Manuál na vystavení certifikátu umožňující přístup do aplikace MoneyWeb

Transkript

1 Manuál na vystavení certifikátu umožňující přístup do aplikace MoneyWeb Poznámka: Tento manuál byl vytvořen za použití programu Microsoft Internet Explorer verze 6 cs a část týkající se MS Windows Vista a Windows 7 byla vytvořena v programu MS Internet Explorer verze 8 cs. Používáte-li jinou verzi MS Internet Exploreru nebo jiný prohlížeč Internetu, je postup obdobný. Verze 3.0, datum: 7/2010

2 MoneyWeb je projekt elektronického šifrovaného spojení Ministerstva financí, odboru 24 (Finanční analytický útvar) s povinnými subjekty a ostatními orgány státní správy. Jedná se o systém elektronického spojení s vysokým standardem zabezpečení provozovaný ministerstvem financí. Minimální systémové požadavky - PC s procesorem Pentium, 128MB RAM, HDD 10GB, myš - VGA monitor s rozlišením 800x600, 256barev - OS Windows 9x/XP/ Internet Explorer 5.5 a více nebo jiný WWW prohlížeč založený na jádře Mozilla - Integrovaná podpora SSL v3 (síla šifry 128 bitů) - Internetové připojení s rychlostí min. 64kbps

3 Kapitola A Bod 1 Otevření výchozí stránky správy uživatelských účtů systému MoneyWeb. V Internet Exploreru napište do adresního řádku adresu

4 Instalace certifikátů Bod 2 Kliknutím na odkaz cacert.der nainstalujte do svého profilu certifikát certifikační autority projektu MoneyWeb podle následujícího postupu: 2.1 Zobrazí-li se Vám dialog Stažení souboru, klikněte na tlačítko Otevřít. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs: Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs:

5 2.2 Klikněte na Nainstalovat certifikát. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs: Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs:

6 2.3 Klikněte na tlačítko Další. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs: Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs:

7 2.4a Používáte-li MS Windows XP a níže ponechte zaškrtnutou defaultní volbu Automaticky vybrat úložiště certifikátů na základě typu certifikátu a klikněte opět na tlačítko Další. 2.4b Používáte-li MS Windows Vista nebo Windows 7 zaškrtněte volbu Všechny certifikáty umístit v následujícím úložišti, klikněte na Procházet... a vyberte Důvěryhodné kořenové certifikační úřady, poté klikněte na tlačítko OK.

8 Následně klikněte na tlačítko Další >. 2.5 Import certifikátu potvrďte kliknutím na tlačítko Dokončit. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs:

9 Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs: 2.6 Zobrazí se Vám okénko informující o úspěšném importu certifikátu. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs:

10 Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs: Nejprve je potřeba souhlasit s nainstalováním certifikátu CA MoneyWeb kliknutím na tlačítko Ano a poté se zobrazí okénko informující o úspěšném importu certifikátu.

11 2.7 Okno Certifikát uzavřete kliknutím na tlačítko OK. Verze pro MS Windows XP a níže za použití MS Internet Exploreru verze 6 cs:

12 Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs: Po úspěšném importu certifikátu certifikační autority nainstalujte do svého profilu ještě certifikát VPN serveru kliknutím na odkaz vpn.moneyweb.cz.der. Postup instalace tohoto certifikátu je v případě operačního systému MS Windows XP a níže stejný jako při instalaci certifikátu certifikační autority Moneyweb (viz. kapitola A, body 2.1 až 2.7). V případě operačního systému MS Windows Vista nebo Windows 7 ponechte v bodě 2.4b zaškrtnutou volbu Automaticky vybrat úložiště certifikátů na základě typu certifikátu.

13 Kapitola B Bod 3 Žádost o klientský certifikát certifikační autority MoneyWeb Certifikát se skládá ze dvou částí (klíčů) a to soukromého klíče a veřejného klíče. Při tvorbě žádosti o certifikát se vytváří soukromý klíč, který se uloží na Vašem PC (případně na jiném médiu, na kterém je žádost tvořena, např. čipová karta). Pro správné používání certifikátu, musí tyto klíče vždy tvořit dvojici. Proto při následné instalaci vydaného certifikátu (veřejného klíče) do Vašeho počítače musí být soukromý klíč vždy k dispozici, jinak instalace neproběhne korektně a certifikát nebude použitelný! Proto se během doby, která vzniká v rozmezí po vytvořením žádosti o certifikát ve vašem PC a instalací vystaveného certifikátu, vyvarujte činností, které mohou zapříčinit porušení či ztrátu soukromého klíče. Jedná se především o reinstalaci PC a změny v uživatelském profilu, které by operační systém mohl vyhodnotit jako změny systémové - např. instalace SP, hotfixů, updaty, nebo instalace některých aplikací. Důsledkem těchto operací pak může být nepoužitelnost certifikátu, který vám byl za základě vaší žádosti vydán. Této nepříjemné situaci se můžete vyhnout minimalizací výše uvedeného mezidobí, nebo zálohou privátního klíče. 3.1 Na výchozí stránce správy uživatelských účtů systému MoneyWeb (viz. kapitola A, bod 2.1) klikněte na odkaz Žádost o certifikát. Pokud se zobrazí výzva k výběru certifikátu, zrušte ji stiskem tlačítka Storno.

14 3.2 Nebudete-li automaticky přesměrováni, klikněte na odkaz Enter Public Gateway. Verze pro MS Windows Vista a Windows 7 za použití MS Internet Exploreru verze 8 cs: V některých případech můžete být vyzváni k potvrzení vstupu na nedůvěryhodnou stránku, což je potřeba povolit kliknutím na odkaz Pokračovat na tento web (nedoporučujeme).

15 Před započetím generování žádosti o certifikát je na operačním systému MS Windows Vista a Windows 7 nutné udělat několik kroků: 3.2b V horním textovém menu vašeho internetového prohlížeče klikněte na Nástroje, dále na Možnosti Internetu, a poté na kartu Zabezpečení.

16 3.2c Na kartě Zabezpečení vyberte Důvěryhodné servery a klikněte na tlačítko Servery. Do pole Přidat tento web k zóně: by se mělo automaticky vyplnit Uvedený server se přidá do seznamu důvěryhodných kliknutím na tlačítko Přidat. 3.2d Následně je potřeba opět na kartě Zabezpečení upravit úroveň zabezpečení zóny důvěryhodné servery na Středně nízké (tahem posuvníkem směrem dolů).

17 3.2e Na kartě Zabezpečení je ještě nutné kliknout na Vlastní úroveň, v otevřeném okně s možnostmi sjet níže do části Ovládací prvky ActiveX a moduly plug-in a volbu Ovládací prvky ActiveX inicializace a skriptu nejsou označeny jako bezpečné pro skriptování. nastavit na Povolit. 3.2f Změněné nastavení se musí potvrdit stiskem tlačítka OK a poté ještě jednou kliknutím na Ano na zobrazeném dialogovém okně.

18 3.2g Úroveň zabezpečení zóny důvěryhodné servery ze změní na Vlastní. Nakonec vše potvrdíme kliknutím na tlačítko OK okna zobrazujícího možnosti internetu.

19 3.3 Po otevření přihlašovací stránky napište do políčka Login Vaše přihlašovací heslo, které Vám bylo zasláno Ministerstvem financí, odborem 24 a do políčka Password napište Vaše heslo. Před zobrazením přihlašovací stránky je možné, že bude nutné povolit doplněk Microsoft Certificate Enrollment Control od společnosti Microsoft Corporation.

20 3.4 Po přihlášení klikněte v horním menu na My Certificates - Request a Certificate (případně ve spodní části stránky na rychlý odkaz Request a Certificate ) a následně na odkaz Browser Certificate Request.

21 3.5 V následujícím formuláři vyplňte políčka podle následujícího postupu a klikněte na Continue: Name (First and Last name) napište Vaše jméno a příjmení bez diakritiky, např. Prochazka Karel Address napište Vaši ovou adresu Department napište název vašeho subjektu Phone Number napište Vaše telefonní číslo

22 Na další stránce už jen potvrdíte Vámi vložené informace, ostatní políčka ponechte v jejich výchozím nastavení a poté klikněte na Continue. Poznámka: pokud používáte operační systém Windows 2000, vyberte v políčku Certificate Template volbu User-sha1. Výchozí hodnoty: Subject Name Vámi zadané jméno a příjmení Vámi zadaná ová adresa Certificate Template ve většině případů ponechte volbu User, pouze u operačního systému Windows 2000 vyberte User-sha1 Selected Registration Authority ponechte volbu MoneyWeb Level of Assurance ponechte volbu Medium Key Generation Mode ponechte volbu Browser (Your Computer)

23 Na další stránce zadejte libovolný PIN (do obou políček stejný), ostatní políčka ponechte v jejich výchozím nastavení: PIN (Min. 5 chars) napište vlastní kód, který budete potřebovat v případě, že budete instalovat certifikát do jiného počítače, než ze kterého vytváříte žádost o certifikát; ve většině případů napište do tohoto políčka jakýkoli kód; PIN (Min. 5 chars) znovu napište kód z předchozího políčka Výchozí hodnoty: Signature Scheme - ponechte volbu RSA key Strength - ponechte volbu Strong

24 3.6 Po vyplnění všech políček v žádosti o certifikát klikněte na tlačítko Continue v dolní části formuláře a potvrďte následující informační okno stisknutím tlačítka OK. 3.7 Na další stránce vyberte z dolního menu s názvem Cryptographic device volbu Microsoft Strong Cryptographic Provider a poté klikněte na Generate Request.

25 3.8 Všechny následující informační okna VBScript potvrďte tlačítkem OK, okno Možné porušení skriptů potvrďte volbou Ano. 3.9 V následujícím dialogu zvolte volbu Úroveň zabezpečení...

26 3.10 V dialogu Program vytváří nový klíč RSA pro výměnu zvolte volbu Vysoká V následujícím okně téhož dialogu vyplňte název vytvářené položky (zvolte si vlastní název, např. MoneyWeb) do kolonky Heslo k položce a do kolonek Heslo a Potvrzení vepište Vámi zvolené heslo k vytvářené položce. Toto heslo si pečlivě zapamatujte a uložte na bezpečném místě, neboť bude potřeba při každém přístupu k aplikaci MoneyWeb.

27 3.12 Dialog uzavřete kliknutím na tlačítko OK Následující informační okno VBScript informující o úspěšném generování žádosti o certifikát potvrďte tlačítkem OK.

28 3.14 Po úspěšném vygenerování žádosti o certifikát se Vám zobrazí textový popis právě generované žádosti. Bod 4

29 Instalace klientského certifikátu certifikační autority MoneyWeb. Po schválení a podepsání Vaší žádosti o certifikát na Ministerstvu financí ČR Vám přijdou na uvedený během vytváření žádosti dva y. První s předmětem OpenCA Certificate information (níže označený jako A) je volně čitelný a obsahuje informaci o seriovém čísle Vašeho certifikátu a odkazy pro jeho instalaci do počítače. Druhý s předmětem OpenCA Certificate and PIN information (níže označený jako B) je digitálně podepsaný a zašifrovaný a tudíž bude čitelný až po instalaci certifikátu do počítače podle bodu 4.1a až 4.1b tohoto návodu. Tento obsahuje PIN kód potřebný pro případ žádosti o zneplatnění Vašeho certifikátu na stránkách CA MoneyWeb. A. Odesílatel: ca@moneyweb.cz Předmět: OpenCA Certificate information Vazena pani, vazeny pane, Vas certifikat se seriovym cislem 999 a DN CN=Karel Prochazka,OU=MoneyWeb,O=Ministry of Finance Czech Republic - FAU,C=CZ byl generovan. Certifikat si muzete stahnout ze serveru: Prosim, pouzijte seriove cislo certifikatu. Vas certifikat si take muzete naimportovat primo ze stranek certifikacni autority MoneyWeb na adrese: Prosim, z duvodu overeni duveryhodnosti Vaseho certifikatu si take naimportujte certifikat CA MoneyWeb, ktery naleznete na adrese: Nezapomente si ulozit kopii Vaseho privatniho klice na bezpecnem miste. V pripade ztraty nebo poskozeni privatniho klice jiz nebudete moci desifrovat zpravy timto klicem zasifrovane. S pozdravem Ministerstvo financi Ceske republiky Odbor 24 - Financni analyticky utvar

30 B. Odesílatel: Předmět: OpenCA Certificate and PIN information Vazena pani, vazeny pane, Vas certifikat se seriovym cislem 999 a DN CN=Karel Prochazka,OU=MoneyWeb,O=Ministry of Finance Czech Republic - FAU,C=CZ byl generovan. Certifikat si muzete stahnout ze serveru: Prosim, pouzijte tento PIN kod pro zneplatneni Vaseho certifikatu: iyquowo3clbvvuqmbdohqa S pozdravem Ministerstvo financi Ceske republiky Odbor 24 - Financni analyticky utvar V u A je uvedena informace, jak je možné nainstalovat Váš nový certifikát do počítače. První možností je po přihlášení k certifikační autoritě projektu MoneyWeb (viz. kapitola B, bod 3.1 až 3.3) kliknout v horním menu na My Certificates - Install My Certificate (případně ve spodní části stránky na rychlý odkaz Install My Certificate ) a do políčka Serial Number vložit sériové číslo Vašeho certifikátu z u A, tedy např. 999 (viz. následující bod 4.1a). Druhou možností je po přihlášení k certifikační autoritě podle kapitoly B, bodu 3.1 až 3.3 vložit do adresního řádku Vašeho internetového prohlížeče adresu uvedenou v obdrženém mailu pod bodem Vas certifikat si take muzete naimportovat primo ze stranek certifikacni autority MoneyWeb na adrese: a pokračovat bodem 4.1b. Certifikát není nutné zálohovat, neboť se používá pouze pro autentizaci uživatele a šifrování přenosu dat mezi uživatelem a serverem. Nedochází tedy k šifrování žádných informací, které by měli delší časovou platnost.

31 4.1a Instalace Vašeho osobního certifikátu do počítače

32 4.1b Potvrzení instalace Vašeho osobního certifikátu do počítače Výzvu Možné porušení skriptů potvrďte kliknutím na tlačítko Ano a po úspěšné instalaci certifikátu se Vám zobrazí stránka informující o dokončení procesu instalace.