eHealth Certificaten van aanvraag tot installatie 2 maart 2011 eHealth platform Infosessie HC-IT sector Kris VAN AKEN Projectleider eHealth platform 1

Agenda Basisdienst Digitale certificaten : doel en eigenschappen Functie van een digitaal certificaat Eigenschappen digitaal certificaat Functie in eHealth context UAM Type eHealth certificaten Onderscheid naar gebruik en omgeving (toepassing) Key usage Hoe verloopt het aanvraagproces Admin aspect Online tool : Requestor applicatie Tijdslijn levering van het certificaat Installatie, gebruik, lifecycle

Doel en functie basisdienst « eHealth Certificaten » Functie van een digitaal certificaat Een certificaat is een digitaal bestand dat fungeert als een digitaal paspoort voor de eigenaar van dat bestand. Dit bestand wordt door een certificatieautoriteit (CA) uitgereikt en beheerd en certifieert het publieke deel van een sleutelpaar, waarvoor de eigenaar het private deel met een paswoord beschermt. Een certificaat dat door een certificatie authoriteit is uitgereikt is een elektronische bevestiging van identiteit en bevat informatie die gebruikt wordt om gegevens te beschermen of om een beveiligde netwerkverbinding te maken. Doel: Zekere identificatie en authenticatie van zorgverlener om veilige elektronische gegevensuitwisseling tussen systemen mogelijk te maken

eHealth-Certificaten: eigenschappen x509v3 certificaat Wereldwijde standaard voor PKI voor single sign-on X.509 specificeert o.a. standaard formaten voor publieke sleutel certificaten, lijsten met ingetrokken certificaten, attribuut certificaten, en een certificatiepad validatie-algoritme. Uitgereikt door de GovernmentCA (FedICT) Dit is de Root CA voor de Belgische overheid Hiernaast bestaat in België de Citizen CA als Root CA voor eID Subject specificaties CN = Logical name of the certificate O = Official name of the organization OU = Type of identification no. e.g. CBE / NIHII / SSIN … SerialNumber = Identification no. of the organization Deze gegevens worden door de certificate-requestor applicatie ingelezen (eID). Manuele typfouten worden hierbij vermeden.

Doel en functie basisdienst « eHealth Certificaten » Functie in eHealth context Authenticatie van zorgverleners in de Belgische gezondheidssector Certificaat uit te breiden met een encryptie-token eHealth Integrated User and Access Management Na authenticatie met eHealth certificaat kan UAM op basis van toegangsregels (PIP-PAP-PEP model) al dan niet toegang verlenen aan de gebruiker tot specifieke deelprocessen en gegevens. Scheiding application access / data access Componenten UAM: MAZDA (Medical Authorizations Data Access) ReMaPH DB (verantwoordelijken) PuHMa component (mandatenbeheer, lijst mandaten …

Agenda Basisdienst Digitale certificaten : doel en eigenschappen Functie van een digitaal certificaat Eigenschappen digitaal certificaat Functie in eHealth context UAM Type eHealth certificaten Onderscheid naar gebruik en omgeving (toepassing) Key usage Hoe verloopt het aanvraagproces Admin aspect Online tool : Requestor applicatie Tijdslijn levering van het certificaat Installatie Gebruik, lifecycle

Type certificaataanvragen Onderscheid naar gebruik Professionele zorgverleners, actief in de Belgische Gezondheidssector IT integratoren, software-ontwikkelaars voor toepassingen ten dienste van de zorgverleners in de Belgische Gezondheidssector.  Gebruik maken van eHealth basisdiensten Onderscheid naar IT-omgeving (toepassing) Toepassing in Productie-omgeving ( medische data, onderhevig aan beroepsgeheim en privacywetgeving) Test- en Acceptatieomgeving “Kadaster van gezondheidsberoepen” bevat KB-78 beroepen; later ook niet-KB-78 beroepen  filter te configureren ? 7

Natuurlijke Personen Rechtspersonen

Type eHealth Certificaten Onderscheid naar gebruik en omgeving (toepassing) Natuurlijke personen gekend in de authentieke bron “Kadaster van gezondheidsberoepen” Rechtspersoon (Instellingen Belgische gezondheidssector) Aanvragen van andere actoren in Belgische gezondheidssector (softwarehuizen, …) eHealth PRD certificaat eHealth PRD certificaat Testcertificaat

Processtappen aanvraag eHealth testcertificaat Certificate Requestor eHealth LRA Admin

Controles door de LRA Admin Testcertificaat Geen enkele toegang tot echte medische data mogelijk LRA Admin controleert: Is aanvraag op naam van medewerker en niet op naam van firma Komt project voor in Projectfile? (Programma-ID, duur testperiode) Procuratie OK? (met nominiatieve lijst test-gebruikers, INSZ nr, functie …) Is softwarefirma erkend, actief in Belgische Gezondheidssector ? Zo niet, doorverwijzen naar PPKB voor kwalificatiegesprek Zo ja  opzoekingen hierna beschreven: verifiëring KBO nummer in online KBO register (KBO Public Search); verifiëring wie gemachtigd is (via de statuten, eveneens manueel opvraagbaar via zelfde online KBO register) Aanvraag: verstuur .ehcsr bestand (van de ETEE requestor) per mail aan acceptance-certificates@ehealth.fgov.be LRA admin-eHealth-testcertificaten: Aanmaak testcertificaat in acceptatieomgeving Registratie van het testcertificaat via de RA Tool KBO public search: http://kbopub.economie.fgov.be/kbopub/zoekwoordenform.html Excel-lijst softwarehuizen: (via DMS eWorkPlace of –binnenkort- beConnected) Geval 1: Reeds geregistreerde softwarehuizen kunnen geverifieerd worden via een ‘authentieke bron’ (Excel bestand bij de LRA (Accesscoordination, cel GATB)) waarin Naam van de organisatie, KBO nummer, Gedelegeerd bestuurder of Wettelijk vertegenwoordiger van de onderneming, jaartal van registratie (ref. FOD VVVL homologatielijst 2006) Geval 2: Nieuwe aanvragen van (nog) niet erkende softwarehuizen: na screening door PPKB worden zulke softwarehuizen eveneens in dit bestand toegevoegd en in dat geval wordt de nieuwe versie aan GATB beschikbaar gesteld (gedeeld bestand PPKB–GATB) 11

Agenda Basisdienst Digitale certificaten : doel en eigenschappen Functie van een digitaal certificaat Eigenschappen digitaal certificaat Functie in eHealth context UAM Type eHealth certificaten Onderscheid naar gebruik en omgeving (toepassing) Key usage Hoe verloopt het aanvraagproces Administratief aspect Online tool : Requestor applicatie Tijdslijn levering van het certificaat Installatie Gebruik, lifecycle

Administratief aspect Firma erkend als actief in Belgische Gezondheidssector? Zoniet of indien niet zeker, maak afspraak met de cel PPKB van eHealth platform statuten, wettelijk vertegenwoordiger Projectregistratie: Procuratie-formulier Vaststelling van het project, projectverantwoordelijke en de testperiode Identificatie van de test-user (Naam, RR nr, gesimuleerde healthcare rol in de test) Ondertekende procuratieform aan eHealth Projectleider over te maken Toekenning van een programma-ID door eHealth platform

Online requestor tool Administratieve prerequisite (= procuratie) Technische prerequisite: eID hardware + middleware correct geïnstalleerd Certificate requestor : Java webstart applicatie (URL) Volgende URL start de requestor applicatie op http://wwwacc.ehealth.fgov.be/JWS/ETEE/etee-requestor_nl.jnlp Applicatie resulteert in een eHealth certificate signing request (ehcsr file) en een lokale, password protected key store Verzend het signing request (ehcsr file) naar het eHealth platform Open uw email client en verzend het ehcsr bestand naar acceptance-certificates@ehealth.fgov.be met vermelding van de <project description>, zoals deze op de procuratie vermeld is Na verwerking van de aanvraag door de LRA Admin van het eHealth platform, ontvangt de certificaat-aanvrager in zijn mailbox het testcertificaat met de bijhorende certificate chain

Opstart van de applicatie Vertrouw het eHealth-platform als een geldige bron

Start registratie Dit proces wordt uitgevoerd met behulp van de eHealth Requestor utility. Dit is een Java-applicatie die WebStart Java versie 1.6 of hoger vereist. Het is vereist dat deze software lokaal draait omwille van de lokale sleutel generatie, belangrijk voor het waarborgen van de veiligheid van uw prive-sleutels. Dit soort van lokaal uitgevoerde procedure is belangrijk omdat het de enige manier is dat eHealth kan garanderen dat je prive authenticatie sleutel veilig is en niet gecompromitteerd. U moet de private sleutel op uw lokale systeem genereren en moet u de private sleutel ten alle tijden veilig houden. Daarom is het belangrijk dat uw eigen systemen correct beveiligd zijn en als voldoende beschermd beschouwd kunnen worden voor het opslaan van persoonlijke sleutels voordat u start met dit proces.

Gebruiksvoorwaarden U wordt uitgenodigd om de gebruiksvoorwaarden eHealth Certificaten te lezen en te aanvaarden. Daartoe zal deze overeenkomst worden ondertekend met uw eID-kaart later in het proces. Lees de tekst en zorg ervoor dat u inzicht in de consequenties van uw verzoek. U kunt het contract in PDF-versie door te klikken op de knop 'Display Contract'.

Voer eID kaart in Je kan het aanvraagproces alleen maar vervolgen wanneer je eID kaart correct gelezen kan worden. Pas nadat de eID kaart uitgelezen werd zal de « Next » knop beschikbaar worden.

Persoonlijk of voor organisatie Maak keuze of het certificaat voor persoonlijk gebruik of voor een organisatie is. Afhankelijk van deze keuze volgt een scherm om de details van de organisatie te specifiëren.

Organisatie Verplichte velden Type organisatie (drop down box) Benaming organisatie KBO nummer softwarefirma (ook voor bvb. labo, apotheek)

Contactinformatie In volgend scherm deelt u uw contactgegevens mee. Dit e-mail adres wordt gebruikt om u het certificaat toe te sturen (aan beide adressen : persoonlijk + algemeen)

Overzicht van de certificaataanvraag Dit scherm toont een overzicht van alle informatie die zal worden opgenomen in uw eHealth Certificate Signing Request bestand. Verifieer deze informatie en corrigeer desgewenst door terug te keren naar een van de vorige schermen. Deze informatie zal digitaal worden ondertekend door uw eID. Door te klikken op « Volgende > » wordt de controle aan uw eID middleware doorgegeven.

Vervolledig de afhandeling van de aanvraag Onderteken met uw eID non repudiation certificaat Voer een sterk wachtwoord in om uw sleutelopslag (keystore) te beschermen De kwaliteit sterkte indicator geeft u real-time feedback over de vereisten qua wachtwoordsterkte. Wanneer de controles voor zowel de wachtwoord kwaliteitseisen en de bevestiging van het wachtwoord goed bevonden zijn kunt u verder gaan om de eerste stap van de aanvraag te voltooien. Zorg ervoor dat u dit wachtwoord onthoudt. Verlies van dit wachtwoord betekent dat u de toegang tot uw privé-sleutels verliest en niet langer in staat zal zijn om jezelf te authentiseren.

Afronden van de aanvraag Uw bestanden zijn met succes opgeslagen in een specifieke eHealth sleutelopslag map. Via deze map hebt u directe toegang tot uw bestanden. Map : <Home> \ eHealth \ sleutelopslag Verdere instructies worden getoond om uw aanvraag af te ronden met name het verzenden van het EHCSR bestand naar de eHealth Registration Authority per email.

Stap 2: Vervollediging registratie eHealth De sleutelbos uit proces 1 moet worden aangevuld met het certificaat en root certificaat dat u per email van eHealth-platform Registration Authority ontving. Een tweede encryptie sleutelpaar wordt gegenereerd en toegevoegd aan de sleutelbos. Het nieuw gegenereerde encryptie certificaat wordt ondertekend en opgestuurd naar het eHealth-platform. eHealth maakt en publiceert uw ETK in de ETK depot. De requestor heeft uw eerder gemaakte P12 sleutelbos nodig en voegt er twee sleutels aan toe: de private encryptie sleutel en een publieke encryptiesleutel. De ETK moet worden ondertekend wordt verstuurd naar eHealth. Wanneer alle controles door eHealth OK zijn wordt uw ETK onmiddellijk gemaakt en gepubliceerd.

Select sleutelbos Selecteer uw sleutelbos (“keystore”) en geef het wachtwoord in om toegang te krijgen tot de sleutelbos.

Sleutelbos en root CA selecteren Selecteer het certificaat dat u van het eHealth platform ontving. Vervolgens selecteert u het begeleidend root certificaat dat de certificate chain vertegenwoordigt.

Beëindig registratie- en ETK aanmaakproces In deze laatste stap worden uw encryptie-certificaten gegenereerd en toegevoegd aan de dezelfde sleutelbos. De ETEE requestor zal publieke informatie die door u ondertekend is aan eHealth verzenden en uw ETK publiceren. Wanneer het proces is voltooid bevat uw sleutelbos 4 sleutels:2 publieke sleutels en 2 privé-sleutels. Deze dubbele sleutelparen zijn beveiligd met een wachtwoord voor de sleutelopslag. Je beschikt over een ETK bestand dat u kunt bewaren voor uw administratie. Vergeet niet om de nieuwe sleutel veilig te bewaren (het door u geselecteerde .p12 bestand). Houd in gedachten dat de resulterende sleutelopslag werd gewijzigd door de ETEE Requestor (maak nieuwe back-up van de uitgebreide sleutelbos als u een back-up van je sleutel had gemaakt na processtap 1.)

Tijdslijn levering testcertificaat Autom. Requestor utility 1. Authenticatie certificaat Autom. Requestor utilty 2. Encryptie certificaat, ETK GUI Inlezing DN-gegevens lokale sleutel generatie Verificatie + Aanmaak certificaat GUI Aanmaak encryptiecertificaat Uitbreiding sleutelbos Max. 2 werkdagen