BankID COI White Paper

Transkript

1 BankID COI White Paper PRODUCTION Release Helsingfors Release date Document version Document date: TLP; WHITE (Public)

2 Legal notices Intellectual property rights This document is the intellectual property of BankID Norge and/or Nets Norway and/or Knowit. Disclaimer This document is provided as part of the BankID 2.1 project. The information may not be accurate or complete enough for banks, merchants, partners or vendors to rely on without further amendment. The document does not create legal rights and does not imply that intellectual property rights are transferred to the recipient or other third parties. The document is provided as is and BankID Norge, Nets Norway and Knowit are not responsible for any errors or omissions. Confidentiality The information provided in this document is to be treated confidentially according to: TLP; White (Public): Contact Questions and comments to this document can be sent to 2 ( 27 )

3 Innholdsfortegnelse Legal notices... 2 Innholdsfortegnelse Introduksjon Hensikt Målgruppe BankID Samarbeidet Nettbetaling med BankID (BankAxess) Om BankID infrastruktur og teknologi BankID Sertifikatpolicy Terminologi og forkortelser Sentrale begreper Forkortelser Teknologien bak BankID Overordnet om teknologien bak BankID Teknologileverandører Sikkerhet Systemarkitektur for BankID FOI BankID Sertifikater og nøkkelbærere Sertifikater Nøkkelbærere Sertifikattyper Distribuert infrastruktur BankID Nivå 1 RA BankID Banklagret klient HA-mekanisme (HA) BankID kompatibel mobiltelefon og simkort BankID Server Java BankID Server C Client proxy Sertifikater Sentral infrastruktur BankID Rot-CA BankID Nivå 1-CA Ordre og Distribusjons System (ODS) Sentrale Tjenere for Banklagret BankID Sentrale Tjenere BankID på Mobil Valideringstjeneste (OCSP) BankID Services Database for Unik Identifikator (PID) Avbrudds- og katastrofeløsning Fraud Detection Prosess Funksjoner ved Bruk av BankID (basisfunksjoner) BankID Klient og Server Tilgang til BankID private nøkler Verifisering av partenes identitet (sertifikater) Validering av partenes sertifikater Utlevering av tilleggsinformasjon Digital Signatur med SDO BankID Dokumentoversikt Transaction info to Merchant Banklagret BankID Bestilling Identifisering Signering Sperring og Gjenåpning Fornyelse ( 27 )

4 5.3 BankID på mobil Bestilling Identifisering Signering Sperring og Gjenåpning Fornyelse Brukersted Bestilling Utstedelse og aktivering Identifisering Signering Revokering, Suspendering og Gjenoppretting Change log ( 27 )

5 1 Introduksjon 1.1 Hensikt Dette dokumentet er skrevet for å gi et enkelt og raskt overblikk over alle funksjoner og komponenter i Felles operasjonell infrastruktur (FOI) for BankID. BankID FOI White Paper er ikke et teknisk dokument. For detaljerte beskrivelser av de ulike komponentene henvises leseren til teknisk referansedokumentasjon (installasjonsdokumentasjon) som følger med BankID Brukerstedspakke. Dokumentasjon og programvare er underlagt lisens og kan bestilles fra alle banker som leverer BankID. 1.2 Målgruppe Målgruppen er alle som ønsker å forstå hvordan BankID FOI virker og hvilke komponenter som infrastrukturen er bygget opp av og hvilke funksjoner som er tilgjengelig. Etter som BankID er basert på en implementasjon av PKI-teknologi er det utfordrende å komme utenom ulike teknologirelaterte ord og uttrykk. En beskrivelse av de mest alminnelige begreper og forkortelser er derfor tatt med i begynnelsen av dokumentet. 1.3 BankID Samarbeidet BankID Samarbeidet omfatter utvikling og forvaltning av en samordnet infrastruktur i banknæringen. Deltagerne i BankID Samarbeidet er: Bankene: Utsteder BankID til sine kunder og deltar som rådgivere overfor BankID Norge og bankforeningenes arbeid med forvaltning av BankID Tjenesten. Bits AS (tidligere BSK): Bits AS har ansvaret for utforming av policy, standarder og sikkerhetskrav. Bits AS har også et kontrollansvar med tanke på at disse kvalitetskrav overholdes. Bits AS har tilsatt en teknisk koordinator for BankID. BankID Norge: Den forvaltningsmessige og operasjonelle ledelsen av BankID. Har også ansvaret for å videreutvikle tjenesten. Finansnæringens Fellesorganisasjon (FNO): Leder og organiserer arbeidet med BankID infrastruktur, via den felles organisering som er etablert for infrastrukturen innen betalingsformidling. BankID Norge har gitt Nets Norge Infrastruktur AS (Nets) et oppdrag om utvikling, drift og forvaltning av BankID FOI. BankID Norge benytter også andre underleverandører til utviklingsoppdrag for enkelte deler av infrastrukturen. 1.4 Nettbetaling med BankID (BankAxess) BankAxess er en samordnet betalingstjeneste for bruk ved handel på Internett og i andre kanaler der BankID kan benyttes. Når du betaler med BankAxess, legitimerer du deg og godkjenner betalingen med BankID. Tjenesten tilbys av banker i Norge og betalingen skjer direkte fra betalers bankkonto. Med BankAxess kan kunden handle i norske nettbutikker uten å gi fra seg kortopplysninger. For mer informasjon om BankAxess - se Om BankID infrastruktur og teknologi BankID har en samordnet infrastruktur som grunnlag for utstedelse og bruk av BankID. Infrastrukturen består av felles: Interbank-regelverk, varemerke, policy og prosedyrer, 5 ( 27 )

6 sikkerhetskrav, standarder og utfyllende profiler, samt tekniske komponenter. Alt dette er nødvendig for å sikre: interoperabilitet mellom tekniske komponenter i BankID infrastruktur, brukervennlighet/sikkerhet, samt enkel integrasjon og bruk av BankID i elektroniske tjenester. Det er Nets Norge Infrastruktur AS som har utviklet og drifter og forvalter BankID Felles Operasjonell Infrastruktur (FOI). BankID er basert på en metode og teknologi som kalles Public Key Infrastructure (PKI). Teknologien er basert på bruk av et nøkkelpar, en privat (hemmelig) og en offentlig nøkkel, som benyttes for å sikre transaksjonene. I tillegg brukes et sertifikat; elektronisk legitimasjon, til å knytte innehaverens identitet til den offentlige nøkkelen. Metoden beskriver hvordan nøklene og tilhørende sertifikater utstedes og brukes. Det er fem sentrale roller i en PKI og er definert som følger: 1. Sluttbruker: En person (fysisk eller juridisk) som er innehaver av BankID og som bruker BankID til legitimasjon og/eller signering. 2. Brukersted: En nettbasert tjeneste, for eksempel en nettbank eller nettbutikk, som aksepterer BankID legitimasjon og/eller signatur. 3. Sertifikatutsteder: (utstederbanken): En bank eller organisering/sammenslutning av banker (fellesutsteder) som utsteder BankID. Administrasjon av BankID gjennom hele livssyklusen (utstedelse, tilbaketrekking, fornyelse). Utstederbanken har rollen som Sertifikat Autoritet (CA) 4. Banken: Banken inngår avtale med sine kunder om utstedelse av BankID. Denne rollen benevnes Registreringsautoritet (RA). En bank kan selv være Sertifikatutsteder eller benytte en fellesutsteder. 5. Sertifikatvalidering (VA): Gyldighetskontroll hos den som har utstedt en aktuell BankID. Ved bruk av elektronisk legitimasjon skal brukerstedet sende en forespørsel til sin bank om sluttbrukers BankID er gyldig eller ikke. Dersom en annen bank har utstedt sluttbrukers BankID skal brukerstedets bank spørre denne om sertifikatet er gyldig. Brukerstedets bank opptrer da som Valideringsautoritet (VA eller OCSP 1 -tjeneste). 1 Se kapittel 2.2 for nærmere forklaring av forkortelsen. 6 ( 27 )

7 Figur 1 oversikt over Felles Operasjonell Infrastruktur 1.6 BankID Sertifikatpolicy Sikkerhetskrav knyttet til BankID er fastsatt av Bits AS (tidligere BSK) og dokumentert i policy-dokumenter for de ulike typene av BankID (Banklagret PersonBankID, Banklagret AnsattBankID, PersonBankID på mobil og BrukerstedsBankID). Dokumentene inneholder krav til blant annet: Ansvar- og konfidensialitet Krav til registrering av kunde Bestilling, utstedelse og bruk av BankID Krav til prosedyrer rundt tilbaketrekking og suspendering Fysisk og logisk sikkerhet i BankID infrastrukturen Teknisk sikkerhet Sertifikatprofiler Felles operasjonell infrastruktur er basert på de krav som er utformet av Bits AS (tidligere BSK). Norsk versjon av BankID Sertifikatpolicy kan fås ved henvendelse til: Bits AS Postadresse: Postboks 2644 Solli, 0203 OSLO Kontoradresse: Hansteens gt. 2, 0253 OSLO Telefon: post@bsk.no Web: 7 ( 27 )

8 2 Terminologi og forkortelser 2.1 Sentrale begreper Begrep AnsattBankID BankID BankID på mobil BankID Server Banklagret BankID BrukerstedsBankID Client proxy FOI/COI/NFOI Klient PersonBankID Tofaktor-autentisering Web-klient 2.2 Forkortelser Forklaring BankID identifiserings- og signeringssertifikat tilhørende en fysisk person og som angir ansettelsesforhold til en virksomhet. BankID brukes som samlet betegnelse for Tjenesten og er en merkevare for alle kunders sertifikater med tilhørende private nøkler, utstedt av en BankID-bank. BankID for en kunde vil bestå av, men er ikke begrenset til, et autentiserings- og signeringssertifikat med tilhørende nøkler. Denne løsningen refererer til bruk av BankID der kundens private nøkler lages og lagres i kundens simkort, mens den offentlige nøkkelen og sertifikatet lagres i sentralt nøkkellager. Denne løsningen er avhengig av at brukeren har en kompatibel mobiltelefon med simkort fra en leverandør som har avtale med bankene. Et sett med kryptografiske funksjoner som installeres på et nettsted for å kunne akseptere BankID som digital ID og digital signatur. BankID Server finnes i to versjoner, C-versjon og Javaversjon. BankID hvor private nøkler befinner seg i et sikret banksystem som beskytter nøklene slik at bare rettmessig innehaver kan bruke dem, når som helst fra hvilken som helst datamaskin tilknyttet Internett. De private nøklene er beskyttet med tofaktorautentisering. BankID identifiserings- og signeringssertifikat tilhørende et nettsted tilhørende en juridisk person/organisasjon. Komponent som tilbyr tjenester i forbindelse med signering av dokumenter (validering, sjekk for aktiv innhold, visning av dokument internt i Web-klient). Felles Operasjonell Infrastruktur. Dette er samlingen av komponenter som utvikles, forvaltes og driftes av Nets. Se figur 1 for en overordnet oversikt. Programvare som en sluttbruker benytter til å bruke sitt BankID sertifikat til identifisering og signering BankID identifiserings- og signeringssertifikat tilhørende en fysisk person. En løsning som baserer seg på at en bruker må bevise sin identitet ved hjelp av to uavhengige faktorer. Disse er gjerne klassfisert som noe brukeren vet (VITE- for eksempel passord), noe brukeren har (HA - for eksempel fysisk enhet/kodebrikke) eller noe brukeren er (VÆRE - for eksempel biometriske egenskaper). De to faktorene som brukes i dagens BankID er 1) noe brukeren vet, og 2) noe brukeren har. Javascript/HTML5 kode som lastes ned fra BankID FOI og kjøres i sluttbrukerens nettleser. Forkortelse Beskrivelse BSK Bankenes Standardiseringskontor CA Certification Authority (Myndighet som utsteder og trekker tilbake sertifikater) 8 ( 27 )

9 CP CPS CRL DN DNS FIPS FOI HA HASH HSM OCSP ODS OTP OWF PID PIN PKI PKCS PSE RA RNG SSL SIM UID USP VA Certificate Policy (Sertifikatpolicy) Certification Practice Statement (Sertifikatpraksis) Certificate Revocation List (Sperreliste for sertifikater) Distinguished Name (Unikt navn på sluttbruker) Domain Name System (Navnetjeneste på Internett) Federal Information Processing Standard sikkerhetsstandard/godkjenningsmyndighet) Felles Operasjonell Infrastruktur for BankID Begrep for noe en sluttbruker er i besittelse av og som benyttes som sikkerhetsfaktor i to-faktor autentiseringsprosessen. Erstatter den tidligere benevnelsen OTP. HA finnes i to varianter: «HA1» som er tilsvarende de eksisterende OTP-løsningene. «HA2» som er en ny generasjon av sikkerhetsfaktorer som erstatter inntasting av engangskode i Web-klienten med bekreftelse via en app fra banken. Enveisfunksjon Det samme som OWF Hardware Security Module (Sikkerhets Modul for sikker signaturfremstilling) Online Certificate Status Protocol (Protokoll for gyldighetsforespørsel for sertifikater) Order Distribution System (BankID felles administrasjonssystem) One Time Password (Engangspassord), genereres av en kodebrikke (HW) eller applikasjon (SW) og benyttes som en HA-faktor i tofaktor-autentisering, se HA ovenfor. One Way Function (Enveisfunksjon) Personlig Identifikator et unikt nummer per person Personal Identification Number (Personlig identifikasjonsnummer) Public Key Infrastructure (Offentlig nøkkel infrastruktur) Public Key Cryptographic Standard (En samling bransjestandarder med stor utbredelse) Personal Security Environment (Personlig sikkerhetsmiljø) Registration Authority (Myndighet som identifiserer en kunde som søker om sertifikat ) Random Number Generator (Enhet som genererer tilfeldige tall) Secure Sockets Layer (Krypteringsprotokoll i datanettverk) Subscriber Identity Module (Brukes i mobiltelefon) User ID (Brukernavn) User Static Pass-phrase (Fast passord) og benyttes som en VITE-faktor i tofaktor-autentisering. Validation Authority (Myndighet som bekrefter/avkrefter gyldigheten til et sertifikat) 9 ( 27 )

10 3 Teknologien bak BankID 3.1 Overordnet om teknologien bak BankID BankID benytter teknologien Public Key Infrastructure (PKI). Denne teknologien er basert på asymmetrisk kryptografi som gjør det mulig for parter som ikke har et tillitsforhold til hverandre å kommunisere sikkert på åpne nett. Dette skjer ved at begge parter har et tillitsforhold til en felles tredje part. I BankID er denne tredje parten partenes bankforbindelse(r). Dersom to parter har ulik bankforbindelse så er tillitsforholdet knyttet til avtaler mellom partenes banker. Tilliten mellom banker er regulert gjennom Regler om BankID i Interbankreglene. 3.2 Teknologileverandører PKI er den eneste teknologien som muliggjør et mange-til-mange tillitsforhold uten at partene har et forhold til hverandre fra før. Nets som utvikler, forvalter og drifter BankIDløsningen benytter teknologi fra flere ulike anerkjente leverandører. 3.3 Sikkerhet Felles operasjonell infrastruktur for BankID (FOI) benytter sterk kryptering i alle sikkerhetsfunksjoner. I sentral infrastruktur brukes HSM-sikkerhetsmoduler for å lagre krypteringsnøkler og utføre kryptografiske funksjoner. Ingen krypteringsnøkler er mindre enn 1024 bits for RSA BankID identifisering og signering. Nøkkellengder vurderes kontinuerlig basert på trusselbildet. For Banklagert BankID er nøkkellengden pt 2048 bits med SHA256 hashalgoritme. Det pågår et prosjekt for å oppgradere nøkkellengde for BankID på mobil til tilsvarende nøkkellengde. 10 ( 27 )

11 4 Systemarkitektur for BankID FOI Tillitskjeden i BankID er fundamentert i en Rot-CA som eies av Sparebankenes servicekontor og Finansnæringens servicekontor i fellesskap. Bankforeningenes Rot-CA utsteder sertifikater til bankenes nivå-1 CA er. BankID-infrastrukturen er bygget opp med grunnlag i Regler om BankID som blant annet innebærer samtrafikk mellom alle banker i Norge som utsteder BankID. Hver enkelt bank er en selvstendig sertifikatutsteder, men av praktiske årsaker har enkelte banker (innen bankgrupperinger/samarbeidende banker) gått sammen for å dele en fysisk CA for sertifikatutstedelse. Figur 2 oversikt over sentral og distribuert infrastruktur Figuren ovenfor illustrerer hvordan de ulike delene av Felles operasjonell infrastruktur er knyttet sammen. 11 ( 27 )

12 4.1 BankID Sertifikater og nøkkelbærere Sertifikater Alle BankID sluttbrukersertifikater er formatert iht X.509 standard Nøkkelbærere En nøkkelbærer er lagringsmediet der brukerens private nøkler er lagret og brukes. Følgende nøkkelbærere finnes for sluttbrukere i dagens versjon av BankID: Banklagret (nettsentriske nøkler) BankID på mobil Følgende nøkkelbærere er tilgjengelig for brukersteder Lagret på brukerstedets datamaskin/tjener Lagret i HSM tilknyttet tjener Sertifikattyper Ulike sertifikattyper er implementert for å gi mulighet til å benytte BankID i ulike sammenhenger. Følgende sertifikattyper er definert med egen sertifikatpolicy i dagens versjon av BankID: Kvalifisert sertifikat PersonBankID brukes av privatpersoner Kvalifisert sertifikat AnsattBankID brukes av personer som opptrer på vegne av en virksomhet eller organisasjon Kvalifisert sertifikat PersonBankID på mobil brukes av privatpersoner BrukerstedsBankID brukes av nettsteder 4.2 Distribuert infrastruktur Distribuert infrastruktur består av komponenter som muliggjør bruk av BankID hos en sluttbruker, brukersted eller bank. Distribuerte funksjoner omfatter følgende funksjoner: Bankens administrasjon av BankID (RA) Brukerstedets bruk av BankID (BankID Server) Banklagret BankID: Sluttbrukerens bruk av BankID til identifisering og signering (klient og engangspassordmekanisme) BankID på mobil: Sluttbrukerens bruk av BankID til identifisering og signering (mobiltelefon og simkort) Bankens HA server: Bankens system for administrasjon og kontoll av HA-faktoren i autentiseringsprosessen BankID Nivå 1 RA For å utstede sertifikater i en Nivå 1-CA må banken ha en Registreringsautoritet (RA). Dette er et system for registrering av kunder og administrasjon av sertifikater utstedt av den CA som banken benytter. Bankens RA vil i de fleste tilfeller være integrert i det ordinære kundebehandlingssystemet, og kommuniserer via et standardisert grensesnitt mot BankID Ordre- og Distribusjonssystem (ODS) som er det sentrale systemet i Nets for sertifikatadministrasjon. 12 ( 27 )

13 4.2.2 BankID Banklagret klient BankID Banklagret klient er tilgjengelig på følgende plattformer: Web-klient Denne klienversjonen er skrevet i Javascript/HTML5 og lastes ned til sluttbrukerens nettleser hver gang en BankID-transaksjon skal gjennomføres. Klienten er unik for hver transaksjon og det lastes derfor ned en ny klient fra BankID FOI hver gang den skal brukes HA-mekanisme (HA) Bruk av Banklagret BankID krever at sluttbruker har en HA-faktor for å utveksle dynamiske engangshemmeligheter med en HA-server. Den enkelte bank (RA) står fritt til å velge mekanisme, såfremt den er godkjent av Bankenes Standardiseringskontor (BSK). Mekanismen skal generere en dynamisk hemmelighet for sluttbrukeren, gyldig kun én gang og i en tidsbegrenset periode. Slike mekanismer er plassert i én av to kategorier: HA1 eller HA2: HA1 er det som tradisjonelt har blitt kalt OTP-mekanismer og som innebærer at sluttbruker må manuelt taste inn en engangskode i Web-klienten, generert for eksempel av en godkjent passordkalkulator. HA2 innebærer at en dynamisk engangshemmelighet utveksles mellom sluttbrukerens innrullerte sikkerhetselement (typisk vha en egen «app») og HA2 serveren. Dette gjør at sluttbruker ikke trenger å taste inn noe engangspassord i Web-klienten, men kun å godkjenne eller avvise en autentiseringsforespørsel på sitt sikkerhetselement. Notere at dette er beskrivelse av minimumsløsning. Utsteder kan velge å legge på autentisering i forskjellige former i tillegg. Banken vil administrere HA-mekanismen og vil ha en funksjon som godkjenner koden. Banklagrete Sentrale Servere mottar forespørsel eller inntastet kode fra BankID klient og sender koden via et lukket nettverk til bankens tjeneste for å få utført autentiseringsforespørselen eller godkjent engangskoden BankID kompatibel mobiltelefon og simkort Bruk av BankID på mobil forutsetter at sluttbrukeren har en mobiltelefon med simkort som er kompatibel med BankID. De fleste nyere mobiltelefoner har denne muligheten. Mobiloperatører som inngår avtale med bankene om å tilby BankID på mobil vil distribuere simkort til brukerne. Brukeren velger selv pinkode for å benytte nøklene i simkortet. Tilgang til tjenesten forutsetter at kundens mobiloperatør har knyttet seg til BankID FOI og tilbyr tjenesten til sine kunder BankID Server Java BankID server Java er en programvare med funksjoner (API) som implementeres hos et brukersted som har inngått avtale med sin bankforbindelse om å akseptere sluttbrukeres BankID sertifikater til identifisering og/eller signering (i rollen som brukersted). Programvaren er tilpasset Java kjøremiljø og inneholder all PKI- og kommunikasjonsfunksjonalitet nødvendig for å gjennomføre en transaksjon med sluttbrukers klient og BankID infrastruktur BankID Server C BankID server C er en programvare med funksjoner (API) som implementeres hos et brukersted som har inngått avtale med sin bankforbindelse om å akseptere sluttbrukeres BankID sertifikater til identifisering og/eller signering (i rollen som brukersted). Programvaren er skrevet i C og inneholder all PKI- og kommunikasjonsfunksjonalitet nødvendig for å gjennomføre en transaksjon med sluttbrukers klient og BankID infrastruktur. 13 ( 27 )

14 4.2.7 Client proxy The Client proxy is introduced in BankID 2.1 in order to provide enhanced signing services. These services include validation of documents to be signed, check for active content, and conversion of PDF documents to PNG for display in the client. In addition, multiple documents can be sent from the merchant in one batch via the Client proxy to the Client for signing, referred to as multi-document signing. The Client proxy is offered as a centrally hosted component, alternatively merchants may opt to host the component themselves. Details about hosting the Client proxy component are beyond the scope of this document Sertifikater For beskyttelse av kommunikasjon mellom bankens RA-funksjon og ODS utstedes et SSL klient-sertifikat på den CA som banken skal utstede sertifikater på. Kommunikasjonen mellom bankens RA-funksjon og ODS er sikret med toveis SSL over et lukket nettverk. For å sikre integritet i meldinene som sendes fra bankens RA-funksjon og ODS utstedes et signeringssertifikat på den CA som banken skal utstede sertifikater på. Alle meldinger fra bankens RA til ODS er signert med dette signeringssertifikatet. I Banklagret BankID lages nøkler i en HSM og lagres kryptert sammen med sertifikater i et sentralt nøkkellager. Sertifikatene utstedes av bankens Nivå 1-CA. I BankID på mobil lages og lagres de private nøklene kryptert i simkortet til sluttbrukeren. Den offentlige nøkkelen og sertifikatet lagres i et sentralt nøkkellager. Sertifikatene utstedes av bankens Nivå 1-CA. Et brukersted kan enten lagre sertifikater og nøkler som en kryptert fil eller bruke en Hardware Security Module (HSM). Begge typer sertifikater utstedes av bankens Nivå 1-CA. 4.3 Sentral infrastruktur Sentral infrastruktur består av de funksjoner som utføres av tjenesteleverandør for sentralisert BankID FOI. Infrastrukturen omfatter også nødvendige grensesnitt mot distribuert infrastruktur (slik som hos sluttbruker, hos brukersted eller hos bank.). Sentral infrastruktur omfatter følgende funksjoner/komponenter: Bestilling av sertifikater. Utstedelse av sertifikater. Formidling av statusinformasjon om sertifikater til bankens RA. Revokering av sertifikater (permanent sperring). Suspendering av sertifikater (tidsbegrenset sperring). Gjeninnsetting av sertifikater (åpning av tidsbegrenset sperrede sertifikater). Fornyelse av sertifikater. Validering av sertifikater (OCSP). Ruting av engangspassord for validering i bankenes systemer. Sentral lagring og bruk av private nøkler (Banklagret BankID). Sentral lagring og formidling av sertifikat og offentlige nøkler (Banklagret / BankID på mobil). Alle kryptografiske operasjoner på vegne av sluttbruker (Banklagret BankID). Kommunikasjon mot mobiloperatør for aktivering og bruk (BankID på mobil). Kommunikasjon med alle typer BankID klienter. Klargjøring og distribusjon av Web-klient. Administrasjon av sertifikater og tilleggsinformasjon. 14 ( 27 )

15 4.3.1 BankID Rot-CA BankID Rot-CA eies i fellesskap av de to bankforeningene i Norge. Formålet med BankID Rot-CA er å utstede sertifikater til bankenes CA er slik at disse har et felles fundament for å utstede sertifikater til sine kunder. Alle BankID er som utstedes er knyttet opp mot BankID Rot-CA som et felles tillitspunkt. BankID Rot-CA sitt eget sertifikat er gyldig i 26 år og fornyes etter minimum 14 år BankID Nivå 1-CA En BankID Nivå 1-CA eies av en enkelt bank eller bankgruppering/samarbeidende banker og brukes til å utstede og trekke tilbake sertifikater til kunder i en deltagende BankID bank. Nivå 1-CA utsteder revokeringslister (CRL) med sertifikater som er trukket tilbake og gjør disse tilgjengelige for Valideringstjenesten (se nedenfor). Nivå 1 CA-sertifikater er gyldige i 12 år. Følgende funksjoner finnes: Utstedelse Sperring (revokering/suspensjon) Utstedelse av sperrelister (CRL) Ordre og Distribusjons System (ODS) For å forenkle administrasjonen av sertifikater utstedt av de ulike BankID Nivå 1-CA ene er det implementert et Ordre og Distribusjons System (ODS). ODS er en tjeneste med grensesnitt mot mange av komponentene i sentral infrastruktur og inneholder en rekke funksjoner for administrasjon og bruk av BankID-sertifikater. Følgende komponenter finnes: ODS-Applikasjonen Databaser BankID RA/ODS-grensesnitt Grensesnitt mot andre komponenter Sentrale Tjenere for Banklagret BankID Banklagret BankID er basert på sentral lagring og bruk av sluttbrukeres BankID nøkler med tilhørende sertifikater. For å gjøre dette mulig er det implementert en rekke sentrale komponenter som fasiliterer sikker lagring av sertifikater og nøkler og bruk av disse. Løsningen er laget slik at sluttbrukerens private nøkler aldri vil kunne opptre i klartekst utenfor en dedikert Hardware sikkerhetsmodul (HSM). For å benytte nøklene kreves det kjennskap til både et fast passord, og tilgang til en engangskodemekanisme som er tildelt av banken. Kryptografiske operasjoner med brukerens private nøkler utføres i Sentrale Tjenere. Følgende komponenter finnes: Klargjøring og distribusjon av Web-klient. BankID sentrale Tjenere frontend. BankID Banklagret sentral signeringstjener. BankID Banklagret Nøkkelgenerator. BankID Banklagret Nøkkellager. BankID HA Validator. BankID Sertifikatlager. Database. 15 ( 27 )

16 4.3.5 Sentrale Tjenere BankID på Mobil BankID på mobil er basert på en infrastruktur der sluttbrukerens private nøkler lagres og brukes i simkortet i mobiltelefonen. Mobiltelefonen kommuniserer med sentrale tjenere via mobilnettet og mobiloperatørens infrastruktur. Det finnes funksjoner for aktivering og nøkkelgenerering og bruk av BankID på mobil. For å bruke en BankID på mobil må brukeren ha kjennskap til den pin-kode som ble benyttet da de private nøklene ble generert. Følgende komponenter finnes: BankID sertifikatlager. Kommunikasjonskomponent mot mobiloperatører. Kommunikasjonskomponent mot brukersteder. Database Valideringstjeneste (OCSP) I BankID er det implementert en online valideringstjeneste (VA) som på vegne av, og etter nærmere avtale med utsteder verifiserer om utstedte sertifikater er gyldige eller ikke. Statusinformasjon baseres på mottatt CRL (liste over sperrede BankID) fra utstederens CA i tillegg til sanntidsoppdateringer fra CA. Valideringstjenesten har også en funksjon for å levere tilleggsinformasjon om sluttbruker til autoriserte brukersteder. Denne funksjonen er kun tilgjengelig for brukersteder som har lovmessig rett til å behandle slik informasjon og som har inngått avtale med sin bankforbindelse om dette. Tilleggsinformasjonen som kan leveres er følgende: Kontonummer til sluttbruker. Fødselsnummeret til sluttbruker. Eventuelt organisasjonsnummer til sluttbruker/brukersted BankID Services BankID Services er en samling tjenester og verktøy for banker, brukersteder og brukere av BankID. Dette omfatter informasjon om tjenesten, testfunksjoner og andre nyttige verktøy. Banker og brukersteder kan tilgjengeliggjøre disse tjenestene i sine egne nettsider. De mest brukte tjenestene er også tilgjengeliggjort på Database for Unik Identifikator (PID) I alle BankIDer for fysiske personer finnes en unik identifikator (PID). Denne identifikatoren er unik for en person, og finnes i alle sertifikater utstedt til personen, uavhengig av hvilken BankID-utsteder som har utstedt sertifikatet. På denne måten kan en sertifikatinnehaver identifisere seg overfor et nettsted ved hvert besøk, og uavhengig hvilken av sine BankID er som brukes. I sentral infrastruktur finnes en database som sikrer at en sluttbruker kan få samme PID i alle sine sertifikater Avbrudds- og katastrofeløsning BankID FOI tilbyr identifiserings- og signeringsløsninger til bankenes nettløsninger og til andre nettsteder som ønsker tilgang til sikre løsninger for slike formål. Det er derfor nødvendig å sikre at systemet er tilgjengelig for alle brukere til enhver tid. BankID FOI er designet som et High Availability system med automatiske avbrudds- og katastrofeløsninger som tar over for hovedsystemet dersom det skulle oppstå en feilsituasjon. Verken nettstedene eller personkundene vil merke at dette skjer. 16 ( 27 )

17 Etter som bankene selv benytter BankID som pålogging i nettbaserte banktjenester stilles det særskilte krav til tilgjengelighet for BankID-tjenesten. Krav til dette er bl.a. fastsatt av Finanstilsynet Fraud Detection Sentral infrastruktur i BankID har et dedikert system for automatisk overvåking og deteksjon av mulig svindel i BankID. Systemet samler inn relevant data fra flere komponenter i intrastrukturen og analyserer informasjonen for å oppdage uvanlig og mistenkelig aktivitet. Analyse og grenseverdier oppdateres kontinuerlig ved maskinell læring og gjennom manuell overvårking. Ved mistenkelig aktivitet sendes alarmer til utstederbanken for videre oppfølging. En risikofaktor er tilgjengelig for brukerstedet 17 ( 27 )

18 5 Prosess 5.1 Funksjoner ved Bruk av BankID (basisfunksjoner) BankID Klient og Server All bruk av BankID forutsetter at en sluttbruker besøker et nettsted som har tilrettelagt for bruk av BankID til identifisering og/eller signering ved å implementere BankID Server i sin webtjeneste/webapplikasjon. For Banklagret BankID med Web-klient må brukerstedet implementere funksjoner i sine nettsider slik at sluttbrukeren laster ned klienten fra sentral infrastruktur og deretter kjører denne i brukerens nettleser. Det forutsettes at sluttbrukeren har installert og bruker en støttet versjon av nettleser. For Banklagret BankID App må brukerstedet legge til rette for at BankID App startes opp på korrekt måte fra brukerstedets nettsider eller App. Selve appen lastes ned fra hhv itunes Appstore eller Google Play. BankID klienten kan startes opp med forhåndssatte parametere for brukerid (fødselsnummer og HA-tjeneste) og kommuniserer både med brukerstedets implementasjon og sentral infrastruktur. Sluttbrukeren bruker funksjoner i klienten til å aksessere og bruke sin BankID med tilhørende nøkler. For BankID på mobil må brukerstedet implementere funksjoner i sine nettsider for å innhente sluttbrukerens mobiltelefonnummer og fødselsdato og sende dette inn til Sentrale Tjenere Mobil. Sluttbruken benytter seg av funksjonalitet i mobiltelefonen og mobilnettet for å aksessere og bruke sin BankID med tilhørende nøkler. Nettstedet bruker funksjoner i BankID Server til å aksessere og bruke sin BankID med tilhørende nøkler Tilgang til BankID private nøkler For å bruke sin BankID må både sluttbruker og brukersted kjenne sine aktiveringsdata. Følgende er påkrevet for ulike nøkkelbærere: Banklagret BankID (Person og Ansatt): BrukerID (fødselsnummer/d-nummer/ansatt- ID), fast passord og Engangskode (engangspassord). Mekanisme for å generere engangspassord leveres av sluttbrukers bankforbindelse. BankID på mobil: BrukerID (mobilnummer + fødselsdato), pin-kode i tillegg til tilhørende simkort med privat nøkkel. BrukerstedsBankID: passord Verifisering av partenes identitet (sertifikater) Ved bruk av BankID verifiserer partene hverandres identitet. Dette gjøres ved at begge parter sender data (en utfordring eller data) til hverandre som signeres med BankID av motparten før den sendes tilbake. Ved mottak av signert utfordring kan partene verifisere at motparten har en ekte BankID og hente ut informasjon om identiteten til vedkommende fra sertifikatet. Denne informasjonen inkluderer også PID som er en unik identifikator for personer. Informasjonen som sendes over nett, er kryptert og beskyttet mot innsyn og endring fra tredjepart (såkalte mannen-i-midten angrep). 18 ( 27 )

19 5.1.4 Validering av partenes sertifikater For å sikre at partene ikke bare har en ekte BankID, men også en gyldig BankID må begge parter forespørre sin bank om dette. Dette gjøres ved at partene sender en forespørsel til valideringsautoritet (VA) som svarer om det forespurte sertifikatet er gyldig eller ikke. VA er oppdatert i sanntid med informasjon om sertifikatenes status i utstederens nivå-1 CA Utlevering av tilleggsinformasjon Bankene er underlagt en særskilt taushetsplikt for bl.a. fødselsnummer og kan derfor ikke legge informasjon om dette direkte inn i BankID-sertifikatet. Det er derfor etablert en tjeneste i forbindelse med valideringsfunksjonen som kan sende med sluttbrukers fødselsnummer til brukersted. Kun brukersteder med lovmessig rett til å behandle slik informasjon, eller som har innhentet eksplisitt samtykke fra sluttbruker kan få tilgang til denne tjenesten. Tilgangskontroll utøves av den enkelte bank. Denne tjenesten kan utvides til å tilby annen type informasjon om sluttbruker på et senere tidspunkt Digital Signatur med SDO BankID kan brukes til å signere dokumenter digitalt. En digital signatur er like bindende som en håndskreven signatur og med BankID digital signatur er det bankene som går god for at riktig person har signert et dokument med BankID (forutsatt at sluttbruker ikke har opptrådt uaktsomt og derved kompromittert sin BankID, passord og/eller sin engangspassordmekanisme). For å sikre lagring, gjenfinnbarhet og lesbarhet støtter BankID det standardiserte signaturformatet SEID SDO Basic-V profil som forvaltes av Post- og Teletilsynet. Dokumenter som er signert med BankID kan lagres i dette formatet som bl.a. inneholder de signerte dataene, signaturen til partene, resultat av VA-oppslag ved signeringstidspunkt med mer BankID Dokumentoversikt Signerte dokumenter kan lagres lokalt på en sluttbrukers PC. For enkel gjenfinning og verifisering av BankID Signaturer kan sluttbrukeren laste ned programvaren BankID Dokumentoversikt som kan søke gjennom sluttbrukerens datamaskin, gi oversikt over dokumenter og vise de signerte dokumentene. Merk at denne tjenesten ikke støttes av Web-klienten Transaction info to Merchant For each BankID transaction the Merchant may retrieve information about it via BankID Server in order to make a decision whether the transaction was suspected to be fraudulent or not. BankID Server provides two different ways for a Merchant to get the information: From BankID Security Data Interface From rtreport The transaction info returned through the Security Data Interface is comprised by data collected from the BankID environment together with a risk score based on the collected data calculated by the BankID Fraud detection system. The transaction info returned in the rtreport is comprised of raw data from security checks performed by the client itself. The Merchant needs to interpret these data on its own in order to make a qualified desicion. Further detail about the transaction info services is beyond the scope of this document. Please see the BankID release documentation for more information. 19 ( 27 )

20 5.2 Banklagret BankID Bestilling Denne beskrivelsen dekker bestilling av Banklagret BankID. Mange av funksjonene nedenfor involverer både sentral og distribuert infrastruktur som er beskrevet i tidligere kapitler. En bankkunde kan bestille sin Banklagret BankID fra nettbanken (dersom kunden er identifisert på forhånd gjennom et tidligere fysisk oppmøte i banken) eller ved direkte oppmøte i banken. Følgende prosedyre beskriver bestilling fra nettbank. 1. Banken bestiller Banklagret BankID på vegne av bankkunden via BankID RAgrensesnittet til ODS sammen med informasjon om fødselsnummer, engangspassord-mekanisme og fast passord. 2. ODS mottar bestillingen og sender en forespørsel om å lage privat og offentlig nøkkel til Banklagret nøkkelgenerator. 3. Privat nøkkel lagres under flere lag kryptering i en sikker database, mens offentlig nøkkel sendes til ODS som sender den videre til riktig CA i en sertifikatforespørsel. 4. CA lager sertifikat basert på informasjon fra ODS og returnerer til ODS. 5. Når ODS mottar sertifikatet, sendes dette til sertifikatlageret i BankID Database. Bankkunden nå sluttbruker, vil få melding om at BankID er generert. 6. Sluttbruker kan benytte sin banklagret BankID når HA-mekanisme er klargjort og innrullert hos banken Identifisering Her beskrives hvordan en sluttbruker gjennomfører en identifisering mot et BankID brukersted med sin Banklagret BankID. Sluttbruker og brukersted identifiserer hverandre ved å sende en utfordring til den annen part som skal signeres og sendes tilbake. Fremstillingen viser de viktigste stegene for en bruker som har én Banklagret BankID. 1. BankID klient startes opp på brukerens datamaskin/enhet i identifiseringsmodus. 2. Det etableres en sikker forbindelse mot sentrale servere. Klienten verifiserer brukerstedets ektehet hos sentrale servere. 3. Brukerstedets navn vises i BankID klienten. Det etableres en sikker forbindelse mot brukerstedets BankID Server. 4. BankID klient lager en utfordring og sender til brukersted. 5. Brukersted signerer utfordringen og lager en ny utfordring som sendes til BankID klienten. 6. Steg 6 ikke relevant for Identifisering, men nummerering er beholdt for å kunne sammenligne med signeringssekvensen 7. Sluttbruker taster fødselsnummer, utfører HA-steg og taster fast passord. 8. BankID Banklagret klient sender fødselsnummer, passordene, utfordring som skal signeres og brukerstedets signatur til BankID Sentral Tjener. 9. BankID Sentral Tjener kontrollerer på vegne av sluttbruker at brukerstedets signatur er korrekt, og den validerer brukerstedets sertifikat. 10. Sentral Tjener oversender engangspassordet til bankens engangspassordsystem som kontrollerer dette og returnerer resultatet til Sentral Tjener. Resultatet brukes til å sette i gang en serie kryptografiske operasjoner som sammen med sluttbrukers faste passord gir Sentral Tjener tilgang til sluttbrukerens private nøkler. 11. Sentral Tjener bruker den private nøkkelen på vegne av sluttbruker og signerer utfordring fra brukersted. Signert utfordring sendes til BankID klienten. 12. BankID klienten returnerer signert utfordring til brukersted. 13. Brukersted verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 14. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette. 20 ( 27 )

21 5.2.3 Signering Beskrivelsen nedenfor viser hvordan en sluttbruker signerer et dokument. Fremstillingen viser de viktigste stegene for en bruker som har én Banklagret BankID. 1. BankID klient startes opp på brukerens datamaskin/enhet i signeringsmodus. 2. Det etableres en sikker forbindelse mot sentrale servere. Klienten verifiserer brukerstedets ektehet hos sentrale servere. 3. Brukerstedets navn vises i BankID klienten. Det etableres en sikker forbindelse mot brukerstedets BankID Server. 4. BankID klienten ber brukerstedet oversende det som skal signeres. 5. Brukerstedet sender det som skal signeres og sin egen signatur over samme, til klienten 6. Sluttbruker presenteres for det som skal signeres, og aksepterer innholdet. 7. Sluttbruker taster fødselsnummer, utfører HA-steg og taster fast passord. 8. BankID klient beregner en hash-verdi av det som skal signeres og denne sendes til BankID Sentral Tjener sammen med fødselsnummer, passordene, og brukersteds signatur. 9. BankID Sentral Tjener kontrollerer på vegne av sluttbruker at brukerstedets signatur er korrekt, og den validerer brukerstedets sertifikat. 10. Sentral Tjener oversender engangspassordet til bankens engangspassordsystem som kontrollerer dette og returnerer resultatet til Sentral Tjener. Resultatet brukes til å sette i gang en serie kryptografiske operasjoner som sammen med sluttbrukers faste passord gir Sentral Tjener tilgang til sluttbrukerens private nøkler. 11. Sentral Tjener bruker den private nøkkelen på vegne av sluttbruker og signerer hashverdien av det som skal signeres. Signaturen sendes til BankID klienten. 12. BankID klienten returnerer signaturen til brukersted. 13. Brukersted verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 14. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette. 15. Deretter lager brukerstedet opsjonelt en SDO (Signed Data Object), og returnerer denne, opsjonelt, til sluttbruker (BankID klienten). Hvis funksjonen er tilgjengelig kan sluttbruker kan velge å lagre SDO som en fil på datamaskinen Sperring og Gjenåpning Sperring kan gjøres permanent (revokering) eller midlertidig (suspendering). Forskjellen er at revokering er permanent, mens suspendering kan oppheves innen 30 dager. Etter 30 dager revokeres et suspendert sertifikat automatisk. En BankID kan revokeres eller suspenderes dersom den private nøkkelen tilhørende sertifikatet er kompromittert, dersom det er mistanke om kompromittering, eller at informasjonen i sertifikatet ikke lenger er korrekt. Vilkår for å suspendere er de samme som for revokering, men gjennomføres som regel dersom sluttbruker ikke kan identifiseres på en sikkermåte. 1. Anmodning om revokering eller suspendering skjer ved at sluttbruker henvender seg til bankens kundesenter via telefon eller ved personlig oppmøte. Banken kan også anmode om revokering eller suspendering av andre årsaker som nevnt i Sertifikatpolicy for BankID. 2. Banken sender deretter en forespørsel om revokering/suspendering via bankens RA-grensesnitt til ODS som videresender anmodningen mot korrekt CA. CA merker sertifikatet som sperret og sender en melding om dette til BankID Valideringstjeneste. 3. Banken mottar en kvittering på at transaksjonen er gjennomført, og kan sende melding til sluttbruker om dette. 21 ( 27 )

22 Opphevelse kan gjennomføres innen 30 dager etter suspendering og krever sikker identifisering av sluttbruker. Banken kan legge til rette for opphevelse via telefon, en elektronisk online-tjeneste eller ved personlig oppmøte Fornyelse Banklagret BankID er gyldig i to år. Deretter må den fornyes. Prosessen er automatisert for å gjøre det enkelt for brukeren. Fornyelse skjer etter følgende prosedyre: 1. Bankens RA sender en fornyelsesforespørsel til ODS som setter sertifikatet klar til fornyelse. 2. Fornyelse skjer heretter som første gangs utstedelse (5.2.1) 3. Sluttbruker vil ved neste gangs bruk av sin BankID få beskjed om at sertifikatet er fornyet. Banken kan eventuelt velge å skjule denne meldingen for sluttbruker. 22 ( 27 )

23 5.3 BankID på mobil Bestilling Denne beskrivelsen dekker bestilling av BankID på mobil. Mange av funksjonene nedenfor involverer både sentral og distribuert infrastruktur som er beskrevet i tidligere kapitler. En bankkunde kan bestille sin BankID på mobil fra nettbanken (dersom kunden er identifisert på forhånd gjennom et tidligere fysisk oppmøte i banken) eller ved direkte oppmøte i banken. Følgende prosedyre beskriver bestilling fra nettbank. 1. Banken bestiller BankID på mobil på vegne av bankkunden via BankID RAgrensesnittet til ODS sammen med informasjon om fødselsnummer, mobilnummer. 2. ODS mottar bestillingen og sender en forespørsel om å lage privat og offentlig nøkkel til Mobil Admin Gateway som videresender dette til riktig mobiloperatør. 3. Mobiloperatøren sender en systemmelding til mobiltelefonen der det lages privat og offentlig nøkkel. Sluttbrukeren velger en personlig pin-kode som skal benyttes senere ved bruk av BankID på mobil. 4. Privat nøkkel lagres i mobiltelefonens simkort, mens offentlig nøkkel sendes tilbake til ODS via mobilnett, mobiloperatør og Mobil Admin Gateway som sender den videre til riktig CA i en sertifikatforespørsel. 5. CA lager sertifikat basert på informasjon fra ODS og returnerer til ODS. 6. Når ODS mottar sertifikatet sendes dette til det sentrale sertifikatlageret. Bankkunden nå sluttbruker vil få melding om at BankID er generert. 7. Sluttbruker kan benytte sin BankID på mobil Identifisering Her beskrives hvordan en sluttbruker gjennomfører en identifisering mot et BankID brukersted med sin BankID på mobil. Sluttbruker og brukersted identifiserer hverandre ved å sende en utfordring til den annen part som skal signeres og sendes tilbake 1. Ikke relevant for identifisering ( Se signering) 2. Sluttbrukeren taster inn sitt mobilnummer sammen med fødselsdato på brukerstedets nettside. 3. Brukerstedet sender over mobilnummer og fødselsdato til BankID på mobil sentrale tjenere. 4. De Sentrale tjenerne lager deretter en utfordring og sender til brukerstedet. 5. Brukerstedet signerer utfordringen og lager en ny utfordring 6. Brukerstedets sertifikat, signatur og utfordring sendes til BankID på mobil sentrale tjenere. 7. Sentrale tjenere verifiserer signaturen til brukerstedet og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 8. Sentrale tjenere sender brukerstedets utfordring til sluttbrukerens mobiltelefon via Mobil Gateway, mobiloperatør og mobilnett. 9. Sluttbruker taster sin pin-kode og utfordring signeres med den private nøkkelen i simkortet. Signaturen sendes fra mobiltelefonen til sentral infrastruktur. 10. Signaturen som ble laget i mobiltelefonen returneres fra sentral infrastruktur til brukerstedet. 11. Brukerstedet verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 12. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette Signering Beskrivelsen nedenfor viser hvordan en slutbruker signerer et dokument. 23 ( 27 )

24 1. Sluttbruker presenteres for det som skal signeres (dokumentet) 2. Sluttbrukeren taster inn sitt mobilnummer sammen med fødselsdato på brukerstedets nettside. 3. Brukerstedet sender over mobilnummer og fødselsdato til BankID på mobil sentrale tjenere. 4. De Sentrale Tjenerne ber brukerstedet oversende dokument som skal signeres av sluttbruker. 5. Brukerstedet signerer dokumentet. 6. Brukerstedets sertifikat, signatur og dokumentet sendes til BankID på mobil sentrale tjenere. 7. Sentrale tjenere verifiserer signaturen til brukerstedet og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 8. Sentrale tjenere sender dokumentet til sluttbrukerens mobiltelefon via Mobil Gateway, mobiloperatør og mobilnett. 9. Sluttbruker taster sin pin-kode og dokumentet signeres med den private nøkkelen i simkortet. Signaturen sendes fra mobiltelefonen til sentral infrastruktur. 10. Signaturen som ble laget i mobiltelefonen returneres fra sentral infrastruktur til brukerstedet sammen med resultatet av VA oppslag på brukerstedets sertifikat. 11. Brukerstedet verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 12. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette. 13. Brukerstedet lager opsjonelt et Signert Data Objekt (SDO). Dette kan lagres av brukerstedet Sperring og Gjenåpning Se kapittel for bankens rolle i forbindelse med Sperring og Gjenåpning av BankID. Mobiloperatørens kundeadministrasjonssystem er knyttet til BankID-tjenesten gjennom BankID Mobil Adminstrasjon Gateway. Dersom mobiloperatøren sperrer et simkort (uavhengig av årsak) vil en BankID på mobil tilknyttet dette simkortet også bli sperret. Sperring av en sluttbrukers BankID på mobil innebærer ikke sperring av kundens simkort for andre tjenester levert av mobiloperatøren Fornyelse BankID på mobil er gyldig i to år. Deretter må den fornyes. Fornyelse skjer normalt uten brukermedvirkning. Bankens utstedersystem genererer da et nytt sertifikat med 2 års varighet med eksisterende nøkkelpar. Dette skjer etter følgende prosedyre: 1. Bankens RA sender en bestilling til ODS. 2. Det utstedes et nytt sertifikat basert på eksisterende nøkkeplar I visse situasjoner vil det være behov for at sluttbruker selv må starte fornyelsesprosessen. Banken vil da sende ut en melding til kunden om at det er på tide med fornyelse. Fornyelse skjer etter følgende prosedyre: 3. Bankens RA sender en bestilling til ODS. 4. ODS sperrer gammel BankID. 5. Utstedelse av ny BankID skjer deretter som ved første gangs utstedelse (kap 4.3.1). 6. Fornyelse skjer deretter som ved første gangs utstedelse (kap 4.3.1). Det er kun mulig å ha en BankID pr simkort om gangen. En fornyelse innebærer derfor i praksis en overskrivning av de gamle nøklene i simkortet. 24 ( 27 )

25 5.4 Brukersted Bestilling Bestilling av BankID for et brukersted (nettsted) skjer ved henvendelse til en BankID Partner. Integrasjon av programvaren kan enten gjøres av nettstedet selv, eller ved hjelp av en underleverandør (fortrinnsvis en BankID Partner). Oversikt over BankID partnere finnes her: 1. Nettstedet kontakter BankID partner som hjelper med å få utstedt et preproduksjonssertifikat for test mot BankID preproduksjonssystem. 2. Etter en vellykket preproduksjonsfase kan brukerstedet gå i normal produksjon med produksjonssertifikat. 3. Hvis brukerstedet ønsker å tilby BankID på mobil må brukerstedet inngå en separat avtale med mobiloperatører tilknyttet tjenesten. Komplett prosedyre for brukersteder er dokumentert i BankID Server pakken (BankID Implementation Guide). Brukerstedets sertifikat kan enten ligge i programvare eller i Hardware Security Module (HSM) Utstedelse og aktivering Aktivering av brukerstedssertifikater skjer ved hjelp av verktøyet HAT som lager sertifikatforespørsel basert på bestillingen fra banken. HAT kommuniserer mot BankID FOI. Test av Brukerstedets BankID kan ved behov skje ved hjelp av preproduksjonssertifikat i preproduksjonsmiljøet Identifisering Brukersteder identifiserer seg overfor BankID klient og mot Sentral infrastruktur. Dette skjer automatisk ved bruk av spesifikke API-kall mot BankID Server programvare Signering Brukersted signerer meldinger til BankID klient. Dette skjer automatisk ved bruk av spesifikke API-kall mot BankID Server programvare Revokering, Suspendering og Gjenoppretting Revokering og suspendering er begge former for tilbaketrekking (ugyldiggjøring) av et sertifikat. Forskjellen er at revokering er permanent, mens suspendering kan oppheves innen 30 dager. Deretter revokeres et suspendert sertifikat automatisk. En BankID kan revokeres eller suspenderes dersom den private nøkkelen tilhørende sertifikatet er kompromittert, dersom det er mistanke om kompromittering, eller at informasjonen i sertifikatet ikke lenger er korrekt. Vilkår for å suspendere er de samme som for revokering, men gjennomføres som regel dersom sluttbruker ikke kan identifiseres på en sikkermåte. 1. Anmodning om revokering eller suspendering skjer ved at ansvarlig person hos Brukerstedet henvender seg til bankens kundesenter. Banken kan også anmode om revokering eller suspendering av andre årsaker som nevnt i Sertifikatpolicy for BankID. 2. Banken sender deretter en forespørsel om revokering/suspendering via bankens RA-grensesnitt til ODS som gjennomfører transaksjonen mot CA. 3. Banken mottar en kvittering på at transaksjonen er gjennomført, og kan sende melding til sluttbruker om dette. Opphevelse kan gjennomføres innen 30 dager etter suspendering og krever sikker identifisering av Brukerstedets representant. 25 ( 27 )