Metodické postupy

Jednou z požiadaviek na úspešné ukončenie procesu certifikácie je posúdenie produktu od renomovaného skúšobného laboratória, ktoré je akreditované úradom uznanou národnou akreditačnou inštitúciou alebo záverečnej správy bezpečnostného auditu od nezávislého audítora. Výstupom auditu pre úrad je správa audítora o zhode.

Produkty určené na certifikáciu

Zariadenia pre podpis a pečať sú určené na bezpečné generovanie a uloženie súkromných
a verejných kľúčov (kľúčových párov), kvalifikovaných a systémových certifikátov
a na vyhotovenie kvalifikovaného elektronického podpisu alebo vyhotovenie kvalifikovanej elektronickej pečate.

Pri posúdení sú zohľadňované požiadavky, ktoré sú uvedené v dokumente:

 Vykonávacie rozhodnutie Komisie (EÚ) č. 2016/650 z 25. apríla 2016, ktorým sa stanovujú normy posudzovania bezpečnosti zariadení na vyhotovenie kvalifikovaného podpisu a pečate podľa článku 30 ods. 3 a článku 39 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu.

Aplikácie pre podpis a pečať sú určené na vyhotovenie a/alebo overovanie kvalifikovaného elektronického podpisu a/alebo kvalifikovanej elektronickej pečate v schválených formátoch:

  • XAdES XML Advanced Electronic Signatures,
  • CAdES CMS Advanced Electronic Signature,
  • PAdES PDF Advanced Electronic Signature.

V súlade s prílohou Vykonávacieho rozhodnutia Komisie (EÚ) č. 2015/1506 z 8. septembra 2015, ktorým sa ustanovujú špecifikácie týkajúce sa formátov zdokonalených elektronických podpisov a zdokonalených elektronických pečatí, ktoré môžu subjekty verejného sektora uznávať, podľa článkov 27 ods. 5 a 37 ods. 5 nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu.

Pri certifikácii SW produktu platí Metodika auditu SW aplikácií. Táto metodika zaručuje jednotný a opakovateľný postup certifikácie bezpečných aplikácií v podmienkach SR. Z dôvodu overenia, že zdrojové kódy SW aplikácie odovzdané výrobcom audítorovi k vykonaniu nezávislého auditu sú totožné so zdrojovými kódmi odovzdanými NBÚ k certifikácii, NBÚ požaduje vytvorenie protokolu o kompilácii zdrojového kódu aplikácie Vzor protokolu o kompilácii (pdf, 509 kB) a odovzdanie jedného výtlačku na NBÚ. Proces kompilácie musí prebehnúť za prítomnosti výrobcu a audítora, prípadne zástupcov NBÚ.

Produkty určené pre poskytovateľov služieb sú určené pre poskytovanie certifikačných služieb vrátane správy certifikátov (najmä vydávanie, overovanie platnosti, rušenie a archivácia certifikátov) a služieb infraštruktúry verejného kľúča. Pre potreby certifikácie je potrebné predložiť bezpečnostné certifikáty od laboratórií alebo atestačných stredísk úradom uznaných inštitúcií alebo uistenie tretej strany (dodaním záverečnej správy bezpečnostného auditu – odborného posudku), vyhotovenú nezávislým audítorom s výrokom o splnení bezpečnostných požiadaviek kladených na technický prostriedok.

Produkty určené pre poskytovateľov služieb musí zaručovať minimálne bezpečnostnú úroveň stupňa EAL 3.

Pre elektronickú podateľňu sú aplikácie a zariadenia, ktoré slúžia pre prácu v automatickom režime. V procese certifikácie platia pre ne primerane požiadavky na zariadenia a aplikácie pre podpis a pečať.

Použité skratky:

  • A- SCA – Signature Creation Application (automatic mode)
  • A- SVA – Signature Verification Application (automatic mode)
  • A- SCVA – Signature Creation & Verification Application (automatic mode)
  • HSM – Hardware Security Module
  • SCA – Signature Creation Application
  • SVA – Signature Verification Application
  • SCVA – Signature Creation & Verification Application
  • SSCD – Secure Signature Creation Device
  • QSCD – Qualified Signature Creation Device
  • SW TWS – Software for Trustworthy System
  •  XAdES – XML Advanced Electronic Signatures
  • CAdES – CMS Advanced Electronic Signature
  • PAdES – PDF Advanced Electronic Signature
  •  EPES – Explicit Policy Electronic Signature
  • T – signature Timestamp
  • C-X – Complete and eXtended validation data
  • A – Archive validation data
  •  bp – B – baseline profile Basic level
  • bp – T – baseline profile Trusted time for signature existence level
  • bp – LT – baseline profile Long Term level
  • bp – LTA – baseline profile Long Term with Archive time-stamps level

 Certifikované rozhranie:

  • A – APDU komunikácia aplikácie priamo s QSCD (SSCD) čipom
  • C – PKCS#11 DLL podľa Cryptoki
  • M – Microsoft Cryptography API
  • X – rozhranie nebolo certifikované
Dátum prvého uverejnenia , posledná aktualizácia