Aanmelding van een nieuwe standaard voor de ‘pas toe of leg uit ‘-lijst
Voor dit type aanmelding geldt dat alle criteria van toepassing zijn en alle vragen beantwoord dienen te worden. U wordt als eerst gevraagd uw persoonsgegevens en de basisinformatie van de standaard te geven. Vervolgens dienen de criteriavragen beantwoord te worden. De criteria vallen uiteen in criteria voor inbehandelname en inhoudelijke criteria.
0. Persoonsgegevens indiener & relatie tot standaard
Deze gegevens worden door het Forum gebruikt om met u in contact te kunnen treden. De gegevens worden vertrouwelijk behandeld.
0.
Persoonsgegevens en relatie tot de standaard
0.1
Naam:
0.2
Organisatie: NLnet
0.3
Functie:
0.4
Telefoonnummer:
0.5
E-mailadres:
0.6
Welke relatie bestaat er tussen uw organisatie en de standaard?
-
0.7
Zijn er (andere) overheidsorganisaties die de aanmelding van deze standaard ondersteunen?
Onbekend.
I. Basisinformatie aanmelding standaard
De basisinformatie van de standaard vormt de basis voor de toetsing tegen de criteria. Probeer hier zo volledig mogelijk in te zijn. 1.
Basisinformatie standaard(en) (In geval van een set van standaarden, meerdere malen invullen)
1.1
Volledige naam van de standaard Transport Layer Security (TLS) Protocol Version 1.2
1.2
Verkorte naam van de standaard TLS 1.2
1.3
Versie van de standaard, vaststellingsdatum en status rfc5246, August 2008
1.4
Oudere en aanstaande versies van de standaard inclusief (verwachte) publicatiedata en ondersteuningsstatus [TLS1.0] Dierks, T. and C. Allen, "The TLS Protocol Version 1.0", Fout: Bron van verwijzing niet gevonden, January 1999. [TLS1.1] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.1", Fout: Bron van verwijzing niet gevonden, April 2006. Naam en vindplaats specificatiedocument (bij voorkeur URL of bijvoegen bij aanmelding)
1.5
http://www.rfc-editor.org/rfc/rfc5246.txt
1.6
Naam van de standaardisatieorganisatie
1.7
IETF Kosten van deelname aan het standaardisatieproces (bijv. voor lidmaatschap) 0
1.8
Kosten voor het verkrijgen van het specificatiedocument 0
1.9
Andere standaarden die genoemd worden in het specificatiedocument van de
standaard Normative References [AES] Technology,
National Institute of Standards and
[3DES] Technology,
National Institute of Standards and
[DSS] Standard",
NIST FIPS PUB 186-2, "Digital Signature
"Specification for the Advanced Encryption Standard (AES)" FIPS 197. November 26, 2001.
"Recommendation for the Triple Data Encryption Algorithm (TDEA) Block Cipher", NIST Special Publication 800-67, May 2004.
National Institute of Standards and Technology, U.S. Department of Commerce, 2000. [HMAC] Krawczyk, H., Bellare, M., and R. Canetti, "HMAC: KeyedHashing for Message Authentication", Fout: Bron van verwijzing niet gevonden, February 1997. [MD5] Rivest, R., "The MD5 Message-Digest Algorithm", Fout: Bron van verwijzing niet gevonden, April 1992. [PKCS1] Cryptography
Jonsson, J. and B. Kaliski, "Public-Key Standards (PKCS) #1: RSA Cryptography
Specifications
Version 2.1", Fout: Bron van verwijzing niet gevonden, February 2003. [PKIX] Housley, R., Polk, W., Ford, W., and D. Solo, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", Fout: Bron van verwijzing niet gevonden, April 2002. [SCH] B. Schneier. "Applied Cryptography: Protocols, Algorithms, and Source Code in C, 2nd ed.", Published by John Wiley & Sons, Inc. 1996. [SHS] NIST FIPS PUB 180-2, "Secure Hash Standard", National
Institute of Standards and Technology, U.S. Department of Commerce, August 2002. [REQ] to Indicate
Bradner, S., "Key words for use in RFCs
Requirement Levels", Fout: Bron van verwijzing niet gevonden, Fout: Bron van verwijzing niet gevonden, March 1997. [RFC2434] Narten, T. and H. Alvestrand, "Guidelines for Writing an IANA Considerations Section in RFCs", Fout: Bron van verwijzing niet gevonden, Fout: Bron van verwijzing niet gevonden, October 1998. [X680] ITU-T Recommendation X.680 (2002) | ISO/IEC 8824-1:2002, Information technology - Abstract Syntax Notation One (ASN.1): Specification of basic notation. [X690] ITU-T Recommendation X.690 (2002) | ISO/IEC 8825-1:2002, Information technology - ASN.1 encoding Rules: Specification of Basic Encoding Rules (BER), Canonical Encoding Rules (CER) and Distinguished Encoding Rules (DER). [AEAD] McGrew, D., "An Interface and Algorithms for Authenticated Encryption", Fout: Bron van verwijzing niet gevonden, January 2008. [AH] Kent, S., "IP Authentication Header", Fout: Bron van verwijzing niet gevonden, December 2005. [BLEI] Bleichenbacher D., "Chosen Ciphertext Attacks against Protocols Based on RSA Encryption Standard PKCS #1" in Advances in Cryptology -- CRYPTO'98, LNCS vol. 1462, pages: 1-12, 1998. [CBCATT] Moeller, B., "Security of CBC Ciphersuites in SSL/TLS: Problems and Countermeasures", Fout: Bron van verwijzing niet gevonden. [CBCTIME]
Canvel, B., Hiltgen, A., Vaudenay, S.,
and M. Vuagnoux, "Password Interception in a SSL/TLS Channel", Advances in Cryptology -- CRYPTO 2003, LNCS vol. 2729, 2003. [CCM] CCM Mode for
"NIST Special Publication 800-38C: The Authentication and Confidentiality", Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden
[DES] National Institute of Standards and Technology, "Data Encryption Standard (DES)", FIPS PUB 463, October 1999. [DSS-3] NIST FIPS PUB 186-3 Draft, "Digital Signature Standard", National Institute of Standards and Technology, U.S. Department of Commerce, 2006. [ECDSA] "Public Key Industry: The
American National Standards Institute, Cryptography for the Financial Services
Elliptic Curve Digital Signature Algorithm (ECDSA)", ANS X9.62-2005, November 2005. [ENCAUTH] Krawczyk, H., "The Order of Encryption and Authentication for Protecting Communications (Or: How Secure is SSL?)", Crypto 2001. [ESP] Kent, S., "IP Encapsulating Security Payload (ESP)", Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden, December 2005. [FI06] Hal Finney, "Bleichenbacher's RSA signature forgery based on implementation error",
[email protected] mailing list, 27 August 2006, Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden. [GCM] 800-38D, Operation:
Dworkin, M., NIST Special Publication "Recommendation for Block Cipher Modes of Galois/Counter Mode (GCM) and GMAC",
November 2007. [IKEALG] Schiller, J., "Cryptographic Algorithms for Use in the Internet Key Exchange Version 2 (IKEv2)", Fout: Bron van verwijzing niet gevonden, December 2005. [KEYSIZ] Orman, H. and P. Hoffman, "Determining Strengths For Public Keys Used For Exchanging Symmetric Keys", Fout: Bron van verwijzing niet gevonden, Fout: Bron van verwijzing niet gevonden, April 2004. [KPR03] Klima, V., Pokorny, O., Rosa, T., "Attacking RSA-based Sessions in SSL/TLS", Fout: Bron van verwijzing niet gevonden, March 2003. [MODP] Kivinen, T. and M. Kojo, "More Modular Exponential (MODP) Diffie-Hellman groups for Internet Key Exchange (IKE)", Fout: Bron van verwijzing niet gevonden, May 2003. [PKCS6] Certificate 1993.
RSA Laboratories, "PKCS #6: RSA Extended Syntax Standard", version 1.5, November
[PKCS7] RSA Laboratories, "PKCS #7: RSA Cryptographic Message Syntax Standard", version 1.5, November 1993. [RANDOM] Crocker,
Eastlake, D., 3rd, Schiller, J., and S.
[RFC3749] Protocol
Hollenbeck, S., "Transport Layer Security
"Randomness Requirements for Security", Fout: Bron van verwijzing niet gevonden, Fout: Bron van verwijzing niet gevonden, June 2005.
Compression Methods", Fout: Bron van verwijzing niet gevonden, May 2004. [RFC4366] Blake-Wilson, S., Nystrom, M., Hopwood, D., Mikkelsen, J., and T. Wright, "Transport Layer Security (TLS) Extensions", Fout: Bron van verwijzing niet gevonden, April 2006.
[RSA] R. Rivest, A. Shamir, and L. M. Adleman, "A Method for Obtaining Digital Signatures and PublicKey Cryptosystems", Communications of the ACM, v. 21, n. 2, Feb 1978, pp. 120-126. [SEQNUM] Bellovin, S., "Defending Against Sequence Number Attacks", Fout: Bron van verwijzing niet gevonden, May 1996. [SSL2] Hickman, Kipp, "The SSL Protocol", Netscape Communications Corp., Feb 9, 1995. [SSL3] "The SSL 3.0 Nov 18, 1996.
A. Freier, P. Karlton, and P. Kocher, Protocol", Netscape Communications Corp.,
[SUBGROUP] Zuccherato, R., "Methods for Avoiding the "Small-Subgroup" Attacks on the Diffie-Hellman Key Agreement Method for S/MIME", Fout: Bron van verwijzing niet gevonden, March 2000. [TCP] Postel, J., "Transmission Control Protocol", STD 7, Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden, September 1981. [TIMING] attacks are 2003. [TLSAES] (AES)
Boneh, D., Brumley, D., "Remote timing practical", USENIX Security Symposium Chown, P., "Advanced Encryption Standard
Ciphersuites for Transport Layer Security (TLS)", Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden, June 2002. [TLSECC] Blake-Wilson, S., Bolyard, N., Gupta, V., Hawk, C., and B. Moeller, "Elliptic Curve Cryptography (ECC) Cipher Suites for Transport Layer Security (TLS)", Fout: Bron van verwijzing niet gevonden, May 2006. [TLSEXT]
Eastlake, D., 3rd, "Transport Layer
Security (TLS) in Progress,
Extensions:
Extension Definitions", Work
February 2008.
[TLSPGP] Mavrogiannopoulos, N., "Using OpenPGP Keys for Transport Layer Security (TLS) Authentication", Fout: Bron van verwijzing niet gevonden, November 2007. [TLSPSK] Eronen, P., Ed., and H. Tschofenig, Ed., "Pre-Shared Key Ciphersuites for Transport Layer Security (TLS)", Fout: Bron van verwijzing niet gevonden Fout: Bron van verwijzing niet gevonden, December 2005. [TLS1.0] Dierks, T. and C. Allen, "The TLS Protocol Version 1.0", Fout: Bron van verwijzing niet gevonden, January 1999. [TLS1.1] Dierks, T. and E. Rescorla, "The Transport Layer Security (TLS) Protocol Version 1.1", Fout: Bron van verwijzing niet gevonden, April 2006. [X501] ITU-T Recommendation X.501: Information Technology - Open Systems Interconnection - The Directory: Models, 1993.
1.10
[XDR] Eisler, M., Ed., "XDR: External Data Representation Standard", STD 67, Fout: Bron van verwijzing niet gevonden, May 2006. Hoe werkt de standaard? (graag op een bondige en voor een buitenstaander duidelijke manier beschrijven hoe de standaard werkt en wat deze mogelijk maakt)
Protocolonafhankelijke beveiliging van internetverbindingen waarbij beide zijden elkaar kunnen authenticeren en een encryptie-algorithme en cryptographische sleutels kunnen onderhandelen voor de rest van de verbinding wordt opgezet.
2. 2.1
Toepassings- en werkingsgebied van opname Wat is het beoogde functioneel toepassingsgebied voor de standaard?
Alle internetdiensten
2.2
Wat is het beoogde organisatorisch werkingsgebied voor de standaard? (hoeft alleen ingevuld te worden als de standaard op de “pas toe of leg uit” –lijst is opgenomen
Volledige overheid
II. Criteria voor inbehandelname De criteria voor inbehandelname worden gebruikt tijdens de intake om te bepalen of een aanmelding correct is en binnen de scope van de lijsten valt. U kunt voor het beantwoorden van deze vraag de tekstvlakken bij de betreffende criteriavragen gebruiken. Criteria: De aanmelding is correct en valt binnen scope van de lijsten, d.w.z. de standaard: - Is toepasbaar voor elektronische gegevensuitwisseling tussen en met (semi-)overheidsorganisaties; - Draagt binnen het beoogde opnamegebied substantieel bij aan de interoperabiliteit van de (semi-)overheid; - Is niet reeds wettelijke verplicht.
1. 1.1
Valt de aangemelde standaard binnen de scope van de lijsten? Is de standaard toepasbaar voor elektronische gegevensuitwisseling tussen (semi-)overheidsorganisaties en bedrijven, tussen (semi-)overheidsorganisaties en burgers of tussen (semi-)overheidsorganisaties onderling? Ja.
1.2
Is het beoogde functioneel toepassingsgebied en het organisatorisch werkingsgebied van de standaard, voldoende breed om substantieel bij te dragen aan de interoperabiliteit van de (semi-)overheid? Ja. Zeker met gebruik van DANE.
1.3
Is het zinvol de standaard op te nemen, gezien het feit dat deze niet al wettelijk verplicht is voor het beoogde functioneel toepassingsgebied en organisatorisch werkingsgebied? Ja. Er zijn de nodige aanvallen op de oudere versies bekend. Adoptie bij Nederlandse overheden blijft achter.
III. Inhoudelijke criteria
De inhoudelijke criteria worden gebruikt voor het expertonderzoek om te adviseren over het al dan niet opnemen van de standaard op één van de lijsten. U kunt voor het beantwoorden van deze vragen de tekstvlakken bij de betreffende criteriavragen gebruiken. De vragen dienen beantwoord te worden met Ja, Nee of Onbekend en altijd te worden voorzien van een toelichting op het antwoord. III. Inhoudelijke criteria 1. Inhoudelijk criterium: Toegevoegde waarde Criterium: De interoperabiliteitswinst en andere voordelen van adoptie van de standaard wegen overheidsbreed en maatschappelijk op tegen de risico’s en nadelen.
Vragen: 1.1 1.1.1
Verhoudt de standaard zich goed tot andere standaarden? Kan de standaard naast of in combinatie met reeds opgenomen standaarden worden toegepast (d.w.z. de standaard conflicteert niet met reeds opgenomen standaarden)? Ja, geen conflict.
1.1.2
Biedt de aangemelde standaard meerwaarde boven reeds opgenomen standaarden met een overlappend functioneel toepassings- en organisatorisch werkingsgebied? (Dit kan ook om een nieuwe versie van dezelfde standaard gaan.)
Ja. Verbeteringen over de hele linie: oude onveilige aspecten van vorige versies zijn ondervangen en nieuwe features toegevoegd. Secure Sockets Layer (SSL) Version 2.0 zou uit de roulatie gehaald moeten worden: http://tools.ietf.org/html/rfc6176
1.1.3
Biedt de aangemelde standaard meerwaarde boven bestaande concurrerende standaarden die in aanmerking zouden kunnen komen voor opname? Er zijn geen concurrerende standaarden.
1.1.4
Is de standaard een internationale standaard of sluit de standaard aan bij relevante internationale standaarden? (hangt af van de definitie van internationale standaard. Aannemende dat IETF een internationale standaardenorganisatie is, is het antwoord bevestigend)
1.1.5
Draagt de standaard voldoende bij aan interoperabiliteit zonder dat aanvullende standaardisatieafspraken (zoals lokale profielen) noodzakelijk zijn? Ja. Mechanisme is universeel.
III. Inhoudelijke criteria: 1. Toegevoegde waarde (vervolg)
1.2
Wegen de kwantitatieve en kwalitatieve voordelen van adoptie van de standaard, voor de (semi-)overheid als geheel en voor de maatschappij, op tegen de nadelen?
1.2.1
Draagt de adoptie van de standaard bij aan de oplossing van een bestaand, relevant interoperabiliteitsprobleem?
Niet van toepassing. Gaat om beveiliging.
1.2.2
Draagt de standaard bij aan het voorkomen van een vendor lock-in (leveranciersafhankelijkheid)?
Niet van toepassing.
1.2.3
Wegen de overheidsbrede en maatschappelijke baten voor de informatievoorziening en de bedrijfsvoering op tegen de kosten? Ja, risico's zijn groot.
1.2.4
Zijn de beveiligingsrisico’s aan overheidsbrede adoptie van de standaard acceptabel? Ja, eerder omgekeerd. De beveiligingsrisico's van het uitblijven van adoptie zijn onacceptabel.
1.2.5
Zijn de privacyrisico’s aan overheidsbrede adoptie van de standaard acceptabel? Ja, eerder omgekeerd. De privacyrisico's van het uitblijven van adoptie zijn onacceptabel (zeker gezien internationale ontwikkelingen van afgelopen jaar).
2. Inhoudelijk criterium: Open standaardisatieproces Criterium: De ontwikkeling en het beheer van de standaard zijn op een open, onafhankelijke, toegankelijke, inzichtelijke, zorgvuldige en duurzame wijze ingericht.
Vragen: 2.1 Is de documentatie voor eenieder drempelvrij beschikbaar? 2.1.1 Is het specificatiedocument beschikbaar zonder dat er sprake is van onacceptabele belemmeringen (zoals te hoge kosten en te hoge lidmaatschapseisen)? Ja
2.1.2
Is de documentatie over het ontwikkel- en beheerproces (bijv. het voorlopige specificatiedocument, notulen en beschrijving besluitvormingsprocedure) beschikbaar zonder dat er sprake is van onacceptabele belemmeringen (zoals te hoge kosten en te hoge lidmaatschapseisen)? Ja
2.2 2.2.1
Is het intellectuele eigendomsrecht voor eenieder beschikbaar, zodat de standaard vrij implementeerbaar en te gebruiken is Stelt de standaardisatieorganisatie het intellectueel eigendomsrecht op de standaard m.b.t. bijvoorbeeld eventuele patenten- onherroepelijk royalty-free voor eenieder beschikbaar? Ja
2.2.2
Garandeert de standaardisatieorganisatie dat partijen die bijdragen aan de ontwikkeling van de standaard hun intellectueel eigendomsrecht onherroepelijk royalty-free voor eenieder beschikbaar stellen?
Ja
2.3 2.3.1
Is de inspraak van eenieder in voldoende mate geborgd? Is het besluitvormingsproces toegankelijk voor alle belanghebbenden (bijv. gebruikers, leveranciers, adviseurs, wetenschappers)? Ja
2.3.2
Vindt besluitvorming plaats op een wijze die zoveel mogelijk recht doet aan de verschillende belangen? Ja
2.3.3
Kan een belanghebbende formeel bezwaar aantekenen tegen de gevolgde procedure? Ja
III.
2.3.4
2. Inhoudelijk criterium: Open standaardisatieproces (vervolg)
Organiseert de standaardisatieorganisatie regelmatig overleggen met belanghebbenden over doorontwikkeling en beheer van de standaard? Ja
2.3.5
Organiseert de standaardisatieorganisatie een publieke consultatie voordat (een nieuwe versie van) de standaard wordt vastgesteld? Ja
2.4 2.4.1
Is de standaardisatieorganisatie onafhankelijk en duurzaam? Is de ontwikkeling en het beheer van de standaard belegd bij een onafhankelijke non-profit standaardisatieorganisatie? Ja
2.4.2
Is de financiering van de ontwikkeling en het onderhoud van de standaard voor tenminste drie jaar gegarandeerd? Ja
2.5 2.5.1
Is het (versie) beheer van de standaard goed geregeld? Heeft de standaardisatieorganisatie gepubliceerd beleid met betrekking tot versiebeheer van de standaard? (met o.a. aandacht voor migratie van gebruikers) Ja
2.5.2
Is het standaardisatieproces van de standaardisatieorganisatie zodanig goed geregeld dat het Forum zich kan onthouden van aanvullende toetsing bij de aanmelding van een nieuwe versie van de standaard? Ja
2.5.3
Is het belang van de Nederlandse overheid voldoende geborgd bij de ontwikkeling en het beheer van de standaard? Ja
III. Inhoudelijke criteria 3. Inhoudelijk criterium: Draagvlak Criterium: Aanbieders en gebruikers hebben voldoende positieve ervaring met de standaard.
Vragen: 3.1 3.1.1
Bestaat er voldoende marktondersteuning voor de standaard? Bieden meerdere leveranciers ondersteuning voor de standaard? Ja
3.1.2
Kan een gebruiker de conformiteit van de implementatie van de standaard (laten) toetsen?
Ja.
3.2 3.2.1
Kan de standaard rekenen op voldoende draagvlak? Wordt de aangemelde versie van de standaard binnen het organisatorische werkingsgebied door meerdere organisaties gebruikt? Onbekend maar waarschijnlijk wel.
3.2.2
Wordt een vorige versie van de standaard binnen het organisatorische werkingsgebied door meerdere organisaties gebruikt? Ja, vrijwel hele overheid.
3.2.3
Is de aangemelde versie backwards compatible met eerdere versies van de standaard? Eerdere versies zijn onveilig en moeten verwijderd worden.
3.2.4
Zijn er voldoende positieve signalen over toekomstige gebruik van de standaard door (semi-)overheidsorganisaties, het bedrijfsleven en burgers? Ja
III. Inhoudelijke criteria 4. Inhoudelijk criterium: Opname bevordert adoptie Criterium: De opname op de lijst is een geschikt middel om de adoptie van de standaard te bevorderen.
Toelichting lijsten: a.
b.
Met de lijsten wil het College de adoptie van open standaarden bevorderen die voldoen aan de voorgaande criteria (open standaardisatieproces, toegevoegde waarde, draagvlak); Met de “pas toe of leg uit”-lijst beoogt het College dit soort standaarden verplichten als: 1. hun huidige adoptie binnen de (semi-)overheid beperkt is;
2.
c.
opname op de lijst bijdraagt aan de adoptie door te stimuleren o.b.v. het "PToLU"-regime. (functie=stimuleren). Met de lijst met gangbare standaarden beoogt het College dit soort standaarden aan te bevelen als: 1. hun huidige adoptie binnen de (semi-)overheid reeds hoog is; 2. opname op de lijst bijdraagt aan de adoptie door te informeren en daarmee onbedoelde afwijkende keuzes te voorkomen. (functie=informeren)
Vragen: 4.1 4.1.1
Opname op de lijst bevordert de adoptie van de standaard. Is de “pas toe of leg uit”-lijst het passende middel om de adoptie van de standaard binnen de (semi)overheid te bevorderen? Ja. Bewustwording is het grote probleem. De pas toe of leg uit-lijst heeft een belangrijke rol ihkv 'agenda setting'.
4.1.2
Is de lijst met gangbare open standaarden het passende middel om de adoptie van de standaard binnen de (semi)overheid te bevorderen? Nee, te passief.
Verzending Als u het aanmeldingsformulier zo volledig mogelijk heeft ingevuld, dan kunt u deze als bijlage versturen naar
[email protected]
Gebruikt u dan als onderwerp: "Aanmelding standaard". Na ontvangst van het formulier ontvangt u binnen 5 dagen een ontvangstbevestiging per e-mail. Bedankt voor uw aanmelding.
