Certification Practice Statement - KVK

Pagina 1 van 49 Kamer van Koophandel Nederland

Certification Practice Statement (CPS)voor Elektronisch Gewaarmerkt Document (EGD)uitgegeven door KvK Nederland namens KvK's

Versie Datum Auteur Opmerking

1.0 25 februari 2004 KvK Nederland Eerste definitieve versie

1.1 2 augustus 2004 KvK Nederland Tweede definitieve versie

1.2 20 juni 2005 KvK Nederland Derde definitieve versie

1.3 25 januari 2006 KvK Nederland Vierde definitieve versie

1.4 21 juni 2006 KvK Nederland Vijfde definitieve versie

1.5 7 mei 2007 KvK Nederland Zesde definitieve versie

1.6 8 juni 2009 KvK Nederland, Max Bouts KPN vervangen door Getronics

1.7 17 maart 2010 KvK Nederland, M. van Bommel Update Hoofdstuk 7

Voorwoord

In toenemende mate bestaat er binnen de maatschappij de behoefte aan elektronische communicatie en

dienstverlening. De vraag naar elektronische afhandeling van transacties neemt toe. Klanten hoeven zich niet

meer fysiek te melden bij transactiepartners en kunnen gebruiksvriendelijk vanaf de eigen werkplek transacties

uitvoeren.

Een absolute voorwaarde voor een volwaardige en volledige elektronische dienstverlening, is een betrouwbaar

mechanisme dat kan zorgen voor dezelfde waarborgen die op dit moment in de ‘papieren wereld’ gelden.

Elektronische handelingen vragen om identiteitsvaststelling van de betrokkenen, wilsverklaring van partijen en

de vertrouwelijkheid van de communicatie tussen transactiepartners. Door het gebruiken van digitale

certificaten die worden uitgegeven binnen een Public Key Infrastructure (PKI) kan aan deze waarborgen worden

voldaan.

De Kamer van Koophandel Nederland heeft ervoor gekozen om Elektronisch Gewaarmerkte Documenten

(EGD), waaronder Elektronisch Gewaarmerkte Uittreksels (EGD) op verzoek aan organisaties of andere

geïnteresseerden ter beschikking te stellen.

Doelstelling van de EGD-dienstverlening is om de Afnemer/Ontvanger (Vertrouwende Partij) van het

Elektronisch Gewaarmerkt Document in staat te stellen op een betrouwbare wijze via het Internet een document

te ontvangen. Hiervoor wordt een elektronische handtekening op het document geplaatst waardoor de

Afnemer/Ontvanger de zekerheid heeft dat het document afkomstig is van de KvK Nederland en dat het tijdens

transport niet is veranderd. De KvK Nederland garandeert daarnaast dat de inhoud van het EGD overeenkomt

met de gegevens van het uittreksel die in het handelsregister zijn bijgewerkt tot de op het EGD vermelde datum

en tijdstip.

Pagina 2 van 49 Kamer van Koophandel NederlandCPS versie 01-07-2011.doc

Hiervoor wordt gebruik gemaakt van een private sleutel om de elektronische handtekening te plaatsen en een

Eindgebruikercertificaat (met publieke sleutel behorende bij private sleutel) om de authenticiteit en integriteit

van het EGD vast te stellen. De private sleutel en elektronische handtekening worden gebruikt in naam van de

gemandateerde functionaris binnen de KvK Nederland die namens de Kamers Van Koophandel en Fabrieken

(KvK’s) het mandaat heeft gekregen om Elektronisch Gewaarmerkt Uittreksels digitaal te ondertekenen.

Om aan Afnemers/Ontvangers duidelijkheid te verschaffen over de mate van betrouwbaarheid van de

elektronische handtekening en bijbehorende Eindgebruikercertificaat (hierna ook wel te noemen Certificaat) is

onderhavige Certification Practice Statement (CPS) opgesteld.

Een CPS beschrijft de door een Certification Service Provider (CSP) gevolgde procedures en getroffen

maatregelen ten aanzien van alle aspecten van de dienstverlening. Het CPS beschrijft daarmee op welke wijze

de CSP voldoet aan de eisen zoals opgesteld in de van toepassing zijnde Certificate Policy (CP).

Een CP beschrijft een benoemde verzameling regels die de toepasbaarheid van een Certificaat aangeeft voor

een bepaalde gemeenschap en/of toepassingsklasse met gemeenschappelijke beveiligingseisen.

Met behulp van een CP en bijbehorend CPS kunnen de Eindgebruiker, Afnemers en/of Vertrouwende Partijen

bepalen hoeveel vertrouwen zij kunnen stellen in het verband tussen de publieke sleutel (die op de Certificaat is

geplaatst) en de identiteit van de houder van de publieke sleutel. Oftewel in welke mate kan worden vertrouwd

dat het Certificaat (met daarin opgenomen de publieke sleutel) ook daadwerkelijk eigendom is van de

gemandateerde functionaris binnen de KvK Nederland en dat met dat Certificaat de geplaatste elektronische

handtekening betrouwbaar te verifiëren valt.


Inhoudsopgave

Voorwoord ............................................................................................................................................................... 1

1 Introductie..................................................................................................................................................... 5

1.1 Achtergrond .................................................................................................................................................. 51.1.1 Inleiding ....................................................................................................................................... 51.1.2 Doel van Certification Practice Statement ................................................................................... 61.1.3 Positionering van de CPS............................................................................................................ 61.1.4 Opzet van dit document............................................................................................................... 61.1.5 Definities en afkortingen .............................................................................................................. 6

1.2 Gebruikersgemeenschap en toepassingsgebied.......................................................................................... 61.2.1 Gebruikersgemeenschap............................................................................................................. 61.2.2 Toepassingsgebied...................................................................................................................... 8

1.3 Contactgegevens.......................................................................................................................................... 9

2 Algemene bepalingen................................................................................................................................... 9

2.1 Verplichtingen............................................................................................................................................... 92.1.1 Verplichtingen van de CSP.......................................................................................................... 92.1.2 Verplichtingen van de (Gedelegeerde) Eindgebruiker (Certificaathouder)................................. 102.1.3 Verplichtingen van de Vertrouwende Partijen............................................................................ 10

2.2 Aansprakelijkheid........................................................................................................................................ 102.3 Financiële verantwoordelijkheid en aansprakelijkheid ................................................................................ 102.4 Interpretatie en handhaving ........................................................................................................................ 10

2.4.1 Van toepassing zijnde wetgeving............................................................................................... 102.4.2 Geldigheid en toepasselijkheid .................................................................................................. 102.4.3 Geschillenbeslechting................................................................................................................ 11

2.5 Tarieven...................................................................................................................................................... 112.6 Publicatie en elektronische opslagplaats .................................................................................................... 112.7 Conformiteitbeoordeling.............................................................................................................................. 11

2.7.1 Conformiteitbeoordeling en –certificatie van de CSP................................................................. 112.7.2 Te ondernemen acties als resultaat van tekortkomingen........................................................... 122.7.3 Rapportage van bevindingen..................................................................................................... 12

2.8 Intellectuele eigendomsrechten .................................................................................................................. 12

3 Identificatie en authenticatie ....................................................................................................................... 13

3.1 Naamformaat.............................................................................................................................................. 133.2 Authenticatie van persoonlijke identiteit...................................................................................................... 133.3 Autorisatie van de Certificaathouder........................................................................................................... 143.4 Authenticatie van intrekkingverzoeken ....................................................................................................... 14

4 Operationele eisen aan Eindgebruikercertificaat ........................................................................................ 14

4.1 Aanvraag van Certificaten .......................................................................................................................... 144.2 Uitgifte van Certificaten............................................................................................................................... 144.3 Acceptatie van Certificaten ......................................................................................................................... 144.4 Intrekking van Certificaten .......................................................................................................................... 14

4.4.1 Omstandigheden die leiden tot intrekking.................................................................................. 144.4.2 Wie mag een verzoek tot intrekking doen.................................................................................. 154.4.3 Procedure voor een verzoek tot intrekking................................................................................. 154.4.4 CRL-uitgiftefrequentie................................................................................................................ 15

4.5 Procedures ten behoeve van beveiligingsaudits......................................................................................... 164.5.1 Vastlegging van gebeurtenissen................................................................................................ 164.5.2 Bewaartermijn van audit-log ...................................................................................................... 164.5.3 Bescherming van audit-log ........................................................................................................ 164.5.4 Audit-log back-up procedure...................................................................................................... 16

4.6 Archivering van documenten ...................................................................................................................... 164.7 Vernieuwen van sleutels............................................................................................................................. 164.8 Compromittering en Continuïteit ................................................................................................................. 174.9 Beëindiging CSP-dienstverlening ............................................................................................................... 17


5 Fysieke, procedurele en personele beveiliging........................................................................................... 17

5.1 Fysieke beveiliging ..................................................................................................................................... 175.1.1 Fysieke beveiliging met betrekking tot CSP............................................................................... 175.1.2 Fysieke beveiliging met betrekking tot RA(-certificaat) .............................................................. 185.1.3 Fysieke beveiliging met betrekking tot CA(-certificaat) .............................................................. 18

5.2 Procedurele beveiliging .............................................................................................................................. 185.2.1 Vertrouwelijke functies en functiescheiding ............................................................................... 185.2.2 Beheer en beveiliging ................................................................................................................ 18

5.3 Personele beveiliging.................................................................................................................................. 19

6 Technische beveiliging ............................................................................................................................... 19

6.1 Genereren en installeren van sleutelparen ................................................................................................. 196.1.1 Genereren van sleutelparen ...................................................................................................... 196.1.2 Plaatsing van private sleutel ...................................................................................................... 196.1.3 Publieke sleutel en Certificaat.................................................................................................... 196.1.4 Sleutellengten ............................................................................................................................ 206.1.5 Archivering private sleutel.......................................................................................................... 20

6.2 Private sleutel bescherming CA en RA....................................................................................................... 206.2.1 Standaarden voor cryptografische modulen .............................................................................. 206.2.2 Archivering private sleutel.......................................................................................................... 206.2.3 Vernietiging private sleutel......................................................................................................... 20

6.3 Gebruiksduur publieke en private sleutels .................................................................................................. 206.4 Logische toegangsbeveiliging van KvK Nederland CSP computers........................................................... 20

7 Certificaat- en CRL-profielen ...................................................................................................................... 21

7.1 Certificaatprofielen...................................................................................................................................... 217.2 CRL-profielen ............................................................................................................................................. 22

7.2.1 Velden ....................................................................................................................................... 227.2.2 CRL en CRL entry extensions ................................................................................................... 23

8 Specificatie van onderhoud op CPS ........................................................................................................... 23

8.1 Soorten wijzigingen in de CPS ................................................................................................................... 238.1.1 Onderdelen die kunnen wijzigen zonder bekendmaking............................................................ 238.1.2 Onderdelen die kunnen wijzigen waarbij bekendmaking verplicht is ......................................... 23

8.2 Publicatie op Internet .................................................................................................................................. 238.3 Goedkeuringsprocedure voor wijzigingen van de CPS............................................................................... 23

Bijlage A: Afkortingen en definities......................................................................................................................... 23


1. Introductie

1.1. Achtergrond

1.1.1. Inleiding

In de papieren wereld worden uittreksels uit het Handelsregister verstrekt door een Kamer van Koophandel

(KvK). Bij uitgifte wordt gebruik gemaakt van beveiligd papier en wordt het document ondertekend door een

tekenbevoegde functionaris binnen de desbetreffende KvK.

Voor de elektronische variant (met behulp van Internet) kunnen Afnemers vanaf elke willekeurige locatie met

een internetaansluiting uittreksels aanvragen via de site van de Kamers van Koophandel (www.kvk.nl). Hiervoor

is een toegangscode en wachtwoord nodig die eveneens on-line kan worden aangevraagd. De aangevraagde

uittreksels worden in PDF-formaat per e-mail afgeleverd. Deze elektronische dienstverlening wordt namens de

KvK’s uitgevoerd door de KvK Nederland.

Om een elektronisch uittreksel te waarmerken kan met behulp van Public Key Infrastructure-technieken een

elektronische handtekening worden gezet op of over een document met behulp van de private sleutel van

degene namens wie het document wordt uitgebracht. Om als ontvanger van een dergelijk Elektronisch

Gewaarmerkte Uittreksel (EGD) er zeker van te zijn dat het document afkomstig is van de KvK Nederland

(authenticiteit) en dat het document eveneens tijdens transport niet gewijzigd is (integriteit), dient de

elektronische handtekening geverifieerd te worden.

Dit wordt gedaan door middel van de publieke sleutel van degene namens wie het document wordt uitgegeven.

Deze publieke sleutel bevindt zich op een Certificaat (Eindgebruikercertificaat). Het Certificaat bevat informatie

over de eigenaar, wijze van uitgifte en beveiligingsniveau van gehanteerde sleutels. Het Eindgebruikercertificaat

wordt met het Gewaarmerkt document meegezonden.

KvK Nederland CSP is een certificatiedienstverlener die Eindgebruikercertificaten uitgeeft binnen de KvK

Nederland-organisatie. KvK Nederland CSP heeft daarbij het uitoefenen van de Registration Authority (RA) in

eigen beheer. Voor de uitoefening van de Certification Authority maakt KvK Nederland gebruik van de PKI-

architectuur van Verisign, op basis van een contract met de Nederlandse wederverkoper van deze architectuur

(GETRONICS).

KvK Nederland CSP onderkent slechts één type certificaat, namelijk een Certificaat voor de elektronische

handtekening (onweerlegbaarheid).

Op de dienstverlening van KvK Nederland CSP zijn de Algemene Voorwaarden Online Informatieverstrekking

KvK en de Vertrouwende Partij Overeenkomst van toepassing (www.kvk.nl/egd). Deze voorwaarden zijn voor

alle betrokken partijen (Afnemers, Certificaathouder en Vertrouwende Partijen) bindend.

Overige documenten die verband houden met de dienstverlening van KvK Nederland CSP zijn te vinden op

www.kvk.nl/egd.


1.1.2. Doel van Certification Practice Statement

In onderhavige Certification Practice Statement (CPS) wordt beschreven welke waarborgen aanwezig zijn om

de betrouwbaarheid van de verificatie van de elektronische handtekening te garanderen en aan te geven

waarvoor het Eindgebruikercertificaat (die de onweerlegbaarheid van de digitale ondertekening waarborgt) kan

worden gebruikt.

1.1.3. Positionering van de CPS

Dit CPS is enkel en alleen van toepassing voor de CSP-activiteiten van de KvK Nederland met betrekking tot

het aanmaken en gebruiken van het Eindgebruikercertificaat (en bijbehorende private en publieke sleutel) van

de gemandateerde functionaris binnen de KvK Nederland. Het CPS beschrijft daarmee op welke wijze de CSP

voldoet aan de eisen zoals opgesteld in de van toepassing zijnde Certificate Policy (CP). Dit CPS is te vinden

via de website van de KvK´s (www.kvk.nl/egd).

1.1.4. Opzet van dit document

De indeling van dit CPS is gebaseerd op het RFC2527, PKIX raamwerk van de Internet Engineering Task Force

(IETF). Aangezien EGD slechts enkele deelfacetten van PKI gebruikt (ondertekenen en verifiëren van

elektronische handtekening met behulp van private en publieke sleutel) wordt waar nodig van deze “de facto”-

standaard afgeweken.

Alhoewel de KvK Nederland CSP de grootste zorg heeft besteed aan onderhavig CPS is het mogelijk dat

onjuistheden en onvolkomenheden voorkomen. KvK Nederland aanvaardt geen enkele aansprakelijkheid voor

schade als gevolg van eventuele onjuistheden en of onvolkomenheden in onderhavig document.

1.1.5. Definities en afkortingen

Voor de leesbaarheid zullen zoveel mogelijk de gangbare PKI-afkortingen in dit document gebruikt worden. In

bijlage A is de volledige bewoording en bijbehorende definitie te vinden. Elk af te korten woord zal echter bij

eerste gebruik voluit worden geschreven en vervolgens worden afgekort conform gangbare PKI-afkortingen

zoals gehanteerd door de PKIoverheid

(http://www.pkioverheid.nl/contents/pages/00000110/pve_deel8_v4_0.pdf ).

1.2. Gebruikersgemeenschap en toepassingsgebied

1.2.1. Gebruikersgemeenschap

Als eerste geeft onderstaande figuur een overzicht van de PKI-hiërarchie en de verschillende PKI-onderdelen

waarvan de EGD-dienstverlening gebruik maakt. Vervolgens volgt een beschrijving van de PKI-onderdelen uit

het figuur die binnen de CSP-dienstverlening van de KvK Nederland worden ingevuld (voor bijbehorende

definities wordt verwezen naar de bijlage). Tenslotte zal worden aangegeven waaruit de

gebruikersgemeenschap van onderhavig CPS bestaat.


Figuur 1 : Overzicht van PKI-hiërarchie en PKI-onderdelen

Certification Service Provider (CSP)

De CSP is de entiteit die door de Eindgebruiker(s) wordt vertrouwd voor het uitgeven, intrekken en beheren van

Certificaten en Certificate Revocation List (CRL). De CSP is verantwoordelijk voor de CSP-dienstverlening,

maar kan bepaalde deelactiviteiten uitbesteden aan derden. De KvK Nederland vervult binnen EGD-

dienstverlening de rol van CSP. Voor het uitgeven en beheren van Certificaten en bijbehorende CRL wordt

gebruik gemaakt van de PKI-architectuur van VeriSign met behulp van het online product OnSite, dat in

Nederland wordt aangeboden (wederverkoper) door GETRONICS.

GETRONICS is overigens niet alleen wederverkoper; zij bevindt zich eveneens in de chain-of-trust. De chain-of-

trust is een PKI technische maatregel ter waarborging van de betrouwbaarheid van het uitgegeven

Eindgebruikercertificaat.

Certification Authority (CA)

Binnen EGD-dienstverlening wordt gebruik gemaakt van de PKI-hiërarchie klasse 21

client certificaten van

VeriSign met behulp van de online-toepassing OnSite. Deze bestaat uit de Root CA van VeriSign en voor

Nederlandse Afnemers/gebruikers wordt gebruik gemaakt van de onderliggende CA van Getronics.

OnSite biedt organisaties de mogelijkheid om PKI-certificaten uit te geven zonder zelf over een fysieke PKI-

architectuur te beschikken. Deze PKI-infrastructuur wordt als het ware “gehost” bij een externe partij. Deze

hosting-dienst wordt in Nederland door Getronics weder verkocht namens de leverancier Verisign.

1De mate van zekerheid die een klasse 2 client certificaat biedt is beperkt; met klasse 2 client certificaten kan de identiteit van eengebruiker adequaat maar niet onomstotelijk worden vastgesteld, aangezien voor controle door de RA volstaan kan worden met verificatievan personeelsgegevens. Het is voor een klasse 2 client certificaat niet noodzakelijk dat de aanvrager persoonlijk verschijnt bij de RA (zieparagraaf 3.2 voor getroffen compenserende maatregelen).

Vertrouwende

Partij b

Verisign

Root CA

Getronics CA

KvK Nederland

CA

Certificaathouder

gemandateerde

functionaris KvK

EGDEGD

EGD

Vertrouwende

Partij a

KvK

Nederland

RA

Certification

Service

Provider

(CSP)


Het uitgeven van de Certificaten aan de Eindgebruiker (Certificaathouder) wordt binnen de CSP KvK Nederland

uitgevoerd door de CA. De CA is een PKI-onderdeel binnen de CSP-dienstverlening dat onder de

verantwoordelijkheid van de CSP wordt uitgevoerd. De CA verzorgt de productie en publicatie van de

aangevraagde Certificaten , nadat door de (L)RA de identiteit van de Aanvrager is vastgesteld.

Local Registration Authority (L)(RA)

De (lokale) RA zorgt voor de verwerking van certificaataanvragen en alle daarbij behorende taken, waarbij

controle van de identiteit en autorisatie (goedkeuring) van de Certificaathouder de belangrijkste zijn. De RA

geeft zelf geen Certificaten uit, maar geeft de CA opdracht tot het genereren en intrekken van Certificaten . De

RA bevindt zich eveneens binnen de KvK Nederland-organisatie.

Eindgebruiker/Certificaathouder

De gemandateerde functionaris binnen de KvK Nederland wordt binnen de EGD-dienstverlening beschouwd als

de Eindgebruiker. De Eindgebruiker is tevens formeel Certificaathouder aangezien het Certificaat de identiteit

van de gemandateerde functionaris binnen de KvK Nederland garandeert. Alle sleutelpaaractiviteiten (private

en publieke sleutel) en het aanvragen en installeren van Certificaten zijn overgedragen aan een Gedelegeerde

Eindgebruiker. Het overdragen vindt jaarlijks formeel plaats door middel van het ondertekenen van een Protocol

door de gemandateerde functionaris binnen de KvK Nederland.

Vertrouwende Partij

De natuurlijke of rechtspersoon die een Elektronisch Gewaarmerkt Document bestelt en/of ontvangt, dat

voorzien is van een Certificaat.

Deze CPS is bedoeld voor de Certification Service Provider (CSP) inclusief de Local Registration Authority2.

(L)RA), Eindgebruiker (gemandateerde functionaris binnen de KvK Nederland), Gedelegeerde Eindgebruiker

(bevinden zich allen binnen de KvK Nederland), Vertrouwende Partijen (zijnde Afnemers en ontvangers van

EGD's) en overige geïnteresseerden.

1.2.2. Toepassingsgebied

De KvK Nederland biedt ondernemers en andere belanghebbende de mogelijkheid om Elektronisch

Gewaarmerkte Documenten te ontvangen. Om de integriteit tijdens transport en de authenticiteit van

verstrekker te waarborgen wordt gebruik gemaakt van PKI-technologie. Hiervoor wordt het document digitaal

ondertekend met behulp van de private sleutel van de Eindgebruiker. Vervolgens kan een Vertrouwende Partij

met behulp van de KvK Sign & Validate Insteekmodule de elektronische handtekening verifiëren. Hierbij wordt

gebruik gemaakt van het Eindgebruikercertificaat waarop zich de publieke sleutel van de Eindgebruiker bevindt.

Het gebruik van Certificaten die worden uitgegeven onder dit CPS is beperkt tot het vast stellen dat het

Elektronisch Gewaarmerkt Document daadwerkelijk afkomstig is van de KvK Nederland en tijdens transport niet

is gewijzigd. Daarnaast garandeert de KvK Nederland dat, in geval van een Elektronisch Gewaarmerkt

Uittreksel, de inhoud van het elektronisch gewaarmerkt document overeenkomt met de gegevens van het

uittreksel die in het handelsregister zijn bijgewerkt tot de op het EGD vermelde datum en tijdstip.

2 Voor de leesbaarheid wordt in het vervolg van dit document de term RA gehanteerd voor de Local Registration Authority binnen de KvKNederland.


In het onderhavige CPS wordt onder “Elektronisch Gewaarmerkt Document” verstaan:

Elektronisch Gewaarmerkt Uittreksel (EGD)

Elektronisch Gewaarmerkte Jaarrekening

Elektronisch Gewaarmerkte Algemene Voorwaarden

Elektronisch Gewaarmerkte Inkoopvoorwaarden

Elektronisch Gewaarmerkte Aansprakelijkheidsverklaringen

Elektronisch Gewaarmerkte Instemmingsverklaringen

Overige Elektronisch Gewaarmerkte Documenten.

1.3. Contactgegevens

Kamer van Koophandel Nederland

Watermolenlaan 1 (bezoekadres)

Postbus 191,

3440 AD Woerden

e-mail: [email protected]

website: www.kvk.nl

2. Algemene bepalingen

2.1. Verplichtingen

2.1.1. Verplichtingen van de CSP

KvK Nederland zal er redelijkerwijs alles aan doen wat in haar vermogen ligt om te waarborgen dat de gebruikte

elektronische handtekening op het EGD dezelfde rechtsgevolgen heeft als een handgeschreven handtekening

(de zogenaamde “natte handtekening”), conform Wet Elektronische Handtekening (hierna te noemen WEH).

Periodiek wordt door een externe IT-Auditor getoetst of KvK Nederland in het kader van haar EGD-

dienstverlening opereert in lijn met de WEH. Bij het toetsen wordt gebruik gemaakt van een normenkader. Dit

normenkader is opgesteld door de externe IT-auditor. KvK Nederland zal er redelijkerwijs alles aan doen wat in

haar vermogen ligt om te opereren in overeenstemming met dit normenkader.

Doordat KvK Nederland gebruik maakt van klasse 2 client certificaat binnen de Onsite dienstverlening van

Getronics zijn bij de identificatie van de (Gedelegeerde) Eindgebruiker tijdens het aanvragen van Certificaten

additionele controlemaatregelen (zoals beschreven in paragraaf 3.2) getroffen om aan bovengenoemde normen

te voldoen.

KvK Nederland CSP garandeert tegenover de Eindgebruiker, Afnemers en Vertrouwende Partijen dat:

voldaan zal worden aan de specificaties opgenomen in dit CPS;

ze zich zal houden aan de Algemene Voorwaarden Online Informatieverstrekking KvK (www.kvk.nl/egd);

ze zich zal houden aan de Vertrouwende Partij Overeenkomst EGD (www.kvk.nl/egd);

alle gegevens in het Eindgebruikercertificaat, ten tijde van uitgifte, juist en volledig zijn;

enkele en alleen de gegevens (sleutels) voor het aanmaken van de elektronische handtekening en voor het

verifiëren van deze handtekening complementair kunnen worden gebruikt.


2.1.2. Verplichtingen van de (Gedelegeerde) Eindgebruiker (Certificaathouder)

De verplichtingen van de (Gedelegeerde) Eindgebruiker zijn als volgt:

Het uitsluitend laten gebruiken van het Certificaat (en geïntegreerde publieke sleutel) voor de daarvoor

bestemde toepassing, te weten de mogelijkheid bieden om de elektronische handtekening op door KvK

Nederland uitgegeven documenten te verifiëren en de authenticiteit van de eigenaar vast te stellen.

Het zorgdragen voor een adequate beveiliging en beheer ten aanzien van de private sleutel.

Het onmiddellijk op de hoogte stellen van de CSP (door middel van e-mail naar [email protected] of

telefonisch via 0348 426276) indien een van onderstaande gevallen zich voordoet:

de private sleutel van de Certificaathouder is verloren, gestolen, mogelijkerwijs beschadigd;

de private sleutel van de Certificaathouder is vermoedelijk verloren of gestolen;

het opslagmedium van private sleutel is defect;

de gegevens in het Certificaat zijn niet (meer) geldig, als gevolg van wijzigingen in de situatie of door

foutieve opgave of verwerking.

2.1.3. Verplichtingen van de Vertrouwende Partijen

De Vertrouwende Partij is zelf verantwoordelijk voor de mate waarin hij besluit op een Certificaat te vertrouwen.

Om hem daarbij te ondersteunen is de mogelijkheid gecreëerd om met behulp van een verificatietool het

Certificaat en bijbehorende Elektronische Handtekening te verifiëren.

In de “Vertrouwende Partij Overeenkomst EGD KvK Nederland”, die op www.kvk.nl/egd te vinden is, zijn alle

verplichtingen van de Vertrouwende Partij verwoord. Bij installatie van de verificatietool zal deze Vertrouwende

Partij Overeenkomst geaccepteerd moeten worden, alvorens de daadwerkelijke installatie kan worden

uitgevoerd.

2.2. Aansprakelijkheid

De KvK Nederland is in geen geval aansprakelijk voor schade, behoudens als gevolg van opzet of grove schuld

van de KvK Nederland. Onder schade wordt tevens begrepen de schade welke wordt veroorzaakt door

vertrouwen van een derde partij. Voor de volledige beschrijving van de aansprakelijkheid wordt verwezen naar

Algemene Voorwaarden Online Informatieverstrekking KvK en Vertrouwende Partij Overeenkomst (beide

documenten zijn te vinden op www.kvk.nl/egd).

2.3. Financiële verantwoordelijkheid en aansprakelijkheid

KvK Nederland heeft met behulp van een aansprakelijkheidsverzekering adequate regelingen getroffen om

aansprakelijkheid te dekken, die voortkomen uit haar werkzaamheden en/of activiteiten, waaronder alle

handelingen met betrekking tot de dienstverlening rondom EGD.

2.4. Interpretatie en handhaving

2.4.1. Van toepassing zijnde wetgeving

Op dit CPS en de bijbehorende EGD-dienstverlening is het Nederlands recht van toepassing.

2.4.2. Geldigheid en toepasselijkheid

Als één of meerdere bepalingen van dit CPS bij gerechtelijke uitspraak ongeldig of anderszins niet van

toepassing wordt verklaard, laat dit de geldigheid en toepasselijkheid van alle overige bepalingen onverlet.


2.4.3. Geschillenbeslechting

Alle geschillen, die naar aanleiding van dit CPS mochten ontstaan, worden door de Nederlandse rechter en

naar Nederlands recht berecht en zullen in eerste instantie worden gebracht voor de bevoegde rechter te

Utrecht.

2.5. Tarieven

Voor het afnemen van EGD´s worden kosten in rekening gebracht (zie www.kvk.nl voor het actuele tarief).

Voor het afnemen van de KvK Sign & Validate Insteekmodule (waarmee de elektronische handtekening kan

worden geverifieerd) worden geen kosten in rekening gebracht. De insteekmodule is te downloaden via de

website van de KvK´s (www.kvk.nl/egd).

Voor het afnemen van Acrobat Reader software worden geen kosten in rekening gebracht. Deze software is

gratis te downloaden vanaf de site van de leverancier (www.acrobat.com) of via de website van de KvK´s

(www.kvk.nl/egd) . Overigens is het ook mogelijk om EGD´s te openen met behulp van de “full version” van

Acrobat.

2.6. Publicatie en elektronische opslagplaats

Voor informatie over EGD’s en de rol van KvK Nederland in dezen als CSP, wordt verwezen naar de website

van KvK’s (www.kvk.nl/egd). Deze informatie is voor eenieder raadpleegbaar.

Informatie over ingetrokken Certificaten waarmee de elektronische handtekening op het EGD geverifieerd kan

worden is via

http://onsitecrl.verisign.com/VerenigingvanKamersvanKoophandelenFabriekeninNederlandEDVEGD/LatestCRL.cr

l

beschikbaar (deze vindplaats wordt ook wel aangeduid met de term repository). De repository is openbaar en

24 uur per dag, 7 dagen per week beschikbaar, met uitzondering van het uitvoeren van onderhoud. De CRL

wordt minimaal éénmaal per 24 uur bijgewerkt.

KvK Nederland heeft in een Relying Party Agreement (Vertrouwende Partij Overeenkomst) de voorwaarden

voor het gebruik van Certificaten beschikbaar gesteld aan gebruikers en Vertrouwende Partijen. Dit document is

te vinden op de website van de KvK (www.kvk.nl/egd).

2.7. Conformiteitbeoordeling

2.7.1. Conformiteitbeoordeling en –certificatie van de CSP

Om conform de WEH te blijven opereren moet worden voldaan aan de normen die hieraan gesteld zijn door de

externe IT-Auditor (Deloitte). Op basis van dit normenkader worden periodiek door middel van een IT-audit de

processen, procedures en systemen rond het digitaal ondertekenen van het document (EGD) alsmede de

processen, procedures en systemen rond (de levenscyclus van) het Certificaat op basis van het normenkader

beoordeeld. De beoordeling zal middels een IT Audit mededeling openbaar worden gemaakt.

Hiermee wordt aangetoond dat het EGD een elektronische handtekening bevat die voldoende betrouwbaar is

teneinde dezelfde rechtsgevolgen te hebben als een handgeschreven handtekening.


Als afgeleide hiervan zijn, binnen de scope van de IT-audit, eisen gesteld ten aanzien van de volgende

aspecten:

certificatiedienstverlener(s);

certificaten;

de levenscyclus van het certificaat;

controlemogelijkheid op de geldigheid van de elektronische handtekening;

het elektronisch gewaarmerkt document.

Bij het opstellen van het normenkader waaraan EGD wordt getoetst, is rekening gehouden met de wettelijke

vereisten en richtlijnen alsmede de gebruikersdoelstellingen die de KvK Nederland aan EGD heeft gesteld. De

normen zijn voornamelijk gebaseerd op:

de telecommunicatiewet, artikelen 1.1, 18.15 en 18.17;

de Wet Elektronische Handtekening;

de Europese Richtlijnen voor elektronische handtekeningen;

de normen voor gekwalificeerde certificaten volgens ETSI;

de Handelsregistervoorwaarden;

de Algemene Voorwaarden Online informatievertrekking KvK;

de Vertrouwende Partij Overeenkomst;

de Code voor Informatiebeveiliging (BS 7799).

2.7.2. Te ondernemen acties als resultaat van tekortkomingen

Indien tijdens de periodieke audits door externe IT-auditors tekortkomingen worden geconstateerd, zal KvK

Nederland alles in het werk stellen om binnen afzienbare tijd (in elk geval binnen 2 maanden) weer conform het

normenkader te opereren.

2.7.3. Rapportage van bevindingen

Het oordeel van de externe IT-auditor zal op de site van de KvK beschikbaar worden gesteld.

2.8. Intellectuele eigendomsrechten

Alle intellectuele eigendomsrechten van Eindgebruikercertificaten als ook de bij de EGD-dienstverlening

behorende documenten blijven bij de KvK Nederland, ook al zijn ze uitgegeven dan wel verstrekt.


3. Identificatie en authenticatie

3.1. Naamformaat

Het ‘subject’-veld binnen de Certificaten is samengesteld uit de volgende attributen: E-mail (E), Common Name

(CN), Organizational Unit (OU), Organization (O)

Attribuut Vereisten

E = [email protected]

CN = F. van Steenis (06 2007), waarbij het getal tussen “( )” voor maand en jaar van uitgifte

staat

OU = http:///Het Certification Practice Statement is te vinden op www.kvk.nl/egd

OU = EDV – EGD

O = Kamer van Koophandel Nederland

Vanuit de verzameling attributen zoals opgenomen in het Certificaat kan de identiteit van de Certificaathouder

worden vastgesteld.

De KvK Nederland zal toezien op het unieke karakter van alle Eindgebruikercertificaten die zijn uitgegeven. Dat

wil zeggen dat een naam die is gebruikt in een uitgegeven Certificaat nooit kan worden toegewezen aan een

ander Certificaat. De uniciteit van het Certificaat wordt gewaarborgd door de keuze van het een combinatie van

certificaatvelden door de KvK Nederland. In het geval dat tussentijds (naast de maandelijkse rEGDliere uitgifte)

nieuwe Certificaten worden uitgegeven, krijgen deze een extra volgnummer met notatiewijze “-02” (waarbij de

tussentijdse uitgave start met “02” en per keer met “1” wordt opgehoogd).

3.2. Authenticatie van persoonlijke identiteit

De KvK Nederland maakt gebruik van klasse 2 cliënt certificaten. Om te voldoen aan de WEH (waarin face-to-

face identificatie wordt vereist) heeft KvK Nederland onderstaande compenserende maatregelen getroffen die

ervoor zorgen dat de identiteit en authenticiteit in voldoende mate zijn gewaarborgd:

Protocol waarin de Eindgebruiker jaarlijks goedkeuring geeft aan de Gedelegeerde Eindgebruiker om

sleutelparen aan te maken en bijbehorende Certificaten aan te vragen;

Functiematrix waarin alle rollen met betrekking tot EGD-dienstverlening zijn beschreven en toegewezen aan

functionarissen binnen KvK Nederland;

Werkinstructies voor het aanmaken van sleutelparen en aanvragen, autoriseren en verwerken van

Certificaten ;

Logboek waarin alle Certificaat gerelateerde activiteiten per rol worden bijgehouden;

Logging van alle handelingen die binnen de OnSite-omgeving van de KvK Nederland (die wordt ingekocht

door Getronics) worden uitgevoerd;

Onafhankelijke mededeling over getroffen maatregelen door IT-Auditor.


3.3. Autorisatie van de Certificaathouder

De Certificaathouder (Eindgebruiker) ondertekent jaarlijks een protocol waarin hij goedkeuring verleent aan de

Gedelegeerde Eindgebruiker om namens hem, onder normale omstandigheden, 12 keer per jaar nieuwe

Certificaten aan te vragen. Hieronder behoort ook de overgedragen verantwoordelijkheid om bijbehorende

sleutelparen aan te maken (en te beheren) en deze te gebruiken voor het plaatsen van een elektronische

handtekening op een elektronisch gewaarmerkt document.

3.4. Authenticatie van intrekkingverzoeken

Diverse redenen zijn aanwijsbaar om tot intrekking van Certificaten (en bijbehorende private sleutel) over te

gaan. Hierbij kan gedacht worden aan oneigenlijk gebruik private sleutel of compromitteren van private sleutel.

In principe kan iedereen intrekkingverzoeken indienen. Hiertoe kan een e-mail verstuurd worden naar

[email protected] of worden gebeld met klantenservice (0348 426276). KvK Nederland zal de beweegreden voor

de goedkeuring van intrekking van een Certificaat vastleggen in het daarvoor bestemde logboek. Afhankelijk

van de reden van intrekking kan het voorkomen dat reeds verstrekte EGD´s opnieuw worden verstrekt (zie

hiervoor paragraaf 4.4). In geval een intrekkingverzoek wordt afgewezen wordt aan de melder bekend gemaakt.

4. Operationele eisen aan Eindgebruikercertificaat

4.1. Aanvraag van Certificaten

De Gedelegeerde Eindgebruiker is, middels een door de Eindgebruiker ondertekent protocol, bevoegd om

nieuwe Certificaten aan te vragen. Hiertoe wordt met behulp van de toepassing OnSite een Certificate Signing

Request (CSR) ingevuld en verstuurd naar de RA. De RA controleert de ingevulde waarden van de aanvraag.

Vervolgens stelt de RA vast dat de aanvraag ook daadwerkelijk van de Gedelegeerde Eindgebruiker afkomstig

is door het verzoek telefonisch te verifiëren en het protocol in te zien.

4.2. Uitgifte van Certificaten

Nadat door de RA is vastgesteld dat de aanvraag ook daadwerkelijk is verstuurd door de Gedelegeerde

Eindgebruiker, autoriseert de RA het verzoek. (met behulp van de toepassing OnSite). Na autorisatie wordt

door de CA het Certificaat elektronisch ondertekend. Na ondertekening wordt per e-mail door de RA het

Certificaat naar de Gedelegeerde Eindgebruiker verstuurd.

4.3. Acceptatie van Certificaten

Zodra de Gedelegeerde Eindgebruiker het ondertekende Certificaat heeft terugontvangen worden de gegevens

in het Certificaat gecontroleerd en wordt de authenticiteit van het Certificaat gecontroleerd. Vervolgens wordt

het Certificaat in het EGD Keystore opgeslagen. Daarna worden de gegevens klaargezet om op geplande

datum in gebruik genomen te gaan worden. Tenslotte wordt de ontvangst met behulp van een e-mail bevestigd

aan de RA.

4.4. Intrekking van Certificaten

4.4.1. Omstandigheden die leiden tot intrekking

Certificaten zullen worden ingetrokken wanneer (een deel) van de informatie in het Certificaat verandert,

veroudert of wanneer de private sleutel behorende bij het Certificaat is gecompromitteerd. Een sleutel wordt als

gecompromitteerd beschouwd in geval van ongeautoriseerde toegang of vermoede ongeautoriseerde toegang

tot private sleutel (zie ook 2.1.2 en 3.4).


Daarnaast kunnen Certificaten kunnen worden ingetrokken als maatregel om een calamiteit te voorkomen c.q.

te bestrijden. Als calamiteit wordt zeker het compromitteren of het vermeende compromitteren van de private

sleutel van de CSP waarmee Certificaten worden ondertekend, beschouwd.

Tenslotte kunnen Certificaten worden ingetrokken indien de formeel overgedragen handelingen (vastgelegd in

Protocol dat ondertekend is door de gemandateerde functionaris binnen de KvK Nederland) met betrekking tot

het Eindgebruikercertificaat en bijbehorende sleutelpaar niet conform Protocol zijn uitgevoerd.

4.4.2. Wie mag een verzoek tot intrekking doen

In principe is eenieder bevoegd om een verzoek tot intrekking te melden bij de KvK Nederland (zie paragraaf

3.4).

4.4.3. Procedure voor een verzoek tot intrekking

Intrekkingverzoeken kunnen, met opgave van reden, per e-mail worden verstuurd naar [email protected] of

telefonisch worden aangemeld bij klantenservice (0348 426276). De verzoeken worden vervolgens zorgvuldige

beoordeeld door de RA, de Gedelegeerde Eindgebruiker, de Security Manager van KvK Nederland en de EGD-

Diensteigenaar binnen de KvK Nederland. Hierbij wordt beoordeeld of het intrekkingverzoek voldoet aan de

redenen vermeld in paragraaf 4.4.1. Indien de opgave van reden gegrond wordt verklaard, wordt het

intrekkingverzoek gehonoreerd, waarna de RA binnen de OnSite omgeving de opdracht verstrekt om het

Certificaat in te trekken.

De KvK Nederland zal de beweegreden voor de intrekking van een Certificaat vastleggen in het daarvoor

bestemde logboek. In geval een intrekkingverzoek wordt afgewezen wordt dit aan de melder bekend gemaakt.

De KvK Nederland zal er voor zorgdragen dat van ingetrokken Certificaten de bijbehorende sleutels niet

opnieuw worden gebruikt. De private sleutel van het ingetrokken Certificaat wordt vernietigd.

Ondanks alle zorgvuldig samengestelde maatregelen (zoals verwoord in onderhavig CPS) kan het voorkomen

dat afhankelijk van de reden van intrekking reeds verstrekte EGD´s opnieuw worden verstrekt. Dit is alleen het

geval als op moment van besluit tot intrekking met zekerheid kan worden vastgesteld dat reeds verstrekte

EGD´s niet rechtsgeldig waren ten tijde van verstrekken. De KvK Nederland zal binnen twee werkdagen de

desbetreffende Vertrouwende Partijen hierover per e-mail op de hoogte brengen. In alle andere gevallen zijn de

reeds verstrekte EGD´s rechtsgeldig en behoeven geen corrigerende maatregelen te worden getroffen door de

KvK Nederland.

De vermelding van een ingetrokken Certificaat maakt onderdeel uit van de CRL totdat de toegewezen

geldigheidsdatum van het desbetreffende Certificaat is geëxpireerd.

4.4.4. CRL-uitgiftefrequentie

De CRL bevindt zich in de Repository. De repository is openbaar en 24 uur per dag, 7 dagen per week

beschikbaar. De CRL wordt minimaal éénmaal per 24 uur bijgewerkt.

De CRL is te raadplegen via

http://onsitecrl.verisign.com/VerenigingvanKamersvanKoophandelenFabriekeninNederlandEDVEGD/LatestCRL.cr

l.


De maximale vertraging tussen de ontvangst van een intrekkingverzoek en de wijziging van de revocation

status informatie die voor alle Vertrouwende Partijen beschikbaar is, is twee werkdagen.

4.5. Procedures ten behoeve van beveiligingsaudits

4.5.1. Vastlegging van gebeurtenissen

De KvK Nederland zal voor auditdoeleinden overzichten bijhouden van gebeurtenissen in de levensloop van de

CSP-systemen, die voor de betrouwbaarheid van de CSP-diensten van belang zijn. De volgende

gebeurtenissen zullen in elk geval worden gelogd:

het aanmaken van accounts en het wijzigen van toegangsrechten;

de installatie en het wijzigen van kritieke software;

het maken van back-ups;

het afsluiten en herstarten van het systeem;

het veiligstellen van audit-logs.

De KvK Nederland garandeert dat alle gebeurtenissen met betrekking tot het goedkeuren van aanvragen en

intrekkingverzoeken van Certificaten, met inbegrip van verzoeken tot vernieuwing van sleutels of vernieuwingen

van Certificaten , (handmatig dan wel automatisch) worden gelogd. Hiertoe wordt een logboek bijgehouden en

worden diverse activiteiten in het systeem gelogd (audit-log).

De gebeurtenissen worden op zodanige wijze gelogd dat de integriteit van de gegevens is gewaarborgd.

4.5.2. Bewaartermijn van audit-log

De audit-logs (waarin de gegevens van het goedkeuren van aanvragen en intrekkingverzoeken van Certificaten

worden geregistreerd) worden voor een periode van ten minste 20 jaar bewaard in een archiveringssysteem.

Opgemerkt dient te worden dat het archiveringssysteem fysiek eigendom is van VeriSign.

4.5.3. Bescherming van audit-log

De audit-log worden logisch opgeslagen in een archiveringssysteem waarop een adequate logische

toegangsbeveiliging is ingericht, gebaseerd op het “need-to-know” principe.

4.5.4. Audit-log back-up procedure

Van de audit-logs worden backups gemaakt. Deze backups worden op een andere locatie opgeslagen dan

waar de oorspronkelijke gegevens zich bevinden.

4.6. Archivering van documenten

De KvK Nederland maakt gebruik van enkele papieren documenten rond de processen van sleutelpaar- en

Certificatenbeheer en het verstrekken van EGD’s. Deze documenten (het logboek en het protocol) worden 2

jaar in de kluis opgeslagen. Vervolgens worden deze documenten gearchiveerd door de diensteigenaar. Voor

zover er elektronische documenten worden gebruikt gelden de bepalingen zoals opgenomen in 4.5.

4.7. Vernieuwen van sleutels

Het vernieuwen van sleutels van de Certificaathouder wordt vooraf gegaan door een controle of aan alle eisen

onder paragraaf 3.1, 3.2 en 3.3 is voldaan.


4.8. Compromittering en Continuïteit

In geval van calamiteit, waarbij is inbegrepen de compromittering van de private sleutel van de CA waarmee

Certificaten worden ondertekend, zal de KvK Nederland er alles aan (laten) doen om de EGD-gerelateerde

activiteiten zo snel mogelijk weer doorgang te laten vinden.

In geval van aantasting van de private sleutel van de KvK Nederland waarmee Certificaten worden

ondertekend, zal de KvK Nederland minimaal het volgende doen:

De Certificaathouder, Vertrouwende Partijen en andere CSP´s waarmee er overeenkomsten bestaan of

andere vormen van rEGDliere samenwerking over de aantasting informeren via de website van KvK

(www.kvk.nl/egd);

Aangeven dat Certificaten en revocation status information uitgegeven met deze sleutel mogelijkerwijs niet

langer geldig zijn via de website van KvK (www.kvk.nl/egd).

4.9. Beëindiging CSP-dienstverlening

De KvK Nederland garandeert dat mogelijke verstoringen voor Certificaathouder en Vertrouwende Partijen als

gevolg van beëindiging van de CSP minimaal blijven en dat de gegevens die nodig zijn om bewijs van

certificering te kunnen leveren in een rechtsgang blijvend worden onderhouden. Met bewijs van certificering

wordt bedoeld de mogelijkheid om de geldigheid van het Certificaat te kunnen blijven controleren gedurende de

geldigheid van het Certificaat.

Indien de KvK Nederland besluit dat de KvK Nederland de CSP-dienstverlening inclusief Certificaten stopzet,

zal de KvK Nederland ernaar streven om:

Alle Vertrouwende Partijen hiervan op de hoogte stellen door middel van een mededeling op de internetsite

(www.kvk.nl/egd) van de KvK´s.

Zorg te dragen dat alle archieven en loggingbestanden als bewijs voor certificatie beschikbaar blijven voor

de in 4.5.2. aangegeven periode.

Alle Vertrouwende Partijen op de hoogte te stellen door middel van een melding op de internetsite

(www.kvk.nl/egd) van de KvK´s van het feit dat de elektronische archieven nog beschikbaar zijn.

De private sleutels van de CSP te vernietigen.

De kritieke CSP-diensten, waaronder het aanbieden van revocation management service, revocation status

service en via de gebruikelijke kanalen beschikbaar stellen van certificate status information, in stand

houden gedurende de levensduur van het laatst uitgegeven Eindgebruikercertificaat. Dat wil zeggen tot 1

jaar na uitgeven van het laatste Eindgebruikercertificaat.

5. Fysieke, procedurele en personele beveiliging

5.1. Fysieke beveiliging

5.1.1. Fysieke beveiliging met betrekking tot CSP

De KvK Nederland draagt zorg voor een adequate fysieke, procedurele en personele informatiebeveiliging om

de risico’s op verlies, beschadiging en het compromitteren van essentiële componenten van de CSP-

dienstverlening tot een minimum te beperken. Dit geldt in het bijzonder voor de omgeving waar de elektronische

handtekening wordt geplaatst op het elektronisch gewaarmerkt document en waar de private sleutel wordt

opgeslagen.


De KvK Nederland heeft fysieke toegangsbeveiliging gerealiseerd door het aanbrengen van duidelijke grenzen

(dat wil zeggen fysieke barrières) rond de diensten voor het elektronisch ondertekenen (plaatsen van digitale

handtekening) van Elektronisch Gewaarmerkte Documenten. Met behulp van compartimentering zijn

verschillende beveiligde ruimtes gecreëerd die enkel met geldige autorisatie (welke middels een toegangspasje

automatisch wordt geverifieerd) binnen te komen zijn. Daarnaast zijn bewakingscamera´s aangebracht bij

kritieke doorgangen.

De KvK Nederland heeft algemene fysieke beveiligingsmaatregelen getroffen in de ruimtes waar CSP-

dienstverlening kritieke apparatuur staat opgesteld. Deze maatregelen bestaan uit:

klimaatregeling;

uninterrupted power supply;

automatische rookmeld-installatie;

bewegingsdetectoren.

De KvK Nederland heeft voor de delen van de CSP-functies die zijn uitbesteed contractuele afspraken gemaakt

waardoor de beveiliging van informatie bij derden wordt gehandhaafd.

5.1.2. Fysieke beveiliging met betrekking tot RA(-certificaat)

De RA binnen de KvK Nederland maakt gebruik van een op smartcard-technologie gebaseerde opslagmedium

voor beide sleutels (privaat en publiek) en bijbehorende RA-certificaat. Het gebruik van dit opslagmedium is met

behulp van een pincode beveiligd tegen ongeautoriseerd gebruik.

5.1.3. Fysieke beveiliging met betrekking tot CA(-certificaat)

De CA binnen de KvK Nederland wordt gehost op een machine van VeriSign. De wijze waarop de private en

publieke sleutel van de CA is beschermd staat beschreven in het CPS van Getronics

(www.pki.getronicspinkroccade.nl/website/index.php?docid=398&setlanguage=_nl) en het CP van VeriSign

(www.verisign.com).

5.2. Procedurele beveiliging

5.2.1. Vertrouwelijke functies en functiescheiding

De KvK Nederland heeft een controletechnische functiescheiding aangebracht tussen vijf categorieën van

werkzaamheden:

Het autoriseren van Eindgebruikercertificaten aanvragen;

Bediening (operationeel beheer) van de CSP-systemen, inclusief productieactiviteiten met betrekking tot

EGD´s;

Het aanvragen van Eindgebruikercertificaten;

Ontwikkelactiviteiten met betrekking tot EGD-dienstverlening;

Toezicht en controle.

5.2.2. Beheer en beveiliging

De KvK Nederland maakt gebruik van gestandaardiseerde ICT beheerprocessen zoals service support en

service delivery om de ICT-componenten behorende bij de EGD-dienstverlening op adequate wijze te beheren.

Hieronder valt ook een noodprocedure voor het tijdig, juist en volledig verwerken van

certificaatintrekkingverzoeken.


5.3. Personele beveiliging

De onderdelen van de CSP-diensten van de KvK Nederland die te maken hebben met het genereren van

sleutelparen en bijbehorende Certificaten zijn gedocumenteerd in werkinstructies en geautoriseerd door middel

van een protocol zodat de navolgbaarheid van de werkzaamheden worden gegarandeerd.

De KvK Nederland zal alleen personeel inzetten dat beschikt over voldoende vakkennis, ervaring en kwaliteit

die noodzakelijk zijn voor de aangeboden EGD-gerelateerde diensten.

De KvK Nederland heeft voldoende personeel in dienst met de noodzakelijke opleiding, training en technische

kennis en ervaring voor de soort en hoeveelheid werk dat nodig is voor het leveren van EGD-gerelateerde

diensten. Alle nieuwe KvK Nederland-medewerkers die EGD-gerelateerde werkzaamheden uitvoeren zullen

hiervoor eerst een training met succes moeten hebben gevolgd.

6. Technische beveiliging

Deze sectie bevat met name bepalingen (zie paragraaf 6.1, 6.3 en 6.4) met betrekking tot het technische

beheer van publieke en private sleutels van de Eindgebruiker(-certificaat). Daarnaast wordt summier het

technische beheer van de CA-certificaat beschreven (zie paragraaf 6.2). Voor een uitgebreidere beschrijving

van het technische beheer van publieke en private sleutels van de CA(-certificaat) wordt verwezen naar het

CPS van Getronics (www.pki.getronicspinkroccade.nl/website/index.php?docid=398&setlanguage=_nl).

6.1. Genereren en installeren van sleutelparen

6.1.1. Genereren van sleutelparen

De KvK Nederland garandeert dat alle sleutels (private en publieke) van Eindgebruiker (Certificaathouder) op

een betrouwbare en veilige wijze worden gegenereerd en dat de geheimhouding van de private sleutel van de

Certificaathouder is gewaarborgd. Hiertoe heeft de Eindgebruiker de bijbehorende activiteiten door middel van

een protocol aan een specifiek toegewezen functionaris binnen de KvK Nederland (Gedelegeerde

Eindgebruiker) overgedragen.

Het algoritme dat wordt gebruikt voor het genereren van de sleutels voor de Certificaathouder is sha1RSA.

6.1.2. Plaatsing van private sleutel

De KvK Nederland garandeert dat de private sleutel van de Certificaathouder op een betrouwbare wijze wordt

geplaatst op het computersysteem van de KvK Nederland.

De private sleutel van de Certificaathouder wordt in afgeschermde omgeving opgeslagen op het

computersysteem van de KvK Nederland.

6.1.3. Publieke sleutel en Certificaat

Met behulp van een Certificate Signing Request (CSR) wordt door de Gedelegeerde Eindgebruiker een verzoek

ingediend bij de RA om autorisatie te krijgen om voor aangeleverde publieke sleutel een getekende Certificaat

aan te maken, conform 4.1, 4.2 en 4.3. Na ontvangst van Certificaat, wordt Certificaat eveneens in

afgeschermde omgeving op het computersysteem van de KvK Nederland geplaatst.


6.1.4. Sleutellengten

De sleutellengte van zowel de private als publieke sleutels van de Eindgebruiker is 2048 bits.

6.1.5. Archivering private sleutel

De private sleutels van de Eindgebruiker (Certificaathouder) worden niet gearchiveerd na verloop van de

levensduur van bijbehorend Eindgebruikercertificaat. Gedurende de gebruikstermijn van de private sleutel

bevindt deze zich enkel en alleen in een logisch beveiligde omgeving. Na afloop van de gebruikstermijn wordt

de private sleutel vernietigd.

6.2. Private sleutel bescherming CA en RA

6.2.1. Standaarden voor cryptografische modulen

Voor het beheer van publieke en private sleutels van de CA(-certificaat) wordt verwezen naar het CPS van

Getronics (www.pki.getronicspinkroccade.nl/website/index.php?docid=398&setlanguage=_nl).

Voor het beheer van publieke en private sleutels van de RA(-certificaat) wordt verwezen naar het CPS van

VeriSign (www.verisign.com).

6.2.2. Archivering private sleutel





6.2.3. Vernietiging private sleutel





6.3. Gebruiksduur publieke en private sleutels

De publieke en private sleutels van de CA van KvK Nederland hebben een geldigheidsduur van 5 jaar.

De publieke en private sleutel van de RA heeft een geldigheidsduur van 1 jaar.

De publieke en private sleutel van de Eindgebruiker heeft een geldigheidsduur van 1 jaar.

6.4. Logische toegangsbeveiliging van KvK Nederland CSP computers

De KvK Nederland ziet toe op een effectieve administratie van de toegang door gebruikers (hierbij zijn

inbegrepen operators, beheerders en alle gebruikers met directe toegang tot het systeem) om

systeembeveiliging te handhaven, met inbegrip van het beheer van de gebruikersaccounts, auditing en tijdige

wijziging of verwijdering van de toegangsmogelijkheden.

KvK Nederland-personeel worden succesvol geïdentificeerd en geauthenticeerd voordat zij gevoelige

applicaties kunnen benaderen die te maken hebben met de EGD-gerelateerde diensten.


Het netwerk is beveiligd tegen ongeautoriseerde externe toegang. Periodiek wordt het beveiligingsniveau

getoetst op basis van een penetratietest.

7. Certificaat- en CRL-profielen

7.1. Certificaatprofielen

De volgende velden zijn in de Certificaten van de Eindgebruiker opgenomen:

Attribuut Waarde/Beschrijving

Versienummer met de waarde: “V3”

Serienummer nummer dat op unieke wijze het Certificaat binnen het uitgevende CA

domein identificeert

Algoritme voor

handtekening

met de waarde: “sha1RSA”

Verlener met de waarden:

CN = Kamer van Koophandel Nederland - EGD CA

OU = Class 2 Managed PKI Individual Subscriber CA

OU = VeriSign Trust Network


C = NL

Geldig van de datum van uitgifte conform schrijfwijze “dag datum maand jaar tijdstip”

Geldig tot de uiterlijke geldigheidsdatum van 1 jaar na verstrekken, conform schrijfwijze

“dag datum maand jaar tijdstip”

Onderwerp met de waarden:

E = [email protected]

CN = M.M. van Eijl (04 2011)

OU = Het Certification Practice Statement is te vinden op www.kvk.nl/egd


Openbare sleutel een 2048 op RSA gebaseerde publieke sleutel

Essentiële beperkingen met de waarden:

“Subjecttype=Eindentiteit

Beperking voor padlengte=Geen”

Certificaatbeleid met de waarden:

” [1]Certificaatbeleid:

Beleids-ID=2.16.840.1.113733.1.7.1.1

[1,1]Beleidskwalificatiegegevens:

Beleidskwalificatie-ID=CPS

Kwalificatie:

http://www.kvk.nl/egd

[1,2]Beleidskwalificatiegegevens:

Beleidskwalificatie-ID=Melden aan gebruiker

Kwalificatie:



Meldingsverwijzing:

Organisatie= Kamer Van Koophandel Nederland

Meldingsnummer:1

Meldingstekst: In het Certification Practice Statement (CPS)

van de KVK NL staan de procedures en maatregelen ten aanzien van

alle aspecten van deze Certification Service Provider (CSP)

dienstverlening beschreven.

Sleutelgebruik met de waarde:

“Digitale handtekening , Sleutelcodering(A0)”

CRL distributiepunten “URL=http://onsitecrl.verisign.com/

VerenigingvanKamersvanKoophandelenFabriekeninNederlandEDVEGD/Lat

estCRL.crl”

Vingerafdruk-algoritme met de waarde: “sha1”

Vingerafdruk met als waarde de daadwerkelijke vingerafdruk weergegeven in

hexadecimaal

7.1.1. Toelichting echtheid

CN = wordt ingevuld met een naam en tussen haakjes de maand en jaar waarin het certificaat in gebruik is

genomen.

Wanneer achter de naam en tussen haakjes een melding staat met letters is er geen spraken van een officieel

document. Het gaat in zo´n geval gaan om een testdocument, aangeduid met de letters TST of ACP.

Voorbeeld geldig: Elektronisch document ondertekend door M. van Eijl (02 2011)

Voorbeeld ongeldig: Elektronisch document ondertekend door M. van Eijl (ACP 02 2011)

7.2. CRL-profielen

7.2.1. Velden

De Certificate Revocation List wordt gepubliceerd in het X.509 v3 formaat voor CRL’s. De volgende velden zijn

in de CRL opgenomen:


Versienummer met de waarde: “V1”

Verlener met de waarden:

CN = Kamer van Koophandel Nederland - EGD CA

OU = Class 2 Managed PKI Individual Subscriber CA

OU = Terms of use at https://onsite.kpn.com/rpa (c)02

OU = VeriSign Trust Network


Ingangsdatum de datum van ingang conform schrijfwijze “dag datum maand jaar tijdstip

Volgende update de datum van eerstvolgende verversing conform schrijfwijze “dag datum

maand jaar tijdstip



Algoritme voor

handtekening

met de waarde: “sha1RSA”

Serienummer, datum van

de ingetrokken

Certificaten

nummer dat op unieke wijze het Certificaat binnen het uitgevende CA

domein identificeert en met de datum van ingang opgenomen conform

schrijfwijze “dag datum maand jaar tijdstip

7.2.2. CRL en CRL entry extensions

Er worden geen CRL en CRL-entry extensies gebruikt.

8. Specificatie van onderhoud op CPS

8.1. Soorten wijzigingen in de CPS

8.1.1. Onderdelen die kunnen wijzigen zonder bekendmaking

Veranderingen in onderhavige CPS die kunnen wijzigen zonder bekendmaking zijn:

Aanpassingen van gebruikte woordkeuze;

Aanpassingen van lay-out;

Aanpassingen van stijlfouten;

Aanpassingen van typefouten;

Aanpassingen van technologische aspecten, die niet van invloed zijn op de betrouwbaarheid van de EGD-

dienstverlening.

8.1.2. Onderdelen die kunnen wijzigen waarbij bekendmaking verplicht is

Veranderingen van onderhavige CPS waarbij de KvK Nederland verplicht is Vertrouwende Partijen hiervan in

kennis te stellen (door middel van publicatie op www.kvk.nl/egd) zijn alle aanpassingen die niet onder onderdeel

8.1.1 vallen, en die ertoe leiden dat opstelling van een nieuwe versie van het CPS noodzakelijk is.

8.2. Publicatie op Internet

Deze CPS kan in elektronische vorm worden verkregen via Internet op de website (www.kvk.nl/egd) van KvK´s.

8.3. Goedkeuringsprocedure voor wijzigingen van de CPS

De Diensteigenaar van EGD-dienstverlening bij de KvK Nederland is verantwoordelijk voor dit CPS. De

procedure voor wijzigingen en goedkeuringen van het CPS is als volgt:

Voorstellen tot wijziging kunnen door iedere belanghebbende worden ingediend via [email protected];

De Diensteigenaar is verantwoordelijk voor de verwerking van de voorstellen. Hij kan zich hierbij laten

adviseren door inhoudelijke experts, onder andere op technisch, procedureel, commercieel en juridisch gebied.

Uiteindelijk beslist de Diensteigenaar of een voorstel tot wijziging wordt doorgevoerd;

Indien het voorstel is goedgekeurd, laat de Diensteigenaar het CPS aanpassen. Indien op grond van onderdeel

8.1 van onderhavige CPS voor inwerkingtreding bekendmaking noodzakelijk is, draagt de Diensteigenaar

tevens hiervoor de verantwoordelijkheid. Op de website (www.kvk.nl/egd) wordt de gewijzigde versie

beschikbaar gesteld.


Bijlage A: Afkortingen en definities

Deze bijlage is zoveel mogelijk gebaseerd op de definities en afkortingen zoals die gehanteerd worden door de

PKIoverheid (http://www.pkioverheid.nl/contents/pages/00000110/pve_deel8_v4_0.pdf ). Indien hiervan wordt

afgeweken wordt dit expliciet vermeld. Daarnaast staan in deze bijlage definities en afkortingen die vooralsnog

niet van toepassing zijn op de EGD-dienstverlening. Om echter zoveel mogelijk conform PKIoverheid te werken

zijn deze definities en afkortingen niet verwijderd.

Definities

Aanvrager

Een natuurlijke of rechtspersoon die een aanvraag tot uitgifte van een certificaat indient bij een Registration

Authority.

Abonnee (Engels: Subscriber)

Een natuurlijke of rechtspersoon die partij is bij een overeenkomst met een aanbieder van openbare

telecommunicatiediensten voor de levering van dergelijke diensten.

Accreditatie

Procedure waarbij een autoriteit bezittende organisatie een formele erkenning uitspreekt dat een entiteit

bekwaam is specifieke taken uit te voeren.

Advanced electronic signature

Zie “Geavanceerde elektronische handtekening”.

Advanced Encryption Standard – AES

De nieuwe, door de NIST vastgestelde en voor de Verenigde Staten geldige, standaard voor het vercijferen van

data. De AES dient als opvolger van het veel gebruikte DES algoritme en in mindere mate voor het SHA-1

algoritme. De AES maakt gebruikt van het in België ontwikkelde Rijndael algoritme.

Afhankelijkheids- en Kwetsbaarheidsanalyse – A&K-analyse

De analyse die wordt uitgevoerd met als doel het vaststellen van het vereiste beveiligingsniveau waardoor een

betrouwbare communicatie binnen de infrastructuur van de PKI voor de overheid wordt gewaarborgd.

Afnemer

Iedere wederpartij van KvK Nederland die middels een online-verbinding, al dan niet via Internet, zekere

informatie van KvK Nederland wenst af te nemen en aan wie KvK Nederland deze informatie tegen een

vergoeding ter beschikking wenst te stellen. [Deze definitie bestaat niet binnen PKIoverheid]

Algoritme

Een verzameling instructies die stap voor stap uitgevoerd dienen te worden om een rekenkundig proces uit te

voeren of een specifiek type problemen op te lossen.

Application Programming Interface - API

Een geformaliseerde verzameling van aanroepen en routines die door een applicatie worden uitgevoerd om

gebruik te maken van ondersteunende diensten (bijvoorbeeld een netwerk).


In relatie met PKI zijn het de aanroepen vanuit de applicaties die gebruik maken van cryptografische

handelingen (versleutelen, tijdstempelen, et cetera).

Asymmetrisch sleutelpaar

Een publieke en private sleutel binnen de public key cryptografie die wiskundig met elkaar zijn verbonden

zodanig dat de publieke sleutel en de private sleutel elkaars tegenhanger zijn. Wordt de ene sleutel gebruikt om

te versleutelen, dan móet de andere gebruikt worden om te ontsleutelen en omgekeerd.

Attribuut

Informatie behorende bij een object (persoon of entiteit) die een kenmerk van die entiteit specificeert, zoals

groepslidmaatschap, een rol of andere autorisatie-informatie verbonden met de houder van een hiervoor

uitgegeven attribuutcertificaat.

Attribuutcertificaat (Engels: Attribute Certificate)

Een datastructuur die een verzameling van attributen voor een Eindgebruiker plus aanvullende informatie bevat

en die getekend is met de private sleutel van de AA die het certificaat uitgegeven heeft.

Attribute Authority – AA (Nederlands: Attribuut Autoriteit)

Een autoriteit die privileges toekent door attribuutcertificaten uit te geven en te tekenen. De Attribute Authority is

gedurende de gehele lifecycle van de attribuutcertificaten daar verantwoordelijk voor, niet alleen wanneer ze

geregistreerd worden.

Authenticatie

1. Het controleren van iemands identiteit, voordat informatieoverdracht plaatsvindt.

2. Het controleren van de juistheid van een boodschap of afzender.

In de Wet EH wordt de term “Authentificatie” gebruikt. Het oorspronkelijke Engelstalige woord is

“Authentication”. In alle technische vakliteratuur wordt dit echter vertaald met “Authenticatie”.

In dit document worden beide begrippen gehanteerd. [Dit is afwijkend van PKIoverheid]

Authenticiteitcertificaat

Een certificaat dat, afhankelijk van de specifieke toepassing, wordt gebruikt voor authenticatie of elektronische

identificatie.

Authentificatie

Zie “Authenticatie”.

Autoriseren

Het verlenen van een bevoegdheid tot het verrichten van handelingen (zoals inzien, aanpassen of bewerken)

op informatie of middelen.

Beleidsregel aanwijzing certificatieorganisaties elektronische handtekeningen

De beleidsregel die tegelijkertijd met de wet EH van kracht is geworden. De beleidsregel betreft de aanwijzing

van organisaties die certificatiedienstverleners toetsen op de overeenstemming met de bij of krachtens de

Telecommunicatiewet gestelde eisen, op grond van artikel 18.16 van de Telecommunicatiewet.

Beschikbaarheid


Het aanwezig zijn en het toegankelijk zijn van de relevante gegevens. Wat betreft infrastructuur: de mate waarin

een systeem bruikbaar is op het moment dat hier een behoefte aan bestaat.

Besluit EH

Het besluit elektronische handtekeningen die als Algemene Maatregel van Bestuur (AmvB) tegelijkertijd met de

wet EH van kracht is geworden. Het besluit stelt de eisen vast voor het verlenen van diensten voor

elektronische handtekeningen. Nr. WJZ/03/02264.

Biometrie

Een techniek voor persoonsherkenning of verificatie aan de hand van een uniek lichamelijk kenmerk.

Bijvoorbeeld: irisscan, vingerafdruk, gezichtsherkenning.

Blanco kaarten

Kaarten (met name smartcards) die grafisch zijn voorbedrukt, maar nog niet zijn voorzien van sleutelmateriaal

of persoongegevens.

Bridge Certification Authority – Bridge-CA

Een Certification Authority die als spil dient in een netwerk van elkaar erkennende Certification Authorities die

interoperabel zijn. Deze Certification Authority slaat dus als het ware een brug tussen de diverse Certification

Authorities.

CA-certificaat

Een certificaat van een Certification Authority.

CA-signing

Het ondertekenen van een CA-certificaat. Dit kan het geval zijn wanneer een CA binnen de hiërarchie wordt

aangemaakt. Ook bij cross-certification vindt dit plaats, in feite is er daar sprake van wederzijdse CA-signing.

Calamiteit (Engels: Calamity)

Een ongeplande situatie waarbij verwacht wordt dat de duur van het niet beschikbaar zijn van één of meer

diensten de afgesproken drempelwaarden zal overschrijden.

CEN Workshop Agreement - CWA

Een document van de Comité Européen de Normalisation (CEN) met daarin adviezen en voorstellen voor

Europese standaardisatie. In vergelijking met de totstandkoming van een ETSI-norm, verloopt de

totstandkoming van een advies van de CWA sneller. Daarentegen is een ETSI-norm meer te beschouwen als

officieel uitgangspunt.

Certificaat

Een elektronische bevestiging die gegevens voor het verifiëren van een elektronische handtekening aan een

bepaalde persoon verbindt en de identiteit van die persoon bevestigt. In het kader een Elektronisch

Gewaarmerkt Document, waaronder een Elektronisch Gewaarmerkt Uittreksel (EGD) is deze elektronische

bevestiging de publieke sleutel van de Eindgebruiker (gemandateerde functionaris binnen de KvK Nederland),

samen met aanvullende informatie. Een certificaat is vercijferd met de private sleutel van de Certification

Authority die de publieke sleutel heeft uitgegeven, waardoor het certificaat onvervalsbaar is. [De verbijzondering

naar Elektronisch Gewaarmerkt Document is afwijkend ten opzichte van PKIoverheid.]


Certificaat & kaart management

De procedures met betrekking tot het beheer van de certificaten en smartcards.

Certificaat identifier – Certificaat-ID

De unieke aanduiding van een certificaat bestaande uit de naam van de Certification Authority en uit het door

de Certification Authority toegewezen serienummer.

Certificaatgeldigheidsduur (Engels: Certificate validity period)

Het tijdsinterval gedurende welke de Certification Authority garandeert dat zij informatie betreffende de status

van een certificaat onderhoudt.

Certificaathouder

Een natuurlijke of rechtspersoon, ten behoeve van wie een certificaat is afgegeven, wiens identiteit kan worden

vastgesteld met behulp van het certificaat en die het certificaat daadwerkelijk en exclusief gebruikt.

Certificaatprofiel

Een beschrijving van de inhoud van een certificaat. Ieder soort certificaat (handtekening, vertrouwelijkheid, e.d.)

heeft een eigen invulling en daarmee een eigen beschrijving. Hierin staan bijvoorbeeld afspraken omtrent

naamgeving e.d.

Certificate Generation Service

Een dienst die certificaten creëert en tekent, gebaseerd op de identiteit en andere door de Registration

Authority geverifieerde kenmerken.

Certificate Policy - CP

Een benoemde verzameling regels die de toepasbaarheid van een certificaat aangeeft voor een bepaalde

gemeenschap en/of toepassingsklasse met gemeenschappelijke beveiligingseisen.

Met behulp van een CP kunnen Eindgebruikers en Vertrouwende Partijen bepalen hoeveel vertrouwen zij

kunnen stellen in het verband tussen de publieke sleutel en de identiteit van de houder van de publieke sleutel.

Certificate Revocation List – CRL

Een openbaar toegankelijke en te raadplegen lijst (databank) van ingetrokken certificaten, beschikbaar gesteld,

ondertekend en onder verantwoordelijkheid vallend van de uitgevende CSP.

Certificate validity period

Zie “Certificaatgeldigheidsduur”.

Certificatie

Een brede (zowel technisch als niet-technisch) evaluatie van de beveiligingseigenschappen van een

informatiesysteem. Certificatie wordt uitgevoerd als een onderdeel van een accreditatieproces, waarbij wordt

nagegaan in welke mate een specifiek ontwerp of implementatie overeenkomt met een vastgestelde

verzameling van eisen.


Certificatiediensten

Het afgeven, beheren en intrekken van certificaten door certificatiedienstverleners, alsmede andere diensten

die samenhangen met het gebruik van elektronische handtekeningen, identiteit en vertrouwelijkheid.

Certificatiedienstverlener

Zie “Certification Service Provider”.

Certification Authority – CA

Een entiteit die door één of meer Eindgebruikers wordt vertrouwd om certificaten te maken en toe te wijzen.

Optioneel kan een CA de sleutels voor Eindgebruikers aanmaken.

Certification Practice Statement – CPS

Een document dat de door een CSP gevolgde procedures en getroffen maatregelen ten aanzien van alle

aspecten van de dienstverlening beschrijft. Het CPS beschrijft daarmee op welke wijze de CSP voldoet aan de

eisen zoals gesteld in de van toepassing zijnde Certificate Policy.

Certification Service Provider - CSP (Nederlands: Certificatiedienstverlener)

Een natuurlijke of rechtspersoon die certificaten afgeeft of andere diensten in verband met elektronische

handtekeningen verleent.

Certification Service Provider-Certificate Policy – CSP-CP

Een Certificate Policy met betrekking op het certificaat van de CSP.

Cliënt

Zie “Eindgebruiker”.

Cliënt-certificaat

Zie “Eindgebruikercertificaat”.

Common Criteria – CC

Een verzameling van internationaal geaccepteerde semantische hulpmiddelen en constructies om de

beveiligingswensen van klanten en de veiligheidskenmerken van systemen en producten met IT-

beveiligingsfuncties te beschrijven. De Common Criteria vormen een hulpmiddel bij de ontwikkeling en

aanschaf van dergelijke producten en systemen. Gedurende evaluatie op grond van de Common Criteria wordt

een dergelijk product of systeem een TOE genoemd.

Common Data Security Architecture - CDSA

Deze architectuur voorziet in een open, platform onafhankelijk, interoperabel en uitbreidbaar software raamwerk

dat bestaat uit API’s die zijn ontworpen om computerplatformen veiliger te maken voor applicaties.

Common Name - CN

Een aanduiding van de Certificaathouder, bestaande uit: achternaam, voorna[a]m[en] en eventueel voorletters.

Compromittatie

Iedere aantasting van het vertrouwen in het exclusief gebruik van een component door bevoegde personen.

Een compromittatie vormt aanleiding om een certificaat op de Certificate Revocation List te plaatsen.


Cross-certification

Een onderzoek door één of meer Certification Authorities uitgevoerd naar elkaars werkwijze en methoden en

een beoordeling van de van toepassing zijnde Certification Policies en Certification Practice Statements. Doel

van dit proces is om de certificaten uit een andere PKI binnen de “eigen” PKI van een bepaald

betrouwbaarheidsniveau te voorzien, zodat het mogelijk wordt elkaars certificaten te accepteren.

Cross-recognition

Een situatie waarbij verschillende PKI’s elkaar erkennen zonder daarbij elkaars sleutels te tekenen. Een gevolg

van cross-recognition is dat Eindgebruikers van de PKI’s met elkaar elektronisch kunnen communiceren op een

zelfde betrouwbaarheidsniveau.

Cryptografisch profiel

Een verzameling van cryptografische algoritmes en andere voor beveiliging relevante functies, zoals

hashfuncties, samen met de parametergrenzen, die worden gebruikt om elektronische handtekeningen te

maken of te verifiëren.

Cryptografische module

De verzameling van hardware, software, firmware, of enige combinatie hiervan die cryptografische processen

implementeert, inclusief cryptografische algoritmen en die bevat is binnen de cryptografische grenzen van de

module.

CSP-certificaat

Een certificaat van een CSP. Met het CSP-certificaat tekent een CSP de onder hem opererende CA’s.

CSP-signing

Het ondertekenen van een CSP-certificaat.

Data Encryption Standard - DES

De standaard symmetrische cryptografie methode van het NIST die een 56-bits sleutel gebruikt. De methode

maakt gebruik van een ‘block cipher” methode die de tekst in blokjes van 64 bits opsplitst en vervolgens deze

bloksgewijs vercijfert. DES is een snel algoritme en wordt algemeen gebruikt. De nieuwe Advanced Encryption

Standard (AES) is een opvolger hiervan.

Data To Be Signed - DTBS

Alle elektronische gegevens die moeten worden getekend, met inbegrip van de kenmerken van het document

van de ondertekenaar en van de elektronische handtekening.

Decryptie

Het weer leesbaar maken van vercijferde gegevens door gebruik te maken van een cryptografische sleutel. In

het geval van symmetrische encryptie is de ontcijfersleutel dezelfde als de vercijfersleutel. In het geval van

asymmetrische encryptie zijn de sleutels ongelijk en spreekt men over de sleutels als publieke sleutel en private

sleutel.

Digitale handtekening

Zie “Geavanceerde elektronische handtekening”.


Digitale identiteit

Zie “Elektronische identiteit”.

Directory service

Een dienst van (of met medewerking van) een CSP die de door de Certification Authority uitgegeven certificaten

on line beschikbaar en toegankelijk maakt ten behoeve van raadplegende of Vertrouwende Partijen.

Dissemination Service - DS

Een dienst die certificaten verspreidt onder abonnees en, met toestemming van de abonnees, aan

Vertrouwende Partijen. De dienst verspreidt tevens de Certificate Policies en Certification Practice Statements

onder de Certificaathouders, abonnees en Vertrouwende Partijen.

Distinguished Name - DN

De unieke aanduiding van de naam van een Certificaathouder. [Deze definitie is ruimer dan die van PKI-

overheid]

Domein-Certificate Policy – D-CP

De Certificate Policy met betrekking tot een domein-certificaat.

Domein-Certification Authority – D-CA

De Certification Authority die binnen een domein CSP-certificaten aanmaakt.

Domein-Policy Authority – D-PA

De Policy Authority op domein niveau die het beleid bepaalt voor de certificaatuitgifte aan de CSP’s in het

betreffende domein. I

Eindgebruiker

Zie “Certificaathouder”. [Dit is afwijkend ten opzichte van PKIoverheid]

Eindgebruikercertificaat

Een certificaat uitgegeven door een Certification Service Provider aan een entiteit, zoals een persoon, een

computer of een stukje informatie, die zelf geen certificaten kan uitgeven.

Omdat naar de Eindgebruiker die een certificaat van een Certification Service Provider vraagt, vaak wordt

verwezen als zijnde de cliënt, wordt dit certificaat ook wel een cliënt-certificaat genoemd. Ook wordt soms de

term “Gebruikercertificaat” genoemd.

Elektronisch Gewaarmerkt Document

Dit is een elektronisch document dat voorzien is van een Elektronische Handtekening. [Deze definitie bestaat

niet binnen PKIoverheid]

Electronic-signature product (Nederlands: Product voor elektronische handtekeningen)

Software of hardware, of relevante componenten daarvan, die door certificatiedienstverleners kunnen worden

gebruikt om diensten op het gebied van elektronische handtekeningen te verlenen of die voor het aanmaken of

verifiëren van elektronische handtekeningen kunnen worden gebruikt


Elektronische handtekening (Engels: Electronic signature)

Een handtekening die bestaat uit elektronische gegevens die zijn vastgehecht aan of logisch geassocieerd zijn

met andere elektronische gegevens en die worden gebruikt als middel voor authentificatie.

Elektronische identiteit

De gegevens in elektronische vorm die worden toegevoegd aan of op logische wijze verbonden met andere

elektronische gegevens en fungeren als uniek kenmerk van de identiteit van de eigenaar. Soms wordt de term

“Digitale identiteit” gebruikt.

Encryptie

Een proces waarmee gegevens met behulp van een wiskundig algoritme en een cryptografische sleutel worden

vercijferd, zodat deze onleesbaar worden voor onbevoegden.

De betrouwbaarheid van de encryptie hangt af van het algoritme, de implementatie daarvan, de lengte van de

cryptografische sleutel en de gebruiksdiscipline.

Bij symmetrische encryptie wordt bij het vercijferen en ontcijferen gebruik gemaakt van één en dezelfde,

geheime, sleutel. Bij asymmetrische encryptie wordt gebruik gemaakt van een sleutelpaar. De ene sleutel, de

private sleutel, is slechts bekend bij de Eindgebruiker van deze sleutel en moet strikt geheim worden gehouden.

De andere, de publieke sleutel, wordt verspreid onder communicatiepartners. Wat met de private sleutel is

vercijferd, kan alleen met de bijbehorende publieke sleutel worden ontcijferd, en omgekeerd.

Entry

Een afzonderlijk stukje informatie dat is/wordt opgenomen in een register, computer et cetera.

eNik

De elektronische Nederlandse Identiteitskaart.

European Electronic Signature Standardization Initiative - EESSI

Een workshop op Europees niveau met als taak het vormgeven van de concretisering via

standaardisatieafspraken van de Europese Richtlijn 1999/93/EG voor elektronische handtekeningen.

European Telecommunications Standards Institute – ETSI

Een organisatie die verantwoordelijk is voor het bepalen van standaarden en normen op

telecommunicatiegebeid die geldig zijn voor geheel Europa.

Europese Richtlijn

In het kader van PKI wordt hiermee bedoeld het document 1999/93/EG van het Europees parlement en de

Raad, d.d.13 december 1999 betreffende een gemeenschappelijk kader voor elektronische handtekeningen

(Publicatieblad nr.L013 d.d. 19/01/2000, p.12-20).

Evaluation Assurance Level - EAL

Een pakket bestaande uit betrouwbaarheidscomponenten uit ISO/IEC 15408 Deel 3 die een punt

vertegenwoordigen op de betrouwbaarheidsschaal zoals die is gedefinieerd in de Common Criteria.

Extended Normalized Certificate Policy – NCP+


Een Certificate Policy voor niet-gekwalificeerde certificaten die hetzelfde kwaliteitsniveau geeft als voor

gekwalificeerde certificaten geldt (in de QCP), maar buiten de werking van de Europese Richtlijn 1999/93/EG, in

situaties waar het gebruik van een secure user device nodig geacht wordt.

Exclusiviteit

Zie “Vertrouwelijkheid”.

FINREAD

Een open standaard voor smartcardlezers die veilige authenticatie op het Internet mogelijk maakt. Deze

standaard is een resultaat van een Europees initiatief vanuit een aantal financiële instellingen en is gericht op

het kunnen uitvoeren van elektronische bancaire transacties. Binnen de FINREAD (voluit: FINancial READer)

specificaties worden de cryptografische processen door de kaartlezer afgehandeld en niet door de smartcard.

Federal Information Processing Standard – FIPS

Een officiële standaard voor de Verenigde Staten en uitgegeven door de NIST. In het kader van PKI zijn vooral

FIPS 140 (“Security Requirements for Cryptographic Modules”) en FIPS 186-2 (“Digital Signature Standard”)

van belang.

Geavanceerde elektronische handtekening (Engels: advanced electronic signature)

Een elektronische handtekening die voldoet aan de volgende eisen:

a) Zij is op unieke wijze aan de ondertekenaar verbonden;

b) Zij maakt het mogelijk de ondertekenaar te identificeren;

c) Zij komt tot stand met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden;

d) Zij is op zodanige wijze aan het elektronisch bestand waarop zij betrekking heeft verbonden, dat elke

wijziging achteraf van de gegevens kan worden opgespoord;

In – met name gedateerde – literatuur wordt soms de term “Digitale handtekening” gebruikt. Een geavanceerde

elektronische handtekening is, in tegenstelling tot een gekwalificeerde elektronische handtekening, geen

rechtsgeldige handtekening.

Gebruiker

Zie “Eindgebruiker”.

Gebruikercertificaat

Zie “Eindgebruikercertificaat”.

Gegevens voor het aanmaken van elektronische handtekeningen

Zie “Signature creation data”.

Gegevens voor het verifiëren van een elektronische handtekening

Zie “Signature verification data”.

Geheime sleutel

Een cryptografische sleutel die wordt gebruikt bij een symmetrisch cryptografisch algoritme. In de

asymmetrische cryptografie – zoals onder andere gebruikt bij de PKI voor de overheid – wordt niet gesproken

over geheime sleutels.


Gekwalificeerd certificaat (Engels: Qualified certificate)

Een certificaat dat voldoet aan de eisen, gesteld krachtens artikel 18.15, tweede lid van de

Telecommunicatiewet, en is afgegeven door een certificatiedienstverlener die voldoet aan de eisen, gesteld

krachtens artikel 18.15, eerste lid van de Telecommunicatiewet. In het kader van de wet EH wordt alleen het

handtekeningcertificaat beschouwd.

Gekwalificeerde elektronische handtekening (Engels: Qualified electronic signature)

Een elektronische handtekening die voldoet aan de volgende eisen:

a) Zij is op unieke wijze aan de ondertekenaar verbonden;

b) Zij maakt het mogelijk de ondertekenaar te identificeren;

c) Zij komt tot stand met middelen die de ondertekenaar onder zijn uitsluitende controle kan houden;

d) Zij is op zodanige wijze aan het elektronisch bestand waarop zij betrekking heeft verbonden, dat elke

wijziging achteraf van de gegevens kan worden opgespoord;

e) Zij is gebaseerd op een gekwalificeerd certificaat als bedoeld in artikel 1.1, onderdeel dd

Telecommunicatiewet; en

f) Zij is gegenereerd door een veilig middel voor het aanmaken van elektronische handtekeningen als bedoeld

in artikel 1.1, onderdeel gg Telecommunicatiewet.

Toelichting:

Met de wet Elektronische Handtekening wordt beoogd de gekwalificeerde elektronische handtekening

rechtsgeldig te maken door haar werking gelijk te stellen aan die van de papieren handtekening.

In de wet staat letterlijk dat als een elektronische handtekening aan a) tot en met f) voldoet, de daarbij gebruikte

“methode wordt vermoed voldoende betrouwbaar te zijn”. Er wordt echter geen naam aan dit type van

handtekeningen gegeven. In de ETSI-norm TS 101456 wordt wel de naam “Qualified electronic signature”

gegeven aan de elektronische handtekening die aan a) tot en met f) voldoet. De hierboven gekozen definitie is

dus voor de hand liggend en vult de omissie in de wet op.

Geldigheidsgegevens

Zie “Validity Data”.

Glue

Software die de brug vormt tussen de applicatieve functies, zoals deze op de clients en servers draaien en de

cryptografische functies, zoals deze door smartcard en kaartlezer worden uitgevoerd.

Handtekeningcertificaat

Een certificaat dat wordt gebruikt bij het verifiëren van een elektronische handtekening. [Deze definitie is

afwijkend t.o.v. de definitie van PKIoverheid.

Hardware Security Module - HSM

De randapparatuur die wordt gebruikt aan de serverkant om cryptografische processen te versnellen. Met name

dient hier gedacht te worden bij het aanmaken van sleutels.

Hashfunctie

Een functie die een bericht van willekeurige lengte omzet in een reeks met een vaste lengte en voldoet aan de

volgende voorwaarden:


Het is rekentechnisch onuitvoerbaar om voor een gegeven uitvoer een invoer te vinden die deze uitvoer als

resultaat heeft;

Het is rekentechnisch onuitvoerbaar om voor een gegeven invoer een tweede invoer te vinden die dezelfde

uitvoer als resultaat heeft.

Hashwaarde

Het resultaat (uitvoer) van een hashfunctie. De hashwaarde wordt ook wel “message digest” genoemd.

Hiërarchisch model

Dat betekent dat het vertrouwen in een keten doorgegeven wordt. Een Eindgebruiker kan daarmee alle

Certification Authorities vertrouwen die onder dezelfde stam-CA vallen.

ICT Uitvoeringsorganisatie - ICTU

De Nederlandse overheidsorganisatie die kennis en kunde op het gebied van ICT en overheid bundelt. Sinds

april 2001 inspireert en stimuleert deze stichting de digitalisering van de Nederlandse overheid. ICTU bundelt

de krachten van 15 programmabureaus. Elk programmabureau is specialist in een segment van de driehoek

overheid, burgers en ICT. Samen zetten zij mogelijkheden van nieuwe media in, ter verbetering van:

De werkprocessen van de overheid;

De dienstverlening aan de maatschappij;

Interactie tussen overheden en burgers.

Identificatie

Het vaststellen van de identiteit van een persoon (of zaak).

Identiteit en Authenticiteit Certificaat

Zie “Authenticiteitcertificaat”.

Identiteitcertificaat

Zie “Authenticiteitcertificaat”.

Incident

Een gebeurtenis die geen onderdeel uitmaakt van de standaardwerking van een dienst en die een onderbreking

van, of een reductie in, de kwaliteit van die dienst veroorzaakt of kan veroorzaken.

Indirecte fysieke verschijning

Een begrip dat wordt gebruikt wanneer de identiteitcontrole van een persoon niet geschiedt met behulp van

persoonlijke aanwezigheid van die persoon, maar in plaats daarvan met behulp van middelen waarmee

dezelfde zekerheid kan worden verkregen als bij persoonlijke aanwezigheid.

Information Asset

Een (benoemd) onderdeel van de informatie binnen een organisatie die benodigd is voor de continuïteit van de

werkprocessen (primair én secundair).


Integriteit

De zekerheid dat gegevens volledig zijn en niet zijn gewijzigd, ongeacht of dat opzettelijk, niet opzettelijk door

menselijk toedoen of anderszins is gebeurd.

Internet Engineering Task Force – IETF

Een internationale organisatie die zich in wil zetten voor de ontwikkeling van de Internet architectuur vanuit

technisch-wetenschappelijk oogpunt.

Interoperabiliteit

De mogelijkheid dat verschillende (geautomatiseerde) systemen met elkaar kunnen werken.

Key-backup

Het maken van een kopie van een private sleutel bij uitgifte. Veelal is dit bedoeld om deze kopie te

overhandigen aan een organisatie die er door middel van key-escrow gebruik van kan maken.

Key-escrow

Een methode van opslag voor (een kopie van) een private sleutel, waarbij deze bij een vertrouwde derde partij

(een zogeheten “Key Escrow Agency” - KEA) in bewaring wordt gegeven. Indien noodzakelijk kunnen daartoe

geautoriseerde betrokkenen toegang krijgen tot de sleutel.

Key-recovery

De techniek waarbij de sleutel die nodig is om een vercijferd bericht te ontcijferen per bericht te herleiden is

door een derde partij.

Leveranciersverklaring

Verklaring van een leverancier waarin hij onder zijn uitsluitende verantwoordelijkheid beweert, dat een product,

proces of dienst in overeenstemming is met een gespecificeerde standaard of ander normatief document.

Lightweight Certificate Policy – LCP

Een Certificate Policy die gebruikt wordt voor niet-gekwalificeerde certificaten in situaties waar een risico-

analyse niet de additionele kosten van zwaardere vereisten van de NCP (zoals fysieke verschijning bij het

aanvraagproces) rechtvaardigt.

Lightweight Directory Access Protocol - LDAP

Een open protocol dat applicaties in staat stelt om informatie uit directories te verkrijgen, zoals bijvoorbeeld e-

mail adressen en sleutels.

Lokale Registration Authority - LRA

De organisatie-eenheid of functie, aan wie de uitvoering van de taak van Registration Authority is opgedragen,

en die fysiek de identificatie gegevens van een aanvrager verzamelt, controleert, registreert en doorstuurt ten

behoeve van de certificaatuitgifte.

Message Digest - MD

Zie “Hashwaarde”.


SHA1-algoritme

Een veel gebruikt algoritme voor het creëren van een cryptografische hashwaarde van een bericht. De SHA1-

waarde van een certificaat is uniek voor dat certificaat, en wordt vaak gebruikt om een certificaat te

identificeren.

Middel voor het aanmaken van elektronische handtekeningen

Zie “Signature Creation Device”.

Middel voor het verifiëren van een elektronische handtekening

Zie "Signature Verification Device”.

Niet-gekwalificeerd certificaat

Een certificaat dat niet voldoet aan de eisen, gesteld krachtens artikel 18.15, tweede lid van de

Telecommunicatiewet, en/of niet is afgegeven door een CSP die voldoet aan de eisen, gesteld krachtens artikel

18.15, eerste lid van de Telecommunicatiewet en/of niet tot toepassing van de geavanceerde elektronische

handtekening strekt.

Non-Qualified Certificate – NQC

Zie “Niet-gekwalificeerd certificaat”.

Non-repudiation (Nederlands: Onloochenbaarheid, Onweerlegbaarheid)

De eigenschap van een bericht om aan te tonen dat bepaalde gebeurtenissen of handelingen hebben

plaatsgevonden, zoals het verzenden en ontvangen van elektronische documenten.

Normalized Certificate Policy – NCP

Een Certificate Policy voor niet-gekwalificeerde certificaten die hetzelfde kwaliteitsniveau geeft als voor

gekwalificeerde certificaten geldt (in de QCP), maar buiten de werking van de Europese Richtlijn 1999/93/EG

en zonder dat het gebruik van een secure user device vereist is.

Notified body (Nederlands: Aangemelde instantie)

Een instantie die is voorgedragen door de overheid van een EU-lidstaat en hiervan melding heeft ontvangen

door de EU, om taken uit te voeren met betrekking tot de procedures voor conformiteittests waarnaar verwezen

wordt in de betreffende “Nieuwe aanpak richtlijnen” van de EU daar waar een derde partij vereist wordt. In het

kader van elektronische handtekeningen wordt een dergelijke instantie ook wel “designated body” genoemd en

wordt als zodanig aangewezen om te bepalen of een product voldoet aan de eisen voor SSCD’s op grond van

de Europese Richtlijn 1999/93/EG.

Object Identifier - OID

Een rij van getallen die op unieke wijze en permanent een object aanduidt.

Ondertekenaar (Engels: Signatory)

(Voor de toepassing van de Telecommunicatiewet) Degene die een middel voor het aanmaken van

elektronische handtekeningen als bedoeld in artikel 1.1, onderdeel ff Telecommunicatiewet gebruikt.


Online Certificate Status Protocol - OCSP

Een methode om de geldigheid van certificaten on line (en real-time) te controleren. Deze methode kan worden

gebruikt als alternatief voor het raadplegen van de Certificate Revocation List.

Onloochenbaarheid

Zie “non-repudiation”.

Onweerlegbaarheid

Zie “non-repudiation”.

Open Card Framework - OCF

Door gebruik te maken van Java en de Java Virtual Machine (VM) kan een open architectuur worden

gerealiseerd op basis waarvan compatibele API’s kunnen worden opgeleverd. Het is derhalve wenselijk dat de

smartcardreader het gebruik van Java en Java VM ondersteunt.

Openbare sleutel

Zie “Publieke sleutel”.

Overheid

Binnen de PKI voor de overheid wordt onder het domein Overheid verstaan:

1. Het Rijk, provincies, gemeenten en andere openbare lichamen met inbegrip van de daaronder ressorterende

diensten, instellingen en bedrijven;

2. Bij algemene maatregel van bestuur aangewezen instellingen die met de uitvoering van publieke taken zijn

belast;

3. Bij algemene maatregel van bestuur aangewezen instellingen en voorzieningen voor onderwijs,

gezondheidszorg en dienstverlening.

Overheids-Policy Authority – Ov-PA

De hoogste beleidsbepalende autoriteit binnen de hiërarchie van de PKI voor de overheid.

Personal Unblocking Key - PUK

De deblokkeringcode voor cryptografische modules.

Personalisatie

Een proces waarbij blanco kaarten worden voorzien van persoonsgebonden gegevens (foto en/of NAW-

gegevens) en/of persoonsgebonden sleutelmateriaal.

PKI-enabled applicatie

Een applicatie die in staat is gebruik te maken van PKI-functies, zoals het plaatsen van een elektronische

handtekening.

Plug and Play - PnP

Een standaard voor automatische configuratie of installatie van hardware middelen.

Policy Authority – PA


Een autoriteit die de regels vaststelt voor het onder haar zeggenschap berustende deel van de hiërarchie van

een.

PA PKIoverheid

De Policy Authority voor de hiërarchie van de PKI voor de overheid. Tot 31-12-2002 is deze rol waargenomen

door de Taskforce PKIoverheid. Vanaf 1 januari 2003 is deze rol overgenomen door het programmabureau

TPA, die thans binnen ICTU is opgenomen.

Prepersonalisatie

Een proces waarbij witte kaarten worden voorzien van generiek materiaal (zoals bedrukking of generieke

sleutels), maar nog niet van persoonsgebonden gegevens of persoonsgebonden sleutelmateriaal.

Private key

Zie “Private sleutel”.

Private sleutel (Engels: Private key)

De sleutel van een asymmetrisch sleutelpaar die alleen bekend dient te zijn bij de houder ervan en strikt geheim

moet worden gehouden. Ook wordt vaak de term “privé sleutel” (Onder andere in de Europese Richtlijn)

gebruikt. In de Wet EH wordt echter “private sleutel” gebruikt. Beide zijn bedoeld als vertaling van de

Engelstalige term “private key”.

Privé sleutel

Zie “Private sleutel”.

Proceseigenaar

Een rol in het procesmanagement die de doelmaatregelen definieert, de consistente implementatie van het

proces in hun verantwoordelijkheidsgebied verzekert, resources om aan procesverbetering te werken aanvraagt

en zeker stelt, procesveranderingen beoordeelt en procesveranderingen en verbeteringen aan

procesgebruikers communiceert.

Product voor elektronische handtekeningen

Zie “Electronic-signature product”.

Protection Profile – PP

Een verzameling van beveiligingseisen, onafhankelijk van de implementatie, voor een categorie van TOE’s die

tegemoetkomen aan specifieke klantwensen.

Public key

Zie “Publieke sleutel”.

Public key cryptografie

Het systeem waarbij een mechanisme van publieke sleutels en private sleutels wordt gebruikt. Dit houdt in dat

er twee sleutels worden gebruikt. Eén sleutel wordt geheim gehouden (de private sleutel) en de andere sleutel

mag publiekelijk worden verspreid (de publieke sleutel). Alles wat met de publieke sleutel vercijferd wordt is

alleen met de private sleutel te ontcijferen. Het is een vorm van asymmetrische encryptie.


Public Key Cryptography Standard - PKCS

Een standaard op het gebied van public key cryptografie, ontwikkeld door RSA-laboratories.

Public Key Infrastructure - PKI

Een samenstel van architectuur, techniek, organisatie, procedures en regels, gebaseerd op public key

cryptografie. Het doel is het hiermee mogelijk maken van betrouwbare elektronische communicatie en

betrouwbare elektronische dienstverlening.

Publieke sleutel (Engels: Public key)

De sleutel van een asymmetrisch sleutelpaar die publiekelijk kan worden bekendgemaakt.

De publieke sleutel wordt gebruikt voor de controle van de identiteit van de eigenaar van het asymmetrisch

sleutelpaar, voor de controle van de elektronische handtekening van de eigenaar van het asymmetrisch

sleutelpaar en voor het vercijferen van informatie voor een derde.

Ook wordt de term “openbare sleutel” (Onder andere in de Europese Richtlijn) gebruikt. In de wet EH wordt

echter “publieke sleutel” gebruikt. Beide zijn bedoeld als vertaling van de Engelstalige term “public key”.

Qualified Certificate – QC

Zie “Gekwalificeerd certificaat”.

Qualified Certificate Policy – QCP

Een Certificate Policy die een uitwerking van de vereisten bevat die zijn omschreven in artikel 18.15, eerste en

tweede lid van de Telecommunicatiewet.

Qualified electronic signature

Zie “Gekwalificeerde elektronische handtekening”.

Regeling elektronische handtekeningen

De regeling die gelijktijdig met de wet EH van kracht is geworden. De regeling geeft nadere regels met

betrekking tot elektronische handtekeningen, zoals technische en organisatorische uitwerking van gestelde

eisen. Nr. WJZ/03/02263.

Registerhouder

Een instantie die gegevens verzamelt en vastlegt in een register. De registerhouder is hierbij verantwoordelijk

voor de definitie en specificatie van de registratie en de inrichting van de opslag- en communicatiefaciliteiten om

hergebruik mogelijk te maken. De registerhouder moet voldoen aan een aantal minimumeisen, maar heeft ook

de vrijheid om zelf bepaalde keuzes te maken op dit gebied. Veelal registreert een registerhouder ook andere

gegevens over de objecten waarvan deze zelf de identiteit heeft vastgesteld.

Registration Authority – RA

Een entiteit binnen de verantwoordelijkheid van de CSP. Een Registration Authority zorgt voor de verwerking

van certificaataanvragen en alle daarbij behorende taken waarbij de verificatie van de identiteit van de

Certificaathouder de belangrijkste is. De RA heeft een duidelijke relatie met een of meerdere Certification

Authorities: De RA geeft – na de verificatie - opdracht aan de Certification Authorities voor de productie van

certificaten. Een RA kan tegelijkertijd voor meerdere Certification Authorities functioneren.

Registration service


Een dienst die de identiteit en, indien van toepassing, overige specifieke kenmerken van een abonnee verifieert.

De resultaten hiervan worden doorgegeven aan de Certificate Generation Service.

Relying Party - RP

Zie “Vertrouwende partij”.

Request for Comment - RFC

Een voorstel voor een standaard afkomstig van de IETF. Hoewel een RFC niet te status van een standaard

heeft, worden in praktijk de RFC’s normaliter gevolgd.

Revocation management service

Een dienst die verzoeken, die te maken hebben met revocatie van certificaten, behandelt en rapporteert, om zo

de te nemen maatregelen te bepalen. De resultaten worden verspreid door middel van de Revocation Status

Service.

Revocation service

Een dienst van een CSP waarbij deze certificaten intrekt bij beëindiging van de overeenkomst, constatering van

fouten in het certificaat of bij compromittatie van de private sleutel die hoort bij de in het certificaat opgenomen

publieke sleutel. De ingetrokken certificaten worden opgenomen in de Certificate Revocation List.

Revocation status information

Informatie die nodig is om op een zeker moment de geldigheid van een certificaat te kunnen aantonen. Deze

informatie kan beschikbaar gesteld worden bijvoorbeeld door middel van een Online Certificate Status Protocol

of Certification Revocation Lists.

Revocation status service

Een dienst die certificaatinformatie over de revocatiestatus levert aan Vertrouwende Partijen. Deze dienst kan

een real-time dienst zijn, maar kan ook zijn gebaseerd op revocatiestatus informatie die wordt geüpdate op

regelmatige intervallen.

Race Integrity Primitives Evaluation Message Digest - RIPEMD

Een eenwegs Hashfunctie. Het aantal bits van de hieruit volgende hashwaarde wordt er meestal direct achter

weergegeven. Zo levert de veel gebruikte RIPEMD-160 een 160-bits uitvoer op.

Rivest-Shamir-Adleman algoritme – RSA-algoritme

Een cryptografische methode die gebruik maakt van een tweeledige sleutel. De private sleutel wordt bewaard

door de eigenaar; de publieke sleutel wordt gepubliceerd. Data wordt vercijferd met de publieke sleutel van de

ontvanger en kan alleen ontcijferd worden met de private sleutel van de ontvanger. Het RSA-algoritme is

rekenintensief, waardoor het vaak wordt gebruikt om een digitale envelop te maken, die een met RSA

vercijferde DES sleutel bevat en met DES vercijferde data.

Root (Nederlands: Stam)

Het centrale gedeelte van een (PKI-) hiërarchie waaraan de gehele hiërarchie en haar betrouwbaarheidsniveau

is opgehangen.


Root certificate

Zie “Stamcertificaat”.

Root Certification Authority – Root-CA (Nederlands: Stam-Certification Authority – Stam-CA)

Een Certification Authority die het centrum van het gemeenschappelijke vertrouwen in een PKI-hiërarchie is.

Het CA-certificaat van de Root-CA (“stamcertificaat”) is self-signed, waardoor het niet mogelijk is de bron van

de handtekening op dit certificaat te authenticeren, alleen de integriteit van de inhoud van het certificaat. De

Root-CA wordt echter vertrouwd omdat iemand anders dat vertelt of omdat men de CP en eventuele andere

documenten van de Root-CA heeft gelezen en deze bevredigend vindt.

Root-signing

Het ondertekenen van het certificaat van de Root-CA – het stamcertificaat – door de Root-CA zelf.

Secure Hash Algorithm - SHA

Een bepaald algoritme dat een concrete invulling geeft voor een Hashfunctie. Het nog veel gebruikte SHA-1 is

ontwikkeld door de Amerikaanse overheid en maakt een Message Digest van 160 bits aan. De Advanced

Encryption Standard is een opvolger hiervan.

Secure Multi-Purpose Internet Mail Extensions – S/MIME

Een veilige methode voor het versturen van e-mail. De e-mail clients van zowel Netscape als Microsoft bevatten

S/MIME. MIME, zoals beschreven in RFC 1521, omschrijft hoe een elektronisch bericht moet worden

georganiseerd. S/MIME beschrijft hoe encryptie informatie en een certificaat toegevoegd kunnen worden als

onderdeel van de tekst van het bericht. S/MIME volgt de syntax gegeven in het PKCS#7 document. S/MIME

veronderstelt een PKI voor het elektronisch ondertekenen van certificaten en voor het ondersteunen van

encryptie van berichten en attachments.

Secure Signature Creation Device - SSCD (Nederlands: Veilig middel voor het aanmaken van elektronische

handtekeningen)

Een middel voor het aanmaken van elektronische handtekeningen dat voldoet aan de eisen gesteld krachtens

artikel 18.17, eerste lid van de Telecommunicatiewet.

Secure Socket Layer - SSL

Een protocol gecreëerd door Netscape voor het beheer van de veiligheid van bericht verzendingen in een

netwerk en de toegang tot web servers. Het woord socket verwijst hierbij naar de methode om data heen en

weer tussen een client en een server programma te sturen in een netwerk of tussen programmalagen in

dezelfde computer.

Secure User Device – SUD (Nederlands: Veilig gebruikersmiddel)

Een middel dat de gebruikers private sleutel(s) bevat, deze sleutel(s) tegen compromittatie beschermt en

elektronische ondertekening, authenticatie of ontcijfering uitvoert namens de gebruiker.

Security Function - SF

Eén of meerdere delen van een TOE waarop dient te worden vertrouwd om een nauw verwante

deelverzameling van regels van de Certificate Policy ten aanzien van de TOE op te leggen.


Security policy

De verzameling van regels, neergelegd door de beveiligingsautoriteit, die het gebruik van en de maatregelen

ten aanzien van beveiligingsdiensten en faciliteiten regelen.

Self-signed certificaat

Een certificaat voor een Certification Authority, getekend door die Certification Authority zelf. Dit kan alleen bij

het stamcertificaat van een hiërarchie.

Services certificaat

Een certificaat gekoppeld aan een vorm van een rechtspersoon, zoals een server. In het geval van een server

wordt het certificaat aangeboden aan een browser, die toegang zoekt tot de server. Hierdoor kan deze

Eindgebruiker zekerheid krijgen omtrent de identiteit van de server. Een services certificaat is geen

gekwalificeerd certificaat.

Sessiesleutel

Een symmetrische sleutel die één keer wordt gebruikt voor een berichtenuitwisseling of een telefoongesprek

(een sessie). Na afloop van de berichtenuitwisseling of het telefoongesprek wordt de sleutel weggegooid.

Signatory

Zie “Ondertekenaar”.

Signature creation data (Nederlands: Gegevens voor het aanmaken van elektronische handtekeningen)

Unieke gegevens, zoals codes of cryptografische private sleutels, die door de ondertekenaar worden gebruikt

om een elektronische handtekening te maken.

Signature Creation Device - SCD (Nederlands: Middel voor het aanmaken van elektronische handtekeningen)

Geconfigureerde software of hardware die wordt gebruikt om de gegevens voor het aanmaken van

elektronische handtekeningen te implementeren.

Signature verification data (Nederlands: Gegevens voor het verifiëren van een elektronische handtekening)

Gegevens, zoals codes of cryptografische publieke sleutels, die worden gebruikt voor het verifiëren van een

elektronische handtekening.

Signature Verification Device – SVD (Nederlands: Middel voor het verifiëren van een elektronische

handtekening)

Geconfigureerde software of hardware die wordt gebruikt om de gegevens voor het verifiëren van een

elektronische handtekening te implementeren.

Signing key (Nederlands: Tekensleutel)

De private sleutel die wordt gebruikt om een elektronische handtekening te zetten. Er kan onderscheid worden

gemaakt tussen een signing key van een Certification Authority en een signing key van een Eindgebruiker. Met

de signing key van de Eindgebruiker plaatst deze diens elektronische handtekening. Met de signing key van de

Certification Authority worden onder andere de uitgegeven certificaten getekend en wordt de Certificate

Revocation List getekend.


Single Sign-On - SSO

Een procedure waarbij slechts één authenticatie per sessie nodig is, waardoor het niet nodig is dat

Eindgebruikers zich binnen een sessie voor meerdere applicaties moeten authenticeren.

Sleutelpaar

In een asymmetrisch cryptografische systeem is dit een private sleutel en zijn wiskundig verbonden publieke

sleutel. Deze hebben de eigenschap dat met behulp van de publieke sleutel een elektronische handtekening

kan worden geverifieerd die met een private sleutel is gemaakt. In het geval van encryptie betekent deze

eigenschap dat informatie die met de publieke sleutel is vercijferd met behulp van de private sleutel kan worden

ontcijferd (of andersom).

Smartcard

Een plastic kaart ter grootte van een creditcard die in een chip elektronica bevat, inclusief een microprocessor,

geheugenruimte en een voedingsbron. De kaarten kunnen worden gebruikt om informatie op te slaan en zijn

makkelijk mee te nemen. In de toekomst zal de elektronische Nederlandse Identiteitskaart een smartcard zijn.

Stam-Certification Authority – Stam-CA (Engels: Root Certification Authority - Root-CA)

Zie “Root Certification Authority”.

Stamcertificaat (Engels: Root certificate)

Het certificaat van de Stam-CA. Dit is het certificaat behorend bij de plek waar het vertrouwen in alle binnen de

gekozen PKI-hiërarchie uitgegeven certificaten zijn oorsprong vindt. Er is geen hoger liggende CA waaraan het

vertrouwen wordt ontleend. Dit certificaat wordt door de houder zelf ondertekend.

[Deze definitie is afwijkend van PKIoverheid]

Strength of Function - SOF

Een kwalificatie van een TOE beveiligingsfunctie die het minimum aan maatregelen uitdrukt die nodig worden

geacht om het beveiligingsgedrag van die functie uit te schakelen door een directe aanval op haar

onderliggende beveiligingsmechanismen uit te voeren.

Subject Device Provision Service

Een dienstverlening waarvan sprake is indien de CSP het genereren verzorgt van private en publieke sleutels

op SSCD’s. In dat geval bereidt de Subject Device Provision Service de levering van SSCD’s voor en voert die

uit en levert tevens de private sleutels aan de Eindgebruikers af op zodanige wijze dat de vertrouwelijkheid

ervan niet gecompromitteerd wordt en de afgifte aan de beoogde Eindgebruikers is gegarandeerd.

Subscriber

Zie “Abonnee”.

Target of Evaluation - TOE

Een product of systeem inclusief de bijbehorende documentatie dat wordt onderworpen aan een evaluatie.

Taskforce PKIoverheid

De projectorganisatie die de ‘PKI voor de overheid’ heeft gerealiseerd. De Taskforce PKIoverheid heeft op 31

december 2002 zijn activiteiten afgerond.


Tekensleutel

Zie “Signing Key”.

Time Stamping Authority – TSA

Een entiteit die een bestaansbewijs levert van een bepaalde datum op een zeker tijdsmoment.

Time Stamping Service – TSS

Een dienst van een CSP die garandeert dat gegevens op een bepaalde datum en tijd zijn aangemaakt of

verstuurd.

Time stamping unit

Een verzameling van hardware en software die als geheel wordt beheerd en op een willekeurig moment één

enkele Time Stamping Signing key actief heeft.

Toegangscontrolelijst – TCL (Engels: Access Control List - ACL)

Een lijst die weergeeft wie recht op toegang heeft tot de verschillende (onder-)delen van een PKI systeem. De

lijst is daarmee een vorm van autorisatie.

Een TCL wordt voornamelijk gebruikt om te beheren wie toegang heeft tot bestanden en directories op een web

server en een directory server.

Token

Een beveiligd stukje hardware waarop de private sleutels van de Eindgebruiker opgeslagen worden. Een token

kan ook cryptografische berekeningen uitvoeren. Voorbeelden van een token zijn een smartcard en een USB-

token.

Trusted Third Party - TTP

Zie “Certification Service Provider”.

Trustlist

Een lijst met vertrouwde certificaten.

USB-token

Een USB-token is vergelijkbaar met een smartcard, maar heeft vaak een andere vorm. Het is een veilig medium

om certificaten op te slaan. Het verschil is dat voor een USB-token geen extra smartcardreader hoeft te worden

geïnstalleerd. Daarentegen is het niet mogelijk om Eindgebruikerkenmerken op de USB-token op de nemen,

zoals een foto of persoonsgegevens.

Validiteitsdata

Zie “Validity data”.

Validity data (Nederlands: Geldigheidsgegevens)

Aanvullende gegevens, verzameld door de ondertekenaar en/of de controlerende partij, benodigd om de

juistheid en geldigheid van een elektronische handtekening te controleren om zo aan de vereisten van de

Certificate Policy te voldoen.


Veilig middel voor het aanmaken van elektronische handtekeningen

Zie “Secure Signature Creation Device”.

Verifier

Een entiteit die de juistheid en geldigheid van een elektronische handtekening controleert. Dit kan zowel een

Vertrouwende Partij zijn als een derde partij die is geïnteresseerd in de geldigheid van een elektronische

handtekening.

Vertrouwelijkheid

De garantie dat gegevens daadwerkelijk en uitsluitend terechtkomen bij degene voor wie zij zijn bedoeld,

zonder dat iemand anders ze kan ontcijferen. Buiten de private sector wordt hiervoor ook wel de term

“exclusiviteit” gebruikt.

Vertrouwelijkheidcertificaat

Een certificaat waarin de publieke sleutel van het sleutelpaar wordt gecertificeerd dat voor

vertrouwelijkheiddiensten wordt gebruikt.

Vertrouwende partij (Engels: Relying Party)

De natuurlijke of rechtspersoon die een Elektronisch Gewaarmerkt Document bestelt en/of ontvangt, dat

voorzien is van een Certificaat. [Deze definitie is afwijkend ten opzichte van PKIoverheid]

Virtual Private Network - VPN

Een techniek waarmee een logisch afgescheiden netwerk op een algemeen toegankelijk fysiek netwerk kan

worden gebouwd. Deze techniek wordt momenteel veel gebruikt om beveiligd telewerken of flexwerken mogelijk

te maken.

Voluntary accreditation

Zie “Vrijwillige accreditatie”.

Vrijwillige accreditatie (Engels: voluntary accreditation)

Een vergunning waarin de rechten en verplichtingen betreffende de verlening van certificatie diensten zijn

vermeld en die op verzoek van de betrokken certificatiedienstverlener wordt afgegeven door de openbare of

particuliere instantie die is belast met de vastlegging en de handhaving van die rechten en verplichtingen,

wanneer de certificatiedienstverlener de uit de vergunning voortvloeiende rechten niet kan uitoefenen zolang

het besluit van die instantie niet heeft ontvangen.

Wet EH

De wet elektronische handtekeningen (Wet EH) die in eerste vorm op 18 mei 2001 aan de Tweede Kamer is

aangeboden en op 6 mei 2003, na enige aanpassingen, door de Eerste Kamer is aangenomen. De wet is van

kracht sinds 21 mei 2003. Het dossiernummer is 27 743.

What Is Presented Is What You See – WIPIWYS

Een beschrijving van de vereiste kwaliteiten van de interface die op ondubbelzinnige wijze het bericht van de

Eindgebruiker aflevert overeenkomstig de inhoud van het bericht van de Eindgebruiker.


What You See Is What You Sign - WYSIWYS

Een beschrijving van de vereiste kwaliteiten van de interface die op ondubbelzinnige wijze garandeert dat

hetgeen een Eindgebruiker ziet op zijn beeldscherm om te tekenen ook datgene is wat elektronisch van zijn

handtekening wordt voorzien.

Witte kaart

Een kaart (met name een smartcard) die nog niet voorzien is van bedrukking of sleutelmateriaal.

X.509

Een ISO standaard die een basis elektronische opmaak voor certificaten definieert.


Afkortingen

AA Attribute Authority

ACL Access Control List

AES Advanced Encryption Standard

AID Application Identifier

API Application Programming Interface

ARL Authority Revocation List

BM Biometric Method

BPR Basisadministratie Persoonsgegevens en Reisdocumenten

BSM Biometric Sensor Unit

CA Certification Authority

CC Common Criteria

CDSA Common Data Security Architecture

CEN Comité Européen de Normalisation

CGA Certification Generation Application

CMS Cryptographic Message Syntax

CN Common Name

CP Certificate Policy

CPS Certification Practice Statement

CPU Central Processing Unit

CRA Card Reader Application

CRL Certificate Revocation List

CSP Certification Service Provider

CWA CEN Workshop Agreement

D-PA Domein-Policy Authority

D-CA Domein-Certification Authority

D-CP Domein-Certificate Policy

DES Data Encryption Standard

DN Distinguished Name

DPV Dedicated Path Validation

DS Dissemination Service

DSA Digital Signature Algorithm

DTBS Data to be signed

EAL Evaluation Assurance Level

EEMA European Electronic Messaging Association

EEPROM Electronically Erasable Programmable Read Only Memory

EESSI European Electronic Signature Standardization Initiative

EFT Electronic Funds Transfers

EN Europese Norm

eNIK elektronische Nederlandse Identiteitskaart

ETSI European Telecommunications Standards Institute

FIPS Federal Information Processing Standard

GBA Gemeentelijke Basis Administratie

HSM Hardware Security Module


HTTP HyperText Transfer Protocol

HW Hardware

ICTU ICT-Uitvoeringsorganisatie

ID Identifier

IDS Intrusion Detection System

IEC International Electrotechnical Commission

IETF Internet Engineering Task Force

IFM Interface module

I/O Input/Output

IP Internet Protocol

ISO International Organization for Standardization

KEA Key Escrow Agency

LCP Lightweight Certificate Policy

LDAP Lightweight Directory Access Protocol

LRA Lokale Registration Authority

MD Message Digest

NAP Nationaal Actieprogramma Elektronische Snelwegen

NCP Normalized Certificate Policy

NCP+ extended Normalized Certificate Policy

NEN Nederlandse Norm

NIST National Institute of Standards & Technology

NQC Non-Qualified Certificate

Ov-PA Overheids-Policy Authority

OCF Open Card Framework

OCSP Online Certificate Status Protocol

OID Object Identifier

OPTA Onafhankelijke Post en Telecommunicatie Autoriteit

OTAP Ontwikkel-, Test-, Acceptatie- en Productiesystemen

PA Policy Authority

PnP Plug and Play

PDA Personal Digital Assistant

PDS PKI Disclosure Statement

PIN Personal Identification Number

PKCS Public Key Cryptography Standard

PKI Public Key Infrastructure

POP Proof of Possession

PP Protection Profile

PRNG Pseudo Random Noise Generator

PUK Personal Unblocking Key

QC Qualified Certificate

QCP Qualified Certificate Policy

RA Registration Authority

RFC Request for Comment

RIPEMD Race Integrity Primitives Evaluation Message Digest

RND Random Number

RNG Random Number Generator


RP Relying Party

RSA Rivest-Shamir-Adleman

S/MIME Secure Multi-Purpose Internet Mail Extensions

SCA Signature Creation Application

SCD Signature Creation Device

SCE Signature Creation Environment

SF Security Function

SHA Secure Hash Algorithm

SM Secure Messaging

SOF Strength of Function

SSCD Secure Signature Creation Device

SSL Secure Socket Layer

SSM Secured Signature Module

SSO Single Sign-On

SUD Secure User Device

SVD Signature Verification Device

TCPA Trusted Computing Platform Alliance

TOE Target of Evaluation

TTP Trusted Third Party

TSA Time Stamping Authority

TSP Time Stamp Protocol

TSS Time Stamping Service

TWS Trustworthy Systems

USB Universal Serial Bus

UTC Coordinated Universal Time

VIR Voorschrift Informatiebeveiliging Rijksdienst

VPN Virtual Private Network

WAP Wireless Application Protocol

WBP Wet Bescherming Persoonsgegevens

WIPIWYS What Is Presented Is What You See

WYSIWYS What You See Is What You Sign

Certification Practice Statement - KVK

Documents

Transcript of Certification Practice Statement - KVK