifikatus, apie CVCA (jei tokia yra), kuri perims įsipareigojimus ir išdavinės DV sertifikatus;
VIII. Techninės saugumo kontrolės priemonės
30. Lietuvos CVCA ir DV turi užtikrinti, kad kriptografiniai raktai būtų generuojami esant kontroliuojamai aplinkai ir pagal šiuos Nacionalinės SP reikalavimus:
30.1. Raktai turi būti generuojami naudojant patikimą kriptografinį įrenginį, atitinkantį:
30.1.3. BSI kriptografinių modulių saugumo lygmenį „Padidintas“4.
__________________
1 BSI-PP-004-2002T Apsaugos profilis – saugaus parašo sukūrimo priemonė, 1 tipas, 1.05 versija.
2 BSI-PP-005-2002T Apsaugos profilis – saugaus parašo sukūrimo priemonė, 2 tipas, 1.04 versija.
3 BSI-PP-006-2002T Apsaugos profilis – saugaus parašo sukūrimo priemonė, 3 tipas, 1.05 versija.
4 BSI-PP-0036-2008: kriptografinių modulių saugumo lygmuo „Padidintas“, 1.0 versija.
30.2. Prieš pasibaigiant Lietuvos CVCA arba DV privataus rakto galiojimui, Lietuvos CVCA arba DV turi generuoti naują raktų porą. Naujas raktas turi būti generuojamas ir išplatinamas pagal šios Nacionalinės SP reikalavimus.
30.3. Lietuvos CVCA ir DV turi užtikrinti, kad platinant viešuosius raktus DV ir IS, būtų išlaikytas jų viešųjų raktų vientisumas ir autentiškumas.
30.5. Privatieji raktai turi būti saugomi ir naudojami tik naudojant patikimą kriptografinį įrenginį (30.1 punktas).
30.6. Lietuvos CVCA ir DV turi įdiegti techninius ir procedūrinius mechanizmus, kurie užtikrintų bent dvigubą kontrolę atliekant aukšto patikimumo funkcijas, susijusias su Lietuvos CVCA raktais. DV turi įdiegti autentifikavimo procedūrą siekiant pasinaudoti DV kriptografiniu įrenginiu ir privačiuoju raktu.
30.8. Kai privatieji raktai yra ne kriptografiniame įrenginyje, jie turi būti apsaugoti taip, kad būtų užtikrintas ne žemesnis nei kriptografinio įrenginio užtikrinamas saugumo lygis.
30.9. Daryti privačiųjų raktų atsargines kopijas, jas saugoti ir privačiuosius raktus atkurti turi tik aukšto pasitikėjimo reikalaujančias funkcijas atliekantys darbuotojai, esant bent dvigubai kontrolei ir procedūras vykdant fiziškai saugioje aplinkoje.
30.10. Raktus saugant kriptografiniame įrenginyje, turi būti realizuota prieigos kontrolė, užtikrinanti, kad raktas nebūtų prieinamas už kriptografinio įrenginio ribų.
30.11. Privatieji raktai negali būti naudojami pasibaigus jų galiojimo laikui, privatieji raktai ir jų kopijos turi būti sunaikinti.
31. Kiti raktų poros valdymo aspektai.
31.1. Raktų galiojimo terminai, nustatyti 2006 m. birželio 28 d. Europos Komisijos sprendimo C(2006) 2909 5.5.1 punkte:
34. Saugumo reikalavimų analizė turi būti atliekama bet kurio sistemos kūrimo projekto, kurį įgyvendina Lietuvos CVCA, DV arba IS, kūrimo ir reikalavimų nustatymo etape.
IX. Atitikties auditas ir kitoks įvertinimas
36. Lietuvos CVCA, prieš išduodama sertifikatus DV, turi įsitikinti, kad valstybės narės Nacionalinė SP, kurią atitinka DV, atitinka Bendrąją sertifikavimo politiką. Kilus ginčui, prižiūrint Europos Komisijai, rengiamas arbitražas.
37. Siekiant įrodyti, kad DV veikla atitinka Nacionalinę SP ir DV sertifikavimo veiklos nuostatus, DV privalo atlikti nepriklausomą auditą. Atliekant auditą, būtina patikrinti, ar yra nustatytos procedūrinio saugumo kontrolės priemonės, ir patikrinti, ar jų praktiškai laikomasi. Toks auditas turi būti atliekamas bent kas treji metai, vėliau auditą atlikusi tarnyba bent kartą per metus turi atlikti patikrą siekiant užtikrinti Nacionalinės SP ir DV sertifikavimo veiklos nuostatų laikymąsi.
38. Auditą atliekanti tarnyba turi būti šiuo tikslu akredituota valstybės narės akreditavimo įstaigos.
39. Jei audito metu nustatoma, kad DV nesilaiko Nacionalinės SP, DV privalo apie tai pranešti visoms CVCA, iš kurių gauna sertifikatus.
X. Baigiamosios nuostatos
42. IS neturi registruoti ar perduoti iš MRTD gautų pirštų atspaudų biometrinių duomenų. Šie duomenys gali būti naudojami tik iš turėtojo paimtų pirštų atspaudų ir iš MRTD nuskaitytų pirštų atspaudų biometrinių duomenų palyginimui.
43. Visos sertifikatų ir raktų valdymo funkcijos turi būti atliekamos naudojant patikimus ryšio kanalus. Lietuvos CVCA ir DV turi palaikyti ryšį bent elektroniniu paštu. Esant Lietuvos CVCA ryšio sutrikimams ji privalo pranešti DV apie alternatyvų ryšio kanalą, kuriuo būtų galima pateikti prašymą išduoti sertifikatą. Lietuvos CVCA tai turi atlikti nedelsdama siekiant sumažinti sertifikato galiojimo pasibaigimo riziką.
44. Valstybė narė turi teisę keisti savo Nacionalinę SP, keitimai skirstomi į 2 rūšis:
44.1. keitimai, kurie nekeičia Nacionalinės SP saugumo lygio ir prasmės, apimantys rašybos ar korektūros klaidas. Šie pakeitimai atliekami be išankstinio perspėjimo, Nacionalinės SP unikalus identifikatorius nėra keičiamas;
44.2. kitų keitimų atveju, Lietuvos CVCA bent prieš 3 mėnesius apie keitimus turi informuoti Europos Komisiją ir DV, kurios naudoja Lietuvos CVCA išduotus sertifikatus. Jei pakeitimai keičia Lietuvos CVCA užtikrinamą veiklos patikimumo lygį, keičiama Nacionalinės SP unikalaus identifikatoriaus versijos lauko reikšmė.
Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinės sertifikavimo politikos, patvirtintos Asmens dokumentų išrašymo centro
prie Vidaus reikalų ministerijos direktoriaus 2009 m. liepos 31 d. įsakymu Nr. 1-32,
1 priedas
Sertifikato profilio šablonas
| Nr. |
Sertifikato laukas |
| 1 |
Sertifikato šablono identifikatorius |
| 2 |
Sertifikatą sudariusios įstaigos nuoroda |
| 3 |
Sertifikato savininko nuoroda |
| 4 |
Viešasis raktas |
| 5 |
Sertifikato savininko autorizacijos šablonas |
| 6 |
Sertifikato galiojimo pradžios data |
| 7 |
Sertifikato galiojimo pabaigos data |
| 8 |
Parašas |
Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinės sertifikavimo politikos, patvirtintos Asmens dokumentų išrašymo centro
prie Vidaus reikalų ministerijos direktoriaus 2009 m. liepos 31 d. įsakymu Nr. 1-32,
2 priedas
Sertifikato prašymo profilio šablonas
| Nr. |
Sertifikato prašymo laukas |
| 1 |
Teikiančios prašymą įstaigos sertifikatas |
| 1.1 |
Sertifikato šablono identifikatorius |
| 1.2 |
Sertifikatą sudaryti prašomos įstaigos nuoroda |
| 1.3 |
Sertifikato savininko nuoroda |
| 1.4 |
Viešasis raktas |
| 2 |
Vidinis parašas |
| 3 |
Prašymą tvirtinančios įstaigos nuoroda |
| 4 |
Išorinis parašas sudarytas prašymą tvirtinančios įstaigos |
Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinės sertifikavimo politikos, patvirtintos Asmens dokumentų išrašymo centro
prie Vidaus reikalų ministerijos direktoriaus 2009 m. liepos 31 d. įsakymu Nr. 1-32,
3 priedas
Nacionalinės SP UNIKALAUS IDENTIFIKATORIAUS REIKŠMĖS ir sertifikavimo politikos versija
Nacionalinės SP unikalus identifikatorius
| Pavadinimas |
Reikšmė |
| ISO |
1 |
| ISO pripažinta organizacija |
3 |
| JAV Gynybos departamentas |
6 |
| Internetas |
1 |
| Privati įmonė |
4 |
| IANA registruota privati įmonė |
1 |
| Asmens dokumentų išrašymo centras |
33621 |
| Programinės ir techninės įrangos priežiūros skyrius |
1 |
| Dokumento tipas (Nacionalinė SP) |
1 |
| Dokumento versijos pirmasis skaitmuo
|
1 |
| Nacionalinės SP versija |
1.0 |
Pasų ir kelionės dokumentų elektroninės laikmenos išplėstinės prieigos kontrolės nacionalinės sertifikavimo politikos, patvirtintos Asmens dokumentų išrašymo centro
prie Vidaus reikalų ministerijos direktoriaus 2009 m. liepos 31 d. įsakymu Nr. 1-32,
4 priedas
kontaktiniai duomenYs
| CVCA: |
|
| Organizacija |
Asmens dokumentų išrašymo centras prie Lietuvos Respublikos vidaus reikalų ministerijos |
| Adresas |
Žirmūnų g. 1D, 09229 Vilnius |
| Tel. |
(+370 5) 271 80 00 |
| Faks. |
(+370 5) 271 80 45 |
| URL: |
http://www.dokumentai.lt/ |
| El. paštas |
adic@vrm.lt |