Datatilsynet vil nærlæse signatur-vejledning

Hvis man skal have en digital signatur, skal man affinde sig med en hel utrolig gang volapyk i forbindelse med forsøget på at læsse ansvaret for fejl over på forbrugeren.
Pligterne er skrevet i et opstyltet lovsprog; der anvendes forkortelser, som ikke er defineret, men som man forpligtes overfor. Forbrugeren gøres ansvarlig for altid at have nyeste anti.* software installeret og endeligt gøres modtageren af noget signeret med digital signatur ansvarlig for at signaturen er ægte.
Det er bare for meget!

Det er derfor utroligt, at chefen for datatilsynet ikke kan forstå, hvorfor folk er utrygge ved og derfor ikke tager den digitale signatur til sig. Eller som han citeres for at sige:
"- Men der vil jo altid være nogen, som gør det forkert eller som ikke forstår, hvad der bliver skrevet. Man har et ansvar for selv at sætte sig ind i, hvordan det fungerer, siger Ib Alfred Larsen."

Så forkrampet skrives det hos TDC:

2. Forpligtelser og ansvar for Certifikatindehaver
Certifikatindehaveren er ansvarlig for at kravene i henhold til punkt 2.1- 2.4 iagttages.

For OCES medarbejdercertifikater kan forpligtelserne være delt mellem medarbejder og virksomhed/myndighed, som følge af de procedurer virksomheden/myndigheden internt måtte anvise medarbejderen. Medarbejderen er dog i mangel på anvisning fra arbejdsgiveren ansvarlig for kravene i henhold til punkt 2.1-2.4 iagttages.

2.1 Oplysninger
Certifikatindehaveren skal give korrekte oplysninger til brug for ansøgningen om udstedelse af et OCES certifikat fra TDC.

Certifikatindehaveren skal ved modtagelsen af sit OCES certifikat sikre sig, at indholdet af OCES certifikatet er i overensstemmelse med de faktiske forhold.

Hvis oplysninger givet i forbindelse med ansøgningen ikke længere er i overensstemmelse med de faktiske forhold, skal der omgående gives meddelelse til TDC Certificeringscenter. Tilsvarende gælder hvis indholdet af certifikatet ikke længere er i overensstemmelse med de faktiske forhold.

2.2 Generering og opbevaring af nøgler
Certifikatindehaveren skal generere og opbevare sin private nøgle og tilhørende aktiveringskode sikkert og efter de retningslinier, som TDC anviser i forbindelse med udstedelsen.

Certifikatindehaveren er ansvarlig for generering og brug af den private nøgle i et sikkert og pålideligt miljø. Certifikatindehaveren skal derfor bl.a. altid sikre, at computermiljøet er opdateret med seneste sikkerhedsopdateringer og virusbeskyttelsessoftware.

Certifikatindehaveren er forpligtet til at beskytte den private nøgle mod tab, afsløring, ændring eller uautoriseret brug.

Den private nøgle skal opbevares krypteret og beskyttet af en aktiveringskode. Aktiveringskoden skal bestå af mindst 8 tegn og indeholde mindst et lille og et stort bogstav samt et tal (eksempelvis G2uw3KMs). Aktiveringskoden skal skiftes hver 3. måned.

Certifikatindehaveren skal sikre, at andre ikke får kendskab til aktiveringskoden.

Aktiveringskoden, som bruges til at beskytte den private nøgle, må under ingen omstændigheder opbevares på samme sted som den private nøgle, og skal altid opbevares hemmeligt.

Certifikatindehaveren må ikke efterlade den private nøgle uden opsyn i en ikke-aflåst tilstand (f.eks. en arbejdsstation, hvor aktiveringskoden er indtastet). Hverken den private nøgle eller aktiveringskoden må overdrages til andre.

Hvis der tages en sikkerhedskopi af den private nøgle, skal sikkerhedskopien opbevares krypteret.

Certifikatindehaveren skal slette (overskrive) den private nøgle, når den ikke længere benyttes.

2.3 Anvendelse
Certifikatindehaveren må kun benytte OCES certifikatet og de tilhørende private nøgler i henhold til den OCES CP, der gælder for certifikatet.

Certifikatindehaveren må kun benytte OCES certifikatet i overensstemmelse med de eventuelle begrænsninger der fremgår af certifikatet. Certifikatet kan være begrænset med hensyn til anvendelse (formålsbegrænsning) eller med hensyn til transaktionsbeløb (beløbsbegrænsning).

OCES certifikaterne er ikke kvalificerede certifikater, og de må derfor ikke bruges i situationer, hvor kvalificerede certifikater er påkrævet. Certifikaterne må ikke anvendes til signering af andre certifikater.

Certifikatansøgeren må ikke anvende den private nøgle førend OCES certifikatet er modtaget, bortset fra den brug der sker ved certifikatansøgningen.

Certifikatindehaveren må ikke benytte den private nøgle efter anmodning om spærring, notifikation om spærring eller efter udløb af certifikatet.

2.4 Spærring
Certifikatindehaveren skal straks spærre sit certifikat i tilfælde af kompromittering af den private nøgle eller mistanke herom. Den private nøgle må i den forbindelse kun bruges til spærring af certifikatet.

Den private nøgle anses for kompromitteret, hvis andre får kendskab til aktiveringskoden.

Certifikatindehaveren skal spærre certifikatet, hvis indholdet af certifikatet ikke længere er i overensstemmelse med de faktiske forhold.

3. Forpligtelser og ansvar for signaturmodtager
Den person (signaturmodtageren), der modtager signerede data fra en certifikatindehaver, skal kontrollere følgende, inden vedkommende forlader sig på certifikatet :
Det ser jo ud til. at Ib Alfred ikke rigtigt forstår, hvad der holder folk tilbage:

At certifikatet er gyldigt, ved at verificere certifikatets status. Certifikatet anses som ugyldigt, såfremt gyldighed ikke kan verificeres positivt ved hjemhentning af aktuel spærreliste fra TDC.
At certifikatet anvendes i overensstemmelse med eventuelle anvendelsesbegrænsninger, som fremgår af certifikatet. Certifikatet kan være begrænset med hensyn til anvendelse (formålsbegrænsning) eller med hensyn til transaktionsbeløb (beløbsbegrænsning).
At niveauet af sikkerhed i udstedelsesproceduren, som beskrevet i OCES CP'erne, anses for passende i forhold til det formål, som certifikatet søges anvendt til.


DEN GIDER VI IKKE HÆNGE PÅ!!!!

Når både datatilsynet og it&telestyrelsen skal ind og kontrollere, hvad det er de råder os til

Men det ender givet som det altid ender. Der er ikke nogen der kan klandres, hverken hos datatilsynet, it&t..., tdc eller andre virksomheder eller offentlige myndigheder.

Og hvis borgere kommer i klemme, så er det med garanti selvforskyldt og skyldes formentlig nærmest kriminel adfærd.