Hitelesítés-szolgáltató

1. Bevezetés

A hitelesítés-szolgáltató olyan szervezet, amely digitális tanúsítványokat bocsát ki személyek vagy szervezetek részére. Minden tanúsítvány tartalmazza annak a nevét, akinek a számára a hitelesítés szolgáltató kibocsátotta, tartalmazza a nyilvános kulcsátde emellett más információkat is tartalmazhat róla. Attól függően, hogy milyen célra szolgáló tanúsítványról van szó, a nyilvános kulcs különböző célra szolgálhat:

A hitelesítés szolgáltatónak biztosítania kell, hogy a tanúsítvány birtokosa valóban az a személy (tehát a tanúsítványhoz tartozó magánkulcsot az birtokolja), akinek a neve a tanúsítványban szerepel. Ezért a hitelesítés szolgáltató

Ha a hitelesítés szolgáltató hibát követ el (például nem a megfelelő személynek bocsát ki egy tanúsítványt, vagy nem elég gyorsan teljesíti a visszavonás kérelmeket), akkor az elektronikus aláírásról szóló törvény szerint meg kell térítenie az ebből eredő kárt. Ennek megfelelően a hitelesítés szolgáltatók felelősség biztosítással rendelkeznek, és a hatóságok rendszeresen felülvizsgálják a tevékenységüket.

  A tanúsítványokhoz kapcsolódó szolgáltatói felelősségvállalásról és tranzakciós limitről szeretne olvasni?

2. Hitelesítési rend és szolgáltatási szabályzat

Sokféle tanúsítvány létezik, és az egyes tanúsítványfajtákra eltérő szabályok vonatkoznak. Például:

Mielőtt felhasználunk egy tanúsítványt (illetve a benne lévő nyilvános kulcsot), fontos tisztában lennünk azzal, hogy milyen szabályok vonatkoznak a tanúsítványra, milyen szabályok szerint használhatjuk fel. (Például, nem szerencsés több millió forintos döntést olyan tanúsítvány alapján hozni meg, amely az őt kibocsátó hitelesítés szolgáltató szerint legfeljebb tízezer forintos tranzakciókban használható.)

A hitelesítési rend (CP, certificate policy) egy olyan dokumentum, amely tanúsítványok felhasználására vonatkozó szabályokat, kikötéseket stb. tartalmaz. Minden tanúsítványban szerepel, hogy az adott tanúsítvány milyen hitelesítési rendeknek felel meg, tehát a hitelesítés szolgáltató milyen követelményrendszer szerint bocsátotta ki, milyen szabályok szerint vonja vissza, mekkora felelősséget vállal érte stb. Egy tanúsítvány egyszerre akár több hitelesítési rendnek is megfelelhet, több szabályhalmaz is vonatkozhat rá. A tanúsítványok certificate policies (a Windows "tanúsítvány irányelv" néven jeleníti meg) mezejében szerepel azon hitelesítési rendek OID-je (és esetleg URL-je), amelyeknek az adott tanúsítvány megfelel.

A minősített hitelesítés szolgáltatókra vonatkozó követelményeket a hazai jogszabályok (az elektronikus aláírásról szóló törvény és a 3/2005. IHM r.), valamint mértékadó nemzetközi specifikációk (a minősített hitelesítés szolgáltatók tekintetében az ETSI TS 101 456, nem minősített hitelesítés szolgáltatók tekintetében az ETSI TS 102 042) határozzák meg.

  A tanúsítványok felépítéséről szeretne olvasni?
  Az e-Szignó Hitelesítés Szolgáltató szabályzatait, hitelesítési rendjeit szeretné megtekinteni?
  Egy minősített hitelesítési rendet szeretne megtekinteni?

Mielőtt elfogadunk egy aláírást, célszerű elolvasnunk az aláíró tanúsítványában meghivatkozott hitelesítési rendet, ez alapján tudhatjuk meg, hogy az adott tanúsítványt hogyan kell ellenőriznünk, mennyire bízhatunk meg benne.

A hitelesítési rendet nem feltétlenül hitelesítés szolgáltatók készítik, alapvetően bárki meghatározhat hitelesítési rendeket. Például, a magyar közigazgatás is meghatározott hitelesítési rendeket. (A közigazgatás által meghatározott minősített hitelesítési rendek itt érhetőek el.) Ennek ellenére, a hazai gyakorlat jelenleg az, hogy minden hitelesítés szolgáltató saját hitelesítési renddel is rendelkezik. A hitelesítési rendek jellemzően általános követelményeket fogalmaznak meg, és egy hitelesítési rendet több hitelesítés szolgáltató is támogathat. Az azonos hitelesítési rendnek megfelelő tanúsítványokra – elvileg – azonos alapvető biztonsági követelményeknek vonatkoznak, így például áruk könnyen összehasonlítható. (Nagyon sok fajta tanúsítvány létezik, a különböző követelményeknek megfelelő tanúsítványokhoz általában egészen más árak tartoznak. Például, egy minősített tanúsítvány - amelyet csak személyes találkozás során, csak biztonságos aláírás-létrehozó eszközön lévő magánkulcshoz bocsát ki a szolgáltató - jellemzően drágább, mint egy távolról is kibocsátható, nem minősített tanúsítvány.)

A hitelesítés szolgáltatók ún. szolgáltatási szabályzatot készítenek, amelyben leírják, hogy milyen hitelesítési rendeket vállalnak fel, és hogyan, milyen módon felelnek meg a bennük szereplő követelményeknek. Optimális esetben az általános követelményeket a hitelesítési rend fogalmazza meg, a szolgáltatási szabályzatban pedig csak ezek részletes megvalósítása szerepel egyes szolgáltató-specifikus elemekkel (pl. a CRL-ek elérésére vonatkozó URL-ekkel) együtt. A gyakorlatban a hitelesítési rend sokszor csak annyit tartalmaz, hogy az adott típusú követelmények a szolgáltatási szabályzatban szerepelnek, így néha a szolgáltatási szabályzat is tartalmaz bizonyos alapvető követelményeket.

A hitelesítési rendek és szolgáltatási szabályzatok általában egy rögzített struktúrát követnek, amelyet az RFC 3647 határoz meg. Így a különböző szolgáltatók dokumentumai – és a bennük vállalt biztonsági követelmények – könnyen összehasonlíthatóak egymással.

3. Regisztráció

Mielőtt a hitelesítés szolgáltató tanúsítványt bocsát ki valakinek a részére, meg kell győződnie az illető személyazonosságáról. Azt a folyamatot nevezzük regisztrációnak, amikor a hitelesítés szolgáltató azonosítja a tanúsítványt igénylő személyt, feljegyzi annak adatait, és meghatározza, hogy milyen adatok kerülnek a kibocsátandó tanúsítványba.

Előfordulhat, hogy a regisztrációt nem a hitelesítés szolgáltató, hanem egy ún. regisztrációs szervezet (RA, registration authority) végzi. Ekkor a hitelesítés szolgáltató a regisztrációs szervezet által jóváhagyott kérelmeket bocsátja ki, és maga esetleg csak a tanúsítványok és visszavonási listák aláírását, tehát a szolgáltatói magánkulcsok kezelését végzi. A hazai szabályozás szerint a regisztrációs szervezet tevékenységéért ekkor is a hitelesítés szolgáltató vállalja a felelősséget, tehát az aláírást befogadó félenk nem kell azzal törődnie, hogy az adott aláíráshoz használt tanúsítványt a szolgáltató maga bocsátotta-e ki vagy regisztrációs szervezetet vett igénybe. Magyarországon a hitelesítés szolgáltatók általában saját maguk végzik a regisztrációt, és nincsenek külön regisztrációs szervezeteik. Korábban az a megoldás is elterjedt volt, hogy a regisztrációt közjegyző végzte, tehát közjegyző tanúsította az igénylő személyazonosságát. Ez a megoldás ma - a Nemzeti Hírközlési Hatóság tiltása óta - már nem alkalmazható.

A regisztráció biztonsága alapvetően meghatározza a tanúsítvány által nyújtott biztonságot. A legmagasabb biztonsági szint esetén a regisztráció személyesen történik (személyes regisztráció); tehát az igénylő személyesen találkozik a hitelesítés szolgáltató (vagy a regisztrációs szervezet) munkatársával (vagy korábban egy közjegyzővel).

Minősített tanúsítványt kizárólag személyes regisztrációt követően szabad kibocsátani, és a hitelesítés szolgáltató regisztrációs munkatársa valamely személyazonosításra alkalmas okirat (személyi igazolvány vagy jogosítvány vagy útlevél) alapján állapítja meg az igénylő személyazonosságát. Szintén követelmény, hogy a minősített hitelesítés szolgáltatónak közhiteles adatbázissal kell egyeztetnie az igénylő adatait.

Nem minősített tanúsítványok esetén a személyes regisztráció nem követelmény, így ott csak a hitelesítési rend és a szolgáltatási szabályzat alapos vizsgálatával állapítható meg, hogy a hitelesítés szolgáltató mégis mire alapozza, hogy az adott nyilvános kulcs az adott alanyhoz vagy aláíróhoz tartozik. A közhiteles adatbázissal való egyeztetés nem minősített aláírói tanúsítványok esetén is követelmény.

4. Minősített és nem minősített hitelesítés szolgáltatók

Megkülönböztethetünk minősített hitelesítés szolgáltatókat és nem minősített hitelesítés szolgáltatókat. A minősített hitelesítés szolgáltatók működését a Nemzeti Hírközlési Hatóság rendszeresen ellenőrzi, és nyilvántartást vezet róluk. A minősített hitelesítés szolgáltatókra erős követelményrendszer vonatkozik, és kizárólag ők bocsáthatnak ki minősített tanúsítványt. A nem minősített hitelesítés szolgáltatók legfeljebb fokozott biztonságú aláírás létrehozására alkalmas, nem minősített tanúsítványt bocsáthatnak ki (minősített aláírás létrehozására alkalmas, minősített tanúsítványt nem), rájuk sokkal lazább követelmények vonatkoznak. A nem minősített hitelesítés szolgáltató általában nem (vagy csak alig) vállal felelősséget a működéséért.

A Nemzeti Hírközlési Hatóság nyilvántartást vezet a nyilvános szolgáltatást nyújtó nem minősített hitelesítés szolgáltatókról (akik bárki számára elfogadható tanúsítványokat bocsátnak ki) is. Előfordulhat, hogy egy nem minősített hitelesítés szolgáltató, csak zárt körben működik, csak egy zárt közösség (egy vállalat munkatársai vagy egy baráti társaság tagjai) számára bocsát ki tanúsítványokat, és ezeket csak ezen zárt közösség tagjai fogadják el.

5. Tanúsítványok kibocsátása, aláírása

Minden hitelesítés szolgáltatónak van egy magánkulcsa, és hozzá tartozó (egy vagy több) szolgáltatói tanúsítványa.

Előfordul, hogy egy hitelesítés szolgáltatónak több tanúsítványa van. Például, gyakori, hogy egy hitelesítés szolgáltató saját, önhitelesített tanúsítvánnyal rendelkezik, ugyanakkor őt egy másik szolgáltató is kereszthitelesítette (tehát szolgáltatói tanúsítványt bocsátott ki a számára). A szolgáltató használhatja a saját önhitelesített tanúsítványát (ekkor ezt tekinthetjük gyökértanúsítványnak), de használhatja a másik szolgáltató által kibocsátott szolgáltatói tanúsítványt is (ekkor például a másik szolgáltató önhitelesített tanúsítványát tekinthetjük gyökértanúsítványnak), de akár mindkét tanúsítványát egyszerre is használhatja.

Az is elképzelhető, hogy egy szolgáltatónak több magánkulcsa van; ha a szolgáltató egyes magánkulcsaira szeretnénk hivatkozni, hitelesítő egységeknek nevezzük őket. Több oka is lehet a több szolgáltatói magánkulcsnak. Például, ha egy kulcsot minősített tanúsítványok kibocsátására használunk, azzal nem bocsáthatunk ki nem minősített tanúsítványokat. Gyakori, hogy a szolgáltatók saját gyökér hitelesítő egységet hoznak létre, ezen egység önhitelesített tanúsítványát használják gyökértanúsítványként, és a szolgáltató többi hitelesítő egységét ezen gyökér hitelesítő egység kereszthitelesíti. (Amikor egyértelmű alá-felérendeltség állapítható meg két szolgáltató között, azt felülhitelesítésnek is nevezzük.)

  Arra kíváncsi, hogy az e-Szignó Hitelesítés Szolgáltató hitelesítő egységei és szolgáltatói tanúsítványai hogyan kapcsolódnak egymáshoz?

A hitelesítés szolgáltatók speciális, bevizsgált egység, kriptográfiai modul (HSM, hardware security module) segítségével védik szolgáltatói kulcsaikat. A szolgáltató HSM-ben generálja saját szolgáltatói kulcsait, és a kulcs jellemzően nem hagyja el a HSM-et. A szolgáltató a HSM segítségével írja alá a regisztrációs szervezetek által jóváhagyott tanúsítványkérelmeket.

A szolgáltatói magánkulcs jelenti a hitelesítés szolgáltató talán legféltettebb kincsét. Ha szolgáltatói magánkulcs kompromittálódik, a kulcsot megszerző bűnöző tanúsítványokat vagy visszavonási listákat bocsáthat ki a szolgáltató nevében. A szolgáltatói magánkulcsok közül is a gyökértanúsítványhoz tartozó magánkulcs a legérzékenyebb, mert - szükség esetén - a szolgáltató ezen kulcs segítségével bocsáthat ki olyan visszavonási listát amellyel visszavonhatja, érvénytelenné teheti a kompromittálódott kulcsokhoz tartozó szolgáltatói tanúsítványokat. A gyökértanúsítványt a szolgáltató nem tudja visszavonni a nyilvános kulcsú infrastruktúra segítségével, ennek kompromittálódását máshol - pl. a médiában - kell meghirdetnie.

Egy tanúsítvány kibocsátásának azt nevezzük, amikor a átadja a tanúsítványt az aláírónak (nem aláírói tanúsítvány esetén az alanynak), vagy amikor nyilvánosságra hozza a tanúsítványt (3/2005. IHM r. 2. §k)). (A kibocsátást úgy is szokás definiálni, mint a tanúsítvány aláírását a hitelesítés szolgáltató által, de mi a előbbi, a jogszabályban is szereplő definíciót alkalmazzuk.)

A kibocsátott tanúsítványok általában az Interneten is elérhetőek a szolgáltató tanúsítványtárában, de ez nincs feltétlenül így: A magyar jogszabályok lehetővé teszik, hogy a tanúsítvány alanya ne járuljon hozzá a tanúsítvány nyilvánosságra hozatalához.

6. Tanúsítvány felfüggesztése, visszavonása

A kibocsátott tanúsítvány tartalmazza, hogy mettől meddig érvényes. Előfordulhat, hogy egy tanúsítvány mégis hamarabb válik érvénytelenné, mint hogy az érvényességi ideje lejárna. Ilyen azért történhet, mert: Visszavonásnak azt nevezzük, amikor egy érvényes tanúsítvány véglegesen érvénytelen lesz. Felfüggesztésnek azt nevezzük, amikor egy érvényes tanúsítvány csak ideiglenesen lesz érvénytelen, de még érvényessé tehető. Előfordul, hogy valaki azt hiszi, hogy elveszítette a magánkulcsát tartalmazó intelligens kártyát, ekkor felfüggeszti a tanúsítványát. Ha mégis megtalálja a kártyáját, és biztos benne, hogy a kártyát más nem használhatta, még visszaállítathatja a tanúsítványt. Ha nem találja meg a kártyát, a tanúsítványt vissza kell vonni.

A minősítet hitelesítés szolgáltatók 24 órás telefonos ügyeletet kell, hogy biztosítsanak a felfüggesztési (vagy visszavonási) kérelmek fogadásához. Így, ha valaki elveszíti a magánkulcsát tartalmazó kártyáját, bármikor letilthatja azt. A felfüggesztés általában egy jelszó alapján történik.

7. Visszavonási állapot közzététele

Ha egy hitelesítés szolgáltatónak közzé kell tennie, ki kell hirdetnie ha felfüggeszt vagy visszavon egy tanúsítványt. Amikor valaki ellenőriz egy tanúsítványt (vagy egy elektronikus aláírást), meg kell, hogy nézze, hogy a szolgáltató nem tette-e már közzé, hogy a tanúsítvány érvénytelen.

Több elterjedt megoldás is létezik arra, ahogy a hitelesítés szolgáltató közzéteheti a felfüggesztés vagy visszavonást:

  A CRL és az OCSP közötti különbségről szeretne részletesen olvasni, illetve arról, hogy mikor melyik módszert célszerű használni?

8. Miért vállal felelősséget egy hitelesítés szolgáltató?

Ha egy hitelesítés szolgáltató hibát követ el, és ezzel másnak kárt okoz, e kár meg kell térítenie. Hogyan okozhat kárt egy hitelesítés szolgáltató? Aláírói tanúsítvány esetén a magánkulcsot kezelő bűnöző pontosan olyan aláírásokat hozhat létre, mint a tanúsítványban feltüntetett személy. Előfordulhat, hogy egy ilyen aláírás kárt okoz valakinek. Például, a bűnöző így szerződést köthet a tanúsítványban feltüntetett személy nevében, és vagy neki, vagy a szerződő partnernek okozhat így kárt.
  Arról szeretne olvasni, hogy meddig terjedhet a hitelesítés szolgáltató felelőssége?

A helyzet nem aláírásra szolgáló tanúsítványok esetén is hasonló: Autentikációs tanúsítvány esetén a magánkulcsot kezelő bűnöző kiadhatja magát a tanúsítványban feltüntetett személynek. Titkosító tanúsítvány esetén pedig a magánkulcsot kezelő bűnöző visszafejtheti a tanúsítványban szereplő személynek írt üzeneteket. (Sőt, titkosító tanúsítvány esetén a tanúsítvány visszavonása mindössze arra szolgál, hogy ezentúl mások ne ezen tanúsítvány alapján titkosítsák a tanúsítvány alanyának szóló üzeneteiket. Ha a bűnöző már hozzájutott olyan üzenetekhez, amelyeket ezen tanúsítvány alapján titkosítottak, a hitelesítés szolgáltató hiába vonja vissza a tanúsítványt, ezeket az üzeneteket a bűnöző akkor is meg tudja fejteni. Az ebből eredő kár nem tekinthető a hitelesítés szolgáltató hibájának.)

9. Szolgáltatás befejezése

A hitelesítés szolgáltató által kibocsátott tanúsítványban általában csak a neve (pl. „Kovács János”) szerepel a tanúsítvány alanyának. Több azonos nevű ember is létezhet, így önmagában a név, önmagában a tanúsítvány alapján nem mindig lehet beazonosítani, hogy egy tanúsítvány kihez tartozik. A hitelesítés szolgáltató regisztrációkor nemcsak a tanúsítványba kerülő adatokat kéri el a tanúsítvány alanyától, hanem egyéb adatokat (pl. születési hely és idő, anyja neve, személyi igazolvány száma) is összegyűjt, és ezen információkat megőrzi, hogy később – például egy bírósági eljárás során – igazolni lehessen, hogy egy adott tanúsítvány pontosan kihez tartozik. Ezen információkat meghatározott ideig – a tanúsítvány lejártától számított legalább 10 évig – meg kell őriznie.

A hitelesítés szolgáltatóknak egyéb információkat is meg kell őriznie. Ilyen információk például a naplófájljaik, valamint azon nyilvántartás, hogy mely tanúsítvány mikor került felfüggesztésre vagy visszavonásra.

Ha a hitelesítés szolgáltató megszűnik, gondoskodnia kell arról, hogy a szükséges információkat más őrizze tovább helyette. Így kerülhető el, hogy egy hitelesítés szolgáltató megszűnése miatt aláírásokról ne lehessen megállapítani, hogy ki készítette őket. Hitelesítés szolgáltató csak szabályozott körülmények között szűnhet meg.

10. Időbélyegzés szolgáltatás

A hitelesítés szolgáltatás és az időbélyegzés szolgáltatás két független szolgáltatás, nem törvényszerű, hogy egy hitelesítés szolgáltató egyben időbélyegzés szolgáltatást is nyújt. Ez mégis gyakran fordul elő; egyrészt, mert a két szolgáltatáshoz hasonló infrastruktúra is és hasonló tudásbázis szükséges, másrészt a hitelesítés szolgáltatás és az aláírások biztonsága alapvetően időbélyegekre vezethető vissza.

  Kíváncsi rá, hogy miért van szükség időbélyegre az aláírások ellenőrzéséhez?

Az időbélyegzés szolgáltatóknak időbélyegzési rendjei vannak, amelyek az időbélyegek kibocsátására, értelmezésére, felhasználására vonatkozó követelményeket határozzák meg. Az időbélyegzés szolgáltatónak is van szolgáltatási szabályzata, amely azt írja le, hogy a szolgáltató hogyan, milyen módon felel meg ezen követelményeknek. Általánosságban is elmondható, hogy az időbélyegzés szolgáltatókra hasonló szabályok vonatkoznak, mint a hitelesítés szolgáltatókra.

  Az időbélyegekről szeretne olvasni?
  Az e-Szignó Hitelesítés Szolgáltató időbélyegzés szolgáltatásra és hitelesítés szolgáltatásra vonatkozó szabályzataira kíváncsi?
  Meg szeretne nézni egy időbélyegzési rendet?