e-CARINA Pravila uporabe elektroničkog potpisa

e-CARINA
Pravila uporabe elektroničkog potpisa
Verzija 1.1
Datum: 11.03.2014
Dokument: e-CARINA Pravila uporabe elektroničkog potpisa
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
Povijest promjena na dokumentu
Pregled revizija
Broj
revizije
Datum
revizije
1
0
2
11.03.2014
Stranica 2 od 13
Kratki opis promjena
Autor
Prva finalna verzija
Carinska uprava
Objava
Carinska uprava
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
Sadržaj
1.
2.
3.
Uvod
1.1
Svrha
5
1.2
Primjena
5
1.3
Ograničenja
5
1.4
Usklañenost
5
1.5
Certifikacijski servisi kvalificiranog ovjerovitelja
6
1.6
Reference, kratice i definicije
6
Osnovne informacije o pravilima uporabe potpisa
7
2.1
Izdavatelj
7
2.2
Identifikator Pravila uporabe potpisa
7
2.3
Datum izdavanja i period primjene
7
2.4
Objava Pravila uporabe potpisa
7
2.5
Arhiviranje pravila uporabe potpisa
7
Certifikati za e-CARINA uslugu
8
3.1
Priznati ovjerovitelji (davatelji usluga certificiranja – CA)
8
3.2
Opće karakteristike certifikata
8
3.3
Karakteristike profila certifikata za potpis e-CARINA G2B dokumenata
8
3.3.1
Kvalificirani certifikat
8
3.3.2
Poslovni soft certifikat (LCP)
9
3.4
4.
Karakteristike profila certifikata e-CARINA usluga
9
3.4.1
Vrsta certifikata, uporaba certifikata i privatnog ključa te postavke proširenja (ekstenzije)9
3.4.2
Ovjerovitelj, subjekt i certifikat (naziv i CP OID)
9
Uvjeti korištenja certifikata i elektroničkog potpisa u e-CARINA uslugama
10
4.1
10
Ovlaštena osoba
4.1.1
Prihvaćanje obveza korištenja
10
4.1.2
Elektronički potpis
10
4.1.3
Atributi elektroničkog potpisa
10
4.1.4
Validacija elektroničkog potpisa i ovjera potpisom e-CARINA usluge
10
4.2
5.
5
e-CARINA usluga
11
4.2.1
Prihvaćanje obveza korištenja
11
4.2.2
Elektronički potpis
11
4.2.3
Atributi elektroničkog potpisa
11
4.2.4
Validacija elektroničkog potpisa
11
e-CARINA G2B dokumenti
12
5.1
12
Procesi na strani ovlaštene osobe (korisnička strana)
5.1.1
Kreiranje
12
5.1.2
Potpisivanje
12
5.1.3
Dostava u red čekanja verifikacije
12
5.1.4
Verifikacija valjanosti potpisa
12
Povjerljivo
Stranica 3 od 13
e-CARINA Pravila uporabe elektroničkog potpisa
5.1.5
Izrada potvrde o primitku
12
5.1.6
Preuzimanje podataka
13
5.2
Procesi na strani usluge e-CARINA
13
5.2.1
Kreiranje
13
5.2.2
Potpisivanje
13
5.2.3
Preuzimanje dokumenta
13
Stranica 4 od 13
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
e-CARINA Pravila uporabe elektroničkog potpisa
1. Uvod
1.1 Svrha
Svrha dokumenta ''e-CARINA Pravila uporabe elektroničkog potpisa'' (u daljnjem tekstu: Pravila
uporabe potpisa) je odreñivanje skupa pravila kojim se utvrñuju tehnički, tehnološki i proceduralni
zahtjevi izrade i verificiranja elektroničkih potpisa za sve sudionike usluge e-CARINA.
1.2 Primjena
Pravila uporabe potpisa primjenjuje se na e-CARINA uslugu, i navodi uloge i obveze sudionika:
1. Gospodarskog subjekta, registriranog korisnika e-CARINA usluge (gospodarstvenika)
2. Državnog dužnosnika ili zaposlenika u tijelima državne uprave, registriranog korisnika e-CARINA
usluge (TDU) i
3. Carinske uprave (CU).
1.3 Ograničenja
e-CARINA uslugu mogu koristiti samo njeni registrirani korisnici.
1.4 Usklañenost
Ova Pravila uporabe potpisa usklañena su sa važećim zakonima, podzakonskim aktima, standardima i
preporukama:
[1] Zakon o elektroničkoj ispravi (NN 150/05),
[2] Zakon o elektroničkom potpisu (NN 10/02, NN 80/08),
[3] Pravilnik o izradi elektroničkog potpisa, uporabi sredstva za izradu elektroničkog potpisa, općim
i posebnim uvjetima poslovanja za davatelje usluga izdavanja vremenskog žiga i certifikata (NN
107/10, 89/13),
[4] Pravila uporabe sustava elektroničke razmjene podataka i pružanja usluga elektroničkog
poslovanja Ministarstva financija, Carinske uprave (e-CARINA) (www.carina.hr),
[5] Carinski zakonik Zajednice - Uredba Vijeća 2913/92 (SL L 302, 19.10.1992.) (www.carina.hr),
[6] Uredba za provedbu Carinskog zakonika Zajednice – Uredba Komisije (EEZ) br. 2454/93 (SL L
253, 11.10.1993.) (www.carina.hr),
[7] Naputak 05/13 za provedbu provoznog postupka Zajednice i zajedničkog provoznog postupka
(www.carina.hr),
[8] Tehnička specifikacija G2B servisa v.1.4 (www.carina.hr),
[9] XML usavršeni elektronički potpisi (XadES) –HRS ETSI/TS 101 903 v.1.4.1 (ETSI TS 101 903
v1.4.1),
[10]
Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL)
Profile (RFC 3280),
[11]
Zakon o službenoj statistici (NN 103/03, 75/09 i 59/12)
[12]
Program statističkih aktivnosti Republike Hrvatske 2013. – 2017. (NN 69/13)
Povjerljivo
Stranica 5 od 13
e-CARINA Pravila uporabe elektroničkog potpisa
1.5 Certifikacijski servisi kvalificiranog ovjerovitelja
Popis kvalificiranih ovjerovitelja nalazi se na http://mingorp.fina.hr.
1.6 Reference, kratice i definicije
Definicije koje se odnose na ova Pravila uporabe potpisa za e-CARINA uslugu opisane su u tablici kako
slijedi:
Definicija
Opis
Atributi potpisa
Informacije ugrañene u elektronički potpis.
ID pravila uporabe
potpisa
Identifikacijska oznaka dokumenta Pravila uporabe potpisa
koja
nedvojbeno
identificira
izdavatelja
i
verziju
dokumenta.
G2B dokument
Format XML obrasca razvijen za potrebe usluge e-CARINA.
Obrazac sadrži poslovnu poruku, metapodatke i elektronički
potpis,
a
predmet
je
razmjene
izmeñu
Carine
i
gospodarstvenika.
Ovlaštena osoba
Osoba ovlaštena za
potpisanih podataka.
PDF
Portable Document Format je format elektroničkog obrasca
kojeg je razvila tvrtka Adobe Systems.
Pravila uporabe
elektroničkog potpisa
Skup pravila kojim se odreñuju tehnički i proceduralni zahtjevi
izrade i verificiranja elektroničkog potpisa, a po kojima se
može odrediti valjanost potpisa.
Prihvaćanje obveza
Potpisnikov odabir i prihvaćanje uporabe obrasca, certifikata i
elektroničkog potpisa u pravnom prometu.
Primatelj
Primatelj je fizička ili pravna osoba zainteresirana za validaciju
elektroničkog potpisa prije procesiranja transakcije.
Validacijski podaci
Dodatni podaci, koje je prikupio potpisnik ili primatelj, a koji
su potrebni za verificiranje elektroničkog potpisa u svrhu
zadovoljenja uvjeta procesa verificiranja potpisa. Validacijski
podaci mogu biti certifikati, informacije o opozivu, vremenski
žig ili druge vremenske oznake.
Verificiranje potpisa
Proces koji provodi primatelj nakon zaprimanja elektronički
potpisanog dokumenta da bi ustanovio valjanost elektroničkog
potpisa i njegovu usklañenost s važećim pravilima uporabe
potpisa.
Stranica 6 od 13
potpisivanje
i
slanje
elektronički
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
2. Osnovne informacije o pravilima uporabe potpisa
2.1 Izdavatelj
•
Naziv: Carinska uprava RH
•
Sjedište: Republika Hrvatska, 10 000 Zagreb, Aleksandera von Humboldta 4
2.2 Identifikator Pravila uporabe potpisa
Identifikator (ID) ovih Pravila uporabe potpisa je:
„http://www.carina.hr/e-carina/pravila_uporabe_el_potpisa_v1_1.pdf“
2.3 Datum izdavanja i period primjene
Datum izdavanja:
11.03.2014.
Vrijedi od (valid from) / vrijedi ne prije (valid not before):
11.03.2014.
Vrijedi do: Pravila uporabe potpisa vrijede do trenutka objave (izdavanja) nove verzije dokumenta.
2.4 Objava Pravila uporabe potpisa
Izdavatelj objavljuje ovu (ili noviju verziju) Pravila uporabe potpisa u obliku PDF dokumenta na Internet
adresi „http://www.carina.hr/e-carina/pravila_uporabe_el_potpisa_v1_1.pdf“ kako bi bila dostupna
svim stranama koje sudjeluju u postupcima potpisivanja i verificiranja potpisa.
2.5 Arhiviranje pravila uporabe potpisa
Nakon isteka važenja Pravila uporabe potpisa bit će arhivirana i dostupna.
Povjerljivo
Stranica 7 od 13
e-CARINA Pravila uporabe elektroničkog potpisa
3. Certifikati za e-CARINA uslugu
3.1 Priznati ovjerovitelji (davatelji usluga certificiranja – CA)
Ova Pravila uporabe potpisa podržavaju certifikate izdanih od sljedećih kvalificiranih ovjerovitelja (vidi
točku 1.5.):
1. FINA RDC, DN: ou=RDC, o=FINA, c=HR
2. FINA RDC-TDU, DN: ou=RDC-TDU, o=FINA, c=HR.
3.2 Opće karakteristike certifikata
1. Obrazac X.509 v.3
2. Kriptografski algoritam za izradu elektroničkog potpisa i duljina potpisnog (privatnog) ključa
potpisnika (krajnjeg korisnika): SHA-1 sa RSA, ključ duljine 1024 bita
3. Kriptografski algoritam i duljina potpisnog ključa ovjerovitelja za potpis certifikata: SHA-1 sa
RSA, ključ duljine 2048 bita
3.3 Karakteristike profila certifikata za potpis e-CARINA G2B
dokumenata
3.3.1
Kvalificirani certifikat
3.3.1.1 Vrsta certifikata, uporaba certifikata i privatnog ključa te postavke proširenja
(ekstenzije)
1. Vrsta certifikata: kvalificirani certifikat
2. Uporaba certifikata i privatnog ključa prema Zakonu o elektroničkom potpisu: napredni
elektronički potpis.
3. Proširenje (ekstenzija) Key-Usage je postavljena na "kritično" s vrijednošću postavljenom na
Non-Repudiation.
3.3.1.2 Ovjerovitelj, subjekti i certifikati (naziv i CP OID)
3.3.1.2.1 Ovjerovitelj: FINA, sustav certificiranja FINA RDC
Subjekt: Poslovni subjekt – ovlaštena osoba poslovnog subjekta
-
Poslovni potpisni certifikat srednje razine sigurnosti
-
CP OID: 1.3.124.1104.5.11.2.2.2
3.3.1.2.2 Ovjerovitelj: FINA, sustav certificiranja FINA RDC-TDU
Subjekt: Poslovni subjekt – zaposlenik u tijelu državne uprave
Stranica 8 od 13
-
Potpisni certifikat srednje razine sigurnosti
-
CP OID: 1.3.124.1104.5.21.2.2.2
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
3.3.2 Poslovni soft certifikat (LCP)
3.3.2.1 Vrsta certifikata, uporaba certifikata i privatnog ključa te postavke proširenja
(ekstenzije)
1. Vrsta certifikata: poslovni soft certifikat
2. Uporaba certifikata i privatnog ključa prema Zakonu o elektroničkom potpisu: elektronički
potpis.
3. Proširenje (ekstenzija) Key-Usage je postavljena na "kritično" s vrijednošću postavljenom na
Non-Repudiation.
3.3.2.2 Ovjerovitelj: FINA, sustav certificiranja FINA RDC
Subjekt: Poslovni subjekt – ovlaštena osoba poslovnog subjekta
-
Poslovni soft certifikat srednje razine sigurnosti
-
CP OID: 1.3.124.1104.5.11.2.5.1
3.4 Karakteristike profila certifikata e-CARINA usluga
3.4.1
Vrsta certifikata, uporaba certifikata i privatnog ključa te postavke proširenja
(ekstenzije)
1. Vrsta certifikata: normalizirani certifikat
2. Uporaba certifikata i privatnog ključa prema Zakonu o elektroničkom potpisu: elektronički
potpis.
3. Proširenje (ekstenzija) Key-Usage je postavljena na "nije kritično" s vrijednošću postavljenu na
Digital Signature&Key Encipherment.
3.4.2
Ovjerovitelj, subjekt i certifikat (naziv i CP OID)
3.4.2.1 Ovjerovitelj: FINA, sustav certificiranja FINA RDC
1. Subjekt: Poslovni subjekt
Povjerljivo
-
Poslovni certifikat za aplikaciju srednje razine sigurnosti
-
CP OID: 1.3.124.1104.5.11.5.4.2
Stranica 9 od 13
e-CARINA Pravila uporabe elektroničkog potpisa
4. Uvjeti korištenja certifikata i elektroničkog potpisa u eCARINA uslugama
4.1 Ovlaštena osoba
4.1.1 Prihvaćanje obveza korištenja
Ovlaštena osoba za potpis dokumenata prihvaća obveze korištenja certifikata i elektroničkog potpisa i
izjavljuje:
1. da će certifikat i elektronički potpis u e-CARINA uslugama koristiti prema ovim Pravilima
uporabe potpisa,
2. da je suglasna s ovom verzijom Pravila uporabe potpisa,
3. da prihvaća obveze potpisivanja e-CARINA G2B dokumenata,
4. da je ovlaštena za potpisivanje i slanje e-CARINA G2B dokumenata i
5. da je prije potpisivanja vidjela, razumjela i kontrolirala sadržaj e-CARINA G2B dokumenata.
4.1.2 Elektronički potpis
Ovlaštena osoba potpisuje e-CARINA G2B dokumente elektroničkim potpisom (certifikati opisani u točci
3.3).
4.1.3 Atributi elektroničkog potpisa
U elektronički potpis ovlaštene osobe ugrañuju se sljedeći atributi:
1. Certifikat potpisnika,
2. ID ovih Pravila uporabe potpisa - Hash prezentacija ovih Pravila uporabe potpisa
3. Podatak o vremenu potpisivanja i
4. Podatak o mjestu potpisivanja.
4.1.4 Validacija elektroničkog potpisa i ovjera potpisom e-CARINA usluge
Postupak validacije potpisa ovlaštene osobe obuhvaća sljedeće korake:
1. Provjera valjanosti certifikata
-
provjera OID-a pravila certificiranja (Policy Identifier)
-
provjera integriteta certifikata, certifikacijskog lanca i vremenskog perioda važenja
certifikata
-
provjera statusa certifikata (opoziv ili suspenzija) izravnim (on-line) upitom za dohvat
CRL (lista opozvanih certifikata – Certificate Revocation List).
2. Provjera ostalih atributa koji će se ugraditi u potpis
-
provjera usklañenosti ID-a pravila uporabe potpisa s ID-om ovih Pravila uporabe potpisa
-
Provjera usklañenosti s hash prezentacijom ovih Pravila uporabe potpisa
-
Provjera vremena potpisivanja (vrijeme potpisivanja ne smije biti novije od vremena
provjere potpisa)
3. Provjera registracije korisnika e-CARINA usluga
-
Provjera registracije TDU
-
Provjera registracije ovlaštene osobe
Stranica 10 od 13
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
U slučaju uspješnosti svih navedenih koraka validacije potpis ovlaštene osobe se smatra uspješno
validiranim te se potpisani podaci smatraju vjerodostojnim. e-CARINA usluga će uspješno validirane
podatke ovjeriti svojim elektroničkim potpisom koji ujedno predstavlja i potvrdu o primitku (postupak
izrade potvrde o primitku je opisan u točci 5.1.5.)
4.2 e-CARINA usluga
4.2.1 Prihvaćanje obveza korištenja
Carinska uprava kao vlasnik e-CARINA usluga prihvaća obveze korištenja certifikata i elektroničkog
potpisa i izjavljuje:
1. da će certifikat i elektronički potpis koristiti prema ovoj verziji Pravila uporabe potpisa,
2. da je suglasna s ovim Pravilima uporabe potpisa,
3. da prihvaća obveze potpisivanja putem usluge e-CARINA i
4. Da je ovlaštena za verifikaciju potpisa ovlaštene osobe na e-CARINA G2B dokumentima i
obradu podataka sa e-CARINA G2B dokumenata.
4.2.2 Elektronički potpis
e-CARINA usluga u elektroničkim komunikacijama koristi elektronički potpis (certifikate opisane u točci
3.4). Elektronički potpis usluge e-CARINA osigurava istu kvalitetu usluge u pravnom prometu kao i
napredni elektronički potpis.
4.2.3 Atributi elektroničkog potpisa
U elektronički potpis e-CARINA usluge ugrañuju se sljedeći atributi:
1. Certifikat usluge,
2. ID ovih Pravila uporabe potpisa - Hash prezentacija ovih Pravila uporabe potpisa, i
3. Podatak o vremenu potpisivanja.
4.2.4 Validacija elektroničkog potpisa
Postupak validacije potpisa e-CARINA usluge obuhvaća sljedeće korake:
1. Provjera valjanosti certifikata
-
Provjera OID-a pravila certificiranja (Policy Identifier)
-
Provjera integriteta certifikata, certifikacijskog lanca i vremenskog perioda važenja
certifikata
-
Provjera statusa certifikata (opoziv ili suspenzija) upitom u CRL
2. Provjera ostalih atributa koji će se ugraditi u potpis
-
Provjera usklañenosti ID-a pravila uporabe potpisa s ID-om ovih Pravila uporabe potpisa
-
Provjera usklañenosti s hash prezentacijom ovih Pravila uporabe potpisa.
U slučaju uspješnosti svih navedenih koraka validacije elektroničkog potpisa usluge e-CARINA, potpis
usluge e-CARINA se smatra uspješno validiranim te se potpisani podaci smatraju vjerodostojnim.
Povjerljivo
Stranica 11 od 13
e-CARINA Pravila uporabe elektroničkog potpisa
5. e-CARINA G2B dokumenti
5.1 Procesi na strani ovlaštene osobe (korisnička strana)
U sustavu elektroničkog poslovanja usluge e-CARINA od strane ovlaštene osobe (korisnička strana)
definirani su procesi:
1. Kreiranje e-carina G2B dokumenata,
2. Potpisivanje,
3. Dostava u red čekanja verifikacije usluge e-CARINA
5.1.1 Kreiranje
Struktura i sadržaj e-CARINA G2B dokumenata definirani su pod [6] i [7] .
5.1.2 Potpisivanje
Ovlaštena osoba elektroničkim potpisom potpisuje podatke e-CARINA G2B dokumenata.
Postupak validacije potpisa ovlaštene osobe opisan je u točci 4.1.4.
5.1.3 Dostava u red čekanja verifikacije
Potpisani podaci e-CARINA G2B dokumenta se putem zaštićenih elektroničkih kanala komuniciranja
dostavljaju u red čekanja verifikacije G2B dokumenta usluge e-CARINA.
5.1.4 Verifikacija valjanosti potpisa
Obradu reda čekanja verifikacije G2B dokumenata obavlja aplikacija usluge e-CARINA koja obuhvaća
sljedeće korake:
1. Provjeru valjanosti certifikata potpisnika i ovlasti potpisnika u skladu s podacima
prikupljenim u postupku registracije potpisnika/korisnika usluge e-CARINA
2. Provjeru integriteta potpisanih podataka, odnosno, da podaci nisu mijenjani nakon potpisa
ovlaštene osobe.
Ako su ispunjeni uvjeti procesa verifikacije potpisa i podataka, usluga e-CARINA počinje s procesom
izrade potvrde o primitku i uvrštavanje G2B dokumenta u red čekanja obrade podataka.
Ako nisu ispunjeni uvjeti verifikacije potpisa i integriteta podataka G2B dokumenta, usluga e-CARINA
inicira proces izrade informacije o grešci valjanosti potpisa i/ili integriteta podataka G2B dokumenta i
brisanje G2B dokumenta iz reda čekanja verifikacije.
5.1.5 Izrada potvrde o primitku1
Potvrda o primitku je elektronički potpis usluge e-CARINA na G2B dokumentu.
Elektronički potpis e-CARINA usluge, aplikacija e-CARINA usluge pridružuje potpisu ovlaštene osobe.
Uz potpis ovlaštene osobe dodaje se potpis e-CARINA usluge koji sadrži sljedeće komponente:
1. referencu na potpis ovlaštene osobe,
2. potpis e-CARINA usluge s vremenom zaprimanja dokumenta i dodijeljenim jedinstvenim
identifikatorom.
G2B dokument koji potpisuje ovlaštena osoba je vjerodostojan samo ako isti sadrži potvrdu o primitku
e-CARINA usluge. Procesi validacije potpisa koji predstavlja potvrdu o primitku opisani su u točci 4.2.4.
stavka 1.
1
Sukladno čl.18. st 3. Zakona o elektroničkoj ispravi dokument se smatra zaprimljenim u trenutku slanja potvrde o
primitku.
Stranica 12 od 13
Povjerljivo
e-CARINA Pravila uporabe elektroničkog potpisa
5.1.6 Preuzimanje podataka
Potpisane podatke ovlaštena osoba može preuzeti preko usluge e-CARINA.
5.2 Procesi na strani usluge e-CARINA
U sustavu elektroničkog poslovanja usluge e-CARINA definirani su procesi:
1. Kreiranje G2B dokumenata,
2.
Potpisivanje
5.2.1 Kreiranje
Struktura, sadržaj i postupci izrade (kreiranja) e-CARINA G2B dokumenata definirani su pod [6] i [7].
5.2.2 Potpisivanje
Aplikacija usluge e-CARINA elektroničkim potpisom potpisuje G2B dokumente.
Postupak validacije potpisa e-CARINA usluge opisan je u točci 4.2.4.
5.2.3 Preuzimanje dokumenta
Potpisane podatke ovlaštena osoba može preuzeti preko e-CARINA usluge.
Povjerljivo
Stranica 13 od 13