Certifikační politika Správy základních registrů pro certifikáty vydávané pro AIS

Certifikační politika Správy základních registrů pro certifikáty vydávané pro AIS

Název předpisu:


Verze:

1.2

Autor/zpracovatel:

Správa základních registrů / odbor informačních a komunikačních technologií

Datum účinnosti:

1. 5.2013

Účel:

Popis certifikační politiky SZR

Počet stran:

39


Obsah: Úvod ......................................................................................................................................... 5

1. 1.1

Přehled ........................................................................................................................ 5

1.2

Název a jednoznačné určení dokumentu .................................................................... 5

1.3

Účastnící se subjekty................................................................................................... 5

1.4

Použití certifikátů ......................................................................................................... 6

1.5

Správa politiky ............................................................................................................. 6

1.6

Přehled použitých pojmů a zkratek ............................................................................. 7 Odpovědnosti za zveřejňování a úložiště informací a dokumentace ............................... 9

2. 2.1

Úložiště informací a dokumentace .............................................................................. 9

2.2

Zveřejňování informací a dokumentace ...................................................................... 9

2.3

Periodicita zveřejňování informací .............................................................................. 9

2.4

Řízení přístupu k jednotlivým typům úložišť ................................................................ 9

3.

Identifikace a autentizace .................................................................................................... 10 3.1

Pojmenovávání .......................................................................................................... 10

3.2

Počáteční ověření identity ......................................................................................... 10

3.3

Identifikace a autentizace při zpracování požadavků na výměnu veřejného klíče v certifikátu

3.4

Identifikace a autentizace při zpracování požadavků na zneplatnění certifikátu ...... 11 Požadavky na životní cyklus certifikátu ............................................................................. 12

4. 4.1

Žádost o vydání certifikátu ........................................................................................ 12

4.2

Zpracování žádosti o certifikát................................................................................... 12

4.3

Vydání certifikátu ....................................................................................................... 13

4.4

Převzetí vydaného certifikátu .................................................................................... 13

4.5

Použití párových dat a certifikátu .............................................................................. 14

4.6

Obnovení certifikátu................................................................................................... 14

4.7

Výměna veřejného klíče v certifikátu ......................................................................... 15

4.8

Změna údajů v certifikátu .......................................................................................... 15

4.9

Zneplatnění a pozastavení platnosti certifikátu ......................................................... 16

4.10

Služby související s ověřováním statutu certifikátu ................................................... 18

4.11

Ukončení poskytování služeb CA .............................................................................. 18

4.12

Úschova soukromých klíčů u důvěryhodné třetí strany a jejich obnova ................... 18 Management, provozní a fyzická bezpečnost.................................................................... 20

5. 5.1

Fyzická bezpečnost ................................................................................................... 20

5.2

Procesní bezpečnost ................................................................................................. 21

5.3

Personální bezpečnost .............................................................................................. 21

5.4

Auditní záznamy ........................................................................................................ 22

5.5

Uchovávání informací a dokumentace ...................................................................... 23

5.6

Výměna veřejného klíče v nadřízeném systémovém certifikátu poskytovatele ........ 24

5.7

Obnova po havárii nebo kompromitaci ...................................................................... 24

5.8

Ukončení činnosti CA nebo RA ................................................................................. 25 Technická bezpečnost ......................................................................................................... 26

6. 6.1

Generování a instalace párových dat ........................................................................ 26 2 / 39

11


6.2

Ochrana soukromého klíče a bezpečnost kryptografických modulů ..........................26

6.3

Další aspekty správy párových dat ............................................................................27

6.4

Aktivační data .............................................................................................................28

6.5

Počítačová bezpečnost ..............................................................................................28

6.6

Bezpečnost životního cyklu ........................................................................................28

6.7

Síťová bezpečnost .....................................................................................................28

6.8

Časová razítka ...........................................................................................................29 Profily certifikátu, seznamu zneplatněných certifikátů a OCSP ...................................... 30

7. 7.1

Profil certifikátu ...........................................................................................................30

7.2

Profil CRL ...................................................................................................................32

7.3

Profil OCSP ................................................................................................................33 Hodnocení shody a jiné audity ........................................................................................... 34

8. 8.1

Periodicita hodnocení nebo okolnosti pro provedení hodnocení ...............................34

8.2

Identita a kvalifikace auditora .....................................................................................34

8.3

Vztah auditora k hodnocenému subjektu ...................................................................34

8.4

Hodnocené oblasti......................................................................................................34

8.5

Postup v případě zjištění nedostatků .........................................................................34

8.6

Sdělování výsledků hodnocení ..................................................................................34 Ostatní obchodní a právní náležitosti ................................................................................ 35

9.

10.

9.1

Poplatky ......................................................................................................................35

9.2

Finanční odpovědnost ................................................................................................35

9.3

Citlivost obchodních informací ...................................................................................35

9.4

Ochrana osobních údajů ............................................................................................36

9.5

Práva duševního vlastnictví .......................................................................................36

9.6

Zastupování a záruky .................................................................................................36

9.7

Zřeknutí se záruk ........................................................................................................38

9.8

Omezení odpovědnosti ..............................................................................................38

9.9

Odpovědnost za škodu, náhrada škody .....................................................................37

9.10

Doba platnosti a ukončení platnosti ...........................................................................37

9.11

Komunikace mezi zúčastněnými subjekty..................................................................37

9.12

Změny ........................................................................................................................37

9.13

Řešení sporů ..............................................................................................................38

9.14

Rozhodné právo .........................................................................................................38

9.15

Shoda s právními předpisy .........................................................................................38

9.16

Další ustanovení.........................................................................................................38

9.17

Další opatření .............................................................................................................38 Závěrečná ustanovení .......................................................................................................... 39

3 / 39


Historie dokumentu Verze

Datum platnosti

Autor

Popis

1.0

2.4.2012

SZR

Verze pro zahájení provozu základních registrů.

1.1

1.8.2012

SZR

Upřesněn proces odvolávání certifikátů.

1.2

1.5.2013

SZR

Povoleno použití certifikátů pro vzájemnou autentizaci AIS a ustavení šifrovaného spojení mezi AIS.

4 / 39


1. Úvod Poskytovatel certifikačních služeb CA SZR provádí minimálně následující činnosti: a) vydávání a zneplatňování (odvolávání) certifikátů; b) vytváření a distribuci seznamů zneplatněných certifikátů (CRL); c) správu certifikátů potřebných pro svou vlastní činnost. Bezpečnost poskytovatele certifikačních služeb jako celku je přímo závislá na bezpečnosti a důvěryhodnosti operací, které provádějí všechny její součásti (certifikační a registrační autority) včetně důvěryhodnosti lidských zdrojů, hardwarového a programového vybavení, certifikačních procesů a prostor, ve kterých se odehrávají.

1.1 Přehled Tato certifikační politika definuje podmínky pro vydávání certifikátů pro agendové informační systémy orgánů (AIS) veřejné moci za účelem zabezpečení jejich komunikace s produkčním prostředím základních registrů (ZR) a za účelem zabezpečení jejich vzájemné komunikace. Certifikační politika CA SZR stanovuje zásady a postupy pro vydávání a správu certifikátů veřejných klíčů (dále jen certifikátů) definovaných normou X.509. CA SZR je provozována Správou základních registrů.

1.2 Název a jednoznačné určení dokumentu Tento dokument má název: CERTIFIKAČNÍ POLITIKA SPRÁVY ZÁKLADNÍCH REGISTRŮ PRO CERTIFIKÁTY AIS Zkrácená verze názvu dokumentu je: a OID je:

CP CASZR AIS 1.2.203.72054506.2.10.1.2

Dokument je vrcholným dokumentem řídícím provoz CA SZR ve všech jejích úrovních. Každá verze dokumentu je označena: a) názvem dokumentu; b) číslem verze dokumentu; c) datem vydání dokumentu; d) datem platnosti dokumentu; e) funkčním zařazením schvalujícího subjektu; f) klasifikací dokumentu.

1.3 Účastnící se subjekty V dalším textu se termínem PKI SZR myslí Certifikační autorita SZR a Registrační autorita SZR určené pro vydávání certifikátů pro zabezpečení komunikaci AIS s produkčním prostředím ZR a vzájemné komunikace AIS.

1.3.1 Certifikační autority Struktura CA provozovaných SZR je dvouúrovňová. Vrchol tvoří kořenová certifikační autorita SZR (Root CA SZR). Kořenová certifikační autorita vydává certifikáty pouze podřízeným certifikačním autoritám a vydala tedy i certifikát pro certifikační autoritu CA SZR, pro kterou je určena tato certifikační politika. CA SZR vydává certifikáty pro počítačové servery, na kterých OVM provozují AIS, a pro servery, které jsou součástí systému základních registrů. Vydávání certifikátů pro servery systému základních registrů provádí CA SZR podle jiné certifikační politiky, která je neveřejná a nevztahují se na ni podmínky této certifikační politiky s výjimkou ustanovení, kde je to explicitně uvedeno. CA SZR nevydává certifikáty pro žádné podřízené certifikační autority. V dalším textu termín CA SZR označuje CA, která vydává certifikáty pro počítačové servery, na kterých OVM provozují AIS ve smyslu Zákona 111/2009 Sb. o základních registrech, pokud není uvedeno jinak.

5 / 39


1.3.2 Registrační autorita CA SZR poskytuje své služby prostřednictvím RA SZR. V RA SZR pracují v roli zpracovatelů žádostí důvěryhodné osoby, které splňují požadavky na personální bezpečnost. Požadavky na personální bezpečnost jsou definovány v interní dokumentaci SZR. Pracovníci RA přijímají žádosti o vydání certifikátů, žádosti o zneplatnění certifikátů a ověřují údaje požadované pro vydání a zneplatnění certifikátů. Zároveň zodpovídají za odesílání Rozhodnutí o vydání certifikátů, Rozhodnutí o zneplatnění certifikátů a za ostatní komunikaci. RA SZR je provozována jako fyzický úřad zařazený do organizační struktury SZR. Účast jiných registračních autorit se nepřipouští.

1.3.3 Držitelé certifikátů Držitel certifikátu je subjekt, kterému byl certifikát vydán na základě jeho žádosti, tj. držitelem je OVM. Tento subjekt podáním žádosti o certifikát vyslovuje souhlas s touto certifikační politikou a s tím, že vydaný certifikát i jemu příslušející soukromý klíč bude používat v souladu s ní.

1.3.4 Spoléhající se strany Spoléhající se strana spoléhá na správnost propojení veřejného klíče se sériovým číslem certifikátu nebo označením předmětu certifikátu. Spoléhající se strana jsou ISZR a AIS. ISZR se spoléhá na certifikáty vydané pro AIS a AIS se spoléhají na certifikáty vydané pro ISZR a pro jiné AIS. Vzájemná autentizace AIS a navázání šifrovaného spojení s použitím certifikátů vydaných CA SZR je povolená, ale pro jejich skutečné použití vždy musí být zváženo, zda certifikáty vydané CA SZR pro AIS splňují požadavky důvěryhodnosti pro použití v konkrétní situaci.

1.3.5 Jiné subjekty Jinými subjekty mohou být: a) JIP, ve kterém mohou být uloženy informace o certifikátech vydaných OVM pro jimi spravované AIS; b) ISDS, který je používán pro autentizaci OVM.

1.4 Použití certifikátů 1.4.1 Přípustné použití certifikátů Certifikáty vydané CA SZR mohou být použity k identifikaci a autentizaci AIS vůči ISZR a vůči jinému AIS. Certifikáty vydané CA SZR mohou být použity k vytvoření šifrovaného spojení mezi ISZR a AIS, nebo mezi AIS navzájem. Pro uvedené účely mohou být používány i certifikáty vydané podle verzí 1.0 a 1.1 této CP.

1.4.2 Omezení použití certifikátů Omezení použití certifikátů vydaných CA SZR je definováno informacemi, které v sobě daný certifikát nese. Dalším omezením použití certifikátu je jeho nesprávné použití, například při operacích, kdy sice subjekt má platný certifikát, ale subjekt nemá právo jistou operaci uskutečnit. Tuto problematiku musí řešit interní směrnice OVM pro provoz AIS, který certifikát používá.

1.5 Správa politiky 1.5.1 Organizace spravující certifikační politiku a certifikační prováděcí směrnici Tuto certifikační politiku i jí odpovídající certifikační prováděcí směrnici spravuje SZR ČR.

1.5.2 Kontaktní osoby Kontaktní osoby určuje ředitel SZR ČR. Aktuální kontaktní údaje jsou uvedeny na webových stránkách SZR ČR http://www.szrcr.cz v sekci Kontakty. Adresa pro komunikaci elektronickou poštou je [email protected] 6 / 39


1.5.3 Odpovědný subjekt Subjektem odpovědným za tuto politiku a uplatňování jejích ustanovení je bezpečnostní manažer SZR.

1.5.4 Postupy při schvalování Jakékoli změny, dodatky a doplnění této certifikační politiky podléhají schválení bezpečnostního manažera SZR. Tato osoba je odpovědná za věcnou správnost jednotlivých ustanovení CP, za pravidelnou aktualizaci CP a aktuálnost právě platné verze. Nová verze certifikační politiky je před zveřejněním schválena ředitelem SZR.

1.6 Přehled použitých pojmů a zkratek Agendový informační systém (AIS) – Informační systém podle § 2 písm. e) zákona 111/2009 Sb., o základních registrech. US ASCII – American Standard Code for Information Interchange je znaková sada pro kódování znaků anglické abecedy v počítačích a jiných zařízeních. Certifikační autorita (CA) – je důvěryhodný subjekt, který je zřízen k vytváření certifikátů veřejných klíčů. Činnost certifikační autority je popsána její certifikační politikou, která definuje nejen korektní způsob činnosti, ale i obsah certifikátů, které jsou v průběhu její činnosti vytvářeny. Certifikační politika (CP) – množina pravidel, která definují podmínky pro vydávání určitých certifikátů certifikační autoritou a určují použitelnost certifikátů v rámci určité skupiny (domény) a/nebo v rámci třídy aplikací. Certifikační prováděcí směrnice (CPS) – je dokument, který definuje postupy, které certifikační autorita používá při vydávání a další správě certifikátů. Certifikační řetězec – je posloupnost certifikátů certifikačních autorit. Tato posloupnost začíná u dané certifikační autority a končí certifikátem kořenové certifikační autority, nebo jiné certifikační autority, která je důvěryhodná pro subjekt, který provádí ověřování tohoto certifikačního řetězce. Pro certifikáty v certifikačním řetězci platí, že podpis certifikátu podřízené CA je možné ověřit certifikátem nadřízené CA, a oba tyto certifikáty se v daném certifikačním řetězci vyskytují. Certifikát veřejného klíče (certifikát) – je elektronický atest podepsaný certifikační autoritou, který spojuje veřejný klíč s určitým subjektem a potvrzuje identitu tohoto subjektu. CRL (Certificate Revocation List) – seznam sériových čísel zneplatněných certifikátů. DN jméno – jméno, jehož tvar je definován normami řady X.500. Držitel certifikátu – OVM, kterému byl certifikát vydán. FQDN – Fully Qualified Domain Name, plně kvalifikované doménové jméno, např. server.ovm.cz. ISDS – Informační systém Datových schránek. ISoISVS – Informační systém o Informačních systémech veřejné správy. ISVS – Informační systém veřejné správy podle zákona č. 365/2000 Sb., o informačních systémech veřejné správy. Informační systém základních registrů (ISZR) – Aplikace, která zprostředkovává přístup AIS k základním registrům. Jednotlivé AIS požadují služby na vnějším rozhraní ISZR. JIP – Jednotný identitní prostor Základních registrů. Jde o adresář uživatelů. Klíčový pár = párová data. Kořenová certifikační autorita – kořenová (root) CA je autorita, která stojí na vrcholu stromu certifikačních autorit. Tato certifikační autorita se nezodpovídá přímo žádnému subjektu, pokud není jinak stanoveno. Důvěryhodnost této CA určuje kvalitu všech CA v podřízeném stromu certifikačních autorit. OCSP – Online Certificate Status Protocol je protokol pro online zjišťování statutu certifikátu (zda je platný nebo ne). OID - Object IDentifier. Identifikace objektu v určitém prostoru jmen, zde použit pro jednoznačnou identifikaci dokumentů a kryptografických algoritmů. Orgán veřejné moci (OVM) – je subjekt, který je oprávněn rozhodovat o právech a povinnostech fyzických a právnických osob na území ČR. Párová data – veřejný a soukromý klíč, které byly vytvořeny prostředky asymetrické kryptografie. PKCS – Public Key Cryptography Standards. PKI – infrastruktura veřejného klíče je množina hardware, software, lidí a postupů vydávání, odvolávání a správu digitálních certifikátů založených na asymetrické kryptografii. 7 / 39


Podpisový klíč = soukromý klíč = privátní klíč Pracovník SZR – zaměstnanec SZR, nebo osoba, která je vůči SZR v pracovněprávním či obdobném vztahu. Procesní autority – certifikační i registrační autority jsou v této politice značeny společným termínem procesní autority. Předmět certifikátu – subjekt (entita), který je ve vydaném certifikátu identifikován hodnotou uvedenou v atributu Subject. V případě CA SZR je předmětem certifikátu určitý AIS. Registrační autorita (RA) – je důvěryhodný subjekt, který je zřizován pro provádění činností potřebných pro správnou činnost certifikační autority. Registrační autorita je autorizovaná ke sběru a ověřování informací o identitě uživatelů žádajících o certifikát a k určování informací, které je možné certifikační autoritou vložit do vytvářených certifikátů, a za výdej rozhodnutí směrem k žadatelům o certifikát, respektive o zneplatnění certifikátu. Spoléhající se strana – je subjekt spoléhající se na certifikát vydaný CA SZR. Správce AIS – OVM, který je uveden v ISoISVS a v evidenci SZR jako správce příslušného AIS. Strom certifikačních autorit – je hierarchická struktura certifikačních autorit. V kořenu tohoto stromu je tzv. kořenová CA. Certifikační autority, které tvoří podstrom od určitého uzlu, musí splňovat minimálně požadavky své nadřízené CA. Systémová bezpečnostní politika ISZR – bezpečnostní politika definující bezpečnostní standardy pro ISZR. SZR – Správa základních registrů je správní úřad zřízený zákonem č. 111/2009 Sb., o základních registrech. SZR je podřízena Ministerstvu vnitra. ZR – Základní registry, viz zákon č. 111/2009 Sb. Žadatel o certifikát – OVM, který je správcem určitého AIS. Žadatel o zneplatnění certifikátu – OVM, který je správcem určitého AIS.

8 / 39


2. Odpovědnosti za zveřejňování a úložiště informací a dokumentace Poskytovatel certifikačních služeb je povinen uveřejňovat všechny informace, které ovlivňují platnost certifikátů, které vydává.

2.1 Úložiště informací a dokumentace Za úložiště informací a dokumentace PKI SZR odpovídá poskytovatel certifikačních služeb, tj. SZR. SZR má neveřejné a veřejné úložiště dokumentace a informací.

2.2 Zveřejňování informací a dokumentace Za zveřejňování informací a dokumentace o PKI SZR odpovídá SZR. Veřejné informace, týkající se PKI SZR, včetně dokumentace musí být zveřejňovány pravidelně, správně a včas takovým způsobem, aby byla zajištěna jejich dostupnost jak všem uživatelům PKI SZR, tak i osobám, pro které jsou tyto informace důležité z hlediska spoléhání se na jejich pravdivost. CA SZR zveřejňuje minimálně následující informace: a) certifikační politiku v její aktuální verzi i její minulé verze; minulé verze CP jsou zveřejňovány do doby, dokud je platný alespoň jeden certifikát, který byl podle nich vydaný; b) kontaktní místa RA SZR; c) informace vztahující se k RA a CA SZR. CA SZR zveřejňuje následující informace pro spoléhající se strany: a) certifikát Root CA SZR a certifikát CA SZR; b) seznam zneplatněných certifikátů (CRL) vydaných CA SZR. Údaje jsou zveřejňovány buď přímo na webových stránkách SZR http://www.szrcr.cz, nebo je na těchto stránkách uveden odkaz na tyto údaje, nebo jsou distribuovány přímo uživatelům PKI SZR.

2.3 Periodicita zveřejňování informací Každá informace a dokumentace je zveřejňována neprodleně po vstoupení v platnost. Certifikační politika je zveřejněna nejpozději v den, kdy vstoupí v platnost. Certifikáty jsou vydávány podle aktuálně platné verze CP. Certifikáty certifikačních autorit jsou zveřejněny dříve, než je s jejich použitím vydán první certifikát. Seznam zneplatněných certifikátů (CRL) je zveřejněn okamžitě po jeho vydání, a nejpozději před koncem platnosti posledního vydaného CRL. Kontaktní místa RA SZR jsou zveřejněna při každé změně. Informace vztahující se k RA a CA SZR jsou uveřejňovány, když vstoupí v platnost nebo dříve.

2.4 Řízení přístupu k jednotlivým typům úložišť Přístup k veřejným informacím týkajícím se PKI SZR poskytuje SZR bezplatně a bez omezení. Přístup k neveřejným informacím týkajícím se PKI SZR je povolen pouze pro autorizované osoby.

9 / 39


3. Identifikace a autentizace 3.1 Pojmenovávání 3.1.1 Typy jmen Všechny certifikáty vydávané CA SZR obsahují neprázdné označení předmětu certifikátu (Subject) a vydavatele (Issuer) ve tvaru definovaném normami řady X.500.

3.1.2 Požadavky na významovost jmen Význam položek certifikátů vydávaných CA SZR je definován v kapitole 7 „Profily certifikátu, seznamu zneplatněných certifikátů a OCSP“.

3.1.3 Anonymita a používání pseudonymů Vydávání a používání anonymních certifikátů nebo používání pseudonymů se nepřipouští. Alternativní jméno není pseudonymem.

3.1.4 Pravidla pro interpretaci různých forem jmen V certifikátech vydaných CA SZR lze používat pouze znaky US ASCII, tj. není povoleno používání znaků s diakritickými znaménky. Toto pravidlo se týká všech jmen, která poskytovatel certifikačních služeb umožňuje vložit do certifikátů, které vydává. Povolené tvary jmen jsou definovány v kapitole 7 „Profily certifikátu, seznamu zneplatněných certifikátů a OCSP“.

3.1.5 Jedinečnost jmen V každém certifikátu vydaném CA SZR je v předmětu (Subject) uvedena identifikace AIS (číslo AIS v ISoISVS) a IČO správce AIS. Za označení AIS v žádostech o vydání certifikátu odpovídá žadatel o certifikát. RA i CA SZR považují všechny žádosti o vydání certifikátu pro AIS se stejnými údaji pro předmět certifikátu za žádosti pro tentýž AIS.

3.1.6 Obchodní značky a ochranné známky Certifikační politika nepředpokládá uvádění obchodních značek a ochranných známek ve vydávaných certifikátech. Pokud v některých položkách certifikátu žadatel o certifikát uvede obchodní značku nebo ochrannou známku, je žadatel zodpovědný za jejich použití. Uznávání ochranných známek a značek se řídí příslušným právním předpisem české legislativy.

3.2 Počáteční ověření identity RA SZR neprovádí registraci OVM, ani osob oprávněných jednat za OVM.

3.2.1 Ověření souladu párových dat, tj. postup při ověřování, zda má subjekt soukromý klíč odpovídající veřejnému klíči Ve všech případech, ve kterých uživatelé generují klíčové páry a pak žádají o certifikaci veřejného klíče, je nutné, aby příslušné procesní autoritě prokázali vlastnictví příslušného soukromého klíče. Žádost o certifikát obsahuje veřejný klíč. Tato žádost je elektronicky podepsána odpovídajícím soukromým klíčem. Tím je díky kryptografickému vztahu mezi veřejným a soukromým klíčem dokázáno, že žadatel vlastnil v okamžiku podpisu žádosti o certifikát obě části klíčového páru.

3.2.2 Ověřování identity žadatele Pro ověření identity žadatele o vydání certifikátu, respektive zneplatnění certifikátu postačuje fakt, že žádost byla doručena z datové schránky OVM do datové schránky SZR. SZR nezjišťuje totožnost fyzické osoby, která žádost datovou schránkou poslala, ani nezjišťuje, zda je oprávněna za OVM žádat o vydání certifikátu, respektive o zneplatnění certifikátu.

10 / 39


SZR ověřuje, že žadatelem je OVM a že OVM je správcem AIS, pro který žádá o vydání certifikátu. Pokud jde o první žádost o certifikát pro nějaký AIS, SZR ověřuje v ISoISVS, že žadatel je správcem AIS. Při žádostech o další certifikáty a o zneplatnění certifikátů SZR ověřuje, že žadatel je správcem AIS v ISoISVS a ve své vlastní evidenci. Pokud SZR zjistí rozdíl mezi evidencí v ISoISVS a vlastní evidencí, může být příslušná žádost odmítnuta. V ostatních případech za OVM jedná vždy osoba fyzická. Ověření identity fyzické osoby řeší kapitola 3.2.3 „Ověřování identity fyzické osoby“ této politiky.

3.2.3 Ověřování identity fyzické osoby Každý pracovník SZR je povinen ověřit identitu fyzické osoby při osobním nebo telefonickém sdělování neveřejných informací týkajících se PKI SZR spolehlivým způsobem. V případě neznámé osoby podle platného a nepoškozeného dokladu totožnosti. Každý pracovník SZR je povinen ověřit, zda je možné požadovanou informaci sdělit. V případě telefonicky nebo osobně sděleného požadavku na zneplatnění certifikátu RA SZR provádí ověření oprávněnosti fyzické osoby žádat o zneplatnění certifikátu podle znalosti hesla domluveného při vydání certifikátu, pokud bylo takové heslo domluveno.

3.2.4 Neověřené informace vztahující se k držiteli certifikátu RA ani CA SZR neověřuje následující položky, jejichž hodnoty jsou součástí vydávaných certifikátů:  existenci DNS domény, respektive serveru, jejíž / jehož DNS jméno je uvedeno v atributu CN položky Subject;  vlastnictví DNS jména domény, respektive serveru, jejíž / jehož je uvedeno v atributu CN položky Subject, orgánem veřejné moci;  označení (jméno) OVM;  adresu OVM.

3.2.5 Ověřování specifických práv Žádná opatření.

3.2.6 Kritéria pro interoperabilitu Spolupráce CA a RA SZR s jinými poskytovateli certifikačních služeb je možná až po schválení ředitelem SZR.

3.3 Identifikace a autentizace při zpracování požadavků na výměnu veřejného klíče v certifikátu 3.3.1 Identifikace a autentizace při rutinní výměně párových dat Při požadavku na změnu klíčového páru je třeba žádat o nový certifikát. Identifikace a autentizace při vydávání druhého certifikátu a dalších certifikátů pro jeden předmět certifikátu se provádí stejně jako při počátečním ověření identity způsobem popsaným v kapitole 3.2 „Počáteční ověření identity“.

3.3.2 Identifikace a autentizace při výměně párových dat po zneplatnění certifikátu V případě zneplatnění certifikátu je třeba žádat o nový certifikát. Identifikace a autentizace při vydávání druhého certifikátu a dalších certifikátů pro jeden předmět certifikátu se provádí stejně jako při počátečním ověření identity způsobem popsaným v kapitole 3.2 „Počáteční ověření identity“.

3.4 Identifikace a autentizace při zpracování požadavků na zneplatnění certifikátu Ke zneplatnění certifikátu může dojít buď na základě žádosti OVM, kterému byl certifikát vydán, nebo z vůle poskytovatele certifikačních služeb (viz kapitola 4.9.1 „Podmínky pro zneplatnění certifikátu“). OVM se při žádosti o zneplatnění certifikátu identifikuje a autentizuje jedním z následujících způsobů:  Zasláním žádosti o zneplatnění certifikátu ze své datové schránky do datové schránky SZR. Identifikace a autentizace je stejná jako v kapitole 3.2 „Ověřování identity žadatele“.  Při telefonické nebo osobní komunikaci se osoba identifikuje svým jménem a jménem OVM a autentizuje znalostí hesla domluveného při vydání certifikátu. CA SZR může ve výjimečných případech použít i jiné způsoby identifikace a autentizace žadatelů o zneplatnění certifikátů. 11 / 39


4. Požadavky na životní cyklus certifikátu 4.1 Žádost o vydání certifikátu Při žádosti o certifikát je žadatel povinen provést následujících kroky: a) vyplnit formulář žádosti o certifikát; b) vygenerovat pro každý požadovaný certifikát jeden klíčový pár a poslat veřejný klíč k certifikaci; c) identifikovat se vůči RA SZR; d) prokázat RA SZR, že k veřejné části klíče, která má být certifikovaná, vlastní příslušnou soukromou část. Veškeré tyto kroky musí být provedeny před vystavením certifikátu.

4.1.1 Subjekty oprávněné podat žádost o vydání certifikátu Požádat o certifikát může kterýkoli OVM.

4.1.2 Registrační proces a odpovědnosti poskytovatele a žadatele RA SZR neprovádí registraci žadatelů o certifikáty.

4.1.2.1 Uzavření smlouvy SZR neuzavírá s OVM žádné smlouvy o poskytování certifikačních služeb.

4.1.2.2 Odpovědnosti žadatele 

Žadatel o certifikát je odpovědný za to, že splnil veškeré zákonné požadavky pro přístup k základním registrům, zejména požadavky zákona č. 111/2009 Sb., o základních registrech, a zákona č. 365/2000 Sb., o o informačních systémech veřejné správy, v jejich aktuálním znění.



Žadatel o certifikát nepožádá o nový certifikát pro AIS dříve než 3 měsíce před uplynutím platnosti předcházejícího certifikátu pro tentýž AIS. Výjimkou je případ, když žádá, respektive bude žádat o zneplatnění předcházejícího certifikátu pro tentýž AIS a oznámí to RA SZR v žádosti o vydání certifikátu.



Žadatel o certifikát je povinen se seznámit s touto certifikační politikou.



Žadatel o certifikát je povinen uvádět v žádostech o certifikát pravdivé údaje.

4.1.2.3 Odpovědnosti poskytovatele 

Za ověření údajů poskytnutých žadatelem o certifikát je zodpovědná RA SZR.



CA SZR je povinna vydat certifikát, pokud je žádost o jeho vydání oprávněná a úplná a obsahuje správné údaje.

4.2 Zpracování žádosti o certifikát Zpracováním žádosti se rozumí identifikace a autentizace žadatele, vydání certifikátu v normou daném formátu a zaslání certifikátu žadateli, nebo oznámení o vydání certifikátu a výzva k jeho stažení.

4.2.1 Identifikace a autentizace Žadatel o certifikát se identifikuje a autentizuje vůči RA SZR způsobem definovaným kapitole 3.2 „Počáteční ověření identity“.

4.2.2 Přijetí nebo zamítnutí žádosti o certifikát OVM podává žádost o certifikát zasláním vyplněného formuláře a žádosti ve formátu PKCS#10 ze své datové schránky do datové schránky SZR. RA SZR žádost o vydání certifikátu přijme a zaeviduje ji. RA SZR zkontroluje údaje ve formuláři i v žádosti o certifikát. Pokud jsou údaje chybné nebo neúplné, RA SZR žádost o certifikát odmítne a pošle do datové schránky žadatele informaci o důvodu odmítnutí žádosti. Pokud jsou údaje úplné a správné, RA SZR předá žádost o certifikát na CA SZR. CA SZR zkontroluje technické parametry v žádosti a buď vydá certifikát, nebo oznámí RA SZR, že žádost je chybná. 12 / 39


Žádost o certifikát může být odmítnuta mj. z následujících důvodů:  žadatel zaslal spolu s formulářem i soukromý klíč;  ve formuláři chybí povinný údaj;  žádost o certifikát není ve formátu PKCS#10;  OVM žádá o certifikát se stejným veřejným klíčem, pro jaký již mu byl vydán certifikát (tj. opakovaně používá stejnou žádost o certifikát);  OVM žádá o certifikát se stejným veřejným klíčem, pro jaký byl vydán certifikát pro jiný OVM, viz též kapitola 6.1.6 “Generování parametrů veřejného klíče a kontrola jejich kvality”;  v žádosti o certifikát chybí IČO OVM;  IČO ve formuláři a v žádosti o certifikát jsou různá;  AIS ve formuláři není registrován v souladu se zákonem č. 365/2000 Sb.;  OVM není správcem AIS (buď není OVM uveden jako správce AIS v ISoISVS nebo je u AIS v evidenci SZR uveden jiný OVM);  kódy agend uvedené ve formuláři nejsou registrovány;  pro OVM a AIS existují v době zpracování žádosti o certifikát dva platné certifikáty;  pro OVM a AIS existuje v době zpracování žádosti o certifikát jeden platný certifikát a do konce jeho platnosti zbývá více než 3 měsíce a žadatel neoznámil RA SZR v žádosti o certifikát, že žádá, respektive bude žádat o zneplatnění předcházejícího certifikátu pro AIS;  v žádosti o certifikát se vyskytuje aspoň jeden znak s diakritickým znaménkem;  země v žádosti o certifikát je uvedena a neobsahuje hodnotu CZ;  veřejný klíč v žádosti o certifikát byl vygenerován s použitím jiného algoritmu než RSA;  veřejný klíč v žádosti o certifikát je kratší než 2048 bitů.

4.2.3 Doba zpracování žádosti o certifikát Žádost o certifikát se zpracovává bez zbytečného odkladu, zpravidla do dvou pracovních dnů.

4.3 Vydání certifikátu Pokud RA SZR nezjistí chyby v žádosti o certifikát, předá žádost ve formátu PKCS#10 na CA SZR.

4.3.1 Úkony CA v průběhu vydávání certifikátu CA SZR provede následující činnosti: a) zkontroluje obsah žádosti o certifikát z hlediska technických požadavků, jestliže zjistí, že žádost obsahuje chybné nebo nepřípustné údaje, je žádost odmítnuta a tato informace je zaslána na RA SZR; b) CA SZR vygeneruje certifikát; c) CA SZR odešle certifikát na RA SZR. CA SZR v průběhu vydání certifikátu zejména ověří, zda veřejný klíč je poskytnut v takové formě a kvalitě, jak je požadováno.

4.3.2 Oznámení o vydání certifikátu jeho držiteli Rozhodnutí o vydání certifikátu zasílá RA SZR žadateli společně s certifikátem do jeho datové schránky.

4.4 Převzetí vydaného certifikátu Certifikát je žadateli zaslán do jeho datové schránky.

4.4.1 Úkony spojené s převzetím certifikátu Žadatel o certifikát zkontroluje obsah vydaného certifikátu a zejména se ujistí, že obsahuje údaje, které uvedl v příslušné žádosti o certifikát a že veřejný klíč v certifikátu je stejný jako veřejný klíč v žádosti o certifikát. Pokud zjistí odlišnosti, oznámí to bez zbytečného odkladu RA SZR. Žadatel nainstaluje certifikát do prostředí vlastní infrastruktury. Je povoleno nainstalovat certifikát na více serverů. Doporučuje se, aby žadatel provedl zálohu klíčového páru a certifikátu.

4.4.2 Zveřejňování vydaných certifikátů poskytovatelem CA SZR nezveřejňuje údaje o vydaných certifikátech.

13 / 39


4.4.3 Oznámení o vydání certifikátu jiným subjektům Žádná opatření.

4.5 Použití párových dat a certifikátu Soukromý klíč má v certifikátech vydaných CA SZR stejnou dobu platnosti jako certifikát vydaný k jeho veřejnému klíči.

4.5.1 Použití soukromého klíče a certifikátu držitelem certifikátu Klíčový pár a certifikát k němu vydaný se smí používat pouze pro účely, pro které byl vydán. Držitel certifikátu smí používat soukromý klíč a k němu příslušející certifikát vydaný pro nějaký AIS pouze pro tento AIS a pouze po dobu, kdy je AIS v jeho správě. Nesmí soukromý klíč a k němu příslušející certifikát použít pro jiný AIS, i když jde o AIS v jeho správě. Držitel certifikátu nesmí soukromý klíč poskytnout jinému subjektu. Pokud se změní správce AIS, nesmí nový správce používat soukromý klíč ani certifikát vydaný pro původního správce, i když se jedná o stále stejný AIS. Pokud se mění správce AIS, je původní správce AIS povinen požádat o zneplatnění všech dosud platných certifikátů vydaných pro AIS. Certifikát (a soukromý klíč) je tedy vázán na AIS a jeho správce. Držitelé certifikátů mají dále za povinnost: a) chránit a držet v utajení svůj soukromý klíč; b) v co nejkratší době uvědomit RA SZR o jakémkoli podezření z vyzrazení svého soukromého klíče; c) dodržovat veškerá ustanovení, podmínky a omezení uložená touto certifikační politikou v souvislosti s užíváním soukromých klíčů a certifikátů. Držitelům certifikátů, kteří jsou usvědčeni z jednání, která jsou v přímém rozporu s touto certifikační politikou a jejími nařízeními, může být jejich certifikát zneplatněn.

4.5.2 Použití veřejného klíče a certifikátu spoléhající se stranou Spoléhající se strana má za povinnost předtím, než použije certifikát vydaný CA SZR pro AIS:  získat certifikáty používané CA SZR a Root CA SZR při vydávání certifikátů z bezpečného zdroje a ověřit otisk těchto certifikátů;  ověřit platnost certifikátů CA SZR a Root CA SZR;  AIS jako spoléhající se strana má navíc za povinnost: o v případě komunikace s ISZR ověřit platnost certifikátu vydaného CA SZR pro ISZR a ověřit, že byl skutečně vydán pro ISZR; o v případě komunikace s jiným AIS ověřit platnost certifikátu vydaného CA SZR pro jiný AIS a ověřit, že byl skutečně vydán pro příslušný AIS;  ISZR jako spoléhající se strana má navíc za povinnost: o ověřit platnost certifikátu vydaného CA SZR pro AIS a že byl skutečně vydán pro příslušný AIS; o ověřit, zda certifikát vydaný pro AIS nebyl dočasně zablokován, ISZR spravuje seznam certifikátů, které nejsou zneplatněny ani pozastaveny, ale jejich použití pro autentizaci vůči ISZR bylo zablokováno; blokování certifikátů se mj. používá jako rychlý a dočasný prostředek pro překlenutí doby mezi příjmem žádosti o zneplatnění certifikátu vydaného pro AIS a publikací seznamu zneplatněných certifikátů; AIS nemají přístup k informacím o blokovaných certifikátech.

4.6 Obnovení certifikátu CA SZR neposkytuje službu obnovení certifikátu ve smyslu vydání nového certifikátu ke stejnému klíčovému páru a se stejnými parametry, jaké měl certifikát předchozí. Žadatel o certifikát by v tomto případě opakovaně používal stejnou žádost o certifikát ve formátu PKCS#10. CA SZR neposkytuje službu obnovení certifikátu ve smyslu obnovení platnosti dříve zneplatněného certifikátu.

4.6.1 Podmínky pro obnovení certifikátu Služba se neposkytuje.

4.6.2 Subjekty oprávněné požadovat obnovení certifikátu Služba se neposkytuje.

14 / 39


4.6.3 Zpracování požadavku na obnovení certifikátu Služba se neposkytuje.

4.6.4 Oznámení o vydání obnoveného certifikátu držiteli certifikátu Služba se neposkytuje.

4.6.5 Úkony spojené s převzetím obnoveného certifikátu Služba se neposkytuje.

4.6.6 Zveřejňování vydaných obnovených certifikátů vydavatelem Služba se neposkytuje.

4.6.7 Oznámení o vydání obnoveného certifikátu jiným subjektům Služba se neposkytuje.

4.7 Výměna veřejného klíče v certifikátu Výměna veřejného klíče v certifikátu znamená vydání nového certifikátu k novému klíčovému páru v době platnosti certifikátu pro stejný předmět certifikátu (tj. existuje platný certifikát se stejným obsahem položky Subject). V tomto případě musí žadatel o certifikát vygenerovat nový klíčový pár a postupovat stejně jako při vydání prvního certifikátu pro příslušný předmět certifikátu.

4.7.1 Podmínky pro výměnu veřejného klíče v certifikátu Je zakázáno žádat o nový certifikát pro AIS, pokud do konce platnosti předcházejícího certifikátu pro tentýž OVM a AIS zbývá více času než 3 měsíce s výjimkou případu, kdy žadatel uvede v žádosti o certifikát, že žádá, respektive bude žádat o zneplatnění předcházejícího certifikátu pro AIS. Je zakázáno žádat o nový certifikát pro AIS, pokud pro OVM a AIS existují dva platné certifikáty. Dále platí stejná ustanovení, jako v kapitole 4.2. „Zpracování žádosti o certifikát“.

4.7.2 Subjekty oprávněné požadovat výměnu veřejného klíče v certifikátu Platí stejná ustanovení, jako v kapitole 4.1.1. „Subjekty oprávněné podat žádost o vydání certifikátu“.

4.7.3 Zpracování požadavku na výměnu veřejného klíče v certifikátu Platí stejná ustanovení, jako v kapitole 4.2. „Zpracování žádosti o certifikát“.

4.7.4 Oznámení o vydání certifikátu s vyměněným veřejným klíčem držiteli certifikátu Platí stejná ustanovení, jako v kapitole 4.3.2. „Oznámení o vydání certifikátu jeho držiteli“.

4.7.5 Úkony spojené s převzetím certifikátu s vyměněným veřejným klíčem Platí stejná ustanovení, jako v kapitole 4.4.1. „Úkony spojené s převzetím certifikátu“.

4.7.6 Zveřejňování vydaných certifikátů s vyměněným veřejným klíčem Platí stejná ustanovení, jako v kapitole 4.4.2. „Zveřejňování vydaných certifikátů poskytovatelem“.

4.7.7 Oznámení o vydání certifikátu s vyměněným veřejným klíčem jiným subjektům Platí stejná ustanovení, jako v kapitole 4.4.3. „Oznámení o vydání certifikátu jiným subjektům“.

4.8 Změna údajů v certifikátu CA SZR neumožňuje provést změnu údajů v platném ani neplatném certifikátu. Pokud se některý údaj v dosud platném certifikátu změnil, je OVM povinen tento fakt oznámit RA SZR a požádat o zneplatnění všech certifikátů, kterých se změna týká.

15 / 39


4.8.1 Podmínky pro změnu údajů v certifikátu Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.2 Subjekty oprávněné požadovat změnu údajů v certifikátu Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.3 Zpracování požadavku na změnu údajů v certifikátu Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.4 Oznámení o vydání certifikátu se změněnými údaji držiteli certifikátu Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.5 Úkony spojené s převzetím certifikátu se změněnými údaji Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.6 Zveřejňování vydaných certifikátů se změněnými údaji Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.8.7 Oznámení o vydání certifikátu se změněnými údaji jiným subjektům Změna údajů v platném certifikátu nebo v certifikátu zneplatněném se nepovoluje.

4.9 Zneplatnění a pozastavení platnosti certifikátu CA SZR poskytuje službu zneplatnění certifikátu, tj. ukončení jeho platnosti předtím, než uplyne jeho doba platnosti. Zneplatněný certifikát nemůže být obnoven. CA SZR neposkytuje službu pozastavení platnosti certifikátu.

4.9.1 Podmínky pro zneplatnění certifikátu Okolnosti, jejichž následkem může dojít ke zneplatnění certifikátů, jsou zejména tyto: a) věcný obsah certifikátu nebo jeho část se stane neplatným před ukončením platnosti certifikátu; b) takový pokrok v kryptoanalýze, který učiní autentizaci s využitím certifikátu nespolehlivou; c) držitel certifikátu porušil povinnosti uvedené v Certifikační politice, případně povinnosti vyplývající z této certifikační politiky, případně z jiných relevantních dokumentů (viz též kapitola 4.5.1 „Použití soukromého klíče a certifikátu držitelem certifikátu“); d) existuje důvodné podezření, že byl vyzrazen soukromý klíč; e) držitel certifikátu požádá o zneplatnění certifikátu; f) držitel certifikátu zanikl; g) změnil se správce AIS; h) dojde ke kompromitaci soukromého klíče některé certifikační autority podílející se na vydávání certifikátů, v tomto případě musí dojít k zneplatnění všech certifikátů, které byly vytvořeny s daným klíčem certifikační autority; i) certifikát je použitý při útoku na bezpečnost základních registrů; j) dojde k ukončení činnosti CA SZR; k) certifikát je používán v rozporu s certifikační politikou, podle které byl vydán; l) RA SZR obdrží v žádosti o certifikát stejný veřejný klíč, který byl certifikován pro jiný OVM (viz kapitolu 6.1.6 „Generování parametrů veřejného klíče a kontrola jejich kvality“). Kdykoli se RA SZR doví o výskytu některé z uvedených okolností, může zneplatnit příslušný certifikát a CA SZR přidá jeho identifikaci do seznamu zneplatněných certifikátů. Certifikáty zůstávají v tomto seznamu do doby vypršení jejich (původní) platnosti. Po vypršení doby jejich platnosti jsou certifikáty ze seznamu zneplatněných certifikátů odstraněny.

4.9.2 Subjekty oprávněné žádat o zneplatnění certifikátu Subjektem oprávněným žádat o zneplatnění certifikátu je pouze: a) držitel certifikátu, tj. OVM; b) určené osoby na straně provozovatele vydávající certifikační autority, tj. SZR.

16 / 39


4.9.3 Zpracování požadavku na zneplatnění certifikátu 4.9.3.1 Zneplatnění certifikátu na základě žádosti držitele certifikátu Držitel certifikátu (OVM) může o zneplatnění certifikátu požádat jedním z následujících způsobů:  zasláním vyplněného formuláře žádosti o zneplatnění certifikátu z datové schránky OVM do datové schránky SZR; ve formuláři musí být uvedeno IČO OVM a specifikace požadavku na zneplatnění: o sériové číslo certifikátu, jehož zneplatnění je požadováno, nebo o požadavek na zneplatnění všech certifikátů pro určitý AIS (jehož je OVM správcem), nebo o požadavek na zneplatnění všech certifikátů, které byly vydány na žádost OVM.  telefonicky nebo osobně s využitím hesla domluveného při vydání certifikátu; držitel musí oznámit IČO OVM a sériové číslo certifikátu, jehož zneplatnění je požadováno - v tomto případě musí OVM požadavek na zneplatnění certifikátu potvrdit zasláním vyplněného formuláře žádosti do datové schránky SZR. Součástí žádosti o zneplatnění certifikátu může být také určení důvodu zneplatnění. V případech, kdy je zneplatnění certifikátu požadováno z důvodů vyzrazení klíče nebo existujícího podezření z neoprávněného použití klíče, musí tento důvod žadatel v žádosti o zneplatnění uvést. RA SZR žádost o zneplatnění certifikátu přijme a zaeviduje ji. Pracovník RA SZR zkontroluje údaje o certifikátu. Žádost o zneplatnění certifikátu může být odmítnuta mj. z následujících důvodů:  neplatné (neznámé) číslo certifikátu;  certifikát nebyl vydán pro OVM, který požaduje zneplatnění certifikátu;  certifikát není platný - buď jeho platnost již uplynula, nebo byl již dříve zneplatněn. Pokud jsou údaje chybné nebo neúplné, RA SZR pošle do datové schránky žadatele informaci o důvodu odmítnutí žádosti. Pokud jsou údaje úplné a správné, RA SZR zablokuje přístup AIS k ISZR s použitím dotyčného certifikátu (ale zatím ho nezneplatní), oznámí to OVM zasláním zprávy do jeho datové schránky a provede jednu z následujících akcí:  pokud SZR obdržela žádost o zneplatnění certifikátu do datové schránky, zahájí řízení o zneplatnění certifikátu;  pokud SZR obdržela žádost o zneplatnění certifikátu osobně nebo telefonicky, čeká na zahájení řízení do doby, než dostane do datové schránky žádost o zneplatnění certifikátu. Pokud je výsledkem řízení o zneplatnění certifikátu rozhodnutí, že certifikát bude zneplatněn, předá RA SZR požadavek na zneplatnění certifikátu na CA SZR. Po obdržení požadavku certifikační autoritou je požadavek co nejrychleji zpracován a identifikace příslušného certifikátu je umístěna do seznamu zneplatněných certifikátů (CRL) a žadateli je datovou schránkou odesláno rozhodnutí. Pokud je výsledkem řízení o zneplatnění certifikátu rozhodnutí, že certifikát nebude zneplatněn, je povolen přístup k ISZR s použitím certifikátu a žadateli je datovou schránkou odesláno rozhodnutí.

4.9.3.2 Zneplatnění certifikátu z iniciativy SZR Pokud SZR potřebuje zneplatnit nějaký certifikát z vlastní iniciativy, postupuje takto:  pokud je nutné okamžitě zakázat používat certifikát pro přístup k ZR, zablokuje RA SZR použití certifikátu pro přístup k ZR;  informuje držitele certifikátu o zahájení procesu zneplatnění zasláním zprávy do jeho DS;  pokud důvody pro zneplatnění trvají i po případném vyjádření držitele certifikátu, RA SZR zablokuje použití certifikátu pro přístup k ZR (pokud již není zablokován), CA SZR certifikát zneplatní a RA SZR odešle informaci o zneplatnění do DS držitele certifikátu.

4.9.4 Doba odkladu požadavku na zneplatnění certifikátu CA SZR nepovoluje požadavky na odložené zneplatnění certifikátů.

4.9.5 Maximální doba pro realizaci zneplatnění certifikátu Certifikát, jehož zneplatnění je požadováno, je zneplatněn bez zbytečného prodlení, zpravidla během jednoho pracovního dne.

4.9.6 Povinnosti spoléhajících se stran při ověřování, zda byl certifikát zneplatněn Spoléhající strana je povinna ověřit, zda certifikát nebyl zneplatněn. Tato kontrola může proběhnout i automaticky, pokud je technicky taková kontrola možná nebo proveditelná. V případě, že toto ověření neproběhne a spoléhající se strana implicitně certifikátu (a tím platnosti elektronického podpisu) důvěřuje, není certifikační autorita odpovědná za případnou vzniklou škodu.

17 / 39


4.9.7 Periodicita vydávání seznamu zneplatněných certifikátů CRL jsou vydávány pravidelně bez ohledu na změny v jejich obsahu. Aktuální CRL je vydáván standardně jedenkrát za 24 hodin. CRL mohou být vydávány i častěji. V případě, že došlo ke zneplatnění certifikátu ISZR, je CRL vydán bezprostředně po zneplatnění certifikátu ISZR.

4.9.8 Maximální zpoždění při vydávání seznamu zneplatněných certifikátů Zpoždění vydání CRL je přípustné pouze v důsledku technických omezení (havárie atp.). Maximální zpoždění může být 24 hodin a nový CRL by měl být publikován do 48 hodin od vydání předcházejícího CRL.

4.9.9 Možnost ověřování statutu certifikátu on-line Služba není poskytována.

4.9.10 Požadavky při ověřování statutu certifikátu on-line Služba není poskytována.

4.9.11 Jiné způsoby oznamování zneplatnění certifikátu Služba není poskytována.

4.9.12 Případné odlišnosti postupu zneplatnění v případě kompromitace soukromého klíče Držitel certifikátu je povinen kompromitaci soukromého klíče nahlásit při žádosti o zneplatnění certifikátu.

4.9.13 Podmínky pro pozastavení platnosti certifikátu Služba není poskytována.

4.9.14 Subjekty oprávněné žádat o pozastavení platnosti certifikátu Služba není poskytována.

4.9.15 Zpracování požadavku na pozastavení platnosti certifikátu Služba není poskytována.

4.9.16 Omezení doby pozastavení platnosti certifikátu Služba není poskytována.

4.10 Služby související s ověřováním statutu certifikátu 4.10.1 Funkční charakteristiky CA SZR zveřejňuje seznam zneplatněných certifikátů (CRL).

4.10.2 Dostupnost služeb statutu certifikátu CA SZR poskytuje tuto službu nepřetržitě. CRL je publikován na tolika místech, aby i v případě výpadku jedné lokality, ve které je jedna publikace, byl CRL dostupný na aspoň jednom místě.

4.10.3 Další charakteristiky služeb statutu certifikátu Žádná opatření.

4.11 Ukončení poskytování služeb CA Pokud SZR ukončí činnost poskytovatele certifikačních služeb nebo jeho částí, bude SZR postupovat v souladu s ustanoveními článku 5.8 „Ukončení činnosti CA nebo RA“. Pokud je ukončení činnosti motivováno organizačními nebo jinými důvody, které nesouvisí s bezpečností CA SZR, pak lze certifikáty vydané CA SZR nadále používat. CA SZR ale nebude poskytovat služby spojené se zneplatňováním certifikátů. 18 / 39


4.12 Úschova soukromých klíčů u důvěryhodné třetí strany a jejich obnova CA SZR neposkytuje služby úschovy soukromých klíčů pro držitele certifikátů. Držitelé certifikátů jsou odpovědni za vytváření a uchovávání záloh svých soukromých klíčů. Jestliže dojde k vyzrazení soukromých klíčů držitelů certifikátů díky těmto kopiím, nese plnou odpovědnost za následky držitel certifikátu. RA ani CA SZR se žádným způsobem nepodílí na zálohování soukromých klíčů svých zákazníků. CA SZR vytváří záložní kopie soukromých klíčů používaných v souvislosti s vydáváním certifikátů. Uchovávání těchto kopií splňuje bezpečnostní požadavky definované touto politikou a interními bezpečnostními předpisy CA SZR.

4.12.1 Politika a postupy při úschově a obnovování soukromých klíčů Služba není poskytována.

4.12.2 Politika a postupy při zapouzdřování a obnovování šifrovacího klíče pro relaci Služba není poskytována.

19 / 39


5. Management, provozní a fyzická bezpečnost Tato kapitola shrnuje požadavky kladené na různé stránky bezpečnosti poskytovatele certifikačních služeb. Požadavky se týkají fyzické bezpečnosti (zajištění a kontrola fyzického přístupu oprávněných osob), personální bezpečnosti (požadavky kladené na zaměstnance poskytovatele certifikačních služeb) a procedurální bezpečnosti (popis činností, které jsou prováděny vně technického vybavení, tedy oprávněnými osobami).

5.1 Fyzická bezpečnost Fyzická bezpečnost se týká bezpečnosti spojené s fyzickým umístěním provozních zařízení CA a RA SZR ať již v budově nebo přímo v místnostech. Součástí fyzické bezpečnosti je i používání prostředků pro kontrolu přístupu, ať se jedná o zařízení pro ochranu prostoru kolem budovy, ochranu pláště budovy, nebo ochranu vnitřních prostor.

5.1.1 Umístění a konstrukce Prostory RA a CA SZR jsou umístěny v lokalitách, které nejsou ohroženy záplavami ani nebezpečnými průmyslovými provozy. Konstrukce budov je přiměřeně odolná přírodním podmínkám (vítr, déšť, sníh). Prostory jsou vybaveny přiměřenou ochranou proti násilnému vniknutí a proti požárům.

5.1.2 Fyzický přístup Prostory RA a CA SZR jsou chráněny před přístupem neoprávněných osob a zařízení v těchto prostorách jsou chráněna před neoprávněným použitím. Prostory RA a CA SZR jsou rozděleny na zóny s různou úrovní zabezpečení, která odpovídá citlivosti zařízení a dat, která se v těchto zónách nacházejí.

5.1.3 Elektřina a klimatizace Objekty, ve kterých jsou zařízení CA SZR umístěna, jsou vybaveny zdroji energie a klimatizací dostatečnými k tomu, aby bylo možné vytvořit stabilní pracovní prostředí zajišťující bezchybné provádění certifikačních služeb. Dodávky elektrické energie jsou zajištěny záložními napájecími zdroji a nepřerušitelnými zdroji napájení, které jsou schopny zajistit přísun elektrické energie po dobu nezbytně nutnou pro dokončení zpracování veškerých započatých činností a pro vytvoření permanentního záznamu o aktuálním stavu CA SZR.

5.1.4 Vliv vody Objekty, ve kterých jsou zařízení RA i CA SZR umístěna, jsou chráněny proti nežádoucím vlivům vody na provádění certifikačních služeb, a to podle ustanovení havarijní směrnice budovy, ve které jsou certifikační služby poskytovány.

5.1.5 Protipožární opatření a ochrana Objekty, ve kterých jsou zařízení RA i CA SZR umístěna, jsou chráněny proti nežádoucím vlivům ohně na provádění certifikačních služeb, a to podle ustanovení požární směrnice budovy, ve které jsou certifikační služby poskytovány.

5.1.6 Ukládání médií Média jsou uchovávána tak, aby nedošlo k jejich poškození či znehodnocení. Je zajištěna dostatečná spolehlivost paměťových médií, která jsou určena pro záznam a archivaci dat vzniklých při činnosti poskytovatele certifikačních služeb. Média jsou ukládána tak, aby bylo zabráněno neoprávněnému přístupu k nim.

5.1.7 Nakládání s odpady Fyzická média s neveřejnými informacemi jsou skartována odpovídajícím bezpečným způsobem včetně vymazání obsahu datových médií před jejich skartací.

5.1.8 Zálohy mimo budovu Zálohování všech dat, která jsou vytvářena během poskytování certifikačních služeb, je prováděno pravidelně způsobem popsaném v interní dokumentaci SZR. Nejméně jedna záložní kopie je fyzicky uložena odděleně od ostatních kopií. Zálohy jsou uchovávány na místech, kde jsou uplatňovány fyzické a procedurální kontroly, které odpovídají požadovanému stupni ochrany.

20 / 39


5.2 Procesní bezpečnost Tato část dokumentu specifikuje požadavky na procedurální bezpečnost, tj. požadavky na činnosti, které jsou prováděny personálem poskytovatele certifikačních služeb.

5.2.1 Důvěryhodné role Důvěryhodná role je taková role, jejíž činnost může vést k bezpečnostním problémům, pokud není prováděna správně, ať již záměrně či neúmyslně. Důvěryhodné role jsou definovány v interní dokumentaci SZR. Jedná se o role, které se účastní operací kritických pro důvěryhodnost poskytovatele certifikačních služeb a certifikátů vydávaných CA SZR. Osoby, které jsou pověřeny plněním těchto rolí, musí splňovat požadavky personální bezpečnosti. Požadavky na personální bezpečnost jsou definovány v interní dokumentaci SZR. Pro zajištění co nejvyšší bezpečnosti certifikačních služeb, jejichž provádění je v rukou zaměstnanců, jsou používány dva základní postupy: a) použití technických prostředků, které zabraňují vzniku možných chyb a vynucují používání správných postupů; b) rozdělení pravomocí tak, aby nepovolené činnosti s vlivem na bezpečnost poskytovaných služeb vyžadovaly spolupráci několika osob.

5.2.2 Počet osob požadovaných na zajištění jednotlivých činností Obvyklé činnosti v rámci certifikačních služeb jsou prováděny jednou osobou s tím, že složitější úlohy mohou být rozděleny na logické, vzájemně od sebe oddělitelné, navazující části, které vykonávají různé osoby. V interní dokumentaci SZR jsou definovány činnosti, při kterých je vyžadována účast alespoň dvou osob. Jedná se o operace kritické pro důvěryhodnost poskytovatele certifikačních služeb a certifikátů vydávaných CA SZR.

5.2.3 Identifikace a autentizace pro každou roli Každý pracovník má povolen přístup pouze k aplikacím a do prostor, které jsou nezbytné pro výkon jeho činnosti. Každý pracovník má přiděleny identifikační a autentizační údaje a prostředky, za které je osobně zodpovědný.

5.2.4 Role, vyžadující rozdělení povinností Role vyžadující rozdělení povinností jsou definovány v interní dokumentaci SZR.

5.3 Personální bezpečnost 5.3.1 Požadavky na kvalifikaci, zkušenosti a bezúhonnost Řídí se interními předpisy SZR.

5.3.2 Posouzení spolehlivosti osob Řídí se interními předpisy SZR.

5.3.3 Požadavky na přípravu pro výkon role, vstupní školení Veškerý personál zapojený do poskytování certifikačních služeb je dostatečně vyškolen. Každá osoba, která bude zajišťovat certifikační služby, absolvuje před zahájením činnosti úvodní proškolení pro práci s programovým i hardwarovým vybavením poskytovatele certifikačních služeb, operační a bezpečnostní postupy a praktické uplatňování bezpečnostních a certifikačních politik a dalších předpisů.

5.3.4 Požadavky na periodicitu školení Osoby účastnící se poskytování certifikačních služeb musí být neustále seznámeny s aktuálními předpisy týkajícími se jejich činnosti. Významná změna v PKI SZR je důvodem k provedení školení, jehož náplní jsou vzniklé změny. Významnými změnami v tomto smyslu jsou například změny programového nebo hardwarového vybavení, změny v požadavcích na bezpečnost, změny v procesech a pracovních postupech, případně další změny, které mají významný vliv na provádění certifikačních služeb.

21 / 39


5.3.5 Periodicita a posloupnost rotace pracovníků mezi různými rolemi Žádná opatření.

5.3.6 Postihy za neoprávněné činnosti zaměstnanců Postihy za porušení pracovních povinností se řídí interními předpisy SZR.

5.3.7 Požadavky na nezávislé dodavatele Vztahy s dodavateli jsou upraveny smlouvami.

5.3.8 Dokumentace poskytovaná zaměstnancům Dokumentace potřebná k provádění činností poskytovatele certifikačních služeb je poskytnuta všem osobám, kterých se týká a jejichž činnost definuje, nebo jiným způsobem ovlivňuje. Zejména se jedná o následující dokumenty:  certifikační politika;  certifikační prováděcí směrnice;  popis procesů a pracovních postupů;  technická dokumentace;  systémová bezpečnostní politika;  havarijní plány a plány obnovy a kontinuity;  pokyny a postupy pro žadatele o certifikáty a pro žadatele o zneplatnění certifikátů.

5.4 Auditní záznamy Pro potřeby auditu bezpečnosti a provozu RA a CA SZR jsou vytvářeny a uchovávány auditní záznamy o činnosti. Auditní záznamy jsou pořizovány v reálném čase po celou dobu provozu PKI SZR.

5.4.1 Typy zaznamenávaných událostí Zaznamenávány jsou tyto události:         

příjem žádosti o vydání nebo zneplatnění certifikátu; vydání nebo zneplatnění certifikátu; odeslání rozhodnutí o vydání nebo zneplatnění certifikátů; nakládání s klíčovými páry CA (export, import); generování a publikace CRL; autentizační a autorizační události na systémech, na kterých je provozována CA SZR; provedení zálohy a obnovy CA SZR; start a zastavení CA SZR; konfigurační změny CA SZR.

Další záznamy použitelné pro pozdější audit jsou popsány v kapitole 5.5 „Uchovávání informací a dokumentace“.

5.4.2 Periodicita zpracování záznamů Četnost kontroly a vyhodnocování záznamů jsou definovány v bezpečnostního incidentu se vyhodnocují okamžitě.

systémové bezpečnostní politice. V případě

5.4.3 Doba uchovávání auditních záznamů Auditní záznamy se uchovávají po dobu minimálně pěti let, horní časová hranice není omezena.

5.4.4 Ochrana auditních záznamů Auditní záznamy jsou ukládány takovým způsobem, že jsou chráněny proti krádeži, modifikaci a ztrátě vlivem technické chyby. Standardy pro bezpečnost auditních záznamů jsou definovány v systémové bezpečnostní politice.

5.4.5 Postupy pro zálohování auditních záznamů Auditní záznamy jsou zálohovány takovým způsobem, že je zajištěna jejich dostupnost, důvěrnost a integrita. Je zajištěno vytvoření dvou kopií uložených v různých lokalitách. Standardy pro zálohování auditních záznamů jsou definovány v systémové bezpečnostní politice. 22 / 39


5.4.6 Systém shromažďování auditních záznamů (interní nebo externí) Systém shromažďování záznamů je z hlediska PKI SZR interní, tj. události se zaznamenávají v rámci prostředí PKI SZR.

5.4.7 Postup při oznámování události subjektu, který ji způsobil SZR zpravidla neoznamuje události subjektům, které tuto událost způsobily.

5.4.8 Hodnocení zranitelnosti Průběžné hodnocení zranitelnosti PKI SZR je prováděno během analýzy záznamů a protokolů o činnosti RA a CA. Vyšetřovány jsou veškeré události, které by mohly vést k narušení bezpečnosti. Pokud dojde k narušení bezpečnosti, tj. dojde k bezpečnostnímu incidentu, je výskyt incidentu oznámen bezpečnostnímu manažerovi SZR, který řídí vyšetřování incidentu, a který navrhne nápravná opatření. Jsou definovány postupy pro vyšetřování bezpečnostních událostí a bezpečnostních incidentů. Zranitelnosti jsou přezkoumávány v rámci analýzy rizik PKI SZR.

5.5 Uchovávání informací a dokumentace Uchovávání a archivace jsou v této kapitole synonyma.

5.5.1 Typy informací a dokumentace, které se uchovávají Následující informace jsou zaznamenány a uloženy do archivu na počátku fungování certifikační autority: a) vygenerování prvních klíčových párů pro CA SZR a root CA SZR; b) konfigurační soubory programového vybavení certifikačních autorit; c) provozní a bezpečnostní dokumenty PKI SZR, především certifikační politika a certifikační prováděcí směrnice; d) jakékoli smluvní dokumenty, zavazující danou certifikační autoritu. Následující skupiny informací jsou zaznamenány a archivovány po celou dobu provádění certifikačních služeb: a) generování dalších klíčových párů pro CA SZR a root CA SZR; b) zničení klíčových párů pro CA SZR nebo root CA SZR; c) aktualizované provozní a bezpečnostní dokumenty PKI SZR, především certifikační politika, certifikační prováděcí směrnice a systémová bezpečnostní politika; d) změny konfiguračních souborů programového vybavení certifikačních autorit; e) vydané certifikáty; f) vydané seznamy zneplatněných certifikátů (CRL); g) záznamy o obsazení rolí; h) další data, případně aplikace, které umožní pozdější kontrolu obsahu archivu. Jsou vytvářeny minimálně dvě kopie každého archivu. Informace jsou zaznamenávány v rámci CA, případně RA.

5.5.2 Doba uchovávání uchovávaných informací a dokumentace Informace a dokumentace se uchovávají buď v elektronické nebo písemné podobě, případně v obojí. Doba archivace všech informací a dokumentace je nejméně pět let. Archivace v elektronické podobě je prováděna na média, pro která výrobce zaručuje minimální dobu čitelnosti rovnou době archivace. Pokud je stanovená doba archivace větší než doba čitelnosti dostupných médií, je každý archiv překopírován na nové médium před uplynutím garantované doby čitelnosti média.

5.5.3 Ochrana úložiště uchovávaných informací a dokumentace Žádný neoprávněný subjekt nemůže zapisovat, modifikovat nebo odstraňovat informace v archivu. Obsah archivu nesmí být zveřejněn jako celek ani po částech, pokud tak nevyžadují zákonná ustanovení. Archivní média a písemné záznamy jsou uloženy na bezpečném místě. Zabezpečení se řídí systémovou bezpečnostní politikou.

5.5.4 Postupy při zálohování uchovávaných informací a dokumentace Postupy při zálohování informací a dokumentace jsou definovány v interní systémové bezpečnostní politice.

23 / 39


5.5.5 Požadavky na použití časových razítek při uchovávání informací a dokumentace Každý archiv (tj. skupina informací archivovaná společně) je opatřena běžným časovým údajem. V žádném případě se nejedná o standardní časové razítko vydané nějakou Autoritou časových značek.

5.5.6 Systém shromažďování uchovávaných informací a dokumentace (interní a externí) Systém shromažďování informací a dokumentace je z hlediska PKI SZR interní, tj. informace a dokumentace se zaznamenávají v rámci prostředí PKI SZR. Archivy jsou vytvářeny buď manuálně, nebo automaticky. Automatické vytváření archivu je prováděno programovým vybavením jednotlivých subjektů v průběhu činnosti PKI SZR.

5.5.7 Postupy pro získání a ověření uchovávaných informací a dokumentace Informace a dokumentace jsou zabezpečeny proti neoprávněnému přístupu. Přístup mají pouze pověření pracovníci SZR. Jiné subjekty pouze na základě písemného povolení ředitele SZR.

5.6 Výměna veřejného klíče v nadřízeném systémovém certifikátu poskytovatele CA SZR užívá vlastní podpisový klíč pro vytváření certifikátů. Držitelé certifikátu užívají certifikát certifikační autority po celou dobu životnosti certifikátů, které byly příslušným privátním klíčem CA podepsány. Proto je zajištěno, že CA nevydá certifikát, který by svojí platností přesahoval dobu platnosti certifikátu CA. Aby byla zajištěna co nejvyšší důvěryhodnost činnosti poskytovatele certifikačních služeb, jsou soukromé (podepisovací) klíče CA SZR obměňovány v přiměřených časových intervalech. Za normální situace vydá Root CA SZR jeden rok před známým nebo plánovaným koncem platnosti klíče používaného CA SZR k podepisování vydávaných certifikátů nový certifikát. V případě změn v oblasti bezpečnosti elektronického podpisu, může být tato doba zkrácena. V dostatečném předstihu (pro zveřejnění nového certifikátu) je stávající podepisovací klíč CA SZR použit k žádosti o certifikát k veřejnému klíči nového klíčového páru CA SZR. Nový veřejný klíč CA SZR je zveřejněn. Přesný postup vychází z ustanovení RFC 4210. Po ukončení platnosti je podepisovací klíč CA SZR zničen a o zničení je proveden záznam.

5.7 Obnova po havárii nebo kompromitaci SZR má vypracované plány pro případ havárie CA SZR i pro případ kompromitace soukromého klíče CA SZR.

5.7.1 Postup v případě incidentu a kompromitace Postup v případě incidentu a kompromitace je definován interními plány SZR pro zvládání krizových situací.

5.7.2 Poškození výpočetních prostředků, software nebo dat V případě, že dojde k poškození výpočetních prostředků, software nebo dat, zajistí CA SZR kontinuitu činnosti podle interních plánů kontinuity. Dále provede CA SZR obnovu stavu prostředků CA SZR do původního stavu podle interních plánů obnovy.

5.7.3 Postup při kompromitaci soukromého klíče poskytovatele V případě, že dojde ke kompromitaci podepisovacího klíče CA SZR nebo k důvodnému podezřeni z jeho kompromitace:  CA SZR ukončí vydávání certifikátů s použitím kompromitovaného klíče;  nadřízená certifikační autorita zneplatní podepisovací certifikát CA SZR; Dalším krokem je zneplatnění všech aktuálně platných certifikátů, které byly podepsány kompromitovaným klíčem.  SZR informuje o zneplatnění držitele zneplatněných certifikátů;  potom může CA SZR vygenerovat nový klíčový pár a požádat o certifikaci veřejného klíče nadřízenou autoritou (tj. Root CA SZR);  SZR vydá certifikáty všem klientům, jejichž certifikáty byly zneplatněny; použije přitom původní žádosti o certifikát. Následně se SZR pokusí zjistit způsob, jakým došlo k prozrazení podpisového klíče a přijme nápravná opatření. 24 / 39


Za kompromitaci podepisovacího klíče CA SZR se považuje i situace, kdy dojde k takovému pokroku v oblasti kryptoanalýzy nebo IT, že bude ohrožena bezpečnost vydávaných certifikátů.

5.7.4 Schopnost obnovit činnost po havárii Platí ustanovení článku 5.7.2 „Poškození výpočetních prostředků, software nebo dat“.

5.8 Ukončení činnosti CA nebo RA 5.8.1 Ukončení činnosti CA Pokud je ukončení činnosti CA SZR motivováno organizačními hledisky nebo jinými důvody, které nesouvisí s bezpečností CA SZR, pak lze certifikáty vydané CA SZR nadále používat (dle uvážení držitelů certifikátů). V takovém případě provede SZR následující akce:  informuje o situaci na svých webových stránkách;  ukončí vydávání certifikátů;  provede audit PKI SZR;  zničí podepisovací klíče CA SZR a o zničení provede záznam;  archivuje veškeré relevantní informace.

5.8.2 Ukončení činnosti RA Ukončení činnosti RA SZR znamená v případě PKI SZR i ukončení činnosti CA SZR. Postup je tedy stejný jako v kapitole 5.8.1 „Ukončení činnosti CA“.

25 / 39


6. Technická bezpečnost 6.1 Generování a instalace párových dat Klíčové páry, zvláště podepisovací klíče jsou nejcitlivějším aktivem poskytovatele certifikačních služeb. Tato jejich pozice si vynucuje zvláštní opatření zajišťující jejich bezpečnost.

6.1.1 Generování párových dat Tato certifikační politika nevylučuje žádný způsob generování dvojice klíčů, jestliže jsou dodrženy příslušné bezpečnostní požadavky. Předpokládá se, že klíče jsou generovány způsobem, který je pod kontrolou jejich budoucího držitele, nebo způsobem, který zajišťuje uchování soukromých klíčů v tajnosti. To platí pro generování klíčů jak na straně žadatelů o certifikát, tak na straně SZR. Konkrétní postup pro generování dvojice klíčů pro podepisování vydaných certifikátů a popis použitých technických prostředků je uveden v interní technické dokumentaci CA SZR.

6.1.2 Předání soukromého klíče držiteli certifikátu Tato certifikační politika předpokládá, že soukromé klíče jsou generovány žadatelem o certifikát, tzn., že žádné doručování není prováděno.

6.1.3 Předání veřejného klíče poskytovateli certifikačních služeb Veřejný klíč je RA SZR předáván žadatelem o certifikát elektronicky doručením souboru ve formátu PKCS#10 do datové schránky SZR.

6.1.4 Poskytování veřejných klíčů certifikační autoritou spoléhajícím se stranám CA SZR neposkytuje veřejné klíče držitelů certifikátů spoléhajícím se stranám. Veřejné klíče certifikačních autorit SZR potřebné pro ověřování certifikátů vydaných CA SZR je možné získat následujícími způsoby:  zasláním žádosti na mailovou adresu [email protected];  na adresách SZR v Internetu a v CMS.

6.1.5 Délky párových dat Pro generování klíčů certifikačních autorit v hierarchii PKI SZR se používá algoritmus RSA a délky klíčů 2048 bitů a delší. Klíče žadatelů o certifikát musí být vygenerovány s použitím algoritmu RSA s minimální délkou klíče 2048 bitů.

6.1.6 Generování parametrů veřejného klíče a kontrola jejich kvality Parametry algoritmů používaných CA SZR pro vytváření certifikátů veřejných klíčů jsou generovány a testovány v souladu s normami, které se vztahují k příslušným kryptografickým algoritmům. CA SZR kontroluje veřejné klíče v žádostech o vydání certifikátu: 

pokud obdrží klíč, který je již použitý v jiném certifikátu vydaném CA SZR, je žádost odmítnuta a žadatel je vyzván o podání nové žádosti s jiným veřejným klíčem;



pokud byl certifikát se stejným veřejným klíčem vydán jinému držiteli (OVM), než je žadatel o certifikát, je vydaný certifikát zneplatněn z iniciativy SZR a jeho držitel je o tom informován a vyzván k podání nové žádosti s jiným veřejným klíčem;



pokud byl certifikát se stejným veřejným klíčem vydán stejnému držiteli, jako je žadatel o certifikát, zůstane vydaný certifikát v platnosti.

6.1.7 Omezení pro použití veřejného klíče Omezení jsou definována v kapitole 1.4 „Použití certifikátů“.

26 / 39


6.2 Ochrana soukromého klíče a bezpečnost kryptografických modulů 6.2.1 Standardy a podmínky používání kryptografických modulů Generování párových dat určených pro vydávání certifikátů CA SZR probíhá v prostředí, které splňuje požadavky standardu FIPS PUB 140-2 třídy 2.

6.2.2 Sdílení tajemství Žádná opatření.

6.2.3 Úschova soukromého klíče Soukromý klíč pro podepisování certifikátů vydávaných CA SZR je uchováván tak, aby bylo možné jeho použití, a je současně chráněn proti zneužití neoprávněným subjektem. Konkrétní způsob zajištění bezpečnosti soukromého klíče pro podepisování certifikátů vydávaných CA SZR je v interní dokumentaci CA SZR. CA SZR neposkytuje službu pro úschovu soukromých klíčů jiných subjektů.

6.2.4 Zálohování soukromého klíče PKI SZR vytváří záložní kopie soukromých klíčů všech certifikačních autorit SZR pro případ výjimečných událostí, či přírodních katastrof. Uchovávání všech kopií splňuje stejné bezpečnostní požadavky jako uložení originálu. Zálohy klíčového páru jsou chráněny heslem, uloženy na bezpečném místě a přístup k nim zajištěn režimovými omezeními. Držitelé certifikátů vydaných CA SZR si mohou vytvářet zálohy svých soukromých klíčů vlastními prostředky. Jestliže dojde k vyzrazení soukromých klíčů díky těmto kopiím, nese plnou odpovědnost za následky držitel certifikátu. CA SZR se žádným způsobem nepodílí na zálohování soukromých klíčů držitelů certifikátů, které vydala.

6.2.5 Archivace soukromého klíče Soukromé klíče určené pro podepisování vydaných certifikátů nejsou CA SZR archivovány po uplynutí doby jejich platnosti. Naopak jsou zničeny všechny jejich kopie a je o tom vyhotoven protokol. CA SZR neposkytuje službu pro archivaci soukromých klíčů jiných subjektů.

6.2.6 Transfer soukromého klíče do/z kryptografického modulu Klíčový pár pro CA SZR je vygenerován v kryptografickém modulu. Veřejný klíč CA SZR je podepsán vydávající kořenovou CA SZR a publikován do prostředí CA SZR jako certifikát CA dle normy X.509. Klíčový pár CA SZR je vyexportován (veřejný klíč ve formě digitálního certifikátu a soukromý klíč) z kryptografického modulu a uložen ve dvou kopiích na záložní média. Zašifrované zálohy klíčů CA (chráněné dostatečně silným heslem) jsou uloženy na bezpečném místě. Klíčový pár CA SZR je z kryptografického modulu vymazán. Klíčový pár CA SZR je do kryptografického modulu opět importován s tím, že soukromý klíč je označen jako neexportovatelný.

6.2.7 Uložení soukromého klíče v kryptografickém modulu Soukromý klíč CA SZR je v kryptografickém modulu označen jako neexportovatelný.

6.2.8 Postup při aktivaci soukromého klíče Soukromý klíč CA SZR je aktivován automaticky při startu software CA SZR.

6.2.9 Postup při deaktivaci soukromého klíče Soukromý klíč CA SZR je deaktivován automaticky při zastavení software CA SZR.

6.2.10 Postup při zničení soukromého klíče Soukromý klíč je z kryptografického modulu vymazán a jsou fyzicky zničeny všechny jeho kopie.

6.2.11 Hodnocení kryptografických modulů Hodnocení kryptografických modulů vychází z požadavků standardu FIPS PUB 140-2.

27 / 39


6.3 Další aspekty správy párových dat 6.3.1 Archivace veřejných klíčů CA SZR archivuje vydané certifikáty.

6.3.2 Maximální doba platnosti certifikátu a párových dat Maximální doba platnosti certifikátu vydaného žadateli o certifikát je 3 roky. Doba platnosti klíčového páru je stejná jako doba platnosti certifikátu příslušného certifikovaného veřejného klíče.

6.4 Aktivační data CA SZR nepoužívá žádná aktivační data k aktivaci soukromého klíče, kterým CA SZR podepisuje vydávané certifikáty a vydávané CRL.

6.4.1 Generování a instalace aktivačních dat Žádná opatření.

6.4.2 Ochrana aktivačních dat Žádná opatření.

6.4.3 Ostatní aspekty aktivačních dat Žádná opatření.

6.5 Počítačová bezpečnost 6.5.1 Specifické technické požadavky na počítačovou bezpečnost Veškeré programové vybavení CA SZR používá chráněný operační systém, který zabraňuje pokusům o uvolnění bezpečnostních mechanismů a zaznamenává je ve formě auditních záznamů. Operační systém vyžaduje identifikaci a autentizaci každého uživatele.

6.5.2 Hodnocení počítačové bezpečnosti Vybavení certifikační autority užívané pro certifikační služby pracuje na platformách s operačním systémem, který je dostatečným způsobem zabezpečen dle požadavků příslušných standardů a „Best Practices“.

6.6 Bezpečnost životního cyklu Technické vybavení CA SZR je určeno pouze pro provoz CA. Nejsou na něm provozovány žádné jiné aplikace.

6.6.1 Řízení vývoje systému PKI SZR byla implementována podle systémové bezpečnostní politiky a podle téže politiky je prováděn i další rozvoj PKI SZR.

6.6.2 Kontroly řízení bezpečnosti Kontroly bezpečnosti provádí pracovníci SZR nepřetržitě. Využívají přitom monitorovací a auditovací nástroje. Pracovníci SZR vyhodnocují pravidelně auditní záznamy.

6.6.3 Řízení bezpečnosti životního cyklu Bezpečnosti životního cyklu PKI SZR je řízena na základě procesního přístupu. Veškeré změny v PKI SZR jsou zhodnoceny z hlediska bezpečnosti před jejich implementací.

28 / 39


6.7 Síťová bezpečnost Servery CA SZR jsou umístěny v zabezpečeném segmentu počítačové sítě a přístup k nim je řízen a kontrolován na síťové úrovni. Na serverech CA SZR je aktivní pouze takový síťový software, který je nutný pro provoz CA. Programové vybavení všech CA v rámci PKI SZR bylo nakonfigurováno off-line. Síťová bezpečnost se řídí systémovou bezpečnostní politikou.

6.8 Časová razítka Certifikační politika CA SZR neřeší problematiku časových razítek. CA SZR takovou službu nenabízí.

29 / 39


7. Profily certifikátu, seznamu zneplatněných certifikátů a OCSP 7.1 Profil certifikátu 7.1.1 Položky certifikátu 7.1.1.1 Version „3“ Hodnotu definuje CA SZR.

7.1.1.2 Serial number Unikátní číslo certifikátu v rámci vydávající CA. Hodnotu definuje CA SZR.

7.1.1.3 Signature algorithm „sha256RSA“ Hodnotu definuje CA SZR.

7.1.1.4 Issuer Identifikace CA, která certifikát vydala. CN = „ISZR AIS CA“ O = „SZR CR“ L = „Praha“ C = „CZ“ Hodnotu definuje CA SZR.

7.1.1.5 Validity Doba platnosti certifikátu. Not before - Vydávající CA dosadí čas vydání certifikátu. Not after - Vydávající CA dosadí čas vydání certifikátu plus 3 roky. CA SZR při vydávání certifikátu nepřekročí dobu platnosti použitého podepisovacího klíče CA.

7.1.1.6 Subject Předmět certifikátu. Identifikuje subjekt (AIS), kterému se certifikát vydává. CN = Označení serveru. CA SZR dosadí hodnotu z žádosti o certifikát. SZR doporučuje uvádět ve tvaru DNS jména, např. server.ovm.cz O = IČO OVM. CA SZR dosadí hodnotu z žádosti o certifikát. Musí být uvedeno IČO správce AIS. OU = Označení AIS v ISoISVS. CA SZR dosadí hodnotu z žádosti o certifikát. ST = Označení (jméno) OVM. CA SZR dosadí hodnotu z žádosti o certifikát. SZR doporučuje uvádět ve tvaru: Sprava zakladnich registru L = Adresa OVM. CA SZR dosadí hodnotu z žádosti o certifikát. SZR doporučuje uvádět ve tvaru: Obec=Praha,Ulice=Milady Horakove,PSC=12345 C = Země. CA SZR dosadí hodnotu z žádosti o certifikát. Pokud je uvedena, musí být hodnota CZ.

7.1.1.7 Subject Public key info Informace o veřejném klíči. Algorithm - CA SZR dosadí hodnotu rsaEncryption. 30 / 39


SubjectPublicKey - CA SZR dosadí veřejný klíč RSA z žádosti o certifikát.

7.1.1.8 Signature CA SZR dosadí podpis vydaného certifikátu provedený s použitím soukromého klíče CA SZR.

7.1.2 Číslo verze CA SZR vydává certifikáty podle normy X.509 verze 3.

7.1.3 Rozšiřující položky certifikátu Soukromý klíč má v certifikátech vydaných CA SZR stejnou dobu platnosti jako certifikát vydaný k jeho veřejnému klíči.

7.1.3.1 Authority key identifier Identifikace klíče CA SZR. Obsah pole „Subject key identifier‟ certifikátu, kterým CA SZR certifikát podepsala. Hodnotu definuje CA SZR.

7.1.3.2 Subject key identifier Identifikace předmětu, pro který byl certifikát vydán. Hodnotu definuje CA SZR.

7.1.3.3 CRL Distribution Points Distribuční místa seznamu odvolaných certifikátů. Definuje URL, na kterých lze CRL získat. Hodnotu definuje CA SZR.

7.1.3.4 Key usage Použití klíče. „Digital Signature“ – autentizace pomocí digitálního podpisu. „Key Encipherment“ – šifrování klíčů pro navázání bezpečného spojení. Hodnotu definuje CA SZR.

7.1.3.5 Enhanced key usage Rozšířené použití klíče. „Server Authentication“ – autentizace serveru. „Client Authentication“ – autentizace klienta. Hodnotu definuje CA SZR.

7.1.3.6 Authority information access Distribuční místa certifikátu CA, která certifikát vydala. Definuje URL, na kterých lze certifikát získat. Hodnotu definuje CA SZR.

7.1.3.7 Certificate template name Označení šablony, podle které byl certifikát vydán. Hodnotu definuje CA SZR.

7.1.3.8 Application policies Politiky aplikování. „Server Authentication“ – autentizace serveru. „Client Authentication“ – autentizace klienta. Hodnotu definuje CA SZR.

7.1.4 Objektové identifikátory (OID) algoritmů Pro vydávání certifikátů se používá schéma sha256WithRSAEncryption (OID 1.2.840.113549.1.1.11).

7.1.5 Způsoby zápisu jmen a názvů Všechny názvy a texty se uvádí bez diakritiky. Viz kapitolu 3.1.4 „Pravidla pro interpretaci různých forem jmen“.

7.1.6 Omezení jmen a názvů Omezení pro jméno subjektu jsou popsána v kapitole 3.1.5 „Jedinečnost jmen“. 31 / 39


7.1.7 OID Certifikační politiky OID je uvedeno v kapitole 1.2 „Název a identifikace dokumentu“. V certifikátech vydávaných CA SZR se nepoužívá.

7.1.8 Rozšiřující položka „Policy Constraints“ V certifikátech vydávaných CA SZR se nepoužívá.

7.1.9 Syntaxe a schémata rozšiřující položky „Policy Qualifiers“ V certifikátech vydávaných CA SZR se nepoužívá.

7.1.10 Způsob zápisu kritické rozšiřující položky „Certificate Policies“ V certifikátech vydávaných CA SZR se nepoužívá.

7.2 Profil CRL 7.2.1 Položky CRL 7.2.1.1 Version „2“ Hodnotu definuje CA SZR.

7.2.1.2 Signature algorithm „sha256RSA“ Hodnotu definuje CA SZR.

7.2.1.3 Issuer Identifikace CA, která CRL vydala. CN = „ISZR AIS CA“ O = „SZR CR“ L = „Praha“ C = „CZ“ Hodnotu definuje CA SZR.

7.2.1.4 This update CA SZR dosadí čas vydání CRL.

7.2.1.5 Next update CA SZR dosadí předpokládaný čas vydání příštího CRL.

7.2.1.6 Revoked certificates CA SZR dosadí seznam zneplatněných certifikátů. Může být prázdný.

7.2.2 Rozšiřující položky CRL a záznamů v CRL 7.2.2.1 Authority key identifier Hash, tj. obsah pole „Subject key identifier‟ certifikátu, kterým vydávající CA CRL podepsala. Hodnotu definuje CA SZR.

7.2.2.2 CRL number Pořadové číslo seznamu zneplatněných certifikátů. Hodnotu definuje CA SZR.

7.2.2.3 Delta CRL indicator Rozšíření informuje o tom, že jde o rozdílový seznam zneplatněných certifikátů. Hodnotu dosadí CA SZR v případě, že jde o rozdílový seznam zneplatněných certifikátů.

32 / 39


7.2.3 Rozšiřující položky záznamů v CRL Jde o nepovinná rozšíření k jednotlivým zneplatněným certifikátům. Nemusí být uvedena.

7.2.3.1 Reason code Může obsahovat důvod zneplatnění certifikátu.

7.2.3.2 Invalidity date Může obsahovat čas, kdy RA SZR byla nahlášena kompromitace soukromého klíče, příslušejícího ke zneplatněnému certifikátu.

7.3 Profil OCSP Služba OCSP není poskytována.

7.3.1 Číslo verze Služba OCSP není poskytována.

7.3.2 Rozšiřující položky OCSP Služba OCSP není poskytována.

33 / 39


8. Hodnocení shody a jiné audity 8.1 Periodicita hodnocení nebo okolnosti pro provedení hodnocení O provedení auditu PKI SZR rozhoduje ředitel SZR. Provádí se v případě vážného bezpečnostního incidentu, v případě významných změn v oblasti kryptografie, v případě významných změn uvnitř SZR a dále podle potřeby.

8.2 Identita a kvalifikace auditora Auditor musí mít prokazatelnou praxi a kvalifikaci v oblasti bezpečnosti informačních technologií. V oblasti kvalifikace se vyžaduje vlastnictví některé z následujících certifikací: a) CISA; b) CRISC; c) CISSP.

8.3 Vztah auditora k hodnocenému subjektu Auditor se nesmí podílet na provozu PKI SZR.

8.4 Hodnocené oblasti Hodnocenými oblastmi jsou zejména: a) certifikační politika CA; b) ostatní navazující bezpečnostní dokumentace; c) uplatňování ustanovení CP a ostatní navazující bezpečnostní dokumentace; d) technické aspekty provozu CA SZR; e) generování klíčových párů pro podepisování vydávaných certifikátů; f) nakládání s klíčovými páry pro podepisování vydávaných certifikátů (export, import, záloha); g) všechny činnosti, související s životním cyklem certifikátů; h) generování, publikace a update CRL; i) všechny procesní záležitosti, update politik a předpisové základny; j) identifikační, autentizační a autorizační mechanismy pro přístup k CA a RA SZR.

8.5 Postup v případě zjištění nedostatků Jakékoli neshody s bezpečnostní dokumentací musí být zdokumentovány, předloženy SZR a musí být zjednána náprava. SZR upraví nastavení a/nebo postupy a příslušnou dokumentaci.

8.6 Sdělování výsledků hodnocení Výsledek auditu je sdělován řediteli SZR v písemné formě bez zbytečného prodlení po ukončení auditu.

34 / 39


9. Ostatní obchodní a právní náležitosti 9.1 Poplatky Žadatelům o certifikát ani žadatelům o zneplatnění certifikátu SZR neúčtuje žádné poplatky.

9.1.1 Poplatky za vydání nebo obnovení certifikátu Žádná opatření.

9.1.2 Poplatky za přístup k certifikátu na seznamu vydaných certifikátů Žádná opatření.

9.1.3 Poplatky za informace o statutu certifikátu nebo o zneplatnění certifikátu Žádná opatření.

9.1.4 Poplatky za další služby Žádná opatření.

9.1.5 Jiná ustanovení týkající se poplatků Žádná opatření.

9.2 Finanční odpovědnost SZR není finančně nijak odpovědná uživatelům certifikátů vydaných CA SZR.

9.2.1 Krytí pojištěním Žádná opatření.

9.2.2 Další aktiva a záruky Žádná opatření.

9.2.3 Pojištění nebo krytí zárukou pro koncové uživatele Žádná opatření.

9.3 Citlivost obchodních informací 9.3.1 Výčet citlivých informací Za citlivé informace SZR považuje zejména:  soukromé klíče všech certifikačních autorit SZR používané při vydávání certifikátů;  certifikační prováděcí směrnici;  technickou dokumentaci PKI SZR;  interní systémovou bezpečnostní politiku a havarijní plány;  žádosti o vydání certifikátů (formuláře i vlastní technické žádosti), žádosti o zneplatnění certifikátů;  rozhodnutí o vydání certifikátů (formuláře i vydané certifikáty), rozhodnutí o zneplatnění certifikátů.  auditní záznamy;  veškeré osobní údaje.

9.3.2 Informace mimo rámec citlivých informací Jde o informace, které nejsou přímo označeny jako důvěrné či neveřejné a mohou být zveřejněny.

9.3.3 Odpovědnost za ochranu citlivých informací Za ochranu citlivých informací je zodpovědný každý, kdo se z pověření SZR podílí na provozu PKI SZR. 35 / 39


9.4 Ochrana osobních údajů 9.4.1 Politika ochrany osobních údajů Politika ochrany osobních údajů se řídí platnou legislativou.

9.4.2 Osobní údaje Definice osobních údajů vychází z platné legislativy.

9.4.3 Údaje, které nejsou považovány za citlivé Za citlivé nejsou považovány ty osobní údaje, k jejichž zveřejnění dala osoba svolení.

9.4.4 Odpovědnost za ochranu osobních údajů Za ochranu osobních údajů je zodpovědný každý, kdo se z pověření SZR podílí na provozu PKI SZR.

9.4.5 Oznámení o používání důvěrných informací a souhlas s používáním citlivých informací Pokud nějaký subjekt uvede v žádosti o certifikát osobní údaje, dává tím SZR právo je používat pro interní potřebu v souvislosti s vydáváním a správou certifikátů.

9.4.6 Poskytování citlivých informací pro soudní nebo správní účely Poskytovatel certifikačních služeb nezpřístupní žádné certifikáty nebo informace spojené s certifikáty třetím stranám, mimo strany: a) jež jsou jmenovány v certifikační politice; b) které požadují zpřístupnění těchto informací v souladu se zákonnými ustanoveními; c) stranám, autorizovaným vlastníkem těchto informací v případech, kdy jsou tyto informace potřebné pro ověření obsahové správnosti certifikátu.

9.4.7 Jiné okolnosti zpřístupňování osobních údajů Řídí se platnou legislativou.

9.5 Práva duševního vlastnictví Certifikáty CA SZR a root CA SZR a jim odpovídající soukromé klíče, certifikační politika, certifikační prováděcí směrnice a veškeré dokumenty související s provozem PKI jsou chráněny autorskými právy. Autorskými právy jsou chráněny i veřejně dostupné informace publikované SZR v souvislosti s provozem PKI SZR, např. obsah příslušných webových stránek.

9.6 Zastupování a záruky 9.6.1 Zastupování a záruky RA SZR zaručuje, že bude vydávat a odvolávat certifikáty v souladu s touto certifikační politikou.

9.6.2 Zastupování a záruky CA SZR zaručuje, že bude vydávat a odvolávat certifikáty v souladu s touto certifikační politikou.

9.6.3 Zastupování a záruky držitele certifikátu Žádná opatření.

9.6.4 Zastupování a záruky spoléhajících se stran Žádná opatření.

36 / 39


9.6.5 Zastupování a záruky ostatních zúčastněných subjektů Žádná opatření.

9.7 Zřeknutí se záruk Žádná opatření.

9.8 Omezení odpovědnosti Odpovědnost SZR je vymezena platnou legislativou a touto CP.

9.9 Odpovědnost za škodu, náhrada škody Žádná opatření.

9.10 Doba platnosti a ukončení platnosti 9.10.1 Doba platnosti Doba platnosti certifikační politiky je od data platnosti do doby, než nastane některá z událostí specifikovaná v kapitole 9.10.2 „Ukončení platnosti“.

9.10.2 Ukončení platnosti Ukončení platnosti této certifikační politiky nastává: a) nabytím platnosti nové verze CP; b) rozhodnutím ředitele SZR; c) ukončením činnosti CA SZR.

9.10.3 Důsledky ukončení a přetrvávání závazků Žádná opatření.

9.11 Komunikace mezi zúčastněnými subjekty Pro komunikaci se subjekty, které využívají služeb PKI SZR, se používají datové schránky, osobní komunikace, email, telefon, fax, portál SZR.

9.12 Změny Chyby, návrhy upřesnění nebo doporučené změny této certifikační politiky (CP) musí být od třetích stran hlášeny na komunikační kontakty, uvedené na webových stránkách SZR http://www.szrcr.cz. Taková hlášení musí obsahovat popis navrhované změny, její zdůvodnění a kontaktní informace na osobu požadující danou změnu.

9.12.1 Postup při změnách SZR navrhované změny posoudí a v případě jejich akceptace je zařadí do příští verze CP.

9.12.2 Postup při oznamování změn Nová verze CP bude oznámena a publikována na webových stránkách Správy základních registrů ČR http://www.szrcr.cz

9.12.3 Okolnosti, za kterých musí být změněn OID V případě vydání nové verze CP jí musí být přiděleno nové OID. OID této Certifikační politiky nejsou registrovány, protože odkazy na ně se nevyskytují ve vydávaných certifikátech.

37 / 39


9.13 Řešení sporů Držitelé certifikátů se v případě sporů obrátí na RA SZR.

9.14 Rozhodné právo V souvislosti s výklady a platností této certifikační politiky budou uplatňovány právní normy České republiky.

9.15 Shoda s právními předpisy Činnost CA SZR podle této certifikační politiky je v souladu s právními normami České republiky.

9.16 Další ustanovení 9.16.1 Rámcová dohoda Žádná opatření.

9.16.2 Postoupení práv Žádná opatření.

9.16.3 Oddělitelnost ustanovení Tato certifikační politika platí jako celek a oddělitelnost jednotlivých jejích ustanovení se nepřipouští.

9.16.4 Zřeknutí se práv Žádná opatření.

9.16.5 Vyšší moc Žádná opatření.

9.17 Další opatření Žádná opatření.

38 / 39


10. Závěrečná ustanovení Tato certifikační politika je platná od data platnosti, které je v ní uvedeno. Počínaje dnem platnosti vydává a odvolává CA SZR certifikáty podle této politiky.

39 / 39

Certifikační politika Správy základních registrů pro certifikáty vydávané pro AIS

Recommend Documents