Rapport Digitale handtekeningen bij de Nederlandse overheid

Het rapport Digitale handtekeningen bij de Nederlandse overheid (de afstudeerscriptie van Arnoud Engelfriet) is het resultaat van een onderzoek naar de mogelijkheden, eisen en randvoorwaarden voor het opzetten van een public-key infrastructuur (PKI) ten behoeve van het leveren van integriteitsdiensten bij de Nederlandse overheid. Het onderzoek werd uitgevoerd bij het Nationaal Bureau voor Verbindingsbeveiliging (thans onderdeel van de AIVD). Deel van het rapport is dan ook de rol die het NBV daarbij kan vervullen.

Integriteitsdiensten

Hoofdstuk 2 legt uit wat integriteitsdiensten zijn en waarom daarbij een public key infrastructuur (PKI) nodig is. Tevens bespreekt het de mogelijke rollen die een vertrouwde derde daarbij heeft.

De integriteitsdiensten gebruikers-authenticatie (het bepalen van de afzender van een bericht) en data-integriteit (het bepalen of een bericht gewijzigd) is worden geleverd door gebruik te maken van digitale handtekeningen. Met behulp van een geheime sleutel voegt de zender een code toe aan het bericht die uniek is voor het bericht en voor hemzelf. De ontvanger kan met behulp van de publieke sleutel van de zender nagaan of de code (de handtekening) correct is en daarmee of het bericht echt en ongewijzigd is. De dienst onloochenbaarheid (het onomstotelijk bewijzen dat iemand een bericht heeft verstuurd) wordt geleverd door elke gebruiker een contract te laten tekenen waarin hij alle digitale handtekeningen die hij zet, als rechtsgeldig beschouwt totdat hij het certificaat in laat trekken.

Opbouw van de PKI

In hoofdstuk 3 staat beschreven hoe binnen een organisatie als de Nederlandse overheid één algemene PKI opgezet kan worden. Het bespreekt de verschillende onderdelen van de PKI, geeft aan hoe deze onderling samenwerken en hoe het vertrouwen in de verschillende onderdelen verkregen kan worden.

Publieke sleutels worden aan identiteiten gebonden door middel van certificaten, uitgegeven door Certificerende Autoriteiten (CA's). De organisatiestructuur waarin de CA's samenwerken is langs hiërarchische weg opgezet. Aan het hoofd staat de top-level CA die als centraal aanspreekpunt fungeert, het algemeen reglement beheert en toezicht houdt op de Policy CA's direct onder hem. Deze houden weer toezicht op de CA's in hun domein. CA's werken samen met Registrerende Autoriteiten (RA's), die de feitelijke registratie en identificatie van gebruikers verrichten. Certificaten kunnen worden gepubliceerd in een directory (databank), zodat ze gemakkelijk opvraagbaar zijn.

Het gebruik van de PKI

Vervolgens beschrijft hoofdstuk 4 hoe deze PKI gebruikt gaat worden. Belangrijkste onderdelen zijn het aanvragen van een certificaat en de taken van de CA bij het verwerken van een digitale handtekening. Ook de betrouwbaarheid van de uitgevende CA's is van belang. Toezicht door een externe instantie, naast het interne toezicht door de top-level CA en de Policy CA's, is hiervoor zeer gewenst. Aansluiting van de overheids-PKI bij een nationale TTP-infrastructuur is dus aan te bevelen. Dit kan het beste gebeuren door de top-level CA zitting te laten nemen in de TTP-kamer, die toezicht moet gaan houden op alle TTP's en CA's in Nederland.

Het gebruik van certificaten in de PKI

Hoofdstuk 5 gaat dieper in op de inhoud en het gebruik van certificaten. Allereerst wordt hier besproken welke informatie er in een certificaat nodig is. Vervolgens worden op basis van een aantal factoren vijf algemene klassen voor certificaten gedefinieerd. Elk van deze klassen biedt een bepaalde hoeveelheid zekerheid omtrent de identiteit van de eigenaar er van. Ook wordt in dit hoofdstuk aangegeven hoe de overheids-PKI samen kan werken met andere public-key infrastructuren, zoals de NAVO PKI.

Hoofdstuk vijf onderscheidt vijf factoren die essentieel zijn voor de betrouwbaarheid van een certificaat. Allereerst is er de eigenaar van het certificaat (een persoon, een rol of functie in een organisatie, of een geautomatiseerde toepassing). De tweede factor is de manier waarop de eigenaar wordt geïdentificeerd. Ook de kwaliteitseisen aan de gebruikte sleutels en de manier waarop ze worden opgeslagen zijn van belang. En als laatste is essentieel wie de geheime sleutels genereert (de eigenaar zelf, zijn organisatie of een externe derde).

Op basis van deze vijf factoren definieert dit rapport vijf algemene klassen, met elk een eigen betrouwbaarheid. Bij elke klasse hoort een policy die precies vastlegt hoe de identificatie, authenticatie, beveiliging en andere aspecten geregeld moeten worden in deze klasse. Door policies op te stellen volgens een standaard raamwerk, zijn ze eenvoudig te vergelijken.

De keuze voor de ISO X. 509 standaard is een voorwaarde om uitwisseling binnen en buiten de overheids-PKI mogelijk te maken. Ook de betrouwbaarheid van een certificaat moet bekend zijn om adequate informatie-uitwisseling mogelijk te maken. De betrouwbaarheid van de algemene klassen is in de hele PKI bekend, waardoor uitwisseling hiervan altijd mogelijk is. De betrouwbaarheid van andere klassen wordt vastgelegd door ze te koppelen aan algemene of eigen klassen met een bekende betrouwbaarheid. Het is zo ook mogelijk om certificaten uit te wisselen met een andere PKI. De top-level CA is de meest geschikte instantie om met de andere PKI te overleggen over de te maken koppeling. Hij koppelt dan algemene klassen, zodat de hele overheids-PKI certificaten kan uitwisselen met de andere PKI. Daarnaast kunnen onder bepaalde omstandigheden ook individuele Policy CA's hun klassen koppelen met klassen uit de andere PKI. Dit dient dan wel in overleg met de top-level CA te gebeuren.

Juridische aspecten van de PKI

De juridische aspecten van deze PKI komen aan bod in hoofdstuk 6. Dit hoofdstuk bespreekt de rechtsgeldigheid van digitale handtekeningen, de aansprakelijkheid van de CA in geval van conflicten en de privacy-aspecten van het publiceren van certificaten.

Certificaten die een persoonlijke identiteit bevatten, zijn persoonsgegevens in de zin van de Wet Persoonsregistratie. Voor een directory die dergelijke certificaten bevat, geldt dan een aantal eisen ter bescherming van deze gegevens.

Conclusies en aanbevelingen

Tenslotte worden in hoofdstuk 7 de conclusies en aanbevelingen gepresenteerd.

Download het rapport

Download het rapport (in PDF-formaat) op de website van Arnoud Engelfriet.