Идет загрузка документа (20 kByte)
Главный правовой
портал Украины
Главный правовой
портал Украины
Остаться Попробовать

Об утверждении Изменений к Регламенту работы центрального заверительного органа

Минюст
Приказ от 11.12.2017 № 3947/5
действует с 15.12.2017

МІНІСТЕРСТВО ЮСТИЦІЇ УКРАЇНИ

НАКАЗ

11.12.2017

м. Київ

N 3947/5

Зареєстровано в Міністерстві юстиції України
12 грудня 2017 р. за N 1498/31366

Про затвердження Змін до Регламенту роботи центрального засвідчувального органу

Відповідно до підпунктів 76, 77 пункту 4 Положення про Міністерство юстиції України, затвердженого постановою Кабінету Міністрів України від 02 липня 2014 року N 228 (із змінами), Положення про центральний засвідчувальний орган, затвердженого постановою Кабінету Міністрів України від 28 жовтня 2004 року N 1451 (із змінами), Порядку акредитації центру сертифікації ключів, затвердженого постановою Кабінету Міністрів України від 13 липня 2004 року N 903 (із змінами),

НАКАЗУЮ:

1. Затвердити Зміни до Регламенту роботи центрального засвідчувального органу, затвердженого наказом Міністерства юстиції України від 29 січня 2013 року N 183/5, зареєстрованого в Міністерстві юстиції України 30 січня 2013 року за N 191/22723 (із змінами), що додаються.

2. Департаменту приватного права (Ференс О. М.) подати цей наказ на державну реєстрацію відповідно до Указу Президента України від 03 жовтня 1992 року N 493 "Про державну реєстрацію нормативно-правових актів міністерств та інших органів виконавчої влади".

3. Цей наказ набирає чинності з дня його офіційного опублікування.

4. Контроль за виконанням цього наказу покласти на першого заступника Міністра юстиції України Бернацьку Н. І.

 

Міністр

П. Петренко

ПОГОДЖЕНО:

 

Генеральний директор
державного підприємства
"Національні інформаційні системи"

С. С. Лур'є

Голова Державної служби
спеціального зв'язку та захисту
інформації України

Л. О. Євдоченко

 

ЗМІНИ
до Регламенту роботи центрального засвідчувального органу

1. У розділі VII:

1) абзаци третій - сьомий пункту 2.2 глави 2 викласти в такій редакції:

"Особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС та особисті ключі ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, зберігаються в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО.

Особисті ключі шлюзів захисту мережевих з'єднань, шифраторів мережевого потоку та особисті ключі адміністраторів зберігаються на захищених носіях особистих ключів.

Для забезпечення можливості відновлення особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, у випадку виходу з ладу апаратних та/або апаратно-програмних засобів КЗІ виконується резервне копіювання відповідного особистого ключа із засобу КЗІ на захищеному носієві особистих ключів.

Для забезпечення можливості відновлення особистих ключів шлюзів захисту мережевих з'єднань, шифраторів мережевого потоку та особистих ключів адміністраторів у випадку виходу з ладу захищеного носія особистих ключів виконується резервне копіювання особистого ключа із засобу КЗІ на окремі резервні захищені носії особистих ключів.

Факти генерації та створення резервних копій особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, особистих ключів шлюзів захисту мережевих з'єднань, особистих ключів шифраторів мережевого потоку (далі - особисті ключі ЦЗО), особистих ключів адміністраторів та відповідних їм відкритих ключів реєструються адміністратором безпеки у відповідному журналі обліку.";

2) главу 3 після пункту 3.3 доповнити новими пунктами 3.4, 3.5 такого змісту:

"3.4. Факти знищення особистих ключів ЦЗО, особистих ключів адміністраторів та їх резервних копій реєструються адміністратором безпеки у відповідному журналі обліку.

3.5. Не пізніше завершення половини строку дії поточного особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС здійснюються генерація нового особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС та формування відповідного сертифіката ключа. При цьому поточний особистий ключ ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС стає попереднім, а новий - поточним.

Поточні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП на сертифікати ключів Центрів та СВС.

Попередні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП тільки для обслуговування сертифікатів ключів Центрів, які були сформовані за допомогою цих ключів.".

У зв'язку з цим пункт 3.4 вважати пунктом 3.6;

3) главу 4 виключити.

2. У додатку 1:

1) у таблиці 1:

доповнити новими позиціями дев'ятою - дванадцятою такого змісту:

"

organizationIdentifier2

ідентифікатор організації2

унікальний ідентифікатор організації, що є Центром.
Правила заповнення цього реквізиту наведені у пункті 5.1.4 глави 5 ДСТУ ETSI EN 319 412-1:2016
id-at-organizationIdentifier OBJECT IDENTIFIER ::= {id-at 97}

signature

алгоритм ЕЦП

значення реквізиту для алгоритмів ЕЦП за ДСТУ 4145-2002 визначається згідно з вимогами, встановленими Наказом;
значення реквізиту для алгоритму ЕЦП ECDSA з алгоритмом гешування SHA256:
ecdsa-with-SHA256
OBJECT IDENTIFIER ::={iso(1) member-body(2) us(840) ansi-x962(10045) signatures(4) ecdsa-with-SHA2(3) 2};
значення реквізиту для алгоритму ЕЦП ECDSA з алгоритмом гешування SHA512:
ecdsa-with-SHA512
OBJECT IDENTIFIER ::={iso(1) member-body(2) us(840) ansi-x962(10045) signatures(4) ecdsa-with-SHA2(3) 4};
значення реквізиту для алгоритму ЕЦП RSA з алгоритмом гешування SHA256:
sha-256WithRSAEncryption OBJECT IDENTIFIER ::={iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 11};
значення реквізиту для алгоритму ЕЦП RSA з алгоритмом гешування SHA512:
sha-512WithRSAEncryption OBJECT IDENTIFIER ::={iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 13}

subjectPublicKeyInfo

інформація про відкритий ключ Центру

у структурі цього реквізиту, крім значення відкритого ключа та параметрів криптоперетворень (для ДСТУ 4145-2002 та ECDSA), повинна міститися ознака алгоритму обчислення відкритого ключа;
значення ознаки алгоритму обчислення відкритого ключа для алгоритмів ЕЦП за ДСТУ 4145-2002 визначається згідно з вимогами, встановленими Наказом;
значення ознаки алгоритму обчислення відкритого ключа для алгоритму ЕЦП ECDSA:
id-ecPublicKey OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) ansi-X9.62(10045) id-publicKeyType(2) 1};
значення ознаки алгоритму обчислення відкритого ключа для алгоритму ЕЦП RSA:
rsaEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 1}

signatureAlgorithm

найменування криптоалгоритму, що використовується Центром

значення реквізиту має бути ідентичним значенню реквізиту "signature"

";

доповнити новою виноскою "2" такого змісту:

"____________
2 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами четвертим, п'ятим пункту 1.12 глави 1 розділу V Регламенту.";

2) у таблиці 2:

розділ "Нестандартні розширення" викласти в такій редакції:

"

Нестандартні розширення

ua-qcStatement-2 (1.2.804.2.1.1.1.2.2)

Політика посиленої сертифікації

+/-

+/-

+/-

+

У разі наявності та відповідності значення розширення у запиті на формування сертифіката значенню, що відповідає вимогам Наказу, встановлюється значення розширення, що міститься у запиті на його формування.
У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО

cps5

Основні засади політики сертифікації5

+/-

+/-

+/-

+

У разі наявності та відповідності значення розширення у запиті, що відповідає політиці сертифікації ЦЗО, у сертифікаті відкритого ключа Центру встановлюється значення розширення, що міститься у запиті на його формування.
У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО

SemanticsId-Legal (0.4.0.194121.1.2)5

Семантична ідентифікація Центру5

+/-

+/-

+/-

+

У разі наявності та відповідності значення розширення у запиті, що відповідає політиці сертифікації ЦЗО, у сертифікаті відкритого ключа Центру встановлюється значення розширення, що міститься у запиті на його формування.
У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО

ua-qcStatement-1 (1.2.804.2.1.1.1.2.1)

Ознака посиленого сертифіката

+/-

+/-

+/-

+

У разі наявності та відповідності значення розширення у запиті на формування сертифіката значенню, що відповідає вимогам Наказу, встановлюється значення розширення, що міститься у запиті на його формування.
У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО

";

доповнити новою виноскою "5" такого змісту:

"____________
5 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами четвертим, п'ятим пункту 1.12 глави 1 розділу V Регламенту.";

3) доповнити новою таблицею 3 такого змісту:

"Обов'язкові реквізити посиленого сертифіката відкритого ключа ЦЗО

Таблиця 3

Назва реквізиту англійською мовою

Назва реквізиту українською мовою

Значення реквізиту

countryName

Назва країни

Код згідно з міжнародним стандартом ISO 3166 для України
Значення: UA

organizationName

Найменування державного органу, на який покладено виконання функцій ЦЗО

Значення українською мовою: Міністерство юстиції України.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Ministry of Justice of Ukraine1

serialNumber

Серійний номер

Унікальний реєстраційний номер.
Значення цього реквізиту задається згідно з пунктом 1.4 глави 1 розділу V Регламенту

localityName

Назва міста

Значення українською мовою:
Київ.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Kyiv1

commonName

Загальне найменування органу

Значення українською мовою:
Центральний засвідчувальний орган.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Central certification authority1

organizationalUnitName

Найменування структурного підрозділу, відповідального за технічне та технологічне забезпечення виконання функцій ЦЗО

Значення українською мовою:
Адміністратор ІТС ЦЗО.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Administrator ITS CCA1

cps2

Основні засади політики сертифікації2

Встановлюється в об'єктному ідентифікаторі політики посиленої сертифікації
iso(1) identified-organization(3) dod(6) internet(1) security(5) mechanisms(5) pkix(7) qt(2) cps(1)
PolicyQualifierId ::= OBJECT IDENTIFIER (id-qt-cps | id-qt-unotice) Qualifier ::= CHOICE {cPSuri CPSuri, userNotice UserNotice} CPSuri ::= IA5String.
Значення:
https://czo.gov.ua/cps

qcs-QcCompliance2

Ознака кваліфікованого сертифіката2

id-etsi-qcs-QcCompliance OBJECT IDENTIFIER ::= {itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) 1}

qcs-QcSSCD2

Ознака засобів кваліфікованого електронного підпису2

id-etsi-qcs-QcSSCD OBJECT IDENTIFIER ::= {itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) 4}

qct-eseal2

Ознака кваліфікованої електронної печатки2

id-etsi-qcs-QcType-eseal OBJECT IDENTIFIER ::= {itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) id-etsi-qcs-QcType(6) 2}

____________
1 Значення встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами шостим, сьомим пункту 1.1 глави 1 розділу VII Регламенту.

2 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами шостим, сьомим пункту 1.1 глави 1 розділу VII Регламенту.".

 

Директор Департаменту
приватного права

О. Ференс

Опрос