EUROPEISKA UNIONEN RÅDET. Bryssel den 3 maj 1999 (11.5) (OR. en) 7258/2/99 REV 2 LIMITE CRIMORG 38. I/A-PUNKTSNOT från:

Transkript

1 EUROPEISKA UNIONEN RÅDET Bryssel den 3 maj 1999 (11.5) (OR. en) 7258/2/99 REV 2 LIMITE CRIMORG 38 I/A-PUNKTSNOT från: K 4-kommittén till: Coreper/rådet Föreg. dok. nr: 7258/1/99 CRIMMORG 38 REV 1; 10034/98 CRIMORG 112; 11631/98 CRIMORG 146 Ärende: Slutrapport om det europeiska rättsliga nätverkets telekommunikationer 1. Inledning 1.1 Vid mötet den 8 9 oktober 1998 enades den sektorsövergripande arbetsgruppen om det tillvägagångssätt som skisseras i dok /98 CRIMORG 146 ("En informell arbetsgrupp under ledning av ordförandeskapet och bestående av intresserade kontaktpunkter inom nätverket och med hjälp av sakkunniga på området, i synnerhet från Europol och generalsekretariatet skall med det snaraste förbereda en detaljerad not om nätverkets behov, de lösningar som erbjuds genom olika datasystem samt deras eventuella fördelar och nackdelar, kostnaden samt den eventuella möjligheten att använda befintliga telekommunikationsnät.") Detta tillvägagångssätt stod i överensstämmelse med dok /1/98 CRIMORG REV 1 (en), och innehåller de grundläggande kraven och alternativen för telekommunikationsnätet. DG H III 1

2 1.2 Den informella arbetsgruppen sammanträdde den 19 februari och den 19 mars Vid det första mötet behandlade arbetsgruppen de frågor som väckts av den sektorsövergripande arbetsgruppen och kontaktpunkterna i nätverket. Arbetsgruppen enades om att nätverket måste kunna ta fram ett antal dokument och att det bör ha tillgång till aktuell information i frågor som är relevanta för det rättsliga samarbetet och nätverkets uppgifter. Den informella arbetsgruppen enades dessutom om att det är nödvändigt att förbättra kommunikationen mellan kontaktpunkterna samt att dessa snarast möjligt måste få ett e-postsystem inom vilket det skall vara möjligt att informera om olika ärenden. Systemet bör emellertid erbjuda tillräckligt god säkerhet så att det lämpar sig för utbyte av konfidentiell information. Mot bakgrund av detta fann den informella arbetsgruppen att ett pilotprojekt som innefattar ett säkrat e-postsystem samt en databas med relevant information bör inledas. 1.3 Under det andra mötet dryftade den informella arbetsgruppen alternativen och behandlade säkerhetsfrågan mycket noggrant. Arbetsgruppen enades om den lösning som återfinns i detta dokument. Vi mötet den april 1999 behandlade den sektorsövergripande arbetsgruppen förslagen och enades om dem. K 4-kommittén enades om detta förslag vid sitt möte den 30 april 1999, med förbehåll för en utvärdering av pilotprojektet tolv månader efter dess start. Coreper/rådet uppmanas att överväga detta förslag och godkänna det i enlighet med artikel 10.1 i den gemensamma åtgärden (98/428/RIF) om inrättandet av ett europeiskt rättsligt nätverk. 2. Krav på telekommunikationsnätet 2.1 För att möjliggöra för kontaktpunkterna i det europeiska rättsliga nätverket att arbeta verkligt effektivt bör de ha ett telekommunikationssystem som uppfyller följande krav: a) Åtkomst till allmänt tillgänglig information, till exempel internationella instrument. b) Åtkomst till information som nätverkets kontaktpunkter anser vara konfidentiell, till exempel kontaktpunkternas namn och adresser och de svar på det frågeformulär om särskilda utredningsmetoder (även kallade "Fiches Belges") vilka de belgiska myndigheterna har samlat in. c) Det bör innehålla en e-postfunktion så att kontaktpunkterna kan utbyta information. Sådan information kan gälla ärenden och måste därför vara säkrad (det bör emellertid påpekas att sådan information i våra dagar befordras osäkrad genom telefon och fax denna e-postfunktion kommer därför att förbättra säkerheten avsevärt jämfört med den nuvarande situationen). DG H III 2

3 2.2 Dessutom måste systemet vara användarvänligt och kostnadseffektivt, och det måste enkelt kunna integreras med användarens aktuella datorsystem. Det måste följaktligen vara tillgängligt för genomsnittsanvändaren och får inte kräva dyrbara investeringar. Dessutom bör sådan information som inte har med ärenden att göra vara tillgänglig för alla som inte önskar ingå i nätet. 2.3 Nätet är avsett att användas enbart av det europeiska rättsliga nätverket. Säkerheten är därför viktig. Följaktligen bör lösningen garantera att enbart godkända användare kan få tillgång till telekommunikationsnätet och att konfidentiell information som förmedlas genom eller finns tillgänglig på nätet inte är möjlig för andra att komma åt. 3. Lösningar 3.1 Genom följande lösningar kan ovanstående krav tillgodoses: a) Allmänt tillgänglig information visas på en webbplats i rådets generalsekretariat ( och uppdateras regelbundet. Dessutom kommer en cd-rom med samma information att skickas till kontaktpunkterna. Beta-versionen av denna cd-rom visades för deltagarna i den sektorsövergripande arbetsgruppens möte den 19 mars Den slutliga versionen kommer inom kort. b) På försök kommer ett virtuellt privat nät (Virtual Private Network (VPN)) att skapas på rådets generalsekretariats server. Åtkomst till servern är begränsad till det europeiska rättsliga nätverkets kontaktpunkter. Kontaktpunkten kan komma åt servern med hjälp av ett så kallat smartkort (liknar ett vanligt kreditkort) och en smartkortsläsare som tillhandahålls av generalsekretariatet, tillsammans med en PIN-kod (personligt identifieringsnummer). Denna teknik beskrivs i bilaga I till detta dokument. På detta sätt kan endast bemyndigade personer få åtkomst till nätet och skyddet av informationen på nätet säkerställs genom att smartkortet är krypterat. Denna teknik har visat sig vara säker i praktisk användning. Bankerna till exempel använder en liknande teknik för sina transaktioner. Detta virtuella privata nät innehåller till en början den konfidentiella information som nämns ovan under 2.1 b. c) "Fiches Belges" kommer att läggas in på VPN och även på en cd-rom som enbart kontaktpunkterna och personer som har utsetts av sin regering kommer att få (ansökningar görs via delegationerna i den sektorsövergripande arbetsgruppen). DG H III 3

4 d) Det virtuella privata nätet kommer att innehålla en e-postfunktion, liksom andra funktioner, till exempel nyhetsgrupper och diskussionsgrupper. Detta ger det europeiska rättsliga nätverkets kontaktpunkter ett säkert och kraftfullt medel att utbyta meddelanden och information. Åtkomst till dessa meddelanden kommer att vara möjlig endast för sändaren och mottagaren (inte för nätadministratören). Slutligen kan dessa personer själva besluta upp till vilken konfidentialitetsnivå de önskar använda e-postfunktionen. e) Det virtuella privata nätet gör det även möjligt för generalsekretariatet att delge kontaktpunkterna den senaste informationen och nya program om straffrättsligt samarbete. Medlemsstaterna, som om de begär detta biträds av generalsekretariatet, kommer att vara ansvariga för innehållet i den information som rör deras land. f) E-postfunktionen gör det möjligt att bifoga dokument eller andra filer till meddelanden. Eftersom olika ordbehandlingsprogram används i olika länder, kan de bifogade dokumentens läsbarhet (inte själva e-postmeddelandet) vålla tekniska problem. När nätet väl är i drift kommer generalsekretariatet att göra en genomgång för att se huruvida en enhet för dokumentkonvertering behöver inrättas till stöd för kontaktpunkterna. Ett alternativ kan åtminstone på medellång eller lång sikt vara att enas om samma program. 3.2 Rådets generalsekretariat kommer att stå för underhållet av telekommunikationsnätet. Generalsekretariatet kommer att uppdatera informationen både på den allmänt tillgängliga och den konfidentiella webbplatsen med hjälp av medlemsstaterna, och kommer att administrera smartkorten. 3.3 Kontaktpunkterna måste vidta de nödvändiga åtgärderna för att hindra icke-godkända personers åtkomst till nätet. Användningen av smartkortet och PIN-koden bör följaktligen begränsas till kontaktpunkten. Detta utesluter inte att en medlemsstat kan välja att, på individuell basis, få flera smartkort utfärdade per kontaktpunkt. Förlust av smartkortet bör rapporteras till generalsekretariatet, så att kortets giltighet kan återkallas och ett nytt utfärdas. Nya smartkort kommer att utfärdas till godkända användare med regelbundna mellanrum. DG H III 4

5 3.4 Användaren av det virtuella privata nätet kommer att behöva en dator med Microsoft Windows (95-, 98- eller NT-versionen används för närvarande). Han/hon kan anslutas till nätet genom en enskild dator med ett modem, vilket får anses vara en enkel och säker lösning. En annan möjlighet är en dator som ingår i ett lokalt nät med ett extramodem installerat. För det tredje kan hans/hennes organisations lokala eller nationella nät anslutas direkt till servern i rådets generalsekretariat. I det andra och det tredje fallet finns det särskilda mått och steg för att garantera att rådets nät och det lokala nätet separeras på ett säkert sätt, och tvärtom. Rådets generalsekretariat kommer att ge nödvändigt stöd om medlemsstaterna väljer denna lösning. Uppkopplingen till servern i generalsekretariatet kommer att ske genom uppringning till ett nytt datanät som kommer att ha ingångar i åtminstone varje huvudstad i medlemsstaterna. 3.5 När pilotprojektet väl är godkänt, kommer den godkända användaren att få a) en e-postadress på servern, b) ett smartkort med en PIN-kod, c) en smartkortsläsare som är ansluten till kommunikationsingången på hans dator, d) kommunikationsprogram för utbytet av data mellan datorn och servern genom datanätet, e) installations- och bruksanvisningar. 4. Steg-för-steg 4.1 Denna lösning innebär att projektet kan genomföras steg-för-steg: de medlemsstater som är beredda att delta kan göra detta omedelbart. Andra medlemsstater kan få informationen på cd-rom; de kommer emellertid inte att få fördelen med information som ständigt uppdateras. 5. Kostnader 5.1 I kostnaderna ingår följande: a) Ett smartkort, kortläsaren, kommunikationsprogrammet och e-postprogrammet. Dessa kostnader är tämligen obetydliga (78 euro per enhet) och kan, om det nödvändiga godkännandet ges, betalas ur rådets generalsekretariats förvaltningsbudget. DG H III 5

6 b) Rådets generalsekretariat kommer i samarbete med medlemsstaterna att uppdatera informationen på servern. Kostnaderna för detta ingår i generalsekretariatets normala driftskostnader, även om personal (tillsammans med nationella experter) kommer att behöva avdelas permanent för att sköta nätet. c) Den användare som vill ingå i det virtuella privata nätet kommer att behöva en dator (med Windows 95/98/NT installerat), ett modem och en telefonlinje, eller få sitt nät anslutet till servern. Kostnaderna beror på användarens aktuella datorsystem och på vilken lösning användaren väljer. Om datorn, som är kopplad till ett annat nät eller själva nätet, är ansluten bör skötseln av det lokala nätet även vara inriktad på att hålla brandväggen intakt. d) Den användare som inte vill ingå i det virtuella privata nätet behöver bara en dator (med Windows 95/98 installerat) och en cd-romläsare. 6. Slutsats 6.1 Om rådet godkänner detta förslag kan ordförandeskapet inleda det praktiska förberedelsearbetet omedelbart, så att nätet kan tas i bruk i höst. DG H III 6

7 BILAGA Sammanfattning av diabildsprogrammet om säkerhet med hjälp av det virtuella privata nätet Även om det framtida nätet kommer att vara privat, kommer omkopplare, routrar och kablar som handhas av tjänsteleverantören och lokala kabelbolag att användas. Säkerheten måste därför tillämpas i kommunikationsskikten omedelbart ovanför Internetprotokollet. Den nya säkerhetsprincipen är det virtuella privata nätet, där skyddssystemet används på den logiska delen, inte den fysiska. Det arbetar enligt principen betrodd IP-adress Flera skyddssystem kommer att införas RSA:s asymmetriska nyckelsystem, Diffie-Hellmans algoritm för nyckelbyte, liksom olika standarder nyckelcertifikat X.509, chiffreringsalgoritmer (3DES, IDEA,...). En ad hoc-grupp från rådets generalsekretariat (arbetsgruppen för elektroniska förbindelser undergruppen för datasäkerhet) håller på att ta fram en profil för säkerhetscertifiering (grundad på CS2) som kan tillämpas på det framtida privata IP-nätet. Autentiseringen av betrodda deltagare går genom RSA:s system för utbyte av nycklar och utgår från en modell för certifiering där varje användares öppna nyckel får en signatur med hjälp av den betrodda myndighetens hemliga nyckel, varje användare känner till den betrodda myndighetens öppna nyckel (innesluten i smartkortet), smartkortet innehåller användarens nyckelpar (hemlig och öppen nyckel). X509-certifikat och RSA När en kommunikationssession påbörjas sker följande: Användaren sänder från sin dator, med hjälp av det virtuella privata nätprogrammet, sitt eget certifikat till den andre användaren, och kontrollerar att den andres certifikat är autentiskt genom den betrodda myndighetens öppna nyckel. Om den ömsesidiga identifieringen lyckas, väljs en krypteringsnyckel slumpmässigt. Denna slumpnyckel är krypterad med den andre användarens öppna nyckel och är innesluten i det certifikat som har utväxlats med användaren. BILAGA DG H III 7

8 Genom denna utväxling av sessionsnycklar skapas en "hemlig nyckel för gemensam session". Alla data som skall utväxlas kommer därför att vara krypterade med nyckeln för den gemensamma sessionen. IP-paketet är krypterat och inbäddat i ett nytt paket (IP-tunnelsystem). All IP-trafik fångas upp av den andre användarens VPN-program. Om mottagarens och avsändarens adresser på paketet känns igen som adresser till de autentiserade användarna, dekrypteras innehållet och data skickas vidare till tillämpningsprogrammet. Om autentiseringen eller dekrypteringen misslyckas, stoppas IP-paketen. Med förutbestämda tidsintervall eller när en given mängd data har utväxlats, ändras nyckeln för sessionen. Om någon av parterna slutar att svara stoppas stacken och kommunikationen bryts. Om autentiseringen eller dekrypteringen misslyckas stoppas IP-paketen. Smartkortet som säker nyckelförvaring Smartkortet är en av de säkraste (kommersiella) förvaringarna eftersom samtliga krypteringsoch dekrypteringsprocesser utförs i kortets inre. De hemliga komponenterna i nycklarna kommer därför aldrig utanför själva smartkortet. Smartkortet har ett extraminne som även innehåller användaridentitet (inloggningsnamn och lösenord), privilegier som hör till åtkomsträtten, användarval och annan information som är skräddarsydd efter användaren. BILAGA DG H III 8

9 Hur rådets x-nät är uppbyggt Rådets generalsekretariats interna lokala nät Övriga webbplatser för EU Rådets generalsekretariats brandvägg Rådets generalsekretariats e-postserver Analogt och numeriskt telefonnät U32- arbetsgrupper, databas System för elektronisk arkivering VPN-server för åtkomst X500- katalogserver Server för uppringd åtkomst Övriga webbplatser för rådets generalsekretariat Leverantör av inter- nationella tjänster Rådets generalsekretariats brandvägg European Judicial Network 19 March Hur x-nätet är isolerat Rådets generalsekretariats interna lokala nät Rådets generalsekretariats brandmur Övriga webbplatser för EU VPN-server för åtkomst Rådets generalsekretariats e-postserver U32-arbetsgrupper, databas System för elektronisk arkivering X500- katalogserver VPN-server för åtkomst Övriga webbplatser för rådets generalsekretariat Rådets generalsekretariats brandmur Analogt och numeriskt telefonnät Server för uppringd åtkomst Leverantör av inter- nationella tjänster European Judicial Network 19 March /2/99 REV 2 ba/ell/nh S BILAGA DG H III 9

10 Rådets generalsekretariats e-postserver Hur x-nätet är isolerat, den röda gränsen U32- arbetsgrupper, databas System för elektronisk arkivering X500- katalogserver VPN-server för åtkomst Övriga webbplatser för rådets generalsekretariat Övriga webbplatser för EU Rådets generalsekretariats brandmur Analogt och numeriskt telefonnät Server för uppringd åtkomst Leverantör av inter- nationella tjänster European Judicial Network 19 March Hur x-nätet är isolerat Denna del är i klartext Rådets generalsekretariats e-postserver U32- arbetsgrupper, databas System för elektronisk arkivering X500- katalogserver Övriga webbplatser för rådets generalsekretariat Övriga webbplatser för EU Rådets generalsekretariats brandmur VPN-server för åtkomst Analogt och numeriskt telefonnät Server för uppringd åtkomst Leverantör av inter- nationella tjänster Denna del är krypterad European Judicial Network 19 March /2/99 REV 2 ba/ell/nh S BILAGA DG H III 10

11 Hur x-nätet är isolerat Varje server har två nätkort med två adresser till olika undernät Rådets generalsekretariats brandmur VPN-server för åtkomst European Judicial Network 19 March Hur x-nätet är isolerat Webbserver Programskikt Stack 1 Stack 2 Transportskikt x Routingen blockerad x Internetprotokoll Nätkort Extranät Generalsekretariatet European Judicial Network 19 March /2/99 REV 2 ba/ell/nh S BILAGA DG H III 11

12 De första servrar som skall installeras kommer att vara MTA-servern för de som använder e-postfunktionen; den andra kommer att vara webbplatserna för det europeiska rättsliga nätverket MTA VPN1 WEBplatser Rådets general- sekretariats interna privata nät VPN2 Leverantör av intern- nationella tjänster European Judicial Network 19 March /2/99 REV 2 ba/ell/nh S BILAGA DG H III 12