• Посилання скопійовано
Документ підготовлено в системі iplex

Про затвердження Змін до Регламенту роботи центрального засвідчувального органу

Міністерство юстиції України  | Наказ від 11.12.2017 № 3947/5
Реквізити
  • Видавник: Міністерство юстиції України
  • Тип: Наказ
  • Дата: 11.12.2017
  • Номер: 3947/5
  • Статус: Документ діє
  • Посилання скопійовано
Реквізити
  • Видавник: Міністерство юстиції України
  • Тип: Наказ
  • Дата: 11.12.2017
  • Номер: 3947/5
  • Статус: Документ діє
Документ підготовлено в системі iplex
МІНІСТЕРСТВО ЮСТИЦІЇ УКРАЇНИ
НАКАЗ
11.12.2017 № 3947/5
Зареєстровано в Міністерстві
юстиції України
12 грудня 2017 р.
за № 1498/31366
Про затвердження Змін до Регламенту роботи центрального засвідчувального органу
Відповідно до підпунктів 76, 77 пункту 4 Положення про Міністерство юстиції України , затвердженого постановою Кабінету Міністрів України від 02 липня 2014 року № 228 (із змінами), Положення про центральний засвідчувальний орган, затвердженого постановою Кабінету Міністрів України від 28 жовтня 2004 року № 1451 (із змінами), Порядку акредитації центру сертифікації ключів, затвердженого постановою Кабінету Міністрів України від 13 липня 2004 року № 903 (із змінами),
НАКАЗУЮ:
1. Затвердити Зміни до Регламенту роботи центрального засвідчувального органу, затвердженого наказом Міністерства юстиції України від 29 січня 2013 року № 183/5, зареєстрованого в Міністерстві юстиції України 30 січня 2013 року за № 191/22723 (із змінами), що додаються.
2. Департаменту приватного права (Ференс О.М.) подати цей наказ на державну реєстрацію відповідно до Указу Президента України від 03 жовтня 1992 року № 493 "Про державну реєстрацію нормативно-правових актів міністерств та інших органів виконавчої влади".
3. Цей наказ набирає чинності з дня його офіційного опублікування.
4. Контроль за виконанням цього наказу покласти на першого заступника Міністра юстиції України Бернацьку Н.І.
МіністрП. Петренко
ПОГОДЖЕНО:
Генеральний директор
державного підприємства
"Національні інформаційні системи"
Голова Державної служби
спеціального зв'язку
та захисту інформації України



С.С. Лур'є


Л.О. Євдоченко
ЗАТВЕРДЖЕНО
Наказ Міністерства
юстиції України
11.12.2017 № 3947/5
Зареєстровано в Міністерстві
юстиції України
12 грудня 2017 р.
за № 1498/31366
ЗМІНИ
до Регламенту роботи центрального засвідчувального органу
1. У розділі VII:
1) абзаци третій-сьомий пункту 2.2 глави 2 викласти в такій редакції:
"Особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС та особисті ключі ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, зберігаються в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО.
Особисті ключі шлюзів захисту мережевих з’єднань, шифраторів мережевого потоку та особисті ключі адміністраторів зберігаються на захищених носіях особистих ключів.
Для забезпечення можливості відновлення особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, у випадку виходу з ладу апаратних та/або апаратно-програмних засобів КЗІ виконується резервне копіювання відповідного особистого ключа із засобу КЗІ на захищеному носієві особистих ключів.
Для забезпечення можливості відновлення особистих ключів шлюзів захисту мережевих з’єднань, шифраторів мережевого потоку та особистих ключів адміністраторів у випадку виходу з ладу захищеного носія особистих ключів виконується резервне копіювання особистого ключа із засобу КЗІ на окремі резервні захищені носії особистих ключів.
Факти генерації та створення резервних копій особистого ключа ЦЗО для накладення ЕЦП на сертифікати ключів Центрів та СВС, особистого ключа ЦЗО для накладення ЕЦП на дані про статус сертифікатів ключів Центрів, що визначається в режимі реального часу, особистих ключів шлюзів захисту мережевих з’єднань, особистих ключів шифраторів мережевого потоку (далі - особисті ключі ЦЗО), особистих ключів адміністраторів та відповідних їм відкритих ключів реєструються адміністратором безпеки у відповідному журналі обліку.";
2) главу 3 після пункту 3.3 доповнити новими пунктами 3.4, 3.5 такого змісту:
"3.4. Факти знищення особистих ключів ЦЗО, особистих ключів адміністраторів та їх резервних копій реєструються адміністратором безпеки у відповідному журналі обліку.
3.5. Не пізніше завершення половини строку дії поточного особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС здійснюються генерація нового особистого та відповідного йому відкритого ключів ЦЗО для накладення та перевірки ЕЦП на сертифікатах ключів ЦЗО, Центрів та СВС та формування відповідного сертифіката ключа. При цьому поточний особистий ключ ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС стає попереднім, а новий - поточним.
Поточні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП на сертифікати ключів Центрів та СВС.
Попередні особисті ключі ЦЗО для накладення ЕЦП на сертифікати ключів ЦЗО, Центрів та СВС повинні зберігатися і застосовуватися в апаратних та/або апаратно-програмних засобах КЗІ, що входять до складу ІТС ЦЗО, та використовуватися для накладення ЕЦП тільки для обслуговування сертифікатів ключів Центрів, які були сформовані за допомогою цих ключів.".
У зв’язку з цим пункт 3.4 вважати пунктом 3.6;
3) главу 4 виключити.
2. У додатку 1:
доповнити новими позиціями дев’ятою-дванадцятою такого змісту:
"
organizationIdentifier-2ідентифікатор організації-2унікальний ідентифікатор організації, що є Центром.
Правила заповнення цього реквізиту наведені у пункті 5.1.4 глави 5 ДСТУ ETSI EN 319 412-1:2016

id-at-organizationIdentifier OBJECT IDENTIFIER ::= ( id-at 97 )
signatureалгоритм ЕЦПзначення реквізиту для алгоритмів ЕЦП за ДСТУ 4145-2002 визначається згідно з вимогами, встановленими Наказом;

значення реквізиту для алгоритму ЕЦП ECDSA з алгоритмом гешування SHA256:
ecdsa-with-SHA256
OBJECT IDENTIFIER ::=( iso(1) member-body(2) us(840) ansi-x962(10045) signatures(4) ecdsa-with-SHA2(3) 2 );

значення реквізиту для алгоритму ЕЦП ECDSA з алгоритмом гешування SHA512:
ecdsa-with-SHA512
OBJECT IDENTIFIER ::=( iso(1) member-body(2) us(840) ansi-x962(10045) signatures(4) ecdsa-with-SHA2(3) 4 );

значення реквізиту для алгоритму ЕЦП RSA з алгоритмом гешування SHA256:
sha-256WithRSAEncryption OBJECT IDENTIFIER ::=( iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 11 );

значення реквізиту для алгоритму ЕЦП RSA з алгоритмом гешування SHA512: sha-512WithRSAEncryption OBJECT IDENTIFIER ::=( iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 13 )
subjectPublicKeyInfoінформація про відкритий ключ Центруу структурі цього реквізиту, крім значення відкритого ключа та параметрів криптоперетворень (для ДСТУ 4145-2002 та ECDSA), повинна міститися ознака алгоритму обчислення відкритого ключа;

значення ознаки алгоритму обчислення відкритого ключа для алгоритмів ЕЦП за ДСТУ 4145-2002 визначається згідно з вимогами, встановленими Наказом;

значення ознаки алгоритму обчислення відкритого ключа для алгоритму ЕЦП ECDSA: id-ecPublicKey OBJECT IDENTIFIER ::= ;

значення ознаки алгоритму обчислення відкритого ключа для алгоритму ЕЦП RSA: rsaEncryption OBJECT IDENTIFIER ::= ( iso(1) member-body(2) us(840) rsadsi(113549) pkcs(1) pkcs-1(1) 1 ) ( iso(1)member-body(2)us(840)ansi-X9 )
signatureAlgorithmнайменування криптоалгоритму, що використовується Центромзначення реквізиту має бути ідентичним значенню реквізиту "signature"
";
доповнити новою виноскою "-2" такого змісту:
"-2 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами четвертим, п’ятим пункту 1.12 глави 1 розділу V Регламенту.";
розділ "Нестандартні розширення" викласти в такій редакції:
"
Нестандартні розширення
ua-qcStatement-2 (1.2.804.2.1.1.1.2.2)Політика посиленої сертифікації+/-+/-+/-+У разі наявності та відповідності значення розширення у запиті на формування сертифіката значенню, що відповідає вимогам Наказу
, встановлюється значення розширення, що міститься у запиті на його формування. У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО
cps-5Основні засади політики сертифікації-5+/-+/-
+/-+
У разі наявності та відповідності значення розширення у запиті, що відповідає політиці сертифікації ЦЗО, у сертифікаті відкритого ключа Центру встановлюється значення розширення, що міститься у запиті на його формування. У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО
SemanticsId-Legal (0.4.0.194121.1.2)-5Семантична ідентифікація Центру-5+/-+/-+/-+У разі наявності та відповідності значення розширення у запиті, що відповідає політиці сертифікації ЦЗО, у сертифікаті відкритого ключа Центру встановлюється значення розширення, що міститься у запиті на його формування.

У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО
ua-qcStatement-1 (1.2.804.2.1.1.1.2.1)Ознака посиленого сертифіката+/-+/-+/-+У разі наявності та відповідності значення розширення у запиті на формування сертифіката значенню, що відповідає вимогам Наказу
, встановлюється значення розширення, що міститься у запиті на його формування. У разі відсутності або відмінності значення розширення у запиті на формування сертифіката від значення, що відповідає політиці сертифікації ЦЗО, встановлюється значення, що відповідає політиці сертифікації ЦЗО
";
доповнити новою виноскою "-5" такого змісту:
"-5 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами четвертим, п’ятим пункту 1.12 глави 1 розділу V Регламенту.";
3) доповнити новою таблицею 3 такого змісту:
"Обов’язкові реквізити посиленого сертифіката відкритого ключа ЦЗО
Таблиця 3
Назва реквізиту англійською мовоюНазва реквізиту українською мовоюЗначення реквізиту
countryNameНазва країниКод згідно з міжнародним стандартом ISO 3166 для України
Значення: UA
organizationNameНайменування державного органу, на який покладено виконання функцій ЦЗОЗначення українською мовою: Міністерство юстиції України.

Значення англійською мовою, що застосовується для транскордонної взаємодії:
Ministry of Justice of Ukraine-1
serialNumberСерійний номерУнікальний реєстраційний номер.

Значення цього реквізиту задається згідно з пунктом 1.4 глави 1 розділу V Регламенту
localityNameНазва містаЗначення українською мовою:
Київ.

Значення англійською мовою, що застосовується для транскордонної взаємодії:
Kyiv-1
commonNameЗагальне найменування органуЗначення українською мовою:
Центральний засвідчувальний орган.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Central certification authority-1
organizationalUnitNameНайменування структурного підрозділу, відповідального за технічне та технологічне забезпечення виконання функцій ЦЗОЗначення українською мовою:
Адміністратор ІТС ЦЗО.
Значення англійською мовою, що застосовується для транскордонної взаємодії:
Administrator ITS CCA-1
cps-2Основні засади політики сертифікації-2Встановлюється в об’єктному ідентифікаторі політики посиленої сертифікації
iso(1) identified-organization(3) dod(6) internet(1) security(5) mechanisms(5) pkix(7) qt(2) cps(1)
PolicyQualifierId ::= OBJECT IDENTIFIER ( id-qt-cps | id-qt-unotice ) Qualifier ::= CHOICE ( cPSuri CPSuri, userNotice UserNotice ) CPSuri ::= IA5String.

Значення:
https://czo.gov.ua/cps
qcs-QcCompliance-2Ознака кваліфікованого сертифіката-2id-etsi-qcs-QcCompliance OBJECT IDENTIFIER ::= ( itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) 1 )
qcs-QcSSCD-2Ознака засобів кваліфікованого електронного підпису-2id-etsi-qcs-QcSSCD OBJECT IDENTIFIER ::= ( itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) 4 )
qct-eseal-2Ознака кваліфікованої електронної печатки-2id-etsi-qcs-QcType-eseal OBJECT IDENTIFIER ::= ( itu-t(0) identified-organization(4) etsi(0)id-qc-profile(1862) id-etsi-qcs (1) id-etsi-qcs-QcType(6) 2 )
__________
-1 Значення встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами шостим, сьомим пункту 1.1 глави 1 розділу VII Регламенту.
-2 Поле встановлюється у посилених сертифікатах для відкритих ключів, що визначені абзацами шостим, сьомим пункту 1.1 глави 1 розділу VII Регламенту.".
Директор Департаменту
приватного права

О. Ференс