Logotyp, till startsidan

Arkiv för Rättslig vägledning


Skatteverkets meddelanden

Riksskatteverkets information om verkets beslut om riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m.
RSV M 2001:35

   
Regeringen har i beslut den 21 december 2000 (Ju2000/4939) uppdragit åt Riksskatteverket (RSV) att under ett inledningsskede ha ett sammanhållande ansvar för administrationen av certifikat för elektronisk identifiering och elektroniska signaturer inom statsförvaltningen. I uppdraget ingår att utarbeta allmänna riktlinjer och gemensamma rutiner för certifikathanteringen inom statsförvaltningen. Till området hör elektronisk identifiering, signering och stämpling av elektroniska handlingar samt kryptering för skydd mot obehörig insyn (insynsskydd).
   
RSV har i samarbete med Riksförsäkringsverket, Patent- och Registreringsverket och Statskontoret utarbetat följande allmänna riktlinjer för myndigheternas användning av elektroniska signaturer och certifikattjänster m.m. i system för publika och privata nycklar på myndighetsområdet (PKI-system). Syftet med riktlinjerna är att samordna medborgare och myndigheters användning av PKI-system och elektroniska handlingar. Med medborgare menas här fysiska personer i deras egenskap av privatpersoner eller företrädare för juridiska personer som inte är myndigheter, oberoende av om de är svenska medborgare. Med handläggare avses den som kommunicerar med medborgare och myndigheter i egenskap av anställd eller uppdragstagare hos en myndighet.
   
Riktlinjerna tar sikte på den samlade användningen av certifikattjänster m.m. men de omfattar inte alla tekniska, juridiska och administrativa frågor som uppkommer i anknytning till PKI-system. De gäller inte för de samlade åtgärder för informationssäkerhet som en myndighet har att vidta, åtgärder till skydd främst för rikets säkerhet och frågor om rättslig prövning av bl.a. behörighet och sekretess i anknytning till myndigheternas verksamhet.
   
Föreskrifterna i lagen (2000:832) om kvalificerade elektroniska signaturer har beaktats. Riktlinjerna omfattar emellertid både avancerade och kvalificerade elektroniska signaturer och motsvarande funktioner för avancerad elektronisk myndighetsstämpel, identifiering och kryptering för insynsskydd. Detta innebär att signaturen - och sådan signering som beskrivs i dessa riktlinjer - skall vara knuten uteslutande till en undertecknare, göra det möjligt att identifiera undertecknaren, vara skapad med hjälpmedel som endast undertecknaren kontrollerar och vara knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas. För avancerad elektronisk myndighetsstämpel och sådan stämpling, identifiering och kryptering för insynsskydd som omfattas av dessa riktlinjer gäller motsvarande krav.
   
Elektroniska signaturer som varken är avancerade eller kvalificerade, myndighetsstämplar som inte är avancerade och elektronisk identifiering och kryptografiska rutiner som saknar motsvarande skyddsnivå omfattas inte av dessa riktlinjer.

Innehåll

    1 Definitioner


    I dessa riktlinjer används följande begrepp med nedan angiven betydelse.
Aktiveringsdata
Anordning för signatur framställning m.m.
Anställd
Avancerad elektronisk signatur
Avancerad elektronisk myndighetsstämpel
Certifikat (även kallad Elektronisk Identitets-handling; eID)
Certifikat för myndighetens elektroniska stämpel
Certifikatpolicy
Certifikatinnehavare
Certifikatutfärdare
Elektronisk handling
Elektronisk myndig-hets-stämpel
Elektronisk signatur
Elektronisk tjänst
Förlitande part
Giltighetskontroll i realtid
Handläggare
Identifiering (även kallad stark autenticering)
Kvalificerad elektronisk signatur
Kvalificerat certifikat
Medborgare
Medborgarcertifikat
Myndighet
PKI-system
Privat nyckel
Publik nyckel
Signerad elektronisk handling/signering
Spärr
Spärrkontroll
Spärrlista
Stämplad elektronisk handling/stämpling
Tjänstecertifikat
Undertecknare
Uppdragstagare
Utfärdardeklaration (CPS)
Utställare
Webbservercertifikat
Verifiering
Lösenord eller biometriska data som används för att göra en privat nyckel tillgänglig för användning
Maskin- eller programvara för att använda privata nycklar och aktiveringsdata på ett säkert sätt
Se handläggare
Elektronisk signatur som

a) är knuten uteslutande till en undertecknare,

b) gör det möjligt att identifiera undertecknaren,

c) är skapad med hjälpmedel som endast undertecknaren kontrollerar, och

d) är knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas
Elektronisk myndighetsstämpel som

a) är knuten uteslutande till en myndighet,

b) gör det möjligt att identifiera myndigheten,

c) är skapad med hjälpmedel som endast myndigheten kontrollerar, och

d) är knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas
Ett intyg i elektronisk form av en certifikatutfärdare som kopplar ihop en publik nyckel med en innehavare och bekräftar vem innehavaren är. Utfärdaren förser intyget med sin avancerade elektroniska stämpel
Certifikat som utfärdas för att det skall kunna kontrolleras att stämplade elektroniska handlingar är äkta
Ett regelverk enligt vilket ett certifikat avses användas inom en viss grupp eller klass av tillämpningar med gemensamma krav på säkerhet
Den fysiska person för vilken ett medborgarcertifikat eller ett tjänstecertifikat har utfärdats; innehavare av webbservercertifikat och certifikat för myndighetens elektroniska stämpel omfattas alltså inte
Den som utfärdar certifikat; här beckning på certifikatutfärdare som uppfyller kraven enligt dessa riktlinjer
En bestämd mängd data i digital form som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel
Elektronisk signatur som är knuten till en myndighet
Data i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som utställare och att det inte har förvanskats
Tjänst som tillhandahålls av en myndighet på elektronisk väg
Den som tar emot ett certifikat, en annan signerad eller stämplad elektronisk handling eller data för identifiering av medborgare, handläggare eller myndigheter och som svarar för vissa kontroller samt avses lita på den elektroniska handlingen eller data för identifiering
Funktion för att vid användningstillfället verifiera att ett certifikat är giltigt och inte har spärrats. Vanliga protokoll för denna funktion är Online Certificate Status Protocol (OCSP) och Simple Certificate Verification Protocol (SCVP)
Den som kommunicerar elektroniskt med medborgare eller myndigheter i egenskap av anställd eller uppdragstagare hos en myndighet
Verifiering av att en viss medborgares, handläggares eller myndighets privata nyckel för identifiering har använts. Den privata nyckeln för identifiering skall

a) vara knuten uteslutande till en fysisk person eller en myndighet, och

b) ha använts i en process som gör det möjligt att identifiera personen eller myndigheten genom att verifiera vissa elektroniska data; normalt ett av motparten signerat slumptal.

Data som verifieras skall ha

a) skapats med en nyckel som endast medborgaren, handläggaren eller myndigheten kontrollerar, och

b) knutits till andra elektroniska data på ett sådant sätt att förvanskningar av dessa kan upptäckas
Avancerad elektronisk signatur som enligt lagen (2000:832) om kvalificerade elektroniska signaturer är baserad på ett kvalificerat certifikat och skapad av en säker anordning för signaturframställning
Certifikat som uppfyller kraven i 6 eller 7 § lagen (2000:832) om kvalificerade elektroniska signaturer
Fysiska personer, oberoende av om de är svenska medborgare, som kommunicerar elektroniskt med myndigheter i egenskap av privatperson eller som företrädare för en juridisk person
Certifikat som utfärdas för att medborgare skall kunna kommunicera elektroniskt med myndigheter
Ett statligt eller kommunalt organ med undantag av riksdagen och de kommunala beslutande församlingarna
System där olika nycklar - privata och publika - används för att kryptera och dekryptera (eng. Public Key Infrastructure)
Den hemliga delen av ett nyckelpar för kryptering i ett PKI-system där olika nycklar används för att kryptera och dekryptera
Den publika delen av ett nyckelpar för kryptering i ett PKI-system där olika nycklar används för att kryptera och dekryptera
Elektronisk handling som försetts/förses med en avancerad eller kvalificerad elektronisk signatur
En markering om att ett certifikat inte längre bör anses tillförlitligt. Spärrarna distribueras i form av spärrlistor eller görs tillgängliga för giltighetskontroll i realtid
Kontroll som förlitande part gör av att certifikat inte har spärrats. Spärrkontroll kan göras gentemot en spärrlista eller mot en tjänst för giltighetskontroll i realtid
En signerad eller stämplad lista över spärrade certifikat
Elektronisk handling som försetts/förses med en avancerad elektronisk myndighetsstämpel
Certifikat som utfärdas för att handläggare skall kunna kommunicera elektroniskt inom myndigheten, med andra myndigheter och med medborgare
Fysisk person som behörigen innehar en anordning för signaturframställning m.m.
Se handläggare
Beskrivning av de regler och rutiner som en certifikatutfärdare tillämpar för att uppfylla kraven i en certifikatpolicy
Fysisk person eller myndighet som behörigen använder en anordning för signaturframställning
Certifikat som utfärdas för att medborgare och myndigheter skall kunna identifiera en myndighets elektroniska tjänst med vilken de kommunicerar och skydda denna kommunikation mot obehörig insyn
Process för att kontrollera att ett antagande är korrekt. Begreppet avser främst processer för att kontrollera att en viss certifikatinnehavares privata nyckel - och ingen annans - använts vid signering eller i en liknande procedur

2 Det samordnade området

2.1 I detta avsnitt anges vad som ingår i det område som samordnas för att medborgare skall kunna kommunicera med myndigheter med en och samma elektroniska identitet.

Rutiner och säkerhetskrav

2.2 Dessa riktlinjer gäller rutiner och säkerhetskrav, i PKI-system på myndighetsområdet, för att

1. utfärda elektroniska identitetshandlingar (certifikat),
2. använda certifikat och publika och privata nycklar,
3. tillhandahålla tjänster för att spärra certifikat och kontrollera om de har spärrats, och
4. bedöma vilka lösningar som tillgodoser de säkerhetskrav som gäller inom det samordnade området.

Funktioner

2.3     Produkter och tjänster som omfattas av dessa riktlinjer kan användas för

1. identifiering av fysiska personer,
2. identifiering av myndigheter som tillhandahåller elektroniska tjänster,
3. signering och verifiering av signerade elektroniska handlingar,
4. stämpling och verifiering av stämplade elektroniska handlingar, och
5. kryptering för insynsskydd och dekryptering av insynsskyddade data.

Användning
2.4     Medborgare använder tjänster för

1. identifiering vid
a. tillträde,
för att elektroniskt få tillgång till uppgifter som får lämnas ut till medborgaren och för att få skydd mot att någon annan får tillgång till uppgifterna under sken av att vara honom eller henne,
b.       uppgiftslämnande,
för att få lämna uppgifter elektroniskt och för att få skydd mot att någon annan lämnar uppgifterna under sken av att vara honom eller henne,
2. identifiering av myndighet, för att kontrollera till vilken myndighets elektroniska tjänst medborgaren har anslutit,
3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling, (signerad elektronisk handling),
4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling är utställd av en handläggare vid en myndighet, som har angetts som undertecknare,
5. verifiering av myndighetens elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och
6. insynsskydd, att genom kryptering hindra obehöriga från att ta del av informationen.

2.5     Myndigheter använder tjänster för

1. identifiering av certifikatinnehavare vid
a. tillträde, för att kunna ge tillgång till uppgifter elektroniskt så att inte någon obehörig får ut uppgifterna,
b.       uppgiftslämnande, för att kontrollera vem som var ansluten till myndighetens elektroniska tjänst när vissa uppgifter lämnades,
2. identifiering av annan myndighet, för att kontrollera till vilken myndighets elektroniska tjänst som anslutning skett,
3. signering, för att ställa ut elektroniska handlingar, som är skyddade mot förfalskning eller förnekande av signatur på motsvarande sätt som en traditionell undertecknad handling (signerad elektronisk handling),
4. verifiering av signatur, för att kontrollera att en signerad elektronisk handling, som har kommit in till myndigheten eller upprättats vid myndigheten har ställts ut av den fysiska person som angetts som undertecknare,
5. myndighetens elektroniska stämpel, för att ställa ut elektroniska handlingar som är skyddade mot förfalskning på motsvarande sätt som en traditionell handling i vilken en myndighet anges som utställare genom särskilt tryck eller på annat liknande sätt (stämplad elektronisk handling),
6. verifiering av en annan myndighets elektroniska stämpel, för att kontrollera att en stämplad elektronisk handling härrör från den myndighet som anges som utställare, och
7. insynsskydd, för att hindra att obehöriga gör krypterade data läsbara.
Typer av certifikat och certifikatens innehåll och användning

2.6     Certifikat kan utfärdas för fysiska personer, som medborgarcertifikat eller tjänstecertifikat, och för myndigheter, som webbservercertifikat eller certifikat för myndighetens elektroniska stämpel.
1. Medborgarcertifikat används för att fysiska personer skall kunna kommuni-cera elektron-iskt med myndigheter, i egenskap av privatperson eller som företrädare för en juridisk person (medborgare).
2. Tjänstecertifikat används för att handläggare vid myndigheter skall kunna kommunicera elektroniskt inom myndigheten, med andra myndigheter och med medborgare.
3. Webbservercertifikat används för att medborgare och myndigheter skall kunna identifiera en myndighets elektroniska tjänst med vilken de kommunicerar och skydda denna kommunikation mot obehörig insyn.
4. Certifikat för myndighetens elektroniska stämpel används för att en myndighet skall kunna ställa ut elektroniska handlingar som är skyddade mot förfalskning och förnekande så att det kan verifieras att den elektroniska handlingen har ställts ut av myndigheten, eller inom ramen för ett visst verksamhetsområde inom myndigheten, och inte har ändrats.

2.7     Certifikat enligt 2.6 bör ha det innehåll och det format som framgår av följande bilagor:

MedborgarcertifikatBilaga 1
TjänstecertifikatBilaga 2
WebbservercertifikatBilaga 3
Certifikat för myndighetens elektroniska stämpelBilaga 4

3 Myndighet som avropar certifikattjänster

3.1     En myndighet som tar i bruk rutiner för elektronisk identifiering och signering kan avropa certifikattjänster som omfattas av ramavtal med Statskontoret; jfr 4.1 och 7.1.

3.2     Statskontoret har tecknat ramavtal med följande leverantörer för avrop av följande typer av certifikat.

LeverantörMedborgar-certifikatTjänste-certifikatServer-certifikatCertifikat för myndighetens elektroniska stämpel
Posten ABXXXX*
Telia ABXXXX*
Nordea Bank Sverige ABX X*X*
Förenings-sparbanken ABX   
Svenska Han-delsbanken  ABX   
Integris Svenska AB X  
* Erbjuds under första halvåret 2002.

3.3     Information om ramavtalen finns på Statskontorets webbplats för IT-upphandling Länk till annan webbplats, öppnas i nytt fönster.

3.4     På Statskontorets webbplats finns generell information för avrop enligt ramavtalet; dels en vägledning till ramavtalet, dels skriften Statskontorets ramavtal - en introduktion för dig som är inköpare.

4 Certifikatutfärdare

4.1     I detta avsnitt anges regler och rutiner för utfärdare av certifikat som omfattas av ramavtal med Statskontoret om elektronisk identifiering och signering eller som annars utfärdar certifikat som godtas enligt 6.3.

Tillförlitliga regler och rutiner
4.2     Certifikatutfärdare bör ha sådana regler och rutiner för sin verksamhet att certifikatinnehavare, myndigheter och andra som anslutits till PKI-system på myndighetsområdet kan ha fog för att lita på dem. Certifikatutfärdaren säkerställer att dessa regler och rutiner följs i certifikatutfärdarens verksamhet.
Medborgarcertifikat och Tjänstecertifikat

Ansökan och avtalsvillkor
4.3     En certifikatutfärdare får utfärda medborgarcertifikat eller tjänstecertifikat som godtas enligt 6.3 endast efter skriftlig ansökan. Ansökan bör vara undertecknad av sökanden med intyg om att lämnade uppgifter är riktiga och fullständiga.

    Om sökanden tidigare har identifierats enligt 4.9 får en sådan identifiering ersätta ett undertecknande enligt första stycket.

4.4     Ansökan bör innehålla
1. de uppgifter som behövs enligt 2.7 och i övrigt för certifikatets funktioner och certifikatutfärdarens kontroller, och
2. certifikatutfärdarens villkor för att tillhandahålla produkter och tjänster enligt ansökan.

4.5     En certifikatutfärdare, som avser att villkor enligt 4.4.2 som inte finns intagna i själva ansökningshandlingen, skall bli en del av ett avtal som sluts med en sökande, bör tydlig hänvisa till dessa villkor och utforma sina rutiner så att villkoren kommer sökanden tillhanda innan denne undertecknar eller signerar ansökan enligt 5.2 eller 5.3.

4.6     I avtal med sökanden bör certifikatutfärdaren, som villkor för att utfärda certifikat och tillhandahålla avtalade tjänster, ange att sökanden skall
1. skydda sina privata nycklar och aktiveringsdata enligt 5.10 och 5.11,
2. byta ut aktiveringsdata enligt 5.7,
3. använda olika aktiveringsdata enligt 5.7 för signering respektive identifiering och insynsskydd. 

4.7     Certifikatutfärdaren bör informera sökande och myndigheter om innehållet i de avtal som sluts med sökandena. Certifikatutfärdaren bör vidare tillhandahålla uppgifter om avtal, villkor, certifikatpolicies, utfärdardeklarationer, regelverk och anknytande uppgifter till certifikatinnehavare, förlitande parter och andra som behöver uppgifterna i samband med sådana kontroller som avses i 5.14 - 5.18 och 6.2.

    Första stycket innebär inte att certifikatutfärdaren behöver röja företagshemligheter eller uppgifter som skulle kunna äventyra informations-säkerheten om de blev tillgängliga.
Identifiering av sökande

4.8     Certifikatutfärdaren bör identifiera sökanden vid personligt besök, vid ansökan om eller utlämnande av certifikat och privata nycklar, på likvärdigt sätt som vid en ansökan om en SIS-godkänd identitetshandling.

4.9     Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör certifikatutfärdaren få identifiera sökanden genom sådan elektronisk rutin i stället för enligt 4.8. Denna elektroniska rutin bör dock inte användas om den har spärrats eller omdetannars kan antas att den inte identifierar sökanden på ett tillräckligt säkert sätt.

    Identifiering av sökanden vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3 bör också kunna ske elektroniskt. Certifikatinnehavaren bör vid sådan förnyelse signera ansökan eller en annan elektronisk handling med användning av sin privata nyckel för att visa att han eller hon innehar den privata nyckel som hör till certifikatet.

Kontroll av uppgifter m.m.
4.10   Certifikatutfärdaren bör kontrollera att
1. ansökan om certifikat är behörigen undertecknad eller signerad i de fall sökandens elektroniska signatur godtas enligt 5.3,
2. de uppgifter som sökanden har lämnat enligt 5.2 är fullständiga och stämmer överens med uppgifter som finns regi-strerade i SPAR-registret eller ett annat officiellt register.
Produktion av certifikat och utlämnande av aktiveringsdata m.m.

4.11   Certifikatutfärdaren bör, i enlighet med lämnade och av certifikatutfärdaren kontrollerade uppgifter, producera certifikat och signera dem med en avancerad elektronisk signatur eller en avancerad elektronisk stämpel.
    Certifikatutfärdaren bör tilldela medborgare och handläggare ett certifikat för signering och ett certifikat för identifiering och insynsskydd.

4.12   I de fall certifikatutfärdaren tillhandahåller privata nycklar och aktiveringsdata till sådana nycklar bör dessa befordras i separata försändelser och lämnas ut till sökanden vid personligt besök hos certifikatutfärdaren eller ett ombud för utfärdaren eller genom ett elektroniskt förfarande som är förenligt med 4.9.

4.13   Privata nycklar som certifikatutfärdare använder för att signera certifikat i enlighet med dessa riktlinjer bör skyddas genom särskilt tillförlitliga rutiner och bör få användas endast för att signera certifikat och spärrinformation.
Anordning för signaturframställning m.m.

4.14   Certifikatutfärdaren bör förse den som tilldelas certifikat med maskin- eller programvara för att använda privata nycklar (anordning för signaturframställning m.m.). Denna anordning bör skydda privata nycklar, hantera aktiveringsdata på ett säkert sätt och i övrigt möjliggöra tillförlitliga metoder för signering, identifiering och insynsskydd.

    I 3-5 §§ lagen (2000:832) om kvalificerade elektroniska signaturer finns bestäm-melser om säkra anordningar för att framställa kvalificerad elektronisk signatur.

4.15   Anordning enligt 4.14 bör ha utformats så att det krävs en aktiv handling vid signering, identifiering och kryptering för insynsskydd. Rutinerna bör ta sikte på att likna de omständigheter som certifikatinnehavaren ställs inför när han eller hon
1. fattar en penna och skriver under,
2. överlämnar eller visar upp en legitimationshandling för identitetskontroll, respektive
3. försluter eller öppnar ett kuvert eller ett annat slutet förvar.
Spärrtjänst

4.16   Certifikatutfärdaren tillhandahåller en tjänst där certifikatinnehavaren snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat anmäler detta förhållande (spärrtjänst). Spärrtjänsten bör ha god tillgänglighet. Certifikatutfärdaren bör behandla en anmälan om spärr skyndsamt.
Spärrkontrolltjänst

4.17   Certifikatutfärdaren bör göra uppgifter om spärr av certifikat tillgängliga för den som skall bedöma om han eller hon kan lita på ett visst certifikat. Uppgifter om spärr av certifikat kan tillhandahållas genom spärrlistor som certifikatutfärdaren med korta intervaller uppdaterar, signerar och tillhandahåller eller genom en tjänst för kontroll i realtid av att certifikat inte har spärrats.

4.18   En förlitande parts kontroller och bedömningar enligt 5.14 - 5.18 bör automatiseras eller på annat sätt underlättas med stöd av helhetslösningar enligt 7.2 så att förlitande part enkelt kan överblicka och förstå åtgärdernas innebörd.
Arkivering

4.19   Certifikatutfärdaren bör arkivera
1. ansökningshandlingar,
2. handlingar rörande utlämnande och mottagande av nycklar och certifikat eller anmälan om spärr av certifikat samt information om spärrade certifikat som tillhandahållits av certifikatutfärdaren,
3. avtal rörande produkter och tjänster,
4. policydokument och utfärdardeklarationer, och
5. övriga handlingar och uppgifter som kan behövas för att verifiera elektroniska signaturer och stämplar, identifiera fysiska personer eller myndigheter och hantera insynsskydd för PKI-system.

4.20   Arkiverat material bör bevaras och skyddas mot förändring och förstörelse under den tid som behövs för att tillgodose ändamålen med certifikat för elektronisk identifiering och elektroniska signaturer m.m. på myndighetsområdet. Tiden för bevarande bör inte understiga tio år från händelsen. Arkiverat material bör kunna tas fram i läsbar form under hela tiden för bevarande.

4.21   Certifikatutfärdaren bör lämna ut information om enskilda händelser på begäran av den som behöver verifiera en elektronisk signatur eller en myndighets elektroniska stämpel eller kontrollera en identifiering eller en åtgärd för insynsskydd. Arkiverat material får emellertid inte lämnas ut i strid mot lag eller författning eller avtal med certifikatinnehavaren.

4.22   En certifikatutfärdare som upphör med sin verksamhet bör informera samtliga certifikatinnehavare och hålla arkiverat material tillgängligt enligt 4.20 och 4.21.
Webbservercertifikat och certifikat för myndighetens elektroniska stämpel

4.23   Bestämmelserna om medborgar- och tjänstecertifikat gäller i tillämpliga delar för webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

4.24   Webbservercertifikat bör säkerställa kopplingen till myndighetens elektroniska tjänst genom domännamn medan certifikat för myndighetens elektroniska stämpel bör individualisera myndigheten genom organisationsnummer. När ytterligare uppgifter behövs för att särskilja myndigheten eller en verksamhetsgren inom myndigheten bör den benämning under vilken myndigheten driver sin verksamhet eller en verksamhetsgren användas.

4.25   Certifikatutfärdaren får lämna ut webbservercertifikat eller certifikat för myndighetens elektroniska stämpel samt tillhörande privata nycklar endast till den som legitimerat sig med en SIS-godkänd legitimationshandling eller på motsvarande sätt och visat att han eller hon är behörig att företräda myndigheten i de frågor som utlämnandet avser. Utlämnande får ske först efter att företrädaren har mottagit information om hur och till vad certifikatet och tillhörande nycklar får användas.

Ansvar

4.26   Certifikatutfärdarens ansvar gentemot certifikatinnehavare bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, när avtal finns mellan utfärdaren och den som litar på ett certifikat. För kvalificerade certifikat gäller 14 och 15 §§ lagen (2000:832) om kvalificerade elektroniska signaturer.

4.27   Certifikatutfärdaren kan anlita andra för att utföra delar av verksamheten men bör i förhållande till certifikatinnehavare och förlitande part ansvara som om han hade utfört hela arbetet själv.

5 Certifikatinnehavare

5.1     Idetta avsnitt anges regler och rutiner för

1. medborgare som ansöker om, tilldelas och använder medborgarcertifikat och som litar på tjänstecertifikat, certifikat för myndighetens elektroniska stämpel eller webbservercertifikat samt anknytande användning enligt 2.4, och
2. handläggare som ansöker om, tilldelas och använder tjänstecertifikat; jfr de regler för myndigheter och handläggare som ges i avsnitt 6.

    Med certifikatinnehavare menas medborgare och handläggare som tilldelats certifikat enligt första stycket.

Certifikatinnehavare som sökande och som undertecknare m.m.
Ansökan och avtalsvillkor

5.2     Medborgare och handläggare som avser att använda PKI-system på myndighets-området ansöker om certifikat. Sökanden bör skriftligt lämna de uppgifter som behövs enligt 4.4 och underteckna ansökan, med intyg om att lämnade uppgifter är riktiga och fullständiga.

5.3     Om sökanden redan har identifierats vid personligt besök för att få använda bank på Internet eller någon liknande elektronisk tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden bör sökanden få använda elektroniska rutiner enligt 4.9 för att ansöka om certifikat, utan krav på underskrift enligt 5.2.

    Detsamma gäller vid ansökan om förnyelse av ett certifikat som godtas enligt 6.3. Certifikatinnehavaren bör signera ansökan med användning av den privata nyckel som hör till certifikatet.

5.4     Sökanden bör, innan ansökan sker, ta del av certifikatutfärdarens villkor och information enligt 4.4 - 4.7 samt tydligt ange om han eller hon till någon del inte godtar villkoren.

Identifiering

5.5     Den som ansöker om certifikat bör vidta de åtgärder som behövs för att certifikatutfärdaren skall kunna identifiera sökanden enligt 4.8 eller 4.9.

Mottagande och användning av certifikat och nycklar

5.6     En sökande som har fått ansökan beviljad erhåller privata nycklar, aktiveringsdata och certifikat m.m. på det sätt som certifikatutfärdaren tillämpar enligt 4.12 och behandlar dessa data i enlighet med villkoren i certifikatinnehavarens avtal med certifikatutfärdaren. Något mottagande av nycklar och aktiveringsdata sker inte beträffande nycklar som sökanden genererat och aktiveringsdata som denne själv valt.

5.7     Snarast efter att sökanden tagit emot certifikat, nycklar och aktiveringsdata skall han eller hon byta ut aktiveringsdata som tilldelats av certifikatutfärdaren. Certifikatinnehavaren väljer själv sina aktiveringsdata men får inte välja sådana som enkelt kan utrönas. Certifikatinnehavaren bör inte heller välja samma aktiveringsdata för signering respektive identifiering och insynsskydd.

5.8     Certifikatinnehavaren bör använda den anordning för signaturframställning m.m., som certifikatutfärdaren tillhandahåller enligt 4.14, på ett sådant sätt att signering, identifiering och kryptering för insynsskydd sker med tillförlitliga rutiner; jfr 4:15.

Roller och rutiner som undertecknare m.m.
5.9     Medborgare identifierar sig, signerar och använder rutiner för insynsskydd i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. Handläggare signerar, stämplar och använder rutiner för insynsskydd i egenskap av företrädare för myndig-heten; jfr 5.19.

    För medborgare som förlitande part finns regler i 5.14 - 5.18; jfr hänvisningen till dessa regler i 6.2 med avseende på handläggare som agerar för en myndighets räkning.

    Certifikatinnehavaren bör bifoga sitt certifikat när han eller hon översänder en signerad elektronisk handling eller identifierar sig elektroniskt.
Skydd för privata nycklar och aktiveringsdata m.m.

5.10   Certifikatinnehavaren bör iaktta skälig aktsamhet för att undvika att obehöriga får tillgång till och använder innehavarens privata nycklar och aktiveringsdata. Dessa åtgärder består bl.a. i
1.  att skydda den anordning för signaturframställning m.m. där de privata nycklarna förvaras på motsvarande sätt som ett värdeföremål och att inte lämna anordningen obevakad när en privat nyckel är aktiverad, och
2.  att inte avslöja aktiveringsdata eller förvara anteckning om sådana data så att någon annan kan få del av uppgifterna eller förstå att noteringen avser aktiveringsdata.

5.11   Särskilda åtgärder bör vidtas för skydd enligt 5.10 om
1.  flera personer använder en dator eller något annat tekniskt hjälpmedel som innehåller certifikatinnehavarens anordning för signaturframställning m.m., eller
2.  hjälpmedlet förvaras så att andra än certifikatinnehavaren kan få tillgång till det.

Anmälan om spärr

5.12   Certifikatinnehavaren bör göra en spärranmälan snarast efter att ha upptäckt att det finns anledning att spärra ett certifikat. Anledning att spärra kan föreligga bl.a. om
1.  uppgifter i certifikatet visat sig vara felaktiga eller har blivit felaktiga, t.ex. till följd av att certifikatinnehavaren bytt namn,
2.  en anordning för signaturframställning m.m. eller en privat nyckel har förkommit, eller
3.  en privat nyckel eller aktiveringsdata har blivit tillgängliga för någon obehörig eller annars kan antas komma att missbrukas.

Ansvar m.m.
5.13   Certifikatinnehavarens ansvar mot certifikatutfärdaren bör regleras i avtal mellan parterna. Detsamma gäller för ansvaret mot förlitande part, om avtal härom skulle ha träffats mellan certifikatinnehavaren och den som litar på ett certifikat.
Medborgare i rollen som förlitande part
Kontroll och bedömning av säkerhetsnivå och användningsområde

5.14   Förlitande part svarar för att kontrollera och bedöma om certifikatutfärdaren och certifikatet fyller uppställda säkerhetskrav och om certifikatet är lämpligt att använda för det aktuella ändamålet. Underlag för en sådan bedömning kan finnas i avtal med certifikatutfärdaren, i certifikatet samt i certifikatutfärdarens certifikatpolicy och utfärdardeklaration.
Förlitande part bör särskilt beakta
1.  begränsningar i certifikatets användningsområde,
2.  om en viss publik nyckel skall användas för signering, för identifiering, för insynsskydd eller för någon annan funktion för informationssäkerhet, och
3.  regler om aktörernas ansvar.

Giltighetskontroll och spärrkontroll

5.15   En part bör lita på ett certifikat först efter att ha kontrollerat att certifikatet inte var spärrat och att dess giltighetstid inte hade löpt ut när det användes för signering, identifiering eller kryptering för insynsskydd.

5.16   Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för giltighetskontroll och spärrkontroll.
    Uppgifter om spärr av certifikat kan anges i spärrlista. Spärrkontroll sker då mot av certifikatutfärdaren regelbundet uppdaterade spärrlistor som signerats för certifikatutfärdarens räkning eller försetts med dennes elektroniska stämpel. Uppgifter om spärr kan också tillhandahållas via en tjänst för kontroll i realtid av att certifikat inte har spärrats. Förlitande part kontrollerar att listans giltighetstid inte har löpt ut. Uppgifternas giltighet kontrolleras på likvärdigt sätt vid giltighetskontroll i realtid.

Äkthetskontroll

5.17   En part bör lita på ett certifikat, en spärrlista eller en annan elektronisk handling först efter att ha kontrollerat att den elektroniska handlingen är äkta. I PKI-system på myndighetsområdet har elektroniska handlingar som en part bör kontrollera vanligtvis ställts ut av en certifikatutfärdare, en handläggare vid en myndighet eller en myndighet som juridisk person. En verifiering av en avancerad eller kvalificerad elektronisk signatur, eller certifikatutfärdarens elektroniska stämpel innefattar en kontroll av att den signerade eller stämplade elektroniska handlingen inte har ändrats eftersom signaturen/stämpeln är en del av handlingen.

    En part bör lita på en identifiering av myndighet först efter att ha kontrollerat data för identifiering (ett av myndigheten signerat slumptal), på motsvarande sätt som vid äkthetskontroll av en signerad eller stämplad elektronisk handling.

5.18     Det bör vara förlitande parts ansvar att bereda sig tillgång till de uppgifter som behövs för kontroller enligt5.17. För sådana kontroller kan parten på ett säkert sätt behöva ha tillgång till
1.  certifikatutfärdarens publika nycklar för att verifiera certifikat och spärrlistor,
2.  tjänstecertifikat, för att verifiera signerade elektroniska handlingar med en handläggare som undertecknare,
3.  certifikat för myndighetens elektroniska stämpel, för att verifiera stämplade elektroniska handlingar med en myndighet som utställare, och
4.  webbservercertifikat, för identifiering av myndighets elektroniska tjänst.

Förlitande parts roller

5.19   Medborgare verifierar signaturer, stämplar och webbservrar i egenskap av privatperson eller företrädare för en juridisk person som inte är en myndighet. För handläggare som agerar för en myndighets räkning finns regler i avsnitt 6 ; jfr 5.9.
Format och rutiner för att ge in handlingar

5.20   Medborgare som ger in elektroniska handlingar till myndigheter bör anpassa format och rutiner så att den myndighet som tar emot handlingen kan läsa och bevara den och skydda sig mot datavirus och andra hot mot informationssäkerheten; jfr 6.8.

Ansvar
5.21   Certifikatinnehavarens ansvar mot certifikatutfärdaren vid fel eller försummelse bör regleras i avtal med utfärdaren.

6 Myndigheter


6.1  I detta avsnitt anges regler och rutiner för
1.  myndigheter som ansöker om, tilldelas och använder webbservercertifikat eller certifikat för myndighetens elektroniska stämpel och som litar på sådana certifikat, medborgarcertifikat och tjänstecertifikat samt anknytande användning enligt 2.5,
2.  handläggare som i egenskap av företrädare för en myndighet litar på ett certifikat och anknytande användning enligt 2.5. Regler för handläggare som undertecknare m.m. finns i avsnitt 5.

Myndigheten i rollen som förlitande part

6.2     Som förlitande part bör myndigheten svara för kontroll och bedömning av säkerhetsnivå, användningsområde, giltighetskontroll, spärrkontroll och äkthetskontroll och för att bereda sig tillgång till de uppgifter som behövs för dessa kontroller.

    Reglerna i 5.14 - 5.18 bör tillämpas på motsvarande sätt vid myndigheternas kontroller och bedömningar enligt första stycket. Kontroller som inte sker automatiskt bör utföras av en handläggare för myndighetens räkning; jfr 4.18. För handläggarens användning av sitt tjänstecertifikat finns regler i 5.10 - 5.12. Underlag för bedömningar enligt 5.14 kan också finnas i myndighetsföreskrifter eller som villkor i beslut för enskilda fall.

6.3     En myndighet bör godta giltiga och äkta certifikat som inte har spärrats och som har sådant innehåll och format som anges i bilagorna 1-4, under förutsättning att
1.  certifikatet har ställts ut av en certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering,
2.  det regelverk och de rutiner som gäller för certifikatet är förenliga med dessa riktlinjer,
3.  myndigheten har tillgång till uppgifter för spärr-, giltighets- och äkthetskontroll, och
4.  det inte i det enskilda fallet finns skäl för annan kontrollåtgärd.
    För kvalificerade certifikat gäller begränsningarna i första stycket endast om det är förenligt med 17 § lagen (2000:832) om kvalificerade elektroniska signaturer.

Myndigheten som sökande och utställare

6.4     Bestämmelserna i 5.2 - 5.13 om medborgar- och tjänstecertifikat bör gälla i tillämpliga delar, med de anpassningar som följer av 4.24 och 4.25, för ansökan om och tilldelning och användning av webbservercertifikat och certifikat för myndighetens elektroniska stämpel.

Interna föreskrifter och riktlinjer

6.5     En myndighet som använder PKI-system bör ha interna föreskrifter och riktlinjer där det bör framgå bl.a. hur handlingar signeras, stämplas, verifieras, krypteras och dekrypteras inom myndigheten, vilka som får utföra sådana åtgärder eller aktivera sådana automatiska rutiner och hur användningen av de kryptografiska rutinerna kontrolleras och revideras. 

Rutiner för att ta emot, expediera och långtidslagra elektroniska handlingar

6.6     En myndighet som tar emot eller ställer ut signerade eller stämplade elektroniska handlingar bör säkerställa att de särskilda krav som de kryptografiska rutinerna för med sig beaktas från arkivsynpunkt.

6.7     Innan rutiner för insynsskydd av lagrade data tas i drift vid en myndighet bör myndigheten ha infört alternativa rutiner för att kunna göra krypterade elektroniska handlingar läsbara när den eller de som har tillgång till den privata nyckeln för dekryptering inte finns till hands. Dessa rutiner bör ge stöd för att handlingar som skall bevaras i krypterad form kan göras läsbara under hela den tid de bevaras.

6.8     En myndighet bör på sin webbsida eller på annat liknande sätt upplysa om vilka format och rutiner som medborgare och andra myndigheter kan använda för att ge in elektroniska handlingar så att myndigheten kan läsa och bevara inkomna handlingar och skydda sig mot datavirus och andra hot mot informationssäkerheten.
    Om det finns särskilda skäl och det kan ske utan hinder för arbetets behöriga gång bör myndigheten tillgodose önskemål från medborgare om att godta format eller rutiner för ta emot elektroniska handlingar som inte uppfyller kraven i första stycket.

6.9     Myndigheter bör tydligt anvisa den adress där myndigheten tar emot elektroniska handlingar. Detta behövs dock inte inom ramen för t.ex. webbformulär och webbtjänster där adresseringen till mottagande myndighet sker automatiskt.

7 Helhetslösningar m.m.

7.1     Certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering bör tillhandahålla helhetslösningar för att använda PKI-system på myndighetsområdet. Varje sådan helhetslösning bör utformas som ett paket. I paketet bör ingå de produkter och tjänster som medborgaren eller myndigheten behöver för de funktioner och användningssätt enligt 2.3 - 2.5 och som paketet avses stödja, inom ramen för de typer av certifikat som utfärdaren tillhandahåller; jfr 2.6.

7.2     Certifikatinnehavares och myndigheters åtgärder för giltighetskontroll, spärrkontroll, äkthetskontroll och åtkomst till erforderliga uppgifter bör kunna genomföras helt eller delvis automatiskt med stöd av de programvaror och tjänster som ingår i ett paket enligt 7.1. Paketen bör vara utformade så att den som skall genomföra en kontroll eller en annan åtgärd enkelt kan överblicka och förstå åtgärdernas innebörd och resultatet av dem; jfr 4.15.

    Helhetslösningar som tillhandahålls åt medborgare bör innefatta skydd enligt 4.14 för användarens anordning för signaturframställning m.m.

7.3     Certifikatutfärdarnas paket bör vara förenliga så att de funktioner de erbjuder fungerar vid kommunikation mellan olika myndigheter och medborgare även om certifikaten har ställts ut av olika certifikatutfärdare som har ramavtal med Statskontoret om elektronisk identifiering och signering.

8 Säkerhetsskydd och standarder, m.m.

8.1     Myndigheter och medborgare som berörs av rutiner och funktioner m.m. inom det samordnade området erinras om föreskrifterna i säkerhetsskyddslagen (1996:627) rörande utredning och prövning av vilket skydd som kan behövas för en verksamhet.

8.2     Som stöd för myndigheternas arbete för informationssäkerhet erinras om standarden ISO/IEC 17799 Ledningssystem för informationssäkerhet - Riktlinjer för ledning av informationssäkerhet

Format för medborgarcertifikat

Om spärrinformation tillhandahålls via CRL X.509 är fältet  CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar "mandatory", dvs. fältet är obligatoriskt. O betecknar "optional", dvs. möjligt att använda. "Critical" innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ´ASN.1 typ´.

FältnamnFörekomstASN.1 TypKommentar
VersionM =2 (dvs X.509 v.3)
SerialNumberM  
SignatureM Följande algoritm skall användas: sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
   - countryName (Landskod)
   - OrganizationName 
   (Officiellt namn enligt Patent-och registreringsverkets eller annat nationellt officiellt företagsregister.)
   - OrganisationUnit
    (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
   - serialNumber  
   (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
   - commonName
    
   countryName, enligt ISO 3166-1 A2, (=SE)
   organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
    
   commonName skall innehålla namnet på certifikatutfärdare samt eventuellt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimenotBefore och notAfter
SubjectMSe issuerFöljande attribut bör användas:
   -    countryName  (SE)
   -    surname  (Efternamn)
   -    givenName   (samtliga Förnamn)
   -    serialNumber (Personnummer, YYYYMMDDXXXX)
   -    commonName (Tilltalsnamn + Efternamn)
    
   surname, givenName och serialNumber skall överensstämma med officiella register, tex SPAR eller folkbokföringens register.
    
   commonName ; i de fall tilltalsnamn ej kan identifieras skall samtliga förnamn + efternamn anges.
SubjectPublicKey-InfoM Skall vara:
   - rsaEncryption
    
   Nyckellängd skall vara minst 1024
IssuerUnique-Identifier---  
SubjectUnique-Identifier---  
Standard-extensions
FältnamnCriticalFörekomstASN.1 typKommentar
authorityKeyIdentifiernon-criticalM Sha-1 (hash av CAs publika nyckel)
subjectKeyIdentifiernon-criticalM Sha-1 (hash av subjects publika nyckel)
keyUsageCriticalM Information om ”key usage” skall finnas. Tillåten användning är:
    -    digitalSignature
    -    nonRepudiation
    -    keyEncipherment
     
    Om nonRepudiation har valts får ingen annan användning markeras.
privateKeyUsagePeriod ---  
certificatePoliciesnon-criticalM  Enligt RFC 3039 skall åtminstone en certfikatpolicy anges
policyMappings ---  
subjectAltNamenon-criticalOSe RFC 2459Om e-post adresser läggs in här skall dessa vara enligt RFC822  (local-part@domain)
issuerAltName ---  
SubjectDirectory ---  
     
Attributes    
basicConstraints ---  
nameConstraints ---  
policyConstraints ---  
cRLDistributionPointsnon-criticalM/O Mandatory om spärrinformation tillhandahålls via CRL.
extKeyUsage ---  
Private extensions
FältnamnCriticalFörekomstKommentar
AuthorityInfoNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
    
Access   
biometricInfonon-criticalO 
qcStatementsnon-criticalO 
cardNumbernon-criticalO 
Format för tjänstecertfikat
M betecknar "mandatory", dvs. fältet är obligatoriskt. O betecknar "optional", dvs. möjligt att använda. "Critical" innebär att fältet måste användas för att certifikatet skall fungera.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt (M).

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess
Obligatoriskt (M).

Formaten på de ingående fältet specificeras i RFC 2459.

I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ´ASN.1 typ´.

FältnamnFörekomstASN.1 TypKommentar
VersionM =2 (dvs X.509 v.3)
SerialNumberM  
SignatureM Följande hash-algoritm skall användas:
    
   -    sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör kunna användas:
   -    countryName  (Landskod)
   -    OrganizationName 
   (Kan t.ex. vara officiellt namn enligt Patent- och Registreringsverkets bolagsregister)
   -    OrganisationUnit
    (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
   -    serialNumber  
   (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
   -    commonName
    
   countryName, enligt ISO 3166-1 A2, (=SE)
    
   organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
    
   commonName skall innehålla namnet på certifikatutfärdare samt ev. den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTime 
SubjectMSe issuerFöljande attribut bör kunna använda:
   -    countryName  (Landskod)
   -    surname  (Efternamn)
   -    givenName   (samtliga Förnamn)
   -    serialNumber (Personnummer, (YYYYMMDDXXXX) ,anställningsnummer
   eller annan unik identifierare)
   -    commonName (Tilltalsnamn + Efternamn)
    
   -    OrganizationName 
   (Kan t.ex. vara officiellt namn enligt Patent- och Registreringsverkets bolagsregister)
    
   -    OrganisationUnit
    (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
    
   -    LocalityName
   (I förekommande fall. Specifikation av plats för verksamhet dit Subject refererar.)
    
   surname, givenName och serialNumber skall överensstämma med officiella register, tex SPAR eller folkbokföringens register.
    
   countryName, enligt ISO 3166-1 A2, (=SE)
    
   organizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
    
   commonName ; i de fall tilltalsnamn ej kan identifieras skall samtliga förnamn + efternamn anges.
SubjectPublicKeyInfoM skall vara:
    
   - rsaEncryption
    
   Nyckellängd skall vara minst 1024
IssuerUniqueIdentifier--- Ingår ej
SubjectUniqueIdentifier--- Ingår ej
Standard-extensions
FältnamnCriticalFöre­ASN.1Kommentar
  komsttyp 
AuthorityKeynon-criticalM  
     
Identifier    
SubjectKeynon-criticalM  
     
Identifier    
KeyUsagecriticalM Information om ”key usage” skall finnas.
    Tillåten användning är:
    -    digitalSignature
    -    nonRepudiation
    -    KeyEncipherment
     
    Om nonRepudiation har valts får ingen annan användning markeras.
PrivateKeyUsagePeriod --- Ingår ej
CertificatePoliciesnon-criticalM OID
PolicyMappings --- Ingår ej
SubjectAltNamenon-criticalOSe RFC 2459Om e-post adresser läggs in här skall denna vara: Rfc822Name
     
    (local-part@domain)
IssuerAltName --- Ingår ej
SubjectDirectoryAttributesNon-criticalO Fältet får enbart nyttjas till kompletterande uppgifter om personen som tjänsteutövare som: Title.
BasicConstraints --- Ingår ej
NameConstraints --- Ingår ej
PolicyConstraints --- Ingår ej
CRLDistributionnon-criticalM/O Mandatory om spärrinformation tillhandahålls via CRL.
     
Points    
ExtKeyUsage --- Ingår ej
Private extensions
FältnamnCriticalFörekomstKommentar
AuthorityInfoAccessSyntaxNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
BiometricInfonon-criticalO 
QcStatementsnon-criticalO 
CardNumbernon-criticalO 
Format för servercertifikat

Servercertifikat används här som benämning på de certifikat som används huvudsakligen av webbservrar för att upprätta skyddad kommunikationslänk mellan server och klient, oftast med SSL-protokollet.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess
obligatoriskt.

Servercertifikatet finns i en variant enligt nedan.
-    Certifikat för autenticering och transport av sessionsnycklar med bitarna digitalSignature och keyEncipherment satta i keyUsage-fältet.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar "mandatory", dvs. fältet är obligatoriskt. O betecknar "optional", dvs. möjligt att använda. "Critical" innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ´ASN.1 typ´.

FältnamnFörekomstASN.1 TypKommentar
VersionM =2 (dvs X.509 v.3)
SerialM  
    
Number   
SignatureM Följande algoritm skall användas:
    
   -    sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
    
   -    countryName  (Landskod)
   -    OrganizationName 
   (Officiellt namn enligt Patent- och Registreringsverkets eller annat nationellt officiellt företagsregister.)
   -    OrganisationalUnit
    (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
   -    SerialNumber  
   (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
   -    CommonName
    
   CountryName, enligt ISO 3166-1 A2, (=SE)
    
   OrganizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
    
   CommonName skall innehålla namnet på certifikatutfärdare samt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimese medborgarcertifikat
SubjectMSe issuerFöljande attribut bör användas:
    
   -    CountryName  (Landskod, ex. SE)
    
   -    OrganizationName (Officiellt namn för myndighet + organisationsnummer, 16XXXXXXXXXX.)
    
   -    OrganizationalUnitName
   (Organisationsenhet)
    
   -    CommonName
   (DNS host name)
SubjectPublicKey-InfoM Skall vara:
    
   - rsaEncryption
    
   Nyckellängd skall vara minst 1024
issuerUniqueIdentifier---  
subjectUniqueIdentifier---  
Standard-extensions
FältnamnCriticalFöre­komstASN.1 typKommentar
AuthorityKeynon-criticalM Se medborgarcertifikat
     
Identifier    
SubjectKeynon-criticalM Se medborgarcertifikat
     
Identifier    
keyUsagecriticalM Information om ”key usage” skall finnas.
     
    Tillåten användning är:
     
    -KeyEncipherment
     
    -DigitalSignature
PrivateKey ---  
     
UsagePeriod    
Certificatenon-criticalM  
     
Policies    
Policy ---  
     
Mappings    
SubjectAltnon-criticalO  
     
Name    
issuerAltName ---  
subjectDirectoryAttributesNon-criticalO  
Basic ---  
     
Constraints    
Name ---  
     
Constraints    
Policy ---  
     
Constraints    
CRLDistributionPointsnon-criticalM/O Mandatory om spärrinformation tillhanda­hålls via CRL.
extKeyUsageNon-criticalO -ServerAuth
Private extensions
FältnamnCriticalFöre­komstKommentar
AuthorityInfoAccessNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
biometricInfonon-criticalO 
qcStatementsnon-criticalO 
cardNumbernon-criticalO 
Format för certifikat för myndighets elektroniska stämpel

Certifikat för myndighets elektroniska stämpel är främst avsedd att användas för att signera handlingar som ska lämnas ut alternativt arkiveras av myndighet. Handlingen signeras då i myndighetens namn och ej i enskilds handläggares.

Om spärrinformation tillhandahålls via CRL X.509 är fältet CRLDistributionPoints obligatoriskt.

Om spärrinformation tillhandahålls via OCSP är fältet AuthorityInfoAccess obligatoriskt.

Myndighetens stämpelcertifikat finns i variant enligt nedan.

-    Certifikat för elektronisk signatur med non-repudiation biten satt i keyUsage-fältet

Leverantören skall tydligt markera eventuella avvikelser från RFC 3039 med nedanstående preciseringar.

Nedan beskrivs mer detaljerat innehåll och format för certifikatet. M betecknar "mandatory", dvs. fältet är obligatoriskt. O betecknar "optional", dvs. möjligt att använda. "Critical" innebär att fältet måste användas för att certifikatet skall fungera.

Formaten på de ingående fältet specificeras i RFC 2459. I fall där olika ASN.1 typer är tillåtna har rekommenderade typer angivits i kolumnen ´ASN.1 typ´.

FältnamnFöre­komstASN.1 TypKommentar
VersionM =2 (dvs X.509 v.3)
SerialNumberM  
SignatureM Följande algoritm skall användas:
    
   -    sha-1WithRSAEncryption
IssuerMutf8StringFöljande attribut bör användas:
    
   -    countryName  (Landskod)
    
   -    OrganizationName 
   (Officiellt namn enligt Patent- och registreringsverkets eller annat nationellt officiellt företagsregister.)
    
   -    OrganisationUnit
    (I förekommande fall. Organisationsenhet enligt organisationsegen benämning)
    
   -    SerialNumber  
   (Organisations-/registreringsnummer för utfärdande organisation, på formen 16XXXXXXXXXX)
    
   -    CommonName
    
   CountryName, enligt ISO 3166-1 A2, (=SE)
    
   OrganizationName och serialNumber skall tillsammans ge en unik identitet som dessutom enligt kraven i Qualified Certificate profilen skall vara en unmistakable identity, vilket innebär att identiteten skall vara självklar för inblandade parter.
    
   CommonName skall innehålla namnet på certifikatutfärdare samt den certifikatpolicy som avses (ex. ”<OrganisationName> <policy namn>”)
ValidityMUTCTimeSe medborgarcertifikat
subjectMSe issuerFöljande attribut bör användas:
    
   -    CountryName  (Landskod, ex. SE)
   
   -    OrganizationName  (Officiellt namn för utgivande organisation, myndighet etc.)
   
   -    OrganisationalUnit (Organisationsenhet)
    
   -    SerialNumber (Organisatinsnummer, 16XXXXXXXXXX)
   
   -    CommonName ( Frivilligt)
subjectPublicM Skall vara:
    
KeyInfo  - rsaEncryption
    
   Nyckellängd skall vara minst 1024
IssuerUnique---  
    
Identifier   
SubjectUniqueI---  
    
dentifier   
Standard-extensions
FältnamnCriticalFöre­komstASN.1 Kommentar
     
   typ 
AuthorityKeynon-criticalM Se medborgarcertifikat
     
Identifier    
SubjectKeynon-criticalM Se medborgarcertifikat
     
Identifier    
keyUsagecriticalM Information om ”key usage” skall finnas. Tillåten användning är:
     
    -    nonRepudiation
privateKeyUsagePeriod ---  
certificatePoliciesnon-criticalM  
policyMappings ---  
subjectAltNamenon-criticalOSe RFCOm e-post adresser läggs in här skall dessa vara enligt RFC822 (local-part@domain)
     
   2459 
issuerAltName ---  
SubjectDirectory ---  
     
Attributes    
basicConstraints ---  
nameConstraints ---  
policyConstraints ---  
CRLDistributionnon-criticalM/O Mandatory om spärrinformation tillhanda­hålls via CRL.
     
Points    
extKeyUsage ---  
Private extensions
FältnamnCriticalFöre­komstKommentar
AuthorityInfoNon-criticalM/OMandatory om spärrinformation tillhandahålls via OCSP.
    
Access   
biometricInfonon-criticalO 
qcStatementsnon-criticalO 
cardNumbernon-criticalO