RSV M 2001:35

Verkets beslut om riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m.

Regeringen har i beslut den 21 december 2000 (Ju2000/4939) uppdragit åt Riksskatteverket (RSV) att under ett inledningsskede ha ett sammanhållande ansvar för administrationen av certifikat för elektronisk identifiering och elektroniska signaturer inom statsförvaltningen. I uppdraget ingår att utarbeta allmänna riktlinjer och gemensamma rutiner för certifikathanteringen inom statsförvaltningen. Till området hör elektronisk identifiering, signering och stämpling av elektroniska handlingar samt kryptering för skydd mot obehörig insyn (insynsskydd).

RSV har i samarbete med Riksförsäkringsverket, Patent- och Registreringsverket och Statskontoret utarbetat följande allmänna riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m. i system för publika och privata nycklar på myndighetsområdet (PKI-system). Syftet med riktlinjerna är att samordna medborgare och myndigheters användning av PKI-system och elektroniska handlingar. Med medborgare menas här fysiska personer i deras egenskap av privatpersoner eller företrädare för juridiska personer som inte är myndigheter, oberoende av om de är svenska medborgare. Med handläggare avses den som kommunicerar med medborgare och myndigheter i egenskap av anställd eller uppdragstagare hos en myndighet.

Riktlinjerna tar sikte på den samlade användningen av certifikattjänster m.m. men de omfattar inte alla tekniska, juridiska och administrativa frågor som uppkommer i anknytning till PKI-system. De gäller inte för de samlade åtgärder för informationssäkerhet som en myndighet har att vidta, åtgärder till skydd främst för rikets säkerhet och frågor om rättslig prövning av bl.a. behörighet och sekretess i anknytning till myndigheternas verksamhet.

Föreskrifterna i lagen (2000:832) om kvalificerade elektroniska signaturer har beaktats. Riktlinjerna omfattar emellertid både avancerade och kvalificerade elektroniska signaturer och motsvarande funktioner för avancerad elektronisk myndighetsstämpel, identifiering och kryptering för insynsskydd. Detta innebär att signaturen – och sådan signering som beskrivs i dessa riktlinjer – skall vara knuten uteslutande till en undertecknare, göra det möjligt att identifiera undertecknaren, vara skapad med hjälpmedel som endast undertecknaren kontrollerar och vara knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas. För avancerad elektronisk myndighetsstämpel och sådan stämpling, identifiering och kryptering för insynsskydd som omfattas av dessa riktlinjer gäller motsvarande krav.

Elektroniska signaturer som varken är avancerade eller kvalificerade, myndighetsstämplar som inte är avancerade och elektronisk identifiering och kryptografiska rutiner som saknar motsvarande skyddsnivå omfattas inte av dessa riktlinjer.

1 Definitioner

I dessa riktlinjer används följande begrepp med nedan angiven betydelse.

AktiveringsdataLösenord eller biometriska data som används för att göra en privat nyckel tillgänglig för användning
Anordning för signatur framställning m.m.Maskin- eller programvara för att använda privata nycklar och aktiveringsdata på ett säkert sätt
AnställdSe handläggare
Avancerad elektronisk signaturElektronisk signatur som
a) är knuten uteslutande till en undertecknare,
b) gör det möjligt att identifiera undertecknaren,
c) är skapad med hjälpmedel som endast undertecknaren kontrollerar, och
d) är knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas
Avancerad elektronisk myndighetsstämpelElektronisk myndighetsstämpel som
a) är knuten uteslutande till en myndighet,
b) gör det möjligt att identifiera myndigheten,
c) är skapad med hjälpmedel som endast myndigheten kontrollerar, och
d) är knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas
Certifikat (även kallad Elektronisk Identitetshandling; eID)Ett intyg i elektronisk form av en certifikatutfärdare som kopplar ihop en publik nyckel med en innehavare och bekräftar vem innehavaren är. Utfärdaren förser intyget med sin avancerade elektroniska stämpel
Certifikat för myndighetens elektroniska stämpelCertifikat som utfärdas för att det skall kunna kontrolleras att stämplade elektroniska handlingar är äkta
CertifikatpolicyEtt regelverk enligt vilket ett certifikat avses användas inom en viss grupp eller klass av tillämpningar med gemensamma krav på säkerhet
CertifikatinnehavareDen fysiska person för vilken ett medborgarcertifikat eller ett tjänstecertifikat har utfärdats; innehavare av webbservercertifikat och certifikat för myndighetens elektroniska stämpel omfattas alltså inte
CertifikatutfärdareDen som utfärdar certifikat; här beckning på certifikatutfärdare som uppfyller kraven enligt dessa riktlinjer
Elektronisk handlingEn bestämd mängd data i digital form som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel
Elektronisk myndighetsstämpelElektronisk signatur som är knuten till en myndighet
Elektronisk signaturData i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som utställare och att det inte har förvanskats
Elektronisk tjänstTjänst som tillhandahålls av en myndighet på elektronisk väg
Förlitande partDen som tar emot ett certifikat, en annan signerad eller stämplad elektronisk handling eller data för identifiering av medborgare, handläggare eller myndigheter och som svarar för vissa kontroller samt avses lita på den elektroniska handlingen eller data för identifiering
Giltighetskontroll i realtidFunktion för att vid användningstillfället verifiera att ett certifikat är giltigt och inte har spärrats. Vanliga protokoll för denna funktion är Online Certificate Status Protocol (OCSP) och Simple Certificate Verification Protocol (SCVP)
HandläggareDen som kommunicerar elektroniskt med medborgare eller myndigheter i egenskap av anställd eller uppdragstagare hos en myndighet
Identifiering (även kallad stark autenticering)Verifiering av att en viss medborgares, handläggares eller myndighets privata nyckel för identifiering har använts. Den privata nyckeln för identifiering skall
a) vara knuten uteslutande till en fysisk person eller en myndighet, och
b) ha använts i en process som gör det möjligt att identifiera personen eller myndigheten genom att verifiera vissa elektroniska data; normalt ett av motparten signerat slumptal.
Data som verifieras skall ha
a) skapats med en nyckel som endast medborgaren, handläggaren eller myndigheten kontrollerar, och
b) knutits till andra elektroniska data på ett sådant sätt att förvanskningar av dessa kan upptäckas
Kvalificerad elektronisk signaturAvancerad elektronisk signatur som enligt lagen (2000:832) om kvalificerade elektroniska signaturer är baserad på ett kvalificerat certifikat och skapad av en säker anordning för signaturframställning
Kvalificerat certifikatCertifikat som uppfyller kraven i 6 eller 7 § lagen (2000:832) om kvalificerade elektroniska signaturer
MedborgareFysiska personer, oberoende av om de är svenska medborgare, som kommunicerar elektroniskt med myndigheter i egenskap av privatperson eller som företrädare för en juridisk person
MedborgarcertifikatCertifikat som utfärdas för att medborgare skall kunna kommunicera elektroniskt med myndigheter
MyndighetEtt statligt eller kommunalt organ med undantag av riksdagen och de kommunala beslutande församlingarna
PKI-systemSystem där olika nycklar – privata och publika – används för att kryptera och dekryptera (eng. Public Key Infrastructure)
Privat nyckelDen hemliga delen av ett nyckelpar för kryptering i ett PKI-system där olika nycklar används för att kryptera och dekryptera
Publik nyckelDen publika delen av ett nyckelpar för kryptering i ett PKI-system där olika nycklar används för att kryptera och dekryptera
Signerad elektronisk handling/signeringElektronisk handling som försetts/förses med en avancerad eller kvalificerad elektronisk signatur
SpärrEn markering om att ett certifikat inte längre bör anses tillförlitligt. Spärrarna distribueras i form av spärrlistor eller görs tillgängliga för giltighetskontroll i realtid
SpärrkontrollKontroll som förlitande part gör av att certifikat inte har spärrats. Spärrkontroll kan göras gentemot en spärrlista eller mot en tjänst för giltighetskontroll i realtid
SpärrlistaEn signerad eller stämplad lista över spärrade certifikat
Stämplad elektronisk handling/stämplingElektronisk handling som försetts/förses med en avancerad elektronisk myndighetsstämpel
TjänstecertifikatCertifikat som utfärdas för att handläggare skall kunna kommunicera elektroniskt inom myndigheten, med andra myndigheter och med medborgare
UndertecknareFysisk person som behörigen innehar en anordning för signaturframställning m.m.
UppdragstagareSe handläggare
Utfärdardeklaration (CPS)Beskrivning av de regler och rutiner som en certifikatutfärdare tillämpar för att uppfylla kraven i en certifikatpolicy
UtställareFysisk person eller myndighet som behörigen använder en anordning för signaturframställning
WebbservercertifikatCertifikat som utfärdas för att medborgare och myndigheter skall kunna identifiera en myndighets elektroniska tjänst med vilken de kommunicerar och skydda denna kommunikation mot obehörig insyn
VerifieringProcess för att kontrollera att ett antagande är korrekt. Begreppet avser främst processer för att kontrollera att en viss certifikatinnehavares privata nyckel – och ingen annans – använts vid signering eller i en liknande procedur

2 Det samordnade området

2.1 I detta avsnitt anges vad som ingår i det område som samordnas för att medborgare skall kunna kommunicera med myndigheter med en och samma elektroniska identitet.

Rutiner och säkerhetskrav

2.2 Dessa riktlinjer gäller rutiner och säkerhetskrav, i PKI-system på myndighetsområdet, för att

  1. utfärda elektroniska identitetshandlingar (certifikat),
  2. använda certifikat och publika och privata nycklar,
  3. tillhandahålla tjänster för att spärra certifikat och kontrollera om de har spärrats, och
  4. bedöma vilka lösningar som tillgodoser de säkerhetskrav som gäller inom det samordnade området.

Funktioner

2.3 Produkter och tjänster som omfattas av dessa riktlinjer kan användas för

  1. identifiering av fysiska personer,
  2. identifiering av myndigheter som tillhandahåller elektroniska tjänster,
  3. signering och verifiering av signerade elektroniska handlingar,
  4. stämpling och verifiering av stämplade elektroniska handlingar, och
  5. kryptering för insynsskydd och dekryptering av insynsskyddade data.

Användning

2.4 Medborgare använder tjänster för

  1. identifiering vid
    1. tillträde,

      för att elektroniskt få tillgång till uppgifter som får lämnas ut till medborgaren och för att få skydd mot att någon annan får tillgång till uppgifterna under sken av att vara honom eller henne,

    2. uppgiftslämnande,

      för att få lämna uppgifter elektroniskt och för att få skydd mot att någon annan lämnar uppgifterna under sken av att vara honom eller henne,

  2. identifiering av myndighet, för att kontrollera till vilken myndighets elektroniska tjänst medborgaren har anslutit,
  3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling, (signerad elektronisk handling),
  4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling är utställd av en handläggare vid en myndighet, som har angetts som undertecknare,
  5. verifiering av myndighetens elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och
  6. insynsskydd, att genom kryptering hindra obehöriga från att ta del av informationen.

2.5 Myndigheter använder tjänster för

  1. identifiering av certifikatinnehavare vid
    1. tillträde, för att kunna ge tillgång till uppgifter elektroniskt så att inte någon obehörig får ut uppgifterna,
    2. uppgiftslämnande, för att kontrollera vem som var ansluten till myndighetens elektroniska tjänst när vissa uppgifter lämnades,
  2. identifiering av annan myndighet, för att kontrollera till vilken myndighets elektroniska tjänst som anslutning skett,
  3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling (signerad elektronisk handling),
  4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling, som har kommit in till myndigheten eller upprättats vid myndigheten har ställts ut av den fysiska person som angetts som undertecknare,
  5. myndighetens elektroniska stämpel, för att ställa ut elektroniska handlingar som är skyddade mot förfalskning på motsvarande sätt som en traditionell handling i vilken en myndighet anges som utställare genom särskilt tryck eller på annat liknande sätt (stämplad elektronisk handling),
  6. verifiering av en annan myndighets elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och
  7. insynsskydd, för att hindra att obehöriga gör krypterade data läsbara.

Typer av certifikat och certifikatens innehåll och användning

2.6 Certifikat kan utfärdas för fysiska personer, som medborgarcertifikat eller tjänstecertifikat, och för myndigheter, som webbservercertifikat eller certifikat för myndighetens elektroniska stämpel.

  1. Medborgarcertifikat används för att fysiska personer skall kunna kommunicera elektroniskt med myndigheter, i egenskap av privatperson eller som företrädare för en juridisk person (medborgare).
  2. Tjänstecertifikat används för att handläggare vid myndigheter skall kunna kommunicera elektroniskt inom myndigheten, med andra myndigheter och med medborgare.
  3. Webbservercertifikat används för att medborgare och myndigheter skall kunna identifiera en myndighets elektroniska tjänst med vilken de kommunicerar och skydda denna kommunikation mot obehörig insyn.
  4. Certifikat för myndighetens elektroniska stämpel används för att en myndighet skall kunna ställa ut elektroniska handlingar som är skyddade mot förfalskning och förnekande så att det kan verifieras att den elektroniska handlingen har ställts ut av myndigheten, eller inom ramen för ett visst verksamhetsområde inom myndigheten, och inte har ändrats.

2.7 Certifikat enligt 2.6 bör ha det innehåll och det format som framgår av följande bilagor:

MedborgarcertifikatBilaga 1
TjänstecertifikatBilaga 2
WebbservercertifikatBilaga 3
Certifikat för myndighetens elektroniska stämpelBilaga 4

3 Myndighet som avropar certifikattjänster

3.1 En myndighet som tar i bruk rutiner för elektronisk identifiering och signering kan avropa certifikattjänster som omfattas av ramavtal med Statskontoret; jfr 4.1 och 7.1.

3.2 Statskontoret har tecknat ramavtal med följande leverantörer för avrop av följande typer av certifikat.

LeverantörMedborgarcertifikatTjänstecertifikatServercertifikatCertifikat för myndighetens elektroniska stämpel
Posten ABXXXX*
Telia ABXXXX*
Nordea Bank Sverige ABXX*X*
Föreningssparbanken ABX
Svenska Handelsbanken ABX
Integris Svenska ABX

* Erbjuds under första halvåret 2002.

3.3 Information om ramavtalen finns på Statskontorets webbplats för IT-upphandling http://it-upphandling.statskontoret.se

3.4 På Statskontorets webbplats finns generell information för avrop enligt ramavtalet; dels en vägledning till ramavtalet, dels skriften Statskontorets ramavtal – en introduktion för dig som är inköpare (http://www.statskontoret.se/pdf/2000102.pdf).

4 Certifikatutfärdare

4.1 I detta avsnitt anges regler och rutiner för utfärdare av certifikat som omfattas av ramavtal med Statskontoret om elektronisk identifiering och signering eller som annars utfärdar certifikat som godtas enligt 6.3.

Tillförlitliga regler och rutiner

4.2 Certifikatutfärdare bör ha sådana regler och rutiner för sin verksamhet att certifikatinnehavare, myndigheter och andra som anslutits till PKI-system på myndighetsområdet kan ha fog för att lita på dem. Certifikatutfärdaren säkerställer att dessa regler och rutiner följs i certifikatutfärdarens verksamhet.

Medborgarcertifikat och Tjänstecertifikat

Ansökan och avtalsvillkor

4.3 En certifikatutfärdare får utfärda medborgarcertifikat eller tjänstecertifikat som godtas enligt 6.3 endast efter skriftlig ansökan. Ansökan bör vara undertecknad av sökanden med intyg om att lämnade uppgifter är riktiga och fullständiga.

Om sökanden tidigare har identifierats enligt 4.9 får en sådan identifiering ersätta ett undertecknande enligt första stycket.

4.4 Ansökan bör innehålla

  1. de uppgifter som behövs enligt 2.7 och i övrigt för certifikatets funktioner och certifikatutfärdarens kontroller, och
  2. certifikatutfärdarens villkor för att tillhandahålla produkter och tjänster enligt ansökan.

4.5 En certifikatutfärdare, som avser att villkor enligt 4.4.2 som inte finns intagna i själva ansökningshandlingen, skall bli en del av ett avtal som sluts med en sökande, bör tydlig hänvisa till dessa villkor och utforma sina rutiner så att villkoren kommer sökanden tillhanda innan denne undertecknar eller signerar ansökan enligt 5.2 eller 5.3.

4.6 I avtal med sökanden bör certifikatutfärdaren, som villkor för att utfärda certifikat och tillhandahålla avtalade tjänster, ange att sökanden skall

  1. skydda sina privata nycklar och aktiveringsdata enligt 5.10 och 5.11,
  2. byta ut aktiveringsdata enligt 5.7,
  3. använda olika aktiveringsdata enligt 5.7 för signering respektive identifiering och insynsskydd.

4.7 Certifikatutfärdaren bör informera sökande och myndigheter om innehållet i de avtal som sluts med sökandena. Certifikatutfärdaren bör vidare tillhandahålla uppgifter om avtal, villkor, certifikatpolicies, utfärdardeklarationer, regelverk och anknytande uppgifter till certifikatinnehavare, förlitande parter och andra som behöver uppgifterna i samband med sådana kontroller som avses i 5.14 – 5.18 och 6.2.

Första stycket innebär inte att certifikatutfärdaren behöver röja företagshemligheter eller uppgifter som skulle kunna äventyra informationssäkerheten om de blev tillgängliga.

Identifiering av sökande

4.8 Certifikatutfärdaren bör identifiera sökanden vid personligt besök, vid ansökan om eller utlämnande av certifikat och privata nycklar, på likvärdigt sätt som vid en ansökan om en SIS-godkänd identitetshandling.

4.9 Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör certifikatutfärdaren få identifiera sökanden genom sådan elektronisk rutin i stället för enligt 4.8. Denna elektroniska rutin bör dock inte användas om den har spärrats eller om det annars kan antas att den inte identifierar sökanden på ett tillräckligt säkert sätt.

Identifiering av sökanden vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3 bör också kunna ske elektroniskt. Certifikatinnehavaren bör vid sådan förnyelse signera ansökan eller en annan elektronisk handling med användning av sin privata nyckel för att visa att han eller hon innehar den privata nyckel som hör till certifikatet.

Kontroll av uppgifter m.m.

4.10 Certifikatutfärdaren bör kontrollera att

  1. ansökan om certifikat är behörigen undertecknad eller signerad i de fall sökandens elektroniska signatur godtas enligt 5.3,
  2. de uppgifter som sökanden har lämnat enligt 5.2 är fullständiga och stämmer överens med uppgifter som finns registrerade i SPAR-registret eller ett annat officiellt register.

Produktion av certifikat och utlämnande av aktiveringsdata m.m.

4.11 Certifikatutfärdaren bör, i enlighet med lämnade och av certifikatutfärdaren kontrollerade uppgifter, producera certifikat och signera dem med en avancerad elektronisk signatur eller en avancerad elektronisk stämpel.

Certifikatutfärdaren bör tilldela medborgare och handläggare ett certifikat för signering och ett certifikat för identifiering och insynsskydd.

4.12 I de fall certifikatutfärdaren tillhandahåller privata nycklar och aktiveringsdata till sådana nycklar bör dessa befordras i separata försändelser och lämnas ut till sökanden vid personligt besök hos certifikatutfärdaren eller ett ombud för utfärdaren eller genom ett elektroniskt förfarande som är förenligt med 4.9.

4.13 Privata nycklar som certifikatutfärdare använder för att signera certifikat i enlighet med dessa riktlinjer bör skyddas genom särskilt tillförlitliga rutiner och bör få användas endast för att signera certifikat och spärrinformation.

Anordning för signaturframställning m.m.

4.14 Certifikatutfärdaren bör förse den som tilldelas certifikat med maskin- eller programvara för att använda privata nycklar (anordning för signaturframställning m.m.). Denna anordning bör skydda privata nycklar, hantera aktiveringsdata på ett säkert sätt och i övrigt möjliggöra tillförlitliga metoder för signering, identifiering och insynsskydd.

I 3–5 §§ lagen (2000:832) om kvalificerade elektroniska signaturer finns bestämmelser om säkra anordningar för att framställa kvalificerad elektronisk signatur.

4.15 Anordning enligt 4.14 bör ha utformats så att det krävs en aktiv handling vid signering, identifiering och kryptering för insynsskydd. Rutinerna bör ta sikte på att likna de omständigheter som certifikatinnehavaren ställs inför när han eller hon

  1. fattar en penna och skriver under,
  2. överlämnar eller visar upp en legitimationshandling för identitetskontroll, respektive
  3. försluter eller öppnar ett kuvert eller ett annat slutet förvar.

Spärrtjänst

4.16 Certifikatutfärdaren tillhandahåller en tjänst där certifikatinnehavaren snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat anmäler detta förhållande (spärrtjänst). Spärrtjänsten bör ha god tillgänglighet. Certifikatutfärdaren bör behandla en anmälan om spärr skyndsamt.

Spärrkontrolltjänst

4.17 Certifikatutfärdaren bör göra uppgifter om spärr av certifikat tillgängliga för den som skall bedöma om han eller hon kan lita på ett visst certifikat. Uppgifter om spärr av certifikat kan tillhandahållas genom spärrlistor som certifikatutfärdaren med korta intervaller uppdaterar, signerar och tillhandahåller eller genom en tjänst för kontroll i realtid av att certifikat inte har spärrats.

4.18 En förlitande parts kontroller och bedömningar enligt 5.14 – 5.18 bör automatiseras eller på annat sätt underlättas med stöd av helhetslösningar enligt 7.2 så att förlitande part enkelt kan överblicka och förstå åtgärdernas innebörd.

Arkivering

4.19 Certifikatutfärdaren bör arkivera

  1. ansökningshandlingar,
  2. handlingar rörande utlämnande och mottagande av nycklar och certifikat eller anmälan om spärr av certifikat samt information om spärrade certifikat som tillhandahållits av certifikatutfärdaren,
  3. avtal rörande produkter och tjänster,
  4. policydokument och utfärdardeklarationer, och
  5. övriga handlingar och uppgifter som kan behövas för att verifiera elektroniska signaturer och stämplar, identifiera fysiska personer eller myndigheter och hantera insynsskydd för PKI-system.

4.20 Arkiverat material bör bevaras och skyddas mot förändring och förstörelse under den tid som behövs för att tillgodose ändamålen med certifikat för elektronisk identifiering och elektroniska signaturer m.m. på myndighetsområdet. Tiden för bevarande bör inte understiga tio år från händelsen. Arkiverat material bör kunna tas fram i läsbar form under hela tiden för bevarande.

4.21 Certifikatutfärdaren bör lämna ut information om enskilda händelser på begäran av den som behöver verifiera en elektronisk signatur eller en myndighets elektroniska stämpel eller kontrollera en identifiering eller en åtgärd för insynsskydd. Arkiverat material får emellertid inte lämnas ut i strid mot lag eller författning eller avtal med certifikatinnehavaren.

4.22 En certifikatutfärdare som upphör med sin verksamhet bör informera samtliga certifikatinnehavare och hålla arkiverat material tillgängligt enligt 4.20 och 4.21.

Webbservercertifikat och certifikat för myndighetens elektroniska stämpel

4.23 Bestämmelserna om medborgar- och tjänstecertifikat gäller i tillämpliga delar för webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

4.24 Webbservercertifikat bör säkerställa kopplingen till myndighetens elektroniska tjänst genom domännamn medan certifikat för myndighetens elektroniska stämpel bör individualisera myndigheten genom organisationsnummer. När ytterligare uppgifter behövs för att särskilja myndigheten eller en verksamhetsgren inom myndigheten bör den benämning under vilken myndigheten driver sin verksamhet eller en verksamhetsgren användas.

4.25 Certifikatutfärdaren får lämna ut webbservercertifikat eller certifikat för myndighetens elektroniska stämpel samt tillhörande privata nycklar endast till den som legitimerat sig med en SIS-godkänd legitimationshandling eller på motsvarande sätt och visat att han eller hon är behörig att företräda myndigheten i de frågor som utlämnandet avser. Utlämnande får ske först efter att företrädaren har mottagit information om hur och till vad certifikatet och tillhörande nycklar får användas.

Ansvar

4.26 Certifikatutfärdarens ansvar gentemot certifikatinnehavare bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, när avtal finns mellan utfärdaren och den som litar på ett certifikat. För kvalificerade certifikat gäller 14och 15 §§ lagen (2000:832) om kvalificerade elektroniska signaturer.

4.27 Certifikatutfärdaren kan anlita andra för att utföra delar av verksamheten men bör i förhållande till certifikatinnehavare och förlitande part ansvara som om han hade utfört hela arbetet själv.

5 Certifikatinnehavare

5.1 Idetta avsnitt anges regler och rutiner för

  1. medborgare som ansöker om, tilldelas och använder medborgarcertifikat och som litar på tjänstecertifikat, certifikat för myndighetens elektroniska stämpel eller webbservercertifikat samt anknytande användning enligt 2.4, och
  2. handläggare som ansöker om, tilldelas och använder tjänstecertifikat; jfr de regler för myndigheter och handläggare som ges i avsnitt 6.

Med certifikatinnehavare menas medborgare och handläggare som tilldelats certifikat enligt första stycket.

5.2 Medborgare och handläggare som avser att använda PKI-system på myndighetsområdet ansöker om certifikat. Sökanden bör skriftligt lämna de uppgifter som behövs enligt 4.4 och underteckna ansökan, med intyg om att lämnade uppgifter är riktiga och fullständiga.

5.3 Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör sökanden få använda elektroniska rutiner enligt 4.9 för att ansöka om certifikat, utan krav på underskrift enligt 5.2.

Detsamma gäller vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3. Certifikatinnehavaren bör signera ansökan med användning av den privata nyckel som hör till certifikatet.

5.4 Sökanden bör, innan ansökan sker, ta del av certifikatutfärdarens villkor och information enligt 4.4 – 4.7 samt tydligt ange om han eller hon till någon del inte godtar villkoren.

Identifiering

5.5 Den som ansöker om certifikat bör vidta de åtgärder som behövs för att certifikatutfärdaren skall kunna identifiera sökanden enligt 4.8 eller 4.9.

Mottagande och användning av certifikat och nycklar

5.6 En sökande som har fått ansökan beviljad erhåller privata nycklar, aktiveringsdata och certifikat m.m. på det sätt som certifikatutfärdaren tillämpar enligt 4.12 och behandlar dessa data i enlighet med villkoren i certifikatinnehavarens avtal med certifikatutfärdaren. Något mottagande av nycklar och aktiveringsdata sker inte beträffande nycklar som sökanden genererat och aktiveringsdata som denne själv valt.

5.7 Snarast efter att sökanden tagit emot certifikat, nycklar och aktiveringsdata skall han eller hon byta ut aktiveringsdata som tilldelats av certifikatutfärdaren. Certifikatinnehavaren väljer själv sina aktiveringsdata men får inte välja sådana som enkelt kan utrönas. Certifikatinnehavaren bör inte heller välja samma aktiveringsdata för signering respektive identifiering och insynsskydd.

5.8 Certifikatinnehavaren bör använda den anordning för signaturframställning m.m., som certifikatutfärdaren tillhandahåller enligt 4.14, på ett sådant sätt att signering, identifiering och kryptering för insynsskydd sker med tillförlitliga rutiner; jfr 4:15.

Roller och rutiner som undertecknare m.m.

5.9 Medborgare identifierar sig, signerar och använder rutiner för insynsskydd i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. Handläggare signerar, stämplar och använder rutiner för insynsskydd i egenskap av företrädare för myndigheten; jfr 5.19.

För medborgare som förlitande part finns regler i 5.14 – 5.18; jfr hänvisningen till dessa regler i 6.2 med avseende på handläggare som agerar för en myndighets räkning.

Certifikatinnehavaren bör bifoga sitt certifikat när han eller hon översänder en signerad elektronisk handling eller identifierar sig elektroniskt.

Skydd för privata nycklar och aktiveringsdata m.m.

5.10 Certifikatinnehavaren bör iaktta skälig aktsamhet för att undvika att obehöriga får tillgång till och använder innehavarens privata nycklar och aktiveringsdata. Dessa åtgärder består bl.a. i

  1. att skydda den anordning för signaturframställning m.m. där de privata nycklarna förvaras på motsvarande sätt som ett värdeföremål och att inte lämna anordningen obevakad när en privat nyckel är aktiverad, och
  2. att inte avslöja aktiveringsdata eller förvara anteckning om sådana data så att någon annan kan få del av uppgifterna eller förstå att noteringen avser aktiveringsdata.

5.11 Särskilda åtgärder bör vidtas för skydd enligt 5.10 om

  1. flera personer använder en dator eller något annat tekniskt hjälpmedel som innehåller certifikatinnehavarens anordning för signaturframställning m.m., eller
  2. hjälpmedlet förvaras så att andra än certifikatinnehavaren kan få tillgång till det.

Anmälan om spärr

5.12 Certifikatinnehavaren bör göra en spärranmälan snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat. Anledning att spärra kan föreligga bl.a. om

  1. uppgifter i certifikatet visat sig vara felaktiga eller har blivit felaktiga, t.ex. till följd av att certifikatinnehavaren bytt namn,
  2. en anordning för signaturframställning m.m. eller en privat nyckel har förkommit, eller
  3. en privat nyckel eller aktiveringsdata har blivit tillgängliga för någon obehörig eller annars kan antas komma att missbrukas.

Ansvar m.m.

5.13 Certifikatinnehavarens ansvar mot certifikatutfärdaren bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, om avtal härom skulle ha träffats mellan certifikatinnehavaren och den som litar på ett certifikat.

Medborgare i rollen som förlitande part

Kontroll och bedömning av säkerhetsnivå och användningsområde

5.14 Förlitande part svarar för att kontrollera och bedöma om certifikatutfärdaren och certifikatet fyller uppställda säkerhetskrav och om certifikatet är lämpligt att använda för det aktuella ändamålet. Underlag för en sådan bedömning kan finnas i avtal med certifikatutfärdaren, i certifikatet samt i certifikatutfärdarens certifikatpolicy och utfärdardeklaration.

Förlitande part bör särskilt beakta

  1. begränsningar i certifikatets användningsområde,
  2. om en viss publik nyckel skall användas för signering, för identifiering, för insynsskydd eller för någon annan funktion för informationssäkerhet, och
  3. regler om aktörernas ansvar.

Giltighetskontroll och spärrkontroll

5.15 En part bör lita på ett certifikat först efter att ha kontrollerat att certifikatet inte var spärrat och att dess giltighetstid inte hade löpt ut när det användes för signering, identifiering eller kryptering för insynsskydd.

5.16 Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för giltighetskontroll och spärrkontroll.

Uppgifter om spärr av certifikat kan anges i spärrlista. Spärrkontroll sker då mot av certifikatutfärdaren regelbundet uppdaterade spärrlistor som signerats för certifikatutfärdarens räkning eller försetts med dennes elektroniska stämpel. Uppgifter om spärr kan också tillhandahållas via en tjänst för kontroll i realtid av att certifikat inte har spärrats. Förlitande part kontrollerar att listans giltighetstid inte har löpt ut. Uppgifternas giltighet kontrolleras på likvärdigt sätt vid giltighetskontroll i realtid.

Äkthetskontroll

5.17 En part bör lita på ett certifikat, en spärrlista eller en annan elektronisk handling först efter att ha kontrollerat att den elektroniska handlingen är äkta. I PKI-system på myndighetsområdet har elektroniska handlingar som en part bör kontrollera vanligtvis ställts ut av en certifikatutfärdare, en handläggare vid en myndighet eller en myndighet som juridisk person. En verifiering av en avancerad eller kvalificerad elektronisk signatur, eller certifikatutfärdarens elektroniska stämpel innefattar en kontroll av att den signerade eller stämplade elektroniska handlingen inte har ändrats eftersom signaturen/stämpeln är en del av handlingen.

En part bör lita på en identifiering av myndighet först efter att ha kontrollerat data för identifiering (ett av myndigheten signerat slumptal), på motsvarande sätt som vid äkthetskontroll av en signerad eller stämplad elektronisk handling.

5.18 Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för kontroller enligt

5.17. För sådana kontroller kan parten på ett säkert sätt behöva ha tillgång till

  1. certifikatutfärdarens publika nycklar för att verifiera certifikat och spärrlistor,
  2. tjänstecertifikat, för att verifiera signerade elektroniska handlingar med en handläggare som undertecknare,
  3. certifikat för myndighetens elektroniska stämpel, för att verifiera stämplade elektroniska handlingar med en myndighet som utställare, och
  4. webbservercertifikat, för identifiering av myndighets elektroniska tjänst.

Förlitande parts roller

5.19 Medborgare verifierar signaturer, stämplar och webbservrar i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. För handläggare som agerar för en myndighets räkning finns regler i avsnitt 6; jfr 5.9.

Format och rutiner för att ge in handlingar

5.20 Medborgare som ger in elektroniska handlingar till myndigheter bör anpassa format och rutiner så att den myndighet som tar emot handlingen kan läsa och bevara den och skydda sig mot datavirus och andra hot mot informationssäkerheten; jfr 6.8.

Ansvar

5.21 Certifikatinnehavarens ansvar mot certifikatutfärdaren vid fel eller försummelse bör regleras i avtal med utfärdaren.

6 Myndigheter

6.1 I detta avsnitt anges regler och rutiner för

  1. myndigheter som ansöker om, tilldelas och använder webbservercertifikat eller certifikat för myndighetens elektroniska stämpel och som litar på sådana certifikat, medborgarcertifikat och tjänstecertifikat samt anknytande användning enligt 2.5,
  2. handläggare som i egenskap av företrädare för en myndighet litar på ett certifikat och anknytande användning enligt 2.5. Regler för handläggare som undertecknare m.m. finns i avsnitt 5.

Myndigheten i rollen som förlitande part

6.2 Som förlitande part bör myndigheten svara för kontroll och bedömning av säkerhetsnivå, användningsområde, giltighetskontroll, spärrkontroll och äkthetskontroll och för att bereda sig tillgång till de uppgifter som behövs för dessa kontroller.

Reglerna i 5.14 – 5.18 bör tillämpas på motsvarande sätt vid myndigheternas kontroller och bedömningar enligt första stycket. Kontroller som inte sker automatiskt bör utföras av en handläggare för myndighetens räkning; jfr 4.18. För handläggarens användning av sitt tjänstecertifikat finns regler i 5.10 – 5.12. Underlag för bedömningar enligt 5.14 kan också finnas i myndighetsföreskrifter eller som villkor i beslut för enskilda fall.

6.3 En myndighet bör godta giltiga och äkta certifikat som inte har spärrats och som har sådant innehåll och format som anges i bilagorna 1–4, under förutsättning att

  1. certifikatet har ställts ut av en certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering,
  2. det regelverk och de rutiner som gäller för certifikatet är förenliga med dessa riktlinjer,
  3. myndigheten har tillgång till uppgifter för spärr-, giltighets- och äkthetskontroll, och
  4. det inte i det enskilda fallet finns skäl för annan kontrollåtgärd.

För kvalificerade certifikat gäller begränsningarna i första stycket endast om det är förenligt med 17 § lagen (2000:832) om kvalificerade elektroniska signaturer.

Myndigheten som sökande och utställare

6.4 Bestämmelserna i 5.2 – 5.13 om medborgar- och tjänstecertifikat bör gälla i tillämpliga delar, med de anpassningar som följer av 4.24 och 4.25, för ansökan om och tilldelning och användning av webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

Interna föreskrifter och riktlinjer

6.5 En myndighet som använder PKI-system bör ha interna föreskrifter och riktlinjer där det bör framgå bl.a. hur handlingar signeras, stämplas, verifieras, krypteras och dekrypteras inom myndigheten, vilka som får utföra sådana åtgärder eller aktivera sådana automatiska rutiner och hur användningen av de kryptografiska rutinerna kontrolleras och revideras.

Rutiner för att ta emot, expediera och långtidslagra elektroniska handlingar

6.6 En myndighet som tar emot eller ställer ut signerade eller stämplade elektroniska handlingar bör säkerställa att de särskilda krav som de kryptografiska rutinerna för med sig beaktas från arkivsynpunkt.

6.7 Innan rutiner för insynsskydd av lagrade data tas i drift vid en myndighet bör myndigheten ha infört alternativa rutiner för att kunna göra krypterade elektroniska handlingar läsbara när den eller de som har tillgång till den privata nyckeln för dekryptering inte finns till hands. Dessa rutiner bör ge stöd för att handlingar som skall bevaras i krypterad form kan göras läsbara under hela den tid de bevaras.

6.8 En myndighet bör på sin webbsida eller på annat liknande sätt upplysa om vilka format och rutiner som medborgare och andra myndigheter kan använda för att ge in elektroniska handlingar så att myndigheten kan läsa och bevara inkomna handlingar och skydda sig mot datavirus och andra hot mot informationssäkerheten.

Om det finns särskilda skäl och det kan ske utan hinder för arbetets behöriga gång bör myndigheten tillgodose önskemål från medborgare om att godta format eller rutiner för ta emot elektroniska handlingar som inte uppfyller kraven i första stycket.

6.9 Myndigheter bör tydligt anvisa den adress där myndigheten tar emot elektroniska handlingar. Detta behövs dock inte inom ramen för t.ex. webbformulär och webbtjänster där adresseringen till mottagande myndighet sker automatiskt.

7 Helhetslösningar m.m.

7.1 Certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering bör tillhandahålla helhetslösningar för att använda PKI-system på myndighetsområdet. Varje sådan helhetslösning bör utformas som ett paket. I paketet bör ingå de produkter och tjänster som medborgaren eller myndigheten behöver för de funktioner och användningssätt enligt 2.3 – 2.5 och som paketet avses stödja, inom ramen för de typer av certifikat som utfärdaren tillhandahåller; jfr 2.6.

7.2 Certifikatinnehavares och myndigheters åtgärder för giltighetskontroll, spärrkontroll, äkthetskontroll och åtkomst till erforderliga uppgifter bör kunna genomföras helt eller delvis automatiskt med stöd av de programvaror och tjänster som ingår i ett paket enligt 7.1. Paketen bör vara utformade så att den som skall genomföra en kontroll eller en annan åtgärd enkelt kan överblicka och förstå åtgärdernas innebörd och resultatet av dem; jfr 4.15.

Helhetslösningar som tillhandahålls åt medborgare bör innefatta skydd enligt 4.14 för användarens anordning för signaturframställning m.m.

7.3 Certifikatutfärdarnas paket bör vara förenliga så att de funktioner de erbjuder fungerar vid kommunikation mellan olika myndigheter och medborgare även om certifikaten har ställts ut av olika certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering.

8 Säkerhetsskydd och standarder, m.m.

8.1 Myndigheter och medborgare som berörs av rutiner och funktioner m.m. inom det samordnade området erinras om föreskrifterna i säkerhetsskyddslagen (1996:627) rörande utredning och prövning av vilket skydd som kan behövas för en verksamhet.

8.2 Som stöd för myndigheternas arbete för informationssäkerhet erinras om standarden ISO/IEC 17799 Ledningssystem för informationssäkerhet – Riktlinjer för ledning av informationssäkerhet

Format för medborgarcertifikat

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

FältnamnFörekomstASN.1 TypKommentar
VersionM=2 (dvs X.509 v.3)
SerialNumberM
SignatureMFöljande algoritm skall användas: sha1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
– countryName(Landskod)
– OrganizationName (Officiellt namn enligt Patent- och registreringsverkets eller annat nationellt officiellt företagsregister.)
– OrganisationUnit (I förekommande fall. Organisationsenhet enligt organisations egen benämning)
– serialNumber (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
– commonName
countryName, enligt ISO 3166-1 A2, (=SE) organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
commonName skall innehålla namnet på certifikatutfärdare samt eventuellt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimenotBefore och notAfter
SubjectMSe issuerFöljande attribut bör användas:
–countryName (SE)
–surname (Efternamn)
–givenName (samtliga Förnamn)
–serialNumber (Personnummer, YYYYMMDDXXXX)
–commonName (Tilltalsnamn + Efternamn)
surname, givenName och serialNumber skall överensstämma med officiella register, tex SPAR eller folkbokföringens register.
commonName; i de fall tilltalsnamn ej kan identifieras skall samtliga förnamn + efternamn anges.
SubjectPublicKeyInfoMSkall vara: – rsaEncryption
Nyckellängd skall vara minst 1024
IssuerUniqueIdentifier
SubjectUniqueIdentifier

Standard-extensions

FältnamnCriticalFörekomstASN.1 typKommentar
authorityKeyIdentifiernon-criticalMSha-1 (hash av CAs publika nyckel)
subjectKeyIdentifiernon-criticalMSha-1 (hash av subjects publika nyckel)
keyUsageCriticalMInformation om ”key usage” skall finnas. Tillåten användning är:
– digitalSignature
– nonRepudiation
– keyEncipherment
Om nonRepudiation har valts får ingen annan användning markeras.
privateKeyUsagePeriod
certificatePoliciesnon-criticalMEnligt RFC 3039 skall åtminstone en certfikatpolicy anges
policyMappings
subjectAltNamenon-criticalOSe RFC 2459Om e-postadresser läggs in här skall dessa vara enligt RFC822 (localpart@domain)
issuerAltName
SubjectDirectory
AttributesbasicConstraints
nameConstraints
policyConstraints
cRLDistributionPointsnon-criticalM/OMandatory om spärrinformation tillhandahålls via CRL.
extKeyUsage

Private extensions

FältnamnCriticalFörekomstKommentar
AuthorityInfoAccessNon-criticalM/OMandatory om tillhandahålls via OCSP.
biometricInfonon-criticalO
qcStatementsnon-criticalO
cardNumbernon-criticalO

Format för tjänstecertifikat

M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt (M).

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess

Obligatoriskt (M).

Formaten på de ingående fältet specificeras i RFC 2459.

I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

FältnamnFörekomstASN.1 TypKommentar
VersionM=2 (dvs X.509 v.3)
SerialNumberM
SignatureMFöljande hash-algoritm skall användas:
– sha1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör kunna användas:
–countryName (Landskod)
–OrganizationName (Kan t.ex. vara officiellt namn enligt Patent- och Registreringsverkets bolagsregister)
–OrganisationUnit (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
–serialNumber (Organisations/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
–commonName countryName, enligt ISO 3166-1 A2, (=SE) organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
commonName skall innehålla namnet på certifikatutfärdare samt ev. den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTime
SubjectMSe issuerFöljande attribut bör kunna använda:
–countryName (Landskod)
–surname (Efternamn)
–givenName (samtliga Förnamn)
–serialNumber (Personnummer, (YYYYMMDDXXXX), anställningsnummer eller annan unik identifierare)
–commonName (Tilltalsnamn + Efternamn)
–OrganizationName (Kan t.ex. vara officiellt namn enligt Patent- och Registreringsverkets bolagsregister)
–OrganisationUnit (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
–LocalityName (I förekommande fall. Specifikation av plats för verksamhet dit Subject refererar.)
surname, givenName och serialNumber skall överensstämma med officiella register, tex SPAR eller folkbokföringens register.
countryName, enligt ISO 3166-1 A2, (=SE) organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
commonName; i de fall tilltalsnamn ej kan identifieras skall samtliga förnamn + efternamn anges.
SubjectPublicKeyInfoMskall vara:
– rsaEncryption
Nyckellängd skall vara minst 1024
IssuerUniqueIdentifierIngår ej
SubjectUniqueIdentiferIngår ej

Standard-extensions

FältnamnCriticalFörekomstASN.1 typKommentar
AuthorityKeyIdentifiernon-criticalM
SubjectKeyIdentifiernon-criticalM
KeyUsagecriticalMInformation om ”key usage” skall finnas.
Tillåten användning är:
– digitalSignature
– nonRepudiation
– KeyEncipherment
Om nonRepudiation har valts får ingen annan användning markeras.
PrivateKeyUsagePeriodIngår ej
CertificatePoliciesnon-criticalMOID
PolicyMappingsIngår ej
SubjectAltNamenon-criticalOSe RFC 2459Om e-post adresser läggs in här skall denna vara: Rfc822Name (local-part@domain)
IssuerAltNameIngår ej
SubjectDirectoryAttributesnon-criticalOFältet får enbart nyttjas till kompletterande uppgifter om personen som tjänsteutövare som: Title.
BasicConstraintsIngår ej
NameConstraintsIngår ej
PolicyConstraintsIngår ej
CRLDistributionPointsnon-criticalM/OMandatory om spärrinformation tillhandahålls via CRL.
ExtKeyUsageIngår ej

Private extensions

FältnamnCriticalFörekomstKommentar
AuthorityInfoAccessSyntaxNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
BiometricInfonon-criticalO
QcStatementsnon-criticalO
CardNumbernon-criticalO

Format för servercertifikat

Servercertifikat används här som benämning på de certifikat som används huvudsakligen av webbservrar för att upprätta skyddad kommunikationslänk mellan server och klient, oftast med SSL-protokollet.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess

obligatoriskt.

Servercertifikatet finns i en variant enligt nedan.

–Certifikat för autenticering och transport av sessionsnycklar med bitarna digitalSignature och keyEncipherment satta i keyUsage-fältet.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

FältnamnFörekomstASN.1 TypKommentar
VersionM=2 (dvs X.509 v.3)
SerialNumberM
SignatureMFöljande algoritm skall användas:
–sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
–countryName (Landskod)
–OrganizationName (Officiellt namn enligt Patent- och Registreringsverkets eller annat nationellt officiellt företagsregister.)
–OrganisationalUnit (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
–SerialNumber (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
–CommonName CountryName, enligt ISO 3166-1 A2, (=SE)
OrganizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
CommonName skall innehålla namnet på certifikatutfärdare samt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimese medborgarcertifikat
SubjectMSe issuerFöljande attribut bör användas:
–CountryName (Landskod, ex. SE)
–OrganizationName (Officiellt namn för myndighet + organisationsnummer, 16XXXXXXXXXX.)
–OrganizationalUnitName (Organisationsenhet)
–CommonName (DNS host name)
SubjectPublicKeyInfoMSkall vara:
– rsaEncryption
Nyckellängd skall vara minst 1024
issuerUniqueIdentifier
subjectUniqueIdentifier

Standard-extensions

FältnamnCriticalFörekomstASN.1 typKommentar
AuthorityKeyIdentifiernon-criticalMSe medborgarcertifikat
SubjectKeyIdentifiernon-criticalMSe medborgarcertifikat
keyUsagecriticalMInformation om ”key usage” skall finnas.
Tillåten användning är:
– KeyEncipherment
– DigitalSignature
PrivateKeyUsagePeriod
CertificatePoliciesnon-criticalM
PolicyMappings
SubjectAltNamenon-criticalO
issuerAltName
subjectDirectoryAttributesNon-criticalO
BasicConstraints
NameConstraints
PolicyConstraints
CRLDistributionPointsnon-criticalM/OMandatory om spärrinformation tillhandahålls via CRL.
extKeyUsageNon-criticalO–ServerAuth

Private extensions

FältnamnCriticalFörekomstKommentar
AuthorityInfoAccessNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
biometricInfonon-criticalO
qcStatementsnon-criticalO
cardNumbernon-criticalO

Format för certifikat för myndighets elektroniska stämpel

Certifikat för myndighets elektroniska stämpel är främst avsedd att användas för att signera handlingar som ska lämnas ut alternativt arkiveras av myndighet. Handlingen signeras då i myndighetens namn och ej i enskilds handläggares.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Myndighetens stämpelcertifikat finns i variant enligt nedan.

–Certifikat för elektronisk signatur med non-repudiation biten satt i keyUsage-fältet

Leverantören skall tydligt markera eventuella avvikelser från RFC 3039 med nedanstående preciseringar.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar ”mandatory”, dvs. fältet är obligatoriskt. O betecknar ”optional”, dvs. möjligt att använda. ”Critical” innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ’ASN.1 typ’.

FältnamnFörekomstASN.1 TypKommentar
VersionM=2 (dvs X.509 v.3)
SerialNumberM
SignatureMFöljande algoritm skall användas:
–sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
–countryName (Landskod)
–OrganizationName (Officiellt namn enligt Patent- och registreringsverkets eller annat nationellt officiellt företagsregister.)
–OrganisationUnit (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
–SerialNumber (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
–CommonName
CountryName, enligt ISO 3166-1 A2, (=SE)
OrganizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
CommonName skall innehålla namnet på certifikatutfärdare samt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimeSe medborgarcertifikat
subjectMSe issuerFöljande attribut bör användas:
–CountryName (Landskod, ex. SE)
–OrganizationName (Officiellt namn för utgivande organisation, myndighet etc.)
–OrganisationalUnit (Organisationsenhet)
–SerialNumber (Organisationsnummer, 16XXXXXXXXXX)
–CommonName ( Frivilligt)
subjectPublicKeyInfoMSkall vara:
– rsaEncryption
Nyckellängd skall vara minst 1024
IssuerUniqueIdentifier
SubjectUniqueIdentifier

Standard-extensions

FältnamnCriticalFörekomstASN.1 typKommentar
AuthorityKeyIdentifiernon-criticalMSe medborgarcertifikat
SubjectKeyIdentifiernon-criticalMSe medborgarcertifikat
keyUsagecriticalMInformation om ”key usage” skall finnas. Tillåten användning är:
–nonRepudiation
privateKeyUsagePeriod
certificatePoliciesnon-criticalM
policyMappings
subjectAltNamenon-criticalOSe RFC 2459Om e-post adresser läggs in här skall dessa vara enligt RFC822 (localpart@domain)
IssuerAltName
SubjectDirectoryAttributes
basicConstraints
nameConstraints
policyConstraints
CRLDistributionPointsnon-criticalM/OMandatory om spärrinformation tillhandahålls via CRL.
extKeyUsage

Private extensions

FältnamnCriticalFörekomstKommentar
AuthorityInfoAccessNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
biometricInfonon-criticalO
qcStatementsnon-criticalO
cardNumbernon-criticalO

Sifferkollen Läs mer

Belopp

Basbelopp
År 2018 2019 2020
Prisbasbelopp 45 500 46 500 47 300
Förhöjt pbb. 46 500 47 400 48 300
Inkomstbasbelopp 62 500 64 400 66 800
Utdelning fåmansföretag
År 2017 2018 2019
Schablonbelopp 163 075 169 125 171 875

Räntesatser

Periodiseringsfond
År 2017 2018 2019
Räntesats 0,36* 0,36 0,51

* 0,19 om räkenskapsåret börjar 2016 och avslutas 2017.

Referensränta
År 2016-07-01 2019-07-01
Räntesats -0,5 0,0
Ränta på skattekontot
Period 2013-2016 2017 -
Intäkt 0,5625 0
Kostnad Låg 1,25 1,25
Kostnad Hög 16,25 16,25
Räntefördelning
Inkomstår 2017 2018 2019
Positiv 6,27 6,49 6,51
Negativ 1,50 1,50 1,51
Statslåneränta
År 2017 2018 2019
31 maj 0,34 0,49 0,05
30 nov 0,49 0,51 -0,09

Traktamenten

Bilresor
Inkomstår 2017 2018 2019
Egen bil 18,50 18,50 18,50
Förmånsbil, diesel 6,50 6,50 6,50
Förmånsbil, bensin 9,50 9,50 9,50
Kostförmån
År 2017 2018 2019
Frukost, lunch och middag 225 235 245
Lunch eller middag 90 94 98
Frukost 45 47 49
Skattefria gåvor
År 2017 2018 2019
Julgåva 450 450 450
Jubileumsgåva 1 350 1 350 1 350
Minnesgåva 15 000 15 000 15 000

Skattesatser

Bolagsskatt
År 2017 2018 2019
Skattesats 22% 22% 21,4%
Mervärdesskatt
År 2017 2018 2019
Normal

25 %

25 % 25 %
Livsmedel, krog m.m. 12 % 12 % 12 %
Persontransport, böcker m.m. 6 % 6 % 6 %
Arbetsgivaravgifter/egenaavgifter
Födda -1937 1938 - 1953 1954 -
Arb. avgifter 0 % 10,21% 31,42%
Egenavgifter 0 % 10,21% 28,97%