©2010 Hewlett-Packard Development Company, L.P. The information contained herein is subject to change without notice

1

Speaker Name – TitleDate

Elektronikus iratok hitelességi kérdései

HISC reggeli2011-04-21

2 Footer Goes Here2

Mikor hiteles egy elektronikus dokumentum?

SÉRTETLENSÉG IGAZOLHATÓSÁGA

A dokumentumról egyértelműen eldönthető, hogy

a létrehozás óta megváltoztatták-e a tartalmát.

A megváltoztatás lehet beszúrás, törlés vagy

helyettesítés.

EREDET IGAZOLHATÓSÁGA

Hitelesség : A dokumentum egyértelműen hozzáköthető egy személyhez vagy szervezethez, amely létrehozta.

Letagadhatatlanság : A létrehozó utólag nem tudja letagadni a dokumentum létrehozását.

Mindezt akár több évtized távlatában is meg kell tudni tenni

3 Footer Goes Here

Az előállítás kérdései…

4 Footer Goes Here4

Előállítás és hitelesség

Mi a legfontosabb a hitelesség szempontjából az előállítás során?

Az aláíró technológia?

A szabályozási környezet?

A kulcshozzáférés biztonság?

MINDHÁROM EGYFORMÁN FONTOS!

5 Footer Goes Here5

Előállítás és hitelesség

– A hitelesítő technológia megbízhatósága• Ha ez sérül: a sértetlenség és eredet ellenőrizhetősége is sérül

• Példák: MD5, SHA1 algoritmusok gyengesége (hash ütközések)

– A kulcsmenedzsment megbízhatósága• Az aláíró kulcsok előállításának szigorú szabályozottsága – a hitelesítő hatóság (CA) megbízhatósága− Hitelesítés szolgáltatók szigorú minősítése és NHH általi felügyelete

− Belső PKI rendszer szabályozottsága és szabályozott üzemeltetése

• Ha ez sérül: az hitelesség ellenőrizhetősége sérül!

• Példa: Comodo CA incidens, Stuxnet féreg code sigining key incidens

– A kulcs-hozzáférés biztonság• Az aláíró kulcsok használatának kontrolláltsága

• Ha ez sérül: a letagadhatatlanság ellenőrizhetősége sérül

• Példa: − Kulcstárból a magánkulcs exportálható, nem jelszóvédett

− Kulcstároló eszköz és PIN megosztásra kerül, vagy a PIN „cache” engedélyezése

− Gépi aláírásnál cleartext jelszó a config file-ban

6 Footer Goes Here6

Elektronikus aláírás – milyen formátum?

Melyik a legjobb aláírás formátum?

XML alapú elektronikus

akta

PDF-be ágyazott dokumentum,

a beágyazott dokumentum

aláírva

Aláírt PDF dokumentum

Vagy valami egyéb?

7 Footer Goes Here7

E-akta, e-dosszié

– XML alapú elektronikus akta, gépi feldolgozásra alkalmasabb

– Tetszőleges típusú és számú dokumentum fogható össze és védhető vele elektronikus aláírással

– Az e-akta lehetővé teszi a számlakép és egyéb csatolt formátum (pl gépi feldolgozásra szolgáló xml formátum) az aláírástól teljesen független formátumban történő előállítását.

– Egy e-aktát, vagy annak egy dokumentumát egyszerre több személy is aláírja. Ezzel támogatott egy dokumentum adott verziójának párhuzamos aláírása.

– XADES specifikáció támogatása (rövid, hosszú távú és archív aláírás)

– Az e-akta nem támogatja egy dokumentum különböző verzióinak egymást követő aláírását.

– Dokumentum megnyitáshoz és aláírás ellenőrzéshez két külön programszükséges

8 Footer Goes Here8

PDF dokumentum

– PDF dokumentum saját struktúrájában hordozza az aláírást és időbélyeget

– CMS és PADES aláírás specifikáció támogatása, de nem még nem ISO szabvány szinten. Inkompatibilitási problémák.

– A PDF dokumentum tartalmazhat csatolmányokat. Tekintettel arra, hogy a PDF aláírás a teljes dokumentumra vonatkozik, ezért az aláírás a csatolmányokkal bővített teljes dokumentumra kiterjed.

– A PDF aláírás támogatja, hogy a dokumentumot egymást követően többen aláírják, és képes megmutatni az egyes aláírt verziók közötti különbségeket.

– Dokumentum megnyitáshoz és aláírás ellenőrzéshez elég a PDF olvasó program.

9 Footer Goes Here9

Melyik a legjobb formátum?

– Nincs legjobb formátum

– Az üzleti igények, a megfelelőségi kötelmek, a technológiai elvárások alapján kell választani

– E-akta felhasználási példák• Elektronikus cégeljárás

• Bírósági végrehajtók megkeresései pénzintézetek felé

• Hiteles iktatás, hiteles archiválás

– PDF felhasználási példák• APEH 0-s adóigazolás

• Elektronikus számla

• Elektronikus bank számlakivonat

10 Footer Goes Here

Az ellenőrzés kérdései…

11 Footer Goes Here11

Befogadás és hitelesség

Melyik a legbiztosabb mód az ellenőrzésre ?

Egyenként, emberi

erőforrással

Emberi erőforrással és

automatizmussal is

Automatikus feldolgozó

rendszerrel

12 Footer Goes Here 12

Az emberi tényező – avagy az elektronikus aláírásellenőrző sw kezelése némi szakértelmet igényel…

„Sikeres aláírás ellenőrzés után a következő ábra jelenik meg:”

„Az aláírással kapcsolatos további információkat, az ábrára kattintvaaz Aláírási tulajdonságok laponkaphatunk.”

13 Footer Goes Here13

Kliens oldali megvalósítás nehézségei

• Alkalmazás karbantartás problémája–Új verziók telepítése (pl funkcióbővülés, jogszabálymódosulás miatt)

–Integrációs problémák a desktop környezetben (pl. windows tanúsítványtár integráció)

• Naplózás és forensics?

• Előírás szerint beállított konfiguráció kikényszerítése?

13

14 Footer Goes Here14

Szerver oldali megvalósítás nehézségei

14

• Üzleti alkalmazás és kriptofunkció integrációja?–Alkalmazásonként kell elkészíteni–Platform inkompatibilitás–Ki ellenőrzi a beállításokat? Hogyan auditálható?

• Változáskezelés!–Új verziók telepítése (pl funkcióbővülés, jogszabálymódosulás miatt)

–Ha a vállalat lecseréli az üzleti alkalmazást, meg kell ismételni az integrációt?

–Kripto-protokol definíció az alkalmazás kódban – rugalmatlan a változáskezeléssel szemben

• Jellemzően dokumentumkezelő megoldások már rendelkeznek bizonyos alkalmazás specifikus kripto funkciókkal–Ezeket külön-külön kell konfigurálni és üzemeltetni

15 Footer Goes Here15

Kriptográfiai hitelesség NEM egyenlő az ügyviteli befogadhatósággal!!

– A dokumentum kriptográfiai szempontból hiteles

– A nagy kérdés: alakilag, formailag, tartalmilag megfelel- e dokumentum az előírásoknak• Megfelelő típusú aláírással látták-e el?• Kellő számú aláírással látták-e el?• Az írta-e alá, akinek felhatalmazása van rá?

– Honnan derül ez ki?

– Képes-e egy munkatárs ezeket minden esetben, hibátlanul és helyesen ellenőrizni?

15

16 Footer Goes Here16

Hitelesség elektronikus aláírással – a teljes kép

17 Footer Goes Here17

Hitelesség az dokumentum életciklus során

– Törvényi vagy belső szabályozás alapján meg kell megállapítani az előállítás kritériumait: • Pl.: Fokozott biztonságú aláírás és minősített időbélyeg szükséges,

archív aláírás formátumban

• vagy elég egy „sima” SMIME aláírás az e-mail-en belső PKI-ból kiadott tanúsítvánnyal

– Kulcs-hozzáférés kezelés technikai és szabályozási feltételeinek megteremtése

17

Létrehozá

s

Publikálás– Az ellenőrzés műszaki feltételeit meg kell teremteni: • Tanúsítvány állapot ellenőrzés, hitelességi lánc felépíthetősége

– Publikálni kell a hiteles dokumentum alaki, tartalmi tulajdonságait

18 Footer Goes Here18

Hitelesség az dokumentum életciklus során

– Befogadás műszaki és szabályozás környezetének megteremtése• Lehetőség szerint automatizmusok használata• A kibocsátó specifikációja szerinti ügyviteli szabályozás

kialakítása• Szükség esetén human ellenőrzés – BCP folyamat is egyben!• Nem hiteles dokumentum esetén hibakezelési eljárás• Lehet vírusos tartalom is!

− base64 kódolt beágyazott dokumentumok

− E-akta titkosítható

18

Befogadá

s

19 Footer Goes Here19

Hitelesség az dokumentum életciklus során

– A dokumentumot be kell illeszteni az üzleti folyamatba

– Ennek során ismételten ellenőrizni kell a hitelességet• Ezt papír alapú dokumentumnál is mindig megtesszük...• Vagy mégsem?• Az elektronikus dokumentum „hitelesebb” tud lenni a papír

alapú dokumentumnál...

19

Feldolgozás

20 Footer Goes Here20

Hitelesség az dokumentum életciklus során

– A törvényi és belső szabályozás alapján kell megállapítani a tárolás feltételeit•Meddig kell megőrizni?•Hosszú távon meg lehessen nyitni.

– Integráció dokumentum kezelő rendszerrel

– Meta-adatok tárolása• Pl.: Meddig érvényes az aláírás?

20

Tárolás/Arhíválás

Törlés

– A törvényi és belső szabályozás alapján kell megállapítani a megőrzési időt, ami után a dokumentum törölhető.

21 Footer Goes Here21

HP megközelítés: hiteles dokumentum kezelés megvalósítás szempontrendszere

21

Available

Az alkalmazásokat mentesítse az egyedi fejlesztés szükségességétől, szolgáltatásként álljon rendelkezésre, többféle üzleti folyamatban párhuzamosan

Compliant Minden üzleti folyamat egységesen feleljen meg a jogszabályi előírásoknak, szabványoknak.

Secure

Garantálja a szabályozási környezet szerinti működéstVédjen meg a véletelen vagy szándéklos emberi hibáktól

AdaptiveKépes legyen rugalmasan alkalmaszkodni a bővülő üzleti igényekhez, változó intézményi alkalmazás környezethez

A műszaki komplexitást fedje el – az üzlet számára legyen fekete doboz

Értékteremtés

22 Footer Goes Here

Köszönjük a figyelmet!

Kérdések?

23 Footer Goes Here

Outcomes that matter.