Certifikační politika I.CA

První certifikační autorita, a.s.

Certifikační politika I.CA pro vydávání komerčních certifikátů

Verze 1. 04


Certifikační politika I.CA

1. ÚVOD..................................................................................4 1.1 1.2 1.3 1.4 1.5

OBECNÝ PŘEHLED ................................................................................................................. 4 DEFINICE POJMŮ A ZKRATEK............................................................................................. 4 PROSTŘEDÍ A APLIKOVATELNOST.................................................................................... 6 CERTIFIKÁTY .......................................................................................................................... 7 KONTAKTNÍ INFORMACE .................................................................................................... 7

2. OBECNÁ USTANOVENÍ ..................................................8 2.1 2.2 2.3 2.4 2.5 2.6 2.7 2.8 2.9

POVINNOSTI STRAN .............................................................................................................. 8 ODPOVĚDNOST A ZÁRUKY ............................................................................................... 10 FINANČNÍ ODPOVĚDNOST................................................................................................. 10 VÝKLAD A VÝKONNÉ MECHANISMY............................................................................. 11 POPLATKY.............................................................................................................................. 11 UVEŘEJŇOVÁNÍ A UCHOVÁVÁNÍ INFORMACÍ............................................................. 11 AUDIT ...................................................................................................................................... 12 DŮVĚRNOST .......................................................................................................................... 12 COPYRIGHT............................................................................................................................ 13

3. IDENTIFIKACE A AUTENTIZACE...............................14 3.1 PRVOTNÍ REGISTRACE........................................................................................................ 14 3.2 POSTUP PŘI VYDÁNÍ NÁSLEDNÉHO CERTIFIKÁTU..................................................... 19 3.3 ŽÁDOST O ZNEPLATNĚNÍ CERTIFIKÁTU ....................................................................... 19

4. OPERAČNÍ POŽADAVKY .............................................20 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9

ŽÁDOST O CERTIFIKÁT....................................................................................................... 20 VYDÁNÍ CERTIFIKÁTU........................................................................................................ 21 AKCEPTOVÁNÍ CERTIFIKÁTU ........................................................................................... 21 ZRUŠENÍ A ZNEPLATNĚNÍ CERTIFIKÁTU ...................................................................... 21 POŽADAVKY NA OVĚŘOVÁNÍ CRL ................................................................................. 22 PROCEDURY AUDITU VZHLEDEM K BEZPEČNOSTI.................................................... 22 VÝMĚNA PÁROVÝCH DAT I.CA ........................................................................................ 23 ODHALENÍ KOMPROMITACÍ A NEHOD........................................................................... 23 UKONČENÍ ČINNOSTI I.CA ................................................................................................. 24

5. FYZICKÉ, PROCEDURÁLNÍ A PERSONÁLNÍ BEZPEČNOSTNÍ MECHANISMY ................................. 24 6. TECHNICKÁ BEZPEČNOST..........................................24 6.1 6.2 6.3 6.4 6.5 6.6 6.7 6.8

GENEROVÁNÍ PÁROVÝCH DAT KLIENTA A INSTALACE.......................................... 24 OCHRANA SOUKROMÉHO KLÍČE I.CA ............................................................................ 25 DALŠÍ POŽADAVKY NA SPRÁVU PÁROVÝCH DAT I.CA ............................................ 26 BEZPEČNOST POČÍTAČOVÉHO VYBAVENÍ ................................................................... 26 KONTROLY POČÍTAČOVÉ BEZPEČNOSTI....................................................................... 26 BEZPEČNOSTNÍ KONTROLY V DOBĚ ŽIVOTNOSTI...................................................... 27 KONTROLY BEZPEČNOSTI POČÍTAČOVÉ SÍTĚ ............................................................. 27 KONTROLY BEZPEČNOSTI KRYPTOGRAFICKÉHO MODULU.................................... 27

7. CERTIFIKAČNÍ PROFILY A PROFILY CRL ..............27 7.1 PROFIL CERTIFIKÁTU.......................................................................................................... 27 7.2 PROFIL CRL............................................................................................................................ 28

Strana 2

verze 1. 04



8. ŘÍZENÍ SPECIFIKACÍ .....................................................28 8.1 PROCESY ZMĚN SPECIFIKACÍ ........................................................................................... 28 8.2 POLITIKY ZVEŘEJŇOVÁNÍ A OHLAŠOVÁNÍ.................................................................. 28 8.3 PROCES SCHVALOVÁNÍ ZÁKLADNÍCH MATERIÁLŮ .................................................. 29

Strana 3

verze 1. 04



1. ÚVOD Tento dokument představuje Certifikační politiku (dále též CP) platnou pro První certifikační autoritu, a.s. (dále též I.CA). Tato Certifikační politika se zabývá skutečnostmi, které se vztahují na I.CA, žadatele, klienty, uživatele a smluvní partnery a které souvisejí s vydáváním certifikátů, jejich další správou, použitím, akceptací a všemi aspekty souvisejícími s nakládáním s párovými daty.

1.1

OBECNÝ PŘEHLED

Certifikační politika odpovídá požadavkům stanoveným v RFC 2527, s přihlédnutím k doporučením orgánů EU a k legislativě ČR v daném oboru.. CP vychází zejména z následujících legislativních předpisů, norem, standardů a doporučení: •

zákon č.227/2000 Sb. o elektronickém podpisu a o změně některých dalších zákonů ( dále též ZoEP)

•

RFC 2527 - Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework (dále též RFC 2527)

•

RFC 3280 - Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile (dále též RFC 3280)

•

DRAFT REVISED ITU-T RECOMMENDATION X.509 | ISO/IEC 9594-8:

“Information technology – open systems interconnection – the directory: public-key and attribute certificate frameworks” (dále též ISO/IEC 9594-8)

1.2

DEFINICE POJMŮ A ZKRATEK

Dále uvedené definice pojmů a zkratky jsou platné pro tento dokument. Použité zkratky mají alternativní charakter, tzn. v textu může být použit jak plný text, tak i jeho zkratka, přičemž obojí má totožnou obsahovou hodnotu. NBÚ - Národní bezpečnostní úřad České republiky. ÚOOÚ - Úřad pro ochranu osobních údajů České republiky. I.CA - Certifikační autorita I.CA představuje souhrn technických a organizačních prostředků, které umožňují I.CA vystupovat jako poskytovatel certifikačních služeb. CA -

Centrální pracoviště Certifikační autority I.CA.

VSRA - Vlastní stacionární registrační autorita Certifikační autority I.CA. a) VSRA jsou základními decentralizovanými složkami výkonného aparátu I.CA. b) VSRA je zejména určena k tomu, aby plnila funkci podatelny.

Strana 4

verze 1. 04



c) VSRA přijímá žádosti o služby dle Certifikační politiky I.CA a plní všechny další úkoly I.CA vyplývající z jeho vztahu ke klientům, zejména přijímá žádosti o certifikáty, zprostředkovává předání certifikátů a CRL, poskytuje potřebné informace klientům, vyřizuje jejich reklamace apod. d) VSRA je oprávněna z naléhavých provozních nebo technických důvodů pozastavit zcela nebo zčásti výkon své činnosti. Toto opatření je povinna neprodleně hlásit řediteli, který je potvrdí, zruší nebo změní. e) VSRA je zmocněno uzavírat s klienty I.CA smlouvy o vydání a používání certifikátů I.CA. f) VSRA zajišťuje zpoplatňování služeb I.CA, pokud není stanoveno smlouvou jinak. VMRA - Vlastní mobilní registrační autorita Certifikační autority I.CA. a) VMRA jsou zvláštními decentralizovanými mobilními složkami výkonného aparátu I.CA. b) VMRA jsou určeny zejména k tomu, aby plnily funkci podatelny v místech mimo standardní RA, zpravidla na základě individuální smlouvy mezi klientem a I.CA. c) VMRA přijímá žádosti o služby dle Certifikační politiky I.CA a individuální smlouvy mezi klientem a I.CA a plní všechny další úkoly I.CA vyplývající z jeho vztahů ke klientům, zejména přijímá žádosti o certifikáty, zprostředkovává předání certifikátů a CRL, poskytuje potřebné informace klientům, vyřizuje jejich reklamace apod. d) VMRA je zmocněno uzavírat smlouvy s klienty I.CA smlouvy o vydání a používání certifikátů I.CA. e) VMRA zajišťuje zpoplatňování služeb I.CA, pokud není stanoveno smlouvou jinak. f) VMRA je oprávněna z naléhavých provozních nebo technických důvodů pozastavit zcela nebo zčásti výkon své činnosti. Toto opatření je povinna neprodleně hlásit řediteli, který je potvrdí, zruší nebo změní. SSRA - Smluvní stacionární registrační autorita Certifikační autority I.CA. Plní obdobné funkce jako VSRA na základě písemné smlouvy mezi I.CA a majitelem SSRA. SMRA - Smluvní mobilní registrační autorita Certifikační autority I.CA. Plní obdobné funkce jako VMRA na základě písemné smlouvy mezi I.CA a majitelem SMRA. RA -

Registrační autorita Certifikační autority I.CA – souhrnný název pro VSRA, VMRA, SSRA a SMRA. Používá se v případech, kdy není podstatný majitel registrační autority ani její forma.

Smluvní partner - subjekt, který zajišťuje na základě písemné smlouvy pro I.CA certifikační služby nebo jejich části. Nejčastěji se jedna o smluvní registrační autority. Na subjekt může být výslovným ustanovením příslušné smlouvy přenesena působnost k uzavírání dalších smluv s jeho klienty a odpovědnost za vydávání certifikátů těmto klientům podle Certifikační politiky I.CA Certifikát - datová zpráva, která je vydána certifikační autoritou, spojuje data pro ověřování podpisů s podepisujícím subjektem a umožňuje ověřit jeho totožnost. Následný certifikát - certifikát, který byl v souladu se smlouvou uzavřenou mezi klientem a I.CA vydán klientovi na základě nové žádosti o vydání certifikátu podepsané Strana 5

verze 1. 04



platnými daty pro vytváření elektronických podpisů souvisejícími s již vydaným certifikátem, ke kterému je vydáván tento následný certifikát. Údaje ověřované I.CA musí být stejné. Data pro ověřování elektronických podpisů musí být jiná. Ostatní položky následného certifikátu podléhají aktuálním pravidlům pro vydávání certifikátů. Testovací certifikát - certifikát, který slouží pouze k ověření funkčnosti. Veřejný klíč - data pro ověřování elektronického podpisu. Soukromý klíč - data pro vytváření elektronického podpisu. Párová data - data pro vytváření elektronického podpisu spolu s odpovídajícími daty ověřování elektronického podpisu.

pro

CRL (Certification Revocation List) - Seznam certifikátů., které byly zneplatněny. Počítačová transakce - elektronická výměna počítačových dat mezi dvěma subjekty s využitím výpočetní techniky. Subjekt - fyzická osoba, právnická osoba nebo softwarový modul s neodmítnutelnou odpovědností konkrétní fyzické osoby. Klient - fyzická nebo právnická osoba, která uzavřela smlouvu o využívání služeb I.CA s provozovatelem jejich služeb. Držitel - klient, který má párová data, a kterému I.CA k datům pro ověřování elektronického podpisu vydala certifikát. Žádost o službu (Žádost) - formální dokument žádosti o některou ze služeb poskytovaných I.CA např. žádost o certifikát, žádost o zneplatnění certifikátu atp. Žádost o certifikát - formální, standardní dokument elektronické žádosti o certifikát dle přípustných norem a směrnic definovaných v této Certifikační politice I.CA. Uživatel - subjekt používající ke své činnosti vlastní certifikáty nebo certifikáty jiných subjektů vydané I.CA. Žadatel - fyzická osoba nebo oprávněný jednatel právnické osoby podávající na RA žádost o službu (certifikát). Zablokování certifikátu - stav, ve kterém se certifikát nachází od doby, kdy I.CA obdržela požadavek na jeho zneplatnění, do doby zařazení tohoto certifikátu do seznamu certifikátů, které byly zneplatněny. Certifikát zůstává po dobu zablokování stále platný. Zneplatněný certifikát - certifikát, u nějž byla ukončena platnost bez možnosti obnovení této platnosti.

1.3

PROSTŘEDÍ A APLIKOVATELNOST

I.CA provozuje kořenovou certifikační autoritu. Podřízené certifikační autority, vydávající certifikáty, I.CA nezřizuje, ani nepodporuje. Seznam podřízených autorit, poskytujících zvláštní služby, může být upraven v závislosti na službách poskytovaných I.CA. Poskytování služeb I.CA se realizuje prostřednictvím registračních autorit. RA jsou buď vlastní nebo smluvních partnerů. Strana 6

verze 1. 04


1.4


CERTIFIKÁTY Touto Certifikační politikou se řídí vydávání následujících druhů certifikátů: •

standardní osobní certifikáty - certifikáty určené jako osobní pro použití v oblasti elektronické pošty, vytváření podpisu a/nebo šifrování, pro klientskou autentizaci v rámci bezpečných protokolů. Tyto certifikáty jsou vydávány v souladu s dále uvedenými pravidly.

•

standardní certifikáty pro servery - certifikáty pro použití v serverových aplikacích (bezpečné protokoly - autentizace a/nebo šifrování). Tyto certifikáty jsou vydávány v souladu s dále uvedenými pravidly.

•

testovací certifikáty - certifikáty určené pro seznámení s technologií a jejím využitím. Testovací certifikáty mají omezenou platnost 14 dní, nejsou uváděny v seznamech vydaných certifikátů, nelze je revokovat a za jejich použití nenese I.CA žádnou odpovědnost.

Jiné certifikáty, podléhající této Certifikační politice, I.CA nevydává, ani neautorizuje (nepodepisuje). Certifikáty, které vydává I.CA klientům, mohou být používány v aplikacích pro následující účely: •

zajištění integrity dat

•

zajištění neodmítnutelnosti odpovědnosti

•

zajištění důvěrnosti dat

•

ustanovení sdíleného tajemství (klíče) v rámci protokolu pro bezpečnou výměnu dat

•

přímé šifrování a dešifrování dat

•

přímé podepisování dat

Certifikáty I.CA jsou komerčně nabízenou službou a jsou přístupné každému, kdo se smluvně zaváže jednat podle této Certifikační politiky I.CA. V případě fyzické osoby může být klientem pouze osoba, která je oprávněná k právním úkonům dle příslušné legislativní normy. Pokud žadatel nepožaduje služby RA přímo pro sebe, ale zastupuje jinou osobu, musí mít oprávnění tuto osobu zastupovat. V případě právnické osoby tato musí být zastupována fyzickou osobou mající k tomuto zastupování pověření.

1.5

KONTAKTNÍ INFORMACE

Základní adresou, na níž lze nalézt informace o I.CA, případně odkazy pro zjištění dalších informací, je URL http://www.ica.cz

Strana 7

verze 1. 04



Elektronická poštovní adresa, která slouží pro kontakt klienta s I.CA, je [email protected], [email protected] Tyto kontaktní informace je povinna I.CA i smluvní partneři zveřejnit ve svých certifikačních politikách a na svých pracovištích. Pracovníci I.CA a smluvních partnerů jsou rovněž povinni tyto informace na vyžádání sdělit všem uživatelům. V případě, že dojde ke změně kontaktních údajů, jsou I.CA a smluvní partneři povinni tuto skutečnost zohlednit v příslušných certifikačních politikách. Použití certifikátů vydaných I.CA se řídí touto Certifikační politikou. Tato Certifikační politika se zveřejňuje na WWW stránkách I.CA a je také k dispozici v tištěné podobě na RA. Veškeré dotazy týkající se její interpretace je nutno směřovat na elektronickou poštovní adresu, která slouží pro kontakt klienta s I.CA (viz tento článek). Smluvní partneři mohou přijmout tuto Certifikační politiku I.CA nebo zveřejnit vlastní. V případě, že zveřejní vlastní certifikační politiku, musí být tato zcela v souladu s touto Certifikační politikou I.CA.

2. OBECNÁ USTANOVENÍ 2.1

POVINNOSTI STRAN

Jedinou certifikační autoritou podléhající této CP je I.CA. I.CA nezřizuje ani nepodporuje podřízené certifikační autority (článek 1.3). Veškeré subjekty, které při své činnosti používají nebo využívají certifikáty vydané I.CA, případně poskytují, používají nebo využívají služby I.CA spojené se správou certifikátů, jsou povinny dodržovat legislativní normy platné v ČR. Veškeré subjekty, které při své činnosti používají nebo využívají certifikáty vydané I.CA, případně poskytují, používají nebo využívají služby I.CA spojené se správou certifikátů, jsou povinny dodržovat tuto Certifikační politiku I.CA. Povinnosti I.CA I.CA je povinna dodržovat příslušná ustanovení legislativních norem, které upravují oblast poskytování certifikačních služeb nebo obchodní činnost s tímto spojenou. Dále je I.CA povinna se řídit vlastními dokumenty, které vydává. I.CA je rovněž povinna vytvářet dokumenty, které upravují činnost smluvních partnerů, zajišťovat jejich zveřejnění a dohlížet na jejich dodržování. Povinnosti RA Registrační autority jsou povinny řídit se dokumenty, které vydává I.CA, a které upravují jejich činnost (zejména Certifikační politika I.CA, Směrnice pro pracovníky RA, atd.). Strana 8

verze 1. 04



Povinnosti držitelů a uživatelů certifikátů Držitelé certifikátů jsou povinni •

používat certifikáty výhradně v souladu s příslušnou Certifikační politikou I.CA

•

dodržovat veškerá ustanovení Certifikační politiky I.CA

•

dodržovat veškerá ustanovení příslušné smlouvy, byla-li smlouva podepsána

Držitel certifikátu, který nedodržuje či nedodržel své povinnosti, nemá nárok na případnou náhradu škody. Povinnosti uživatelů certifikátů Uživateli certifikátů jsou veškeré subjekty, které užívají certifikáty vydané I.CA. Uživatelé jsou povinni užívat certifikáty v souladu s Certifikační politikou pro tyto certifikáty platnou, zejména pak •

kontrolovat platnost certifikátu

•

ujistit se o důvěryhodnosti certifikační autority, která certifikát vydala

Uživatel, který nedodržuje či nedodržel své povinnosti, nemá nárok na případnou náhradu škody. I.CA a smluvní partneři jsou povinni upozornění na povinnosti uživatelů zveřejnit prostřednictvím svých kontaktních adres. Povinnosti skladů certifikátů I.CA zřizuje za účelem poskytování služeb sklady certifikátů. I.CA zveřejňuje následující informace o certifikátech: •

informace o vydaných certifikátech včetně odkazů, na nichž lze požadovaný certifikát získat. Výjimkou jsou standardní osobní nebo serverové certifikáty, u kterých si klient vymínil, že nebudou zveřejňovány.

•

informace o zneplatněných certifikátech včetně odkazů, na nichž je možné získat aktuální nebo archivní seznamy zneplatněných certifikátů

I.CA periodicky aktualizuje seznam vydaných certifikátů, doba od vydání certifikátu do jeho zveřejnění nesmí přesáhnout 2 hodiny. Odkazy, na nichž lze požadovaný certifikát získat, zveřejňuje I.CA na své WWW kontaktní adrese (článek 1.5) I.CA periodicky aktualizuje seznam zneplatněných certifikátů. Za tímto účelem I.CA vydává aktuální seznam zneplatněných certifikátů nejméně jednou za 24 hodin. Odkazy, na nichž lze požadovaný seznam zneplatněných certifikátů získat, zveřejňuje I.CA na své WWW kontaktní adrese (článek 1.5).

Strana 9

verze 1. 04


2.2


ODPOVĚDNOST A ZÁRUKY

Odpovědnost a záruky poskytované I.CA I.CA poskytuje záruku na správnost použití vlastního soukromého klíče příslušného k vlastnímu certifikátu při podepisování osobních certifikátů a certifikátů pro servery. Na podepisování testovacích certifikátů se záruka neposkytuje. I.CA poskytuje záruky na jedinečnost sériového čísla jí vydaných osobních certifikátů a certifikátů pro servery. I.CA poskytuje záruku na použití osobních certifikátů při obchodních transakcích, jejichž hodnota nepřesahuje hodnotu uvedenou v příslušných omezeních, pokud byla dodržena odpovídající ustanovení Certifikační politiky I.CA. Veškeré záruky a z nich plynoucí plnění je možné uznat jen tehdy, pokud klient neporušil povinnosti plynoucí mu ze smlouvy, případně z Certifikační politiky I.CA. Platí vždy limit záruky, který byl sjednán v písemné podobě (smlouva o poskytnutí služeb). Pokud byla výše nárokované ztráty vyšší než sjednaný limit, poskytne I.CA plnění maximálně do výše limitu. Pokud bylo zjištěno porušení povinností klienta mající souvislost s uváděnou škodou, záruční plnění se neposkytne. S touto skutečností bude klient seznámen. Klient uplatňuje záruku vždy u subjektu, který jej zaregistroval. Pokud smluvní partner není schopen vyřídit záruční nároky ve své pravomoci, postoupí je k řízení I.CA a o této skutečnosti vyrozumí klienta. Na používání certifikátu, jehož držitel není klientem I.CA se záruky nevztahují. Odpovědnost RA RA nese odpovědnost za správné vyřízení žádostí o poskytování certifikačních služeb. RA nevyřídí kladně žádost, pokud klient hodnověrným způsobem neprokázal svoji totožnost nebo odmítá potřebné údaje sdělit. RA dále zodpovídá za včasné vyřízení oprávněných žádostí o zneplatnění certifikátů. RA rovněž odpovídá za vyřizování připomínek a stížností klientů.

2.3

FINANČNÍ ODPOVĚDNOST

V případě, že I.CA vznikne jakákoliv škoda v přímé či nepřímé souvislosti s jednáním držitelů či uživatelů certifikátů I.CA, je I.CA oprávněna příslušnou událost vyšetřit. Pokud bude vyšetřením zjištěno, že zjištěné skutečnosti zakládají nárok na kompenzaci ze strany držitele či uživatele certifikátu, bude tato kompenzace v souladu s příslušnými pasážemi obchodního zákoníku od příslušného subjektu vyžadována. Vztah mezi I.CA jakožto poskytovatelem certifikačních služeb a klienty je striktně dán smlouvou. I.CA nevystupuje v žádném případě jako zmocněnec nebo jiný zástupce klientů. Totéž platí pro smluvní partnery.

Strana 10

verze 1. 04


2.4


VÝKLAD A VÝKONNÉ MECHANISMY

Právní výkon v souvislosti s touto Certifikační politikou I.CA se řídí příslušnými legislativními ustanoveními ČR. Jakékoliv změny v této Certifikační politice I.CA nesmějí být v protikladu se zákony ČR. Právo výkladu této Certifikační politiky náleží I.CA. V případě jakýchkoliv změn, které mají za následek neplatnost některého z článků této CP, ostatní články zůstávají v platnosti do vydání nové CP. Do té doby se bude rovněž vymáhat odpovědnost za dodržování této CP v platných článcích. Výklad platnosti v přechodném období je právem I.CA. V případě, že některá ze stran (klient, smluvní partner) nesouhlasí s předloženým výkladem, může se obrátit na vyšší instanci. Jednotlivé stupně obecně tvoří: •

odpovědný pracovník RA

•

odpovědný pracovník I.CA (nutné písemné podání)

•

vedení I.CA (nutné písemné podání a složení finanční jistiny, která je vrácena v případě kladného vyřízení stížnosti)

Pokud ani v poslední instanci není některá ze stran spokojena s rozhodnutím, může se obrátit na nezávislý soud.

2.5

POPLATKY

Poplatky za služby spojené s vydáváním a správou certifikátů jsou uvedeny v Ceníku služeb I.CA. Aktuální ceník je zveřejněn na adrese www.ica.cz

2.6

UVEŘEJŇOVÁNÍ A UCHOVÁVÁNÍ INFORMACÍ

I.CA poskytuje informace o této CP a případných změnách souvisejících s poskytováním služeb spojených s vydáváním a správou certifikátů na adrese www.ica.cz a rovněž prostřednictvím svých registračních autorit. I.CA zveřejňuje své vlastní certifikáty, tak aby byly k dispozici všem uživatelům. Tyto certifikáty zveřejňuje na svých stránkách nejméně 24 hodin před nabytím jejich platnosti. I.CA rovněž zveřejňuje statut svých vlastních certifikátů. Při změně statutu svých certifikátů je I.CA tuto skutečnost neprodleně oznámí prostřednictvím svých WWW stránek, nejpozději však do 2 hodin. Přístup k informacím I.CA Protokoly pro přístup k informacím o CP jsou •

HTTP

Protokoly pro přístup k informacím o certifikátech jsou •

HTTP

Strana 11

verze 1. 04



Protokoly pro přístup k informacím o zneplatněných certifikátech jsou •

HTTP

Mimo výše uvedené protokoly mohou být rozhodnutím ředitele I.CA informace zveřejňovány prostřednictvím dalších protokolů.

2.7

AUDIT

Audit se provádí z rozhodnutí I.CA nebo z rozhodnutí oprávněného státního orgánu. Dotčené subjekty jsou povinny auditorům umožnit přístup ke všem skutečnostem majícím vztah ke službám poskytování a správy certifikátů. V případě, že se jedná o audit z rozhodnutí I.CA, tato jmenuje a odvolává auditory. Audit má za úkol vyhodnotit shodu činnosti subjektu s Certifikační politikou I.CA a dalšími dokumenty, které upravují činnost subjektu dle smlouvy s I.CA. Frekvence provádění auditu je nejméně: •

2 x ročně průběžný audit

•

1 x ročně hloubkový audit

•

nepravidelný audit dle rozhodnutí I.CA

Kvalifikace auditora je zajištěna splněním následujících kritérií: •

znalosti v příslušném oboru (např. zařazení na seznamu auditorů ÚOOÚ pro oblast elektronického podpisu)

•

nezávislost na auditovaném subjektu

•

vyhovění interním kritériím auditovaného subjektu (např. bezpečnostní prověrka)

•

nesmí provádět audit u téhož subjektu ve dvou po sobě jdoucích termínech

Zajištění splnění uvedených požadavků je povinností I.CA. V případě, že se jedná o audit z rozhodnutí I.CA, tato specifikuje témata zahrnující audit.

2.8

DŮVĚRNOST Chráněnými informacemi I.CA jsou •

data pro vytváření elektronických podpisů příslušná k datům pro ověřování elektronických podpisů obsažených ve vlastních certifikátech I.CA

•

ostatní kryptograficky podstatné informace sloužící k provozu I.CA

•

veškeré osobní údaje klientů či uživatelů podléhající ochraně ve smyslu příslušné zákonné normy ( zákon 101/2000 Sb. o ochraně osobních údajů a o změně některých zákonů)

Strana 12

verze 1. 04



Chráněnými informacemi jednotlivých RA jsou •

data pro vytváření elektronických podpisů příslušná k datům pro ověřování elektronických podpisů obsažených ve vlastních certifikátech RA

•

ostatní kryptograficky podstatné informace sloužící k provozu RA

•

veškeré osobní údaje klientů či uživatelů podléhající ochraně ve smyslu příslušné zákonné normy (zákon 101/2000 Sb.)

Za chráněné informace se rovněž považují veškeré další informace označené některým ze subjektů jako citlivé. Za citlivé se nepovažují typy informací, které nejsou v tomto článku uvedeny a byly označeny jako veřejné. Zpřístupnění informací o zneplatnění a zrušení certifikátů Informaci o zneplatněných certifikátech smí obdržet libovolný uživatel. I.CA je povinna tuto informaci zveřejňovat včas v souladu s článkem 4.4. Zpřístupnění informací orgánům činným v trestním řízení a jiným třetím stranám I.CA poskytne třetí straně informace označené jako citlivé pouze na základě pravomocného rozhodnutí soudu. Dále I.CA poskytne citlivé informace orgánům činným v trestním řízení pouze na základě rozhodnutí příslušného státního zástupce, a to pouze na základě písemné žádosti vybavené všemi náležitostmi. Zpřístupnění informací na základě občanského řízení I.CA poskytne třetí straně informace označené jako citlivé na základě ukončeného občanského řízení (např. pozůstalým po zemřelém vlastníku certifikátu). V těchto případech se I.CA řídí příslušnými ustanoveními zákona. Konkrétní hodnoty dat pro vytváření elektronických podpisů sloužící k podepisování certifikátů a CRL neposkytne nikomu. Zpřístupnění na základě požadavku držitele certifikátu V případě požadavku držitele certifikátu na zpřístupnění určených informací souvisejících s klientem a jeho certifikátem třetí straně tak I.CA učiní po kontrole vlastnického práva a na písemnou žádost. Ostatní okolnosti zpřístupnění informací V ostatních případech třetím stranám citlivé informace I.CA zásadně neposkytuje.

2.9

COPYRIGHT Veškerá autorská práva k této Certifikační politice náleží I.CA.

Strana 13

verze 1. 04



3. IDENTIFIKACE A AUTENTIZACE 3.1

PRVOTNÍ REGISTRACE I.CA přijímá žádosti o vydání certifikátů dle následujících standardů:

•

PKCS #10 (verze 1.7 a nižší)

•

SPKAC Žádosti jsou přijímány ve formátu PEM.

V souladu s požadavky norem řady X.500 jsou povinné položky pro jednotlivé typy žádostí o certifikáty stanoveny následovně: •

žádost o testovací certifikát • obecné jméno (CN) • adresa elektronické pošty (E) • země (C)

•

žádost o certifikát pro server • obecné jméno (CN) • země (C)

•

žádost o standardní osobní certifikát • obecné jméno (CN) • adresa elektronické pošty (E) • země (C)

Položka „adresa elektronické pošty (E)“, je pro žádost o testovací nebo osobní certifikát povinná jen v případě, jestliže se jedná o žádost o certifikát, který má být užíván pro komunikaci elektronickou poštou. Pro všechny typy žádostí je stanoven obsah položky země (C) takto: •

položka C (země) může obsahovat pouze kód státu v němž má žadatel trvalé bydliště

•

kód státu musí odpovídat normě ISO 3166. Žádost o certifikát musí splňovat následující podmínky:

•

smí obsahovat pouze povolené znaky ( 0x20 - 0x7E )

•

musí obsahovat všechny povinné položky pro daný typ žádosti o certifikát

•

musí splňovat další požadavky kladené na položky a jména pro daný typ žádosti o certifikát.

Strana 14

verze 1. 04



Dle typu žádosti o certifikát jsou dále kladeny na její položky a jména další následující požadavky:

Žádost o certifikát pro server •

obecné jméno (CN) – zpravidla by měl obsahovat doménové jméno serveru. Pokud budou v obecném jménu uvedeny jiné skutečnosti (jméno fyzické osoby, obchodní jméno, registrovaná známka apod.), musí být takové údaje ověřeny, pokud to uvedené skutečnosti vyžadují.

Žádost o standardní osobní certifikát •

obecné jméno (CN) - musí odpovídat některému z oficiálních jmen osoby nebo organizace. Přípustné hodnoty jsou: •

pro fyzické osoby jméno a příjmení, dodatek obchodního jména (v případě, že jej fyzická osoba prokáže)

•

pro právnické osoby obchodní jméno (v případě, že jej právnická osoba prokáže)

Uvedené hodnoty mohou být doplněny dodatkem, který si žadatel zvolí. Dodatek nesmí popírat vlastní název, nesmí být eticky nevhodný. V případě, že dodatek tvoří skutečnosti, které vyžadují ověření, musí tak být učiněno (registrovaná známka apod.). Pokud nelze některou ze skutečností týkajících se obecného jména ověřit, nelze žádost přijmout. •

elektronická adresa (E) - pokud je to možné, musí být ověřeno, že žadatel je vlastníkem nebo uživatelem předmětné elektronické adresy. Pokud toto možné není, musí být tato skutečnost zahrnuta do smlouvy a je nutno požadovat po žadateli písemné potvrzení správnosti.

Rozhodnutím ředitele I.CA může být množina používaných položek rozšířena. Způsob jejich naplnění a používání stanovuje I.CA. V případě, že došlo ke změně údajů, které byly podkladem pro vydání certifikátu a podléhají ověření pracovníkem RA, je držitel certifikátu povinen požádat o zneplatnění certifikátu z důvodu změny údajů. Pokud v takovém případě klient požádá o vydání nového certifikátu, může mu být poskytnuta sleva dle obchodních podmínek I.CA. Jednoznačnost jmen a řešení kolizí V případě testovacího certifikátu se kontrola jednoznačnosti jmen neprovádí. V případě standardního osobního certifikátu musí jednoznačnost jména v rámci certifikátů vydaných I.CA zajišťovat položky CN (Obecné Jméno), E (elektronická adresa) pokud je uvedena, a C (země / stát). Registrační autorita je povinna prostřednictvím služeb I.CA zjistit, zda žadatelem uvedené jméno nebylo v rámci vydaných certifikátů již použito.

Strana 15

verze 1. 04



V případě certifikátu pro server musí jednoznačnost jména zajišťovat položky CN (Obecné Jméno) a C (země / stát). Registrační autorita je povinna prostřednictvím služeb I.CA zjistit, zda žadatelem uvedené jméno nebylo v rámci vydaných certifikátů již použito. V případě, že žadatelem požadované jméno je již obsaženo ve vydaném certifikátu, registrační autorita vyzve žadatele ke změně, případně doplnění jména. Žadatel je povinen tuto změnu uskutečnit. Pokud tak odmítne učinit, žádost se nepřijme. I.CA není prostředníkem při řešení eventuálních soudních nebo jiných sporů. Ochranné známky I.CA uznává pouze ty ochranné známky, jejichž vlastnictví nebo pronájem žadatel doložil. Autentizaci ochranných známek jinými způsoby I.CA neprovádí. Ochranná známka může být součástí Obecného Jména (CN). Veškeré důsledky plynoucí z neoprávněného užívání ochranné známky nese žadatel. Prokazování vlastnictví soukromého klíče Žadatel je povinen prokázat vlastnictví soukromého klíče, pokud požaduje vystavení certifikátu, jehož součástí je odpovídající veřejný klíč. Žadatel prokazuje vlastnictví soukromého klíče určeného k podepisování podepsáním určené části žádosti pomocí předmětného soukromého klíče. Prokazování totožnosti fyzické osoby a osob oprávněných za ni jednat Při registraci nového žadatele – fyzické osoby se vyžaduje : a) předložení platného osobního dokladu žadatele (občanský průkaz nebo cestovní pas) b) právní způsobilost žadatele (zletilost, svéprávnost) c) doklady prokazující právo žadatele jednat za jinou (fyzickou nebo právnickou) osobu jako zástupce na základě úředně ověřené plné moci

Prokazování totožnosti právnické osoby a fyzických osob oprávněných za ni jednat Při registraci klienta - právnické osoby se vyžaduje : a)

předložení úředního dokladu, který prokazuje legální existenci právnické osoby (většinou výpis z obchodního rejstříku nebo jiného zákonem předepsaného rejstříku nesmí být starší 6 měsíců) a určuje fyzické osoby, které jsou oprávněny za danou právnickou osobu jednat a uzavírat závazky (podepisovat).

b)

prokázání totožnosti fyzických osob, které jednají za danou právnickou osobu a způsob, jakým za právnickou osobu jednají a podepisují.

c)

pokud za právnickou osobu nejedná osoba, která je k tomu oprávněna (např. dle zápisu v obchodním rejstříku), ale jiná pověřená osoba, musí být k jednání na RA

Strana 16

verze 1. 04



vybavena platnou a úředně ověřenou písemnou plnou mocí. Tato osoba musí být podle této plné moci řádně identifikovatelná. Přehled dalších druhů dokladů, kterými se prokazují právnické osoby: d) Jménem obce jedná obvykle starosta. U starosty se nevyžaduje, aby měl písemné pověření zastupitelstva. Jedná - li ovšem za obec jiná osoba, musí takové pověření mít. Starosta se prokazuje mimo svoje osobní doklady také některým z těchto dokladů: da) dokladem o zvolení starostou (usnesení zastupitelstva obce o volbě starosty) db) průkazem starosty, vydaným Ministerstvem vnitra a opatřeným razítkem se státním znakem e) Další právnické osoby vzniklé ze zákona (např. Česká televize, Český rozhlas, Česká akademie věd, apod.) jednají v zastoupení svými statutárními orgány (generální ředitel, ředitel). Pracovník RA může požadovat na žadateli, aby mu sdělil na základě kterého zákonného ustanovení byla daná právnická osoba zřízena a kdo je jejím statutárním orgánem a tyto skutečnosti doložil1. f) Právnické osoby, které jsou podnikatelskými subjekty, tj. obchodní společnosti (veřejné obchodní společnosti, komanditní společnosti, společnosti s ručením omezeným, zahraniční právnické osoby, akciové společnosti), družstva, státní podniky, některé příspěvkové organizace apod., předkládají jako doklad o své legální existenci výpis z obchodního rejstříku. Pracovník přepážky odmítne výpis z obchodního rejstříku starší šesti měsíců2. Pro některé typy právnických osob platí : fa) u veřejné obchodní společnosti za ni může jednat a podepisovat každý ze společníků, pokud není ve výpise z obchodního rejstříku uvedeno jinak. fb) u komanditní společnosti jsou statutárními orgány tzv. komplementáři, kteří jsou oprávněni jednat jménem společnosti každý samostatně (je-li jich více), pokud není ve výpise z obchodního rejstříku uvedeno jinak. Platí zásada, že pokud tzv. komanditista uzavře bez zmocnění smlouvu jménem společnosti, ručí pak za závazky z ní

1

Jedná-li za takovou právnickou osobu statutární orgán, předkládá mimo svoje osobní doklady také doklad o tom, že byl do příslušné funkce zvolen, jmenován, případně ustanoven. Jiná osoba musí předložit také úředně ověřené písemné rozhodnutí statutárního orgánu o oprávněných osobách k zastupování.

2

V obchodním rejstříku jsou mimo jiné uvedeny i tzv. statutární orgány dané právnické osoby. Jsou-li tyto orgány kolektivní (např. představenstvo), pak jsou také v obchodním rejstříku uvedeny jednotlivé fyzické osoby, oprávněné za danou právnickou osobu jednat a uzavírat závazky. Je zde rovněž stanoven způsob podepisování za danou právnickou osobu, např.: „předseda představenstva samostatně“, „dva členové představenstva společně“ apod. Dodržování stanoveného způsobu podepisování je třeba kontrolovat dle výpisu z obchodního rejstříku.

Strana 17

verze 1. 04



vyplývající ve stejném rozsahu jako komplementář (tj. celým svým osobním majetkem) fc) u společnosti s ručením omezeným je statutárním orgánem její jednatel (jednatelé) uvedený v obchodním rejstříku. Každý jednatel může jednat samostatně, pokud není v obchodním rejstříku zapsáno jinak fd) u akciové společnosti je statutárním orgánem představenstvo fe) u družstva je statutárním orgánem představenstvo g) Kromě statutárního orgánu (jeho určitého člena) mohou za právnickou osobu jednat i prokuristé. Prokurou zmocňuje podnikatel prokuristu ke všem právním úkonům k nimž dochází při provozu podniku, i když se k nim jinak vyžaduje plná moc. Každý prokurista musí být zapsán v obchodním rejstříku včetně toho, zda může jednat za společnost samostatně nebo společně (je-li prokuristů více). V obchodním rejstříku je zapsáno i případné omezení zmocnění prokuristy (není-li v rejstříku uvedeno, jedná prokurista v plném rozsahu pravomocí). h) Za právnickou osobu v likvidaci je oprávněn s I.CA jednat ustanovený likvidátor. Při kontrole oprávněnosti žadatele podle výpisu z obchodního rejstříku je pracovník přepážky RA povinen zjistit následující: -

zda výpis není starší šesti měsíců (viz výše)

-

zda je výpis úředně ověřen, pokud nejde o prvopis

-

zda může fyzická osoba (osoby), které podávají žádost o registraci, podle předloženého výpisu podepisovat za danou právnickou osobu

-

pokud není žadatel sám oprávněn jednat a podepisovat (není statutárním zástupcem) za právnickou osobu, potom je také nutné zmocnění žadatele statutárním orgánem.

U jiné právnické osoby je vyžadováno doložení legální existence jiným dokladem. Jde zejména o tyto doklady : -

registrace politické strany nebo hnutí podle zákona č. 424/1991 Sb., o sdružování v politických stranách a hnutích, registraci provádí ministerstvo vnitra

-

registrace občanského sdružení vzniklého podle zákona č. 83/1990 Sb., o sdružování občanů (v platném znění), registraci provádí ministerstvo vnitra

-

registrace zájmového sdružení právnických osob podle §20 f) občanského zákoníku, registraci provádí jednotlivé okresní úřady

-

registrace nadace podle §20 b) občanského zákoníku, registraci provádí jednotlivé okresní úřady

Strana 18

verze 1. 04

První certifikační autorita, a.s. -


registrace církví a náboženských společností, registraci provádí ministerstvo kultury

Při kontrole oprávnění žadatele podle takového jiného dokladu je pracovník přepážky RA povinen zjistit následující: -

zda doklad (resp. Registrační doložka na něm) není starší šesti měsíců

-

zda je doklad úředně ověřen, pokud nejde o prvopis

-

zda doklad obsahuje základní nezbytné údaje, tj.: - název právnické osoby, sídlo právnické osoby, právní forma, IČO, statutární orgán, tj. osobu nebo osoby, které mají právo jednat a podepisovat jménem dané právnické osoby

3.2

-

zda může fyzická osoba (osoby), které podávají žádost podle předloženého výpisu, podepisovat za danou právnickou osobu

-

pokud je statutární orgán uveden jen určitou funkcí, také doklad o tom, že žadatel - fyzická osoba byl do příslušné funkce zvolen, jmenován, případně ustanoven

-

pokud není žadatel sám oprávněn jednat a podepisovat (není statutárním zástupcem) za právnickou osobu, potom je také nutné požadovat zmocnění žadatele statutárním orgánem

POSTUP PŘI VYDÁNÍ NÁSLEDNÉHO CERTIFIKÁTU

I.CA nepodporuje žádné vystavení dalšího nového certifikátu na párová data, která příslušela již jednou vystavenému certifikátu a rovněž nepodporuje žádné vystavení nového certifikátu na párová data, která příslušela již jednou zneplatněnému certifikátu. Jedinou formou následného certifikátu, která je akceptována je ta , kdy na základě nové žádosti o vydání certifikátu podepsané platnými daty pro vytváření elektronických podpisů souvisejícími s již vydaným certifikátem, ke kterému je vydáván tento následný certifikát. Údaje ověřované I.CA musí být stejné. Data pro ověřování elektronických podpisů musí být jiná. Ostatní položky následného certifikátu podléhají aktuálním pravidlům pro vydávání certifikátů. Generování žádosti o následný certifikát je stejné jako o nový certifikát. Klient má však možnost tuto žádost zaslat na I.CA elektronickou cestou. Tato žádost musí být podepsána daty pro vytváření elektronických podpisů souvisejících s platným certifikátem klienta ke kterému se žádá o následný certifikát.

3.3

ŽÁDOST O ZNEPLATNĚNÍ CERTIFIKÁTU Žádost o zneplatnění certifikátu lze podat následujícími způsoby:

Strana 19

verze 1. 04



•

Osobním předáním písemné žádosti o zneplatnění certifikátu na RA. RA v tomto případě musí zkontrolovat totožnost klienta nebo vyžadovat sdělení hesla pro zneplatnění příslušného certifikátu.

•

Pomocí elektronické pošty Internet zasláním elektronické poštovní zprávy podepsané pomocí dat pro vytváření elektronických podpisů souvisejících s příslušným certifikátem o jehož zneplatnění se žádá.

•

Zasláním běžné poštovní zprávy společně s heslem pro zneplatnění certifikátu, které si zadal při uzavírání smlouvy s I.CA.

•

Prostřednictvím elektronického formuláře, který je za tímto účelem přístupný na vyhrazené webové stránce.

Elektronická žádost o zneplatnění certifikátu je textová zpráva, která musí obsahovat větu "Žádám o zneplatnění mého certifikátu, sériové číslo XXXXXX.". Odpovědí I.CA na platnou žádost o zneplatnění certifikátu je vytvoření a zaslání aktuálního seznamu zneplatněných certifikátů. Do doby zveřejnění CRL je dotyčný certifikát zablokován. Maximální prodlení mezi přijetím požadavku na zneplatnění certifikátu a uvedením v seznamu zneplatněných certifikátů a zveřejněním tohoto seznamu, může činit nejvýše 25 hodin. Po dobu zablokování je certifikát platný a případná odpovědnost za škodu vzniklou použitím takového certifikátu v době jeho zablokování je na straně klienta. Odblokování certifikátu, který byl zablokován na základě platné žádosti o zneplatnění certifikátu I.CA nepovoluje.

4. OPERAČNÍ POŽADAVKY 4.1

ŽÁDOST O CERTIFIKÁT

Osobní registrace žadatele o testovací certifikát se neprovádí. Žadatel sám odpovídá za údaje, které vloží do elektronické žádosti o testovací certifikát. Vložené údaje pracovníci I.CA osobně nekontrolují, aplikace odpovědná za vytvoření certifikátu kontroluje pouze, zda jsou splněny technické požadavky. Takto získaná data jsou použita pouze pro vytvoření certifikátu a nejsou I.CA dále uchovávána. Při registraci nového žadatele o standardní osobní certifikát příslušný pracovník RA na základě předložených dokladů kontroluje náležitosti podle článku 3.1. Při registraci nového žadatele o certifikát pro server příslušný pracovník RA postupuje v souladu s postupem při žádosti o vydání osobního certifikátu. Žadatel má nárok současně podat žádost o osobní certifikát - bezplatně. Údaje v této žádosti je rovněž povinen doložit. V případě, že jsou v žádosti o vydání certifikátu pro server nebo v žádosti o vydání osobního certifikátu nedostatky, RA upozorní žadatele na tuto skutečnost a registraci odmítne. Strana 20

verze 1. 04


4.2


VYDÁNÍ CERTIFIKÁTU

I.CA vydá standardní osobní certifikát žadateli, který splnil podmínky registrace (článek 4.1), zaplatil určený poplatek (pokud nebyl způsob úhrady smluvně stanoven jinak) a podepsal příslušnou smlouvu. Pracovník RA předá žadateli medium s jeho certifikátem a odpovídajícími certifikáty I.CA. Na mediu rovněž musí být nahraná Certifikační politika I.CA. Žadatel musí převzetí media s certifikáty potvrdit. Kromě toho zašle I.CA certifikáty v předepsaných formátech a Certifikační politiku I.CA na elektronickou adresu uvedenou v žádosti (pokud je tato adresa známa). I.CA vydá certifikát pro server žadateli, který splnil podmínky registrace (článek 4.1), zaplatil určený poplatek a podepsal příslušnou smlouvu. Pracovník RA předá žadateli medium s jeho certifikátem a odpovídajícími certifikáty I.CA. Na mediu rovněž musí být nahraná Certifikační politika I.CA. Žadatel musí převzetí media s certifikáty potvrdit. Kromě toho zašle I.CA certifikáty v předepsaných formátech a Certifikační politiku I.CA na elektronickou adresu uvedenou v žádosti. I.CA může ve smlouvě se smluvním partnerem sjednat postup, odchylný od tohoto ustanovení Certifikační politiky. Tímto postupem však nesmí být dotčena příslušná ustanovení legislativních norem, které upravují oblast poskytování certifikačních služeb nebo obchodní činnosti s tímto spojené.

4.3

AKCEPTOVÁNÍ CERTIFIKÁTU

Žadatel je povinen přijmout certifikát, o nějž požádal, jestliže splnil podmínky pro vydání certifikátu (článek 4.1). Jediný způsob, jak může postupovat, pokud tento certifikát nechce je zažádat o jeho zneplatnění.

4.4

ZRUŠENÍ A ZNEPLATNĚNÍ CERTIFIKÁTU Certifikát může být zneplatněn pouze na základě následujících okolností: •

držitel certifikátu nebo jím oprávněná osoba požádá o jeho zneplatnění

•

na základě klientova sdělení se věcný obsah certifikátu stane neplatným

•

na základě zjištění I.CA nebo spolupracujících subjektů se věcný obsah certifikátu stane neplatným

•

držitel certifikátu byl usvědčen ze závažného porušení smluvních povinností nebo povinností vyplývajících z Certifikační politiky

•

je důvodné podezření, že došlo ke kompromitaci soukromého klíče držitele nebo disponenta certifikátu

•

dojde ke kompromitaci soukromého klíče I.CA

•

nařídí tak soud ve svém rozsudku nebo předběžném opatření

•

držitel certifikátu zemřel Strana 21

verze 1. 04



O zneplatnění certifikátu může požádat •

držitel certifikátu nebo oprávněný disponent

•

registrační autorita, jejímž prostřednictvím bylo požádáno o jeho vydání

•

I.CA

•

soud prostřednictvím oprávněné osoby

•

osoby oprávněné z pozůstalostního řízení

Držitel certifikátu nebo oprávněný disponent musí zaslat nebo osobně předat žádost o zneplatnění certifikátu způsobem uvedeným v článku 3.3. V případě, že se zneplatnění uskutečňuje na základě soudního rozhodnutí, musí pracovník RA k záznamu o zneplatnění přiložit kopii soudního rozhodnutí. V případě, že se zneplatnění uskutečňuje na základě pozůstalostního řízení, musí pracovník RA k záznamu o zneplatnění přiložit kopii dokladů, ze kterých jednoznačně vyplývá právo žádajícího na zneplatnění. V případě, že zneplatnění se uskutečňuje z iniciativy RA nebo I.CA, je příslušný pracovník povinen zaznamenat tuto skutečnost do protokolu včetně důvodů tohoto rozhodnutí. Lhůta pro provedení zneplatnění je stanovena na 24 hodin. Certifikátům vydávaným podle této Certifikační politiky I.CA nelze pozastavit platnost.

4.5

POŽADAVKY NA OVĚŘOVÁNÍ CRL

Uživatelé certifikátů jsou povinni ověřovat certifikáty vydané I.CA, které používá s nimi komunikující strana, zda-li nejsou zneplatněny. Pro tyto účely jsou povinni používat CRL vydaná a podepsaná I.CA. Neověření certifikátu pomocí CRL je kvalifikováno jako hrubé porušení Certifikační politiky a zanikají tímto veškeré nároky na případné uplatnění záruk. V období mezi podáním oprávněné žádosti o zneplatnění certifikátu a jeho zveřejněním v CRL nese veškerou odpovědnost za případné škody vzniklé v souvislosti se zneužitím certifikátu klient (držitel certifikátu). Po zveřejnění certifikátu v CRL nese odpovědnost uživatel, který daný certifikát použil.

4.6

PROCEDURY AUDITU VZHLEDEM K BEZPEČNOSTI I.CA a s ní spolupracující RA zaznamenávají do auditního logu, následující události: •

záznam o registraci žadatele

•

záznam o pokusu neoprávněné registrace žadatele

•

záznam o zrušení registrace žadatele (údaje o žadateli se uchovávají)

•

záznam o požadavku RA na vystavení certifikátu včetně výsledku Strana 22

verze 1. 04



•

záznam o požadavku na následný certifikát včetně výsledku

•

záznam o neoprávněném požadavku na vystavení certifikátu včetně výsledku

•

záznam o neoprávněném požadavku na následný certifikát včetně výsledku

•

záznam o požadavku na zneplatnění certifikátu včetně údajů o žádající osobě a výsledku

•

záznam o neoprávněném požadavku na zneplatnění certifikátu včetně údajů o žádající osobě a výsledku

•

záznam o pokusu neoprávněného přístupu do systému

•

záznam o zveřejnění certifikátu včetně výsledku

•

záznam o zanesení zneplatněného certifikátu do CRL

•

záznam o zveřejnění CRL

Auditní záznamy jsou zpracovávány jednou denně. Po přezkoumání jsou záznamy uloženy do archívu. Doba, po kterou se uchovávají auditní záznamy, je stanovena na 10 let. Auditní záznamy jsou přístupné pouze pověřenému systémovému pracovníku I.CA. Jednotlivé auditní záznamy jsou opatřeny pořadovým číslem a jsou podepsány. Soukromý klíč určený k podpisu auditních záznamů není pracovníkům, majícím oprávnění prohlížet auditní záznamy, přístupný. Po zpracování je znovu celý auditní log opět podepsán.

4.7

VÝMĚNA PÁROVÝCH DAT I.CA

V případě změny párových dat I.CA určených k podepisování certifikátů a seznamů zneplatněných certifikátů, které se projeví vystavením nového kořenového certifikátu I.CA zveřejní tento nový certifikát na svých WWW stránkách. Registrovaným uživatelům I.CA zašle upozornění o platnosti nového certifikátu.

4.8

ODHALENÍ KOMPROMITACÍ A NEHOD

V případě zneplatnění dat pro ověřování elektronických podpisů používaných k ověřování podepsaných certifikátů a seznamu zneplatněných certifikátů informuje o této skutečnosti I.CA na oficiálních webových stránkách. Touto situací se rozumí jiné důvody, než-li kompromitace příslušných dat pro podepisování elektronických podpisů. V případě kompromitace vlastního soukromého klíče I.CA neprodleně zneplatní příslušný certifikát. O této skutečnosti informuje bezodkladně na svých WWW stránkách. Držitele certifikátů, jejichž důvěryhodnost byla uvedenou kompromitací dotčena I.CA vyzve neprodleně k opětovné fyzické registraci a podání žádosti o vystavení certifikátu. Případné náklady na vystavení nových certifikátů hradí I.CA.

Strana 23

verze 1. 04


4.9


UKONČENÍ ČINNOSTI I.CA

V případě ukončení činnosti z jiných důvodů než-li jsou mimořádné události jakými jsou stávky, občanské nepokoje, válečný stav, přírodní katastrofy nebo jiné výsledky působení vyšší moci, zajistí I.CA: a) zpřístupnění informace o ukončení své činnosti všem osobám spoléhajícím na certifikát, držitelům a jiným osobám, se kterými má smluvní nebo jiné obdobné vztahy týkající se poskytování certifikačních služeb, b) ukončí vydávání všech typů certifikátů, c) uchování údajů získaných při registraci a záznamů událostí po dobu, nejméně 10 let od ukončení platnosti vydaných certifikátů, d) prokazatelně zničí svá data pro vytváření elektronických podpisů, e) vyvine maximální úsilí pro to, aby platné certifikáty byly převzaty jinou certifikační autoritou.

5. FYZICKÉ, PROCEDURÁLNÍ A BEZPEČNOSTNÍ MECHANISMY

PERSONÁLNÍ

Otázky fyzické, procedurální a personální bezpečnostní mechanismy jsou velmi důležitým faktorem zajišťujícím důvěryhodnost certifikačních služeb I.CA. Ochrana je zaměřena na hlavní systémy, kterými jsou ty, které přímo provádějí podepisování certifikátů a podepisování CRL. Podrobný popis a požadavky na I.CA jako poskytovatele certifikačních služeb v těchto oblastech je uveden v Certifikační prováděcí směrnici.

6. TECHNICKÁ BEZPEČNOST V této kapitole jsou uvedeny požadavky, které musí splňovat párová data, která si vytváří žadatel a k nimž má být vydán I.CA certifikát. Dále jsou specifikovány požadavky na párová data I.CA , která jsou používána k podpisování a ověřování certifikátů a CRL.

6.1

GENEROVÁNÍ PÁROVÝCH DAT KLIENTA A INSTALACE

Párová data jsou vzájemně svázaná dvojice dat pro vytváření elektronického podpisu a s nimi související data pro ověřování elektronických podpisů.. Certifikát I.CA bude vydán pouze k takovým párovým datům a podpisovým algoritmům, které budou splňovat požadavky Strana 24

verze 1. 04



uvedené v této certifikační politice. Požadavky na kvalitu párových dat a použitých kryptografických algoritmů umožňující vydání kvalifikovaného certifikátu není obsahem této certifikační politiky. Párová data se zásadně generují na zařízení, které je v okamžiku generování pod výhradní kontrolou klienta. Tímto zařízením může být počítač, speciální čipová karta, nebo například USB token. I.CA neposkytuje službu generování párových dat klienta na svých zařízeních. Tato certifikační politika podporuje z asymetrických algoritmů pouze algoritmus RSA. Jako hashovací funkce jsou podporovány MD5 a SHA1. Mohutnost klíčů v RSA podporovaná touto certifikační politikou je závislá na typu použití párových dat svázaných s certifikátem I.CA. U klientů: -

Testovací certifikáty: velikost klíče není stanovena

-

Standardní osobní certifikáty a serverové certifikáty: -

minimální velikost klíče je 512 bitů,

-

doporučená velikost klíče je 1024 bitů.

Doporučený postup generování párových dat a přípravy podkladů pro vydání I.CA certifikátu je popsán na WWW stránkách I.CA. Veřejný klíč klienta je součástí žádosti o vystavení certifikátu. Podle použitého prohlížeče je buď ve formátu PKCS #10 nebo Netscape SPKAC. I.CA kontroluje při příjmu žádosti, zda již nebyl vystaven jiný certifikát se stejným veřejným klíčem. Pokud ano, je klient vyzván k vygenerování nové žádosti, a tedy i nových párových dat. Rovněž držitel již vydaného certifikátu, který má veřejný klíč stejný s žadatelem je vyzván k vygenerování nových párových dat. Tento certifikát je okamžitě zneplatněn. Držitel certifikátu je o této skutečnosti neprodleně informován. Kořenový certifikát I.CA obsahující data pro ověřování podpisů, kterými I.CA podepisuje vydané certifikáty, je možno získat na oficiální WWW stránce I.CA (www.ica.cz). Tento certifikát rovněž dostane každý klient spolu se svým certifikátem. Další možnost jak získat kořenový certifikát I.CA, je nahrání na médium (např. disketa) na kterékoliv RA I.CA.

6.2

OCHRANA SOUKROMÉHO KLÍČE I.CA

Soukromý klíč certifikační autority je nejdůležitější tajemství, které každá certifikační autorita má. Obdobně i I.CA věnuje ochraně soukromého klíče maximální pozornost. Podrobný popis povolených postupů při práci se soukromým klíčem I.CA je uveden v Certifikační prováděcí směrnici. Pro účely této Certifikační politiky platí: -

Soukromý klíč je uložen ve speciálním zařízení (kryptografický modul), který je certifikován podle mezinárodně přijímaného amerického standardu FIPS 140 – 1 na úrovni (level) 3.

-

Soukromý klíč je zálohován v zašifrované formě, tak že k jeho dešifraci je potřeba dvou určených pracovníků, kteří mají k dispozici části tajemství, ze kterého se dá vytvořit klíč do symetrické šifry použité pro zašifrování soukromého klíče I.CA. Strana 25

verze 1. 04



-

Neexistuje možnost získat soukromý klíč jinými metodami (např. tzv. „Escrow“).

-

Soukromý klíč I.CA je používán výhradně k podepisování vydaných certifikátů I.CA a seznamů zneplatněných certifikátů (CRL) I.CA.

-

Kryptografický modul spolu s obsluhujícím počítačem je uložen v místnosti, která má objektovou bezpečnost ve stupni „TAJNÉ“ podle vyhlášky č.339/1999 Národního bezpečnostního úřadu.

-

V místnosti jsou použity aktivní prvky významně snižující možnost kompromitace techniky odchytem elektromagnetického vyzařování.

-

Místnost se nachází v objektu, který je nepřetržitě střežen jak lidskou strážní službou, tak speciální technikou.

-

Vkládání, aktivace, deaktivace, zálohování a ničení soukromého klíče I.CA je prováděno podle platné Certifikační prováděcí směrnice, vždy v přítomnosti minimálně dvou určených pracovníků I.CA.

6.3

DALŠÍ POŽADAVKY NA SPRÁVU PÁROVÝCH DAT I.CA

Veřejné klíče obsažené v kořenových certifikátech I.CA jsou archivovány. I.CA bude tyto klíče archivovat, respektive zajistí jejich archivaci, ještě 10 let po případném ukončení své činnosti. Archivace kořenových certifikátů, jimž odpovídající soukromé klíče sloužící k podepisování testovacích certifikátů, se neprovádí. Platnost párových dat s mohutností klíče 2048 bitů určených k podepisování standardních osobních a serverových certifikátů a příslušejících CRL je 6 let.

6.4

BEZPEČNOST POČÍTAČOVÉHO VYBAVENÍ

Výpočetní technika používaná v I.CA pro certifikační služby splňuje požadavky na kvalitní a bezpečnou činnost certifikační autority. Jsou použity výhradně značkové komponenty splňující vysoká technická kritéria. Proti poruchám elektrické sítě jsou hlavní systémy zabezpečeny pomocí UPS. Bezpečnost použitých informačních systémů je charakterizována podle normy ITSEC. Pro systém pracující se standardními osobními a serverovými certifikáty je použit počítačový systém hodnotitelný podle kritéria ITSEC E2.

6.5

KONTROLY POČÍTAČOVÉ BEZPEČNOSTI

Obecné požadavky na počítačovou bezpečnost jsou dány zvolenými kritérii ITSEC. Specifické požadavky jsou: -

systém je použit výhradně k operacím souvisejícím s poskytováním certifikačních služeb

-

je zajištěna bezpečnost dat pro podepisování certifikátů a seznamů CRL

-

systém je chráněn proti výpadkům elektrické sítě

-

použitý hardware je zálohován a je zajištěno obnovení činnosti do 24 hodin Strana 26

verze 1. 04

První certifikační autorita, a.s. -

6.6


provoz počítačového systému I.CA zajišťujícího certifikační služby je pravidelně kontrolován určenými pracovníky I.CA. Podle požadavků odpovídajících kritérium ITSEC jsou zaznamenávány a vyhodnocovány auditní informace.

BEZPEČNOSTNÍ KONTROLY V DOBĚ ŽIVOTNOSTI Provádění bezpečnostních kontrol je popsáno v Systémové bezpečnostní politice I.CA.

6.7

KONTROLY BEZPEČNOSTI POČÍTAČOVÉ SÍTĚ

Prostředky provádějící vlastní certifikační služby nejsou přímo dostupné z veřejné sítě Internet. Veškerá komunikace mezi RA a centrální CA je vedena pod šifrou. Ostatní aspekty kontroly bezpečnosti počítačové sítě jsou popsány v Systémové bezpečnostní politice I.CA.

6.8

KONTROLY BEZPEČNOSTI KRYPTOGRAFICKÉHO MODULU

Použité kryptografické moduly mají stanovenou bezpečnost podle příslušné úrovně zabezpečení (level) normy FIPS 140-1. Periodické kontroly jsou prováděny za účelem zjištění, zda kryptografický modul neustále splňuje požadavky definované vyžadovanou úrovní zabezpečení. O provedených kontrolách se provádějí záznamy s hodnocením.

7. CERTIFIKAČNÍ PROFILY A PROFILY CRL 7.1

PROFIL CERTIFIKÁTU Všechny certifikáty vydávané I.CA jsou podle X.509 verze 3.

Certifikáty vydávané I.CA podle této Certifikační politiky používají standardně užívaná OID. Podle této CP je používáno: Signature Algorithm: sha1WithRSAEncryption Formy jmen a omezující pravidla na jména jsou podrobně rozvedeny v Certifikační prováděcí směrnici. Tato Certifikační politika je určena výhradně pro komerční certifikáty. Příslušné atributy a OID jsou: -

id-ianaPrivate

OBJECT IDENTIFIER ::= { 1 3 6 1 4 1 }

-

id-pvt

OBJECT IDENTIFIER ::= { id-ianaPrivate 6625 } Strana 27

verze 1. 04



-

id-ica

OBJECT IDENTIFIER ::= { id-pvt 1 }

-

id-ica-cp

OBJECT IDENTIFIER ::= { id-ica 1 }

-

id-cpsica

OBJECT IDENTIFIER ::= { id-ica-cp 2 }

-

id-cpsica104

OBJECT IDENTIFIER ::= { id-cpsica 1 }

Dále jsou použity rozšiřující atributy: CRL Distribution Points: URI: adresy distribučních bodů CRL

Další atributy a vzory kořenových certifikátů I.CA jsou uvedeny v Certifikační prováděcí směrnici.

7.2

PROFIL CRL Seznamy zneplatněných certifikátů (CRL) jsou vydávány ve verzi 2 podle X 509.

8. ŘÍZENÍ SPECIFIKACÍ 8.1

PROCESY ZMĚN SPECIFIKACÍ

Tato Certifikační politika bude jednou ročně přehodnocována. Rovněž ostatní základní materiály tj. Certifikační prováděcí směrnice, Celková bezpečnostní politika, Systémová bezpečnostní politika a Plán pro zvládání krizových situací budou jednou ročně přehodnocovány. Tyto základní materiály musí být udržovány tak, aby byly v souladu s platnou legislativou České republiky a zároveň v souladu s všeobecně přijímanými standardy a normami.

8.2

POLITIKY ZVEŘEJŇOVÁNÍ A OHLAŠOVÁNÍ

Zveřejňování Certifikační politiky se děje na oficiální WWW stránce I.CA http://www.ica.cz. Na vyžádání je možné zaslání elektronickou cestou, případně za úplatu poštou na papírovém nebo jiném fyzickém médiu. Tyto materiály jsou rovněž k dispozici na všech registračních autoritách I.CA.

Strana 28

verze 1. 04


8.3


PROCES SCHVALOVÁNÍ ZÁKLADNÍCH MATERIÁLŮ

Certifikační politika a i další základní materiály jsou schvalovány ředitelem I.CA. Před tímto schválením nelze provádět jakékoliv změny v činnostech, které tato Certifikační politika popisuje. Uplatněné změny v základních materiálech musí být zveřejněny pro ty subjekty, jejichž činnost je těmito materiály upravena nejméně 10 kalendářních dnů před jejich uplatněním.

Tato Certifikační politika - verze 1.04 - nabývá platnosti dnem 1. 4. 2002 a účinnosti dnem 11.8.2002. Ode dne účinnosti verze 1.04 budou komerční certifikáty vydávány pouze podle této Certifikační politiky.

Copyright I.CA 2002 All Right Reserved. Vaše dotazy zodpovíme na adrese: [email protected].

Strana 29

verze 1. 04

Certifikační politika I.CA

Recommend Documents