國家現(xiàn)代服務業(yè)服務交互支撐平臺

國家現(xiàn)代服務業(yè)服務交互支撐平臺國家現(xiàn)代服務業(yè)服務交互支撐平臺CA安全認證共性服務中國國際電子商務中心國家現(xiàn)代服務業(yè)服務交互支撐平臺課題組CA電子認證業(yè)務規(guī)則V2.0名目TOC\o"1-5"\h\z國家現(xiàn)代服務業(yè)服務交互支撐平臺 0CA安全認證共性服務 01概括性描述 71.1概述 71.1.1證書類別 71.1.2證書分發(fā)服務 91.2文檔名稱與標識 91.3電子認證活動參與方及其職責 101.3.1電子認證服務機構 101.3.2注冊機構 111.3.3訂戶 121.3.4依靠方 121.3.5其他參與者 121.4證書應用 121.4.1適合的證書應用 121.4.2限制的證書應用 121.5策略治理 131.5.1策略文檔治理機構 131.5.2聯(lián)系人 131.5.3決定CPS符合策略的機構 131.5.4CPS批準程序 131.6定義和縮寫 132信息公布與信息治理 182.1認證信息的公布 182.2公布的時刻或頻率 182.3信息庫訪問操縱 183身份標識與鑒別 183.1命名 183.1.1名稱類型 183.1.2對名稱意義化的要求 193.1.3訂戶的匿名或偽名 193.1.4明白得不同名稱形式的規(guī)則 203.1.5名稱的唯獨性 203.1.6名稱解析 203.1.6商標和訂戶簽名信息 203.2初始身份確認 203.2.1 證明擁有私鑰的方法 203.2.2 組織機構身份及其授權的鑒別 203.2.3 個人身份的鑒別 213.2.4虛擬身份鑒別 213.2.5 沒有驗證的訂戶信息 223.3密鑰更新要求的標識與鑒別 223.3.1 常規(guī)密鑰更新的標識與鑒別 223.3.2 吊銷后密鑰更新的標識與鑒別 223.4吊銷要求的標識與鑒別 224證書生命周期操作要求 234.1證書申請 234.1.1證書申請實體 234.1.2注冊過程與責任 234.2證書申請?zhí)幚?234.2.1執(zhí)行識別與鑒別功能 234.2.2證書申請批準和拒絕 234.2.3 處理證書申請的時刻 244.3證書簽發(fā) 244.3.1 證書簽發(fā)中注冊機構和電子認證服務機構的行為 244.3.2 電子認證服務機構和注冊機構對訂戶的通告 244.4證書同意 244.4.1 構成同意證書的行為 244.4.2 電子認證服務機構對證書的公布 244.4.3 電子認證服務機構對其他實體的通告 244.5密鑰對和證書的使用 254.5.1 訂戶私鑰和證書的使用 254.5.2 信任方公鑰和證書的使用 254.6證書更新 254.6.1 證書更新的情形 254.6.2 要求證書更新的實體 254.6.3 證書更新要求的處理 254.6.4 頒發(fā)新證書時對訂戶的通告 264.6.5 構成同意更新證書的行為 264.6.6 電子認證服務機構對更新證書的公布 264.6.7 電子認證服務機構對其他實體的通告 264.7證書變更 264.7.1 證書變更的情形 264.7.2 要求證書變更的實體 264.7.3 證書變更要求的處理 264.7.4 頒發(fā)新證書時對訂戶的通告 274.7.5 構成同意變更證書的行為 274.7.6 電子認證服務機構對變更證書的公布 274.7.7 電子認證服務機構對其他實體的通告 274.8證書吊銷和掛起 274.8.1 證書吊銷的情形 274.9.2 要求證書吊銷的實體 284.9.3 吊銷要求的流程 284.9.4 吊銷要求寬限期 284.9.5 電子認證服務機構處理吊銷要求的時限 294.9.6 依靠方檢查證書吊銷的要求 294.9.7 CRL公布頻率 294.9.8 CRL公布的最大滯后時刻 294.9.9 在線狀態(tài)查詢的可用性 294.9.10在線狀態(tài)查詢要求 294.9.11吊銷信息的其他公布形式 304.9.12密鑰損害的專門要求 304.10證書狀態(tài)服務 304.10.1操作特點 304.10.2服務可用性 304.10.3可選特點 304.11訂購終止 304.12密鑰生成、備份與復原 304.12.1密鑰生成、備份與復原的策略與行為 314.12.2會話密鑰的封裝與復原的策略與行為 315認證機構設施、治理和操作操縱 315.1物理操縱 315.1.1場地位置與操縱 325.1.2物理訪問 345.1.3電源和空調(diào) 345.1.4防水 355.1.5防火 355.1.6儲備介質愛護 355.1.7廢物處理 355.1.8異地備份介質 355.1.9RA（包括受理點）的物理操縱 365.2操作過程操縱 365.2.1CA系統(tǒng)治理人員 365.2.2運營安全治理小組 365.2.3每一項任務需要的人數(shù) 365.2.4安全令牌操縱 375.3人員操縱 375.3.1人員背景審查 375.3.2背景審查的實現(xiàn) 385.3.3培訓要求 385.3.4連續(xù)培訓要求 385.3.5崗位分離 385.3.6未授權行為的制裁 385.3.7系統(tǒng)搶修的要求 385.3.8工作輪換周期和順序 395.3.9獨立合約人的要求 395.3.10提供給職員的文檔 395.4審計日志程序 395.4.1記錄事件的類型 395.4.2處理或歸檔日志的周期 395.4.3審計日志的儲存期限 405.4.4審計日志的愛護 405.4.5審計日志備份程序 405.4.6審計日志收集系統(tǒng) 405.4.7對導致事件實體的通告 405.4.8脆弱性評估 415.5記錄歸檔 415.5.1存檔記錄類型 415.5.2存檔的保留期限 415.5.3檔案的愛護 415.5.4存檔備份 425.5.5為記錄加上時刻戳 425.5.6檔案收集系統(tǒng) 425.5.7驗證檔案信息 425.6密鑰轉換 425.6.1密鑰轉換定義 425.6.2CA證書有效期 425.6.3CRL 435.7災難復原 435.7.1國富安CA遭到攻擊造成災難時的復原 435.7.2CA證書公鑰被撤銷 435.7.3CA證書私鑰被攻破 435.7.4自然災難或其他災難后采取的安全措施 435.8國富安CA終止提供服務 436認證系統(tǒng)技術安全操縱 446.1密鑰對的生成和安裝 446.1.1密鑰對的生成 446.1.2私鑰傳送給訂戶 456.1.3公鑰傳送給證書簽發(fā)機構 456.1.4電子認證服務機構公鑰傳送給依靠方 456.1.5密鑰的長度 456.1.6公鑰參數(shù)的生成和質量檢查 456.1.7密鑰使用目的 456.2私鑰的安全保證 466.2.1密碼模塊標準和操縱 466.2.2私鑰的多人操縱 466.2.3私鑰的托管 466.2.4私鑰備份 466.2.5私鑰歸檔 476.2.6私鑰導入或導出密碼模塊 476.2.7私鑰在密碼模塊中的儲備 476.2.8激活私鑰的方法 476.2.9解除私鑰激活狀態(tài)的方法 486.2.10銷毀密鑰的方法 486.2.11密碼模塊的評估 486.3密鑰對治理的其他方面 486.3.1公鑰歸檔 486.3.2證書操作期和密鑰對使用期限 496.4激活數(shù)據(jù) 496.4.1激活數(shù)據(jù)的產(chǎn)生和安裝 496.4.2激活數(shù)據(jù)的愛護 496.4.3激活數(shù)據(jù)的其他方面 50激活數(shù)據(jù)的傳送 50激活數(shù)據(jù)的銷毀 506.5運算機安全操縱 506.5.1專門的運算機安全技術要求 506.5.2運算機安全評估 516.6生命周期技術操縱 516.6.1系統(tǒng)開發(fā)操縱 516.6.2安全治理操縱 516.6.3生命周期的安全操縱 516.7網(wǎng)絡的安全操縱 516.8時刻戳 527證書、證書吊銷列表和在線證書狀態(tài)協(xié)議 527.1證書 527.1.1證書版本號 527.1.2證書擴展項 527.1.3證書格式 537.1.4算法對象標識符 587.2證書吊銷列表 597.2.1版本號 597.2.2CRL和CRL條目擴展項 597.3在線證書狀態(tài)協(xié)議 597.3.1版本號 597.3.2OCSP差不多域 597.3.3OCSP擴展域 608認證機構審計和其他評估 608.1 評估的頻率或情形 608.2 評估者的資質 608.3 評估者與被評估者之間的關系 608.4 評估內(nèi)容 618.5 對問題與不足采取的措施 618.6 評估結果的傳達與公布 618.7其他評估 619法律責任和其他業(yè)務條款 619.2 財務責任 629.2.1 保險范疇 629.2.2 其他資產(chǎn) 629.2.3 對最終實體的保險或擔保 629.3 業(yè)務信息保密 629.3.1 保密信息范疇 629.3.2 不屬于保密的信息 639.3.3 愛護保密信息的責任 639.4 個人隱私保密 639.4.1 隱私保密方案 639.4.2 作為隱私處理的信息 639.4.3 不被視為隱私的信息 639.4.4 愛護隱私的責任 639.4.5 使用隱私信息的告知與同意 639.4.6 依法律或行政程序的信息披露 649.4.7 其他信息披露情形 649.5 知識產(chǎn)權 649.6 陳述與擔保9.6.1電子認證服務機構的陳述與擔保 649.6.2 注冊機構的陳述與擔保 679.6.4 依靠方的陳述與擔保 699.6.5 其他參與者的陳述與擔保 699.7 擔保免責 699.8 有限責任 709.9 賠償 709.10有效期限與終止 719.10.1有效期限 719.10.2終止 719.10.3效力的終止與保留 719.11對參與者的個別通告與溝通 719.12修訂 729.12.1修訂程序 729.12.2通知機制和期限 729.12.3必須修改業(yè)務規(guī)則的情形 729.13爭議處理 729.14管轄法律 739.15與適用法律的符合性 739.16一樣條款 739.16.1完整協(xié)議 739.16.2分割性 739.16.3強制執(zhí)行 739.16.4不可抗力 739.16.5其他條款 74概括性描述1.1概述北京國富安電子商務安全認證成立于1998年12月，簡稱“國富安CA”。國富安CA是在公眾網(wǎng)絡（例如CHINANET、CIETNET等，以下簡稱公網(wǎng)）上進行電子商務活動的安全基礎設施。該體系和與之配套的安全技術在整個公眾電子商務平臺中處于基礎結構地位。國富安CA安全認證體系的設計和建設符合各項國際安全協(xié)議標準。國富安CA簽發(fā)的證書格式遵循國際電聯(lián)（ITU）X.509標準。2006年2月，國富安數(shù)字證書認證系統(tǒng)通過國家密碼治理局安全性審查。國富安CA嚴格按照《中華人民共和國電子簽名法》和《電子認證服務治理方法》的要求，以及相關治理規(guī)定，提供數(shù)字證書的申請、頒發(fā)、存檔、查詢、廢止等服務，并通過以PKI技術、數(shù)字證書應用技術為核心的應用安全解決方案。北京國富安電子商務安全認證電子認證業(yè)務規(guī)則由北京富安電子商務安全認證按照信息產(chǎn)業(yè)部《電子認證服務治理方法》的要求，依據(jù)《電子認證業(yè)務規(guī)則規(guī)范（試行）》制定。本《電子認證業(yè)務規(guī)則》詳細闡述了國富安CA在實際工作和運營中所遵循的各項規(guī)范。本《電子認證業(yè)務規(guī)則》適用于國富安CA及其職員、注冊機構、證書申請方、訂戶和依靠方，各參與方必須完整明白得和執(zhí)行《電子認證業(yè)務規(guī)則》所規(guī)定的條款并承擔相應的責任和義務。1.1.1證書類別國富安CA證書策略依照社會活動中參與的實體不同定義了五類證書。在每類證書中又依照其承擔的法律責任、安全保證級別、用途等又進行了細分，目的是為了更好的保證各參與方的權益和義務。一類證書是個人證書，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。按照安全保證級別和具體用途分為如下幾種：自然人證書，提供差不多的安全保證，代表法定公民在中華人民共和國境內(nèi)從事社會活動的網(wǎng)絡身份，與個人在社會中的職務與地位沒有關系，如同公安局發(fā)的身份證一樣；只承擔由個人行為所引發(fā)的責任。依據(jù)訂戶的要求，該類證書能夠與自然人的電子名章相對應。自然人證書里能夠包含職業(yè)資格要素，增加國家法定承認的職業(yè)資格鑒定。組織機構、企業(yè)授權人證書，提供比自然人證書更高一級的安全保證，代表個人在組織機構、企業(yè)中的職務和地位，每一個人在不同的組織機構、企業(yè)中能夠擁有不同的授權人證書，承擔與所代表組織、機構內(nèi)相應的責任。組織機構、企業(yè)法人證書，該證書代表組織機構、企業(yè)的注冊法人，與組織機構、企業(yè)的唯獨身份證書具有相同的用途，承擔相同的責任與義務，依據(jù)訂戶的要求，該類證書能夠與組織機構、企業(yè)的法人名章相對應。關于同一實體自然人來說，為了應用的方便，組織機構、企業(yè)法人證書、組織機構、企業(yè)授權人證書、自然人證書能夠依次由上一級證書代替實現(xiàn)其用途，但國富安CA會在訂戶證書申請時說明從安全角度動身，訂戶應遵循安全保證級別越高的證書使用次數(shù)及途徑越少的原則。二類證書是組織機構、企業(yè)證書，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。這類證書從安全保證級別和組織機構、企業(yè)行政部門以及具體用途不同有如下幾種：組織機構、企業(yè)身份證書，代表組織機構在中華人民共和國境內(nèi)網(wǎng)絡身份，直截了當或間接(通過托付授權人證書)承擔企業(yè)網(wǎng)上行為責任。依據(jù)訂戶的要求，該類證書能夠與組織機構、企業(yè)的電子公章或合同章相對應。組織機構、企業(yè)部門證書，由組織機構、企業(yè)授權代表組織機構、企業(yè)部門，承擔其所在部門內(nèi)的責任和義務。依據(jù)訂戶的要求，該類證書能夠與相應部門的電子業(yè)務章相對應。三類證書為設備、服務器證書，依照設備歸屬實體又分為個人服務器證書和組織機構、企業(yè)服務器證書。個人服務器證書代表以個人申請的域名或其他設備證書，由于該域名或設備為個人擁有，依照法律不能從事經(jīng)營活動，因此不承擔由此引發(fā)的責任，該證書僅保證該域名或設備的身份，負責建立安全對話連接和身份證明。組織機構、企業(yè)服務器證書，代表由組織機構、企業(yè)申請的域名或設備證書，由于該域名為企業(yè)擁有，代表組織機構、企業(yè)從事電子商務和其他經(jīng)營活動，因此承擔由此引發(fā)的責任，該證書不僅保證該域名或設備的身份，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。四類證書為學生證書，代表中華人民共和國境內(nèi)的大、中、小學生實體身份，但由于學生不承擔相應的民事責任，因此該類證書只表示學生的真實身份，該類證書的簽名也具有相應的法律效應，但不承擔由此引起的賠償責任。學生不能用該證書從事有經(jīng)濟賠償責任的電子商務和其他社會活動，只能用于學?；蚪逃膬?nèi)部治理。五類證書是虛擬證書，提供基于網(wǎng)絡虛擬主體應用的安全愛護，比如針對電子郵箱的安全電子郵件證書和針對即時通信的QQ、MSN號證書，能夠應用于安全電子郵件、安全即時通信的簽名、加密以及建立安全通話通道，由于該類證書中的最終實體并不能和現(xiàn)實社會中的實體一一對應，因此該類證書所產(chǎn)生的電子簽名僅代表虛擬實體的愿望。國富安CA并不保證虛擬實體所產(chǎn)生的電子簽名代表其所對應的真實實體，即電子簽名人的意愿，因此該類證書不承擔由此引發(fā)的法律責任。1.1.2證書分發(fā)服務國富安CA通過其承擔相應責任的RA注冊機構，包括在其CA認證機房和自建分布在全國各地、以及建立在其他組織機構中、遵從于本電子認證業(yè)務規(guī)則的RA注冊機構進行證書批準、簽發(fā)、治理、使用和吊銷、更新等安全服務，國富安CA會在其運營網(wǎng)站公布各RA注冊機構的有關信息。1.2文檔名稱與標識本文檔名稱為國富安CA電子認證業(yè)務規(guī)則（CPS），目前版本號為V2.0。1.3電子認證活動參與方及其職責國富安CA是依照《中華人民共和國電子簽名法》和《電子認證服務治理方法》規(guī)定，依法設立的第三方電子認證服務機構。國富安CA秉承國際領先的PKI技術，總體分為兩層，第一層為根CA，第二層為運營CA，能夠依照其電子認證業(yè)務規(guī)則依據(jù)其策略向不同行業(yè)和領域擴展其信任體系。運營CA由CA系統(tǒng)、RA系統(tǒng)和LA受理點三部分組成，以下為其系統(tǒng)示意圖：根CA根CA國富安運營CA1國富安運營CA2國富安RA系統(tǒng)１托管RA系統(tǒng)2RA系統(tǒng)3國富安LA１LA4國富安LA2托管LA3證書用戶1.3.1電子認證服務機構電子認證服務系統(tǒng)CA（CertificationAuthority）系統(tǒng)承擔證書簽發(fā)、審批、吊銷、查詢、證書及黑名單公布、密鑰和證書治理、政策制定等工作，設在國富安CA北京經(jīng)濟技術開發(fā)區(qū)運營主機房，不直截了當面對用戶證書，采納兩層結構，第一層為根CA，負責制定國富安CA電子認證總體政策與策略，為下級運營CA簽發(fā)并治理CA證書，負責與其他CA信任體系進行交叉認證。第二層為運營CA，直截了當為用戶簽發(fā)并治理數(shù)字證書，該層CA能夠依照用戶證書策略不同分為多個運營CA。1.3.2注冊機構注冊機構作為電子認證服務機構授權托付的下屬機構，包括注冊系統(tǒng)（RA系統(tǒng)），和證書受理點（LA），負責用戶證書的申請、審批和證書治理，直截了當面向證書用戶；一樣情形下LA證書受理點進行用戶身份鑒定和證書信息錄入，提交到RA系統(tǒng)把證書申請信息傳遞到CA。國富安CA的RA系統(tǒng)分為自建RA和授權RA，每個RA系統(tǒng)下面能夠依照系統(tǒng)能力建立多個LA證書受理點。自建RA指由國富安CA自己投資建設分布于全國各地的RA系統(tǒng)，歸國富安CA所有，為證書總量在500，000張以下的地區(qū)或行業(yè)應用提供證書申請審批、證書信息錄入以及證書發(fā)放并進行部分治理服務。另一種為授權RA，歸授權的企業(yè)或組織所有，授權RA在遵循國富安CA電子認證業(yè)務規(guī)則的基礎上負責為該區(qū)域或組織提供數(shù)字證書的申請，為證書總量相對較?。ㄔ?0000以下，依照具體情形能夠升級到50，000張以下），或證書審核嚴格或證書治理復雜的的區(qū)域和組織提供證書申請審批、證書信息錄入以及證書發(fā)放并進行部分治理服務，適合于需要對RA系統(tǒng)功能進行客戶化定制和需要自主治理RA系統(tǒng)的區(qū)域和組織使用。RA系統(tǒng)與CA系統(tǒng)依照其業(yè)務需求和專門情形采納專線或VPN方式相連，之間的通信符合國家相關安全規(guī)范與標準。LA證書受理點是面向最終用戶的注冊審核機構，其要緊功能是對用戶提交的資料進行審核，以決定是否同意為該申請者發(fā)放證書。LA的身份由RA審核，LA的操作員證書由運行CA簽發(fā)。LA作為RA的下級機構，它不直截了當與CA進行數(shù)據(jù)交換，CA不接收來自LA的證書簽發(fā)要求，LA的證書簽發(fā)要求由RA轉發(fā)給CA。RA服務器負責安全地和國富安CA服務器交換數(shù)據(jù)。LA證書受理點與RA系統(tǒng)一樣采納VPN方式相連，之間的通信也符合國家相關安全規(guī)范與標準。1.3.3訂戶從電子認證服務機構接收證書的實體。在電子簽名應用中，訂戶即為電子簽名人。1.3.4依靠方依靠于證書真實性的實體。在電子簽名應用中，即為電子簽名依靠方。依靠方能夠是、也能夠不是一個訂戶。1.3.5其他參與者其他參與者指為國富安CA提供相關服務的其它實體，如提供第三方身份鑒定的機構和組織。1.4證書應用1.4.1適合的證書應用國富安CA所發(fā)證書能夠滿足不同的業(yè)務需要，如網(wǎng)上銀行，電子商務，電子政務，安全電子郵件，SSL安全代理，在線支付等應用。證書申請人依照實際需要和承擔責任，自覺采納哪種數(shù)字證書類型。1.4.2限制的證書應用證書禁止在任何違反國家法律、法規(guī)或破壞國家安全的情形下使用，否則由此造成的法律后果由用戶自己承擔。由于證書的使用可能導致人員死亡、傷殘的情形。由于證書的使用可能導致環(huán)境破壞的情形。1.5策略治理1.5.1策略文檔治理機構本《電子認證業(yè)務規(guī)則》的治理機構是國富安CA策略委員會。由國富安CA策略委員會負責對本《電子認證業(yè)務規(guī)則》的制定、公布、更新等事宜。本《電子認證業(yè)務規(guī)則》由北京國富安電子商務安全認證擁有完全版權。1.5.2聯(lián)系人國家現(xiàn)代服務業(yè)服務交互支撐平臺課題辦公室地址:北京經(jīng)濟技術開發(fā)區(qū)榮華中路11號：100176010-67801055聯(lián)系人：尹鵬翎E-mail:yinpengling@ec.cn1.5.3決定CPS符合策略的機構本《電子認證業(yè)務規(guī)則》由國富安CA策略委員會制定并執(zhí)行。1.5.4CPS批準程序國富安CA策略委員會負責CPS的治理。國富安CA策略委員會對CPS草案進行評審，假如符合證書策略，將批準CPS，之后在國富安CA網(wǎng)站上對外公布。從對外公布之日起三十個工作日之內(nèi)向信息產(chǎn)業(yè)部備案。1.6定義和縮寫術語定義一覽表激活數(shù)據(jù)不同于密鑰的數(shù)據(jù)值（如PIN，驗證短語，biometric或是人工把握的密鑰份額），用來操作加密模塊，須被愛護鑒定核實實體（如個人，公司，或機構）所聲稱的身份證書是一種信息，包含的差不多信息有：簽發(fā)證書的認證中心，用戶的名稱，用戶的公鑰，證書的操作期，及簽發(fā)證書的認證中心的數(shù)字簽名。證書政策（CP）一套命名的規(guī)則，指定了證書關于特定群體的適用性和/或有共同安全要求的應用等級。證書的密鑰更新（Re-key）有現(xiàn)成密鑰對和證書的用戶在新的密鑰對產(chǎn)生之后接收了新的證書從而得到新的公鑰。證書的更新用戶得到了現(xiàn)有證書的一段新的有效期限證書要求RA向CA呈交的確認的注冊要求，注冊證書中用戶的公鑰。證書撤消列表（CRL）被撤消的證書列表，由發(fā)證CA數(shù)字簽名認證中心(CA)制作并簽名證書的并被一個或多個依靠方信任的機構，CA可取消它所制作并簽發(fā)的證書。認證實施聲明（CPS）認證機構應用于簽發(fā)證書的實施聲明。認證實施聲明定義了CA為滿足所支持的證書政策規(guī)定的要求而采納的設置，政策和程序。損害對安全系統(tǒng)的違反，因而可能導致敏銳信息的未授權的泄露，修改，置換或使用加密硬件(加密裝置)硬件加密模塊加密模塊一套硬件，軟件，韌件或某種結合，在其中可執(zhí)行密碼邏輯，包括加密算法。一種能夠實行密碼功能（如加密，鑒定，密鑰生成）的裝置。數(shù)字簽名數(shù)據(jù)的密碼轉換，當與數(shù)據(jù)單位相連時，提供鑒定起源，使數(shù)據(jù)完整和防止簽名者抵賴的服務。事件日志（審計日志或審計記錄）按照時刻順序對系統(tǒng)活動的記錄，能夠再現(xiàn)，評估和檢查從事項的開始到最后結果的輸出中每一事件周圍的或導致每一事件的環(huán)境和活動序列。密鑰托管私鑰交由第三方保管，任何對被托管的密鑰的訪問，如法律實施官員的訪問，都應符合事先定義的條件。密鑰復原當實體的私鑰或對稱的加密密鑰丟失，被破壞，或不能獲得時，從安全的儲備庫中復原這些密鑰能力。目標重用對包含一個或多個目標的介質主體（如頁幀，磁盤扇區(qū)，磁帶）的重新賦值。為安全的分配，該介質不應包含原先目標的剩余數(shù)據(jù)。在線證書狀態(tài)查詢協(xié)議(OCSP)可取代或補充定期的CRL的確定證書的當前狀態(tài)的協(xié)議。該協(xié)議說明了檢查證書狀態(tài)的應用和提供該狀態(tài)的服務器之間應交換的數(shù)據(jù)。政策中心政策中心有制定愛護它自己的和下級機構操作的政策的職責。政策治理中心（PMA）或政策中心（PA）政策治理中心是有制定安全政策（如CP）的最終權威和職責的實體。公鑰基礎設施（PKI）為了推動擁有非對稱公鑰的公共成分與擁有對應私鑰的特定用戶之間可證實的聯(lián)系，采納數(shù)字簽名技術的硬件，軟件，人員，程序和政策的結構。公鑰可被用來證實數(shù)字簽名，鑒定通訊對話中的主體，和/或，交換或流通信息加密密鑰。注冊中心（RA）負責辨認和證明證書主體的實體，它不是CA因此不能簽名或簽發(fā)證書。RA能夠協(xié)助證書的申請，撤消或兩者。注冊要求某實體向RA（或CA）注冊該實體在證書中的公鑰的申請注冊回應由RA（或CA）發(fā)出的回應注冊申請的信息。依靠方證書的同意者，他信任證書中的信息或發(fā)證CA公布的其他信息，如CRL（注：在此文件中，術語“證書使用者”和“依靠方”可互用。資源庫分布或使證書或證書狀態(tài)信息可利用的方法（如數(shù)據(jù)庫或X.500名目）根認證機構（根CA）CA等級中地位最高的CA用戶公鑰被公鑰證書證實的實體可信的運算系統(tǒng)（TCB）運算機系統(tǒng)中的全體愛護裝置——包括硬件，韌件和軟件——它們的結合負責執(zhí)行安全政策。TCB由一個或多個共同執(zhí)行某個產(chǎn)品或系統(tǒng)的安全政策的成分組成。TCB正確執(zhí)行安全政策的能力完全由TCB內(nèi)的裝置和系統(tǒng)治理人員對安全政策的參數(shù)的正確輸入所決定。可信路徑終端人員可直截了當與可信的運算系統(tǒng)通信的機制。該機制只能由該人員或可信運算系統(tǒng)所激活，且不能被非置信的軟件所效仿。驗證（Validation）依靠方檢查證書狀態(tài)的過程。確認（Verification）為專有通信比較兩種層次的系統(tǒng)規(guī)格的過程（如有最高規(guī)格的安全政策，有源碼的TLS，或有目標碼的源碼）。查證（Verify）是與數(shù)字簽名相關的一種方法，為準確地確定：（1）數(shù)字簽名是在有效證書的操作期內(nèi)由對應于證書公鑰的私鑰制作的；（2）數(shù)字簽名被制作后信息沒有被改變?？s寫詞CA安全認證機構(Certificationauthority)CPS認證業(yè)務聲明(Certificationpracticestatement)CRL證書黑名單(Certificaterevocationlist)CSR證書簽名要求（CertificateSigningRequest）DAM修改草本(ISO標準)（draftamendment(toanISOstandard)）FIPS聯(lián)邦信息處理標準(FederalInformationProcessingStandard)FTP文件傳輸協(xié)議（FileTransferProtocol）GFACA北京國富安電子商務安全認證(BeijingGuoFuAnSecurityElectronicCommerceCACo.GMT格林威治標準時刻（GreenwichMeanTime）超文本傳輸協(xié)議(HypertextTransferProtocol)S安全套接層下的超文本傳輸協(xié)議(HypertextTransferProtocolwithSSL)LRA地點注冊機構(Localregistrationauthority)LRAA地點注冊機構治理員(Localregistrationauthorityadministrator)NSI未經(jīng)證實的用戶信息(Nonverifiedsubscriberinformation)OCA操作CA(OperationCertificationAuthority)PCA政策CA(Policycertificationauthority)PCS公共認證服務(Publiccertificationservices)PIN個人識別碼(Personalidentificationnumber)PKCS公鑰加密標準（PublicKeyCryptographyStandards）PKI公鑰基礎設施(PublickeyinfrastrUCTure)RCA根CA（RootCertificationAuthority）RDN相關區(qū)別名稱（RelativeDistinguishedName）RPA信任方協(xié)議(RelyingPartyAgreement)RSA一種加密算法(見定義)(acryptographicsystem(seedefinitions))SET安全電子交易（SecureElectronicTransaction）S/MIME安全的多用途網(wǎng)絡郵件延伸格式(SecureMultipurposeInternetMailExtensions)SSL安全協(xié)議層（SecureSocketsLayer）URL單一資源地址（uniformresourcelocator）WWWorWeb萬維網(wǎng)（WorldWideWeb）X.509國際電信聯(lián)盟認證體系的證書標準（theITU-Tstandardforcertificatesandtheircorrespondingauthenticationframework）信息公布與信息治理2.1認證信息的公布國富安CA公布以下信息：RA系統(tǒng)、LA證書受理點的差不多情形；用戶協(xié)議和依靠方協(xié)議；CP和CPS；國富安CA應當在名目服務器中公布：用戶的證書；CRL。2.2公布的時刻或頻率國富安CA按照CPS的相關規(guī)定修訂CPS、用戶協(xié)議、依靠方協(xié)議。證書一經(jīng)簽發(fā)就要在名目服務器公布，證書狀態(tài)及CRL依照本CPS的相關規(guī)定公布。國富安CA的CPS、訂戶協(xié)議、依靠方協(xié)議，通過信息庫7X24可獲得。國富安CA簽發(fā)的訂戶證書一經(jīng)簽發(fā)即公布到LDAP服務器供用戶下載，同時訂戶可通過證書服務站點獲得已簽發(fā)的證書。通過OCSP對證書狀態(tài)的查詢是及時的。國富安CA對每個證書簽發(fā)CA公布一個證書吊銷列表，公布該CA簽發(fā)的證書中的已吊銷了的證書。證書吊銷列表一樣是每24小時更新一次。2.3信息庫訪問操縱在國富安CA網(wǎng)站或者名目服務器公布的信息屬于公布信息，任何人能夠免費查閱這些信息。國富安CA要求訪問CPS、證書、證書狀態(tài)、CRL等信息的任何人必須遵守本CPS、依靠方協(xié)議和CRL使用協(xié)議。身份標識與鑒別3.1命名3.1.1名稱類型依照證書類型不同，國富安CA簽發(fā)的證書實體名字能夠是個人姓名、組織機構、企業(yè)名稱、部門名、域名或其相應的身份證號碼和組織機構代碼，專門情形如第五類證書也能夠是虛擬世界中的虛擬名如電子郵件名和QQ、MSN號。國富安CA最終訂戶證書的主題域中包含一個X.500甄別名（遵從關于X.500標準，并用X.501PrintableString格式），它由如下內(nèi)容組成：國家（C）=CN或不用；組織機構（O）=組織機構屬性如下：關于一類自然人證書和五類電子郵件虛擬證書為GFA關于五類其他虛擬證書能夠是那類應用或組織的名稱，如MSN證書為微軟名稱關于其他類型證書，是證書訂戶所在機構名稱機構部門（OU1）=訂戶組織機構部門名稱；（OU2）=職業(yè)資格證號、商標、訂戶簽名或其他，或不用；（OU3）=訂戶證書類型；省或都市（S）=訂戶所在的省、都市或不用；位置（L）=訂戶所在具體地點或不用；通用名（CN）=通用名如下：一類證書為身份證號-姓名二類證書為組織機構代碼-組織機構、企業(yè)名稱三類證書為域名或服務器DNS名四類證書為學生號-姓名五類證書為虛擬名稱電子郵箱（E）=電子郵件地址；國富安CA能夠依照自己的要求擁有對最終訂戶證書主題甄別名意義修改的權益，但修改的前提是不損害其他證書訂戶的權益和義務，并隨時公布修改結果。3.1.2對名稱意義化的要求主題和簽發(fā)者的DN遵循PKIX標準，同時在證書中標明。證書主體名稱標識本證書所提到的最終實體的特定名稱，描述了與主體公鑰中的公鑰綁定的實體信息，除五類證書外不承諾使用假名或偽名。3.1.3訂戶的匿名或偽名在國富安CA證書服務體系中，除了第五類證書外，訂戶不能使用匿名、偽名或虛擬名申請證書。3.1.4明白得不同名稱形式的規(guī)則依X.500甄別名命名規(guī)則說明。3.1.5名稱的唯獨性在國富安CA證書信任域中，訂戶證書實體中主題甄別名必須是唯獨的，除非訂戶申請簽發(fā)雙證書（簽名證書和加密證書），兩個證書因為屬于同一實體，因此中X.500甄別名是一樣的，但證書密鑰用途不一樣，簽名證書密鑰只能用于簽名，加密證書密鑰只用于加密。3.1.6名稱解析國富安CA免費向所有依靠方組織或個人、應用提供方提供證書解析字符串和解析方法。3.1.6商標和訂戶簽名信息國富安CA簽發(fā)的證書的主題甄別名中能夠包含商標名或訂戶簽名信息。3.2初始身份確認3.2.1 證明擁有私鑰的方法國富安CA通過使用經(jīng)數(shù)字簽名的PKCS#10格式的證書要求，或其它相當?shù)拿艽a格式，或其他國富安CA批準的方法，驗證證書申請者擁有私鑰。3.2.2 組織機構身份及其授權的鑒別關于與組織機構相關的證書，如一類證書中的組織機構授權人證書、組織機構法人證書，二類證書以及三類證書中的高級服務器證書，組織機構應指定和授權證書的申請代表，出具申請托付函，在證書的申請書上簽字、蓋章表示同意證書申請的有關條款,并承擔相應的責任。國富安CA或RA（包括受理點）當面或采納其他方式審核組織機構身份及其申請者的代表人是否符合要求。國富安CA對證書組織機構身份及申請者代表的鑒證按以下方式進行：①審核該組織機構身份的真實性：國富安CA或RA（包括受理點）必須檢查組織機構相關的證明文件原件或復印件，申請者需向國富安CA提供組織機構確實存在的證明(如工商執(zhí)照、組織機構代碼證、稅務登記等，關于服務器證書需要出具域名擁有證書等)。②代表人身份的授權：國富安CA或RA（包括受理點）必須檢查組織機構的證書申請托付函，托付函需加蓋組織機構公章和簽名，通過對代表人身份證件的驗證或其他渠道核實代表人差不多由該組織授權。假如國富安CA或RA（包括受理點）差不多預先明確了組織機構和授權或托付人的身份，那么國富安CA或RA（包括受理點）能夠信任這些證明。關于專門情形，國富安CA或RA（包括受理點）能夠采納其他方式追加組織機構身份鑒證的權益。3.2.3 個人身份的鑒別關于與個人身份有關的證書，如一類證書中的自然人證書、四類學生證書和三類個人服務器證書中所涉及到的個人身份，申請人需要正確填寫申請表并書寫簽名，國富安CA或RA（包括受理點）能夠面對面或采納其他方式進行如下內(nèi)容的鑒證：①審核個人身份的真實性：證明證書申請者個人身份確實存在，國富安CA或RA（包括受理點）需要申請人出示個人身份證或學生證件，假如非本人申請需出具托付函和托付人個人證件；②證書申請者是證書申請中所說的哪個人：國富安CA或RA（包括受理點）能夠要求申請人出示代表申請人戶籍證明的相關材料，也能夠采納其他第三方數(shù)據(jù)庫或有效手段進行驗證；③密鑰擁有：按照3.2.1中所述的方式確認證書申請者與證書中所列公鑰相對應的私鑰。④職業(yè)資格或書寫簽名核實：國富安CA或RA（包括受理點）能夠和第三方機構合作，核實個人所擁有的職業(yè)資格證書和書寫簽名信息；⑤除未體會證的訂戶信息，包含在證書中的信息是準確的；假如國富安CA或RA（包括受理點）差不多預先明確個人的身份，那么國富安CA或RA（包括受理點）能夠信任這些證明。關于專門情形，國富安CA或RA（包括受理點）能夠采納其他方式追加個人身份鑒證的權益。3.2.4虛擬身份鑒別關于第五類證書，國富安CA或RA（包括受理點）采納一些專門的鑒別方式，如關于電子郵件證書，采納向該郵件地址發(fā)送確認信息，從是否收到郵件回復作為鑒別方式；關于MSN或QQ等虛擬信息，通過進行MSN和QQ進行聯(lián)系的方式進行確認，或者與MSN和QQ服務提供商一起進行鑒別，但正于前面§1.1.1中所說到的那樣，關于這類證書，國富安CA不承擔由此帶來的責任。其他的虛擬證書，國富安CA能夠依照情形制定明確的鑒別方式。3.2.5 沒有驗證的訂戶信息用戶提交鑒定文件以外的信息為沒有驗證的訂戶信息。3.2.6 互操作準則

不在此規(guī)定3.3密鑰更新要求的標識與鑒別3.3.1 常規(guī)密鑰更新的標識與鑒別國富安CA系統(tǒng)需要定期在有效期立即終止時或懷疑密鑰遭到攻擊的情形下進行密鑰更新工作。以下為國富安CA例行密鑰更新過程：根密鑰更新時，由所有密鑰治理員在場，共同啟動密鑰治理程序，執(zhí)行密鑰更新指令，硬件加密設備重新生成根密鑰。第二層運營CA密鑰更新時，由所有密鑰治理員中的多數(shù)在場，共同啟動密鑰治理程序，執(zhí)行密鑰更新指令。關于用戶密鑰，假如加密公鑰或簽名私鑰差不多或立即到期，國富安CA稱此類密鑰更新為證書更新，證書更新時進行如下步驟：①用戶訪問國富安CA系統(tǒng)要求證書更新，證書更新要求由原私鑰簽名；②國富安CA系統(tǒng)驗證原證書的有效性，并通過原訂戶信息驗證用戶要求；③國富安CA重新用用戶的身份信息組成證書信息并發(fā)給用戶更新證書用的密碼；④用戶登錄訪問國富安CA系統(tǒng)，產(chǎn)生密鑰對，使用國富安CA發(fā)放的更新證書用的密碼與服務器建立安全通信，安全的將公鑰發(fā)給國富安CA系統(tǒng)；⑤國富安CA將用戶證書信息和用戶公鑰一起合成證書信息并簽發(fā)新證書；⑥用戶使用CA發(fā)出的更新證書用的密碼更新證書。3.3.2 吊銷后密鑰更新的標識與鑒別國富安CA不對吊銷后的密鑰進行更新。3.4吊銷要求的標識與鑒別在國富安CA的證書業(yè)務中，證書吊銷要求能夠來自訂戶，也能夠來自國富安CA或RA（包括受理點）。證書吊銷的方式能夠是訂戶要求國富安CA或RA（包括受理點）治理員吊銷，國富安CA或RA（包括受理點）在認為必須的時候，有權發(fā)起吊銷訂戶證書。關于來自訂戶要求的吊銷，能夠有如下方式：證書訂戶在線訪問國富安CA系統(tǒng)，依照證書申請時的愛護密碼進行在線吊銷申請；證書訂戶通過或其他渠道通知國富安CA或RA（包括受理點）需要吊銷證書，國富安CA或RA（包括受理點）接到證書吊銷申請后，依照其他途徑和方式，如、、快遞等方式核實吊銷身份后進行吊銷操作。證書生命周期操作要求4.1證書申請4.1.1證書申請實體證書申請實體包括國家法定公民、學生和具有獨立法人資格的組織機構（包括行政機關、事業(yè)單位、企業(yè)單位、社會團體和人民團體）。任何網(wǎng)絡虛擬身份都能夠申請第五類虛擬證書。服務器證書由域名擁有機構或獲得域名使用授權的個人或組織授權申請。4.1.2注冊過程與責任證書申請人按照本《電子認證服務規(guī)則》所規(guī)定的要求，填寫證書申請表，并預備相關的身份證明材料。CA或RA（包括受理點）依據(jù)身份鑒別規(guī)范對證書申請人的身份進行鑒別，并決定是否受理申請。申請過程中各方責任為：訂戶要按照本《電子認證服務規(guī)則》所規(guī)定的要求預備證書申請材料，并確保申請材料的真實性。CA或RA（包括受理點）必須嚴格按照操作流程進行身份鑒別和證書申請，并承擔由此引發(fā)的責任和義務。依照《中華人民共和國電子簽名法》的規(guī)定，申請者未向國富安CA提供真實、完整和準確的信息，或者有其他過錯，給電子簽名依靠方、國富安CA造成缺失的，應承擔相應的法律責任和經(jīng)濟賠償。4.2證書申請?zhí)幚?.2.1執(zhí)行識別與鑒別功能國富安CA或RA（包括受理點）按照本《電子認證服務規(guī)則》所規(guī)定的身份鑒別流程對申請人的身份進行識別與鑒別。具體鑒別流程見§3.2.2、§3.2.3和§3.2.4所描述的過程進行個人及組織機構身份鑒別和托付確認的鑒別。4.2.2證書申請批準和拒絕在國富安CA或RA（包括受理點）完成對證書申請的鑒別，有關鑒證獲得通過同時證書申請者履行了其他應盡的責任（如付款）后，國富安CA或RA（包括受理點）批準申請。假如鑒證未獲通過或證書申請者拒絕履行了其他應盡的責任（如付款），國富安CA或RA（包括受理點）將會拒絕申請。4.2.3 處理證書申請的時刻國富安CA或RA（包括受理點）將在合理時刻內(nèi)完成證書要求處理。在申請者提交資料齊全且符合要求的情形下，面對面處理證書申請的時刻不超過1個工作日，其他處理證書的時刻不超過5個工作日。4.3證書簽發(fā)證書簽發(fā)過程是：國富安CA得到RA通過安全方式傳來的用戶公布信息身份，生成證書信息并通過RA通知用戶的過程。4.3.1 證書簽發(fā)中注冊機構和電子認證服務機構的行為國富安CA在批準證書申請之后，將證書簽發(fā)。證書的簽發(fā)意味著電子認證服務機構最終完全正式地批準了證書申請。國富安CA簽發(fā)完證書后會在系統(tǒng)中及時通知下屬RA（包括受理點）機構，由RA（包括受理點）下載證書（面對面申請），或者采納其他方法通知訂戶下載證書。4.3.2 電子認證服務機構和注冊機構對訂戶的通告 國富安CA或RA（包括受理點）對訂戶的通告有以下幾種方式： 通過面對面的方式，通知訂戶到國富安CA或RA（包括受理點）領取數(shù)字證書； 郵政信函通知訂戶； 電子郵件或其它國富安CA認為安全可行的方式通知訂戶。4.4證書同意4.4.1 構成同意證書的行為國富安CA訂戶同意證書的方式能夠有如下幾種：通過面對面的提交，訂戶從國富安CA的RA（包括受理點）同意載有證書和私鑰的介質。在這種情形下由國富安CA的RA（包括受理點）替訂戶產(chǎn)生證書要求、證書密鑰對、下載證書，訂戶同意載有證書和私鑰的介質被視為同意同意證書。訂戶訪問專門的證書下載服務站點將證書下載到本地存放介質，如本地運算機硬盤、USBKEY、智能卡。國富安CA認證系統(tǒng)記錄訂戶已下載的信息即視為訂戶同意同意證書。4.4.2 電子認證服務機構對證書的公布國富安CA有基于LDAP協(xié)議的名目服務，國富安CA可依照用戶的意愿將其簽發(fā)的證書公布到名目系統(tǒng)上，或不公布。4.4.3 電子認證服務機構對其他實體的通告關于其簽發(fā)的證書，國富安CA及RA（包括受理點）不通知其他實體，其它實體能夠通過名目服務器查詢到國富安CA已簽發(fā)的數(shù)字證書。4.5密鑰對和證書的使用密鑰對和證書不應用于其規(guī)定、批準的用途之外的目的，否則其應用是不受相關法律和國富安CA策略保證的。4.5.1 訂戶私鑰和證書的使用訂戶在同意了國富安CA所簽發(fā)的證書后，即視為差不多同意遵守與國富安CA、依靠方有關的權益和義務條款。證書持有人應妥善保管其證書私鑰。訂戶只能在指定的應用范疇內(nèi)使用證書和私鑰，訂戶只能在同意了相關的證書之后才能使用對應的私鑰，同時在證書到期或被吊銷后停止使用該證書對應的私鑰。4.5.2 信任方公鑰和證書的使用當信任方同意到經(jīng)數(shù)字簽名的信息后，應該，①獲得數(shù)字簽名對應的證書及信任鏈；②確認該簽名對應的證書是信任方信任的證書，并驗證其證書的有效性。③證書的用途適用于對應的簽名。④使用證書上的公鑰驗證簽名。以上任何一個環(huán)節(jié)失敗，信任方應該拒絕同意簽名信息。當信任方需要發(fā)送加密信息給同意方時，須先通過適當?shù)耐緩将@得同意方的加密證書，然后使用證書上的公鑰對信息加密。信任方應將加密證書連同加密信息一起發(fā)送給同意方。4.6證書更新4.6.1 證書更新的情形關于國富安CA簽發(fā)的任何最終訂戶證書，證書到期前30天系統(tǒng)將會自動提醒訂戶用戶證書將到期，如連續(xù)使用可進行證書更新。到期前30天內(nèi)或已到期后30天內(nèi)，假如訂戶原先的注冊信息連續(xù)有效，訂戶可訪問國富安CA或注冊機構的證書更新站點申請證書更新。申請證書更新時用戶無需象初次申請那樣填寫注冊信息，系統(tǒng)會自動獵取所需的信息。4.6.2 要求證書更新的實體證書訂戶、證書訂戶的授權代表（組織機構證書）或證書對應實體的擁有者（比如服務器證書的擁有者）、虛擬證書的擁有者能夠要求更新證書。4.6.3 證書更新要求的處理同意到用戶的證書更新要求后，國富安CA認證系統(tǒng)會自動完成如下驗證操作：①申請對應的原證書存在同時由認證機構簽發(fā)。②證書更新要求在承諾的期限。③用原證書上的訂戶公鑰對更新申請的簽名進行驗證。在此基礎上，國富安CA或注冊機構一樣會依照原有的信息通過等其他手段鑒定證書更新的實體是否是原先的實體，或者采取與初次證書申請一樣的鑒證過程完成證書更新要求的鑒證，然后批準、簽發(fā)證書。4.6.4 頒發(fā)新證書時對訂戶的通告同CPS§4.3.2。4.6.5 構成同意更新證書的行為同CPS§4.4.1。4.6.6 電子認證服務機構對更新證書的公布 同CPS§4.4.2。4.6.7 電子認證服務機構對其他實體的通告 同CPS§4.4.3。4.7證書變更4.7.1 證書變更的情形證書變更是指證書申請訂戶關鍵信息有變更，導致證書內(nèi)容有變化，但密鑰對保持不變的情形。4.7.2 要求證書變更的實體證書變更申請者為國富安CA證書訂戶。4.7.3 證書變更要求的處理處理步驟為：①由證書持有者本人持有效證件到申請證書的分支機構RA（包括受理點）提出證書修改要求；②RA（包括受理點）對有效證件進行審核；③審核通過后在RA服務器的數(shù)據(jù)庫中依照客戶信息進行查詢；④RA修改本地審核數(shù)據(jù)庫中的記錄并發(fā)給國富安CA證書數(shù)據(jù)庫。關于非面對面申請證書變更的用戶，國富安CA能夠制定其他處理流程。4.7.4 頒發(fā)新證書時對訂戶的通告同CPS§4.3.2。4.7.5 構成同意變更證書的行為同CPS§4.4.1。4.7.6 電子認證服務機構對變更證書的公布同CPS§4.4.2。4.7.7 電子認證服務機構對其他實體的通告同CPS§4.4.3。4.8證書吊銷和掛起4.8.1 證書吊銷的情形證書吊銷分為主動吊銷和被動吊銷。主動吊銷是指由用戶提出吊銷申請，由RA受理點LA進行審核并由具有相關權限的操作員對其要求進行處理，吊銷證書；被動吊銷是指當國富安CA及RA（包括受理點）確認用戶違反證書應用規(guī)定或差不多消亡等情形發(fā)生時，采取吊銷證書的手段以停止對該證書應盡的責任和義務。在以下情形下，證書訂戶（主動吊銷）應當要求吊銷證書：①證書用戶的私鑰被泄露、丟失、盜竊、更換、濫用或遭到其它損害或者證書主體估量有這些情形發(fā)生；②證書不再需要用于原先的用途，如關于組織機構授權人證書，被授權人差不多離開組織，不能代表該組織機構從事與組織有關的業(yè)務。③證書包含的任何信息發(fā)生變化或容易引起誤解。國富安CA及RA（包括受理點）發(fā)覺有下列情形下可決定撤銷用戶證書（被動吊銷）：①證書用戶不支付證書費用；②證書包含的信息發(fā)生變化；③CA的私鑰泄露；④證書用戶已不再是國富安CA客戶；⑤證書用戶違反CPS；⑥因證書申請信息虛假等緣故造成證書發(fā)放錯誤；⑦證書用戶對證書的使用有可能危及國富安CA的安全；⑧由于不可抗力、自然災難、法律法規(guī)的變更、政府行為及其它人力無法操縱的緣故延誤或阻止CPS中的任一方當事人履行義務，并嚴峻威逼或損害到另一方的利益；此外，證書訂戶能夠不需任何理由要求吊銷證書，國富安CA應當應證書主體的要求吊銷證書。國富安CA沒有義務公布證書吊銷的緣故。4.9.2 要求證書吊銷的實體能夠要求吊銷證書的實體有：①證書用戶；②經(jīng)證書用戶合法授權的代表；③在證書用戶差不多違反了協(xié)議法規(guī)或有效的法律情形下，國富安CA授權的工作人員也有權要求作廢。4.9.3 吊銷要求的流程當國富安CA及RA（包括受理點）有充分的理由確信需要吊銷訂戶的證書時，國富安CA及RA（包括受理點）應嚴格依照其內(nèi)部流程進行操作，在證書吊銷后，國富安CA或RA（包括受理點）將通過適當方式，包括郵件、等，通知最終訂戶證書已被吊銷及吊銷的理由。訂戶能夠通過各種方式要求吊銷自己的證書，包括：①證書用戶向國富安CA及RA（包括受理點）當面提出申請，要求作廢其證書；②證書訂戶在線訪問國富安CA系統(tǒng)，依照證書申請時的愛護密碼進行在線吊銷申請；③證書訂戶通過或其他渠道通知國富安CA或RA（包括受理點）需要吊銷證書，國富安CA或RA（包括受理點）接到證書吊銷申請后，依照其他途徑和方式，如、、快遞等方式核實吊銷身份后進行吊銷操作。4.9.4 吊銷要求寬限期假如顯現(xiàn)私鑰泄漏或組織機構授權人證書，被授權人差不多離開組織，不能代表該組織機構從事與組織有關的業(yè)務等事件，吊銷要求必須在發(fā)覺泄漏或人員離職8小時之內(nèi)提出。其它緣故的吊銷要求必須在24小時內(nèi)提出。4.9.5 電子認證服務機構處理吊銷要求的時限吊銷申請一樣在批準后24小時后生效，專門緊急情形下能夠趕忙生效（假使網(wǎng)絡傳輸條件能夠保證）。生效表示國富安CA將在證書黑名單庫中公布被吊銷的證書。關于測試證書的作廢，不提供黑名單公布，但將在證書資源庫中刪除該測試證書。4.9.6 依靠方檢查證書吊銷的要求依靠方是否檢查證書吊銷完全取決于應用的安全要求。專門多的應用本身建有用戶帳戶數(shù)據(jù)庫并基于用戶帳戶進行應用操縱，數(shù)字證書在此只起身份鑒別的，在這種情形下檢查證書是否吊銷不一定是必須的。4.9.7 CRL公布頻率國富安CA至少每24小時更新和公布黑名單(CRL),依靠方依照國富安CA最新公布的CRL確認使用的證書是否被列入黑名單，國富安CA依照情形，有可能會實時公布黑名單。4.9.8 CRL公布的最大滯后時刻一個證書從它被吊銷到它被公布到CRL上的滯后時刻不超過24小時。4.9.9 在線狀態(tài)查詢的可用性國富安CA提供證書狀態(tài)的在線查詢服務（OCSP），該服務7X24小時可獲得。4.9.10在線狀態(tài)查詢要求依靠方是否進行在線狀態(tài)查詢完全取決于應用的安全要求。專門多的應用本身建有用戶帳戶數(shù)據(jù)庫并基于用戶帳戶進行應用操縱，數(shù)字證書在此只起身份鑒別的，在這種情形下在線狀態(tài)查詢不一定是必需的。關于安全保證要求高同時完全依靠證書進行身份鑒別與授權的應用，依靠方在信任一個證書前必須通過證書狀態(tài)在線查詢檢查該證書的狀態(tài)。4.9.11吊銷信息的其他公布形式除了CRL、OCSP外，國富安CA的LDAP提供CRL查詢。4.9.12密鑰損害的專門要求不管是最終訂戶依舊國富安CA、注冊機構，發(fā)覺證書密鑰受到安全損害時應趕忙吊銷證書。4.10證書狀態(tài)服務國富安CA通過CRL、OCSP、LDAP提供證書狀態(tài)服務。4.10.1操作特點國富安CA的證書狀態(tài)查詢以網(wǎng)絡服務的形式提供。CRL通過80端口采納協(xié)議提供。OCSP符合RFC2560，反映證書的當前狀態(tài)。證書名目LDAP符合LDAPV3（RFC3377，2251-2256，2829-2830）4.10.2服務可用性國富安CA的CRL、OCSP證書狀態(tài)服務須保證7X24可用，同時采納了冗余技術。4.10.3可選特點 無4.11訂購終止當證書到期或證書被吊銷則認為國富安CA或RA（包括受理點）與訂戶關系終止。4.12密鑰生成、備份與復原國富安CA依據(jù)國家治理規(guī)定，提供加密證書密鑰的集中治理和復原。4.12.1密鑰生成、備份與復原的策略與行為訂戶加密證書密鑰對能夠由國富安CA的密鑰治理中心系統(tǒng)集中安全產(chǎn)生和儲存，密鑰復原是一種嚴格受控的過程，只有在如下情形下才承諾進行密鑰復原：1）證書持有人提出申請；2）國家執(zhí)法、司法機構因執(zhí)法、司法的需要；3）國家其他治理部門治理需要。密鑰復原只有在必須的情形下才進行，同時申請要提出充分的理由和提供有關文件、資料。4.12.2會話密鑰的封裝與復原的策略與行為無認證機構設施、治理和操作操縱國富安CA系統(tǒng)建設遵循了國家規(guī)定的技術性安全操縱規(guī)范，這些規(guī)范關于國富安CA的權威性是十分關鍵的，將最大限度的減少CA遭受攻擊的情形發(fā)生。5.1物理操縱系統(tǒng)的物理安全和環(huán)境安全是整個國富安CA系統(tǒng)安全的基礎，它包括基礎設施的處理、周邊環(huán)境的監(jiān)控、區(qū)域訪問操縱、設備安全及災難預防等。為把國富安CA系統(tǒng)的危險減至最低限度，國富安CA選擇設施的適當位置，充分考慮水災、地震、電磁干擾與輻射、犯罪活動以及工業(yè)事故等的威逼。國富安CA物理場地滿足以下安全要求，有效的操縱風險：①防止物理非法進入，7-9層物理結構及完善的安全治理體系愛護國富安CA的運營設施和知識產(chǎn)權；②防止未經(jīng)授權的物理訪問，確保未經(jīng)授權的人或僅被授權訪問有限物理區(qū)域的人員不得訪問國富安CA機房的受限區(qū)域；③愛護國富安CA系統(tǒng)服務的完整性、可用性，保證提供國富安CA服務的系統(tǒng)、設施不受到破壞，保證認證服務不被中斷。5.1.1場地位置與操縱參照標準要求GB2887-89《運算站場地技術條件》GB50174-93《電子運算機機房設計規(guī)范》GB6650—86《運算機機房活動地板技術要求》GBJ79—85《通信接地設計規(guī)范建筑內(nèi)部裝修設計防火規(guī)范》GBJ19-87《采暖通風與空氣調(diào)劑設計規(guī)范》GB50222—95《建筑內(nèi)部裝修設計防火規(guī)范》GB6650—95《高層民用建筑設計防火規(guī)范》GB7450—87《電子設備雷擊愛護守則》GBJ52-82《工業(yè)與民用供電系統(tǒng)設計規(guī)范》GBJ54-83《低壓配電裝置及線路設計規(guī)范》GB232-82《電氣裝置安裝工程及驗收規(guī)范》JB16-83《建筑電氣設計技術規(guī)范》GBJ79-85《工業(yè)企業(yè)通信接地設計規(guī)范》GB50222-95《建筑內(nèi)部裝修設計防火規(guī)范》GBJ116-88《火災自動報警設計規(guī)范》CECS89-97《建筑與建筑群綜合布線系統(tǒng)施工及驗收規(guī)范》GBJ300-88《建筑安裝工程質量檢驗評定統(tǒng)一標準》GB115-87《工業(yè)電視監(jiān)控系統(tǒng)工程設計規(guī)范》GB－12190《高性能室效能的測量方法》GJBZ20219-94《軍用電磁室通用技術要求和檢測方法》C級標準

機房設計指標的要求溫度：國家標準B級23℃±5相對濕度：國家標準B級55%±15%溫度變化率小于10%，不凝露塵埃：粒徑≥0.5um個數(shù)≤18000/dm3噪音：運算機開機條件下，主機操作員位置A≤68dB接地：運算機系統(tǒng)直流邏輯地電阻值≤0.9Ω運算機系統(tǒng)交流工作地電阻值≤1Ω運算機系統(tǒng)安全愛護地電阻值≤1Ω運算機系統(tǒng)防雷愛護地電阻值≤4Ω依照運算機系統(tǒng)的要求，建議運算機系統(tǒng)直流邏輯地獨立設置。而運算機系統(tǒng)交流工作地、安全愛護地、防雷愛護地直截了當接在大樓綜合地上。零地電位差≤1V電壓：國家標準B級三相電壓為380V，波動不大于±8%單相電壓為220V，波動不大于±8%頻率：國家標準B級50Hz±0.5Hz諧波成份：在機器運行時≤3%負荷分配：三相電流不平穩(wěn)度≤20%三相電壓不平穩(wěn)度≤5照度：離地面0.8m處，照度B不應低于300LX，差不多工作間和第一類輔助房間不低于200LX，應急照明離地面0.8m處不應低于10LX。要緊通道及有關房間的照度在距地面0.8m處不應低于2LX。電磁干擾：機房內(nèi)無線電雜波干擾在頻率范疇0.15MHz~1000MHz時不大于126Db。磁場干擾強度≤800A/m（相當于10Oe）主機房內(nèi)絕緣體靜電電位：≤1kV在運算機系統(tǒng)停機條件下主機房地板表面垂直及水平向的振動加速度值，不應大于500mm/s2

機房區(qū)域劃分依照制定的安全策略，將機房分為三個區(qū)域，分別為公共治理區(qū)、CA區(qū)和KMC區(qū)。CA區(qū)包括CA核心區(qū)、CA治理區(qū)、RA服務區(qū)：統(tǒng)稱證書認證中心，簡稱CA。CA核心區(qū)屏蔽機房與外界區(qū)域利用通頂隔墻進行愛護，防止通過天花板下面的假平頂進入。必須采納六面鋼板進行屏蔽處理，以防止電磁干擾，增加系統(tǒng)的安全性。CA中其他區(qū)域采納通頂隔墻進行隔離，便于愛護治理。CA所有出入門由門禁出入卡系統(tǒng)進行操縱，并在安全區(qū)采納指紋識別與智能卡結合的方式實施。每個區(qū)域都安裝視頻監(jiān)控系統(tǒng)、防侵入系統(tǒng)、機械組合鎖等裝置。按防火管制的要求，最少設置兩個出入口。KMC區(qū)包括KMC治理區(qū)、KMC核心區(qū)：統(tǒng)稱密鑰治理中心，簡稱KMC。它是一個相對獨立的區(qū)域，整個區(qū)域必須用六面鋼板進行處理。KMC機房采納屏蔽專用室、門，以防止電磁干擾，增加系統(tǒng)的安全性。KMC區(qū)域與外界區(qū)域利用通頂隔墻進行愛護，防止通過天花板下面的假平頂進入。KMC主機房與KMC治理區(qū)采納通頂隔墻進行隔離，便于愛護治理。KMC中的所有區(qū)域的進出采取指紋識別加智能卡進行操縱。每個區(qū)域都安裝視頻監(jiān)控系統(tǒng)、防侵入系統(tǒng)、機械組合鎖等裝置。5.1.2物理訪問機房內(nèi)部一律禁止參觀，只有通過國富安CA授權的人員才能進入授權的部位和工作地點。機房采納高安全性的監(jiān)控技術，包括生物活體探測、指紋、門警等監(jiān)控技術，以確保物理通道的安全。國富安CA機房實行7*24小時自動監(jiān)控。監(jiān)控記錄文件包括對機房通道上的所有蹤跡的記錄。所有國富安CA被授權的職員在限制區(qū)域活動都需要有國富安CA人員的陪同。國富安CA授權的人員清單會提供給國富安CA，以保證只有經(jīng)授權的國富安CA職員才能進入機房，關于要進入機房的國富安CA的來訪者,他們需要有一位經(jīng)國富安CA授權的職員陪同。5.1.3電源和空調(diào)CA系統(tǒng)供電得到了充分保證，使用不間斷電源（UPS），幸免電源波動，采納雙電源，在單路電源損壞時，能夠自動切換，堅持系統(tǒng)正常運轉。CA系統(tǒng)空調(diào)系統(tǒng)使用中央空調(diào)和冷卻設備，并采納獨立空調(diào)作為備份。國富安CA對CA系統(tǒng)的電源、空調(diào)等物理要求，應該與機房所在地點的物業(yè)治理機構進行和諧，使現(xiàn)有的要求得到滿足。國富安CA的要求參照電信設施治理的規(guī)定,而且每年對是否符合要求進行檢查。5.1.4防水國富安CA保證CA系統(tǒng)能夠防止水的腐蝕。國富安CA對CA系統(tǒng)的防水要求,在機房建設時差不多考慮了采取相應的措施。5.1.5防火充分保證CA系統(tǒng)幸免火災的威逼。國富安CA對CA系統(tǒng)防火的要求，在機房建設之初差不多加以考慮，并采取了有效措施。5.1.6儲備介質愛護CA系統(tǒng)中使用的儲備介質必須得到安全可靠的愛護，幸免諸如：溫度、濕度和磁力等環(huán)境變化可能產(chǎn)生的危害和破壞。5.1.7廢物處理當國富安CA存檔的敏銳數(shù)據(jù)或密鑰已不再需要或存檔的期限已滿時，應當將這些數(shù)據(jù)進行銷毀。寫在紙張之上的，必須切碎或燒毀。假如儲存在磁盤中，應多次重寫覆蓋磁盤的儲備區(qū)域，其他介質以不可復原原則進行相應的銷毀處理。5.1.8異地備份介質國富安CA同時提供異地的備份，異地備份的使用在國富安CA災難復原打算中規(guī)定。5.1.9RA（包括受理點）的物理操縱國富安CA注冊機構即RA（包括受理點）的物理場地也需要有足夠的安全措施，保證只有授權的人員才能進入，只有授權的人員才能接觸系統(tǒng)進行證書治理，國富安CA在遵循此CPS的前提下有制定異地RA（包括受理點）的建設和運營方案的權益和義務。5.2操作過程操縱5.2.1CA系統(tǒng)治理人員⑴CA系統(tǒng)用戶⑵由CA初始化工具產(chǎn)生，由安全治理小組指定。⑶CA系統(tǒng)超級治理員、安全審計員⑷CA超級治理員、安全審計員由三個CA系統(tǒng)用戶共同登錄后方可生成。這些角色由安全治理小組指定。⑸CA業(yè)務治理員⑹由CA超級治理員產(chǎn)生⑺CA業(yè)務操作員⑻由CA業(yè)務治理員產(chǎn)生⑼RA超級治理員、RA安全審計員⑽由CA超級治理員產(chǎn)生，由安全治理小組指定。⑾RA業(yè)務治理員⑿由RA超級治理員產(chǎn)生⒀RA業(yè)務操作員⒁由RA業(yè)務治理員產(chǎn)生5.2.2運營安全治理小組依照安全治理策略和規(guī)范要求，安全治理小組由國富安CA領導和相關安全專家和顧問組成，日常設置安全官員，其要緊職責和義務如下：①制定CA的安全策略；②指導CA的安全治理；③設計和指導CA的安全策略實施；④對CA的安全治理進行定期的檢查和評估；⑤對安全策略和執(zhí)行程序的日常堅持；安全官員對安全的三個關鍵領域負有全面的責任，即：開發(fā)與執(zhí)行安全策略，愛護與完善安全策略，保持安全審計的一致性。5.2.3每一項任務需要的人數(shù)國富安CA確保單個人不能接觸、導出、復原、更新、撤銷CA儲備的CA證書對應的私鑰。至少三個人，使用一項對參加操作人員保密的密鑰分割和合成技術，來進行任何密鑰復原的操作。國富安CA關于其運行和操作相關的職能有明確的分工，貫徹互相牽制的安全機制。5.2.4安全令牌操縱所有國富安CA的在職人員,必須通過認證后,依照作業(yè)性質和職位權限的情形,發(fā)放需要的系統(tǒng)操作卡、門禁卡、登錄密碼、操作證書、作業(yè)賬號等安全令牌，關于使用安全令牌的職員，CA系統(tǒng)將獨立完整地記錄其所有的操作行為。所有CA在職人員必須確保：①發(fā)放的安全令牌只直截了當屬于個人或組織所有；②發(fā)放的安全令牌不承諾共享；③國富安CA的系統(tǒng)和程序通過識別不同的令牌對操作者進行權限操縱。5.3人員操縱5.3.1人員背景審查國富安CA職員的錄用通過嚴格的審查，依照崗位需要，增加相應可信任的職員。職員需要有3個月的考察期，關鍵部位的職員考察期為半年，核心部位的職員考察期為1年。依照考察的結果安排相應的工作，或者辭退。國富安CA依照需要，對職員進行職責、崗位、技術、政策、法律、安全等方面的培訓。國富安CA會對其關鍵的CA職員進行嚴格的背景調(diào)查，RA(包括RA、受理點)操作員的審查能夠參照國富安CA對可信任職員的考察方式進行。RA(包括RA、受理點)責任單位能夠在此基礎上增加考察和培訓條款，但不得違抗國富安CA證書受理的規(guī)程和國富安CACPS中的相關條款。國富安CA確立流程治理規(guī)則，據(jù)此，CA職員受到合同和章程的約束不許泄露國富安CA證書服務體系的敏銳信息,所有的職員與國富安CA簽訂保密協(xié)議合同期滿以后3年內(nèi)仍舊不得從事與國富安CA相類似的工作,由第三方公證機構對此加以公證。5.3.2背景審查的實現(xiàn)國富安CA與有關政府部門和調(diào)查機構合作,完成對國富安CA可信任職員的背景調(diào)查。5.3.3培訓要求國富安CA對國富安CA職員進行以下內(nèi)容的綜合性培訓:①CA安全原則和機制；②CA使用的軟件介紹；③CA操作的系統(tǒng)和網(wǎng)絡；④CA質量操縱體系；⑤崗位職責；⑥政策標準和程序；⑦相關法律、仲裁規(guī)則、治理方法等。5.3.4連續(xù)培訓要求依照國富安CA策略調(diào)整、系統(tǒng)更新等情形，國富安CA可能要求職員進行連續(xù)培訓以適應新的變化。5.3.5崗位分離國富安CA的運行職員和負責CA設計開發(fā)愛護的職員承擔不同的職責,雙方的崗位互相分離,為了保證安全,后者不能成為前者,即開發(fā)職員和運行職員分離的原則。5.3.6未授權行為的制裁當國富安CA職員被懷疑,或者已進行了未授權的操作,例如未經(jīng)授權濫用權益或超出權限使用CA系統(tǒng)或進行越權操作,國富安CA在得到信息后趕忙暫停該職員進入國富安CA證書服務體系。依照情節(jié)嚴峻程度，實施包括提交司法機關處理等措施。一旦發(fā)覺上述情形國富安CA趕忙撤銷或終止該人員的安全令牌。5.3.7系統(tǒng)搶修的要求國富安CA在系統(tǒng)遇到緊急情形，需要聯(lián)合搶修時，應至少有1名國富安CA安全事務專員在場，搶修人員在運行人員的陪同下，執(zhí)行監(jiān)督下許可的操作，所有操作修改都留有記錄。非國富安CA職員因物理、修理、消防、強電故障等情形，需要進入國富安CA數(shù)據(jù)中心實施修理時，必須報安全事務專員，經(jīng)同意后，認證修理者的身份，由國富安CA規(guī)定的可信任職員始終陪同和監(jiān)護，完成約定部位的修理。5.3.8工作輪換周期和順序關于可替換角色，國富安CA將依照業(yè)務的安排進行工作輪換。輪換的周期和順序，視業(yè)務的具體情形而定。5.3.9獨立合約人的要求對不屬于國富安CA內(nèi)部的工作人員，但從事國富安CA有關業(yè)務的人員等獨立簽約者(如RA機構包括受理點工作人員)，國富安CA的統(tǒng)一要求如下：①人員檔案進行備案治理；②具有相關業(yè)務的工作體會；③必須同意國富安CA組織的為期一周的崗前培訓。5.3.10提供給職員的文檔為使系統(tǒng)正常運行，必須提供給具有權限的相關人員各種文檔，包括但不限于：①加密機用戶手冊；②機房設備治理方法；③數(shù)字證書運營規(guī)范；④災難備份和復原方案；⑤名目服務器安裝配置手冊。5.4審計日志程序5.4.1記錄事件的類型國富安CA記錄與系統(tǒng)相關的事件，這些記錄信息稱為日志。關于這些日志，不管其載體是紙張依舊電子文檔的形式，必須包含事件發(fā)生的日期、事件的發(fā)生時刻段、事件的內(nèi)容和事件相關的實體等。國富安CA還可能記錄與系統(tǒng)不直截了當相關的事件，例如：物理通道參觀記錄、人事變動等。5.4.2處理或歸檔日志的周期國富安CA每周對日志進行審查，并對審查日志的行為進行備案。5.4.3審計日志的儲存期限國富安CA在數(shù)據(jù)庫儲存審計日志至少兩個月，離線儲存至少為十年。5.4.4審計日志的愛護國富安CA執(zhí)行嚴格的治理，確保只有國富安CA授權的人員才能對審查日志進行相應操作。日志處于嚴格的愛護狀態(tài)，嚴禁在未授權的情形下被訪問、閱讀、修改和刪除等操作，另外對日志要進行異地備份。審計日志的制作和訪問