Štandardy pre informačné systémy verejnej správy

https://www.slovensko.sk/sk/elektronicka-schranka/_register-autentifikacnych-cert

Vydávanie prostriedku:

MeID prostriedky sa vydávajú fyzickej osobe staršej ako 15 rokov na základe prvotného spoľahlivého overenia identity pomocou platného prostriedku eID (t.j. občiansky preukaz s kontaktným čipom alebo čipom s duálnym rozhraním, alebo doklad o povolení na pobyt cudzinca s čipom alebo s čipom s duálnym rozhraním) s úrovňou bezpečnostných záruk „Vysoká“ alebo na základe platného alternatívneho autentifikátora s čipom, ktorý používa totožný autentifikačný mechanizmus EACv1 so zhodným vykonaním identifikácie a overenia totožnosti žiadateľa v elektronickom prostredí pri prístupe do elektronickej schránky a je uznaný v SR na úrovni bezpečnostných záruk „Vysoká“ v evidencii autentifikačných prostriedkov, ktorý vedie MIRRI SR. Všetky uvedené doklady sú ďalej uvedené len ako „eID“).

Spôsob použitia:

Samotná autentifikácia prebieha ako challenge-response protokol, kedy sa náhodne vygenerovaná jedinečná výzva z MeID servera podpisuje súkromným kľúčom výlučne až po úspešnom overení používateľa znalostným alebo inherentným faktorom nastaveným ako ochranný zámok obrazovky zariadenia. Súkromný kľúč passkey je bezpečne uložený a kryptograficky chránený na zariadení. Bezpečnostné elementy typu TPM/SE/SEE sú využívané, keď sú na zariadení prítomné. V rámci komunikácie cez štandardizované rozhrania FIDO2 (CTAP a Webauthn) sa doručujú aj metadáta vyžadujúce overenie používateľa. Výsledný kryptogram ako odpoveď na výzvu je overený na strane servera za pomoci registrovaného verejného kľúča passkey. Ak je podpis kryptograficky overený ako zhodný a zároveň je prítomná v odpovedi z FIDO2 autentifikačného zariadenia aj informácia z metadát o vykonaní overenia používateľa, používateľ je prihlásený. Na autentifikáciu používateľ potrebuje iba zariadenie podporujúce FIDO2 (mobil, alebo počítač prípadne v kombinácii s FIDO2 bezpečnostným kľúčom). Používateľ nepotrebuje inštalovať na zariadení žiadnu aplikáciu pre prihlasovanie sa pomocou MeID.

MeID server pre autentifikáciu pomocou FIDO2 je vybudovaný vo vládnom cloude MV SR. MeID-AS-C vystupuje ako identity provider (IdP) pre poskytovateľov služieb (spoliehajúce sa strany - SP). Za týmto účelom bezpečne uchováva identity používateľov derivované z údajov v čipe eID (po úspešnej autentifikácii) a zároveň uchováva pre každú identitu zoznam aktivovaných MeID s registrovaným passkey na zariadeniach (mobil, alebo počítač, alebo FID2 bezpečnostný kľúč) spolu s verejným kľúčom passkey. Súkromný kľúč passkey má k dispozícii výlučne používateľ. Webový portál je realizovaný pre komunikáciu so žiadateľmi alebo používateľmi MeID a predstavuje rozhranie pre aktiváciu, prihlásenie a následnú správu ich autentifikačných prostriedkov. Aktivácia a správa autentifikačných prostriedkov je možné prostredníctvom aplikácie eIDENTITA, ktorá predstavuje alternatívne komunikačné rozhranie pre systém MeID. MeID systém tiež umožňuje riadenie kontroly nad rozsahom údajov, ktorý môže poskytovateľ služby vyžadovať pre poskytnutie služby. Spoliehajúce sa strany môžu využiť integračné rozhrania SAML alebo Open ID Connect (OIDC).

Zneplatnenie prostriedku:

V prípade straty mobilného zariadenia alebo počítača s aktivovaným MeID Passkey možno bezodkladne prostredníctvom webového sídla MeID alebo aplikácie eIDENTITA pomocou prihlásenia s eID zneplatniť samoobslužne svoj MeID passkey (verejný kľúč) strateného alebo odcudzeného mobilného zariadenia alebo počítača v osobnej zóne.

V prípade straty alebo odcudzenia mobilného telefónu alebo počítača s aktivovaným MeID Passkey a zároveň straty alebo odcudzenia dokladu eID možno bezodkladne prostredníctvom call centra MV SR a použitia revokačného hesla zrušiť všetky svoje MeID Passkey. Revokačné heslo je diskrétny údaj, ktorý je náhodne vygenerovaný systémom MeID pre používateľa pri aktivácii a registrácii prvého autentifikačného zariadenia. Tento údaj je prístupný výlučne po prihlásení používateľa do portálu MeID. Pri práci s ním sa používateľ musí riadiť zásadami bezpečnosti. Použije ho výlučne v prípade, že nemá k dispozícii žiadny iný platný prostriedok autentifikácie, ktorým je možné sa prihlásiť na portál MeID a samoobslužne zrušiť passkey (verejný kľúč). Revokačné heslo si môže používateľ zmeniť, pričom platia rovnaké podmienky ako pri diskrétnom údaji pre zneplatnenie eID v prípade straty alebo odcudzenia, t.j. reťazec v rozsahu 6 až 50 znakov, povolené sú len malé a veľké písmená a číslice. Do budúcna bude analyzovaná možnosť transformácie na samostatnú revokačnú službu obdobnú službe elektronického nahlásenia straty občianskeho preukazu s čipom pomocou diskrétneho údaja.