ИНТЕРФЕЙС ПРИЛОЖЕНИЯ ДЛЯ ЗАЩИЩЕННЫХ ЭЛЕМЕНТОВ ДЛЯ ЭЛЕКТРОННОЙ
ИДЕНТИФИКАЦИИ, АУТЕНТИФИКАЦИИ И ДОВЕРЕННЫЕ СЛУЖБЫ – ЧАСТЬ
ЧАСТЬ 2: УСЛУГИ ПОДПИСИ И ПЕЧАТИ
Дата введения__________________________
1 Область применения
В этой части указаны механизмы для SE, которые будут использоваться в качестве квалифицированных устройств создания подписей, охватывающих
Создание подписи и создание мобильной подписи
Пользовательская проверка
Аутентификация на основе пароля
Указанные механизмы подходят для других целей, таких как услуги в контексте [2].
Специфический случай уплотнения также покрывается спецификацией. Различия между печатью и подписью раскрываются в Приложении B. Приложение B также объясняет, как механизмы SE для квалифицированных устройств создания подписи могут использоваться для SE в качестве квалифицированных устройств для создания уплотнений. Мобильная подпись является альтернативой классическому случаю подписи, который выполняется защищенным элементом.
Мобильная подпись поощряется широким распространением мобильных устройств и квалификацией, санкционированной Правом eIDAS [2]. Частный случай удаленной подписи (или подписания сервера) рассматривается в этой спецификации в Приложении C.
В остальной части этого документа, кроме Приложения B, не будет особого понятия печати, поскольку оно технически сравнивается с подписью.
2 Нормативные ссылки
Следующие документы, полностью или частично, нормативно ссылаются в этом документе и являются незаменимыми для его применения. Для датированных ссылок применяется только указанное издание. Для недатированных ссылок применяется последнее издание ссылочного документа (включая любые поправки).
ISO/IEC 7816-4:2013, Идентификационные карточки - Карты интегральных схем. Часть 4. Организация, безопасность и команды для обмена
ISO/IEC 7816-8:2004, Идентификационные карточки - Карты интегральных схем. Часть 8. Команды для операций безопасности
ISO/IEC 7816-11:2004, Идентификационные карточки - Карты интегральных схем. Часть 11. Личная проверка с помощью биометрических методов
ISO/IEC 7816-15, Идентификационные карточки - Карты интегральных схем - Часть 15: Применение криптографической информации
Проект, редакция 1
ISO/IEC 9797-1:2011, Информационные технологии. Методы безопасности. Коды аутентификации сообщений (MAC). Часть 1. Механизмы с использованием блочного шифрования.
ISO 11568-2:2012, Финансовые услуги. Управление ключами (розничная торговля). Часть 2. Симметричные шифры, их ключевое управление и жизненный цикл
ISO/IEC 14888-2:2008, Информационные технологии. Методы безопасности. Цифровые подписи с приложением.
Часть 2. Целочисленные механизмы факторизации.
ISO/IEC 19794-2:2005, Информационные технологии. Форматы обмена биометрическими данными. Часть 2. Данные мелочей пальца
ISO/IEC 15946-5, Информационные технологии. Методы безопасности. Криптографические методы, основанные на эллиптических кривых. Часть 5. Генерация эллиптической кривой, 2009-12-15
BSI: «Технический отчет Создание и администрирование подписей для токена eIDAS», часть 1: Функциональная спецификация Версия 1.0 Дата: 2015/07/21
BSI/TR-03110 "Часть 2 - Протоколы для электронной идентификации, аутентификации и доверительных служб (eIDAS)", версия 2.20, 22 января 2015 г.
3 Термины и определения
Для целей настоящего документа применяются термины и определения в EN 419212-1.
4 Символы и аббревиатуры
Для целей настоящего документа применяются обозначения и аббревиатуры в EN 419212-1.
5 Подпись
5.1. Прикладной поток
На рисунке 1 показан поток выполнения для создания подписи, как это предусмотрено в [1].
___________________
Доступно по адресу https://www. bsi. bund. de/DE/Publikationen/TechnischeRichtlinien/tr03110/index_htm. html.
Рисунок 1 - Последовательности взаимодействия между SCA и QSCD в соответствии с регламентом ЕС
Соответствующая техническая реализация приведена в этом документе, и поскольку для проверки подлинности устройства и проверки пользователя с помощью ряда результирующих комбинаций определены различные механизмы, на рисунке 2 приведен пример выполнения потоков для типичных карточек подписей. Каждая карта реализует приложение подписи, и они отличаются комбинацией функций конфиденциальности и безопасности.
Карта с контактным интерфейсом, которая используется в надежной среде, может не требовать аутентификации устройства. В отличие от этого, бесконтактные карты уязвимы для скимминга и подслушивающих атак и, следовательно, требуют защиты.
Чтение SN. ICC стало бы возможным для аутентификации без защиты конфиденциальности (например, EN 419212-3, 3.9), тогда как карта адресована через контакты. Для защиты конфиденциальности (например, EN 419212-3, 3.6, EN 419212-3, 3.7) чтение SN. ICC нежелательно. Вместо этого может быть задействован механизм, основанный на пароле, который предотвращает обращение к карте, если только пароль, например. Секретный PIN-код или номер доступа к карте. Это подходит для бесконтактных карт, которые не позволяют общаться без явного действия владельца карты или подтверждения законного физического владения карточкой.
В средах с несколькими приложениями аутентификация устройства может выполняться на плате (например, уровень MF) до выбора приложения.
Независимо от того, используются ли базовые или дополнительные службы, аутентификация устройства всегда является обязательной, если среда, в которой используется устройство подписи, не является надежной. Это типично для общественной среды (например, аэропорта, товаров, POS). Только в доверенных средах (например, компания, кампус) может быть пропущена аутентификация устройства.
Пользователь может решить прервать операцию, когда ему будет предложено ввести ПИН-код / пароль во время проверки пользователя. После того, как IFD выполнит аутентификацию устройства, на экране терминала может отображаться отображаемое сообщение (Personal Assurance Message - PAM), информирующее владельца карты о том, что среда безопасна, и (он) может продолжать вводить PIN-код / пароль, поскольку среда безопасно. Более подробную информацию об этом механизме можно найти в EN 419212-3, 3.14.
Рисунок 2 - Выполнение служб подписи
На рисунке 2 показан выбор дополнительных сервисов в контексте приложения ESIGN. Для некоторых дополнительных служб может потребоваться подтверждение пользователя. Подробные условия доступа описаны в соответствующих средах безопасности.
ПРИМЕЧАНИЕ * Для бесконтактного корпуса в ненадежной среде возможны два варианта. Либо чтение файла CIA (см. 14), либо выбор приложения выполняются до аутентификации устройства в соответствии с рисунком 1 или сначала выполняется аутентификация устройства.
В PKCS № 15 учитываются меры по сохранению конфиденциальности, в которых используется EF. DIR, чтобы удовлетворить данные, минимизирующие требования к свойствам (улучшенный CIODDO, дополненный компонентом в EF. DIR, гарантирует, что IFD может получить доступ к содержимому DF. CIA только после того, как будут выполнены протоколы безопасности, то есть PACE). Это предотвращает утечку информации пользователя из файла CIA и сохранение конфиденциальности.
5.2. Надежная среда и ненадежная среда.
В соответствии с определениями в «доверенной среде» (EN 419212-1, 3.58) и «ненадежной средой» (EN 419212-1, 3.63) эта спецификация описывает дополнительные механизмы для обеспечения требуемой безопасности, как заявлено в профиле защиты [3]. Дополнительные механизмы в соответствии с этой спецификацией:
- Аутентификация устройства
- Безопасный обмен сообщениями
В следующем разделе показано, какой метод аутентификации должен использоваться для цифровых подписей в различных контекстах конфиденциальности, например, для бесконтактных карт по сравнению с карточками контактов.
Таблица 1 - Использование протоколов аутентификации в разных контекстах для защиты подписей
Цифровые подписи в соответствии с главой 7 могут быть выполнены после... | Надежная среда (частная), обеспечиваемая организационными средствами | Незащищенная среда (общественность), которая должна быть защищена криптографическими средствами |
Установлен контактный канал связи | Как и в общем случае не требуется протокол аутентификации (см. 5 «Приложение подписи») | Чип и аутентификация терминалов, см. Протоколы аутентификации устройств в соответствии с EN 419212-3, раздел 3. |
Установлен бесконтактный канал связи | Аутентификация на основе паролей (PACEv2) с обеспечением безопасного канала с помощью безопасного обмена сообщениями | 1. Аутентификация на основе пароля (PACEv2) с предоставлением безопасного канала с помощью Secure Messaging |
5.3 Выбор приложения ESIGN
5.3.1 Общие положения
Приложение ESIGN выбирается его идентификатором приложения (AID) [см. ISO / IEC 7816 5: 2004]. АID зарегистрирован органом регистрации ISO и имеет следующее значение:
A0 00 00 01 67.
Первые 10 байт AID имеют следующее значение
AID = A0 00 00 01 67 || «ESIGN» = A0 00 00 01 67 45 53 49 47 4E
с
Категория = 'A......' (международный)
PIX = 'ESIGN' = 5 байт
ПРИМЕЧАНИЕ Максимально возможный размер PIX составляет 11 байтов (см. ISO / IEC 7816 4, 12.2.3). Остальные 6 байтов могут использоваться CEN для различения различных реализаций в рамках этого стандарта.
|
Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
