國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái)

國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái)國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái)CA安全認(rèn)證共性服務(wù)中國國際電子商務(wù)中心國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái)課題組CA電子認(rèn)證業(yè)務(wù)規(guī)則V2.0名目TOC\o"1-5"\h\z國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái) 0CA安全認(rèn)證共性服務(wù) 01概括性描述 71.1概述 71.1.1證書類別 71.1.2證書分發(fā)服務(wù) 91.2文檔名稱與標(biāo)識(shí) 91.3電子認(rèn)證活動(dòng)參與方及其職責(zé) 101.3.1電子認(rèn)證服務(wù)機(jī)構(gòu) 101.3.2注冊(cè)機(jī)構(gòu) 111.3.3訂戶 121.3.4依靠方 121.3.5其他參與者 121.4證書應(yīng)用 121.4.1適合的證書應(yīng)用 121.4.2限制的證書應(yīng)用 121.5策略治理 131.5.1策略文檔治理機(jī)構(gòu) 131.5.2聯(lián)系人 131.5.3決定CPS符合策略的機(jī)構(gòu) 131.5.4CPS批準(zhǔn)程序 131.6定義和縮寫 132信息公布與信息治理 182.1認(rèn)證信息的公布 182.2公布的時(shí)刻或頻率 182.3信息庫訪問操縱 183身份標(biāo)識(shí)與鑒別 183.1命名 183.1.1名稱類型 183.1.2對(duì)名稱意義化的要求 193.1.3訂戶的匿名或偽名 193.1.4明白得不同名稱形式的規(guī)則 203.1.5名稱的唯獨(dú)性 203.1.6名稱解析 203.1.6商標(biāo)和訂戶簽名信息 203.2初始身份確認(rèn) 203.2.1 證明擁有私鑰的方法 203.2.2 組織機(jī)構(gòu)身份及其授權(quán)的鑒別 203.2.3 個(gè)人身份的鑒別 213.2.4虛擬身份鑒別 213.2.5 沒有驗(yàn)證的訂戶信息 223.3密鑰更新要求的標(biāo)識(shí)與鑒別 223.3.1 常規(guī)密鑰更新的標(biāo)識(shí)與鑒別 223.3.2 吊銷后密鑰更新的標(biāo)識(shí)與鑒別 223.4吊銷要求的標(biāo)識(shí)與鑒別 224證書生命周期操作要求 234.1證書申請(qǐng) 234.1.1證書申請(qǐng)實(shí)體 234.1.2注冊(cè)過程與責(zé)任 234.2證書申請(qǐng)?zhí)幚?234.2.1執(zhí)行識(shí)別與鑒別功能 234.2.2證書申請(qǐng)批準(zhǔn)和拒絕 234.2.3 處理證書申請(qǐng)的時(shí)刻 244.3證書簽發(fā) 244.3.1 證書簽發(fā)中注冊(cè)機(jī)構(gòu)和電子認(rèn)證服務(wù)機(jī)構(gòu)的行為 244.3.2 電子認(rèn)證服務(wù)機(jī)構(gòu)和注冊(cè)機(jī)構(gòu)對(duì)訂戶的通告 244.4證書同意 244.4.1 構(gòu)成同意證書的行為 244.4.2 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)證書的公布 244.4.3 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告 244.5密鑰對(duì)和證書的使用 254.5.1 訂戶私鑰和證書的使用 254.5.2 信任方公鑰和證書的使用 254.6證書更新 254.6.1 證書更新的情形 254.6.2 要求證書更新的實(shí)體 254.6.3 證書更新要求的處理 254.6.4 頒發(fā)新證書時(shí)對(duì)訂戶的通告 264.6.5 構(gòu)成同意更新證書的行為 264.6.6 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)更新證書的公布 264.6.7 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告 264.7證書變更 264.7.1 證書變更的情形 264.7.2 要求證書變更的實(shí)體 264.7.3 證書變更要求的處理 264.7.4 頒發(fā)新證書時(shí)對(duì)訂戶的通告 274.7.5 構(gòu)成同意變更證書的行為 274.7.6 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)變更證書的公布 274.7.7 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告 274.8證書吊銷和掛起 274.8.1 證書吊銷的情形 274.9.2 要求證書吊銷的實(shí)體 284.9.3 吊銷要求的流程 284.9.4 吊銷要求寬限期 284.9.5 電子認(rèn)證服務(wù)機(jī)構(gòu)處理吊銷要求的時(shí)限 294.9.6 依靠方檢查證書吊銷的要求 294.9.7 CRL公布頻率 294.9.8 CRL公布的最大滯后時(shí)刻 294.9.9 在線狀態(tài)查詢的可用性 294.9.10在線狀態(tài)查詢要求 294.9.11吊銷信息的其他公布形式 304.9.12密鑰損害的專門要求 304.10證書狀態(tài)服務(wù) 304.10.1操作特點(diǎn) 304.10.2服務(wù)可用性 304.10.3可選特點(diǎn) 304.11訂購終止 304.12密鑰生成、備份與復(fù)原 304.12.1密鑰生成、備份與復(fù)原的策略與行為 314.12.2會(huì)話密鑰的封裝與復(fù)原的策略與行為 315認(rèn)證機(jī)構(gòu)設(shè)施、治理和操作操縱 315.1物理操縱 315.1.1場地位置與操縱 325.1.2物理訪問 345.1.3電源和空調(diào) 345.1.4防水 355.1.5防火 355.1.6儲(chǔ)備介質(zhì)愛護(hù) 355.1.7廢物處理 355.1.8異地備份介質(zhì) 355.1.9RA（包括受理點(diǎn)）的物理操縱 365.2操作過程操縱 365.2.1CA系統(tǒng)治理人員 365.2.2運(yùn)營安全治理小組 365.2.3每一項(xiàng)任務(wù)需要的人數(shù) 365.2.4安全令牌操縱 375.3人員操縱 375.3.1人員背景審查 375.3.2背景審查的實(shí)現(xiàn) 385.3.3培訓(xùn)要求 385.3.4連續(xù)培訓(xùn)要求 385.3.5崗位分離 385.3.6未授權(quán)行為的制裁 385.3.7系統(tǒng)搶修的要求 385.3.8工作輪換周期和順序 395.3.9獨(dú)立合約人的要求 395.3.10提供給職員的文檔 395.4審計(jì)日志程序 395.4.1記錄事件的類型 395.4.2處理或歸檔日志的周期 395.4.3審計(jì)日志的儲(chǔ)存期限 405.4.4審計(jì)日志的愛護(hù) 405.4.5審計(jì)日志備份程序 405.4.6審計(jì)日志收集系統(tǒng) 405.4.7對(duì)導(dǎo)致事件實(shí)體的通告 405.4.8脆弱性評(píng)估 415.5記錄歸檔 415.5.1存檔記錄類型 415.5.2存檔的保留期限 415.5.3檔案的愛護(hù) 415.5.4存檔備份 425.5.5為記錄加上時(shí)刻戳 425.5.6檔案收集系統(tǒng) 425.5.7驗(yàn)證檔案信息 425.6密鑰轉(zhuǎn)換 425.6.1密鑰轉(zhuǎn)換定義 425.6.2CA證書有效期 425.6.3CRL 435.7災(zāi)難復(fù)原 435.7.1國富安CA遭到攻擊造成災(zāi)難時(shí)的復(fù)原 435.7.2CA證書公鑰被撤銷 435.7.3CA證書私鑰被攻破 435.7.4自然災(zāi)難或其他災(zāi)難后采取的安全措施 435.8國富安CA終止提供服務(wù) 436認(rèn)證系統(tǒng)技術(shù)安全操縱 446.1密鑰對(duì)的生成和安裝 446.1.1密鑰對(duì)的生成 446.1.2私鑰傳送給訂戶 456.1.3公鑰傳送給證書簽發(fā)機(jī)構(gòu) 456.1.4電子認(rèn)證服務(wù)機(jī)構(gòu)公鑰傳送給依靠方 456.1.5密鑰的長度 456.1.6公鑰參數(shù)的生成和質(zhì)量檢查 456.1.7密鑰使用目的 456.2私鑰的安全保證 466.2.1密碼模塊標(biāo)準(zhǔn)和操縱 466.2.2私鑰的多人操縱 466.2.3私鑰的托管 466.2.4私鑰備份 466.2.5私鑰歸檔 476.2.6私鑰導(dǎo)入或?qū)С雒艽a模塊 476.2.7私鑰在密碼模塊中的儲(chǔ)備 476.2.8激活私鑰的方法 476.2.9解除私鑰激活狀態(tài)的方法 486.2.10銷毀密鑰的方法 486.2.11密碼模塊的評(píng)估 486.3密鑰對(duì)治理的其他方面 486.3.1公鑰歸檔 486.3.2證書操作期和密鑰對(duì)使用期限 496.4激活數(shù)據(jù) 496.4.1激活數(shù)據(jù)的產(chǎn)生和安裝 496.4.2激活數(shù)據(jù)的愛護(hù) 496.4.3激活數(shù)據(jù)的其他方面 50激活數(shù)據(jù)的傳送 50激活數(shù)據(jù)的銷毀 506.5運(yùn)算機(jī)安全操縱 506.5.1專門的運(yùn)算機(jī)安全技術(shù)要求 506.5.2運(yùn)算機(jī)安全評(píng)估 516.6生命周期技術(shù)操縱 516.6.1系統(tǒng)開發(fā)操縱 516.6.2安全治理操縱 516.6.3生命周期的安全操縱 516.7網(wǎng)絡(luò)的安全操縱 516.8時(shí)刻戳 527證書、證書吊銷列表和在線證書狀態(tài)協(xié)議 527.1證書 527.1.1證書版本號(hào) 527.1.2證書擴(kuò)展項(xiàng) 527.1.3證書格式 537.1.4算法對(duì)象標(biāo)識(shí)符 587.2證書吊銷列表 597.2.1版本號(hào) 597.2.2CRL和CRL條目擴(kuò)展項(xiàng) 597.3在線證書狀態(tài)協(xié)議 597.3.1版本號(hào) 597.3.2OCSP差不多域 597.3.3OCSP擴(kuò)展域 608認(rèn)證機(jī)構(gòu)審計(jì)和其他評(píng)估 608.1 評(píng)估的頻率或情形 608.2 評(píng)估者的資質(zhì) 608.3 評(píng)估者與被評(píng)估者之間的關(guān)系 608.4 評(píng)估內(nèi)容 618.5 對(duì)問題與不足采取的措施 618.6 評(píng)估結(jié)果的傳達(dá)與公布 618.7其他評(píng)估 619法律責(zé)任和其他業(yè)務(wù)條款 619.2 財(cái)務(wù)責(zé)任 629.2.1 保險(xiǎn)范疇 629.2.2 其他資產(chǎn) 629.2.3 對(duì)最終實(shí)體的保險(xiǎn)或擔(dān)保 629.3 業(yè)務(wù)信息保密 629.3.1 保密信息范疇 629.3.2 不屬于保密的信息 639.3.3 愛護(hù)保密信息的責(zé)任 639.4 個(gè)人隱私保密 639.4.1 隱私保密方案 639.4.2 作為隱私處理的信息 639.4.3 不被視為隱私的信息 639.4.4 愛護(hù)隱私的責(zé)任 639.4.5 使用隱私信息的告知與同意 639.4.6 依法律或行政程序的信息披露 649.4.7 其他信息披露情形 649.5 知識(shí)產(chǎn)權(quán) 649.6 陳述與擔(dān)保9.6.1電子認(rèn)證服務(wù)機(jī)構(gòu)的陳述與擔(dān)保 649.6.2 注冊(cè)機(jī)構(gòu)的陳述與擔(dān)保 679.6.4 依靠方的陳述與擔(dān)保 699.6.5 其他參與者的陳述與擔(dān)保 699.7 擔(dān)保免責(zé) 699.8 有限責(zé)任 709.9 賠償 709.10有效期限與終止 719.10.1有效期限 719.10.2終止 719.10.3效力的終止與保留 719.11對(duì)參與者的個(gè)別通告與溝通 719.12修訂 729.12.1修訂程序 729.12.2通知機(jī)制和期限 729.12.3必須修改業(yè)務(wù)規(guī)則的情形 729.13爭議處理 729.14管轄法律 739.15與適用法律的符合性 739.16一樣條款 739.16.1完整協(xié)議 739.16.2分割性 739.16.3強(qiáng)制執(zhí)行 739.16.4不可抗力 739.16.5其他條款 74概括性描述1.1概述北京國富安電子商務(wù)安全認(rèn)證成立于1998年12月，簡稱“國富安CA”。國富安CA是在公眾網(wǎng)絡(luò)（例如CHINANET、CIETNET等，以下簡稱公網(wǎng)）上進(jìn)行電子商務(wù)活動(dòng)的安全基礎(chǔ)設(shè)施。該體系和與之配套的安全技術(shù)在整個(gè)公眾電子商務(wù)平臺(tái)中處于基礎(chǔ)結(jié)構(gòu)地位。國富安CA安全認(rèn)證體系的設(shè)計(jì)和建設(shè)符合各項(xiàng)國際安全協(xié)議標(biāo)準(zhǔn)。國富安CA簽發(fā)的證書格式遵循國際電聯(lián)（ITU）X.509標(biāo)準(zhǔn)。2006年2月，國富安數(shù)字證書認(rèn)證系統(tǒng)通過國家密碼治理局安全性審查。國富安CA嚴(yán)格按照《中華人民共和國電子簽名法》和《電子認(rèn)證服務(wù)治理方法》的要求，以及相關(guān)治理規(guī)定，提供數(shù)字證書的申請(qǐng)、頒發(fā)、存檔、查詢、廢止等服務(wù)，并通過以PKI技術(shù)、數(shù)字證書應(yīng)用技術(shù)為核心的應(yīng)用安全解決方案。北京國富安電子商務(wù)安全認(rèn)證電子認(rèn)證業(yè)務(wù)規(guī)則由北京富安電子商務(wù)安全認(rèn)證按照信息產(chǎn)業(yè)部《電子認(rèn)證服務(wù)治理方法》的要求，依據(jù)《電子認(rèn)證業(yè)務(wù)規(guī)則規(guī)范（試行）》制定。本《電子認(rèn)證業(yè)務(wù)規(guī)則》詳細(xì)闡述了國富安CA在實(shí)際工作和運(yùn)營中所遵循的各項(xiàng)規(guī)范。本《電子認(rèn)證業(yè)務(wù)規(guī)則》適用于國富安CA及其職員、注冊(cè)機(jī)構(gòu)、證書申請(qǐng)方、訂戶和依靠方，各參與方必須完整明白得和執(zhí)行《電子認(rèn)證業(yè)務(wù)規(guī)則》所規(guī)定的條款并承擔(dān)相應(yīng)的責(zé)任和義務(wù)。1.1.1證書類別國富安CA證書策略依照社會(huì)活動(dòng)中參與的實(shí)體不同定義了五類證書。在每類證書中又依照其承擔(dān)的法律責(zé)任、安全保證級(jí)別、用途等又進(jìn)行了細(xì)分，目的是為了更好的保證各參與方的權(quán)益和義務(wù)。一類證書是個(gè)人證書，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。按照安全保證級(jí)別和具體用途分為如下幾種：自然人證書，提供差不多的安全保證，代表法定公民在中華人民共和國境內(nèi)從事社會(huì)活動(dòng)的網(wǎng)絡(luò)身份，與個(gè)人在社會(huì)中的職務(wù)與地位沒有關(guān)系，如同公安局發(fā)的身份證一樣；只承擔(dān)由個(gè)人行為所引發(fā)的責(zé)任。依據(jù)訂戶的要求，該類證書能夠與自然人的電子名章相對(duì)應(yīng)。自然人證書里能夠包含職業(yè)資格要素，增加國家法定承認(rèn)的職業(yè)資格鑒定。組織機(jī)構(gòu)、企業(yè)授權(quán)人證書，提供比自然人證書更高一級(jí)的安全保證，代表個(gè)人在組織機(jī)構(gòu)、企業(yè)中的職務(wù)和地位，每一個(gè)人在不同的組織機(jī)構(gòu)、企業(yè)中能夠擁有不同的授權(quán)人證書，承擔(dān)與所代表組織、機(jī)構(gòu)內(nèi)相應(yīng)的責(zé)任。組織機(jī)構(gòu)、企業(yè)法人證書，該證書代表組織機(jī)構(gòu)、企業(yè)的注冊(cè)法人，與組織機(jī)構(gòu)、企業(yè)的唯獨(dú)身份證書具有相同的用途，承擔(dān)相同的責(zé)任與義務(wù)，依據(jù)訂戶的要求，該類證書能夠與組織機(jī)構(gòu)、企業(yè)的法人名章相對(duì)應(yīng)。關(guān)于同一實(shí)體自然人來說，為了應(yīng)用的方便，組織機(jī)構(gòu)、企業(yè)法人證書、組織機(jī)構(gòu)、企業(yè)授權(quán)人證書、自然人證書能夠依次由上一級(jí)證書代替實(shí)現(xiàn)其用途，但國富安CA會(huì)在訂戶證書申請(qǐng)時(shí)說明從安全角度動(dòng)身，訂戶應(yīng)遵循安全保證級(jí)別越高的證書使用次數(shù)及途徑越少的原則。二類證書是組織機(jī)構(gòu)、企業(yè)證書，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。這類證書從安全保證級(jí)別和組織機(jī)構(gòu)、企業(yè)行政部門以及具體用途不同有如下幾種：組織機(jī)構(gòu)、企業(yè)身份證書，代表組織機(jī)構(gòu)在中華人民共和國境內(nèi)網(wǎng)絡(luò)身份，直截了當(dāng)或間接(通過托付授權(quán)人證書)承擔(dān)企業(yè)網(wǎng)上行為責(zé)任。依據(jù)訂戶的要求，該類證書能夠與組織機(jī)構(gòu)、企業(yè)的電子公章或合同章相對(duì)應(yīng)。組織機(jī)構(gòu)、企業(yè)部門證書，由組織機(jī)構(gòu)、企業(yè)授權(quán)代表組織機(jī)構(gòu)、企業(yè)部門，承擔(dān)其所在部門內(nèi)的責(zé)任和義務(wù)。依據(jù)訂戶的要求，該類證書能夠與相應(yīng)部門的電子業(yè)務(wù)章相對(duì)應(yīng)。三類證書為設(shè)備、服務(wù)器證書，依照設(shè)備歸屬實(shí)體又分為個(gè)人服務(wù)器證書和組織機(jī)構(gòu)、企業(yè)服務(wù)器證書。個(gè)人服務(wù)器證書代表以個(gè)人申請(qǐng)的域名或其他設(shè)備證書，由于該域名或設(shè)備為個(gè)人擁有，依照法律不能從事經(jīng)營活動(dòng)，因此不承擔(dān)由此引發(fā)的責(zé)任，該證書僅保證該域名或設(shè)備的身份，負(fù)責(zé)建立安全對(duì)話連接和身份證明。組織機(jī)構(gòu)、企業(yè)服務(wù)器證書，代表由組織機(jī)構(gòu)、企業(yè)申請(qǐng)的域名或設(shè)備證書，由于該域名為企業(yè)擁有，代表組織機(jī)構(gòu)、企業(yè)從事電子商務(wù)和其他經(jīng)營活動(dòng)，因此承擔(dān)由此引發(fā)的責(zé)任，該證書不僅保證該域名或設(shè)備的身份，國富安CA簽發(fā)的這類證書在滿足《中華人民共和國電子簽名法》的其他規(guī)定要求下，由其產(chǎn)生的電子簽名符合《中華人民共和國電子簽名法》的要求。四類證書為學(xué)生證書，代表中華人民共和國境內(nèi)的大、中、小學(xué)生實(shí)體身份，但由于學(xué)生不承擔(dān)相應(yīng)的民事責(zé)任，因此該類證書只表示學(xué)生的真實(shí)身份，該類證書的簽名也具有相應(yīng)的法律效應(yīng)，但不承擔(dān)由此引起的賠償責(zé)任。學(xué)生不能用該證書從事有經(jīng)濟(jì)賠償責(zé)任的電子商務(wù)和其他社會(huì)活動(dòng)，只能用于學(xué)校或教育的內(nèi)部治理。五類證書是虛擬證書，提供基于網(wǎng)絡(luò)虛擬主體應(yīng)用的安全愛護(hù)，比如針對(duì)電子郵箱的安全電子郵件證書和針對(duì)即時(shí)通信的QQ、MSN號(hào)證書，能夠應(yīng)用于安全電子郵件、安全即時(shí)通信的簽名、加密以及建立安全通話通道，由于該類證書中的最終實(shí)體并不能和現(xiàn)實(shí)社會(huì)中的實(shí)體一一對(duì)應(yīng)，因此該類證書所產(chǎn)生的電子簽名僅代表虛擬實(shí)體的愿望。國富安CA并不保證虛擬實(shí)體所產(chǎn)生的電子簽名代表其所對(duì)應(yīng)的真實(shí)實(shí)體，即電子簽名人的意愿，因此該類證書不承擔(dān)由此引發(fā)的法律責(zé)任。1.1.2證書分發(fā)服務(wù)國富安CA通過其承擔(dān)相應(yīng)責(zé)任的RA注冊(cè)機(jī)構(gòu)，包括在其CA認(rèn)證機(jī)房和自建分布在全國各地、以及建立在其他組織機(jī)構(gòu)中、遵從于本電子認(rèn)證業(yè)務(wù)規(guī)則的RA注冊(cè)機(jī)構(gòu)進(jìn)行證書批準(zhǔn)、簽發(fā)、治理、使用和吊銷、更新等安全服務(wù)，國富安CA會(huì)在其運(yùn)營網(wǎng)站公布各RA注冊(cè)機(jī)構(gòu)的有關(guān)信息。1.2文檔名稱與標(biāo)識(shí)本文檔名稱為國富安CA電子認(rèn)證業(yè)務(wù)規(guī)則（CPS），目前版本號(hào)為V2.0。1.3電子認(rèn)證活動(dòng)參與方及其職責(zé)國富安CA是依照《中華人民共和國電子簽名法》和《電子認(rèn)證服務(wù)治理方法》規(guī)定，依法設(shè)立的第三方電子認(rèn)證服務(wù)機(jī)構(gòu)。國富安CA秉承國際領(lǐng)先的PKI技術(shù)，總體分為兩層，第一層為根CA，第二層為運(yùn)營CA，能夠依照其電子認(rèn)證業(yè)務(wù)規(guī)則依據(jù)其策略向不同行業(yè)和領(lǐng)域擴(kuò)展其信任體系。運(yùn)營CA由CA系統(tǒng)、RA系統(tǒng)和LA受理點(diǎn)三部分組成，以下為其系統(tǒng)示意圖：根CA根CA國富安運(yùn)營CA1國富安運(yùn)營CA2國富安RA系統(tǒng)１托管RA系統(tǒng)2RA系統(tǒng)3國富安LA１LA4國富安LA2托管LA3證書用戶1.3.1電子認(rèn)證服務(wù)機(jī)構(gòu)電子認(rèn)證服務(wù)系統(tǒng)CA（CertificationAuthority）系統(tǒng)承擔(dān)證書簽發(fā)、審批、吊銷、查詢、證書及黑名單公布、密鑰和證書治理、政策制定等工作，設(shè)在國富安CA北京經(jīng)濟(jì)技術(shù)開發(fā)區(qū)運(yùn)營主機(jī)房，不直截了當(dāng)面對(duì)用戶證書，采納兩層結(jié)構(gòu)，第一層為根CA，負(fù)責(zé)制定國富安CA電子認(rèn)證總體政策與策略，為下級(jí)運(yùn)營CA簽發(fā)并治理CA證書，負(fù)責(zé)與其他CA信任體系進(jìn)行交叉認(rèn)證。第二層為運(yùn)營CA，直截了當(dāng)為用戶簽發(fā)并治理數(shù)字證書，該層CA能夠依照用戶證書策略不同分為多個(gè)運(yùn)營CA。1.3.2注冊(cè)機(jī)構(gòu)注冊(cè)機(jī)構(gòu)作為電子認(rèn)證服務(wù)機(jī)構(gòu)授權(quán)托付的下屬機(jī)構(gòu)，包括注冊(cè)系統(tǒng)（RA系統(tǒng)），和證書受理點(diǎn)（LA），負(fù)責(zé)用戶證書的申請(qǐng)、審批和證書治理，直截了當(dāng)面向證書用戶；一樣情形下LA證書受理點(diǎn)進(jìn)行用戶身份鑒定和證書信息錄入，提交到RA系統(tǒng)把證書申請(qǐng)信息傳遞到CA。國富安CA的RA系統(tǒng)分為自建RA和授權(quán)RA，每個(gè)RA系統(tǒng)下面能夠依照系統(tǒng)能力建立多個(gè)LA證書受理點(diǎn)。自建RA指由國富安CA自己投資建設(shè)分布于全國各地的RA系統(tǒng)，歸國富安CA所有，為證書總量在500，000張以下的地區(qū)或行業(yè)應(yīng)用提供證書申請(qǐng)審批、證書信息錄入以及證書發(fā)放并進(jìn)行部分治理服務(wù)。另一種為授權(quán)RA，歸授權(quán)的企業(yè)或組織所有，授權(quán)RA在遵循國富安CA電子認(rèn)證業(yè)務(wù)規(guī)則的基礎(chǔ)上負(fù)責(zé)為該區(qū)域或組織提供數(shù)字證書的申請(qǐng)，為證書總量相對(duì)較小（在10000以下，依照具體情形能夠升級(jí)到50，000張以下），或證書審核嚴(yán)格或證書治理復(fù)雜的的區(qū)域和組織提供證書申請(qǐng)審批、證書信息錄入以及證書發(fā)放并進(jìn)行部分治理服務(wù)，適合于需要對(duì)RA系統(tǒng)功能進(jìn)行客戶化定制和需要自主治理RA系統(tǒng)的區(qū)域和組織使用。RA系統(tǒng)與CA系統(tǒng)依照其業(yè)務(wù)需求和專門情形采納專線或VPN方式相連，之間的通信符合國家相關(guān)安全規(guī)范與標(biāo)準(zhǔn)。LA證書受理點(diǎn)是面向最終用戶的注冊(cè)審核機(jī)構(gòu)，其要緊功能是對(duì)用戶提交的資料進(jìn)行審核，以決定是否同意為該申請(qǐng)者發(fā)放證書。LA的身份由RA審核，LA的操作員證書由運(yùn)行CA簽發(fā)。LA作為RA的下級(jí)機(jī)構(gòu)，它不直截了當(dāng)與CA進(jìn)行數(shù)據(jù)交換，CA不接收來自LA的證書簽發(fā)要求，LA的證書簽發(fā)要求由RA轉(zhuǎn)發(fā)給CA。RA服務(wù)器負(fù)責(zé)安全地和國富安CA服務(wù)器交換數(shù)據(jù)。LA證書受理點(diǎn)與RA系統(tǒng)一樣采納VPN方式相連，之間的通信也符合國家相關(guān)安全規(guī)范與標(biāo)準(zhǔn)。1.3.3訂戶從電子認(rèn)證服務(wù)機(jī)構(gòu)接收證書的實(shí)體。在電子簽名應(yīng)用中，訂戶即為電子簽名人。1.3.4依靠方依靠于證書真實(shí)性的實(shí)體。在電子簽名應(yīng)用中，即為電子簽名依靠方。依靠方能夠是、也能夠不是一個(gè)訂戶。1.3.5其他參與者其他參與者指為國富安CA提供相關(guān)服務(wù)的其它實(shí)體，如提供第三方身份鑒定的機(jī)構(gòu)和組織。1.4證書應(yīng)用1.4.1適合的證書應(yīng)用國富安CA所發(fā)證書能夠滿足不同的業(yè)務(wù)需要，如網(wǎng)上銀行，電子商務(wù)，電子政務(wù)，安全電子郵件，SSL安全代理，在線支付等應(yīng)用。證書申請(qǐng)人依照實(shí)際需要和承擔(dān)責(zé)任，自覺采納哪種數(shù)字證書類型。1.4.2限制的證書應(yīng)用證書禁止在任何違反國家法律、法規(guī)或破壞國家安全的情形下使用，否則由此造成的法律后果由用戶自己承擔(dān)。由于證書的使用可能導(dǎo)致人員死亡、傷殘的情形。由于證書的使用可能導(dǎo)致環(huán)境破壞的情形。1.5策略治理1.5.1策略文檔治理機(jī)構(gòu)本《電子認(rèn)證業(yè)務(wù)規(guī)則》的治理機(jī)構(gòu)是國富安CA策略委員會(huì)。由國富安CA策略委員會(huì)負(fù)責(zé)對(duì)本《電子認(rèn)證業(yè)務(wù)規(guī)則》的制定、公布、更新等事宜。本《電子認(rèn)證業(yè)務(wù)規(guī)則》由北京國富安電子商務(wù)安全認(rèn)證擁有完全版權(quán)。1.5.2聯(lián)系人國家現(xiàn)代服務(wù)業(yè)服務(wù)交互支撐平臺(tái)課題辦公室地址:北京經(jīng)濟(jì)技術(shù)開發(fā)區(qū)榮華中路11號(hào)：100176010-67801055聯(lián)系人：尹鵬翎E-mail:yinpengling@ec.cn1.5.3決定CPS符合策略的機(jī)構(gòu)本《電子認(rèn)證業(yè)務(wù)規(guī)則》由國富安CA策略委員會(huì)制定并執(zhí)行。1.5.4CPS批準(zhǔn)程序國富安CA策略委員會(huì)負(fù)責(zé)CPS的治理。國富安CA策略委員會(huì)對(duì)CPS草案進(jìn)行評(píng)審，假如符合證書策略，將批準(zhǔn)CPS，之后在國富安CA網(wǎng)站上對(duì)外公布。從對(duì)外公布之日起三十個(gè)工作日之內(nèi)向信息產(chǎn)業(yè)部備案。1.6定義和縮寫術(shù)語定義一覽表激活數(shù)據(jù)不同于密鑰的數(shù)據(jù)值（如PIN，驗(yàn)證短語，biometric或是人工把握的密鑰份額），用來操作加密模塊，須被愛護(hù)鑒定核實(shí)實(shí)體（如個(gè)人，公司，或機(jī)構(gòu)）所聲稱的身份證書是一種信息，包含的差不多信息有：簽發(fā)證書的認(rèn)證中心，用戶的名稱，用戶的公鑰，證書的操作期，及簽發(fā)證書的認(rèn)證中心的數(shù)字簽名。證書政策（CP）一套命名的規(guī)則，指定了證書關(guān)于特定群體的適用性和/或有共同安全要求的應(yīng)用等級(jí)。證書的密鑰更新（Re-key）有現(xiàn)成密鑰對(duì)和證書的用戶在新的密鑰對(duì)產(chǎn)生之后接收了新的證書從而得到新的公鑰。證書的更新用戶得到了現(xiàn)有證書的一段新的有效期限證書要求RA向CA呈交的確認(rèn)的注冊(cè)要求，注冊(cè)證書中用戶的公鑰。證書撤消列表（CRL）被撤消的證書列表，由發(fā)證CA數(shù)字簽名認(rèn)證中心(CA)制作并簽名證書的并被一個(gè)或多個(gè)依靠方信任的機(jī)構(gòu)，CA可取消它所制作并簽發(fā)的證書。認(rèn)證實(shí)施聲明（CPS）認(rèn)證機(jī)構(gòu)應(yīng)用于簽發(fā)證書的實(shí)施聲明。認(rèn)證實(shí)施聲明定義了CA為滿足所支持的證書政策規(guī)定的要求而采納的設(shè)置，政策和程序。損害對(duì)安全系統(tǒng)的違反，因而可能導(dǎo)致敏銳信息的未授權(quán)的泄露，修改，置換或使用加密硬件(加密裝置)硬件加密模塊加密模塊一套硬件，軟件，韌件或某種結(jié)合，在其中可執(zhí)行密碼邏輯，包括加密算法。一種能夠?qū)嵭忻艽a功能（如加密，鑒定，密鑰生成）的裝置。數(shù)字簽名數(shù)據(jù)的密碼轉(zhuǎn)換，當(dāng)與數(shù)據(jù)單位相連時(shí)，提供鑒定起源，使數(shù)據(jù)完整和防止簽名者抵賴的服務(wù)。事件日志（審計(jì)日志或?qū)徲?jì)記錄）按照時(shí)刻順序?qū)ο到y(tǒng)活動(dòng)的記錄，能夠再現(xiàn)，評(píng)估和檢查從事項(xiàng)的開始到最后結(jié)果的輸出中每一事件周圍的或?qū)е旅恳皇录沫h(huán)境和活動(dòng)序列。密鑰托管私鑰交由第三方保管，任何對(duì)被托管的密鑰的訪問，如法律實(shí)施官員的訪問，都應(yīng)符合事先定義的條件。密鑰復(fù)原當(dāng)實(shí)體的私鑰或?qū)ΨQ的加密密鑰丟失，被破壞，或不能獲得時(shí)，從安全的儲(chǔ)備庫中復(fù)原這些密鑰能力。目標(biāo)重用對(duì)包含一個(gè)或多個(gè)目標(biāo)的介質(zhì)主體（如頁幀，磁盤扇區(qū)，磁帶）的重新賦值。為安全的分配，該介質(zhì)不應(yīng)包含原先目標(biāo)的剩余數(shù)據(jù)。在線證書狀態(tài)查詢協(xié)議(OCSP)可取代或補(bǔ)充定期的CRL的確定證書的當(dāng)前狀態(tài)的協(xié)議。該協(xié)議說明了檢查證書狀態(tài)的應(yīng)用和提供該狀態(tài)的服務(wù)器之間應(yīng)交換的數(shù)據(jù)。政策中心政策中心有制定愛護(hù)它自己的和下級(jí)機(jī)構(gòu)操作的政策的職責(zé)。政策治理中心（PMA）或政策中心（PA）政策治理中心是有制定安全政策（如CP）的最終權(quán)威和職責(zé)的實(shí)體。公鑰基礎(chǔ)設(shè)施（PKI）為了推動(dòng)擁有非對(duì)稱公鑰的公共成分與擁有對(duì)應(yīng)私鑰的特定用戶之間可證實(shí)的聯(lián)系，采納數(shù)字簽名技術(shù)的硬件，軟件，人員，程序和政策的結(jié)構(gòu)。公鑰可被用來證實(shí)數(shù)字簽名，鑒定通訊對(duì)話中的主體，和/或，交換或流通信息加密密鑰。注冊(cè)中心（RA）負(fù)責(zé)辨認(rèn)和證明證書主體的實(shí)體，它不是CA因此不能簽名或簽發(fā)證書。RA能夠協(xié)助證書的申請(qǐng)，撤消或兩者。注冊(cè)要求某實(shí)體向RA（或CA）注冊(cè)該實(shí)體在證書中的公鑰的申請(qǐng)注冊(cè)回應(yīng)由RA（或CA）發(fā)出的回應(yīng)注冊(cè)申請(qǐng)的信息。依靠方證書的同意者，他信任證書中的信息或發(fā)證CA公布的其他信息，如CRL（注：在此文件中，術(shù)語“證書使用者”和“依靠方”可互用。資源庫分布或使證書或證書狀態(tài)信息可利用的方法（如數(shù)據(jù)庫或X.500名目）根認(rèn)證機(jī)構(gòu)（根CA）CA等級(jí)中地位最高的CA用戶公鑰被公鑰證書證實(shí)的實(shí)體可信的運(yùn)算系統(tǒng)（TCB）運(yùn)算機(jī)系統(tǒng)中的全體愛護(hù)裝置——包括硬件，韌件和軟件——它們的結(jié)合負(fù)責(zé)執(zhí)行安全政策。TCB由一個(gè)或多個(gè)共同執(zhí)行某個(gè)產(chǎn)品或系統(tǒng)的安全政策的成分組成。TCB正確執(zhí)行安全政策的能力完全由TCB內(nèi)的裝置和系統(tǒng)治理人員對(duì)安全政策的參數(shù)的正確輸入所決定?？尚怕窂浇K端人員可直截了當(dāng)與可信的運(yùn)算系統(tǒng)通信的機(jī)制。該機(jī)制只能由該人員或可信運(yùn)算系統(tǒng)所激活，且不能被非置信的軟件所效仿。驗(yàn)證（Validation）依靠方檢查證書狀態(tài)的過程。確認(rèn)（Verification）為專有通信比較兩種層次的系統(tǒng)規(guī)格的過程（如有最高規(guī)格的安全政策，有源碼的TLS，或有目標(biāo)碼的源碼）。查證（Verify）是與數(shù)字簽名相關(guān)的一種方法，為準(zhǔn)確地確定：（1）數(shù)字簽名是在有效證書的操作期內(nèi)由對(duì)應(yīng)于證書公鑰的私鑰制作的；（2）數(shù)字簽名被制作后信息沒有被改變?？s寫詞CA安全認(rèn)證機(jī)構(gòu)(Certificationauthority)CPS認(rèn)證業(yè)務(wù)聲明(Certificationpracticestatement)CRL證書黑名單(Certificaterevocationlist)CSR證書簽名要求（CertificateSigningRequest）DAM修改草本(ISO標(biāo)準(zhǔn))（draftamendment(toanISOstandard)）FIPS聯(lián)邦信息處理標(biāo)準(zhǔn)(FederalInformationProcessingStandard)FTP文件傳輸協(xié)議（FileTransferProtocol）GFACA北京國富安電子商務(wù)安全認(rèn)證(BeijingGuoFuAnSecurityElectronicCommerceCACo.GMT格林威治標(biāo)準(zhǔn)時(shí)刻（GreenwichMeanTime）超文本傳輸協(xié)議(HypertextTransferProtocol)S安全套接層下的超文本傳輸協(xié)議(HypertextTransferProtocolwithSSL)LRA地點(diǎn)注冊(cè)機(jī)構(gòu)(Localregistrationauthority)LRAA地點(diǎn)注冊(cè)機(jī)構(gòu)治理員(Localregistrationauthorityadministrator)NSI未經(jīng)證實(shí)的用戶信息(Nonverifiedsubscriberinformation)OCA操作CA(OperationCertificationAuthority)PCA政策CA(Policycertificationauthority)PCS公共認(rèn)證服務(wù)(Publiccertificationservices)PIN個(gè)人識(shí)別碼(Personalidentificationnumber)PKCS公鑰加密標(biāo)準(zhǔn)（PublicKeyCryptographyStandards）PKI公鑰基礎(chǔ)設(shè)施(PublickeyinfrastrUCTure)RCA根CA（RootCertificationAuthority）RDN相關(guān)區(qū)別名稱（RelativeDistinguishedName）RPA信任方協(xié)議(RelyingPartyAgreement)RSA一種加密算法(見定義)(acryptographicsystem(seedefinitions))SET安全電子交易（SecureElectronicTransaction）S/MIME安全的多用途網(wǎng)絡(luò)郵件延伸格式(SecureMultipurposeInternetMailExtensions)SSL安全協(xié)議層（SecureSocketsLayer）URL單一資源地址（uniformresourcelocator）WWWorWeb萬維網(wǎng)（WorldWideWeb）X.509國際電信聯(lián)盟認(rèn)證體系的證書標(biāo)準(zhǔn)（theITU-Tstandardforcertificatesandtheircorrespondingauthenticationframework）信息公布與信息治理2.1認(rèn)證信息的公布國富安CA公布以下信息：RA系統(tǒng)、LA證書受理點(diǎn)的差不多情形；用戶協(xié)議和依靠方協(xié)議；CP和CPS；國富安CA應(yīng)當(dāng)在名目服務(wù)器中公布：用戶的證書；CRL。2.2公布的時(shí)刻或頻率國富安CA按照CPS的相關(guān)規(guī)定修訂CPS、用戶協(xié)議、依靠方協(xié)議。證書一經(jīng)簽發(fā)就要在名目服務(wù)器公布，證書狀態(tài)及CRL依照本CPS的相關(guān)規(guī)定公布。國富安CA的CPS、訂戶協(xié)議、依靠方協(xié)議，通過信息庫7X24可獲得。國富安CA簽發(fā)的訂戶證書一經(jīng)簽發(fā)即公布到LDAP服務(wù)器供用戶下載，同時(shí)訂戶可通過證書服務(wù)站點(diǎn)獲得已簽發(fā)的證書。通過OCSP對(duì)證書狀態(tài)的查詢是及時(shí)的。國富安CA對(duì)每個(gè)證書簽發(fā)CA公布一個(gè)證書吊銷列表，公布該CA簽發(fā)的證書中的已吊銷了的證書。證書吊銷列表一樣是每24小時(shí)更新一次。2.3信息庫訪問操縱在國富安CA網(wǎng)站或者名目服務(wù)器公布的信息屬于公布信息，任何人能夠免費(fèi)查閱這些信息。國富安CA要求訪問CPS、證書、證書狀態(tài)、CRL等信息的任何人必須遵守本CPS、依靠方協(xié)議和CRL使用協(xié)議。身份標(biāo)識(shí)與鑒別3.1命名3.1.1名稱類型依照證書類型不同，國富安CA簽發(fā)的證書實(shí)體名字能夠是個(gè)人姓名、組織機(jī)構(gòu)、企業(yè)名稱、部門名、域名或其相應(yīng)的身份證號(hào)碼和組織機(jī)構(gòu)代碼，專門情形如第五類證書也能夠是虛擬世界中的虛擬名如電子郵件名和QQ、MSN號(hào)。國富安CA最終訂戶證書的主題域中包含一個(gè)X.500甄別名（遵從關(guān)于X.500標(biāo)準(zhǔn)，并用X.501PrintableString格式），它由如下內(nèi)容組成：國家（C）=CN或不用；組織機(jī)構(gòu)（O）=組織機(jī)構(gòu)屬性如下：關(guān)于一類自然人證書和五類電子郵件虛擬證書為GFA關(guān)于五類其他虛擬證書能夠是那類應(yīng)用或組織的名稱，如MSN證書為微軟名稱關(guān)于其他類型證書，是證書訂戶所在機(jī)構(gòu)名稱機(jī)構(gòu)部門（OU1）=訂戶組織機(jī)構(gòu)部門名稱；（OU2）=職業(yè)資格證號(hào)、商標(biāo)、訂戶簽名或其他，或不用；（OU3）=訂戶證書類型；省或都市（S）=訂戶所在的省、都市或不用；位置（L）=訂戶所在具體地點(diǎn)或不用；通用名（CN）=通用名如下：一類證書為身份證號(hào)-姓名二類證書為組織機(jī)構(gòu)代碼-組織機(jī)構(gòu)、企業(yè)名稱三類證書為域名或服務(wù)器DNS名四類證書為學(xué)生號(hào)-姓名五類證書為虛擬名稱電子郵箱（E）=電子郵件地址；國富安CA能夠依照自己的要求擁有對(duì)最終訂戶證書主題甄別名意義修改的權(quán)益，但修改的前提是不損害其他證書訂戶的權(quán)益和義務(wù)，并隨時(shí)公布修改結(jié)果。3.1.2對(duì)名稱意義化的要求主題和簽發(fā)者的DN遵循PKIX標(biāo)準(zhǔn)，同時(shí)在證書中標(biāo)明。證書主體名稱標(biāo)識(shí)本證書所提到的最終實(shí)體的特定名稱，描述了與主體公鑰中的公鑰綁定的實(shí)體信息，除五類證書外不承諾使用假名或偽名。3.1.3訂戶的匿名或偽名在國富安CA證書服務(wù)體系中，除了第五類證書外，訂戶不能使用匿名、偽名或虛擬名申請(qǐng)證書。3.1.4明白得不同名稱形式的規(guī)則依X.500甄別名命名規(guī)則說明。3.1.5名稱的唯獨(dú)性在國富安CA證書信任域中，訂戶證書實(shí)體中主題甄別名必須是唯獨(dú)的，除非訂戶申請(qǐng)簽發(fā)雙證書（簽名證書和加密證書），兩個(gè)證書因?yàn)閷儆谕粚?shí)體，因此中X.500甄別名是一樣的，但證書密鑰用途不一樣，簽名證書密鑰只能用于簽名，加密證書密鑰只用于加密。3.1.6名稱解析國富安CA免費(fèi)向所有依靠方組織或個(gè)人、應(yīng)用提供方提供證書解析字符串和解析方法。3.1.6商標(biāo)和訂戶簽名信息國富安CA簽發(fā)的證書的主題甄別名中能夠包含商標(biāo)名或訂戶簽名信息。3.2初始身份確認(rèn)3.2.1 證明擁有私鑰的方法國富安CA通過使用經(jīng)數(shù)字簽名的PKCS#10格式的證書要求，或其它相當(dāng)?shù)拿艽a格式，或其他國富安CA批準(zhǔn)的方法，驗(yàn)證證書申請(qǐng)者擁有私鑰。3.2.2 組織機(jī)構(gòu)身份及其授權(quán)的鑒別關(guān)于與組織機(jī)構(gòu)相關(guān)的證書，如一類證書中的組織機(jī)構(gòu)授權(quán)人證書、組織機(jī)構(gòu)法人證書，二類證書以及三類證書中的高級(jí)服務(wù)器證書，組織機(jī)構(gòu)應(yīng)指定和授權(quán)證書的申請(qǐng)代表，出具申請(qǐng)托付函，在證書的申請(qǐng)書上簽字、蓋章表示同意證書申請(qǐng)的有關(guān)條款,并承擔(dān)相應(yīng)的責(zé)任。國富安CA或RA（包括受理點(diǎn)）當(dāng)面或采納其他方式審核組織機(jī)構(gòu)身份及其申請(qǐng)者的代表人是否符合要求。國富安CA對(duì)證書組織機(jī)構(gòu)身份及申請(qǐng)者代表的鑒證按以下方式進(jìn)行：①審核該組織機(jī)構(gòu)身份的真實(shí)性：國富安CA或RA（包括受理點(diǎn)）必須檢查組織機(jī)構(gòu)相關(guān)的證明文件原件或復(fù)印件，申請(qǐng)者需向國富安CA提供組織機(jī)構(gòu)確實(shí)存在的證明(如工商執(zhí)照、組織機(jī)構(gòu)代碼證、稅務(wù)登記等，關(guān)于服務(wù)器證書需要出具域名擁有證書等)。②代表人身份的授權(quán)：國富安CA或RA（包括受理點(diǎn)）必須檢查組織機(jī)構(gòu)的證書申請(qǐng)托付函，托付函需加蓋組織機(jī)構(gòu)公章和簽名，通過對(duì)代表人身份證件的驗(yàn)證或其他渠道核實(shí)代表人差不多由該組織授權(quán)。假如國富安CA或RA（包括受理點(diǎn)）差不多預(yù)先明確了組織機(jī)構(gòu)和授權(quán)或托付人的身份，那么國富安CA或RA（包括受理點(diǎn)）能夠信任這些證明。關(guān)于專門情形，國富安CA或RA（包括受理點(diǎn)）能夠采納其他方式追加組織機(jī)構(gòu)身份鑒證的權(quán)益。3.2.3 個(gè)人身份的鑒別關(guān)于與個(gè)人身份有關(guān)的證書，如一類證書中的自然人證書、四類學(xué)生證書和三類個(gè)人服務(wù)器證書中所涉及到的個(gè)人身份，申請(qǐng)人需要正確填寫申請(qǐng)表并書寫簽名，國富安CA或RA（包括受理點(diǎn)）能夠面對(duì)面或采納其他方式進(jìn)行如下內(nèi)容的鑒證：①審核個(gè)人身份的真實(shí)性：證明證書申請(qǐng)者個(gè)人身份確實(shí)存在，國富安CA或RA（包括受理點(diǎn)）需要申請(qǐng)人出示個(gè)人身份證或?qū)W生證件，假如非本人申請(qǐng)需出具托付函和托付人個(gè)人證件；②證書申請(qǐng)者是證書申請(qǐng)中所說的哪個(gè)人：國富安CA或RA（包括受理點(diǎn)）能夠要求申請(qǐng)人出示代表申請(qǐng)人戶籍證明的相關(guān)材料，也能夠采納其他第三方數(shù)據(jù)庫或有效手段進(jìn)行驗(yàn)證；③密鑰擁有：按照3.2.1中所述的方式確認(rèn)證書申請(qǐng)者與證書中所列公鑰相對(duì)應(yīng)的私鑰。④職業(yè)資格或書寫簽名核實(shí)：國富安CA或RA（包括受理點(diǎn)）能夠和第三方機(jī)構(gòu)合作，核實(shí)個(gè)人所擁有的職業(yè)資格證書和書寫簽名信息；⑤除未體會(huì)證的訂戶信息，包含在證書中的信息是準(zhǔn)確的；假如國富安CA或RA（包括受理點(diǎn)）差不多預(yù)先明確個(gè)人的身份，那么國富安CA或RA（包括受理點(diǎn)）能夠信任這些證明。關(guān)于專門情形，國富安CA或RA（包括受理點(diǎn)）能夠采納其他方式追加個(gè)人身份鑒證的權(quán)益。3.2.4虛擬身份鑒別關(guān)于第五類證書，國富安CA或RA（包括受理點(diǎn)）采納一些專門的鑒別方式，如關(guān)于電子郵件證書，采納向該郵件地址發(fā)送確認(rèn)信息，從是否收到郵件回復(fù)作為鑒別方式；關(guān)于MSN或QQ等虛擬信息，通過進(jìn)行MSN和QQ進(jìn)行聯(lián)系的方式進(jìn)行確認(rèn)，或者與MSN和QQ服務(wù)提供商一起進(jìn)行鑒別，但正于前面§1.1.1中所說到的那樣，關(guān)于這類證書，國富安CA不承擔(dān)由此帶來的責(zé)任。其他的虛擬證書，國富安CA能夠依照情形制定明確的鑒別方式。3.2.5 沒有驗(yàn)證的訂戶信息用戶提交鑒定文件以外的信息為沒有驗(yàn)證的訂戶信息。3.2.6 互操作準(zhǔn)則

不在此規(guī)定3.3密鑰更新要求的標(biāo)識(shí)與鑒別3.3.1 常規(guī)密鑰更新的標(biāo)識(shí)與鑒別國富安CA系統(tǒng)需要定期在有效期立即終止時(shí)或懷疑密鑰遭到攻擊的情形下進(jìn)行密鑰更新工作。以下為國富安CA例行密鑰更新過程：根密鑰更新時(shí)，由所有密鑰治理員在場，共同啟動(dòng)密鑰治理程序，執(zhí)行密鑰更新指令，硬件加密設(shè)備重新生成根密鑰。第二層運(yùn)營CA密鑰更新時(shí)，由所有密鑰治理員中的多數(shù)在場，共同啟動(dòng)密鑰治理程序，執(zhí)行密鑰更新指令。關(guān)于用戶密鑰，假如加密公鑰或簽名私鑰差不多或立即到期，國富安CA稱此類密鑰更新為證書更新，證書更新時(shí)進(jìn)行如下步驟：①用戶訪問國富安CA系統(tǒng)要求證書更新，證書更新要求由原私鑰簽名；②國富安CA系統(tǒng)驗(yàn)證原證書的有效性，并通過原訂戶信息驗(yàn)證用戶要求；③國富安CA重新用用戶的身份信息組成證書信息并發(fā)給用戶更新證書用的密碼；④用戶登錄訪問國富安CA系統(tǒng)，產(chǎn)生密鑰對(duì)，使用國富安CA發(fā)放的更新證書用的密碼與服務(wù)器建立安全通信，安全的將公鑰發(fā)給國富安CA系統(tǒng)；⑤國富安CA將用戶證書信息和用戶公鑰一起合成證書信息并簽發(fā)新證書；⑥用戶使用CA發(fā)出的更新證書用的密碼更新證書。3.3.2 吊銷后密鑰更新的標(biāo)識(shí)與鑒別國富安CA不對(duì)吊銷后的密鑰進(jìn)行更新。3.4吊銷要求的標(biāo)識(shí)與鑒別在國富安CA的證書業(yè)務(wù)中，證書吊銷要求能夠來自訂戶，也能夠來自國富安CA或RA（包括受理點(diǎn)）。證書吊銷的方式能夠是訂戶要求國富安CA或RA（包括受理點(diǎn)）治理員吊銷，國富安CA或RA（包括受理點(diǎn)）在認(rèn)為必須的時(shí)候，有權(quán)發(fā)起吊銷訂戶證書。關(guān)于來自訂戶要求的吊銷，能夠有如下方式：證書訂戶在線訪問國富安CA系統(tǒng)，依照證書申請(qǐng)時(shí)的愛護(hù)密碼進(jìn)行在線吊銷申請(qǐng)；證書訂戶通過或其他渠道通知國富安CA或RA（包括受理點(diǎn)）需要吊銷證書，國富安CA或RA（包括受理點(diǎn)）接到證書吊銷申請(qǐng)后，依照其他途徑和方式，如、、快遞等方式核實(shí)吊銷身份后進(jìn)行吊銷操作。證書生命周期操作要求4.1證書申請(qǐng)4.1.1證書申請(qǐng)實(shí)體證書申請(qǐng)實(shí)體包括國家法定公民、學(xué)生和具有獨(dú)立法人資格的組織機(jī)構(gòu)（包括行政機(jī)關(guān)、事業(yè)單位、企業(yè)單位、社會(huì)團(tuán)體和人民團(tuán)體）。任何網(wǎng)絡(luò)虛擬身份都能夠申請(qǐng)第五類虛擬證書。服務(wù)器證書由域名擁有機(jī)構(gòu)或獲得域名使用授權(quán)的個(gè)人或組織授權(quán)申請(qǐng)。4.1.2注冊(cè)過程與責(zé)任證書申請(qǐng)人按照本《電子認(rèn)證服務(wù)規(guī)則》所規(guī)定的要求，填寫證書申請(qǐng)表，并預(yù)備相關(guān)的身份證明材料。CA或RA（包括受理點(diǎn)）依據(jù)身份鑒別規(guī)范對(duì)證書申請(qǐng)人的身份進(jìn)行鑒別，并決定是否受理申請(qǐng)。申請(qǐng)過程中各方責(zé)任為：訂戶要按照本《電子認(rèn)證服務(wù)規(guī)則》所規(guī)定的要求預(yù)備證書申請(qǐng)材料，并確保申請(qǐng)材料的真實(shí)性。CA或RA（包括受理點(diǎn)）必須嚴(yán)格按照操作流程進(jìn)行身份鑒別和證書申請(qǐng)，并承擔(dān)由此引發(fā)的責(zé)任和義務(wù)。依照《中華人民共和國電子簽名法》的規(guī)定，申請(qǐng)者未向國富安CA提供真實(shí)、完整和準(zhǔn)確的信息，或者有其他過錯(cuò)，給電子簽名依靠方、國富安CA造成缺失的，應(yīng)承擔(dān)相應(yīng)的法律責(zé)任和經(jīng)濟(jì)賠償。4.2證書申請(qǐng)?zhí)幚?.2.1執(zhí)行識(shí)別與鑒別功能國富安CA或RA（包括受理點(diǎn)）按照本《電子認(rèn)證服務(wù)規(guī)則》所規(guī)定的身份鑒別流程對(duì)申請(qǐng)人的身份進(jìn)行識(shí)別與鑒別。具體鑒別流程見§3.2.2、§3.2.3和§3.2.4所描述的過程進(jìn)行個(gè)人及組織機(jī)構(gòu)身份鑒別和托付確認(rèn)的鑒別。4.2.2證書申請(qǐng)批準(zhǔn)和拒絕在國富安CA或RA（包括受理點(diǎn)）完成對(duì)證書申請(qǐng)的鑒別，有關(guān)鑒證獲得通過同時(shí)證書申請(qǐng)者履行了其他應(yīng)盡的責(zé)任（如付款）后，國富安CA或RA（包括受理點(diǎn)）批準(zhǔn)申請(qǐng)。假如鑒證未獲通過或證書申請(qǐng)者拒絕履行了其他應(yīng)盡的責(zé)任（如付款），國富安CA或RA（包括受理點(diǎn)）將會(huì)拒絕申請(qǐng)。4.2.3 處理證書申請(qǐng)的時(shí)刻國富安CA或RA（包括受理點(diǎn)）將在合理時(shí)刻內(nèi)完成證書要求處理。在申請(qǐng)者提交資料齊全且符合要求的情形下，面對(duì)面處理證書申請(qǐng)的時(shí)刻不超過1個(gè)工作日，其他處理證書的時(shí)刻不超過5個(gè)工作日。4.3證書簽發(fā)證書簽發(fā)過程是：國富安CA得到RA通過安全方式傳來的用戶公布信息身份，生成證書信息并通過RA通知用戶的過程。4.3.1 證書簽發(fā)中注冊(cè)機(jī)構(gòu)和電子認(rèn)證服務(wù)機(jī)構(gòu)的行為國富安CA在批準(zhǔn)證書申請(qǐng)之后，將證書簽發(fā)。證書的簽發(fā)意味著電子認(rèn)證服務(wù)機(jī)構(gòu)最終完全正式地批準(zhǔn)了證書申請(qǐng)。國富安CA簽發(fā)完證書后會(huì)在系統(tǒng)中及時(shí)通知下屬RA（包括受理點(diǎn)）機(jī)構(gòu)，由RA（包括受理點(diǎn)）下載證書（面對(duì)面申請(qǐng)），或者采納其他方法通知訂戶下載證書。4.3.2 電子認(rèn)證服務(wù)機(jī)構(gòu)和注冊(cè)機(jī)構(gòu)對(duì)訂戶的通告 國富安CA或RA（包括受理點(diǎn)）對(duì)訂戶的通告有以下幾種方式： 通過面對(duì)面的方式，通知訂戶到國富安CA或RA（包括受理點(diǎn)）領(lǐng)取數(shù)字證書； 郵政信函通知訂戶； 電子郵件或其它國富安CA認(rèn)為安全可行的方式通知訂戶。4.4證書同意4.4.1 構(gòu)成同意證書的行為國富安CA訂戶同意證書的方式能夠有如下幾種：通過面對(duì)面的提交，訂戶從國富安CA的RA（包括受理點(diǎn)）同意載有證書和私鑰的介質(zhì)。在這種情形下由國富安CA的RA（包括受理點(diǎn)）替訂戶產(chǎn)生證書要求、證書密鑰對(duì)、下載證書，訂戶同意載有證書和私鑰的介質(zhì)被視為同意同意證書。訂戶訪問專門的證書下載服務(wù)站點(diǎn)將證書下載到本地存放介質(zhì)，如本地運(yùn)算機(jī)硬盤、USBKEY、智能卡。國富安CA認(rèn)證系統(tǒng)記錄訂戶已下載的信息即視為訂戶同意同意證書。4.4.2 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)證書的公布國富安CA有基于LDAP協(xié)議的名目服務(wù)，國富安CA可依照用戶的意愿將其簽發(fā)的證書公布到名目系統(tǒng)上，或不公布。4.4.3 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告關(guān)于其簽發(fā)的證書，國富安CA及RA（包括受理點(diǎn)）不通知其他實(shí)體，其它實(shí)體能夠通過名目服務(wù)器查詢到國富安CA已簽發(fā)的數(shù)字證書。4.5密鑰對(duì)和證書的使用密鑰對(duì)和證書不應(yīng)用于其規(guī)定、批準(zhǔn)的用途之外的目的，否則其應(yīng)用是不受相關(guān)法律和國富安CA策略保證的。4.5.1 訂戶私鑰和證書的使用訂戶在同意了國富安CA所簽發(fā)的證書后，即視為差不多同意遵守與國富安CA、依靠方有關(guān)的權(quán)益和義務(wù)條款。證書持有人應(yīng)妥善保管其證書私鑰。訂戶只能在指定的應(yīng)用范疇內(nèi)使用證書和私鑰，訂戶只能在同意了相關(guān)的證書之后才能使用對(duì)應(yīng)的私鑰，同時(shí)在證書到期或被吊銷后停止使用該證書對(duì)應(yīng)的私鑰。4.5.2 信任方公鑰和證書的使用當(dāng)信任方同意到經(jīng)數(shù)字簽名的信息后，應(yīng)該，①獲得數(shù)字簽名對(duì)應(yīng)的證書及信任鏈；②確認(rèn)該簽名對(duì)應(yīng)的證書是信任方信任的證書，并驗(yàn)證其證書的有效性。③證書的用途適用于對(duì)應(yīng)的簽名。④使用證書上的公鑰驗(yàn)證簽名。以上任何一個(gè)環(huán)節(jié)失敗，信任方應(yīng)該拒絕同意簽名信息。當(dāng)信任方需要發(fā)送加密信息給同意方時(shí)，須先通過適當(dāng)?shù)耐緩将@得同意方的加密證書，然后使用證書上的公鑰對(duì)信息加密。信任方應(yīng)將加密證書連同加密信息一起發(fā)送給同意方。4.6證書更新4.6.1 證書更新的情形關(guān)于國富安CA簽發(fā)的任何最終訂戶證書，證書到期前30天系統(tǒng)將會(huì)自動(dòng)提醒訂戶用戶證書將到期，如連續(xù)使用可進(jìn)行證書更新。到期前30天內(nèi)或已到期后30天內(nèi)，假如訂戶原先的注冊(cè)信息連續(xù)有效，訂戶可訪問國富安CA或注冊(cè)機(jī)構(gòu)的證書更新站點(diǎn)申請(qǐng)證書更新。申請(qǐng)證書更新時(shí)用戶無需象初次申請(qǐng)那樣填寫注冊(cè)信息，系統(tǒng)會(huì)自動(dòng)獵取所需的信息。4.6.2 要求證書更新的實(shí)體證書訂戶、證書訂戶的授權(quán)代表（組織機(jī)構(gòu)證書）或證書對(duì)應(yīng)實(shí)體的擁有者（比如服務(wù)器證書的擁有者）、虛擬證書的擁有者能夠要求更新證書。4.6.3 證書更新要求的處理同意到用戶的證書更新要求后，國富安CA認(rèn)證系統(tǒng)會(huì)自動(dòng)完成如下驗(yàn)證操作：①申請(qǐng)對(duì)應(yīng)的原證書存在同時(shí)由認(rèn)證機(jī)構(gòu)簽發(fā)。②證書更新要求在承諾的期限。③用原證書上的訂戶公鑰對(duì)更新申請(qǐng)的簽名進(jìn)行驗(yàn)證。在此基礎(chǔ)上，國富安CA或注冊(cè)機(jī)構(gòu)一樣會(huì)依照原有的信息通過等其他手段鑒定證書更新的實(shí)體是否是原先的實(shí)體，或者采取與初次證書申請(qǐng)一樣的鑒證過程完成證書更新要求的鑒證，然后批準(zhǔn)、簽發(fā)證書。4.6.4 頒發(fā)新證書時(shí)對(duì)訂戶的通告同CPS§4.3.2。4.6.5 構(gòu)成同意更新證書的行為同CPS§4.4.1。4.6.6 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)更新證書的公布 同CPS§4.4.2。4.6.7 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告 同CPS§4.4.3。4.7證書變更4.7.1 證書變更的情形證書變更是指證書申請(qǐng)訂戶關(guān)鍵信息有變更，導(dǎo)致證書內(nèi)容有變化，但密鑰對(duì)保持不變的情形。4.7.2 要求證書變更的實(shí)體證書變更申請(qǐng)者為國富安CA證書訂戶。4.7.3 證書變更要求的處理處理步驟為：①由證書持有者本人持有效證件到申請(qǐng)證書的分支機(jī)構(gòu)RA（包括受理點(diǎn)）提出證書修改要求；②RA（包括受理點(diǎn)）對(duì)有效證件進(jìn)行審核；③審核通過后在RA服務(wù)器的數(shù)據(jù)庫中依照客戶信息進(jìn)行查詢；④RA修改本地審核數(shù)據(jù)庫中的記錄并發(fā)給國富安CA證書數(shù)據(jù)庫。關(guān)于非面對(duì)面申請(qǐng)證書變更的用戶，國富安CA能夠制定其他處理流程。4.7.4 頒發(fā)新證書時(shí)對(duì)訂戶的通告同CPS§4.3.2。4.7.5 構(gòu)成同意變更證書的行為同CPS§4.4.1。4.7.6 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)變更證書的公布同CPS§4.4.2。4.7.7 電子認(rèn)證服務(wù)機(jī)構(gòu)對(duì)其他實(shí)體的通告同CPS§4.4.3。4.8證書吊銷和掛起4.8.1 證書吊銷的情形證書吊銷分為主動(dòng)吊銷和被動(dòng)吊銷。主動(dòng)吊銷是指由用戶提出吊銷申請(qǐng)，由RA受理點(diǎn)LA進(jìn)行審核并由具有相關(guān)權(quán)限的操作員對(duì)其要求進(jìn)行處理，吊銷證書；被動(dòng)吊銷是指當(dāng)國富安CA及RA（包括受理點(diǎn)）確認(rèn)用戶違反證書應(yīng)用規(guī)定或差不多消亡等情形發(fā)生時(shí)，采取吊銷證書的手段以停止對(duì)該證書應(yīng)盡的責(zé)任和義務(wù)。在以下情形下，證書訂戶（主動(dòng)吊銷）應(yīng)當(dāng)要求吊銷證書：①證書用戶的私鑰被泄露、丟失、盜竊、更換、濫用或遭到其它損害或者證書主體估量有這些情形發(fā)生；②證書不再需要用于原先的用途，如關(guān)于組織機(jī)構(gòu)授權(quán)人證書，被授權(quán)人差不多離開組織，不能代表該組織機(jī)構(gòu)從事與組織有關(guān)的業(yè)務(wù)。③證書包含的任何信息發(fā)生變化或容易引起誤解。國富安CA及RA（包括受理點(diǎn)）發(fā)覺有下列情形下可決定撤銷用戶證書（被動(dòng)吊銷）：①證書用戶不支付證書費(fèi)用；②證書包含的信息發(fā)生變化；③CA的私鑰泄露；④證書用戶已不再是國富安CA客戶；⑤證書用戶違反CPS；⑥因證書申請(qǐng)信息虛假等緣故造成證書發(fā)放錯(cuò)誤；⑦證書用戶對(duì)證書的使用有可能危及國富安CA的安全；⑧由于不可抗力、自然災(zāi)難、法律法規(guī)的變更、政府行為及其它人力無法操縱的緣故延誤或阻止CPS中的任一方當(dāng)事人履行義務(wù)，并嚴(yán)峻威逼或損害到另一方的利益；此外，證書訂戶能夠不需任何理由要求吊銷證書，國富安CA應(yīng)當(dāng)應(yīng)證書主體的要求吊銷證書。國富安CA沒有義務(wù)公布證書吊銷的緣故。4.9.2 要求證書吊銷的實(shí)體能夠要求吊銷證書的實(shí)體有：①證書用戶；②經(jīng)證書用戶合法授權(quán)的代表；③在證書用戶差不多違反了協(xié)議法規(guī)或有效的法律情形下，國富安CA授權(quán)的工作人員也有權(quán)要求作廢。4.9.3 吊銷要求的流程當(dāng)國富安CA及RA（包括受理點(diǎn)）有充分的理由確信需要吊銷訂戶的證書時(shí)，國富安CA及RA（包括受理點(diǎn)）應(yīng)嚴(yán)格依照其內(nèi)部流程進(jìn)行操作，在證書吊銷后，國富安CA或RA（包括受理點(diǎn)）將通過適當(dāng)方式，包括郵件、等，通知最終訂戶證書已被吊銷及吊銷的理由。訂戶能夠通過各種方式要求吊銷自己的證書，包括：①證書用戶向國富安CA及RA（包括受理點(diǎn)）當(dāng)面提出申請(qǐng)，要求作廢其證書；②證書訂戶在線訪問國富安CA系統(tǒng)，依照證書申請(qǐng)時(shí)的愛護(hù)密碼進(jìn)行在線吊銷申請(qǐng)；③證書訂戶通過或其他渠道通知國富安CA或RA（包括受理點(diǎn)）需要吊銷證書，國富安CA或RA（包括受理點(diǎn)）接到證書吊銷申請(qǐng)后，依照其他途徑和方式，如、、快遞等方式核實(shí)吊銷身份后進(jìn)行吊銷操作。4.9.4 吊銷要求寬限期假如顯現(xiàn)私鑰泄漏或組織機(jī)構(gòu)授權(quán)人證書，被授權(quán)人差不多離開組織，不能代表該組織機(jī)構(gòu)從事與組織有關(guān)的業(yè)務(wù)等事件，吊銷要求必須在發(fā)覺泄漏或人員離職8小時(shí)之內(nèi)提出。其它緣故的吊銷要求必須在24小時(shí)內(nèi)提出。4.9.5 電子認(rèn)證服務(wù)機(jī)構(gòu)處理吊銷要求的時(shí)限吊銷申請(qǐng)一樣在批準(zhǔn)后24小時(shí)后生效，專門緊急情形下能夠趕忙生效（假使網(wǎng)絡(luò)傳輸條件能夠保證）。生效表示國富安CA將在證書黑名單庫中公布被吊銷的證書。關(guān)于測試證書的作廢，不提供黑名單公布，但將在證書資源庫中刪除該測試證書。4.9.6 依靠方檢查證書吊銷的要求依靠方是否檢查證書吊銷完全取決于應(yīng)用的安全要求。專門多的應(yīng)用本身建有用戶帳戶數(shù)據(jù)庫并基于用戶帳戶進(jìn)行應(yīng)用操縱，數(shù)字證書在此只起身份鑒別的，在這種情形下檢查證書是否吊銷不一定是必須的。4.9.7 CRL公布頻率國富安CA至少每24小時(shí)更新和公布黑名單(CRL),依靠方依照國富安CA最新公布的CRL確認(rèn)使用的證書是否被列入黑名單，國富安CA依照情形，有可能會(huì)實(shí)時(shí)公布黑名單。4.9.8 CRL公布的最大滯后時(shí)刻一個(gè)證書從它被吊銷到它被公布到CRL上的滯后時(shí)刻不超過24小時(shí)。4.9.9 在線狀態(tài)查詢的可用性國富安CA提供證書狀態(tài)的在線查詢服務(wù)（OCSP），該服務(wù)7X24小時(shí)可獲得。4.9.10在線狀態(tài)查詢要求依靠方是否進(jìn)行在線狀態(tài)查詢完全取決于應(yīng)用的安全要求。專門多的應(yīng)用本身建有用戶帳戶數(shù)據(jù)庫并基于用戶帳戶進(jìn)行應(yīng)用操縱，數(shù)字證書在此只起身份鑒別的，在這種情形下在線狀態(tài)查詢不一定是必需的。關(guān)于安全保證要求高同時(shí)完全依靠證書進(jìn)行身份鑒別與授權(quán)的應(yīng)用，依靠方在信任一個(gè)證書前必須通過證書狀態(tài)在線查詢檢查該證書的狀態(tài)。4.9.11吊銷信息的其他公布形式除了CRL、OCSP外，國富安CA的LDAP提供CRL查詢。4.9.12密鑰損害的專門要求不管是最終訂戶依舊國富安CA、注冊(cè)機(jī)構(gòu)，發(fā)覺證書密鑰受到安全損害時(shí)應(yīng)趕忙吊銷證書。4.10證書狀態(tài)服務(wù)國富安CA通過CRL、OCSP、LDAP提供證書狀態(tài)服務(wù)。4.10.1操作特點(diǎn)國富安CA的證書狀態(tài)查詢以網(wǎng)絡(luò)服務(wù)的形式提供。CRL通過80端口采納協(xié)議提供。OCSP符合RFC2560，反映證書的當(dāng)前狀態(tài)。證書名目LDAP符合LDAPV3（RFC3377，2251-2256，2829-2830）4.10.2服務(wù)可用性國富安CA的CRL、OCSP證書狀態(tài)服務(wù)須保證7X24可用，同時(shí)采納了冗余技術(shù)。4.10.3可選特點(diǎn) 無4.11訂購終止當(dāng)證書到期或證書被吊銷則認(rèn)為國富安CA或RA（包括受理點(diǎn)）與訂戶關(guān)系終止。4.12密鑰生成、備份與復(fù)原國富安CA依據(jù)國家治理規(guī)定，提供加密證書密鑰的集中治理和復(fù)原。4.12.1密鑰生成、備份與復(fù)原的策略與行為訂戶加密證書密鑰對(duì)能夠由國富安CA的密鑰治理中心系統(tǒng)集中安全產(chǎn)生和儲(chǔ)存，密鑰復(fù)原是一種嚴(yán)格受控的過程，只有在如下情形下才承諾進(jìn)行密鑰復(fù)原：1）證書持有人提出申請(qǐng)；2）國家執(zhí)法、司法機(jī)構(gòu)因執(zhí)法、司法的需要；3）國家其他治理部門治理需要。密鑰復(fù)原只有在必須的情形下才進(jìn)行，同時(shí)申請(qǐng)要提出充分的理由和提供有關(guān)文件、資料。4.12.2會(huì)話密鑰的封裝與復(fù)原的策略與行為無認(rèn)證機(jī)構(gòu)設(shè)施、治理和操作操縱國富安CA系統(tǒng)建設(shè)遵循了國家規(guī)定的技術(shù)性安全操縱規(guī)范，這些規(guī)范關(guān)于國富安CA的權(quán)威性是十分關(guān)鍵的，將最大限度的減少CA遭受攻擊的情形發(fā)生。5.1物理操縱系統(tǒng)的物理安全和環(huán)境安全是整個(gè)國富安CA系統(tǒng)安全的基礎(chǔ)，它包括基礎(chǔ)設(shè)施的處理、周邊環(huán)境的監(jiān)控、區(qū)域訪問操縱、設(shè)備安全及災(zāi)難預(yù)防等。為把國富安CA系統(tǒng)的危險(xiǎn)減至最低限度，國富安CA選擇設(shè)施的適當(dāng)位置，充分考慮水災(zāi)、地震、電磁干擾與輻射、犯罪活動(dòng)以及工業(yè)事故等的威逼。國富安CA物理場地滿足以下安全要求，有效的操縱風(fēng)險(xiǎn)：①防止物理非法進(jìn)入，7-9層物理結(jié)構(gòu)及完善的安全治理體系愛護(hù)國富安CA的運(yùn)營設(shè)施和知識(shí)產(chǎn)權(quán)；②防止未經(jīng)授權(quán)的物理訪問，確保未經(jīng)授權(quán)的人或僅被授權(quán)訪問有限物理區(qū)域的人員不得訪問國富安CA機(jī)房的受限區(qū)域；③愛護(hù)國富安CA系統(tǒng)服務(wù)的完整性、可用性，保證提供國富安CA服務(wù)的系統(tǒng)、設(shè)施不受到破壞，保證認(rèn)證服務(wù)不被中斷。5.1.1場地位置與操縱參照標(biāo)準(zhǔn)要求GB2887-89《運(yùn)算站場地技術(shù)條件》GB50174-93《電子運(yùn)算機(jī)機(jī)房設(shè)計(jì)規(guī)范》GB6650—86《運(yùn)算機(jī)機(jī)房活動(dòng)地板技術(shù)要求》GBJ79—85《通信接地設(shè)計(jì)規(guī)范建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》GBJ19-87《采暖通風(fēng)與空氣調(diào)劑設(shè)計(jì)規(guī)范》GB50222—95《建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》GB6650—95《高層民用建筑設(shè)計(jì)防火規(guī)范》GB7450—87《電子設(shè)備雷擊愛護(hù)守則》GBJ52-82《工業(yè)與民用供電系統(tǒng)設(shè)計(jì)規(guī)范》GBJ54-83《低壓配電裝置及線路設(shè)計(jì)規(guī)范》GB232-82《電氣裝置安裝工程及驗(yàn)收規(guī)范》JB16-83《建筑電氣設(shè)計(jì)技術(shù)規(guī)范》GBJ79-85《工業(yè)企業(yè)通信接地設(shè)計(jì)規(guī)范》GB50222-95《建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》GBJ116-88《火災(zāi)自動(dòng)報(bào)警設(shè)計(jì)規(guī)范》CECS89-97《建筑與建筑群綜合布線系統(tǒng)施工及驗(yàn)收規(guī)范》GBJ300-88《建筑安裝工程質(zhì)量檢驗(yàn)評(píng)定統(tǒng)一標(biāo)準(zhǔn)》GB115-87《工業(yè)電視監(jiān)控系統(tǒng)工程設(shè)計(jì)規(guī)范》GB－12190《高性能室效能的測量方法》GJBZ20219-94《軍用電磁室通用技術(shù)要求和檢測方法》C級(jí)標(biāo)準(zhǔn)

機(jī)房設(shè)計(jì)指標(biāo)的要求溫度：國家標(biāo)準(zhǔn)B級(jí)23℃±5相對(duì)濕度：國家標(biāo)準(zhǔn)B級(jí)55%±15%溫度變化率小于10%，不凝露塵埃：粒徑≥0.5um個(gè)數(shù)≤18000/dm3噪音：運(yùn)算機(jī)開機(jī)條件下，主機(jī)操作員位置A≤68dB接地：運(yùn)算機(jī)系統(tǒng)直流邏輯地電阻值≤0.9Ω運(yùn)算機(jī)系統(tǒng)交流工作地電阻值≤1Ω運(yùn)算機(jī)系統(tǒng)安全愛護(hù)地電阻值≤1Ω運(yùn)算機(jī)系統(tǒng)防雷愛護(hù)地電阻值≤4Ω依照運(yùn)算機(jī)系統(tǒng)的要求，建議運(yùn)算機(jī)系統(tǒng)直流邏輯地獨(dú)立設(shè)置。而運(yùn)算機(jī)系統(tǒng)交流工作地、安全愛護(hù)地、防雷愛護(hù)地直截了當(dāng)接在大樓綜合地上。零地電位差≤1V電壓：國家標(biāo)準(zhǔn)B級(jí)三相電壓為380V，波動(dòng)不大于±8%單相電壓為220V，波動(dòng)不大于±8%頻率：國家標(biāo)準(zhǔn)B級(jí)50Hz±0.5Hz諧波成份：在機(jī)器運(yùn)行時(shí)≤3%負(fù)荷分配：三相電流不平穩(wěn)度≤20%三相電壓不平穩(wěn)度≤5照度：離地面0.8m處，照度B不應(yīng)低于300LX，差不多工作間和第一類輔助房間不低于200LX，應(yīng)急照明離地面0.8m處不應(yīng)低于10LX。要緊通道及有關(guān)房間的照度在距地面0.8m處不應(yīng)低于2LX。電磁干擾：機(jī)房內(nèi)無線電雜波干擾在頻率范疇0.15MHz~1000MHz時(shí)不大于126Db。磁場干擾強(qiáng)度≤800A/m（相當(dāng)于10Oe）主機(jī)房內(nèi)絕緣體靜電電位：≤1kV在運(yùn)算機(jī)系統(tǒng)停機(jī)條件下主機(jī)房地板表面垂直及水平向的振動(dòng)加速度值，不應(yīng)大于500mm/s2

機(jī)房區(qū)域劃分依照制定的安全策略，將機(jī)房分為三個(gè)區(qū)域，分別為公共治理區(qū)、CA區(qū)和KMC區(qū)。CA區(qū)包括CA核心區(qū)、CA治理區(qū)、RA服務(wù)區(qū)：統(tǒng)稱證書認(rèn)證中心，簡稱CA。CA核心區(qū)屏蔽機(jī)房與外界區(qū)域利用通頂隔墻進(jìn)行愛護(hù)，防止通過天花板下面的假平頂進(jìn)入。必須采納六面鋼板進(jìn)行屏蔽處理，以防止電磁干擾，增加系統(tǒng)的安全性。CA中其他區(qū)域采納通頂隔墻進(jìn)行隔離，便于愛護(hù)治理。CA所有出入門由門禁出入卡系統(tǒng)進(jìn)行操縱，并在安全區(qū)采納指紋識(shí)別與智能卡結(jié)合的方式實(shí)施。每個(gè)區(qū)域都安裝視頻監(jiān)控系統(tǒng)、防侵入系統(tǒng)、機(jī)械組合鎖等裝置。按防火管制的要求，最少設(shè)置兩個(gè)出入口。KMC區(qū)包括KMC治理區(qū)、KMC核心區(qū)：統(tǒng)稱密鑰治理中心，簡稱KMC。它是一個(gè)相對(duì)獨(dú)立的區(qū)域，整個(gè)區(qū)域必須用六面鋼板進(jìn)行處理。KMC機(jī)房采納屏蔽專用室、門，以防止電磁干擾，增加系統(tǒng)的安全性。KMC區(qū)域與外界區(qū)域利用通頂隔墻進(jìn)行愛護(hù)，防止通過天花板下面的假平頂進(jìn)入。KMC主機(jī)房與KMC治理區(qū)采納通頂隔墻進(jìn)行隔離，便于愛護(hù)治理。KMC中的所有區(qū)域的進(jìn)出采取指紋識(shí)別加智能卡進(jìn)行操縱。每個(gè)區(qū)域都安裝視頻監(jiān)控系統(tǒng)、防侵入系統(tǒng)、機(jī)械組合鎖等裝置。5.1.2物理訪問機(jī)房內(nèi)部一律禁止參觀，只有通過國富安CA授權(quán)的人員才能進(jìn)入授權(quán)的部位和工作地點(diǎn)。機(jī)房采納高安全性的監(jiān)控技術(shù)，包括生物活體探測、指紋、門警等監(jiān)控技術(shù)，以確保物理通道的安全。國富安CA機(jī)房實(shí)行7*24小時(shí)自動(dòng)監(jiān)控。監(jiān)控記錄文件包括對(duì)機(jī)房通道上的所有蹤跡的記錄。所有國富安CA被授權(quán)的職員在限制區(qū)域活動(dòng)都需要有國富安CA人員的陪同。國富安CA授權(quán)的人員清單會(huì)提供給國富安CA，以保證只有經(jīng)授權(quán)的國富安CA職員才能進(jìn)入機(jī)房，關(guān)于要進(jìn)入機(jī)房的國富安CA的來訪者,他們需要有一位經(jīng)國富安CA授權(quán)的職員陪同。5.1.3電源和空調(diào)CA系統(tǒng)供電得到了充分保證，使用不間斷電源（UPS），幸免電源波動(dòng)，采納雙電源，在單路電源損壞時(shí)，能夠自動(dòng)切換，堅(jiān)持系統(tǒng)正常運(yùn)轉(zhuǎn)。CA系統(tǒng)空調(diào)系統(tǒng)使用中央空調(diào)和冷卻設(shè)備，并采納獨(dú)立空調(diào)作為備份。國富安CA對(duì)CA系統(tǒng)的電源、空調(diào)等物理要求，應(yīng)該與機(jī)房所在地點(diǎn)的物業(yè)治理機(jī)構(gòu)進(jìn)行和諧，使現(xiàn)有的要求得到滿足。國富安CA的要求參照電信設(shè)施治理的規(guī)定,而且每年對(duì)是否符合要求進(jìn)行檢查。5.1.4防水國富安CA保證CA系統(tǒng)能夠防止水的腐蝕。國富安CA對(duì)CA系統(tǒng)的防水要求,在機(jī)房建設(shè)時(shí)差不多考慮了采取相應(yīng)的措施。5.1.5防火充分保證CA系統(tǒng)幸免火災(zāi)的威逼。國富安CA對(duì)CA系統(tǒng)防火的要求，在機(jī)房建設(shè)之初差不多加以考慮，并采取了有效措施。5.1.6儲(chǔ)備介質(zhì)愛護(hù)CA系統(tǒng)中使用的儲(chǔ)備介質(zhì)必須得到安全可靠的愛護(hù)，幸免諸如：溫度、濕度和磁力等環(huán)境變化可能產(chǎn)生的危害和破壞。5.1.7廢物處理當(dāng)國富安CA存檔的敏銳數(shù)據(jù)或密鑰已不再需要或存檔的期限已滿時(shí)，應(yīng)當(dāng)將這些數(shù)據(jù)進(jìn)行銷毀。寫在紙張之上的，必須切碎或燒毀。假如儲(chǔ)存在磁盤中，應(yīng)多次重寫覆蓋磁盤的儲(chǔ)備區(qū)域，其他介質(zhì)以不可復(fù)原原則進(jìn)行相應(yīng)的銷毀處理。5.1.8異地備份介質(zhì)國富安CA同時(shí)提供異地的備份，異地備份的使用在國富安CA災(zāi)難復(fù)原打算中規(guī)定。5.1.9RA（包括受理點(diǎn)）的物理操縱國富安CA注冊(cè)機(jī)構(gòu)即RA（包括受理點(diǎn)）的物理場地也需要有足夠的安全措施，保證只有授權(quán)的人員才能進(jìn)入，只有授權(quán)的人員才能接觸系統(tǒng)進(jìn)行證書治理，國富安CA在遵循此CPS的前提下有制定異地RA（包括受理點(diǎn)）的建設(shè)和運(yùn)營方案的權(quán)益和義務(wù)。5.2操作過程操縱5.2.1CA系統(tǒng)治理人員⑴CA系統(tǒng)用戶⑵由CA初始化工具產(chǎn)生，由安全治理小組指定。⑶CA系統(tǒng)超級(jí)治理員、安全審計(jì)員⑷CA超級(jí)治理員、安全審計(jì)員由三個(gè)CA系統(tǒng)用戶共同登錄后方可生成。這些角色由安全治理小組指定。⑸CA業(yè)務(wù)治理員⑹由CA超級(jí)治理員產(chǎn)生⑺CA業(yè)務(wù)操作員⑻由CA業(yè)務(wù)治理員產(chǎn)生⑼RA超級(jí)治理員、RA安全審計(jì)員⑽由CA超級(jí)治理員產(chǎn)生，由安全治理小組指定。⑾RA業(yè)務(wù)治理員⑿由RA超級(jí)治理員產(chǎn)生⒀RA業(yè)務(wù)操作員⒁由RA業(yè)務(wù)治理員產(chǎn)生5.2.2運(yùn)營安全治理小組依照安全治理策略和規(guī)范要求，安全治理小組由國富安CA領(lǐng)導(dǎo)和相關(guān)安全專家和顧問組成，日常設(shè)置安全官員，其要緊職責(zé)和義務(wù)如下：①制定CA的安全策略；②指導(dǎo)CA的安全治理；③設(shè)計(jì)和指導(dǎo)CA的安全策略實(shí)施；④對(duì)CA的安全治理進(jìn)行定期的檢查和評(píng)估；⑤對(duì)安全策略和執(zhí)行程序的日常堅(jiān)持；安全官員對(duì)安全的三個(gè)關(guān)鍵領(lǐng)域負(fù)有全面的責(zé)任，即：開發(fā)與執(zhí)行安全策略，愛護(hù)與完善安全策略，保持安全審計(jì)的一致性。5.2.3每一項(xiàng)任務(wù)需要的人數(shù)國富安CA確保單個(gè)人不能接觸、導(dǎo)出、復(fù)原、更新、撤銷CA儲(chǔ)備的CA證書對(duì)應(yīng)的私鑰。至少三個(gè)人，使用一項(xiàng)對(duì)參加操作人員保密的密鑰分割和合成技術(shù)，來進(jìn)行任何密鑰復(fù)原的操作。國富安CA關(guān)于其運(yùn)行和操作相關(guān)的職能有明確的分工，貫徹互相牽制的安全機(jī)制。5.2.4安全令牌操縱所有國富安CA的在職人員,必須通過認(rèn)證后,依照作業(yè)性質(zhì)和職位權(quán)限的情形,發(fā)放需要的系統(tǒng)操作卡、門禁卡、登錄密碼、操作證書、作業(yè)賬號(hào)等安全令牌，關(guān)于使用安全令牌的職員，CA系統(tǒng)將獨(dú)立完整地記錄其所有的操作行為。所有CA在職人員必須確保：①發(fā)放的安全令牌只直截了當(dāng)屬于個(gè)人或組織所有；②發(fā)放的安全令牌不承諾共享；③國富安CA的系統(tǒng)和程序通過識(shí)別不同的令牌對(duì)操作者進(jìn)行權(quán)限操縱。5.3人員操縱5.3.1人員背景審查國富安CA職員的錄用通過嚴(yán)格的審查，依照崗位需要，增加相應(yīng)可信任的職員。職員需要有3個(gè)月的考察期，關(guān)鍵部位的職員考察期為半年，核心部位的職員考察期為1年。依照考察的結(jié)果安排相應(yīng)的工作，或者辭退。國富安CA依照需要，對(duì)職員進(jìn)行職責(zé)、崗位、技術(shù)、政策、法律、安全等方面的培訓(xùn)。國富安CA會(huì)對(duì)其關(guān)鍵的CA職員進(jìn)行嚴(yán)格的背景調(diào)查，RA(包括RA、受理點(diǎn))操作員的審查能夠參照國富安CA對(duì)可信任職員的考察方式進(jìn)行。RA(包括RA、受理點(diǎn))責(zé)任單位能夠在此基礎(chǔ)上增加考察和培訓(xùn)條款，但不得違抗國富安CA證書受理的規(guī)程和國富安CACPS中的相關(guān)條款。國富安CA確立流程治理規(guī)則，據(jù)此，CA職員受到合同和章程的約束不許泄露國富安CA證書服務(wù)體系的敏銳信息,所有的職員與國富安CA簽訂保密協(xié)議合同期滿以后3年內(nèi)仍舊不得從事與國富安CA相類似的工作,由第三方公證機(jī)構(gòu)對(duì)此加以公證。5.3.2背景審查的實(shí)現(xiàn)國富安CA與有關(guān)政府部門和調(diào)查機(jī)構(gòu)合作,完成對(duì)國富安CA可信任職員的背景調(diào)查。5.3.3培訓(xùn)要求國富安CA對(duì)國富安CA職員進(jìn)行以下內(nèi)容的綜合性培訓(xùn):①CA安全原則和機(jī)制；②CA使用的軟件介紹；③CA操作的系統(tǒng)和網(wǎng)絡(luò)；④CA質(zhì)量操縱體系；⑤崗位職責(zé)；⑥政策標(biāo)準(zhǔn)和程序；⑦相關(guān)法律、仲裁規(guī)則、治理方法等。5.3.4連續(xù)培訓(xùn)要求依照國富安CA策略調(diào)整、系統(tǒng)更新等情形，國富安CA可能要求職員進(jìn)行連續(xù)培訓(xùn)以適應(yīng)新的變化。5.3.5崗位分離國富安CA的運(yùn)行職員和負(fù)責(zé)CA設(shè)計(jì)開發(fā)愛護(hù)的職員承擔(dān)不同的職責(zé),雙方的崗位互相分離,為了保證安全,后者不能成為前者,即開發(fā)職員和運(yùn)行職員分離的原則。5.3.6未授權(quán)行為的制裁當(dāng)國富安CA職員被懷疑,或者已進(jìn)行了未授權(quán)的操作,例如未經(jīng)授權(quán)濫用權(quán)益或超出權(quán)限使用CA系統(tǒng)或進(jìn)行越權(quán)操作,國富安CA在得到信息后趕忙暫停該職員進(jìn)入國富安CA證書服務(wù)體系。依照情節(jié)嚴(yán)峻程度，實(shí)施包括提交司法機(jī)關(guān)處理等措施。一旦發(fā)覺上述情形國富安CA趕忙撤銷或終止該人員的安全令牌。5.3.7系統(tǒng)搶修的要求國富安CA在系統(tǒng)遇到緊急情形，需要聯(lián)合搶修時(shí)，應(yīng)至少有1名國富安CA安全事務(wù)專員在場，搶修人員在運(yùn)行人員的陪同下，執(zhí)行監(jiān)督下許可的操作，所有操作修改都留有記錄。非國富安CA職員因物理、修理、消防、強(qiáng)電故障等情形，需要進(jìn)入國富安CA數(shù)據(jù)中心實(shí)施修理時(shí)，必須報(bào)安全事務(wù)專員，經(jīng)同意后，認(rèn)證修理者的身份，由國富安CA規(guī)定的可信任職員始終陪同和監(jiān)護(hù)，完成約定部位的修理。5.3.8工作輪換周期和順序關(guān)于可替換角色，國富安CA將依照業(yè)務(wù)的安排進(jìn)行工作輪換。輪換的周期和順序，視業(yè)務(wù)的具體情形而定。5.3.9獨(dú)立合約人的要求對(duì)不屬于國富安CA內(nèi)部的工作人員，但從事國富安CA有關(guān)業(yè)務(wù)的人員等獨(dú)立簽約者(如RA機(jī)構(gòu)包括受理點(diǎn)工作人員)，國富安CA的統(tǒng)一要求如下：①人員檔案進(jìn)行備案治理；②具有相關(guān)業(yè)務(wù)的工作體會(huì)；③必須同意國富安CA組織的為期一周的崗前培訓(xùn)。5.3.10提供給職員的文檔為使系統(tǒng)正常運(yùn)行，必須提供給具有權(quán)限的相關(guān)人員各種文檔，包括但不限于：①加密機(jī)用戶手冊(cè)；②機(jī)房設(shè)備治理方法；③數(shù)字證書運(yùn)營規(guī)范；④災(zāi)難備份和復(fù)原方案；⑤名目服務(wù)器安裝配置手冊(cè)。5.4審計(jì)日志程序5.4.1記錄事件的類型國富安CA記錄與系統(tǒng)相關(guān)的事件，這些記錄信息稱為日志。關(guān)于這些日志，不管其載體是紙張依舊電子文檔的形式，必須包含事件發(fā)生的日期、事件的發(fā)生時(shí)刻段、事件的內(nèi)容和事件相關(guān)的實(shí)體等。國富安CA還可能記錄與系統(tǒng)不直截了當(dāng)相關(guān)的事件，例如：物理通道參觀記錄、人事變動(dòng)等。5.4.2處理或歸檔日志的周期國富安CA每周對(duì)日志進(jìn)行審查，并對(duì)審查日志的行為進(jìn)行備案。5.4.3審計(jì)日志的儲(chǔ)存期限國富安CA在數(shù)據(jù)庫儲(chǔ)存審計(jì)日志至少兩個(gè)月，離線儲(chǔ)存至少為十年。5.4.4審計(jì)日志的愛護(hù)國富安CA執(zhí)行嚴(yán)格的治理，確保只有國富安CA授權(quán)的人員才能對(duì)審查日志進(jìn)行相應(yīng)操作。日志處于嚴(yán)格的愛護(hù)狀態(tài)，嚴(yán)禁在未授權(quán)的情形下被訪問、閱讀、修改和刪除等操作，另外對(duì)日志要進(jìn)行異地備份。審計(jì)日志的制作和訪問