[RFC] Prefix definiëren voor de ETSI Legal Person Semantics Identifier

[PatrickB-Private]

Soort

• Tekstuele fout
• Verbetersuggestie
• Onduidelijke tekst

Omschrijving

ETSI EN 412-1 definieert in sectie 5.1.4 een Legal Person Semantics Identifier die opgenomen kan worden in PKI-certificaten. Dit kan ook in PKIoverheid certificaten. Voor internationale identifiers is dit uitgeschreven, maar voor nationale standaarden is het aan de desbetreffende naming authority hier iets voor te verzinnen. ETSI schrijft hierover:

When the legal person semantics identifier is included, any present organizationIdentifier attribute in the subject field shall contain information using the following structure in the presented order:

• 3 character legal person identity type reference;
• 2 character ISO 3166-1 country code, except as allowed by LEG-5.1.4-04;
• hyphen-minus - (0x2D (ASCII), U+002D (UTF-8)); and
• identifier (according to country and identity type reference).

The three initial characters shall have one of the following defined values [...] Two characters according to local definition within the specified country and name registration authority, identifying a national scheme that is considered appropriate for national and European level, followed by the character : (colon).

Dit betekent dus dat "OIN" niet kan worden gebruikt daarbinnen, aangezien dat 3 karakters zijn i.p.v. 2. Logisch zou daarom zijn de "N" te laten vallen omdat het al vanzelfsprekend is dat het om een nummer gaat. In geval van Logius zou het OIN in het Legal Person Semantics Identifier format het volgende worden: OI:NL-00000004822477348004.

Overigens gaat het hier over het organizationIdentifier attribuut, waar geen enkele voorziening gebruik van maakt om het OIN uit te halen. Daar kan dan natuurlijk de vraag bij worden gesteld waarom het OIN daar dan in zou moeten landen. Dat komt omdat het een verplichting vanuit Europa is dat daar een "organisatie identifier" in moet staan, om het even welke, maar het moet wel uit een betrouwbare bron komen, en het liefst voldoen aan de ETSI semantics identifier. Dat laatste is dus niet mogelijk voor organisaties die niet in de KvK staan en die dus enkel zijn aangewezen op een OIN.

Vanuit de PKIoverheid documentatie is het belangrijk te kunnen verwijzen naar de nationale name registration authority van het OIN (oftewel jullie) voor deze definitie.

Naam

Patrick van den Berg

Email

pkioverheid@logius.nl

Organisatie

Logius

Dit gaat over TLS certificaten uit de PKIo G4 Other NP voor Digipoort. Dit heet nu 'Private Root' waardoor we zelf eisen mogen opstellen en eisen mogen negeren. Ik heb jaren geleden al een discussie gevoerd over de ETSI semantics identifier en dat dit complete onzin is om op te nemen. Het is wederom Private Root dus we kunnen ook de ETSI eis negeren. De PA hoeft enkel de betreffende eis niet van toepassing te verklaren om de inhoud van organizationIdentifier binnen Digipoort niet van toepassing is. Als je doel is dat binnen Digipoort voortaan organizationIdentifier (en in ander formaat) gebruikt moet worden ipv serialNumber, heb je totaal andere uitdaging.

Organisaties zonder KvK en enkel OIN komt niet veel meer voor. PKIo zou ook deze organisaties kunnen dwingen een KvK registratie te doen. Waarom moeten de TSP zich in bochten wringen om de uitzonderingen te ondersteunen?

[PatrickB-Private]

Dit gaat over TLS certificaten uit de PKIo G4 Other NP voor Digipoort

Deze RFC betreft geen change voor de Digipoort (of eigenlijk: de Digikoppeling Beveiligingsstandaarden en Voorschriften), maar de beschrijving van de OIN-standaard. Hoewel het OIN grotendeels wordt gebruikt voor Digipoort, is het een op zichzelf staande standaard, beheerd door het OIN-stelsel. Als er partijen zijn die gebruik willen maken van een OIN buiten de Digikoppeling-eisen, dan is dit mogelijk en toegestaan. Deze RFC betreft zo'n casus. Als er partijen zijn die een OIN willen opnemen in het subject:organizationIdentifier attribuut, dan is daar niets op tegen (Digikoppeling kijkt helemaal niet naar dit veld). Als ze dat op een door ETSI gestandaardiseerde manier willen doen, alleen maar beter! Voor die manier bestaat echter nog geen officiële semantiek. Het stelsel dat de OIN-standaard beheerd is daarom de uitgesproken partij om deze semantiek te bepalen en vast te leggen (zoals ook wordt gesuggereerd door ETSI zelf).

[PatrickB-Private]

Tekstvoorstel toe te voegen aan het bestand ch03_Businessarchitectuur.md (waardoor deze sectie dus nummer 3.13 krijgt, en de sub-sectie 3.13.1):

## ETSI Legal Person Semantics Identifier

*Trust Service Providers* (TSP's) die certificaten uitgeven en die tegen ETSI worden gecertificeerd moeten het `subject:organizationIdentifier`-veld opnemen in de uitgegeven certificaten indien die certificaten ook een `subject:organizationName`-veld bevatten. Hierbij kunnen zij zich houden aan de *Legal Person Semantics Identifier* beschreven in de ETSI *EN 412-1* standaard. Indien een TSP het OIN wil opnemen in het `subject:organizationIdentifier`-veld en zich daarbij wil houden aan de ETSI-standaard rondom de *Legal Person Semantics Identifier*, moet een prefix worden gebruikt volgens de volgende systematiek: 

*The three initial characters shall have one of the following defined values [...] Two characters according to local definition within the specified country and name registration authority, identifying a national scheme that is considered appropriate for national and European level, followed by the character `:` (colon).*

De "two characters" moeten worden bepaald door het OIN-stelsel, aangezien zij de *name registration authority* voor dat register is.

### Codering voor de Legal Person Semantics Identifier

De codering voor de OIN-prefix is vastgesteld op `OI:`, en samen met de verplichte landcodering wordt de volledige prefix dan `OI:NL`. Voorbeeld: in het geval van Logius (met OIN `00000004822477348004`) zou het OIN in het *Legal Person Semantics Identifier* format dus `OI:NL-00000004822477348004` worden.