Anslutningsinformation certifikat

5.1.2 AS4-kryptering mellan accesspunkter

(Ansvarig: Accesspunktsoperatör)

AS4 används för att skydda meddelandeutbytet mellan accesspunkter, genom inbyggd signering och kryptering i protokollet.

Följande certifikat från Digg (rotcertifikat och utfärdande certifikat) är giltiga för accesspunkter inom SDK-federationen.

5.2 Accesspunkt till SMP

(Ansvarig: Accesspunktsoperatör)

Kommunikation mellan accesspunkt och certifikatpubliceringstjänsten (SMP). Metadata som utbyts via SMP är signerad för att säkerställa äkthet och integritet.

Se Transportprofil AS4.

Följande rotcertifikat, utfärdade av Digg, är giltiga för signering av metadata:

5.3 Meddelandetjänst till Certifikatpubliceringstjänst (SMP)

(Ansvarig: Deltagarorganisation)

Kommunikation mellan deltagarorganisationens meddelandetjänst och certifikatpubliceringstjänsten (SMP).

Se Transportprofil AS4, samt Certifikatspublicering - REST-bindning till SMP.

Följande rotcertifikat, utfärdade av Digg, är giltiga för signering av metadata:

5.4 Meddelandetjänst till Meddelandetjänst

(Ansvarig: Deltagarorganisation)

SDK O2O-kryptering och signering av SDK meddelande (nyttolast) mellan deltagar-organisationers meddelandetjänster.

Se krav på certifikatshantering format och nyckellängd. Regelverk för deltagarorganisationer Länk till annan webbplats. samt Bilaga IT-säkerhet. Länk till annan webbplats.

Följande certifikat (rotcertifikat och utfärdande certifikat) från tre leverantörer är godkända av Digg för funktionscertifikat som används för O2O-kryptering och signering:

6. Anskaffning av certifikat

(Ansvarig: Deltagarorganisation och accesspunktsoperatör. Se respektive avsnitt i sektion 5 för ansvar per användningsområde.)

Certifikat som används inom SDK har en livscykel som omfattar anskaffning, användning, förnyelse och avveckling. Hur certifikat anskaffas och hanteras beror på vilken roll organisationen har inom SDK och hur anslutningen är utformad.

6.1 SITHS funktionscertifikat

Läs mer om SITHS funktionscertifikat: SITHS Funktionscertifikat - Användarguide - Identifieringstjänst SITHS - Confluence (atlassian.net). Länk till annan webbplats. SITHS funktionscertifikat kan anskaffas på två sätt: via egen anslutning och via ombud.

6.1.1 Egen anslutning (direktanslutning)

Organisationer med egen anslutning kan vara

• Regioner
• Kommuner
• Statliga myndigheter
• Tjänsteleverantörer som agerar som ombud

Läs mer om att utfärda egna SITHS funktionscertifikat här Utfärda egna SITHS funktionscertifikat - Identifieringstjänst SITHS - Confluence (atlassian.net). Länk till annan webbplats.

6.1.2 Via ombud (tredjepartsanslutning)

En tredjepartanslutning till SITHS innebär att din organisation har tecknat avtal med en organisation som har en direktanslutning till SITHS, d.v.s är ombud för SITHS, och att din organisation ansluter via ombudet. Läs mer om anslutning via ombud på SITHS Identifieringstjänst - Inera. Länk till annan webbplats. En tredjepartanslutning innebär också att din organisation kan få hjälp av den verksamhet som ni ansluter er via för att ge ut funktionscertifikat. Regioner och kommuner kan efter eget beslut agera SITHS-ombud för en verksamhet.

Om din organisation inte har möjlighet att själva bygga upp den organisation som krävs för att ansvara för en egen hantering av funktionscertifikat är en tredjepartanslutning via ombud det naturliga valet för att anskaffa ett SITHS funktionscertifikat. Organisationer kan vara:

• Kommuner
• Tjänsteleverantörer

Skarpa funktionscertifikat kan beställas via alla ombud. Testfunktionscertifikat kan utfärdas av regionernas ombud och vissa privata ombud, dock ej av kommunförbund.

Vid behov kan mer information om ombud fås via Kundservice Inera Frågor om beställning och tjänster - Inera Länk till annan webbplats..

6.2 Expisoft servercertifikat

Server/funktionscertifikat kan anskaffas av alla genom att beställa SDK Funktionscertifikat 4096 bits via Expisofts webbportal, här finner ni den: Expisoft AB – E-legitimation Länk till annan webbplats.

6.3 EFOS funktionscertifikat

Server/funktionscertifikat kan anskaffas av anslutna myndigheter. Läs mer om Efos här: E-identitet för offentlig sektor, EFOS - Försäkringskassan (forsakringskassan.se) Länk till annan webbplats..

6.4 Diggs certifikat

Certifikat utfärdade av Digg används i olika kommunikationsflöden inom SDK. Hur dessa certifikat erhålls och används skiljer sig åt beroende på användningsområde. Se avsnitt 5.1.2, 5.2 och 5.3 för information om när dessa certifikat används och vilken aktör som ansvarar.

6.4.1 Certifikat som anskaffas från Digg

För vissa användningsområden, exempelvis AS4-kryptering mellan accesspunkter (avsnitt 5.1.2), behöver accesspunktsoperatörer anskaffa certifikat från Digg.

6.4.1.1 AS4-certifikat

AS4-certifikat utfärdas av Digg och används för kryptering och signering i kommunikationen mellan accesspunkter.

Certifikaten baseras på en certifikatsbegäran som accesspunktsoperatören lämnar till Digg.

Certifikatsbegäran ska uppfylla följande krav:

Format: PKCS#10 eller självsignerat certifikat i PEM-format

Nyckellängd: minst 3072 bitar (RSA eller ECC)

Följande certifikatsattribut ska anges i certifikatsbegäran:

1. CN (Common Name) = Namnet på operatörens organisation
   (värdet ersätts av Digg med en egen identifierare)
2. (Organization) = Namnet på operatörens organisation
3. OU (Organizational Unit) = Namnet på accesspunktsoperatörsrollen (anges vid behov)
4. C (Country) = Land där operatörens organisation är registrerad

Certifikatsbegäran kan exempelvis genereras med hjälp av OpenSSL eller motsvarande verktyg.

För att lämna in certifikatsbegäran till Digg ska gällande rutiner följas. Instruktioner för detta tillhandahålls av Digg i samband med anslutning och vid förnyelse av certifikat.

6.4.1.2 Rotcertifikat som tillhandahålls av Digg

För andra användningsområden, såsom verifiering av metadata i SMP (avsnitt 5.2 och 5.3), behöver aktörer inte anskaffa egna certifikat från Digg.

Istället används rotcertifikat som utfärdats av Digg för att verifiera signaturer.

Dessa rotcertifikat ska:

• laddas ned från Diggs distributionskanaler (se avsnitt 5 för mer information)
• installeras i organisationens trust store

Rotcertifikaten används för att verifiera att metadata från SMP är korrekt signerad och inte har manipulerats.

7. Sammanfattning

Certifikat inom SDK ska hanteras på ett enhetligt sätt genom hela livscykeln och användas enligt den roll och den miljö som är aktuell. Genom att följa angivna certifikatkedjor och tillämpa rätt certifikat per användningsområde säkerställs korrekt validering och tillförlitlig kommunikation inom federationen.