Home
Skip to main content eIDAS szerinti minősített bizalmi szolgáltató
Hitelesítés-szolgáltató

1. Bevezetés

A bizalmi szolgáltató olyan szervezet, amely digitális tanúsítványokat bocsát ki személyek vagy szervezetek részére. Minden tanúsítvány tartalmazza annak a nevét, aki számára a bizalmi szolgáltató kibocsátotta a tanúsítványt, valamint tartalmazza a nyilvános kulcsáttovábbá egyéb adatok is szerepelhetnek benne. Attól függően, hogy milyen célra szolgáló tanúsítványról van szó, a nyilvános kulcs különböző célt szolgálhat:

A bizalmi szolgáltatónak biztosítania kell, hogy a tanúsítvány birtokosa valóban az a személy (tehát a tanúsítványhoz tartozó magánkulcsot az birtokolja), akinek a neve a tanúsítványban szerepel. Ezért a bizalmi szolgáltató

Ha a bizalmi szolgáltató hibát követ el (például nem a megfelelő személynek bocsát ki egy tanúsítványt, vagy nem elég gyorsan teljesíti a visszavonás kérelmeket), akkor az EÜT szerint meg kell térítenie az ebből eredő kárt. Ennek megfelelően a hitelesítés szolgáltatók felelősség biztosítással rendelkeznek, és a hatóságok rendszeresen felülvizsgálják a tevékenységüket.

  A tanúsítványokhoz kapcsolódó szolgáltatói felelősségvállalásról és tranzakciós limitről szeretne olvasni?

2. Hitelesítési rend és szolgáltatási szabályzat

Sokféle tanúsítvány létezik, és az egyes tanúsítványfajtákra eltérő szabályok vonatkoznak. Például:

Mielőtt felhasználunk egy tanúsítványt (illetve a benne lévő nyilvános kulcsot), fontos tisztában lennünk azzal, hogy milyen szabályok vonatkoznak a tanúsítványra, milyen szabályok szerint használhatjuk fel. (Például, nem szerencsés több millió forintos döntést olyan tanúsítvány alapján meghozni, amely az azt kibocsátó bizalmi szolgáltató szerint legfeljebb tízezer forintos tranzakciókban használható.)

A hitelesítési rend (CP, certificate policy) egy olyan dokumentum, amely tanúsítványok felhasználására vonatkozó szabályokat, kikötéseket stb. tartalmaz. Minden tanúsítványban szerepel, hogy az adott tanúsítvány milyen hitelesítési rendeknek felel meg, tehát a hitelesítés szolgáltató milyen követelményrendszer szerint bocsátotta ki, milyen szabályok szerint vonja vissza, mekkora felelősséget vállal érte stb. Egy tanúsítvány egyszerre akár több hitelesítési rendnek is megfelelhet, több szabályhalmaz is vonatkozhat rá. A tanúsítványok certificate policies (a Windows "tanúsítvány irányelv" néven jeleníti meg) mezejében szerepel azon hitelesítési rendek OID-je (és esetleg URL-je), amelyeknek az adott tanúsítvány megfelel.

A minősített bizalmi szolgáltatókra vonatkozó követelményeket a hazai és Európai Uniós jogszabályok, valamint szabványok és műszaki specifikációk határozzák meg. Részletes lista ezen a linken érhető el.

 
  A tanúsítványok felépítéséről szeretne olvasni?
  Az e-Szignó Hitelesítés Szolgáltató szabályzatait, hitelesítési rendjeit szeretné megtekinteni?
  Egy minősített hitelesítési rendet szeretne megtekinteni?

Mielőtt elfogadunk egy aláírást, célszerű elolvasnunk az aláíró tanúsítványában meghivatkozott hitelesítési rendet, ez alapján tudhatjuk meg, hogy az adott tanúsítványt hogyan kell ellenőriznünk, mennyire bízhatunk meg benne.

A hazai gyakorlat jelenleg az, hogy minden hitelesítés szolgáltató saját hitelesítési renddel is rendelkezik. A hitelesítési rendek jellemzően általános követelményeket fogalmaznak meg, és egy hitelesítési rendet több bizalmi szolgáltató is támogathat. Az azonos hitelesítési rendnek megfelelő tanúsítványokra – elvileg – azonos alapvető biztonsági követelményeknek vonatkoznak, így például áruk könnyen összehasonlítható. (Nagyon sokfajta tanúsítvány létezik, a különböző követelményeknek megfelelő tanúsítványokhoz általában egészen más árak tartoznak. Például, egy minősített tanúsítvány - amelyet csak személyes találkozás során, csak biztonságos aláírás-létrehozó eszközön lévő magánkulcshoz bocsát ki a szolgáltató - jellemzően drágább, mint egy távolról is kibocsátható, nem minősített tanúsítvány.)

A bizalmi szolgáltatók ún. szolgáltatási szabályzatot készítenek, amelyben leírják, hogy milyen hitelesítési rendeket vállalnak fel, és hogyan, milyen módon felelnek meg a bennük szereplő követelményeknek. Optimális esetben az általános követelményeket a hitelesítési rend fogalmazza meg, a szolgáltatási szabályzatban pedig csak ezek részletes megvalósítása szerepel egyes szolgáltató-specifikus elemekkel (pl. a CRL-ek elérésére vonatkozó URL-ekkel) együtt. A gyakorlatban a hitelesítési rend sokszor csak annyit tartalmaz, hogy az adott típusú követelmények a szolgáltatási szabályzatban szerepelnek, így néha a szolgáltatási szabályzat is tartalmaz bizonyos alapvető követelményeket.

A hitelesítési rendek és szolgáltatási szabályzatok általában egy rögzített struktúrát követnek, amelyet az RFC 3647 határoz meg. Így a különböző szolgáltatók dokumentumai – és a bennük vállalt biztonsági követelmények – könnyen összehasonlíthatóak egymással.

3. Regisztráció

Mielőtt a bizalmi szolgáltató tanúsítványt bocsát ki valakinek a részére, meg kell győződnie az illető személyazonosságáról. Azt a folyamatot nevezzük regisztrációnak, amikor a hitelesítés szolgáltató azonosítja a tanúsítványt igénylő személyt, feljegyzi annak adatait, és meghatározza, hogy milyen adatok kerülnek a kibocsátandó tanúsítványba.

Előfordulhat, hogy a regisztrációt nem a bizalmi szolgáltató, hanem egy ún. regisztrációs szervezet (RA, registration authority) végzi. Ekkor a bizalmi szolgáltató a regisztrációs szervezet által jóváhagyott kérelmeket bocsátja ki, és maga esetleg csak a tanúsítványok és visszavonási listák aláírását, tehát a szolgáltatói magánkulcsok kezelését végzi. A hazai szabályozás szerint a regisztrációs szervezet tevékenységéért ekkor is a hitelesítés szolgáltató vállalja a felelősséget, tehát az aláírást befogadó félnek nem kell azzal törődnie, hogy az adott aláíráshoz használt tanúsítványt a szolgáltató maga bocsátotta-e ki vagy regisztrációs szervezetet vett igénybe. Magyarországon a bizalmi szolgáltatók általában saját maguk végzik a regisztrációt, és nincsenek külön regisztrációs szervezeteik. A regisztrációt közjegyző is végzheti, tehát közjegyző tanúsítotja az igénylő személyazonosságát.

A regisztráció biztonsága alapvetően meghatározza a tanúsítvány által nyújtott biztonságot. A legmagasabb biztonsági szint esetén a regisztráció személyesen történik (személyes regisztráció); tehát az igénylő személyesen találkozik a bizalmi szolgáltató (vagy a regisztrációs szervezet) munkatársával (vagy korábban egy közjegyzővel).

Minősített tanúsítványt kizárólag személyes regisztrációt követően szabad kibocsátani, és a bizalmi szolgáltató regisztrációs munkatársa valamely személyazonosításra alkalmas okirat (személyi igazolvány vagy jogosítvány vagy útlevél) alapján állapítja meg az igénylő személyazonosságát. Szintén követelmény, hogy a minősített bizalmi szolgáltatónak közhiteles adatbázissal kell egyeztetnie az igénylő adatait.

Nem minősített tanúsítványok esetén a személyes regisztráció nem követelmény, így ott csak a hitelesítési rend és a szolgáltatási szabályzat alapos vizsgálatával állapítható meg, hogy a bizalmi szolgáltató mégis mire alapozza, hogy az adott nyilvános kulcs az adott alanyhoz vagy aláíróhoz tartozik. A közhiteles adatbázissal való egyeztetés nem minősített aláírói tanúsítványok esetén is követelmény.

4. Minősített és nem minősített bizalmi szolgáltatók

Megkülönböztethetünk minősített bizalmi szolgáltatókat és nem minősített bizalmi szolgáltatókat.

A minősített bizalmi szolgáltatók működését a Nemzeti Média- és Hírközlési Hatóság felügyelete mellett akkreditált megfelelőségi szervezetek rendszeresen ellenőrzik. Az NMHH a bizalmi szolgáltatásokkal kapcsolatos nyilvántartásokat vezet. A minősített bizalmi szolgáltatókra erős követelményrendszer vonatkozik, és kizárólag ők bocsáthatnak ki minősített tanúsítványt. A nem minősített bizalmi szolgáltatók legfeljebb fokozott biztonságú aláírás létrehozására alkalmas, nem minősített tanúsítványt bocsáthatnak ki (minősített aláírás létrehozására alkalmas, minősített tanúsítványt nem), rájuk sokkal lazább követelmények vonatkoznak. A nem minősített bizalmi szolgáltató általában nem (vagy csak alig) vállal felelősséget a működéséért.

A Nemzeti Média- és Hírközlési Hatóság nyilvántartást vezet a nyilvános szolgáltatást nyújtó nem minősített bizalmi szolgáltatókról (akik bárki számára elfogadható tanúsítványokat bocsátnak ki) is. Előfordulhat, hogy egy nem minősített bizalmi szolgáltató, csak zárt körben működik, csak egy zárt közösség (egy vállalat munkatársai vagy egy baráti társaság tagjai) számára bocsát ki tanúsítványokat, és ezeket csak ezen zárt közösség tagjai fogadják el.

5. Tanúsítványok kibocsátása, aláírása

Minden bizalmi szolgáltatónak van egy magánkulcsa, és hozzá tartozó (egy vagy több) szolgáltatói tanúsítványa.

Előfordul, hogy egy bizalmi szolgáltatónak több tanúsítványa van. Például, gyakori, hogy egy bizalmi szolgáltató saját, önhitelesített tanúsítvánnyal rendelkezik, ugyanakkor őt egy másik szolgáltató is kereszthitelesítette (tehát szolgáltatói tanúsítványt bocsátott ki a számára). A szolgáltató használhatja a saját önhitelesített tanúsítványát (ekkor ezt tekinthetjük gyökértanúsítványnak), de használhatja a másik szolgáltató által kibocsátott szolgáltatói tanúsítványt is (ekkor például a másik szolgáltató önhitelesített tanúsítványát tekinthetjük gyökértanúsítványnak), de akár mindkét tanúsítványát egyszerre is használhatja.

Az is elképzelhető, hogy egy szolgáltatónak több magánkulcsa van; ha a szolgáltató egyes magánkulcsaira szeretnénk hivatkozni, hitelesítő egységeknek nevezzük őket. Több oka is lehet a több szolgáltatói magánkulcsnak. Például, ha egy kulcsot minősített tanúsítványok kibocsátására használunk, azzal nem bocsáthatunk ki nem minősített tanúsítványokat. Gyakori, hogy a szolgáltatók saját gyökér hitelesítő egységet hoznak létre, ezen egység önhitelesített tanúsítványát használják gyökértanúsítványként, és a szolgáltató többi hitelesítő egységét ezen gyökér hitelesítő egység kereszthitelesíti. (Amikor egyértelmű alá-felérendeltség állapítható meg két szolgáltató között, azt felülhitelesítésnek is nevezzük.)

  Arra kíváncsi, hogy az e-Szignó Hitelesítés Szolgáltató hitelesítő egységei és szolgáltatói tanúsítványai hogyan kapcsolódnak egymáshoz?

A bizalmi szolgáltatók speciális, bevizsgált egység, kriptográfiai modul (HSM, hardware security module) segítségével védik szolgáltatói kulcsaikat. A szolgáltató HSM-ben generálja saját szolgáltatói kulcsait, és a kulcs jellemzően nem hagyja el a HSM-et. A szolgáltató a HSM segítségével írja alá a regisztrációs szervezetek által jóváhagyott tanúsítványkérelmeket.

A szolgáltatói magánkulcs jelenti a bizalmi szolgáltató talán legféltettebb kincsét. Ha a szolgáltatói magánkulcs kompromittálódik, a kulcsot megszerző bűnöző tanúsítványokat vagy visszavonási listákat bocsáthat ki a szolgáltató nevében. A szolgáltatói magánkulcsok közül is a gyökértanúsítványhoz tartozó magánkulcs a legérzékenyebb, mert - szükség esetén - a szolgáltató ezen kulcs segítségével bocsáthat ki olyan visszavonási listát, amellyel visszavonhatja, érvénytelenné teheti a kompromittálódott kulcsokhoz tartozó szolgáltatói tanúsítványokat. A gyökértanúsítványt a szolgáltató nem tudja visszavonni a nyilvános kulcsú infrastruktúra segítségével, ennek kompromittálódását máshol - pl. a médiában - kell meghirdetnie.

Egy tanúsítvány kibocsátásának azt nevezzük, amikor az átadja a tanúsítványt az aláírónak (nem aláírói tanúsítvány esetén az alanynak). Az EÜT 83. § szerint, a bizalmi szolgáltató a tanúsítvány kibocsátásáról haladéktalanul értesíti a képviselt személyt. (A kibocsátást úgy is szokás definiálni, mint a tanúsítvány aláírását a bizalmi szolgáltató által, de mi az előbbi, a jogszabályban is szereplő definíciót alkalmazzuk.)

A kibocsátott tanúsítványok általában az Interneten is elérhetőek a szolgáltató tanúsítványtárában, de ez nincs feltétlenül így: Az eIDAS 24. cikke szerint, az adatok kizárólag annak a személynek a hozzájárulásával legyenek nyilvánosan kereshetők, akire az adatok vonatkoznak.

6. Tanúsítvány felfüggesztése, visszavonása

A kibocsátott tanúsítvány tartalmazza, hogy mettől meddig érvényes. Előfordulhat, hogy egy tanúsítvány mégis hamarabb válik érvénytelenné, mint hogy az érvényességi ideje lejárna. Ilyen azért történhet, mert: Visszavonásnak azt nevezzük, amikor egy érvényes tanúsítvány véglegesen érvénytelen lesz. Felfüggesztésnek azt nevezzük, amikor egy érvényes tanúsítvány csak ideiglenesen lesz érvénytelen, de még érvényessé tehető. Előfordul, hogy valaki azt hiszi, hogy elveszítette a magánkulcsát tartalmazó intelligens kártyát, ekkor felfüggeszti a tanúsítványát. Ha mégis megtalálja a kártyáját, és biztos benne, hogy a kártyát más nem használhatta, még visszaállítathatja a tanúsítványt. Ha nem találja meg a kártyát, a tanúsítványt vissza kell vonni.

A minősített bizalmi szolgáltatók minden esetben a visszavonás kérelem kézhezvételét követő 24 órán belül rögzíteniük kell tanúsítvány-adatbázisukban a visszavonást, és közzé kell tenniük a tanúsítvány visszavont státusát. A Microsec több felületet is biztosít tanúsítvány felfüggesztésre vagy felmondásra. Ezek történhetnek weboldalon, SMS-ben vagy ügyfélszolgálaton keresztül.

 

 Így, ha valaki elveszíti a magánkulcsát tartalmazó kártyáját, bármikor letilthatja azt. A felfüggesztés általában egy jelszó alapján történik.

7. Visszavonási állapot közzététele

Ha egy bizalmi szolgáltatónak közzé kell tennie, ki kell hirdetnie ha felfüggeszt vagy visszavon egy tanúsítványt. Amikor valaki ellenőriz egy tanúsítványt (vagy egy elektronikus aláírást), meg kell, hogy nézze, hogy a szolgáltató nem tette-e már közzé, hogy a tanúsítvány érvénytelen.

Több elterjedt megoldás is létezik arra, ahogy a bizalmi szolgáltató közzéteheti a felfüggesztés vagy visszavonást:

  A CRL és az OCSP közötti különbségről szeretne részletesen olvasni, illetve arról, hogy mikor melyik módszert célszerű használni?

8. Miért vállal felelősséget egy bizalmi szolgáltató?

Ha egy bizalmi szolgáltató hibát követ el, és ezzel másnak kárt okoz, e kárt meg kell térítenie. Hogyan okozhat kárt egy bizalmi szolgáltató? Aláírói tanúsítvány esetén a magánkulcsot kezelő bűnöző pontosan olyan aláírásokat hozhat létre, mint a tanúsítványban feltüntetett személy. Előfordulhat, hogy egy ilyen aláírás kárt okoz valakinek. Például, a bűnöző így szerződést köthet a tanúsítványban feltüntetett személy nevében, és vagy neki, vagy a szerződő partnernek okozhat így kárt.
  Arról szeretne olvasni, hogy meddig terjedhet a hitelesítés szolgáltató felelőssége?

A helyzet nem aláírásra szolgáló tanúsítványok esetén is hasonló: Autentikációs tanúsítvány esetén a magánkulcsot kezelő bűnöző kiadhatja magát a tanúsítványban feltüntetett személynek. Titkosító tanúsítvány esetén pedig a magánkulcsot kezelő bűnöző visszafejtheti a tanúsítványban szereplő személynek írt üzeneteket. (Sőt, titkosító tanúsítvány esetén a tanúsítvány visszavonása mindössze arra szolgál, hogy ezentúl mások ne ezen tanúsítvány alapján titkosítsák a tanúsítvány alanyának szóló üzeneteiket. Ha a bűnöző már hozzájutott olyan üzenetekhez, amelyeket ezen tanúsítvány alapján titkosítottak, a bizalmi szolgáltató hiába vonja vissza a tanúsítványt, ezeket az üzeneteket a bűnöző akkor is meg tudja fejteni. Az ebből eredő kár nem tekinthető a bizalmi szolgáltató hibájának.)

9. Szolgáltatás befejezése

A bizalmi szolgáltató által kibocsátott tanúsítványban általában csak a neve (pl. „Kovács János”) szerepel a tanúsítvány alanyának. Több azonos nevű ember is létezhet, így önmagában a név, önmagában a tanúsítvány alapján nem mindig lehet beazonosítani, hogy egy tanúsítvány kihez tartozik. A bizalmi szolgáltató regisztrációkor nemcsak a tanúsítványba kerülő adatokat kéri el a tanúsítvány alanyától, hanem egyéb adatokat (pl. születési hely és idő, anyja neve, személyi igazolvány száma) is összegyűjt, és ezen információkat megőrzi, hogy később – például egy bírósági eljárás során – igazolni lehessen, hogy egy adott tanúsítvány pontosan kihez tartozik. Ezen információkat meghatározott ideig – a tanúsítvány lejártától számított legalább 10 évig – meg kell őriznie.

A bizalmi szolgáltatóknak egyéb adatokat is meg kell őriznie. Ilyenek például a naplófájljaik, valamint az a nyilvántartás, amely a tanúsítványok felfüggesztésének vagy visszavonásának idejét tartalmazza.

Ha a bizalmi szolgáltató megszűnik, gondoskodnia kell arról, hogy a szükséges információkat más őrizze tovább helyette. Így kerülhető el, hogy egy bizalmi szolgáltató megszűnése miatt aláírásokról ne lehessen megállapítani, hogy ki készítette őket. Bizalmi szolgáltató csak szabályozott körülmények között szűnhet meg.

10. Időbélyegzés szolgáltatás

A hitelesítés szolgáltatás és az időbélyegzés szolgáltatás két független bizalmi szolgáltatás, nem törvényszerű, hogy egy bizalmi szolgáltató egyben időbélyegzés és tanúsítvány kezelés szolgáltatást is nyújt. Ez mégis gyakran fordul elő; egyrészt, mert a két szolgáltatáshoz hasonló infrastruktúra is és hasonló tudásbázis szükséges, másrészt a hitelesítés szolgáltatás és az aláírások biztonsága alapvetően időbélyegekre vezethető vissza.

  Kíváncsi rá, hogy miért van szükség időbélyegre az aláírások ellenőrzéséhez?

Az időbélyegzés szolgáltatóknak időbélyegzési rendjei vannak, amelyek az időbélyegek kibocsátására, értelmezésére, felhasználására vonatkozó követelményeket határozzák meg. Az időbélyegzés szolgáltatónak is van szolgáltatási szabályzata, amely azt írja le, hogy a szolgáltató hogyan, milyen módon felel meg ezen követelményeknek. Általánosságban elmondható, hogy a bizalmi szolgáltatókra hasonló szabályok vonatkoznak, például az időbélyeg szolgáltatókra vagy a tanúsítvány kezeléshez kapcsolódó szolgáltatókra.

  Az időbélyegekről szeretne olvasni?
  Az e-Szignó Hitelesítés Szolgáltató időbélyegzés szolgáltatásra és hitelesítés szolgáltatásra vonatkozó szabályzataira kíváncsi?
  Meg szeretne nézni egy időbélyegzési rendet?