vlada crne gore ministarstvo za informaciono druš · pdf filelogičke cjeline se, po...

Startegija uspostavljanja Certifikacionog tijela (CA – Certification Authority)

Vlada Crne Gore Ministarstvo za informaciono društvo

Strana 2

Strategija uspostavljanja Certifikacionog tijela ‐ CA

SADRŽAJ

UVOD....................................................................................................................................................... 3

INFORMACIONA ZAŠTITA ........................................................................................................................ 4

ZADATAK KRIPTOGRAFIJE ....................................................................................................................... 5

Kriptografski sistemi............................................................................................................................ 5

Klasifikacija kriptosistema ................................................................................................................... 5

DIGITALNI POTPIS .................................................................................................................................... 6

DIGITALNI CERTIFIKAT ............................................................................................................................. 8

Struktura digitalnog certifikata ........................................................................................................... 9

Funkcionalnost digitalnog certifikata ................................................................................................ 10

PKI – INFRASTRUKTURA JAVNIH PRIVATNIH KLJUČEVA ....................................................................... 10

Osnovne osobine PKI infrastrukture ................................................................................................. 11

Upotreba i prednosti ......................................................................................................................... 11

Arhitektura infrastrukture ................................................................................................................ 12

Komponente sistema ........................................................................................................................ 12

Modeli infrastrukture javnih privatnih ključeva ............................................................................... 14

Funkcionalnost .................................................................................................................................. 15

PRAVNO REGULISANJE ELEKTRONSKIH POTPISA .................................................................................. 15

Evropska Unija................................................................................................................................... 16

Zakonska regulativa u Crnoj Gori ...................................................................................................... 17

USPOSTAVLJANJE PKI INFRASTRUKTURE U VLADI CRNE GORE ............................................................ 18

Strana 3


UVOD Ljudska komunikacija kroz istoriju pa do danas podliježe potrebi da bar jedan njen dio ostane tajan, odnosno dostupan samo učesnicima u procesu komunikacije. Do danas, stvari su se drastično promijenile. Svijet je postao mjesto u kojem poslovanje i poslovni procesi predstavljaju centar svijeta; ljudski životi su gotovo u potpunosti podređeni stalnoj borbi za profitom i napretkom. U takvim uslovima informacija je postala najvrednijom imovinom, ona predstavlja osnovna sredastva kojima se izvršavaju svi poslovni procesi.

Osim toga, opšteprihvaćena činjenica da je svijet postao “globalno selo” sve više se uočava upravo u aspektu komunikacija. Udaljenosti više ne predstavljaju nikakve poteškoće, a tehnologija svakim danom ubrzava komunikacione puteve i metode, povećava im kvalitet i, na taj način, približava potrebama i zahtjevima koje nameću poslovni procesi ali i civilno društvo.

Komunikacioni kanali savremenog svijeta sve više poprimaju elektronski oblik, a zakonodavstvo tradicionalne ekonomije ne može zadovoljiti potrebe elektronske razmjene podataka zasnovane na elektronski pisanom dokumentu. Vlastiti potpis bio je jedan od temelja paper‐based transakcija, a ništa manje važna nije danas ni uloga elektronskog potpisa u novim “elektronskim “ (eng. Paperless) okolnostima. Uvažavajući neformalnost kao opšte načelo obaveznog prava, treba uzeti u obzir i potrebu stranaka da za slučaj spora osiguraju ispravu s odgovarajućom dokaznom snagom. U takvim okolnostima logična je praksa sklapanja ugovora u pisanom obliku ne samo u situacijama kada je to zakonski predviđeno, već i za sve poslove čija vrijednost opravdava dodatni trud. Problematike pisane forme i potpisa toliko su povezane i međusobno uslovljene da je teško govoriti o samo jednom pojmu. Posmatrajući ta dva pojma iz istorijske perspektive, uočava se postojanje najrazličitijih identifikacionih oblika – od kamenih i glinenih pločica, preko pečata, sve do lično potpisanih papirnatih isprava. Danas pisana forma nije ograničena na “papir i mastilo”, već se svodi na zahtjev za postojanjem “sredstva koje omogućuje da se sa sigurnošću utvrde sadržaj i davalac izjave”. Iako pojam pisane isprave obuhvata na primjer telegram i sl., u tu grupu se ne ubrajaju elektronski dokumenti.

Informatička revolucija je donijela kvalitativni napredak u životima svih ljudi, toliko jak, da je praktično više nemoguće zamisliti civilizaciju bez informatičke podrške u svim svojim oblicima. Ova nova i svakim danom sve uspješnija tehnologija obrade informacija pruža i velike mogućnosti za vršenje krivičnih djela i realno veće mogućnosti za njihovu zloupotrebu od strane zlonamjernih korisnika. Sve to nameće potrebu zaštite povjerljivih podataka, kako bi se očuvao njihov integritet, autentičnost i vjerodostojnost. Jedna od mogućih vrsta zaštite je skriveno pisanje – kriptografija, odnosno kreiranja pouzdanih i sigurnih sistema šifrovanja, koja omogućavaju zaštitu pri prenosu podataka, zaštitu password‐a, kao i zaštitu autorskih prava.

Brojne i raznovrsne potencijalne prijetnje‐opasnosti koje ugrožavaju informacione sisteme, odnosno podatke, a posebno one koje imaju karakter kriminalnih radnji, nedvosmisleno nameću potrebu izgradnje adekvatnog sistema zaštite.

Često se misli da prenos informacija nekim tehničkim sredstvom obezbeđuje i njeno prikrivanje. Jedna od mogućih vrsta zaštite je skriveno pisanje – kriptografija, odnosno kreiranja pouzdanih i sigurnih sistema šifrovanja, koja omogućavaju zaštitu pri prenosu podataka, zaštitu password‐a, kao i zaštitu autorskih prava.

Strana 4


INFORMACIONA ZAŠTITA Kada se pominje zaštita podataka, zaštita prenosa podataka, kao i zaštita računarskih sistema postoje pravila koja bi trebala da pruže pouzdan osnov za, sa metodološkog stanovništa, osmišljeno, organizovano, stručno i racionalno izučavanje ove problematike. Kroz izgradnju adekvatnog sistema zaštite polazi se od neosporne činjenice da bilo koji sistem zaštite ima smisla, ako i samo ako njime nešto, od nečega i zbog nečega štiti, a da bi isti postigao cilj on svoju funkciju mora sa nečim i na neki način izvršavati. Iz ovake opšte konstatacije nije teško uočiti logičke cjeline i, što je vrlo bitno, njihov redosljed kojim je neophodno izučavanje i očekivano razrješavanje razmatranog problema. Ove logičke cjeline se, po principu „zlatnih pitanja“ kriminalistike, mogu izkazati odgovarajućim „zlatnim pitanjima“ informatičke zaštite, a koja, u navedenom redosljedu zahtijevaju što potpunije odgovore: (Slika 1)

ŠTA štititi? OD KOGA ili ČEGA štititi? ZBOG ČEGA štititi? ČIME štititi? KAKO štititi?

Važno je napomenuti da se sam proces informatičke zaštite nikada ne završava, odnosno, nakon dobijanja odgovora na sva „zlatna pitanja“ u toku procesa evaluacije moguće je otkriti neophodnost izmjene nekih od njih. Znači, treba kontinuirano pratiti pomenuti proces i s vremena na vrijeme ga revidirati i inovirati.

Slika 1. Grafička interpretacija izložene metodologije ‐„zlatna pitanja“ informatičke zaštite

Utvrđivanje potrebe za zaštitom

ŠTA štititi?

OD KOGA/ČEGA štititi?

ZBOG ČEGA štititi?

ČIME štititi?

KAKO štititi?

utvrđivanje objekata zaštite

Identifikacija prijetnji ‐ i

Utvrđivanje mogućih lj di

Izbor mjera zaštite

Definisanje politke zaštite

Proces evaluacije

Strana 5


ZADATAK KRIPTOGRAFIJE Kriptografija se bavi proučavanjem metoda za slanje poruka u takvom obliku da ih samo onaj kome su namijenjene može pročitati. Sama reč kriptologija je grčkog porijekla i mogla bi se doslovno prevesti kao tajni zapis, odnosno nauka o skrivanju, tj. nauka o skrivenom pisanju i neovlašćenom tumačenju nečega skriveno napisanog.

Osnovni zadatak kriptografije je da omogući dvijema osobama (pošiljalac i primalac) komuniciranje preko nesigurnog komunikacijskog kanala (na primer: telefonska linija, računarske mreže, ...) na način da treća osoba (njihov protivnik (provalnik), koji može nadzirati komunikacijski kanal, ne može razumijeti njihove poruke. Poruku koju pošiljalac želi poslati primaocu naziva se ’’otvoreni tekst’’ (plaintext). To može biti tekst na njihovom maternjem jeziku, numerički podaci ili bilo šta drugo. Pošiljalac transformiše (kriptuje) otvoreni tekst koristeći unaprijed dogovoreni ključ.

Nakon toga pošiljalac pošalje poruku preko nekog komunikacijskog kanala. Protivnik prisluškujući može saznati sadržaj poruke, ali ne može odrediti otvoreni tekst. Za razliku od njega, primalac koji zna ključ kojim je šifrirana poruka može dešifrirati poruku i dobiti otvoreni tekst.

Kriptografski algoritam ili šifra je matematička funkcija koja se koristi za šifriranje i dešifriranje. Odnosno, radi se o dvije funkcije, jednoj za šifriranje, a drugoj za dešifriranje.

Za razliku od dešifrovanja, kriptoanaliza ili dekriptovanje je naučna disciplina koja se bavi proučavanjem postupaka za čitanje skrivenih poruka bez poznavanja ključa.

Kriptografski sistemi

Ne postoji algoritam za šifrovanje koji je bezuslovno siguran, pa je zato neophodno da algoritam za šifrovanje ispuni jedan ili oba sljedeća kriterijuma:

‐ cijena razbijanja šifre premašuje vrijednost šifrovane informacije, ‐ vrijeme neophodno za razbijanje šifre premašuje vremenski period za koji je informacija važeća. Ukoliko su gore navedena dva kriterijuma ispunjena, šema za šifrovanje je računski sigurna.

Klasifikacija kriptosistema Kako je već rečeno, kriptografija se bavi proučavanjem metoda očuvanja tajnosti informacija. Kriptografski sistemi se mogu klasifikovati na osnovu tri kriterijuma:

I Na osnovu operacija korišćenih u procesu šifrovanja II Na osnovu načina na koji je obrađen izvorni tekst III Na osnovu broja korišćenih ključeva Sigurnosna infrastruktura zasnovana na upotrebi javnih ključeva najčešća je tehnologija koja se primjenjuje za zaštitu pri prenosu podataka, na primjer u elektronskoj trgovini.

Tehnika poznata kao šifriranje javnim ključem u stvari se zasniva na upotrebi para ključeva: tajnom ‐ privatnom i javnom ključu vlasnika, koji je dostupan svima. Veoma je bitno i važno da tajni ključ zna samo vlasnik, a javni ključ, kako mu samo ime kaže, ne predstavlja nikakvu tajnu i može se prenositi na različite, čak i nebezbijedne načine. A krajnji korisnik, koji je dobio dokument uz pomoć javnog ključa drugog lica, dobija potvrdu da ga je zaista to drugo lice napisalo.

Strana 6


PGP (Pretty good privacy) je postupak šifriranja upotrebom javnih i tajnih ključeva za šifriranje. U realnom svijetu kriptografija javnog ključa ne predstavlja zamjenu za simetrične kriptosisteme. Ona se ne koristi za šifriranje poruka, već za šifriranje ključeva. Naime, osobe A i B komuniciraju pomoću simetričnog kriptosistema s ključem koga su razmijenili pomoću kriptosistema s javnim ključem. Reč je o tzv. hibridnom kriptosistemu.

U modernoj kriptografiji, koja se koristi u komercijalnom svijetu (tipična situacija je da osoba A želi kupiti nešto od osobe B preko Interneta), pojavljuju se, uz klasične, i neki sasvim novi problemi:

1. povjerljivost (confidentiality) ‐ Poruku koju osoba A šalje osobi B ne može pročitati niko drugi. 2. vjerodostojnost (autenticity) ‐ Osoba B zna da je samo osoba A mogla poslati poruku koju je

ona upravo primila. 3. netaknutost (integrity) ‐ Osoba B zna da poruka koju je poslala osoba A nije promijenjena

prilikom slanja. 4. nepobitnost (non‐repudiation) ‐ Osoba A ne može kasnije poreći da da je poslala poruku.

Kako što je već napomenuto, kriptosistemi javnog ključa su mnogo sporiji od simetričnih. Stoga je njihova upotreba u prvom problemu ograničena na razmjenu ključeva za simetrične šifre. S druge strane, "digitalni potpisi", koji se koriste u rješavanju drugog, trećeg i četvrtog problema, zahtijevaju upotrebu kriptografije javnog ključa.

Trenutni kriptografski sistemi koriste prednosti oba sistema. Tehnike enkripcije javnim ključem se mogu koristiti za uspostavljanje sistema simetričnih ključeva, a koji će se dalje upotrebljavati u komunikaciji osoba A i B. Ove osobe mogu da istovremeno koriste prednosti spoja privatni ključ – javni ključ kod asimetričnih sistema, kao i performanse efiksnosti simetričnih sistema. U toku sveukupnog enkripcijskog procesa između dva entiteta, najveći dio vremena se utroši na enkripciju podataka, dok se manji dio vremena utroši na uspostavljanje šema javnih ključeva. Za praktičnu primjenu najvažnije je napomenuti:

1. kriptografija primjenom asimetričnih kriptosistema olakšava efikasniji potpis i ključno upravljanje (managment)

2. kriptografija primjenom simetričnih kriptosistema je efikasnija za enkripciju, kao i za aplikacije vezane za integritet podataka.

DIGITALNI POTPIS Digitalni (elektronski) potpis je generički program koji podrazumijeva čitav niz različitih vrsta digitalno prikazanih podataka poput ispisanog imena na kraju e‐mail poruke, skenirane slike ručnog potpisa, tajnog PIN koda, kompjuterski pohranjenog otiska prsta, ili digitalnog potpisa. Polazeći od funkcionalnog pristupa, digitalni potpis možemo definisati kao niz bitova koji označavaju nečiji identitet i namjeru, a da bi imao pravnu snagu mora na zadovoljavajući način obavljati određene funkcije. Osim već spomenutih osnovnih funkcija, od digitalnih potpisa se često traži i udovoljavanje dodatnim zahtjevima: (1) mora biti jedinstven za osobu koja ga koristi – tehnologija izrade ne smije dopustiti pojavljivanje više istih potpisa za različite osobe; (2) mora biti pod isključivom kontrolom osobe koja ga koristi – treba spriječiti mogućnost zloupotrebe krađom sredstava i/ili podataka za izradu potpisa; (3) treba omogućiti provjeru identiteta korisnika – s obzirom na to da elektronski potpisi ne moraju jasno upućivati na neko ime i prezime, neophodno je osigurati drugu mogućnost provjere identiteta (npr. Pomoću certifikata); (4) treba postojati veza između potpisa i potpisane isprave – ručni potpis je fizički smješten na dokumentu, dok je kod elektronskih potpisa tu vezu potrebno posebno uspostaviti (npr. Hash funkcijom u slučaju digitalnih potpisa).

Strana 7


S obzirom na tehnologiju izrade razlikuju se tri osnovne vrste elektronskih potpisa: skenirani ručni potpis, digitalni potpis i biometrijski potpis.

Kao što sam naziv kaže, skenirani ručni potpis je slika ručnog potpisa i predstavlja najjednostavniji oblik elektronskog potpisivanja. Takav potpis ne zadovoljava niti osnovne funckije da bi mogao imati pravnu snagu jednaku vlastoručnom potpisu i zato nema važnije mjesto u savremenom elektronskom poslovanju.

Digitalni potpis je niz znakova u digitalnoj formi (obično dužine 1024 bita) dobijen primjenom asimetrične kriptografije1. Upotreba digitalnog potpisa podrazumijeva provođenje (1) postupka izrade potpisa i (2) postupka provjere (verifikacije) potpisa.

Nakon što se označi tekst koji se treba potpisati, posebnim softwareom iz njega je potrebno izvesti hash tj. kratak sadržaj poruke. Ne radi se o logičkom, već matematičkom obliku koji će, nezavisno od dužine izvorne poruke, uvijek biti iste veličine. Hash algoritam spada u jednosmjerne funkcije što znači da iz njega nije moguće rekonstruisati izvornu poruku. Digitalni potpis nastaje kada privatnim ključem potpisnika (pošiljaoca) šifriramo hash pa se on pridodaje izvornoj poruci i šalje primaocu.

Primalac koji raspolaže porukom i pridruženim digitalnim potpisom treba još pribaviti javni ključ potpisnika poruke. Hash funkcija primjenjena na određeni tekst uvijek proizvodi identičan krajnji rezultat i provjera digitalnog potpisa temelji se na toj karakteristici. Javnim ključem potpisnika primalac će dešifrirati digitalni potpis i tako dobiti hash koji će uporediti s hashom dobijenim neposredno iz primljene poruke. Ako su ta dva hasha jednaka znači da je poruku potpisao vlasnik privatnog ključa i da poruka u komunikacionom procesu nije mijenjana.

Jasno je da digitalno potpisana poruka može, ali i ne mora, putovati internetom šifrirana. Žele li učesnici komunikacije otvorenom mrežom osigurati tajnost, tada će pošiljalac poruku šifrirati primjenom javnog ključa primaoca, a ne svog privatnog ključa koji je korišten u procesu kreiranja digitalnog potpisa. Primalac će dešifrovati poruku pomoću svog privatnog ključa, dok će za za provjeru digitalnog potpisa trebati javni ključ pošiljaoca.

Glavni problem asimetrične kriptografije je identifikacija pošiljaoca poruke, pa se najveći rizik u primjeni tehnologije digitalnog potpisa ogleda u nesigurnosti primaoca poruke obzirom na to pripada li neki javni ključ osobi koja je naznačena kao potpisnik. Infrastruktura javnog ključa rješava ovaj problem i omogućuje razmjenu podataka (i novca) posredstvom, u osnovi vrlo nesigurne mreže, kao što je internet. Suština je u posredovanju autoriteta od povjerenja koji izdaje potvrdu (certifikat) o identitetu učesnika elektronske razmjene podataka (potpisnika) kao i u postojanju ažurne javne evidencije svih certifikata. Certifikati se vrlo često upoređuju s ličnim dokumentima koji moraju identifikovati certifikatora (izdavaoca certifikata), precizirati vlasnika certifikata, sadržati javni ključ vlasnika certifikata i biti digitalno potpisani od strane certifikatora. Infrastruktura javnog ključa (Public Key Infrastructure – PKI) je cjelokupan sistem izdavanja, skladištenja, provjere i upravljanja cedrtifikatima koji služe za identifikaciju učesnika u elektronskoj komunikaciji. Osnovni elementi sistema su: certifikator, registrator i potpis certifikata. Okosnicu PKI sistema čini certifikator kao nezavisna treća strana koja ima za cilj osigurati povjerenje pružajući sigurnost da određeni javni ključ pripada upravo određenoj osobi. Nakon podnošenja zahtjeva izdavaoc certifikata provjerava identitet potpisnika, izrađuje njegov privatni i javni ključ i dostavlja mu certifikat i privatni ključ, a potpisnik će pri prvoj komunikaciji primaocima svojih poruka kao dokaz identiteta poslati certifikat. Certifikat cirkuliše u formi elektronskog dokumenta, a najčešće se pohranjuje zajedno s privatnim

1 Simetrična kriptografija za nekripciju i dekripciju koristi jedan te isti ključ, dok kod asimetričnog sistema postoje dvije različite šifre. Poruka se može šifrirati bilo kojim od ta dva ključa, ali se ona može dešifrirati samo drugim ključem iz istog para. Najpoznatiji primjer asimetričnog sistema je PGP (pretty‐good‐privacy) program za 128‐bitno šifriranje i autentifikaciju, koji se najčešće koristi kod e‐mail poruka.

Strana 8


ključem na smart kartici. Izdavaoc certifikata dužan je staviti javni ključ vlasnika certifikata na raspolaganje svim zainteresovanim osobama. Registrator je subjekt koji izdaje certifikate certifikatorima i vrši nadzor nad njihovim radom, a u nekim sistemima može biti zadužen i za provjeru zahtjeva za izdavanje certifikata. Potpis certifikata mora pružati ažuran pregled svih izdatih i nevažećih certifikata. U praksi najšešće funkcioniše na čelu umreženog sistema evidencija svih izdavaoca certifikata, što omogućava jednostavan pristup korisnicima koji žele provjeriti identitet potpisnika i njegov javni ključ. Smisao PKI sistema je uspostavljanje povjerenja, a to je usko vezano uz pitanje odgovornosti za štete koje mogu nastati npr. zbog neovlašćene upotrebe privatnog ključa ili neažurnog potpisa certifikata.

Upravo digitalni potpis najbolje ispunjava pravne funkcije autentifikacije, integriteta i neporecivosti, a ujedno zadovoljava uslove tehnološke i ekonomske opravdanosti, pa stoga predstavlja optimalan način izrade elektronskog potpisa koji je danas standard u elektronskoj komunikaciji.

Digitalni potpis mora imati sve osobine vlastoručnog potpisa, a to su sljedeća: ‐ vlastoručni potpis je autentičan, a to znači da ga može izdati samo potpisnik lično ‐ vlastoručni potpis je moguće provjeriti upoređivanjem sa prethodnim potpisima ‐ vlastoručni potpis izražava autorstvo ili slaganje sa sadržajem dokumenta i njegov je neodvojivi

dio ‐ vlastoručni potpis se ne može poreći. Ove karakteristike ne znače da se vlastoručni potpis ne može krivotvoriti, ali postoje metode s kojim se može s velikom sigurnošću utvrditi da je on krivotvoren.

Dokumente u digitalnom obliku lako je mijenjati, a da bi oni imali pravnu ili neku drugu vrijednost potrebno je osigurati autentičnost. Ta autentičnost se osigurava digitalnim potpisivanjem dokumenta. Digitalni potpis je u osnovi funkcija sadržaja digitalnog dokumenta i privatnog ključa potpisnika. Vjerodostojnost potpisanog dokumenta se obavlja upotrebom sadržaja dokumenta i javnog ključa potpisnika.

DIGITALNI CERTIFIKAT Kreiranje digitalnog potpisa i njegova verfikacija vrše se, asimetričnim kriptografskim sistemom, prilikom čega koriste:

‐ tajni (privatni) ključ poznat jedino potpisniku ‐ javni ključ poznat širem krugu, a ne samo primaocu Međutim, da bi primalac bio siguran da se radi o javnom ključu potpisnika, koriste se digitalni certifikati. Digitalni certifikat je digitalno potpisani dokument koji povezuje javni ključ sa osobom kojoj pripada. Može se nazvati i digitalna lična karta, jer on to zaista jeste – digitalna lična karta u cyber prostoru, tj. sredstvo kojim dokazujemo identitet na Internetu.

Digitalni certifikat predstavlja element kojim se utvrđuje veza između identiteta subjekta i njegovog javnog ključa primjenjenog asimetričnog algoritma.

Strana 9


Slika 2. Životni ciklus digitalnog certifikata

Struktura digitalnog certifikata Elementi koji čine strukturu digitalnog certifikata su:

• verzija formata certifikata – sadrži oznaku strukture digitalnog certifikata. • Serijski broj certifikata – sadrži vrijednsot koju dodjeljuje certifikacioni autoritet u trenutku

kreiranja digitalnog certifikata • Identifikator algoritma – sadrži podatke o algoritmu koji je primijenjen za digitalno

potpisivanje • Naziv certifikacionog tijela – identifikuje izdavača digitalnog certifikata • Rok važnosti certifikata – sadrži vremenski period u kome je izdati digitalni certifikat validan • Vlasnik certifikata – predstavljen je složenom strukturom koja obuhvata nekoliko ličnih

podataka: o Dvoslovni niz koji označava državu o Region u okviru države o Elektronska adresa (e‐mail) o Naziv mjesta u kojem stanuje o Naziv organizacije u kojoj je zaposlen o Ime vlasnika o Naziv odjeljenja (niže organizacione cjeline) u organizaciji o Ime vlasnika certifikata

• Polje dodatnih atributa – sadrži vrijednosti koje identifikuju vlasnika certifikata a nisu sadržane u polju vlasnik certifikata (broj telefona, broj faxa i sl.)

• Informacija o javnom ključu vlasnika – sadrži javni ključ i identifikator asimetričnog algoritma sa kojim se dati ključ primjenjuje

• Digitalni potpis certifikata – od strane ustanove koja je izdala certifikat (CA) Prema dosadašnjim iskustvima, ovakva struktura certifikata ispunjava zahtjeve savremenih kriptografskih sistema zaštite.

Izdavanje elektronskog certifikata

Generisanje ključeva

Korišćenje ključeva

Provjeravanje važnosti

Istek važnosti

Obnavljanje

Certifikaciono tijelo

Strana 10


Funkcionalnost digitalnog certifikata

Uloga digitalnog certifikata je da dovede u jednoznačnu vezu fizički identitet subjekta sa njegovim javnim ključem. Kreiranje i digitalno potpisivanje certifikata vrši „treća strana od povjerenja“ (Third Trusted Party, TTP). Ukoliko prijemna strana uspješno verifikuje dobijeni certifikat, onda je ona sigurna u autentičnost pošiljaoca poruke – vlasnika odgovarajućeg tajnog ključa.

Digitalni certifikati mogu biti:

‐ Samopotpisani ‐ Kvalifikovani

Samopotpisane digitalne certifikate može da izda „bilo ko“, pa čak i sam korisnik. Uglavnom se koriste interno, a „prava snaga“ dobija se potpisivanjem posebnog ugovora sa korisnikom (npr. eBanking sistemi).

Kvalifikovane digitalne certifikate može da izda samo certifikaciono tijelo koje ispunjava određene zakonske uslove i ima dozvolu za rad, što je definisano Zakonom o digitalnom potpisu i pripadajućim podzakonskim aktima. Kvalifikovani digitalni certifikat sa odgovarajućim parom ključeva može se upotrijebiti za kreiranje „kvalifikovanog digitalnog potpisa“ elektronskog dokumenta, koji je po pravnoj snazi ekvivalentan papirnom dokumentu potpisanom i ovjerenom na klasičan način – olovkom i pečatom.

PKI – INFRASTRUKTURA JAVNIH PRIVATNIH KLJUČEVA Infrastruktura javnih ključeva – PKI (Public Key Infrastructuire) predstavlja preduslov za primjenu i razvoj elektronskog poslovanja, s obzirom na to da obezbjeđuje rješenja zaštite elektronskog poslovanja. Infrastruktura javnih ključeva je kompleksan sistem koji se sastoji od kriptografskih tehnologija, protokola, standarda, politika, procedura, servisa i aplikacija za zaštitu podataka i mrežnih resursa. Osnovni koncept na kome se zasniva PKI sistem je asimetrična kriptografija ili kriptografija javnih ključeva (Public Key Cryptography). PKI sistem je osnova za primjenu različitih rješenja zaštite koja se baziraju na tehnologiji simetričnih i asimetričnih kriptografskih sistema i tehnologiji digitalnog potpisa. Zbog toga, PKI sistem predstavlja osnovu cjelokupnog sistema elektronskog poslovanja.

Osnovna uloga infrastrukture javnih privatnih ključeva je uspostavljanje digitalnog identiteta subjekata u okviru mreže baziranog na digitalnim certifikatima, čime se stvara pogodno okruženje za realizaciju drugih bezbjednosnih servisa, prvenstveno onih kod kojih je od značaja autentičnost subjekata koji komuniciraju.

Rješenja zaštite elektronskog poslovanja PKI sistema omogućavaju: tajnost elektronskih dokumenata, autentifikaciju, integritet i neporecivost. Tajnost dokumenta se realizuje šifrovanjem dokumenta, tako da jedino osoba kojoj je dokument namijenjen može da dešifruje šifrovan dokument i da pročita njegov sadržaj. Tehnologija digitalnog (elektronskog) potpisa omogućuje autentifikaciju, integritet i neporecivost. Pod autentifikacijom se podrazumijeva da se pregledom digitalnog potpisa može utvrditi identitet osobe koja je potpisala dokument. Pod integritetom dokumenta se podrazumijeva da dokument nije izmijenjen poslije potpisivanja, a valjani digitalni potpis dokumenta garantuje integritet, tj. neizmijenjenost dokumenta. S obzirom na to da je jedino osoba čiji je digitalni potpis pridružen dokumentu mogla da potpiše dokument, to znači da osoba koja je digitalno potpisala dokument ne može da porekne njegovo potpisivanje.

Strana 11


Da bi se izgradila infrastruktura javnih ključeva – PKI sistem (Public Key Infrastructure) potrebno je uspostaviti javno sertifikaciono tijelo – CA (Certification Authority) koje će izdavati digitalne sertifikate unutrašnjim i spoljnim korisnicima. Postojanje javnog sertifikacionog tijela, jedan je od preduslova uvođenja eTrgovine, ePlaćanja, eBankarstva i sl. U jednoj zemlji.

Infrastruktura javnog ključa (PKI) je sistem koji objedinjuje certifikate, certifikacijsku ustanovu (certifikator), bazu certifikata i opozvanih certifikata, korisnike certifikata, kao i sve njihove međusobne interakcije. Prije svega, PKI je sistem koji omogućava autentifikaciju, koristeći simetričnu i asimetričnu kriptografiju osigurava brojne usluge uključujući povjerljivost podataka, njihov integritet kao i upravljanje ključevima (key management), odnosno certifikatima.

Osnovne osobine PKI infrastrukture PKI infrastrukturu karakterišu sljedeće osobine:

1. povjerljivost – osigurava tajnost i privatnost podataka upotrebom kriptografskih algoritama. Osnovni primjeri podataka kojima treba štititi povjerljivost su lični podaci korisnika, podaci o raznim ugovorima, finansijama i sl. Iako je pri tome moguće koristiti i simetričnu i asimetričnu kriptografiju, asimetrična je manje efektivna. Zbog toga se ona koristi za kriptovanje malih djelova podataka (poput tajnih ključeva, koje koriste simetrični kriptografski sistemi). Simetrični postupci su obično ugrađeni u PKI infrastrukturu za potrebe kriptovanja velikih količina podataka.

2. Integritet – osiguravanje da podaci ne mogu biti ugroženi ili izmijenjeni, a prenos nepromijenjen. Osnovni primjeri podataka sa kojima se treba zaštititi integritet u prenosu su javni ključevi, certifikati i digitalni potpisi. Često u takve podatke spadaju i sadržaj poruka, elektronska pošta, ugovori i ostale važne informacije. Integritet može biti osiguran unutar PKI infrastrukture upotrebom simetrične i asimetrične kriptografije.

3. Autentifikacija – provjera identiteta upotrebom certifikata i digitalnih potpisa. Primjer korištenja autentifikacije su usluge stvaranja i prodaje proizvoda preko elektronskih sistema i usluga gdje se primjenjuju kriptografski sistemi izgrađeni na javnim ključevima. Osnovna prednost autentifikacije u PKI infrastrukturi je podrška udaljenim korisnicima, a postupak se zasniva na matematičkoj zavisnosti između javnog i privatnog ključa. Poruku koju potpiše jedan entitet može provjeriti bilo koji drugi pouzdani entitet.

4. Nemogućnost poricanja – osiguravanje nempogućnosti poricanja i odbijanja prenosa podataka upotrebom kriptografije javnim ključevima i digitalnih potpisa. Primjer usluga u kojima se zahtijeva navedeno svojstvo su usluge elektronske trgovine (razmjena informacija, ugovora i sl.). Kada se podatak kopira upotrebom privatnog ključa, svaki korisnik koji ima pristup odgovarajućem javnom ključu može odrediti da je samo vlasnik privatnog ključa mogao potpisati ovu poruku. Zbog ovog postupka neophodno je da krajnji sistemi osiguravaju sigurnost privatnih ključeva korištenih u digitalnom potpisivanju podataka.

Upotreba i prednosti Osnovna funkcija PKI infrastrukture je omogućavanje distribucije i korištenja javnih ključeva i certifikata osiguravajući sigurnost i integritet. Ona čini osnovu na kojoj se grade druge aplikacije i ostale sigurnosne komponente mreža.

POVJERLJIVOST

INTEGRITET

AUTENTIFIKACIJA

NEMOGUĆNOST PORICANJA

Strana 12


Sistemi koji često zahtijevaju sigurnosne mehanizme temeljene na PKI infrastrukturi uključuju: Poruke elektronske pošte Razne aplikacije (npr. Aplikacije za ankete, identifikaciju i sl) Usluge stvaranja i prodaje proizvoda preko elektronskih sistema (eCommerce usluge) Ponudu finansijskih usluga preko intenret mreže (online bankarstvo) Razmjenu poruka preko mreže

PKI omogućava sljedeće osnovne sigurnosne usluge:

SSL, Ipsec i HTTP protokole za komunikaciju i sigurnost S/MIMIE i PGP protokole za sigurnost razmjene poruka elektronske pošte SET protokol za razmjenu vrijednosti (eng. Value exchange) i Podršku za B2B (eng. Business to Business) poslovanje

Osnovne prednosti upotrebe PKI infrastrukture:

Smanjenje troškova obrade transakcijskih pristupa Smanjenje i odjeljivanje rizika Povećanje efektivnosti i performansa sistema i mreža i Smanjenje kompleksnosti sigurnosnih sistema

Razna rješenja zasnivaju se na prednostima upotrebe javnih ključeva i kriptografije:

Identifikacioni brojevi (ID) za studente na univerzitetima Glasanje Anonimna razmjena informacija Identifikacija Online karte za putovanja Distribucija programa Razne vrste provjera podataka Upravljanje ključevima i sl.

Arhitektura infrastrukture PKI okruženje sadrži sigurnosne politike, usluge i protokole koji služe kao podrška kriptografiji javnih ključeva za upravljanje ključevima i certifikatima. Generisanje, distribucija i upravljanje ključevima i certfiikatima obično vrše CA (eng. Certification Authorities), RA (eng. Registration Authorities) te druge usluge (eng. Directory services). One se koriste kako bi uspostavile hijerarhiju i niz povjerenja (eng. Chain of trust) te omogućavaju upotrebu durgih digitalnih certifikata za identifikaciju raznih entiteta.

Prilikom komunikacije preko Internet mreža, entiteti koji nisu poznati jedan drugome, svaki zasebno uspostavi vezu sa CA entitetom. Nakon obavljanja autentifikacije, prema pravilima u CPS (eng. Certificate Practice Statement) zapisu, CA pruža svakome entitetu digitalni certifikat. Dodijeljene certifikate potpisuje CA entitet što predstavlja sigurnost svakom entitetu u komunikaciji pa oni mogu uspotaviti vezu.

Komponente sistema Infrastruktura se sastoji od više međusobno povezanih objekata, aplikacija i usluga kao što je prikazano na slici

Strana 13


Slika 4. Komponente PKI infrastrukture

Osnovne komponente PKI sistema su krajnji entitet ili korisnici PKI sistema, certifikacioni centar ili certifikator (engl. Certification Authority – CA), registracijiski centar ili registrator (engl. Registration Authority – RA), baza valjanih i opozvanih certifikata (engl. Certificate/CRL Repository) kao i izdavalac opozvanih certifikata (engl. CRL Issuer).

Objašnjenje pojedinih komponenti:

1. Krajnji entitet – subjekti certifikata, a ponekad se zovu i krajnji korisnici, koji ne moraju biti fizičke ili pravne osobe već i uređaji kao što su serveri i routeri, zatim programi i procesi, odnosno sve što može biti identifikovano imenom na certifikatu.

2. Certifikacijski centar (CA) – ustanova koja potpisuje i izdaje certifikate. Osnovne operacije certifikacijskog centra su izdavanje certifikata, njihovo obnavljanje i po potrebi njihov opoziv. CA svojim potpisom osigurava ispravnost podataka u certifikatu. CA direktno ili preko registracionog centra (RA) registruje krajnje entitete ili korisnike i verifikuje njihov identitet na odgovarajući način. CA obavlja ponekad i funkciju sigurnog pohranjivanja ključeva. On je izvor povjerenja u PKI, a povjerenje je osnova na kojoj se zasniva PKI.

3. CP (eng. Certificate Policy) – skup pravila koja uključuju primjenjivost javnih kljuečva certifikata za određenu zajednicu ili klasu aplikacija s osnovnim sigurnosnim zahjtevima (npr. CP može ukazivati na primjenjivost nekog tipa certifikata dobijenog upotrebom javnog ključa na osiguravanje autentičnosti izmjene elektronskih podataka za trgovinu dobrima određene novčane vrijednosti)

4. CPS (eng. Certificate Practices Statement) – prakse koje CA uključuje u izdavanje ključeva. Treba definisati sve procese uključene u generisanje, izdavanje, upravljanje, skladištenje, dostavljanje i povlačenje javnih ključeva.

5. HSM (eng. Hardware Security Modules) – osnovna komponenta CA entiteta, koja omogućava uspostavljanje povjerenja ne samo s klijentima određenog CA, nego i svima koji ovise o certifikatima idanih od krajnjih entiteta. Budući da povjerenje zavisi o sigurnosti i integritetu privatnih ključeva korištenih za potpisivanje javnih ključeva certifikata, neophodno je osigurati najveći nivo zaštite tih ključeva. CA pohranjuje i koristi privatne ključeve određene u HSM modulima, zvanim još i TRSM (eng. Tamper Resistant Security Modules) moduli

Strana 14


6. Javni ključ certifikata (eng. Public Key Certificates) – služi kao potvrda povezivanja identiteta krajnjeg korisnika i njegovog javnog ključa. Sadrži dovoljno informacija kako bi drugi entitet mogao provjeriti i potvrditi identitet vlasnika certifikata.

7. Proširenje certifikata (eng. Certificate Extensions) – pružaju dodatne informacije o certifikatu i dopuštaju njihovu upotrebu za posebne potrebe organizacije, Entiteti moraju poznavati proširenja certifikata kako ne bi došlo do negativnog uticaja.

8. Registracioni centar (RA, eng. Registration Authorities) – opcionalna komponenta PKI sistema, a može biti i dio certifikacionog centra. Kao što mu i samo ime kaže, njegova uloga je vezana za registrovanje krajnjih entiteta, odnosno korisnika PKI sistema. Osim ove uloge, RA može provjeravari posjeduje li korisnik privatni ključ koji odgovara javnom ključu koji će se nalaziti na certifikatu ili može sam generisati par ključeva. On može biti i posrednik između korisnika certifikacionog centraprilikom informisanja o kompromitovanju privatnog ključa. Sve ove funkcije su obavezni dio PKI sistem pa ako ih ne obavlja RA mora ih obavljati CA. RA je takođe i korisnik PKI sistema i ima svoj javni ključ i certifikat. RA ne smije obavljati funkcije izdavanja i opoziva certifikata.

9. Spremište ili baza certifikata (eng. Certificate Depositories) – predstavlja sistem ili skup distribuiranih sistema koje pohranjuju certifikate i listu opozvanih certifikata, dostupnih svim unutrašnjim ali i vanjskim korisnicima PKI sistema koji koriste certifikate za identifikaciju.

10. Izdavalac opozvanih certifikata – komponenta PKI sistema koja izdaje listu opozvanih certifikata. Certifikati se izdaju s određenim periodomo valjanosti. Certifikati iz raznih razkloga mogu postati nevažeći i prije isteka tog perioda. Za primjer se može uzeti kompromitovanje privatnog ključa. Svaki opozvani certifikat identifikovan je sa svojim serijskim brojem u listi opozvanih certifikata. Lista opozvanih certifikata je dostupna svima.

Modeli infrastrukture javnih privatnih ključeva Postoje tri osnovna modela:

1. Hijerarhijski model: a. Tipična implementacija PKI infrastrukture b. Dozvoljava CA organizaciji potpisivanje certifikata krajnjih entiteta c. Hijerarhija sadrži skup CA entiteta koji su organizovani na temelju prethodno

utvrđenih pravila d. Postoji tačka povjerenja (eng. Trust point) za svaki stvoreni certifikat e. Prednost: efektivna, proširiva i podesna PKI infrastruktura f. Nedostatak: puno CA entiteta znači i više mogućnosti za sigurnosne rizike (rušenje

jednog entiteta ugrožava cijelu infrastrukturu) 2. Distribuirani model:

a. Ne uključuje CA niti neki drugi oblik organizacije za provjeru identiteta korisnika b. Upotreba kod PGP (eng. Pretty Good Privacy) postupka za poruke elektronske pošte c. Nedostatak: krajnji entiteti sami određuju stepen povjerenja koji dodjeljuju ostalim

entitetima 3. Ravni/Vertikalni model:

a. Nazvan i model od tačke do tačke (eng. Peer to Peer) b. Koristi se unutar postupaka koji se oslanjaju na kriptografiju tajnog ključa ili

simetričnog ključa c. Ne postoji treća povjerljiva strana (CA i sl.) d. Entiteti uspostavljaju vezu od tačke do tačke te sami određuju nivo povjerenja

Strana 15


Funkcionalnost Osnovne funkcije PKI infrastrukture su: 1. Kriptografija upotrebom javnog ključa:

a. uključuje generisanje, distribuciju, administraciju i kontrolu kriptografskih ključeva b. algoritmi se zasnivaju na složenim matematičkim relacijama c. korištenje javnog i privatnog ključa

2. izdavanje certifikata a. povezivanje javnog ključa jednog korisnika, organizacije ili drugih entiteta sa samim

entitetom b. entitet može poslati zahtjev za certifikatom c. zahtjev provjeravaju CA i RA i vrše porovjeru identiteta d. CA formira certifikat na bazi zahtjeva e. CA potpisuje certifikat s privatnim ključem i zapisuje u spremište certifikata f. Krajnji entitet sprema privatni ključ, a javni distribuira

3. Provjera certifikata a. Provjera da certifikat postoji i da je valjan b. Poruke potpisane valjanim certifikatima zadovoljavaju svojstva povjerljivosti,

integriteta, autentičnosti kao i nemogućnosti poricanja c. Svi valjani certifikati spremljeni su u spremište certifikata

4. Povlačenje certifikata a. Povlačenje prethodno izdatih certifikata b. Objava odluke na CRL popisu

PRAVNO REGULISANJE ELEKTRONSKIH POTPISA Potreba za zakonodavnim regulisanjem elektronskog dokumenta i potpisa prvo je uočena u američkoj poslovnoj praksi pa su tamo zacrtani prvi obrisi budućeg zakonodavstva. Na evropskim kontinentu praksa je slijedila zakonska rješenja, a sam razvoj elektronske trgovine tekao je nešto sporije. Krajem 1990‐ih na snazi su bili propisi koji su se međusobno znatno razlikovali u pogledu definisanja elektronskih ili digitalnih potpisa, odnosno u pogledu propisivanja tehnologije. Zbog ekstrateritorijalne prirode elektronske trgovine neusklađenost nacionalnih zakonodavstava predstavljala je ozbiljnu kočnicu njenog razvoja. Prikladan način unificiranja propisa vezanih uz Internet su predlošci sastavljeni od strane međunarodno priznatih tijela poput UNCITRAL‐a, OECD‐a ili ICC‐a. Iako članice nisu obavezne u cjelini prihvatiti takve tekstove, oni vrlo često posluže kao model za izradu nacionalnih propisa.

Ključna dilema oko regulisanja elektronskih potpisa jeste treba li unaprijed odrediti tehnologiju ili ne, odnosno da li primijeniti tehnološki neutralan ili tehnološki određen pristup („technology neutrality“ versus „technology dependence“). Problem se u praksi svodi na pitanje izbora između (a) propisivanja tehnologije digitalnog potpisa kao standarda sigurne elektronske trgovine ili (b) postavljanja funkcionalnih zahtjeva za priznavanje elektronskih dokumenata i potpisa; odnosno na odabir jednog od sljedeća tri pristupa: (1) svi elektronski potpisi imaju pravnu snagu; ili (2) priznaju se samo oni elektronski potpisi koji ispunjavaju određene sigurnosne zahtjeve; ili (3) jedino digitalnim potpisima priznaje se pravna snaga koju imaju ručni potpisi. Kod prvih zakonskih rjepšenja prevladala je potreba određivanja dopuštene tehnologije, a obzirom na domete kriptografije radilo se o tehnologiji digitalnog potpisa pa u tim slučajevima imamo i „zakone o digitalnom potpisu“. Kasnije je prošireno područje potpisa kojim se daje zakonska snaga pa se počinje koristiti pojam „elektronski potpis“, a odabir tehnologije se prepuđšta tržištu. Tehnološki‐neutralno zakonodavstvo daje isti pravni status elektronski potpisamin ispravama nezavisno o korištenom obliku elektronskog

Strana 16


potpisa, a zakonodavac određuje uslove i funkcije koje potpis mora zadovoljiti da bi mogao biti pravno valjan. Prednosti određivanja tehnologije ogledaju se u većoj pravnoj sigurnosti, ali je zato drugo rješenje mnogo fleksibilnije i dužeg vijeka obzirom na permanentno pojavljivanje novih tehnologija.

Evropska Unija Evropska unija donijela je 1999. Godine Direktivu o elektronskim potpisima, a nekoliko mjeseci poslije usvojena je i Direktiva o elektronskoj trgovini.

Direktivnom EU o elektronskim potpisima uspostavlja se ujednačen pravni okvir za zemlje Evropske unije u području elektronskih potpisa i infrastrukture certifikatora. Elektronskim potpisima priznata je pravna snaga nezavisno o korištenoj tehnologiji pa se u tom smislu upotrebljava izraz „elektronski potpis“ (electronic signature). Uvodi se pojam „naprednih elektronskih potpisa“ (advanced electronic signatures) koji su zakonski potpuno izjednačeni s ličnim potpisima, a osim digitalnih potpisa obuhvataju i sve druge tehnologije koje mogu zadovoljiti propisanim uslovima. Veliki uticaj Direktive vidljiv je i izvan granica Unije jer propisi zemalja kandidatkinja uglavnom prihvataju njen pristup.

U uvodnom dijelu Direktive EU o elektronskim potpisima iznosi se svrha i opšti okvir, i predviđa se njena revizija po isteku dvije godine od implementacije kako bi se spriječilo da tehnološke promjene postanu barijera ostvarivanja postavljenih ciljeva. Direktivnom se uređuju pravni učinci elektronskih potpisa i certifikata, osnivanje i rad davaoca usluga certifikovanja kao i njihova odgovornost, a obuhvaćeno je i pitanje transparentnosti unutrašnjeg tržišta usluga certifikovanja i uslovi priznavanja stranih (vanjskih) certifikata.

Kao posljedica neusklađenih pristupa između zemalja koje su tražile različite nivoe zaštite pa u skladu sa tim i različite zahtjeve koji bi se postavljali pred elektronske potpise, u direktivi se javljaju dvije vrste elektronskih potpisa. Pod pojmom „obični“ elektronski potpis (electronic signature) misli se na (bilo kakve) podatke u elektronskom obliku kojis u priloženi ili logički povezani s drugim elektronskim podacima i služe kao metoda autentifikacije. Napredni elektronski potpis (advanced electronic signature) funkcionalno se definiše kao onaj elektronski potpis koji zadovoljava sljedeće uslove: na jedinstven način povezan je sa potpisnikom, identifikuje potpisnika, izrađen je sredstvima koja su pod isključivom kontrolom potpisnika, i povezan je sa podacima na koje se odnosi na način koji omogućije otkrivanje naknadnih promjena podataka. Na sličan način Direktiva EU o elektronskim potpisima razlikuje pojmove certifikata (certificate) i kvalifikovanog certifikata (qualified certificate). Certifikat je elektronska potvrda koja povezuje neku osobu s podacima za provjeru njenog potpisa te potvrđuje identitet te osobe, a kvalifikovani certifikat može izdati samo davalac usluga certifikovanja koji ispunjava određene pretpostavke u pogledu tehničke opremljenosti, sigurnosnih i kontrolnih procedura, te osposobljenosti zaposlenih. Direktiva obavezuje države članice da elektronskim ispravama s naprednim elektronskim potpisom koji jamči identitet potpisnika i itegritet podataka osiguraju jednake pravne učinke kao vlastoručno potpisanoj ispravi u „klasičnom“ papirnom obliku. Osim toga, propisuje se da (običnom) elektronskom potpisu ne smije biti oduzeta pravna snaga i prihvatljivost u dokaznim postupcima samo zbog njegovog elektronskog oblika ili zato što nije utemeljen na kvalifikovanom certifikatu i izrađen sigurnostnim sredstvom. Iz toga jasno slijedi da je funkcija izdavanja kvalifikovanih certifikata slična onoj koju ima ovjera vlastoručnog potpisa na papiru te da elektronski potpis ne može izgubiti pravni učinak ako nije praćen odgovarajućim certifikatom.

Razlikovanje elektronskog potpisa i naprednog elektronskog potpisa bitno je za pitanje odgovornosti davaoca usluge certifikovanja za štetu koja nastane korisniku potpisa koji se ošravdano pouzda u njegovu vjerodostojnost. Direktivom se od država članica izričito traži da osiguraju barem (as a minimum) postojanje odgovornosti izdavaoca kvalifikovanog certifikata za štetu koja bi nastala

Strana 17


fizičkoj ili pravnoj osobi, pod uslovom da nije bilo razloga sumnjati u tačnost i potpunost certifikata. Predviđeno je da davalac usluge izdavanja kvalifikovanog certifikata odgovara: za tačnost i potpunost podataka sadržanih u certifikatu s obzirom na trenutak njegovog izdavanja; da je u vrijeme izdavanja certifikata potpisnik posjedovao podatke za izradu potpisa (npr. Privatni ključ) koji odgovara podacima za provjeru potpisa navedenim u certifikatu (npr. Javni ključ koji je komplementaran privatnom ključu u vlasništvu potpisnika); da podaci za izradu potpisa odgovaraju podacima za provjeru potpisa, ako je on sam te podatke kreirao; te ako propusti registrovati promjene ili opoziv certifikata. U navedenim slučajevima davalac usluge certifikovanja odgovara prema načelu presumirane krivice i na njemu leži teret dokazivanja, a svoju odgovornost može ograničiti ako u certifikatu naznači (1) iznos do kojeg oštećeni može tražiti naknadu štete i/ili (2) maksimalnu vrijednost pojedinačne transakcije za koju se certifikat može koristiti.

U pogledu uslova za osnivanje i rad davaoca usloga certifikovanja Direktiva EU o elektronskim potpisima traži da države članice omoguće svakom zainteresovanom subjektu pružanje te usluge bez ograničavanja njihovog broja, ali im je ostavljena mogučnost da propišu uslove za osnivanje.

Zakonska regulativa u Crnoj Gori Mogućnosti koje nude informaciono komunikacione tehnologije i obaveze u regulatornom smislu u obavljanju trgovinskih transakcija putem Interneta, oslikavaju se kroz razmjenu elektronskih dokumenata i njihovu punovažnost, povjerenje i bezbjednost, kao i pitanja vlasništva i autorskih prava koja se realizuju putem svjetske mreže. Stoga je važno kreirati pravno okruženje koje će obezbijediti sigurnost i povjerenje.

Saglasno obavezama na putu razvoja Informacionog društva, Crna Gora se, zajedno sa ostalim zemljama regiona, opredijelila za preuzimanje konkretnih akcija na polju zakonodavstva, kroz uvođenje novog i modernijeg pravnog okvira za društvo zasnovano na informaciono komunikacionim tehnologijama.

U vezi sa tim, donešeni su sljedeći zakoni: ‐ Zakon o elektronskom potpisu, ‐ Zakon o elektronskoj trgovini, ‐ Zakon o elektronskom dokumentu, ‐ Zakon o primjeni propisa kojima se uređuje zaštita prava intelektualne svojine, ‐ Zakon o slobodnom pristupu informacijama, ‐ Zakon o tajnosti podataka, ‐ Zakon o zaštiti neobjavljenih podataka, ‐ Zakon o elektronskim komunikacijama, ‐ Zakon o zaštiti podataka o ličnosti i dr. Iako je dio zakona donešen prije 4‐5 godina, isti nisu zaživjeli u smislu implementacije, što značajno koči procese ne samo u državnoj administraciji, već u cjelokupnom sistemu. Ovdje posebno treba istaći elektronski potpis, kao ključni element u eri informatizacije.

U Zakonu o elektronskom potpisu i podzakonskim aktima, koji regulišu ovu problematiku, definisani su osnovni pojmovi (elektronski potpis, kvalifikovani elektronski potpis, elektronski dokument i sl) kao preduslov za njihovo funkcionisanje i punovažnost u formi kakva je elektronska. Takođe, zakonom se uređuje upotreba elektronskog potpisa u pravnim poslovima i drugim pravnim radnjama, kao i prava, obaveze i odgovornosti u vezi sa elektronskim certifikatima, ako posebnim

Strana 18


zakonima nije drugačije određeno. Zakon sadrži odredbe o elektronskom i kvalifikovanom elektronskom potpisu, elektronskim certifikatima i certifikacionim tijelima, pravima, obavezama i odgovornostima korisnika i certifikacionih tijela, odredbe o nadzoru u sprovođenju odredbi zakona i kaznene odredbe.

Republički Sekretarijat za razvoj je na osnovu Zakona, donio sljedeća pravila: ‐ Pravilnik o evidenciji, registru i obaveznom osiguranju davalaca usluga certifikovanja (»Sl. List RCG«, br. 53/04 i 32/05) ‐ Pravilnik o mjerama i postupcima upotrebe i zaštite elektronskog potpisa, sredstava za izradu elektronskog potpisa i sistema certifikovanja (»Sl. List RCG«, br. 25/05) ‐ Pravilnik o tehničkim pravilima i uslovima povezivanja sistema certifikovanja elektronskih potpisa (»Sl. List RCG«, br. 25/05) Navedenim pravilima bliže se uređuje način uspostavljanja i upravljanja elektronskim certifikatima. Pravne aktivnosti su sprovođene shodno obavezama na putu razvoja informacionog društva. Ipak, iako se vodilo računa da zakonodavstvo bude usklađeno sa međunarodnim normama, kao što je acquis communautaire, analizama eksperata iz Evropske komisije je utvrđeno da dio zakona nije u skladu sa evropskim standardima i da su potrebne modifikacije u okviru njih.

Programom Vlade Crne Gore za 2009. je planirano donošenje Zakona o izmjenama i dopunama Zakona o elektronskom potpisu i Zakona o izmjenama i dopunama Zakona o elektronskoj trgovini. U tom smislu je važno angažovati stručnjake koji će pomoći da se, kroz potrebne izmjene, ovi zakoni uobliče i u potpunosti usaglase sa evropskim direktivama. Ministarstvo za informaciono društvo, kao resorno za ovo pitanja, će preduzeti konkretne aktivnosti na pripremi i implementaciji ovih zakona, kako sa pravnog tako i sa tehnološkog aspekta, pri čemu se, naravno, ni u jednom trenutku ne smije zanemariti politički i društveni kontekst kompletnog procesa.

Zakonska regulativa koja reguliše pitanja suzbijanja računarskog kriminala, tajnost podataka u oblasti informacione bezbjednosti, pitanja autorskih i srodnih prava, kao i sprovođenje mjera i standarda informacione bezbjednosti, kroz usvajanje novih zakona, ili izmjene postojećih, takođe je obuhvaćena Programom Vlade Crne Gore za 2009, čime će se uokviriti set ključnih oblasti bez kojih se ne može zamisliti moderan informacioni sistem.

Nakon donošenja podzakonskih akata, neophodno je realizovati aktivnosti na uspostavljanju Centralnog Certifikacionog tijela (tzv. Root CA) u okviru nadležnog organa, u cilju obezbjeđenja neophodne infrastrukture za implementaciju Zakona, a samim tim i Evropske direktive o elektronskim potpisima.

USPOSTAVLJANJE PKI INFRASTRUKTURE U VLADI CRNE GORE Da bi se uspostavila infrastruktura javnih privatnih ključeva, potrebno je uspostaviti centralno certifikaciono tijelo, tj. Root CA. U skladu sa nadležnostima, preporuka je da se infrastruktura uspostavi u Ministarstvu za informaciono društvo, čime bi se kreirala početna infrastruktura za razmjenu javnih ključeva koja bi za ograničeni broj zaposlenih u Ministarstvu za Informaciono Društvo i drugog osoblja Vlade Crne Gore ponudila usluge certifikovanja, digitalnog potpisa i enkripcije elektronske pošte i fajlova.

PKI infrastruktura koja bi se implementirala u Ministarstvu za infromaciono društvo trebala bi da se sastoji iz sledećih komponenti:

Strana 19


Certificate Authority (CA) ‐ Nadležan za kreiranje digitalnog identiteta (Digital ID), izdavanje certifikata i sve neophodne usluge u toku njihovog kompletnog životnog ciklusa

Registration Authority (RA) ‐ Nadležan za prijem zahtjeva za kreiranje digitalnog identiteta i izdavanje certifikata, identifikaciju podnosilaca zahtjeva, Prosleđivanje zahtjeva nadležnim službama i ostalu komunikaciju i usluge prema podnosiocima zahtjeva

Operations Authority (OA) ‐ Nadležan za dnevne aktivnosti PKI sistema Policy Managament Authority (PMA) ‐ Tijelo nadležno za izradu politike rada certifikacionog

tijela, kao i sve naknadne promjene iste Certificate Repository ‐ Dio sistema u kome se smještaju certifikati i ostale komponente

bitne za funkcionisanje PKI sistema Klijentskih komponenti:

o Ličnog kontejnera korisnika i programa za upravljanje istim o Programa koji omogućavaju digitalni potpis i kriptovanje elektronske pošte i fajlova,

kao i upravljanje digitalnim identitetom tokom njegovog kompletnog životnog vijeka U tom smislu, u cilju uspostavljanja kvalitetne infrastrukture za razmjenu ključeva, u nadležnoj instituciji bi bilo potrebno:

‐ Obezbjediti adekvatnu prostoriju za smještanje CA sistema koja mora u pogledu sigurnosti da obezbjedi minimalno:

o Kontrolu ulaska o Adekvatnu klimatizaciju o Protivpožarnu zaštitu o Vezu sa stabilnim energetskim napajanjem

‐ Obezbjediti mrežnu infrastrukturu za povezivanje certifikacionog tijela sa ostatkom mreže. Ova mrežna infrastruktura mora da obezbjedi nesmetano korištenje PKI servisa krajnjih korisnika na bezbjedan i pouzdan način

‐ Certificate Repository ‐ Web site za objavljivanje informacija ‐ Obezbjediti opremu neophodnu za realizaciju projekta

Sam sistem za certifikovanje treba da radi kao organizacijska jedinica unutar ministarstva za informaciono društvo. CA treba da se sastoji od rukovodstva, CA operativne služne i službe za registraciju (centralne i lokalnih).

Hijerarhijska organizacija Sertifikacionog tijela treba da se sastoji od dva nivoa CA servera, koji se nalaze u relaciji nadređeni‐podređeni CA server. Takva organizacija sa većim brojem CA servera omogućava: povećanu raspoloživost CA servisa (ako jedan CA server otkaže ostali su raspoloživi), fleksibilnu organizaciju CA servisa, raspodjelu opterećenja između CA servera, preraspodjelu administrativnih ovlašćenja i dužnosti, primjenu različitih mjera zaštite po nivoima.

Strana 20


Slika 5. [CA‐Name] CA organizacijska shema

Da bi sistem bio potpuno implementiran i funkcionalno integrisan, potrebno je paralelno raditi projektnu dokumentaciju. Projektna dokumentacija treba da uključi sledeće:

• Funkcionalne opise implementiranih sistema • Certificate Practice Statament dokument sa identifikovanim procesima i tokovima • Root Key Generation Procedure dokument • Zapisnik realizacije RKG procedure

Dakle, jedan od preduslova za uvođenje javnih elektronskih servisa u jednoj državi (pri čemu je akcenat stavljen na servise eUprave, tj. eGovernmenta) je da se građanima tj. Korisnicima tih servisa dodijele digitalni identiteti, odnosno digitalni certifikati.

Uspostavljanjem Centralnog certifikacionog tijela u Ministarstvu za informaciono društvo, omogućiće se kreiranje sistema za razmjenu ključeva kako u državnoj upravi, tako i prema poslovnim subjektima i građanima. Da bi elektronsko poslovanje i uopšte, usluge informacionog društva mogle da se u punom obimu implementiraju, i na taj način stvori društvo zasnovano na znanju, neophodno je obezbijediti sigurnu komunikaciju, a to se postiže upravo uspostavljanjem tijela koje će se baviti izdavanjem digitalnih certifikata.

Za uvođenje javnih elektronskih Internet servisa u jednoj državi, dovoljno je da postoji barem jedno javno certifikaciono tijelo, koje izdaje digitalne certifikate, s tim što je poželjno da postoje barem dva javna certifikaciona tijela, kako bi korisnici mogli da izaberu od kog će certifikacionog tijela da nabave tj. kupe i koriste digitalni certifikat. Uspostavljanjem infrastrukture javnih privatnih ključeva u Ministarstvu za informaciono društvo, otvoriće se mogućnosti da se kroz različite oblike partnerstava, sa državnim ali i privatnim institucijama, omogući građanima izdavanje i upotreba certifikata, koje će podjednako, bez obzira gdje je taj certifikat izdat, moći da koriste u cilju obezbjeđivanja sigurnosti tokom korišćenja javnih elektronskih internet servisa u Crnoj Gori.

CA – Name CA savjet(Policy Authority)

CA operativna služba (Operations Authority)

Služba za registraciju(Registration Authority)

Centralna služba za registraciju

Lokalna služba za registraciju

vlada crne gore ministarstvo za informaciono druš · pdf filelogičke cjeline se, po...

Documents