Sähköinen allekirjoitus ja varmenteet

Esitys aiheesta: "Sähköinen allekirjoitus ja varmenteet"— Esityksen transkriptio:

1 Sähköinen allekirjoitus ja varmenteet
Kristina Forsström Antti Ivanoff Matti Nousiainen Ilona Vallenius Tietoturvallisuuden johtaminen ja suunnittelu

2 Sähköinen allekirjoitus ja varmenteet
Määritelmät Prosessin kuvaus Juridiset näkökulmat Varmenteen tarjoajat Nykytilanteen kuvaus Tietoturvallisuuden johtaminen ja suunnittelu

3 Sähköinen allekirjoitus
Tiedon yhteydessä esitetty, siihen liitetty tai siihen loogisesti liittyvä digitaalisessa muodossa oleva allekirjoitus. Sähköisellä allekirjoituksella osoitetaan hyväksyttävän tieto, joka : viittaa yksinomaan allekirjoittajaan (alkuperäisyys) yksilöi allekirjoittajan (kiistämättömyys) luotu menetelmällä, jota allekirjoittaja voi täysin valvoa liitetty kohteena olevaan tietoon siten, että tiedon myöhempi muuttuminen ilmenee (eheys). Lähde: Helsingin yliopisto Tietoturvallisuuden johtaminen ja suunnittelu

4 2920450 Tietoturvallisuuden johtaminen ja suunnittelu
Varmenteet Sähköinen sertifikaatti, joka osoittaa kenelle sertifikaatissa oleva julkinen avain kuuluu. Antaa uskottavuutta ja luotettavuutta sähköiselle allekirjoitukselle. ”Julkisen avaimen järjestelmää käyttävän palveluverkon toimijan kuten asiakkaan tai palveluntuottajan julkisesta avaimesta ja tunnistetiedoista muodostettu tietokokonaisuus, jonka luotettu ulkopuolinen taho on muodostanut ja allekirjoittanut yksityisellä avaimellaan. Varmenteen aitous on todennettavissa avaamalla se varmentajan julkisella avaimella.” (Valtionvarainministeriö, 2001) Julkisen avaimen järjestelmää käyttävän palveluverkon toimijan kuten asiakkaan tai palveluntuottajan julkisesta avaimesta ja tunnistetiedoista muodostettu tietokokonaisuus, jonka luotettu ulkopuolinen taho on muodostanut ja allekirjoittanut yksityisellä avaimellaan. Varmenteen aitous on todennettavissa avaamalla se varmentajan julkisella avaimella. Lähteet: Valtiovarainministeriö Helsingin yliopisto Tietoturvallisuuden johtaminen ja suunnittelu

5 Varmenteen käyttötarkoitus
Henkilövarmenne: käytetään henkilön tunnistamiseen, digitaaliseen allekirjoitukseenja viestin salakirjoittamiseen Roolivarmenne: käytetään todisteena mm. organisaatioon tai organisaatioyksikköön kuulumisesta tai tietyistä käyttövaltuuksista Palvelinvarmenne: käytetään todistamaan, että palveluntuottaja on se, joka hän väittää olevansa Sähköpostivarmenne: sähköpostin turvallista käyttöä varten. Lähde: Valtiovarainministeriö Tietoturvallisuuden johtaminen ja suunnittelu

6 Sähköinen henkilökortti
Tietoturvallisuuden johtaminen ja suunnittelu

7 VRK:n varmenteen sisältö:
varmentajan nimi varmenteen haltijan nimi haltijan sähköinen asiointitunnus varmenteen voimassaoloaika tieto haltijan julkisen avaimen luomisessa ja varmenteen allekirjoituksessa käytetyistä laskumenetelmistä varmentajan maatunnus varmenteen käyttötarkoitus tieto noudatettavasta varmennepolitiikasta Lähde: Valtiovarainministeriö Tietoturvallisuuden johtaminen ja suunnittelu

8 2920450 Tietoturvallisuuden johtaminen ja suunnittelu
Prosessimalli Lähde: NovoGroup Tietoturvallisuuden johtaminen ja suunnittelu

9 Sähköisen allekirjoituksen prosessi
perustuu julkisen avaimen kryptografiaan muodostetaan laskemalla välitettävästä aineistosta matemaattisella laskentasäännöllä, eli hajautusfunktiolla (kutsutaan myös tiivistefunktioksi), tiiviste ja salaamalla tiiviste lähettäjän salaisella avaimella. Salattu tiiviste toimii sähköisenä allekirjoituksena ja se liitetään välitettävän aineiston mukaan. Vastaanottaja purkaa tiivisteen salauksen lähettäjän julkista avainta käyttäen. Vastaanottaja laskee vastaanottamastaan aineistosta tiivisteen käyttäen samaa hajautusfunktiota kuin lähettäjä, ja vertaa näin saamiaan kahta tiivistettä, julkisella avaimella purettua ja aineistosta laskettua, toisiinsa. . Mikäli ne ovat samat, voi vastaanottaja olla varma, että aineisto on lähettäjän muodostama, eikä se ole siirron aikana muuttunut. Valtiovarainministeriö, Liikenneministeriö, Sisäasiainministeriö Tietoturvallisuuden johtaminen ja suunnittelu

10 2920450 Tietoturvallisuuden johtaminen ja suunnittelu
MINTC Tietoturvallisuuden johtaminen ja suunnittelu

11 Juridiikka, EU direktiivi tammikuu 2001
Sähköinen allekirjoitus on laillisesti sitova Voidaan rinnastaa käsintehtyyn allekirjoitukseen – on oikeudenkäynneissä yhtä todistusvoimainen Varmennepalveluita tarjoavien yritysten valvonta tapahtuu varmennepalveluyritysten kotimaassa Ei määritetä millaisella tekniikalla sähköiset allekirjoitukset on toteutettava Sallii yksityisten allekirjoitusjärjestelmien olemassaolon Varmenteen tarjoajan vastuu Sähköallekirjoitus-direktiivi, jonka tarkoituksena on helpottaa sähköisten allekirjoitusten käyttöä ja edistää osaltaan niiden oikeudellista tunnustamista. Sillä vahvistetaan oikeudelliset puitteet sähköisille allekirjoituksille ja tietyille varmennepalveluille sisämarkkinoiden moitteettoman toiminnan varmistamiseksi. Se ei koske sopimusten tekemiseen ja pätevyyteen liittyviä kysymyksiä eikä muita oikeudellisia velvoitteita, joihin liittyy kansallisessa lainsäädännössä tai yhteisön oikeudessa säädettyjä muotovaatimuksia eikä se vaikuta asiakirjojen käyttöä koskeviin kansallisen tai yhteisön oikeuden sääntöihin ja rajoituksiin. EU:n direktiivi: edistää sähköisen allekirjoitusten käyttöä ja oikeudellista tunnustamista Tietoturvallisuuden johtaminen ja suunnittelu

12 Varmenteen tarjoajat Suomessa
Väestörekisterikeskus SmartTrust NovoGroup (NovoTrust Oy) Radiolinja Certall Osuuspankki Kolumbus Tietoturvallisuuden johtaminen ja suunnittelu

13 Varmenteita hyödyntäviä palveluita
Posti – Muuttoilmoitus ja Asiointiautomaatti Osuuspankki – Kultaraha Tuusula – Päivähoitohakemus Työministeriö – Työnhakijan esittely Suomen Akatemia Maatalouden laskentakeskus – Nautaeläinrekisteri Opetushallitus - Yhteishaku Oikeusministeriö – Äänestäjän tietopalvelun varmenteet STM, Satakunnan sairaanhoitopiiri, paikalliset terveysviranomaiset HSTYA - Henkilön sähköinen tunnistaminen yliopistoissa ja ammattikorkeakouluissa Kela – Opintotukipalvelun itsepalvelukyselyt Julkisen hallinnon yhteispalvelun asiakaspalvelupäätteet MINTC Tietoturvallisuuden johtaminen ja suunnittelu

14 Sähköinen allekirjoitus, varmenteet, nykytilanne …
HST-kortin suosio on kasvamassa (9500kpl toukokuu 2001) Kansallinen lainsäädäntö on keskeneräistä Yksityiskäyttäjiä ja palveluita hyvin vähän Yritykset eivät vielä hyödynnä Verkkopalveluhankkeita käynnissä 139 (toukokuu 2001) Palveluiden ja käyttäjien määrän uskotaan kasvavan Tietoturvallisuuden johtaminen ja suunnittelu

15 2920450 Tietoturvallisuuden johtaminen ja suunnittelu