תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות), התשס"ב-2001 1

"תקןISO/IEC 9594-8 - תקן של מכון התקנים הבין-לאומי, אשר פורסם גם כתקן X509v.3 של הארגון הבין-לאומי IETF , צוות המשימה להנדסת אינטרנט.

(1) הוא מבוסס על מפתחRSA או DSA באורך 2,048 סיביות לפחות או Elliptic cruve DSA באורך 160 סיביות לפחות;

(2) הוא מוגן באמצעי שמתקיימות בו לפחות דרישות האבטחה של FIPS 140-2 רמהה 2;

(3) הוא מגובה באמצעים מוגנים ומאובטחים, להנחת דעתו של הרשם; הגיבוי יישמר בנפרד;

(4) דרישות נוספות שהעמיד הרשם לשם קיום אבטחה ברמה סבירה מפני חדירה, שיבוש או שימוש לרעה.

(ב) אמצעי התקשורת המשמשים לפעולות החיוניות של הגורם המאשר, יעמדו בדרישות אבטחה גבוהות, להנחת דעתו של הרשם.

(ב) גורם מאשר יבטיח את מידור הגישה לחלקים החיוניים, כך שלאותו אדם לא תהא גישה לכל החלקים החיוניים.

(ג) גורם מאשר ינהיג אמצעי זיהוי שיבטיחו זיהוי ותיעוד גישתו של כל אדם למערכת.

(ד) הרשם רשאי לפטור גורם מאשר מהחובות לפי תקנות משנה (א) ו-(ב), מטעמים שיירשמו, ורשאי הוא לקבוע להן חובות חלופיות.

(1) לגבי אמצעי לאימות חתימה שמחזיק בידיו המבקש, ואמצעי החתימה שאותו הוא מזהה, מתקיימות לפחות הדרישות כמפורט להלן:

(א) החתימה מופקת באמצעות מפתח המבוסס על תקן מקובל, העושה שימוש באחד מאלה:

(1) מפתח RSA או DSA באורך 1,024 סיביות לפחות;

(2) מפתח elliptic cruve DSA באורך 160 סיביות לפחות;

(ב) להפעלת אמצעי החתימה, או לגישה אליו, נדרש שימוש באמצעים פיזיים או הצפנתיים (קריפטולוגיים) ייחודיים, העומדים ברמת אבטחה של תקן FIPS 140-2 רמה 1, ברמת ביטחון של תקן common criteria EAL2 לפחות;

(ג) היתה הפעלת אמצעי החתימה כרוכה בשימוש בסיסמה, תעמוד הסיסמה בדרישות אבטחה ברמה הגבוהה לפי ת"י 1495 חלק 3, או בדרישות חלופיות שקבע הרשם, אם נוכח כי ניתן לפטור מהדרישה האמורה;

(2) היא חתימה אלקטרונית שאישר הרשם, לפי הוראות תקנה 9.

(1) אם טכנולוגיה מסוימת עומדת בדרישות שנקבעו בתקנה 8(1); פניה כאמור תכלול מסמכים המתארים את הטכנולוגיה, לרבות תעודת התאמה לתקן מקובל, אם ישנה, וחוות דעת של מומחה אבטחת מידע בדבר אמינותה של הטכנולוגיה; הרשם רשאי לדרוש כל מידע אחר הדרוש לו כדי לבחון אם מדובר בטכנולוגיה העומדת בדרישות תקנה 8(1) וכדי לאשרה;

(2) כי טכנולוגיה מסוימת מפיקה חתימה אלקטרונית שחזקה שהיא חתימה אלקטרונית מאובטחת, אף שאין מתקיימות בה הוראות תקנה 8(1); פניה כאמור תכלול מסמכים כאמור בפסקה (1).

(ב) אישר הרשם, לפי תקנת משנה (א), כי חזקה שחתימה אלקטרונית מסוימת היא חתימה אלקטרונית מאובטחת, יפרסם ברשומות את דבר אישורה של הטכנולוגיה שלגביה אישר כאמור; נוסף על כך, ינהל הרשם רשימה מעודכנת של טכנולוגיות שקיבלו את אישורו באתר אינטרנט המשמש לכך.

(1) הגורם המאשר, או נציגו או שליח מטעמו שאישר הרשם ובתנאים שקבע באישור, זיהה פנים אל פנים את המבקש, ואם היה המבקש תאגיד - את מורשה החתימה מטעם התאגיד.

(2) הגורם המאשר יבדוק את פרטי הזיהוי של המבקש:

(א) ביחיד שהוא תושב ישראל - על פי תעודת זהות וכן מידע מן המרשם, וכן אחד מן המסמכים המזהים האלה, ובלבד שהם בתוקף:

(1) דרכון ישראלי;

(2) רישיון נהיגה ישראלי הנושא תמונה של המבקש;

(3) מסמך מזהה שמונפק על ידי המדינה לעובד המדינה, למי שממלא תפקיד או נושא משרה מטעמה או במוסד ממוסדות המדינה, או למי שממלא תפקיד על פי דין, לצורך ביצוע עבודתו או תפקידו כאמור, ובלבד שהמסמך נושא תמונה של המבקש ואת מספר הזהות שלו; לעניין זה, "עובד המדינה" - לרבות חייל, שוטר וסוהר;

(4) לעניין מי שאין בידיו מסמך מזהה לפי פסקאות משנה (1) עד (3) והגיש תצהיר על כך, אחד מאלה:

(א) תעודת מעבר, כהגדרתה בחוק הדרכונים, התשי"ב-1952, הנושאת תמונה של המבקש;

(ב) מסמך מזהה מסוג אחר שהרשם אישר לעניין זה, מטעמים שיירשמו ובלבד שהמסמך נושא תמונה של המבקש ואת מספר הזהות שלו; הודעה על אישור שנתן הרשם לסוגי מסמכים מזהים כאמור תפורסם ברשומות ובאתר האינטרנט של הרשם;

(ג) אישור של עורך דין על זהותו של המבקש ועל כך שהוא מכיר את המבקש אישית וכי הוא מודע לכך שאישורו נועד לתמוך בבקשה להנפקת תעודה אלקטרונית לפי החוק, בצירוף תמונתו של המבקש החתומה בידי עורך הדין, בהתאם לנוסח שיורה הרשם.

(ב) ביחיד שהוא תושב חוץ - על פי דרכון חוץ או תעודת מסע או תעודת זהות, וכן על פי מסמך זיהוי נוסף הנושא תמונה של המבקש ופרטים מזהים שלו ושל מי שהנפיק את המסמך הנוסף;

(ג) בתאגיד הרשום בישראל - על פי תעודת הרישום, אישור של עורך דין על קיומו של התאגיד, שמו ומספרו הרשום, או במקום אישור של עורך דין כאמור - על פי אימות במרשמים המתאימים, וכן על פי העתק מאושר של החלטת האורגן המוסמך בתאגיד בדבר מורשה החתימה מטעם התאגיד, או אישור של עורך דין על מורשה החתימה כאמור;

(ד) בתאגיד שאינו רשום בישראל - על פי העתק מאושר ממסמך המעיד על רישומו, אישור של עורך דין על קיומו של התאגיד, שמו ומספרו הרשום, או במקום אישור של עורך דין כאמור - על פי אימות במרשמים המתאימים, וכן על פי העתק מאושר של החלטת האורגן המוסמך בתאגיד בדבר מורשה החתימה מטעם התאגיד או אישור של עורך דין על מורשה החתימה כאמור;

(ה) במוסד ציבורי - על פי הצהרת המבקש, לאחר שהגורם המאשר נוכח, על פי מסמך, כי מורשה החתימה מוסמך לפעול בשם המוסד הציבורי; לענין פסקה זו, "מוסד ציבורי" - משרדי ממשלה, רשויות מקומיות, וכן רשויות, תאגידים או מוסדות אחרים שהוקמו בישראל לפי חיקוק;

(3) לענין פסקאות משנה (ג) עד (ה) שבפסקה (2) - יזהה הגורם המאשר את מורשה החתימה לפי הוראות פסקאות משנה (א) או (ב) שבאותה פסקה, לפי הענין;

(4) לענין פסקאות משנה (ד) ו-(ה) שבפסקה (2), "העתק מאושר" - העתק מתאים למקור המאומת בידי אחד מאלה:

(ב) לענין קיום הוראות תקנה 8(1)(ב) ו-(ג), רשאי הגורם המאשר להסתפק בהצהרה מטעם המבקש, בדבר אמצעי החתימה שבו הוא משתמש, אופן הפעלתו והגישה אליו.

(ג) תעודה אלקטרונית תהיה בהתאם לתקן ISO/IEC 9594-8 .

(ב) היה המבקש תאגיד, תכלול התעודה האלקטרונית שתונפק לו את שם התאגיד ומספרו הרשום, שמו ותוארו של מורשה החתימה מטעם המבקש, ואת מספר הזיהוי שעל פיו זוהה, ואם היה תאגיד שאינו רשום בישראל - גם את מקום הרישום.

(ג) היה המבקש מוסד ציבורי, תכלול התעודה האלקטרונית שתונפק לו את שם המוסד, וכן את שמו ותוארו של מורשה החתימה מטעם המבקש, ומספר הזיהוי שעל פיו זוהה.

(ב) הרשם יודיע לגורמים מאשרים על שינוי תקן או מסמך RFC מחייב כאמוד בתקנת משנה (א), ויפרסם באתר האינטרנט שיועד לכך רשימה מעודכנת של התקנים והמסמכים המחייבים לפי תקנות אלה.

(ב) הדוח האמור בתקנת משנה (א) יפורסם באתר האינטרנט של הרשם.