BankID FOI White Paper Release 2.3.0

Transkript

1 BankID FOI White Paper Release Ver Fri distribusjon 1 ( 23 )

2 Legal Notices Copyright Copyright 2007 Bankenes BetalingsSentral AS (BBS), Organisation Number N , Haavard Martinsens vei 54, N OSLO, Norway. Disclaimer BBS have provided the information in this document for use by BankID Common Operational Infrastructure (COI) project only. The information may not be accurate or complete enough for banks, vendors or joint venture partners to rely on without further amendment. BBS MAKES NO REPRESENTATION OR WARRANTY AS TO THE ENFORCEABILITY OR LEGAL EFFECT OF THIS DOCUMENT AND OTHER MATERIALS PRODUCED THROUGH THE USE OF THIS DOCUMENT, INCLUDING APPENDIXES AND REFERENCES TO OTHER DOCUMENTS MADE FOR PROJECT PURPOSES. BBS SHALL NOT BE LIABLE FOR ANY DAMAGES ARISING FROM OR IN CONNECTION WITH THE ENFORCEABILITY OR LEGAL EFFECT OF DOCUMENTS OR OTHER MATERIALS PRODUCED THROUGH THIS DOCUMENT INCLUDING APPENDIXES AND REFERENCES TO OTHER DOCUMENTS MADE FOR PROJECT PURPOSES. Confidentiality The information provided in this document and any other additional information received is to be treated as confidential. It is for the intended recipient only. If an addressing or transmission error has misdirected this document, please notify BBS by writing to the contact address below or to If you are not the intended recipient, or do not have the proper authorisation given by BBS to read the document, you must not use, disclose, distribute, copy, print, re-sell or rely on this document and any template material or products used in the production of the PKI solution without written consent form the source where the material or products originated from. BBS N NORWAY 2 ( 23 )

3 Table of Content : Legal Notices...2 Table of Content : Introduksjon Hensikt Målgruppe BankID Samarbeidet Om BankID infrastruktur og teknologi BankID Sertifikatpolicy Terminologi og forkortelser Sentrale begreper Forkortelser Teknologien bak BankID Overordnet om teknologien bak BankID Teknologileverandører Sikkerhet Systemarkitektur for BankID FOI Distribuert infrastruktur BankID Nivå 1 RA BankID Banklagret klient Engangspassordmekanisme BankID kompatibel mobiltelefon og simkort BankID Server Java BankID Server C Sertifikater Sentral infrastruktur BankID Rot-CA BankID Nivå 1-CA Ordre og Distribusjons System (ODS) BankID Banklagret Sentrale Servere BankID Sentrale Servere Mobil Valideringstjeneste BankID Verktøy Sertifikater Nøkkelbærere Sertifikattyper Database for Unik Identifikator (PID) Avbrudds- og katastrofeløsning Prosess Funksjoner ved Bruk av BankID (basisfunksjoner) BankID klient og Server Tilgang til BankID private nøkler Verifisering av partenes identitet (sertifikater) Validering av partenes sertifikater Utlevering av tilleggsinformasjon Digital Signatur med SDO BankID Dokumentoversikt Banklagret BankID Bestilling Test Identifisering Signering Revokering, Suspendering og Gjenoppretting Fornyelse BankID på mobil ( 23 )

4 5.3.1 Bestilling Test og Aktivering Identifisering Signering Revokering, Suspendering og Gjenoppretting Fornyelse Brukersted Bestilling Test og Aktivering Identifisering Signering Revokering, Suspendering og Gjenoppretting ( 23 )

5 1 Introduksjon 1.1 Hensikt Dette dokumentet er skrevet for å gi et enkelt og raskt overblikk over alle funksjoner og komponenter i Felles operasjonell infrastruktur for BankID (FOI). FOI White Paper er ikke et teknisk dokument. For detaljerte beskrivelser av de ulike komponentene henvises leseren til teknisk referansedokumentasjon som følger med BankID Brukerstedspakke. CD med dokumentasjon og programvare er underlagt lisens og kan bestilles fra alle banker som leverer BankID. 1.2 Målgruppe Målgruppen er alle som ønsker å forstå hvordan BankID FOI virker og hvilke komponenter som infrastrukturen er bygget opp av og hvilke funksjoner som er tilgjengelig. Etter som BankID er basert på en implementasjon av PKI-teknologi er det ikke enkelt å komme utenom ulike teknologirelaterte ord og uttrykk. En beskrivelse av de mest alminnelige begreper og forkortelser er derfor tatt med i begynnelsen av dokumentet. 1.3 BankID Samarbeidet BankID Samarbeidet omfatter utvikling og forvaltning av en samordnet infrastruktur i banknæringen. Deltagerne i BankID Samarbeidet er: Bankene: Arbeidet med BankID infrastruktur utføres av ulike arbeidsgrupper der bankene deltar aktivt. Bankenes standardiseringskontor (BSK): BSK har ansvaret for utforming av policy, standarder og sikkerhetskrav. BSK har også et kontrollansvar med tanke på at disse kvalitetskrav overholdes. BSK har tilsatt en teknisk koordinator for BankID. Finansnæringens Hovedorganisasjon (FNH) og Sparebankforeningen: Leder og organiserer arbeidet med BankID infrastruktur, via den felles organisering som er etablert for infrastrukturen innen betalingsformidling. En BankID koordinator er tilsatt for å koordinere alle aktiviteter i BankID Samarbeidet. BankID Samarbeidet har gitt Bankenes Betalingssentral (BBS) et oppdrag vedrørende utvikling, drift og forvaltning av BankID Felles Operasjonell Infrastruktur (FOI). 1.4 Om BankID infrastruktur og teknologi BankID har en samordnet infrastruktur som grunnlag for utstedelse og bruk av BankID. Infrastrukturen består av felles: Interbank-regelverk, varemerke, policy og prosedyrer, sikkerhetskrav, standarder og utfyllende profiler, samt tekniske komponenter. Alt dette er nødvendig for å sikre: interoperabilitet mellom tekniske komponenter i BankID infrastruktur, brukervennlighet/sikkerhet, samt enkel integrasjon og bruk av BankID i elektroniske tjenester. Det er Bankenes Betalingssentral som har utviklet og drifter og forvalter BankID Felles Operasjonell Infrastruktur (FOI). BankID er basert på en metode og teknologi som kalles Public Key Infrastructure (PKI). Teknologien er basert på bruk av et nøkkelpar, en privat (hemmelig) og en offentlig nøkkel, som benyttes for å sikre transaksjonene. I tillegg brukes et sertifikat elektronisk 5 ( 23 )

6 legitimasjon, til å knytte innehaverens identitet til den offentlige nøkkelen. Metoden beskriver hvordan nøklene og tilhørende sertifikater utstedes og brukes. Det er fire sentrale roller i en PKI og er definert som følger: 1. Sluttbruker: En person (fysisk eller juridisk) som er innehaver av BankID og som bruker BankID til legitimasjon og/eller signering. 2. Brukersted: Et nettsted, for eksempel en nettbank eller nettbutikk, som aksepterer BankID legitimasjon og/eller signatur. 3. Sertifikatutsteder (utstederbanken): En bank som utsteder BankID. Ivaretar BankID gjennom hele livssyklusen (utstedelse, tilbaketrekking, fornyelse). Utstederbanken har rollen som Sertifikat Autoritet (CA) 4. Banken: Banken inngår avtale med sine kunder om utstedelse av BankID. Denne rollen benevnes Registreringsautoritet (RA). En bank kan selv være Sertifikatutsteder eller benytte en fellesutsteder. 5. Sertifikatvalidering: Gyldighetskontroll hos den som har utstedt en aktuell BankID. Ved bruk av elektronisk legitimasjon skal brukerstedet sende en forespørsel til sin bank om sluttbrukers BankID er gyldig eller ikke. Dersom en annen bank har utstedt sluttbrukers BankID skal brukerstedets bank spørre denne om sertifikatet er gyldig. Brukerstedets bank opptrer da som Valideringsautoritet (VA). Brukersted Sluttbruker Mobiloperatører BankID Server RA Bank OTP-system BankID Klient Mobilnett Servergrensesnitt RAgrensesnitt OTPgrensesnitt Klientgrensesnitt Mobil grensesnitt Ordre og Distribusjonssystem BankID Validerings Tjeneste BankID Sentrale Servere Banklagret Front-end server BankID Sentrale Servere Mobil Mobile Gateway Sertifikatfabrikk Rot CA CA CA CA CA BankID VA En pr bank OTP-Validator Sentral signeringsserver Mobile Admin Gateway CA CA CA CA Nøkkelager Figur oversikt over Infrastrukturen 6 ( 23 )

7 1.5 BankID Sertifikatpolicy Sikkerhetskrav knyttet til BankID er fastsatt av BSK og dokumentert i policy-dokumenter for de ulike typene av BankID (PersonBankID, AnsattBankID og BrukerstedsBankID). Dokumentene inneholder krav til blant annet: Ansvar- og konfidensialitet Krav til registrering av kunde Bestilling, utstedelse og bruk av BankID Krav til prosedyrer rundt tilbaketrekking og suspendering Fysisk og logisk sikkerhet i BankID infrastrukturen Teknisk sikkerhet Sertifikatprofiler Felles operasjonell infrastruktur er basert på de krav som er utformet av BSK. Norsk versjon BankID Sertifikatpolicy kan fås ved henvendelse til: Bankenes Standardiseringskontor (BSK) Postadresse: Postboks 526 Sentrum, 0105 OSLO Kontoradresse: Øvre Slottsgt. 10, 0157 OSLO Telefon: Telefax: post@bsk.no Web: 2 Terminologi og forkortelser 1.6 Sentrale begreper BankID Klient Banklagret BankID på mobil BankID brukes som et begrep for alle kunders og brukersteders sertifikater med tilhørende private nøkler, utstedt av en BankID-bank. BankID for en kunde vil bestå av, men er ikke begrenset til, et autentiserings- og signeringssertifikat med tilhørende nøkler. BankID programvare som en sluttbruker benytter til å bruke sitt BankID sertifikat til identifisering og signering Banklagret refererer til en løsning der kunden kan bruke sin BankID fra hvilken som helst datamaskin uten å måtte laste ned og installere programvare og digitalt sertifikat på permanent basis. Kundens sertifikat med krypteringsnøkler er lagret i sentralt nøkkellager. Kunden får tilgang til sin Banklagret BankID ved å taste inn fødselsnummer, engangskode og fast passord som beskytter sluttbrukerens nøkler. Denne løsningen refererer til bruk av BankID der kundens private nøkler lages og lagres i kundens sim-kort, mens den offentlige nøkkelen og sertifikatet lagres i sentralt nøkkellager. Denne løsningen er avhengig av at brukeren har en kompatibel mobiltelefon med simkort fra en leverandør som har avtale med bankene. 7 ( 23 )

8 BankID Server FOI Et sett med kryptografiske funksjoner som installeres på et nettsted for å kunne akseptere BankID som digital ID og digital signatur. BankID Server finnes i to versjoner, C-versjon og Java-versjon. Felles operasjonell Infrastruktur. Dette er samlingen av komponenter utvikles og driftes av BBS. Se figur 1 for en nærmere oversikt. 1.7 Forkortelser BSK Bankenes Standardiseringskontor CA Certification Authority (Myndighet som utsteder og trekker tilbake sertifikater) CP Certificate Policy (Sertifikat policy) CPS Certification Practice Statement (Sertifikatpraksis) CRL Certificate Revocation List (Sperreliste for sertifikater) DN Distinguished Name (Unikt navn på sluttbruker) DNS Domain Name System (Navnetjeneste på Internett) FIPS Federal Information Processing Standard (US sikkerhetsstandard/godkjenningsmyndighet) FOI Felles Operasjonell Infrastruktur for BankID HASH Enveisfunksjon Det samme som OWF HSM Hardware Security Module (Sikkerhets Modul for sikker signaturfremstilling) OCSP Online Certificate Status Protocol (Protokoll for gyldighetsforespørsel for sertifikater) ODS Order Distribution System (BankID felles bestillingssystem) OTP One Time Password (Engangspassord) OWF One Way Function (Enveisfunksjon) PID Personlig Identifikator et unikt nummer per person PIN Personal Identification Number (Personlig identifikasjonsnummer) PKI Public Key Infrastructure (Offentlig nøkkel infrastruktur) PKCS Public Key Cryptographic Standard (En samling bransjestandarder med stor utbredelse) PSE Personal Security Environment (Personlig sikkerhetsmiljø) RA Registration Authority (Myndighet som identifiserer en kunde som søker om sertifikat ) RNG Random Number Generator (Enhet som genererer tilfeldige tall) SSL Secure Sockets Layer (krypteringsprotokoll i datanettverk) UID User ID (Brukernavn) USP User Static Pass-phrase (Fast passord) VA Validation Authority (Myndighet som bekrefter/avkrefter gyldigheten til et sertifikat) 3 Teknologien bak BankID 3.1 Overordnet om teknologien bak BankID BankID benytter teknologien Public Key Infrastructure (PKI). Denne teknologien er basert på asymmetrisk kryptografi som gjør det mulig for parter som ikke har et tillitsforhold til hverandre å kommunisere sikkert på åpne nett. Dette skjer ved at begge parter har et tillitsforhold til en felles tredje part. I BankID er denne tredje parten partenes bankforbindelse(r). Dersom to parter har ulik bankforbindelse så er tillitsforholdet knyttet til avtaler mellom partenes banker. Tilliten mellom banker er regulert gjennom Regler om BankID i Interbankreglene. 8 ( 23 )

9 3.2 Teknologileverandører PKI er den eneste teknologien som muliggjør et mange-til-mange tillitsforhold uten at partene har et forhold til hverandre fra før. BBS som utvikler og drifter BankID-løsningen benytter teknologi fra flere ulike leverandører, men kjernen i PKI-systemet er levert av ITsikkerhets-selskapet Cybertrust. 3.3 Sikkerhet Felles operasjonell infrastruktur for BankID benytter sterk kryptering i alle sikkerhetsfunksjoner. I sentral infrastruktur brukes HSM-sikkerhetsmoduler for å lagre krypteringsnøkler og utføre kryptografiske funksjoner. Ingen krypteringsnøkler er mindre enn 1024 bits for RSA-krypteringsfunksjoner. Nøkkellengder vurderes kontiunuerlig basert på trusselbildet. 4 Systemarkitektur for BankID FOI Tillitskjeden i BankID er fundamentert i en Rot-CA som eies av Sparebankenes servicekontor og Finansnæringens servicekontor i fellesskap. Bankforeningenes Rot-CA utsteder sertifikater til bankenes nivå 1 CA er. BankID infrastrukturen er bygget opp med grunnlag i Regler om BankID som blant annet innebærer samtrafikk mellom alle banker i Norge som utsteder BankID. Hver enkelt bank er en selvstendig sertifikatutsteder, men av praktiske årsaker har enkelte banker (innen bankgrupperinger/samarbeidende banker) gått sammen for å dele en fysisk CA for sertifikatutstedelse. Distribuert infrastruktur Data-nett Sentral infrastruktur Bank RA Bank OTP Servergrensesnitt RAgrense snitt OTPgrense snitt Klientgrensesnitt Mobil grenses nitt BankID Klient Ordre og Distribusjonssystem BankID Sertifikatfabrikk Rot CA Validerings Tjeneste BankID Sentrale Servere Banklagret Front-end server OTP-Validator BankID Sentrale Servere Mobil Mobile Gateway Mobile Admin Gateway BankID Server CA CA CA CA BankID VA En pr bank Sentral signeringsserver CA CA CA CA Nøkkelager Mobil-nett Mobiloperatør Figur oversikt over sentral og distribuert infrastruktur Figuren ovenfor illustrerer hvordan de ulike delene av Felles operasjonell infrastruktur er knyttet sammen. 9 ( 23 )

10 Systemarkitekturen består av sentral infrastruktur, registreringsautoritet, klienter, mobiltelefonen, mobiloperatør/nett og brukersted serverkomponenter. Disse beskrives i de følgende kapitlene. 10 ( 23 )

11 4.1 Distribuert infrastruktur Distribuert infrastruktur består av komponenter som muliggjør bruk av BankID hos en sluttbruker, brukersted eller bank. Distribuerte funksjoner omfatter følgende funksjoner: Bankens administrasjon av BankID (RA) Brukerstedets bruk av BankID (BankID Server) Banklagret BankID: Sluttbrukerens bruk av BankID til identifisering og signering (klient og engangspassordmekanisme) BankID på mobil: Sluttbrukerens bruk av BankID til identifisering og signering (mobiltelefon og simkort) BankID Nivå 1 RA For å utstede sertifikater i en Nivå 1-CA må banken ha en Registreringsautoritet (RA). Dette er et system for registrering og administrasjon av sertifikater utstedt av den CA som banken benytter. Bankens RA vil i de fleste tilfeller være integrert i det ordinære kundebehandlingssystemene, og kommuniserer via et standard grensesnitt mot ODS som BBS tilbyr som et sentralt sertifikat-administrasjonssystem BankID Banklagret klient BankID Banklagret klient er en Java-applet som sluttbruker laster ned til sin lokale datamaskin hver gang identifisering eller signering skal gjennomføres. Klienten lastes ned fra Banklagret sentral server og inneholder nødvendig funksjonalitet for å få tilgang til PKIfunksjonaliteten som er samlet i BankID Banklagrete servere. For å få tilgang til disse funksjonene må sluttbruker taste inn fødselsnummer, statisk passord og engangspassord Engangspassordmekanisme Bruk av Banklagret BankID krever at sluttbruker har en mekanisme for engangspassord. Den enkelte bank (RA) står fritt til å velge mekanisme, såfremt den er godkjent av Bankenes Standardiseringskontor (BSK). Engangspassord-mekanismen skal gi sluttbruker et unikt passord som kun gjelder for en begrenset tid. For eksempel vil en godkjent passordkalkulator gi dette. Banken vil administrere engangspassord-mekanismen og vil ha en funksjon som godkjenner passordet. Denne funksjonen kommuniserer via et standard grensesnitt med Banklagrete sentrale servere BankID kompatibel mobiltelefon og simkort Bruk av BankID på mobil forutsetter at sluttbrukeren har en mobiltelefon med simkort som er kompatibel med BankID. De fleste nyere mobiltelefoner har denne muligheten. Mobiloperatører som inngår avtale med bankene om å tilby BankID på mobil vil distribuere simkort til brukerne. Brukeren velger selv pinkode for å benytte nøklene i simkortet BankID Server Java BankID server Java er en samling funksjoner som implementeres hos et brukersted som har inngått avtale med sin bankforbindelse om å akseptere sluttbrukeres BankID sertifikater til identifisering og/eller signering (i rollen som brukersted). Programvaren er skrevet i Java og inneholder all PKI- og kommunikasjonsfunksjonalitet nødvendig for å gjennomføre en transaksjon med sluttbrukers klient og BankID infrastruktur. 11 ( 23 )

12 4.1.6 BankID Server C BankID server C er en samling funksjoner som implementeres hos et autorisert brukersted som vil akseptere sluttbrukeres BankID sertifikater til autentisering og/eller signering (i rollen som brukersted). Programvaren er skrevet i C og inneholder all PKI- og kommunikasjonsfunksjonalitet nødvendig for å gjennomføre en transaksjon med sluttbrukers klient og BankID infrastruktur Sertifikater For beskyttelse av kommunikasjon mellom bankens RA-funksjon og ODS utstedes krypteringssertifikater på den CA som banken skal utstede sertifikater på. Kommunikasjonen mellom bankens RA-funksjon og ODS foregår kryptert over et lukket nettverk. I Banklagret BankID lages nøklene i en HSM og lagres kryptert sammen med sertifikater i et sentralt nøkkellager. Sertifikatene utstedes av bankens Nivå 1-CA. I BankID på mobil lages og lagres de private nøklene kryptert i simkortet til sluttbrukeren. Den offentlige nøkkelen og sertifikatet lagres kryptert i et sentralt nøkkellager. Sertifikatene utstedes av bankens Nivå 1-CA. Et brukersted kan enten lagre sertifikater og nøkler som en kryptert fil eller bruke en Hardware Security Module (HSM). Begge typer sertifikater utstedes av bankens Nivå 1-CA. 4.2 Sentral infrastruktur Sentral infrastruktur dekker de funksjoner som ikke utføres i BankID klienten (dvs hos sluttbruker) eller hos nettstedet (dvs hos brukersted). Infrastrukturen omfatter også nødvendige grensesnitt mot distribuert infrastruktur. Sentral infrastruktur omfatter følgende funksjoner/komponenter: Bestilling av sertifikater Utstedelse av sertifikater Revokering av sertifikater (permanent sperring) Suspendering av sertifikater (tidsbegrenset sperring) Gjeninnsetting av sertifikater (åpning av tidsbegrenset sperrede sertifikater) Fornyelse av sertifikater Validering av sertifikater (OCSP) Validering av engangspassord mot bankens systemer Sentral lagring og bruk av private og offentlige nøkler (Banklagret BankID) Sentral lagring og bruk av offentlige nøkler (BankID på mobil) Alle kryptografiske operasjoner på vegne av sluttbruker (Banklagret BankID) Kommunikasjon mot mobiloperatør for aktivering og bruk (BankID på mobil) Formidling av statusinformasjon om sertifikater Administrasjon av sertifikater og tilleggsinformasjon BankID Rot-CA BankID Rot-CA eies i fellesskap av de to bankforeningene i Norge. Formålet med BankID Rot-CA er å utstede sertifikater til bankenes CA er slik at disse har et felles fundament for å utstede sertifikater til sine kunder. Alle BankID er som utstedes er knyttet opp mot BankID Rot-CA som et felles tillitspunkt. BankID Rot-CA sitt eget sertifikat er gyldig i 26 år og fornyes etter 14 år. 12 ( 23 )

13 4.2.2 BankID Nivå 1-CA En BankID Nivå 1-CA eies av en enkeltbank eller bankgruppering/samarbeidende banker og brukes til å utstede og trekke tilbake sertifikater til kunder i en deltagende BankID bank. Nivå 1-CA utsteder revokeringslister (CRL) med sertifikater som er trukket tilbake og gjør disse tilgjengelige for Valideringsautoriteten (se nedenfor). Nivå 1 CA-sertifikater er gyldige i 12 år. Følgende funksjoner finnes: Utstedelse Sperring (revokering/suspensjon) Utstedelse av sperrelister (CRL) Ordre og Distribusjons System (ODS) For å forenkle administrasjonen av sertifikater utstedt av de ulike BankID Nivå 1-CA ene er det implementert et Ordre og Distribusjons System (ODS). ODS er en tjeneste med grensesnitt mot mange av komponentene i sentral infrastruktur og inneholder en rekke funksjoner for administrasjon og bruk av BankID-sertifikater Følgende komponenter finnes: ODS-Applikasjonen Databaser BankID RA/ODS-grensesnitt Grensesnitt mot andre komponenter BankID Banklagret Sentrale Servere Banklagret BankID er basert på sentral lagring og bruk av sluttbrukeres BankID sertifikater med tilhørende nøkler. For å gjøre dette mulig er det implementert en rekke sentrale komponenter som fasiliterer sikker lagring av sertifikater og nøkler og bruk av disse. Løsningen er laget slik at sluttbrukerens private nøkler aldri vil kunne opptre i klartekst utenfor en dedikert Hardware sikkerhetsmodul (HSM). For å aktivere nøklene kreves det kjennskap til både et fast hemmelig passord, og tilgang til en engangspassord-enhet som er tildelt av banken. Følgende komponenter finnes: BankID Server Front-end Database BankID Sentral signeringsserver BankID Banklagret Nøkkellager BankID Autentiseringsserver Grensesnitt mot engangspassordmekanismer BankID Sentrale Servere Mobil BankID på mobil er basert på en infrastruktur der sluttbrukerens private nøkler lagres og brukes i sim-kortet i mobiltelefonen. Mobiltelefonen kommuniserer med sentrale servere via mobilnettet og mobiloperatørens infrastruktur. Det finnes funksjoner for aktivering og nøkkelgenerering og bruk av BankID på mobil. For å bruke en BankID på mobil må brukeren ha kjennskap til den pin-kode som ble benyttet da de private nøklene ble generert. Følgende komponenter finnes: BankID nøkkel og sertifikatlager BankID Mobil Admin Gateway 13 ( 23 )

14 BankID Mobil Gateway Database Valideringstjeneste I BBS er det implementert et online valideringssystem som fasiliterer utstederes Valideringsautoritet (VA) som på vegne av og etter nærmere avtale med utsteder verifiserer om utstedte sertifikater er trukket tilbake eller ikke. VA mottar CRL (liste over sperrede BankID) fra utstederens CA og leverer en online funksjon for sertifikatvalidering som er tilgjengelig for både sluttbrukere og brukerstede. Valideringstjenesten har også en funksjon for å levere tilleggsinformasjon om sluttbruker til autoriserte brukersteder. Denne funksjonen er kun tilgjengelig for brukersteder som har lovmessig rett til å behandle slik informasjon og som har inngått avtale med sin bankforbindelse om dette. Tilleggsinformasjonen som kan leveres er følgende: Kontonummer til sluttbruker Fødselsnummeret til sluttbruker Eventuelt organisasjonsnummer til sluttbruker BankID Verktøy BankID Verktøy har flere funksjoner avhengig av hvilken type BankID som brukes. Alle typer BankID sertifikater kan testes og diagnostiseres på denne siden. For BrukerstedsBankID vil det være her nye man aktiverer sin BankID. BankID Verktøy er tilgjengelig for både sluttbrukere og brukersteder. All egenadministrasjon av BankID kan også utføres på denne siden. Det er også implementert en funksjon for å teste om Banklagret BankID kan benyttes fra en datamaskin Sertifikater Alle sluttbrukersertifikater utstedt av BankID er i henhold til PKCS#12 formatet Nøkkelbærere En nøkkelbærer er stedet der sertifikatet og tilhørende nøkler er lagret og brukes. Følgende nøkkelbærere finnes for sluttbrukere i dagens versjon av BankID: Banklagret BankID på mobil Følgende nøkkelbærere er tilgjengelig for brukersteder (brukerstede) Lokallagret på server Lagret i HSM tilknyttet server Sertifikattyper Ulike sertifikattyper er implementert for å gi mulighet til å benytte BankID i ulike sammenhenger. Følgende sertifikattyper finnes i dagens versjon av BankID: Kvalifisert PersonBankID brukes av privatpersoner Kvalifisert MobilBankID brukes av privatpersoner Kvalifisert AnsattBankID brukes av personer som opptrer på vegne av en virksomhet eller organisasjon BrukerstedsBankID brukes av nettsteder 14 ( 23 )

15 Database for Unik Identifikator (PID) I alle BankIDer for fysiske personer finnes en unik identifikator (PID). Denne identifikatoren er unik for en person, og finnes i alle sertifikater utstedt til personen, uavhengig av hvilken BankID-utsteder som har utstedt sertifikatet. På denne måten kan en sertifikatinnehaver identifisere seg overfor et nettsted ved hvert besøk, og uavhengig hvilken av sine BankID er som brukes. I sentral infrastruktur finnes en database som sikrer at en sluttbruker kan få samme PID i alle sine sertifikater. For å sikre personvernet kan en sluttbruker velge å få utstedt en ny PID ved utstedelse av et nytt sertifikat Avbrudds- og katastrofeløsning BankID FOI tilbyr identifiserings- og signeringsløsninger til bankenes nettløsninger og til andre nettsteder som ønsker tilgang til sikre løsninger for slike formål. Det er derfor nødvendig å sikre at systemet er tilgjengelig for alle brukere til enhver tid. BankID FOI er designet som et High Availability system med automatiske avbrudds- og katastrofeløsninger som tar over for hovedsystemet dersom det skulle oppstå en feilsituasjon. Verken nettstedene eller personkundene vil merke at dette skjer. Etter som bankene selv benytter BankID som pålogging i nettbaserte banktjenester stilles det særskilte krav til tilgjengelighet for BankID-tjenesten. Krav til dette er bl.a. fastsatt av Kredittilsynet. 15 ( 23 )

16 5 Prosess Bank BankIDServer Brukersted Sluttbruker Bank RA Bank OTP-system Lokallagret klient BankID Server Server-grensesnitt RA-grensesnitt OTP-grensesnitt Klient-grensesnitt Ordre- og distribusjonssystem (ODS) Sertifikatutstedelse Rot - CA CA CA CACACA BankID verktøy (test og aktivering) BankID Valideringsautoritet Bank1 Bank2 Bank3 Bank4 Bank5 Bank6 Sentrale Servere Banklagret Front-end server Sentral signeringsserver Nøkkelager OTP-Validator Figuren ovenfor er en generell fremstilling av hvordan de ulike komponentene i BankID virker sammen ved bruk av BankID. 5.1 Funksjoner ved Bruk av BankID (basisfunksjoner) BankID klient og Server All bruk av BankID forutsetter at en sluttbruker besøker et nettsted som har tilrettelagt for bruk av BankID til identifisering og/eller signering ved å implementere BankID Server i sin webserver/webapplikasjon. For Banklagret BankID må brukerstedet implementere funksjoner i sine nettsider for å laste ned og starte opp BankID klienten i sertfikatholderens nettleser. Sluttbrukeren bruker funksjoner i klienten til å aksessere og bruke sin BankID med tilhørende nøkler. For BankID på mobil må brukerstedet implementere funksjoner i sine nettsider for å innhente sluttbrukerens mobiltelefonnummer og fødselsdato og sende dette inn til Sentrale Servere Mobil. Sluttbruken benytter seg av funksjonalitet i mobiltelefonen og mobilnettet for å aksessere og bruke sin BankID med tilhørende nøkler. Nettstedet bruker funksjoner i BankID Server til å aksessere og bruke sin BankID med tilhørende nøkler Tilgang til BankID private nøkler For å bruke sin BankID må både sluttbruker og brukersted kjenne sine sertifikataktiveringsdata. Følgende aktiveringsdata er påkrevet for ulike nøkkelbærere: 16 ( 23 )

17 Banklagret BankID (Person og Ansatt): BrukerID, hemmelig passord og sikkerhetskode (engangspassord). Mekanisme for å generere engangspassord leveres av sluttbrukers bankforbindelse. BankID på mobil: BrukerID (mobilnummer + fødselsdato), pin-kode i tillegg til tilhørende sim-kort med privat nøkkel. BrukerstedsBankID: hemmelig passord Verifisering av partenes identitet (sertifikater) Ved bruk av BankID verifiserer partene hverandres identitet. Dette gjøres ved at begge parter sender data (en utfordring eller data) til hverandre som signeres med BankID av motparten før den sendes tilbake. Ved mottak av signert utfordring kan partene verifisere at motparten har en ekte BankID og hente ut informasjon om identiteten til vedkommende fra sertifikatet. Denne informasjonen inkluderer også PID som er en unik identifikator for personer Validering av partenes sertifikater For å sikre at partene ikke bare har en ekte BankID, men også en gyldig BankID må begge parter forespørre sin bank om dette. Dette gjøres ved at partene sender en forespørsel til sin valideringsautoritet (VA) som svarer om det forespurte sertifikatet er gyldig eller ikke. VA er oppdatert i sanntid med informasjon om sertifikatenes status i utstederens nivå-1 CA Utlevering av tilleggsinformasjon Bankene er underlagt en særskilt taushetsplikt for bl.a. fødselsnummer og kan derfor ikke legge informasjon om dette direkte inn i BankID-sertifikatet. Det er derfor etablert en tjeneste i forbindelse med valideringsfunksjonen som kan sende med sluttbrukers fødselsnummer til brukersted. Kun brukersteder med lovmessig rett til å behandle slik informasjon kan få tilgang til denne tjenesten. Tilgangskontroll utøves av den enkelte bank. Denne tjenesten kan utvides til å tilby annen type informasjon om sluttbruker på et senere tidspunkt Digital Signatur med SDO BankID kan brukes til å signere dokumenter digitalt. En digital signatur er like bindende som en håndskreven signatur og med BankID digital signatur er det bankene som går god for at riktig person har signert et dokument med BankID (forutsatt at sluttbruker ikke har opptrådt uaktsomt og derved kompromittert sin BankID, passord og/eller sin engangspassordmekanisme). For å sikre lagring, gjenfinnbarhet og lesbarhet har bankene etablert et standardisert signaturformat; BankID Signed Data Object (BankID SDO). Alle dokumenter som er signert med BankID er lagret i dette formatet som bl.a. inneholder de signerte dataene, signaturen til partene, resultat av VA-oppslag ved signeringstidspunkt med mer. BankID SDO er i overensstemmelse med norsk standard SEID SDO BankID Dokumentoversikt Dokumenter som er signert med BankID SDO kan lagres lokalt på en sluttbrukers PC. For enkel gjenfinning og verifisering av BankID Signaturer kan sluttbrukeren laste ned en programvare BankID Dokumentoversikt som kan søke gjennom sluttbrukerens datamaskin, gi oversikt over dokumenter og vise de signerte dokumentene. 17 ( 23 )

18 5.2 Banklagret BankID Bestilling Denne beskrivelsen dekker bestilling av Banklagret BankID. Mange av funksjonene nedenfor involverer både sentral og distribuert infrastruktur som er beskrevet i tidligere kapitler. En bankkunde kan bestille sin Banklagret BankID fra nettbanken (dersom kunden er identifisert på forhånd gjennom et tidligere fysisk oppmøte i banken) eller ved direkte oppmøte i banken. Følgende prosedyre beskriver bestilling fra nettbank. 1. Banken bestiller Banklagret BankID på vegne av bankkunden via BankID RAgrensesnittet til ODS sammen med informasjon om fødselsnummer, engangspassord-mekanisme og midlertidig fast passord. 2. ODS mottar bestillingen og sender en forespørsel om å lage privat og offentlig nøkkel til Banklagret nøkkelgenerator. 3. Privat nøkkel lagres i en sikker database, mens offentlig nøkkel sendes til ODS som sender den videre til riktig CA sammen med en sertifikatforespørsel. 4. CA lager sertifikat basert på informasjon fra ODS og returnerer til ODS. 5. Når ODS mottar sertifikatet sendes dette til sertifikatlageret i BankID Server Database. Bankkunden nå sluttbruker vil få melding om at BankID er generert. 6. Sluttbruker kan benytte sin banklagret BankID når engangspassord-mekanisme er mottatt fra banken Test Test av Banklagret BankID kan gjennomføres når som helst for test og diagnose av brukerens BankID. Følgende prosedyre gjennomføres ved test: 1. BankID Verktøy gjennomfører en ordinær identifisering av sluttbrukeren og validerer sertifikatet. 2. Signeringsfunksjonen testes ved at sluttbrukeren bes om å signere testdata. 3. BankID Verktøy verifiserer gyldigheten av signaturen og validerer sluttbrukers sertifikat. 4. Alle data om testene logges og nødvendig informasjon presenteres for kunden. I tillegg er det en funksjon for å teste om en datamaskin kan kjøre BankID klienten. Funksjonen Test Datamaskinen gjennomfører en sjekk av lokalt kjøremiljø på brukerens datamaskin og gir tilbakemelding om eventuelle mangler Identifisering Her beskrives hvordan en sluttbruker gjennomfører en identifisering mot en BankID brukersted med sin Banklagret BankID. Sluttbruker og brukersted identifiserer hverandre ved å sende en utfordring til den annen part som skal signeres og sendes tilbake 1. BankID klient lastes i nettleseren til sluttbruker. 2. Det etableres en kryptert forbindelse mellom partene. BankID klient lager en utfordring og sender til brukersted. 3. Brukersted signerer utfordringen og lager en ny utfordring som sendes til BankID klienten. 4. Sluttbruker taster fødselsnummer, engangspassord og fast passord. 5. BankID Banklagret klient sender passordene, utfordring som skal signeres og brukerstedets signatur til BankID Sentral Server. 6. I Sentral Server brukes sluttbrukers faste passord til å få adgang til kundens private krypteringsnøkler. Sentral server kontrollerer engangspassordet mot bankens engangspassordsystem. 7. Brukerstedets signatur kontrolleres og sertifikatet valideres. Data signeres og returneres til sluttbruker. 18 ( 23 )

19 8. Sluttbrukers klient returnerer signert utfordring til brukersted. 9. Brukersted verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 10. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette Signering Beskrivelsen nedenfor viser hvordan en sluttbruker signerer et dokument. Merk at fremstillingen er forenklet, men viser det viktigste prinsippene. 1. Sluttbruker taster inn fødselsnummer. 2. Sluttbruker presenteres for det som skal signeres, og aksepterer innholdet. 3. Sluttbruker taster engangspassord og fast passord. Dersom sluttbruker har en gyldig sesjon (tastet inn engangspassord innenfor en gitt tid) er det ikke nødvendig å taste inn engangspassord. Sesjoner er tidsbegrenset og utløper etter inaktivitet. 4. Brukersted signerer hash og returnerer til BankID klient. 5. Hash-verdi av det som skal signeres sendes til BankID Sentral Server sammen med fast passord, evt. Engangspassord, og brukersteds signatur. 6. Sentral Server kontrollerer engangspassord (hvis nødvendig), kontrollerer brukersteds signatur, og benytter sluttbrukers faste passord til å signere dokumentet 7. Signaturen returneres til kundens klient sammen med signeringssertifikatet og resultatet av VA-oppslaget som sentral server har gjort på brukersted. 8. Klienten sender dette videre til brukersted, slik at brukersted kan verifisere klientsignaturen. 9. Brukersted verifiserer sertifkatholders signatur, lager en SDO (Signed Data Object), og returnerer denne til sluttbruker (klienten) Sluttbruker kan nå velge å lagre innholdet av dataene som er signert Revokering, Suspendering og Gjenoppretting Revokering og suspendering er begge former for tilbaketrekking (ugyldiggjøring) av et sertifikat. Forskjellen er at revokering er permanent, mens suspendering kan oppheves innen 30 dager. Deretter revokeres et suspendert sertifikat automatisk. En BankID kan revokeres eller suspenderes dersom den private nøkkelen tilhørende sertifikatet er kompromittert, dersom det er mistanke om kompromittering, eller at informasjonen i sertifikatet ikke lenger er korrekt. Vilkår for å suspendere er de samme som for revokering, men gjennomføres som regel dersom sluttbruker ikke kan identifiseres på en sikkermåte. 1. Gjennomføring av revokering eller suspendering skjer ved at sluttbruker henvender seg til bankens kundesenter via telefon eller ved personlig oppmøte. 2. Banken sender deretter en forespørsel om revokering/suspendering via bankens RA-grensesnitt til ODS som gjennomfører transaksjonen mot riktig CA. 3. Banken mottar en kvittering på at transaksjonen er gjennomført, og kan sende melding til sluttbruker om dette. Opphevelse kan gjennomføres innen 30 dager etter suspendering og krever sikker identifisering av sluttbruker. Banken kan legge til rette for opphevelse via telefon, en elektronisk online-tjeneste eller ved personlig oppmøte Fornyelse Banklagret BankID er gyldig i to år. Deretter må den fornyes. For å gjøre det så enkelt som mulig for kunden har BankID FOI forenklet fornyelsesprosessen for sluttbruker. Fornyelse skjer etter følgende prosedyre: 1. Bankens RA sender en fornyelsesforespørsel til ODS som setter sertifikatet klar til fornyelse. 19 ( 23 )

20 2. Fornyelse skjer heretter som første gangs utstedelse (5.2.1) 3. Sluttbruker vil ved neste gangs bruk av sin BankID få beskjed om at sertifikatet er fornyet. Banken kan eventuelt velge å skjule denne meldingen for sluttbruker. 5.3 BankID på mobil Bestilling Denne beskrivelsen dekker bestilling av BankID på mobil. Mange av funksjonene nedenfor involverer både sentral og distribuert infrastruktur som er beskrevet i tidligere kapitler. En bankkunde kan bestille sin BankID på mobil fra nettbanken (dersom kunden er identifisert på forhånd gjennom et tidligere fysisk oppmøte i banken) eller ved direkte oppmøte i banken. Følgende prosedyre beskriver bestilling fra nettbank. 7. Banken bestiller BankID på mobil på vegne av bankkunden via BankID RAgrensesnittet til ODS sammen med informasjon om fødselsnummer, mobilnummer. 8. ODS mottar bestillingen og sender en forespørsel om å lage privat og offentlig nøkkel til Mobil Admin Gateway som videresender dette til riktig mobiloperatør i henhold til oppslag i NRDB. 9. Mobiloperatøren sender en systemmelding til mobiltelefonen der det lages privat og offentlig nøkkel. Sluttbrukeren velger en personlig pin-kode som skal benyttes senere ved bruk av BankID på mobil. 10. Privat nøkkel lagres i en mobiltelefonens sim-kort, mens offentlig nøkkel sendes tilbake til ODS via mobilnett, mobiloperatør og Mobil Admin Gateway som sender den videre til riktig CA sammen med en sertifikatforespørsel. 11. CA lager sertifikat basert på informasjon fra ODS og returnerer til ODS. 12. Når ODS mottar sertifikatet sendes dette til sertifikatlageret i BankID Database. Bankkunden nå sluttbruker vil få melding om at BankID er generert. 13. Sluttbruker kan benytte sin BankID på mobil Test og Aktivering Test av BankID på mobil kan gjennomføres når som helst for test og diagnose av brukerens BankID. Følgende prosedyre gjennomføres ved test: 1. BankID Verktøy gjennomfører en ordinær identifisering av sluttbrukeren og validerer sertifikatet. 2. Signeringsfunksjonen testes ved at sluttbrukeren bes om å signere testdata. 3. BankID Verktøy verifiserer gyldigheten av signaturen og validerer sluttbrukers sertifikat. 4. Alle data om testene logges og nødvendig informasjon presenteres for kunden Identifisering Her beskrives hvordan en sluttbruker gjennomfører en identifisering mot en BankID brukersted med sin BankID på mobil. Sluttbruker og brukersted identifiserer hverandre ved å sende en utfordring til den annen part som skal signeres og sendes tilbake 1. Sluttbrukeren taster inn sitt mobilnummer sammen med fødselsdato på brukerstedets nettside. 2. Applikasjonen på nettsiden sender over mobilnummer og fødselsdato til BankID på mobil sentrale servere. De Sentrale serverne lager deretter en utfordring og sender til brukerstedet. 3. brukerstedet signerer utfordringen og lager en ny utfordring 4. Brukerstedets sertifikat, signatur og utfordring sendes til BankID på mobil sentrale servere 20 ( 23 )

21 5. Sentrale servere sender brukerstedets utfordring til sluttbrukerens mobiltelefon via Mobil Gateway, mobiloperatør og mobilnett. 6. Sluttbruker taster sin pin-kode og utfordring signeres med den private nøkkelen i sim-kortet. 7. De sentrale serverne verifiserer brukerstedets signatur, gyldighet for brukerstedets sertifikat sjekkes. Signaturen som ble laget i mobiltelefonen returneres til brukerstedet. 8. Brukerstedet verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 9. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette Signering Beskrivelsen nedenfor viser hvordan en slutbruker signerer et dokument. Merk at fremstillingen er forenklet, men viser det viktigste prinsippene. 1. Sluttbruker presenteres for det som skal signeres (dokumentet) 2. Sluttbrukeren taster inn sitt mobilnummer sammen med fødselsdato på brukerstedets nettside. 3. Brukerstedet signerer dokumentet, eller en kortreferanse av dokumentet. 4. Applikasjonen på nettsiden sender over mobilnummer og fødselsdato til BankID på mobil sentrale servere sammen med dokumentet og sitt eget sertifikat og egen signatur over dokumentet. 5. Sentrale servere sender dokumentet til sluttbrukerens mobiltelefon via Mobil Gateway, mobiloperatør og mobilnett. 6. Sluttbruker taster sin pin-kode og dokumentet signeres med den private nøkkelen i sim-kortet. 7. De sentrale serverne verifiserer brukerstedets signatur, gyldighet for brukerstedets sertifikat sjekkes. Signaturen som ble laget i mobiltelefonen returneres til brukerstedet sammen med VA oppslag på brukerstedets sertifikat. 8. Brukerstedet verifiserer signaturen til sluttbruker og sender en valideringsforespørsel til BankID VA som svarer om sertifikatet er gyldig eller ikke. 9. VA kan også returnere tilleggsinformasjon som fødselsnummer eller kontonummer dersom brukersted har avtale om dette. 10. Brukerstedet lager Signert Data Objekt (SDO). Dette kan lagres av brukerstedet, sendes til arkiv eller til sluttbrukeren Revokering, Suspendering og Gjenoppretting Revokering og suspendering er begge former for tilbaketrekking (ugyldiggjøring) av et sertifikat. Forskjellen er at revokering er permanent, mens suspendering kan oppheves innen 30 dager. Deretter revokeres et suspendert sertifikat automatisk. En BankID kan revokeres eller suspenderes dersom den private nøkkelen tilhørende sertifikatet er kompromittert, dersom det er mistanke om kompromittering, eller at informasjonen i sertifikatet ikke lenger er korrekt. Vilkår for å suspendere er de samme som for revokering, men gjennomføres som regel dersom sluttbruker ikke kan identifiseres på en sikkermåte. 4. Gjennomføring av revokering eller suspendering skjer ved at sluttbruker henvender seg til bankens kundesenter via telefon eller ved personlig oppmøte. 5. Banken sender deretter en forespørsel om revokering/suspendering via bankens RA-grensesnitt til ODS som gjennomfører transaksjonen mot riktig CA. 6. Banken mottar en kvittering på at transaksjonen er gjennomført, og kan sende melding til sluttbruker om dette. 21 ( 23 )

22 Opphevelse kan gjennomføres innen 30 dager etter suspendering og krever sikker identifisering av sluttbruker. Banken kan legge til rette for opphevelse via telefon, en elektronisk online-tjeneste eller ved personlig oppmøte Fornyelse BankID på mobil er gyldig i to år. Deretter må den fornyes. For å gjøre det så enkelt som mulig for kunden har BankID FOI forenklet fornyelsesprosessen for sluttbruker. Fornyelse skjer etter følgende prosedyre: 4. Bankens RA sender en fornyelsesforespørsel til ODS som setter sertifikatet klar til fornyelse. 5. Fornyelse skjer heretter som første gangs utstedelse (5.2.1) 6. Sluttbruker vil ved neste gangs bruk av sin BankID få beskjed om at sertifikatet er fornyet. Banken kan eventuelt velge å skjule denne meldingen for sluttbruker. 5.4 Brukersted Bestilling Bestilling av BankID for et brukersted (nettsted) skjer ved henvendelse til nettstedets bankforbindelse. Integrasjon av programvaren kan enten gjøres av nettstedet selv, eller ved hjelp av en underleverandør (fortrinnsvis en BankID Partner). 1. Nettstedet må søke banken om preproduksjonssertifikat for test mot BankID preproduksjonssystem. 2. Etter en vellykket preproduksjonsfase kan brukerstedet gå i normal produksjon med produksjonssertifikat. Komplett prosedyre for brukersteder er dokumentert i BankID Server pakken (BankID Implementation Guide). Brukerstedets sertifikat kan enten ligge i programvare eller i Hardware Security Module (HSM) Test og Aktivering Brukersteder kan ikke bruke BankID Test- og aktiveringsside Identifisering Brukersteder identifiserer seg overfor BankID klient og mot Sentral infrastruktur. Dette skjer automatisk Signering Brukersted signerer meldinger til BankID klient. Dette skjer automatisk Revokering, Suspendering og Gjenoppretting Revokering og suspendering er begge former for tilbaketrekking (ugyldiggjøring) av et sertifikat. Forskjellen er at revokering er permanent, mens suspendering kan oppheves innen 30 dager. Deretter revokeres et suspendert sertifikat automatisk. En BankID kan revokeres eller suspenderes dersom den private nøkkelen tilhørende sertifikatet er kompromittert, dersom det er mistanke om kompromittering, eller at informasjonen i sertifikatet ikke lenger er korrekt. Vilkår for å suspendere er de samme som for revokering, men gjennomføres som regel dersom sluttbruker ikke kan identifiseres på en sikkermåte. 7. Gjennomføring av revokering eller suspendering skjer ved at sluttbruker henvender seg til bankens kundesenter via telefon, personlig oppmøte. 22 ( 23 )

23 8. Banken sender deretter en forespørsel om revokering/suspendering via bankens RA-grensesnitt til ODS som gjennomfører transaksjonen mot CA. 9. Banken mottar en kvittering på at transaksjonen er gjennomført, og kan sende melding til sluttbruker om dette. Opphevelse kan gjennomføres innen 30 dager etter suspendering og krever sikker identifisering av sluttbruker. Banken kan legge til rette for opphevelse via telefon, en elektronisk online-tjeneste eller ved personlig oppmøte. Versjon Detaljer Dato 1.0 Godkjent versjon til release Oppdatert versjon til release (preprod) Godkjent for hovedrelease Godkjent for hovedrelease (preprod) Godkjent for mellomrelease Godkjent for hovedrelease (preprod) Godkjent til hovedrelease (prod) ( 23 )