证书根证书
根证书 时间:2021-05-08 阅读:()
河南信安CA电子认证业务规则(正式版本3.
1)(生效日期:2021年3月19日)河南省信息化发展有限公司HenanProvinceInformationDevelopmentCo.
,Ltd河南信安CA电子认证服务业务规则版本说明河南省信息化发展有限公司电子认证服务业务规则如表1所示:版本发布日期备注3.
12021年3月19日依据业务发展情况,进行修订.
3.
02019年7月17日依据业务发展情况,进行修订.
2.
02017年1月5日依据业务发展情况,进行修订.
1.
02013年01月21日依据《电子认证服务业务规则规范》制定注:河南省信息化发展有限公司已发布最新版本为V3.
1.
表1:河南省信息化发展有限公司电子认证服务业务规则版本.
I目录1概括性描述.
11.
1概述.
11.
2文档名称与标识11.
2.
1名称.
11.
2.
2版本.
11.
3认证体系的成员.
21.
3.
1电子认证服务机构.
21.
3.
2注册机构.
31.
3.
3订户.
31.
3.
4依赖方.
41.
3.
5其他成员.
41.
4证书应用.
41.
4.
1证书性质.
41.
4.
2禁止的证书应用.
41.
5策略管理.
41.
5.
1策略文档管理机构.
41.
5.
2联系信息.
51.
5.
3决定CPS符合策略的机构.
51.
5.
4CPS批准流程.
51.
6定义和缩写52信息发布与信息管理.
102.
1信息库.
102.
2认证信息的发布.
102.
2.
1CPS的发布.
102.
2.
2证书和CRL发布.
102.
3.
1CPS的发布时间或频率.
112.
3.
2证书的发布时间或频率.
112.
4对信息的访问控制113身份标识与鉴别133.
1命名133.
1.
1名称类型.
133.
1.
2对名称的意义化要求.
133.
1.
3订户的匿名或伪名.
13II3.
1.
4理解不同名称形式的规则.
133.
1.
5名称的唯一性.
133.
1.
6商标的承认、鉴别和角色143.
1.
7各类数字证书CN的取值方式.
143.
2初始身份确认.
143.
2.
1证明拥有私钥的方法143.
2.
2机构的身份确认143.
2.
3个人的身份确认163.
2.
4不予验证的用户信息163.
2.
5审核认证体系成员身份确认163.
2.
6互操作原则.
173.
3证书(密钥)更新请求中的身份鉴别173.
3.
1常规密钥更新的标识与鉴别173.
3.
2吊销后密钥更新的识别预报鉴别173.
4证书吊销请求中的身份鉴别174证书生命周期操作规范.
194.
1证书申请.
194.
2证书申请处理.
194.
2.
1身份审核194.
2.
2证书申请的接受与拒绝194.
2.
3处理证书申请的时间194.
3证书签发.
204.
4证书接受.
204.
4.
1证书的发布.
204.
4.
2接受证书的方式204.
5密钥对和证书的使用.
214.
5.
1用户私钥和证书的使用214.
5.
2依赖方对他人证书和公钥的使用214.
6证书更新.
214.
6.
1证书更新的情形214.
6.
2证书更新请求的处理224.
6.
3证书更新的签发、发布和用户接受224.
7证书密钥更新.
224.
7.
1证书密钥更新的情形224.
7.
2证书密钥更新请求的审核224.
7.
3证书密钥更新的签发、发布和用户接受234.
8证书变更.
23III4.
8.
1证书变更的内容234.
8.
2证书变更请求的审核234.
8.
3证书变更的签发、发布和用户接受234.
9证书的吊销和挂起234.
9.
1证书吊销的情形234.
9.
2请求证书吊销的实体244.
9.
3吊销请求的流程244.
9.
4吊销请求的宽限期244.
9.
5证书挂起的处理244.
9.
6证书吊销和挂起状态的发布244.
9.
7依赖方检查证书状态的要求244.
10证书状态服务244.
11订购结束.
244.
12密钥生成、备份和恢复.
254.
12.
1密钥的生成和备份254.
12.
2密钥的恢复.
254.
12.
3密钥对的存储和恢复安全策略255认证机构设施、管理和操作控制265.
1物理控制265.
1.
1机房的建筑.
265.
1.
2物理访问.
265.
1.
3电源和空调.
265.
1.
4水患防治.
275.
1.
5火灾预防和保护275.
1.
6介质存储275.
1.
7废物处理275.
1.
8异地备份275.
1.
9入侵侦测报警系统285.
2操作过程控制.
285.
2.
1可信角色285.
2.
2角色要求的人数285.
2.
3可信角色的鉴别285.
2.
4职责需分离的角色295.
3.
2背景调查程序.
295.
3.
3培训要求295.
3.
4再培训要求.
305.
3.
5工作轮换周期和顺序305.
3.
6对未授权操作的处理305.
3.
7独立合约人要求305.
3.
8提供给员工的文档30IV5.
4审计日志程序.
315.
4.
1记录事件的类型315.
4.
2日志的处理周期315.
4.
3审计日志的保存期限315.
4.
4审计日志的保护315.
4.
5审计日志的备份325.
4.
6审计日志的采集325.
4.
7对导致事件实体的通告325.
5记录归档.
325.
5.
1归档记录种类325.
5.
3档案的保护.
325.
5.
4档案备份.
325.
5.
5记录时间戳的要求335.
5.
6档案采集系统.
335.
5.
7获得和检验归档信息程序335.
6电子认证服务机构密钥更替335.
7损害和灾难恢复335.
7.
1HNXACA遭攻击或发生损害事故时的恢复程序.
335.
7.
2计算资源、软件或数据的破坏处理335.
7.
3CA私钥损害的处理.
345.
7.
4灾难发生后的业务保持345.
8CA或RA业务终止.
345.
8.
1CA业务终止.
345.
8.
2注册机构业务终止356认证系统技术安全控制.
366.
1密钥对的生成和安装.
366.
1.
1密钥对的生成.
366.
1.
2私钥的传递.
366.
1.
3公钥的传递.
366.
1.
4电子认证服务机构公钥传输给依赖方.
366.
1.
5密钥长度.
366.
1.
6公钥参数的产生376.
1.
7密钥用途.
376.
2私钥保护与密码模块的控制376.
2.
1密码模块标准与控制376.
2.
2私钥的分割管理376.
2.
3私钥托管386.
2.
4私钥备份386.
2.
5私钥归档386.
2.
6私钥在密码模块中的导入和导出386.
2.
7私钥在密码模块中的保存38V6.
2.
8私钥的激活.
386.
2.
9解除私钥激活状态的方法396.
2.
10私钥的撤销.
396.
2.
11密码模块的评估.
396.
3密钥对的其他管理396.
3.
1公钥归档396.
3.
2密钥对与证书的有效期396.
4激活数据.
396.
4.
1激活数据的产生396.
4.
2激活数据的保护406.
5计算机安全控制406.
5.
1计算机安全性要求406.
5.
2计算机的安全等级.
416.
6.
1系统开发控制.
416.
6.
2系统改进控制.
416.
6.
3生命周期的安全控制.
416.
7网络安全性控制427证书、CRL和OCSP.
437.
1证书437.
1.
1版本号.
437.
1.
2证书扩展项.
437.
1.
3算法OID.
437.
1.
4名称形式.
437.
1.
5证书密钥用法.
447.
1.
6证书策略OID447.
1.
7策略限定符的语法和语义447.
2CRL447.
2.
1版本号447.
2.
2CRL和CRL条目扩展项.
447.
3OCSP.
457.
3.
1版本号457.
3.
2OCSP扩展项.
458认证机构审计和其他评估468.
1审计的依据.
468.
2审计的形式.
468.
3审计或评估的频率46VI8.
4审计或评估人员的资质.
468.
5审计或评估人员与HNXACA的关系.
478.
6审计或评估的内容478.
7对问题与不足采取的措施478.
8审计或评估结果的传达与发布479法律责任和其他业务条款489.
1费用489.
1.
1证书签发和更新费用489.
1.
3证书状态信息查询费用489.
1.
4其他服务费用.
489.
1.
5退款政策489.
2财务责任.
499.
3业务信息保密.
499.
3.
1保密信息的范围499.
3.
2不在保密范畴内的信息499.
3.
3保护保密信息的责任499.
4个人隐私保密509.
4.
1隐私保护方案509.
4.
2作为隐私处理的信息509.
4.
3不被视为隐私的信息509.
4.
4保护隐私信息的责任509.
4.
6依法律或行政程序的信息披露519.
4.
7其他信息披露情形519.
5知识产权.
519.
5.
1HNXACA自身拥有的知识产权声明.
519.
5.
2HNXACA使用其他方知识产权的声明.
519.
6陈述与担保.
529.
6.
1HNXACA的陈述与担保529.
6.
2RA的陈述与担保.
529.
6.
3用户的陈述与担保539.
6.
4依赖方的陈述和担保539.
7担保免责.
539.
8有限责任.
549.
8HNXACA偿付责任限制.
549.
9用户和依赖方责任55VII9.
9.
1用户的赔偿责任情况559.
9.
2依赖方的赔偿责任情况559.
10有效期限与终止559.
10.
1有效期限.
559.
10.
2终止.
559.
10.
3效力的终止与保留559.
11对参与者的个别通告与沟通569.
12修订569.
12.
1修订程序.
569.
12.
2通告机制和期限569.
12.
3必须修改CPS的情形569.
13争议处理.
579.
14管辖法律.
579.
15与适用法律的符合性.
579.
16一般条款.
579.
16.
1完整协议条款.
579.
16.
2转让条款.
579.
16.
3分割性条款.
589.
16.
4强制执行条款.
589.
16.
5不可抗力条款.
589.
17其他条款.
589.
17.
1各种规定的冲突589.
17.
2安全资料的财产权益599.
17.
3损害性资料.
5911概括性描述1.
1概述河南省信息化发展有限公司,又称河南省信息安全电子认证中心(简称"信安CA、HNXACA"),成立于2009年7月6日,注册资金3,077万元人民币.
公司先后获得国家密码管理局颁发的《电子认证服务使用密码许可证》、国家工业和信息化部颁发的《电子认证服务许可证》、国家密码管理局颁发的《商用密码产品销售许可证》,通过了"国家密码管理局电子政务电子认证服务能力评估"、"国家卫生和计划生育委员会合规性测试",可以为电子政务及卫生系统提供电子认证服务,是公平、公正、权威的第三方电子认证服务机构.
《河南省信息化发展有限公司电子认证服务业务规则》(以下简称"HNXACACPS")是河南省信息化发展有限公司按照《电子签名法》、《电子认证服务管理办法》的要求,规范信安CA的电子认证业务的服务、管理,保障认证体系的可靠,维护电子认证的权威性,有效地防范安全风险.
明确规定信安CA在审核、签发、发布、存档和吊销数字证书等证书生命周期管理以及相关的业务应遵循的各项操作规范.
报国家工业和信息化部备案,并在公司官网上进行公示.
信安CA严格按照《电子签名法》及《电子认证服务管理办法》等法律法规要求,向用户提供可靠电子认证服务.
信安CA认证体系内的成员包括有信安CA(根CA)、注册机构(业务受理点,即RA)、数字证书用户、证书依赖方等成员,组成完整的信安CA电子认证架构,为用户提供网上安全、可靠的电子身份认证服务.
信安CA认证体系内的所有成员都必须严格遵循和执行HNXACACPS,并承担相应的责任.
1.
2文档名称与标识1.
2.
1名称本文档的名称是《河南省信息化发展有限公司电子认证服务业务规则》,简称为HNXACACPS,是HNXACA在颁发证书过程中所采取的业务操作规则规范.
1.
2.
2版本本HNXACACPS是HNXACA发布的最新版本,版本号为V3.
1.
21.
3认证体系的成员1.
3.
1电子认证服务机构HNXACA是根据《电子签名法》及《电子认证服务管理办法》规定依法设立的电子认证服务机构,是网上安全电子交易中具有权威性和公正性的可信赖的第三方机构.
HNXACA为网上业务的各参与方签发标识其身份的数字证书,并对数字证书进行更新、吊销等一系列管理.
HNXACA设立安全管理委员会、安全管理小组等机构,进行相关管理活动.
HNXACA下设服务中心、及业务受理点(RA),进行业务管理及实施活动.
(1)HNXACA的根:ROOTCAROOTCA是HNXACA电子认证服务系统加入的国家根的名称.
HNXACA为最终用户颁发的个人证书、机构证书和设备证书由ROOTCA为HNXACA签发的CA所签发.
(2)国家RSA根(一级)的DN是:CN=ROOTCAO=OSCCAC=CN(3)HNXACARSA根(二级)信息:CN=HNXACAOU=HNXACAO=HeNanProvinceInformationDevelopmentCo.
,LtdL=ZhengZhouS=HeNanC=CNHNXACARSA根证书的有效期为:2010年8月1日15:06:29——2020年7月29日15:06:29(4)国家SM2根(一级)证书:CN=ROOTCAO=NRCACC=CN3(5)HNXACASM2根(二级)信息:CN=XACAOU=HNXACAO=HeNanProvinceInformationDevelopmentCo.
LtdL=ZhengZhouS=HeNanC=CNHNXACASM2根证书的有效期为:2016年3月2日11:35:13——2036年2月26日11:35:13.
1.
3.
2注册机构HNXACA的注册机构(简称RA),又称为业务受理点,是HNXACA设立或授权委托设立的数字证书业务受理机构.
其业务范围包括:面向用户受理数字证书业务和销售数字证书产品业务.
其中受理数字证书业务是指受理用户的证书注册申请、审核用户身份、批准证书申请、证书制作、发放证书、接受和处理证书更新、证书吊销、密钥恢复以及其他需要直接面向用户的业务,其中密钥恢复业务仅由指定受理点开展.
销售数字证书产品业务是指销售HNXACA的各类数字证书以及数字证书存储介质.
RA按照HNXACA制定的CPS及相关业务受理点管理程序运营数字证书代理业务.
在代理数字证书业务的运营活动中,应按照HNXACA的规定,执行符合政策规定的资费标准,向用户提供统一标准的服务.
HNXACA各RA点挂牌的名称为"数字证书业务受理点".
1.
3.
3订户订户也称为证书持有者,也称为用户.
是指拥有电子认证服务机构签发的有效证书的实体.
包括从HNXACA处接受证书的任何个人或合法设立的组织.
订户符合以下情况:在接受的证书中指明或识别为证书接受者;已接受该证书并遵守本CPS和相关协议;拥有与接受的证书内公钥所对应的私钥.
41.
3.
4依赖方依赖方包括行为上依赖于HNXACA用户的证书及其数字签名的一方,与订户发生业务往来的个人或组织.
依赖方可以是、也可以不是一个订户.
1.
3.
5其他成员HNXACA认证体系在某种专门情况下所声明的其他相关成员.
1.
4证书应用各个证书代表各自的身份进行使用.
所有证书根据其颁发对象的不同,归为以下三种:个人证书机构证书设备证书HNXACA在开展业务时可能为某种对象的证书作特别的命名.
1.
4.
1证书性质证书类型用户性质举例个人证书各级政务部门的工作人员和参与业务的社会公众,用以代表个体的身份.
如某局职员,参加纳税申报的个人.
机构证书政务机关和参与业务的企事业单位,代表机构身份.
某部委、某局或参加政府招投标业务的投标企业.
设备证书系统中的服务器或其他设备,用以代表设备身份的服务器身份证书、SSL服务器证书、1.
4.
2禁止的证书应用各类证书的使用应符合对其用途的限定,如参与方未经HNXACA认可或不遵守相关约定,其证书的应用超出限定的应用范围,将不受HNXACA的保护.
禁止将证书用于违反国家法律、法规或破坏国家安全的情况下使用,由此造成的法律后果由订户自行承担.
1.
5策略管理1.
5.
1策略文档管理机构HNXACACPS由HNXACA安全管理委员会负责起草、注册、维护和更新,版权由HNXACA完全拥有.
51.
5.
2联系信息联系地址:河南省郑州市郑东新区明理路祭城南博雅广场4号楼15层邮编:450046网站:www.
hnxaca.
com电话:0371-86109777传真:0371-69176993电子邮件:service@hnxaca.
com1.
5.
3决定CPS符合策略的机构HNXACA安全策略委员会是公司CPS策略制定的最高权威机构,审定批准CPS,是决定CPS符合策略的机构.
1.
5.
4CPS批准流程HNXACA将对HNXACACPS进行严格的版本控制,由HNXACA安全管理委员会指定专人负责版本控制及发布.
所有CPS相关公告和通知需获得安全管理委员会批准后,通过HNXACA网站www.
hnxaca.
com进行公布.
根据《电子签名法》及《电子认证服务管理办法》等规定,HNXACA在公布CPS后向国家工业和信息化部备案.
1.
6定义和缩写1.
CA(CertificateAuthority)电子认证服务机构的简称.
CA是网络身份认证的管理机构,是网上安全电子交易中具有权威性和公正性的可信赖的第三方机构.
CA为电子事务的各参与方签发标识其身份的数字证书,并对数字证书进行更新、吊销等一系列管理.
2.
RA(RegistrationAuthority)注册机构的简称.
RA是CA认证体系的一个功能组件,负责对数字证书申请进行资格审核,并决定是否同意给该申请者发放数字证书,以及证书更新和吊销工作.
3.
KMC(KeyManagementCenter)密钥管理中心的简称.
用于产生用户加密证书密钥对,并提供加密密钥对托管服务的管理机构.
4.
HNXACA6河南省信息化发展有限公司的简称.
5.
CPS(CertificationPracticeStatement)电子认证业务规则的简称.
CPS详细描述电子认证机构数字证书的发放、吊销、更新、管理的规范,是认证体系各机构运营CA系统进行实际工作和运行应严格遵守的各种规范的综合,是数字证书管理、数字证书服务、数字证书应用、数字证书分类、数字证书授权和数字证书责任等政策集合.
6.
CRL(CertificateRevocationList)数字证书吊销列表的简称.
CRL中记录所有在原定失效日期到达之前被吊销的数字证书的序列号,供数字证书使用者在认证对方数字证书时查询使用,由CA周期性签发.
CRL通常又被称为数字证书黑名单、数字证书废止列表等.
内容通常包含列表签发者、发行日期、下次吊销列表的预定签发日期、被吊销的数字证书序号,并说明被吊销的时间与理由.
7.
OCSP(OnlineCertificateStatusProtocol)在线数字证书状态查询协议的简称,用于支持实时查询数字证书状态.
8.
数字证书(digitalcertificate)数字证书是由证书认证机构签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件.
它是用来标志和证明网络通信双方身份的数字信息文件,与司机驾照或日常生活中的身份证相似.
在网上进行电子商务等活动时,交易双方需要使用数字证书来表明自己的身份,并使用数字证书来进行有关交易操作.
9.
数字签名(电子签名digitalsignature)采用密码技术对数据进行运算得到的附加在数据上的签名数据,或是对数据所作的密码变换,用以确认数据来源及其完整性,防止被人(例如接收者)进行篡改或伪造.
10.
金融网上系统(financialinternetsystem)金融网上系统是指通过互联网、移动通信网络、其他开放性公众网络或专用网络基础设施向其用户提供各种金融服务的机构.
11.
DTS(DigitalTimeStamp)数字时间戳服务的简称.
用于向用户提供可信的精确时间源,以证明某个特7定时间某个行为或者文档确实存在.
时间源采用的是国际标准时间UTC,通过GPS(全球卫星定位系统)卫星天线接收同步卫星原子钟的精确时间信号.
12.
LDAP(LightweightDirectoryAccessProtocol)轻量级目录访问协议的简称.
LDAP用于查询、下载数字证书以及数字证书吊销列表(CRL).
13.
OID(ObjectIdentifiers)对象标识符的简称.
OID由国际标准化组织分配和发布,并形成一个层次关系.
OID是一串用点分开的十进制数(例如"1.
2.
3.
4").
OID标准的定义来自ITU-T推荐X.
208(ASN.
1),企业(和个人)可以从国际标准化组织申请得到一个根对象标识符,并且可使用它分配根节点下的其他对象标识符.
14.
PKI(PublicKeyInfrastructure)公开密钥基础设施的简称.
PKI为支持基于证书的公开密钥算法技术的实现和运作的相关体系、组织、技术、操作和程序的集合.
15.
私钥(PrivateKey)是一种不能公开、由持有者秘密保管的数字密钥,用于创建数字签名、解密报文或与相应的公开密钥一起加密机要文件.
16.
公钥(PublicKey)可以公开的数字密钥,用于验证相应的私钥签名的报文,也可以用来加密报文、文件,由相应的私钥解密.
17.
RSA算法RSA是由Rivest、Shamir及Adelman所发明的一种公开密钥加密算法,以数论的欧拉定理为基础,它的安全性依赖于大数的因数分解的困难性.
18.
URL(UniformResourceLocator)统一资源位址的简称.
URL是在Internet的www服务程序上用于指定信息位置的表示方法.
19.
X.
509一种由ITU-T(InternationalTelecommunicationUnion-T:国际电信联盟)所发布的数字证书标准以及对应的验证架构.
X.
509v3则为一种具扩展栏位或可扩展的数字证书.
820.
鉴别辨别认定证书申请者提交材料真伪的过程.
21.
验证对证书申请材料和申请者之间的关联性进行确定的活动.
22.
证书主体(certificatesubject)证书主体是证书公钥对应的实体,它可以是个人、机构、域名等.
23.
订户(customer)向CA申请证书的实体,包括个人用户和机构订户.
24.
依赖方(relyingparty)使用证书中的数据进行决策的用户或代理.
25.
个人证书(individualcertificate)以个人用户名义向CA申请,用以表示个人身份信息的证书.
26.
机构证书(organizationcertificate)以机构用户名义向CA申请,用以表示机构身份信息的证书.
27.
依赖方(relyingparty)使用证书中的数据进行决策的用户或代理.
28.
SSL证书(SSL(SecureSocketLayer)certificate)SSL服务器上需要配置的证书,包含服务器域名或IP地址信息,用于对服务器进行身份认证,并在服务器端与用户端之间建立SSL(SecureSocketLayer,安全套接层)加密通道,对传送的数据进行加密,并确保数据在传输过程中不会被篡改.
29.
文件证书(软证书softcertificate)指证书及对应私钥以文件形式存储在计算机文件系统中的证书,通常相对于证书及对应私钥保存在智能密码钥匙硬件中的证书而言(又称软证书).
30.
智能密码钥匙usbkey智能密码钥匙是一种内置PKI密码算法智能芯片、可以安全存储证书私钥和证书、并能进行签名和签名验证所需密码运算功能的硬件设备.
31.
证书更新(certificaterenewal)证书更新是指在证书所载信息不变的情况下,延长证书的有效期.
932.
证书吊吊销(certificaterevocation)证书吊销是指将用户的证书标记为CA永远不再信任的状态,并放置于证书吊销列表中供依赖方查询.
33.
证书冻结(certificatesuspension)证书冻结是指将用户的证书标记为CA暂时不信任的状态,并放置于证书吊吊销列表中供依赖方查询.
34.
证书解冻(certificatedissuspension)证书解冻是指将已经冻结的证书标记为CA重新信任的状态,并从证书吊吊销列表中删除其冻结信息供依赖方查询.
35.
证书策略(certificatepolicy)一套指定的规则集,用以指明证书对一个特定团体和(或)具有相同安全需求的应用类型的适用性;或用以指明证书对于具有相同安全需求的某类应用的适用性.
36.
密钥更新(certificaterekey)密钥更新是指在不改变证书中用户的其它任何信息的情况下,更换密钥对为用户签发一张新证书.
102信息发布与信息管理2.
1信息库HNXACA信息库是一个对外公开的信息库,它能够保存、取回证书及与证书有关的信息.
HNXACA信息库内容包括但不限于以下内容:证书、CRL,证书状态信息,HNXACACPS最新的版本,以及其他由HNXACA不定期发布的信息.
HNXACA证书库为信息库的子集,用来存放经HNXACA签发的证书和证书吊销列表(CRL),主要为用户和网络应用提供HNXACA证书查询及验证证书状态服务的信息库.
用户可登录HNXACA网站(www.
hnxaca.
com)查询证书信息或下载证书.
HNXACA信息库不会改变任何从发证机构发出的证书和任何证书吊销的通知,而是准确描述上述内容.
HNXACA信息库将及时发布包括证书、CPS修订、证书吊销的通知和其他资料等内容,这些内容保持与CPS和有关法律法规一致.
除HNXACA授权者外,禁止访问信息库(或其他由CA或RA维护的数据)中任何被CPS和/或HNXACA信息库宣布为机密信息的资料.
2.
2认证信息的发布2.
2.
1CPS的发布HNXACACPS一经HNXACA在网站(www.
hnxaca.
com)或以书面声明形式发布、更改,即时生效,并对一切仍有效的数字证书的使用者、新的数字证书及相关业务的申请者均具备约束力.
HNXACACPS的发布及更改遵循本规则1.
5.
4的规定.
如有需要,可访问HNXACA网站(www.
hnxaca.
com)查看,对具体个人不另行通知.
2.
2.
2证书和CRL发布数字证书在签发成功后,如果订户没有要求,HNXACA默认将该证书副本发布到信息库.
HNXACA定期发布CRL以公布在证书有效期内被吊销的数字证书.
证书依赖方可在HNXACA的LDAP服务器或指定的信息库位置中可查询获得证书和CRL有关信息.
同时HNXACA也提供标准的OCSP服务,证书依赖方经授权可实时地获取证书最新的状态信息.
HNXACA的证书发布将利用LDAP目录服务器定时更新证书数据和CRL数11据,并接收对证书及CRL的查询请求.
HNXACA可根据信息系统的需要,依据双方的约定,将CA系统中签发、更新、重签发的数字证书定时或实时与信息系统进行数据同步,将证书信息同步到信息系统中.
提供的信息可包括如下信息:业务类型、认证机构身份标识、用户基本信息、用户证书信息等.
HNXACA可以根据需要,将CRL实时发布到指定的信息系统中.
数据格式可包括如下信息:业务类型、认证机构身份标识、CRL文件、同步时间等.
2.
3发布时间或频率2.
3.
1CPS的发布时间或频率HNXACA将及时发布CPS的最新版本,一旦对规则的修改、补充、调整等获得批准,HNXACA将在网站(www.
hnxaca.
com)上发布,并将最新的CPS发布在HNXACA信息库.
HNXACA根据技术进步、业务发展、应用推进和法律法规的客观要求,决定对CPS的改动,其发布时间和频率将由HNXACA独立做出决定.
这种发布应该是即时的、高效的,并且是符合国家法律法规要求的.
在HNXACA没有发布新的CPS,或者没有任何形式的公告、通知等形式宣布对CPS进行修改、补充、调整或者更新前,当前的CPS即处在有效的和正在实施的状态.
2.
3.
2证书的发布时间或频率数字证书在签发成功后,HNXACA自动通过目录服务器或官方网站将该证书副本及CRL发布到信息库,发布周期为不大于24小时,即在24小时内发布最新的CRL,在紧急的情况下,HNXACA可自行决定证书和CRL的发布时间.
HNXACA通过目录发布服务和指定的信息库位置定期发布更新的数字证书信息.
用户和依赖方可在HNXACA的LDAP服务器或指定的信息库上查询、下载数字证书.
2.
4对信息的访问控制HNXACA在其网站上发布与其相关的公众信息.
通过设置访问控制和安全审计措施,确保只有授权的HNXACA工作人员才能编写、修改和删除HNXACA在线12发布的信息资料.
同时HNXACA在必要时可自主选择是否实行信息的权限管理,以确保只有数字证书用户才有权阅读受HNXACA权限控制的信息资料.
对于HNXACA发布的CPS、CRL和证书信息,证书订户和证书依赖方可以不受限制地进行只读访问.
133身份标识与鉴别3.
1命名3.
1.
1名称类型HNXACA数字证书的命名遵循《数字证书格式规范》的要求.
每张数字证书都包含有主体(Subject),目的是标识该证书由谁持有.
这些主体的命名方法采用X.
509V3的甄别名(DistinguishedName,简称DN)方式.
DN通常包含以下部分或其部分:C,国家S,所在省、市等行政区L,地址O,组织OU,组织下的部门或分支CN,主体名称E,电子邮件不同证书类型的DN的取值和编排方式有所不同,并且所有证书涉及命名的内容都经过严格审核.
3.
1.
2对名称的意义化要求订户的甄别名(DN)的取值和编排方式有所不同,并且所有证书涉及命名的内容都经过严格审核.
3.
1.
3订户的匿名或伪名在HNXACA证书服务体系中,订户不允许使用匿名或伪名申请证书.
3.
1.
4理解不同名称形式的规则.
HNXACA签发的数字符号X.
509V3标准,甄别名格式遵守X.
501标准.
甄别名的命名规则由HNXACA定义.
DN的具体内容由CN、OU、O、C等多个部分组成.
其中CN用来表示用户信息,OU、O用来表示组织机构单位名称、C用来表示国家.
3.
1.
5名称的唯一性在HNXACA证书服务体系中,证书主体名称必须是唯一的不同.
订户的证14书主体甄别名不能相同,必须是唯一的,但对于同一订户,HNXACA可以用其唯一的主体甄别名为其签发多张证书,当证书申请中出现不同订户存在相同名称时,遵循先申请者优先使用,后申请者增加附加识别信息.
寓意区别的原则.
3.
1.
6商标的承认、鉴别和角色HNXACA签发的证书主体甄别名中不包含商标名.
3.
1.
7各类数字证书CN的取值方式各类数字证书CN取值方式如下:证书类型政务中的类型CN取值方式个人证书政务部门工作人员个人姓名(与身份证明文件上标明的主体名称一致个人证书社会公众个人姓名(与身份证明文件上标明的主体名称一致机构证书政务部门机构名称(与机构有效证件上标明的一致)机构证书企业机构名称(与机构有效证件上标明的一致)机构证书代码签名机构名称(与机构有效证件上标明的一致)设备证书设备域名、IP地址或其他实体标识,与盖章申请表上标明的一致3.
2初始身份确认3.
2.
1证明拥有私钥的方法HNXACA为证书申请者提供电子密匙或其他符合要求的密码设备,用于生成和保存密钥对,保证私钥不被泄露,并将此电子密匙安全地传递到用户手中.
HNXACA也可通过证书请求(如PKCS#10)中的数字签名来确认证书申请者持有与注册证书对应的私钥.
证书申请者必需依据法律法规获取和使用密码.
3.
2.
2机构的身份确认HNXACA通过证书申请者提交申请材料的方式获取证书申请者信息.
HNXACA通过查验能证明其机构身份的证件的原件,或通过第三方信息数据或服务,或电话访问等.
HNXACA采用认为恰当的查验方式来确定机构的身份是确实存在的,15合法的实体.
同时HNXACA也需对经过机构授权办理证书业务的代表的身份进行确认,确定该机构知晓并授权证书申请.
一般需提供以下资料到HNXACA或HNXACA的RA进行身份审核及确认:1.
申请表2.
申请机构的如下有效证件的正本或其副本.
有效证件的类型如下:组织机构代码证营业执照企业法人营业执照事业机构登记证事业机构法人登记证税务登记证社会团体登记证社会团体法人登记证人民团体登记证人民团体法人登记证政府批文境外机构的有效证件其他有效证件3.
经办人身份证明原件.
有效证件的类型如下:身份证户口本护照回乡证军人身份证明授权委托书其他有效证件HNXACA在认为申请人的身份已经通过其他方式确认,则无需提交任何证件.
是否需要提交及提交何种证件,HNXACA将在证书申请表中予以明示.
HNXACA或HNXACA的RA的业务受理人员在认为有必要的情况下,采取电话调查、实地考察或其他验证方式(包括第三方平台数据、互联网访问等)鉴定16用户身份及其声明的IP地址和域名等信息,申请机构有配合业务受理员的调查工作的义务.
3.
2.
3个人的身份确认HNXACA通过证书申请者提交申请材料的方式获取证书申请者信息.
HNXACA通过查验证明其个人身份的原件,或通过第三方信息数据或服务,或电话访问等HNXACA认为恰当的查验方式来确定个人的身份,一般情况下,个人申请者应提供以下资料到HNXACA或其RA进行身份审核及确认:1.
申请表.
个人若需在证书中标明个人所属机构,其所属机构身份必须通过HNXACA的审核,并且其申请表必须由所属机构盖章.
2.
个人身份证明原件.
有效证件的类型如下:身份证户口本护照回乡证军人身份证明其他有效证件3.
如果是属于政府部门中的个人,申请人还需提供属于所在组织(所在部门)的证明(包括雇佣关系).
HNXACA在认为申请人的身份已经通过其他方式确认,则无需提交任何证件.
是否需要提交及提交何种证件,HNXACA将在证书申请表中予以明示.
HNXACA或其RA的业务受理人员在认为有必要的情况下,采取第三方信息数据或服务鉴定用户身份,申请人有配合业务受理员的调查工作的义务.
3.
2.
4不予验证的用户信息未在前面所列的,对于不影响用户身份追溯的信息,HNXACA一般不予验证.
3.
2.
5审核认证体系成员身份确认1.
RA所属单位必须为依法设立的机构,其身份审核依据本文3.
2.
2的要求进行,并由HNXACA进行实地的考察后可确认其身份.
RA的资格由HNXACA根据认证业务管理办法来审查批准,正式获得相应资17格后,其运作遵循HNXACA的相关规定.
2.
业务受理人员HNXACA的业务受理人员必须是HNXACA及所属RA机构的职员.
业务受理人员的身份除了必须符合个人证书申请者的条件外,还必须符合HNXACA的相关规定.
3.
2.
6互操作原则HNXACA通过可能存在的国家根CA或者通过交叉认证、证书交换中心等,与其他认证中心建立相互认证的关系.
如HNXACA与其他CA进行了的相互认证,将在HNXACA的网站中公布.
HNXACA在进行相互认证时遵循相关法律法规的规定,如果相关法规未列明的要求则采取对等的方式,以不降低信任管理等级为标准.
3.
3证书(密钥)更新请求中的身份鉴别3.
3.
1常规密钥更新的标识与鉴别数字证书用户申请更新数字证书(密钥)时,需要经过身份审核,才能够完成更新的过程.
HNXACA可以采用以下方式之一来对更新证书中的身份进行鉴别:(1)用原证书提交合法有效的数字签名的更新申请,则身份审核通过,无需再次进行其他形式的身份审核;(2)等同采用本文3.
2身份的初始验证方法.
3.
3.
2吊销后密钥更新的识别预报鉴别不提供证书吊销后的密钥更新3.
4证书吊销请求中的身份鉴别数字证书用户申请吊销数字证书时,需要经过身份审核,才能够完成吊销的过程.
HNXACA可以采用以下方式之一来对吊销证书中的身份进行鉴别:(1)用原证书提交合法有效的数字签名的吊销申请,则身份审核通过,无需再次进行其他形式的身份审核;18(2)等同采用本文3.
2身份的初始验证方法.
194证书生命周期操作规范4.
1证书申请HNXACA通过RA受理实体的证书申请.
证书申请的实体可以是任何个人、机构或其他客观存在的实体,其本人或机构的合法授权代表或实体拥有者都可以为该实体提交证书申请.
证书申请人提交的信息必须真实,否则后果由证书申请人承担.
HNXACA为机构的证书申请表格设置经办人栏,该经办人视为获得机构授权办理数字证书相关业务,包括接受数字证书.
HNXACA数字证书申请流程为:(1)证书申请人从网上下载打印或从HNXACA所属RA获取相应实体种类的数字证书申请表格,按表格要求填好申请表;或通过HNXACA的在线服务系统提交申请信息.
(2)按照本文3.
2身份鉴别要求提交对应实体类型的证书申请表格及相关身份证明资料,到HNXACA或其RA进行注册、身份审核和交费.
4.
2证书申请处理4.
2.
1身份审核HNXACA或其RA首先按本文3.
2的条款对证书申请进行身份审核,以鉴别其身份的真实性.
4.
2.
2证书申请的接受与拒绝HNXACA或其RA对已通过身份审核的证书申请,并确认接收到相关费用款项,则给予接受该证书申请,并向HNXACA提交证书签发请求.
任何不能提供足够的身份证明材料,或被HNXACA或其RA怀疑提供虚假信息的,或未在约定时限内支付相关费用的,或未满足HNXACA其他申请要求条件的,HNXACA或其RA有权拒绝其申请.
4.
2.
3处理证书申请的时间一般情况下,HNXACA处理证书申请的时间不超出48小时,或按双方约定的处理时限.
HNXACA允许未能提供足够身份证明材料的申请继续给予补充,这时将相应20延长证书申请的处理时间.
4.
3证书签发HNXACA将根据接受的证书申请所提供的信息来为申请实体签发证书.
HNXACA与RA之间通过可靠的安全连接方式进行身份认证及数据传递.
HNXACA在确认为证书申请提交签发请求的RA的身份后,正式为申请实体签发证书.
在签发过程中,HNXACA依然可以对系统记录的申请信息给予再次审核,无论是通过信息再审核或其他可靠信息渠道,如HNXACA认为申请信息存在有任何疑点,将暂停签发证书,并通知接受申请的RA,直至澄清问题,再重新启动证书签发程序.
HNXACA签发证书使用安全的存储介质(如USBKey)中生成并写入包含用户真实身份的证书,并从技术上保证信息不被篡改.
同时用技术和制度保证在证书生成时,签名证书相对应的私钥只留存在安全的存储介质中,CA不应留存任何私钥备份,用户加密证书,在CA归档中保留有对应私钥.
证书签发后,由RA作相应的后续处理,包括为用户将证书安装在电子密匙中并进行证书发放,或通知用户自行下载安装.
RA可以采取以下方式告知用户:网站公告或通知;在RA受理点面对面告知;电话通知;电子邮件或其他信函通知.
4.
4证书接受4.
4.
1证书的发布证书签发后,HNXACA将证书发布到HNXACA证书库.
4.
4.
2接受证书的方式根据不同的业务操作流程,以下任何一种情况均视为用户接受数字证书:1.
经办人在证书领取记录上签字;2.
用户获取数字证书及其PIN码或口令;3.
用户从网上下载该数字证书;4.
与用户约定的其他方式.
214.
5密钥对和证书的使用4.
5.
1用户私钥和证书的使用用户只有接受了数字证书后方能使用证书对应的私钥.
用户结合签名证书及加密证书的功能,在允许的应用范围内使用数字证书.
用户使用数字证书时必须遵守国家相关法律法规、HNXACACPS和签署的协议.
用户必须确保自己的私钥不被他人窃取.
如果用户无法确定其私钥为安全的,请及时向HNXACA申请吊销私钥对应的数字证书,以免因此造成损失.
用户必须按密钥的用途来使用相对应的证书,否则不被依赖方认可的责任由用户自行承担.
4.
5.
2依赖方对他人证书和公钥的使用证书依赖方获得对方的数字证书和公钥后,可以通过查看数字证书来了解对方的身份,通过公钥验证对方数字签名的真实性.
验证证书的有效性包括以下三个方面:1.
验证该证书为HNXACA签发;2.
检查该证书在有效期内;3.
查验该证书没有被吊销.
证书依赖方依据HNXACA的相关保障措施,确定自己对对方数字证书的信赖程度.
在验证数字签名时,证书依赖方应参照HNXACACPS,通过查看或判定证书使用目的和密钥的用途来评估决定是否接收用户的行为,对于不符合证书或密钥用途的证书使用,依赖方可以拒绝接收.
4.
6证书更新数字证书的有效期自证书受理之日起算起,以实际缴费年限为准,若数字证书有效期到期后,用户仍需继续使用数字证书且证书中任何用户信息不变的情况下,为用户签发一张有效期延长后的数字证书.
4.
6.
1证书更新的情形1.
证书将要到期或已到期或HNXACA其他策略要求原因,且密钥对处于安22全状态并且策略允许继续使用.
2.
用户或其授权代表提出证书的更新申请.
3.
HNXACA的策略要求或相关法律法规引致其他原因.
4.
6.
2证书更新请求的处理处理证书更新请求可以有以下两种方式:1.
在线更新,只适合于证书未过期且未被吊销的情形.
即在证书即将过期前,通过HNXACA网站提交更新申请,经过HNXACA证实提交更新申请者拥有对应证书的私钥并收到相关款项后,由HNXACA签发新的证书.
用户需在声明的处理时间之后,凭提交更新申请的证书公钥所对应的私钥下载新的证书.
2.
离线更新,适合所有证书更新情形.
即用户或其授权代表提交证书更新申请表和身份证明材料,到HNXACA或其RA进行证书更新.
其身份鉴别方式和处理过程与本文4.
2的要求相同.
4.
6.
3证书更新的签发、发布和用户接受1.
证书更新的签发与本文4.
3相同;2.
证书更新的发布和用户的证书接受与本文4.
4.
1、4.
4.
2规定相同.
4.
7证书密钥更新证书密钥更新是指用户生成一对新密钥并申请为新公钥签发新证书,也就是说更新证书同时也会更新数字证书密钥.
4.
7.
1证书密钥更新的情形1.
因私钥泄漏而吊销证书之后;2.
证书到期且密钥也到期;3.
用户或其授权代表提出证书密钥的更新申请;4.
HNXACA的策略要求或相关法律法规引致其他原因.
4.
7.
2证书密钥更新请求的审核证书密钥更新请求的处理应根据用户的实际情况而采用灵活的处理方式,应根据用户业务安全的需求,选择合适的密钥更新时间和周期.
密钥更新的签发过程与本文4.
6.
2相同.
234.
7.
3证书密钥更新的签发、发布和用户接受1.
证书更新的签发与本文4.
3相同;2.
证书更新的发布和用户的证书接受与本文4.
4.
1、4.
4.
2相同.
4.
8证书变更证书变更是指证书用户的信息发生变化进行的重新登记和处理.
如果涉及证书记载内容的变化,则需要重新制作证书.
4.
8.
1证书变更的内容用户因其信息发生变化由其或其授权代表提出证书的变更申请.
这些信息可以是:主体名称、主体身份ID、所属机构、住址、电子邮件、联系电话、通信地址、邮政编码等.
4.
8.
2证书变更请求的审核用户或其授权代表提交证书变更申请表和身份证明材料,到HNXACA或其RA进行证书变更.
其身份鉴别方式与本文4.
2的要求相同.
如果涉及其证书内容变更的,则需要重新为用户制作新的证书.
其处理方式同本文4.
2的要求,同时吊销原证书(参见本文4.
9).
HNXACA或其RA在收到证书更新申请后的5个工作日内处理完成.
通过证书更新申请的予以更新证书,拒绝用户的证书更新申请的,应在5个工作日内通知用户并告知其原因.
4.
8.
3证书变更的签发、发布和用户接受1.
证书变更涉及的证书签发与本文4.
3相同;2.
证书变更后用户的新证书发布和用户的证书接受与本文4.
4.
1、4.
4.
2规定相同;3.
证书变更后因吊销原证书引起的CRL签发与发布同本文4.
9.
5;4.
如果证书变更仅涉及非证书记载内容的变化,则HNXACA或其RA不予发布,除非与用户或依赖方另有约定.
4.
9证书的吊销和挂起4.
9.
1证书吊销的情形241.
数字证书私钥泄露丢失2.
证书中的信息发生重大变更3.
用户不希望继续使用数字证书4.
单位终止等原因致用户主体不存在的5.
对于下列情形之一,HNXACA有权主动吊销所签发的证书:a)用户申请证书时,提供不真实信息;b)用户未按照规定缴纳数字证书相关费用;c)证书对应的私钥泄露或出现其他证书的安全性得不到保证的情况;d)用户不能履行或违反了相关法律、法规和本协议所规定的责任和义务;e)法律、法规规定的其他情形.
证书的吊销既可以是用户提出申请,也可以是HNXACA因为用户的变更事实或违反约定事实而强行吊销.
4.
9.
2请求证书吊销的实体根据不同的情况,证书依赖方、订户、HNXACA、注册机构等可以提交证书问题报告并请求吊销证书.
4.
9.
3吊销请求的流程1.
在发生证书需吊销的情形时,用户应当立即到证书注册机构申请吊销证书.
及时填写证书吊销申请表,并按本文3.
2的要求携带身份证明材料,遵循HNXACA的吊销规定.
2.
如果单位终止等原因致用户主体不存在的,法定责任人应携带相关证明文件及原数字证书,向注册机构请求吊销用户证书.
HNXACA或其RA按本文3.
2的要求在24小时内进行身份审核通过后,在系统中完成证书的吊销操作,用户或相关法定责任人应当承担在证书吊销之前所有使用数字证书而造成的责任.
.
当HNXACA或其RA吊销某一证书时,将在完成吊销操作后按其登记的联系方式通知用户.
4.
9.
4吊销请求的宽限期如果发生需要吊销证书的情形时,订户应该实时提出吊销请求,如果确实因为客观原因导致延迟的,这个时间也不能超过8小时.
如果在宽限期内,因订户未及时提出吊销请求而产生的任何损失和责任,HNXACA并不承担.
244.
9.
5证书挂起的处理目前HNXACA不提供证书挂起服务.
一旦提供挂起服务,HNXACA将会通过网站进行公布.
4.
9.
6证书吊销和挂起状态的发布任何时候证书被吊销,HNXACA在24小时内将该信息发布到HNXACA信息库,并重新签发CRL.
包含该吊销证书状态的CRL最迟在24小时内可以通过证书列明的URL获取.
当吊销的证书过期时会被从下次发布的CRL中撤出.
在这期间由于证书吊销使证书不可用造成的用户损失由订户负责.
4.
9.
7依赖方检查证书状态的要求依赖方根据应用场合的不同,使用以下两种方式来检查依赖证书的状态:1.
CRL查询:依赖方从证书列明的URL下载HNXACA签发的最新CRL到本地,从中查询所依赖证书的状态;2.
OCSP查询:通过HNXACA提供的OCSP服务,依赖方可以采用OCSP协议获得HNXACA在线签发的所依赖证书的状态.
4.
10证书状态服务HNXACA提供7*24小时的证书状态查询服务.
用户和依赖方可以从HNXACA的网站或目录服务器下载CRL查询证书状态,或使用HNXACA或第三方的OCSP用户端工具进行在线的证书状态的查询.
对非在线用户,可直接在HNXACA的网站上下载CRL文件,通过此文件可离线查询证书状态.
HNXACA无法控制OCSP的同时在线访问量,因此可能造成网络拥挤而影响响应速度.
HNXACA可为某些应用场合提供定制的OCSP服务.
4.
11订购结束以下两种情况,表明证书订购结束:1.
证书在有效期内被吊销,并不再更换新的证书;2.
证书有效期期满后,用户不再进行证书更新或证书密钥更新.
与未到期的其他吊销用户对比,其证书不会进入CRL.
254.
12密钥生成、备份和恢复4.
12.
1密钥的生成和备份HNXACA颁发的用户证书中,含有签名用途的密钥对由用户生成或由HNXACA提供的电子密匙生成,HNXACA任何所属机构不对该密钥对进行备份;而加密用途的密钥对则由密钥管理中心(以下简称KMC)产生,并在KMC备份托管,HNXACA的密钥管理中心由河南省国家密码管理局进行管理.
4.
12.
2密钥的恢复这里的密钥恢复即指用户的加密密钥对恢复.
用户在KMC托管的加密密钥对在需要找回情况下可申请密钥恢复业务,其流程如下:提交密钥恢复申请表,以及本文3.
2的身份初始验证所述之身份证明材料到HNXACA指定的具有开展密钥恢复业务权限的业务受理机构办理.
4.
12.
3密钥对的存储和恢复安全策略私钥在KMC生成后始终以加密的状态存储在密钥库中,且每个私钥由硬件加密设备生成不同的会话密钥进行加密.
对于每次密钥对的申请和恢复,KMC使用用户或HNXACA提供的电子密匙产生的公钥对所申请(或恢复)的私钥进行加密传送,保持中间任何环节私钥都不会被获取.
265认证机构设施、管理和操作控制5.
1物理控制5.
1.
1机房的建筑HNXACA机房的选址和建设按照《电子认证基础设施建设要求》避开易发生火灾危险程度高的区域、有害气体来源以及存放腐蚀区域;避开易燃、易爆物品的地方;避开低洼、潮湿、落雷区域和地震频繁的地方;避开强振动源和强噪音源;避开强电磁场的干扰;避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁;避开重盐害地区,将其置于建筑物安全区内.
HNXACA的主机房根据业务功能划分为公共区、服务区、管理区、核心区,各功能区域对应的级别分别为控制区、限制区、敏感区、机密区,安全等级和要求逐级提高,并设置屏蔽室保护机密数据的存储和CA签名密钥的使用安全.
机房的建设和管理将严格按照国家标准及HNXACA的规定要求执行.
5.
1.
2物理访问HNXACA将功能区域按低到高划分为不同的四个安全等级,为公共区、服务区、管理区和核心区,并采用高安全性的监控技术,包括7*24小时全天候动态监控的摄像、智能卡和指纹双因素控制、可控权限和时间的门禁系统等监控技术,以及人工监控管理,所有进入高一级的区域,必须首先获得低一级区域的访问权限.
HNXACA设置指纹和智能卡双因素门禁系统来提高访问授权的安全性,并在进入管理区和核心区时采用双人控制策略.
对于非业务管理和系统维护人员,只有经HNXACA安全管理小组授权的工作人员陪同下,并获得HNXACA安全管理小组负责人批准,才可进入相应限制区域活动,并且一切活动皆由摄像监控设备及系统监控软件记录.
5.
1.
3电源和空调HNXACA系统由两路不同高压下的双路电源提供供电,当单路电源发生故障时也能及时自动切换,提供紧急供电,维持系统正常运转;同时备有不间断电源(UPS),避免电压波动和持续8小时不间断电力供应.
HNXACA系统的空调系统使用专用中央空调,同时备有独立的机房精密空调,27达到机房温度和湿度的控制要求.
HNXACA对于电源和空调系统的要求,严格按照国家机房管理相关规定,并且定时对系统进行检查,确保其符合设备运行要求.
5.
1.
4水患防治HNXACA机房采用符合国家标准的防水材料建造.
机房内布置有防水检测系统,发现水患可以及时报警.
5.
1.
5火灾预防和保护HNXACA机房设置火灾自动报警系统和灭火系统,火灾报警系统包括火灾自动探测、区域报警器、集中报警器和控制器等,能够对火灾发生区域以声、光、邮件、短信等方式发出报警信号,并能以自动或手动的方式启动灭火设备.
同时HNXACA制定了火灾事故专项应急预案,在HNXACA机房受到火灾威胁的时候启动应急预案,确保机房和CA系统的安全.
5.
1.
6介质存储HNXACA对存储有各类软件、运营数据和记录的各类介质妥善控制和保管.
这些介质都会被存放在结构坚固的储存柜中,并对存放的地点设置安全保护,防止诸如潮湿、磁力、灾害以及人为可能造成的危害和破坏,同时记录介质的使用、库存、维修、销毁事件等.
HNXACA对介质的存储地点进行监控,并且只有授权人员才能进入.
5.
1.
7废物处理对于存储或记录有敏感信息的介质,包括纸张、磁盘、磁带、光盘、加密设备等,HNXACA在它们作废前或保存期满后进行销毁.
HNXACA制定相关的销毁程序,按信息不可恢复的原则,进行销毁.
5.
1.
8异地备份HNXACA采用异地备份机制,对用于CA系统恢复的相关软件、CA密钥和日常的业务数据等进行异地防灾备份,以便CA系统在受到灾难性毁灭时能够启动灾难恢复程序恢复服务.
285.
1.
9入侵侦测报警系统HNXACA在CA机房内部署了入侵侦测报警系统,并进行安全布防,发生非法入侵会自动报警并通知相关负责人,保护机房场所的安全.
5.
2操作过程控制5.
2.
1可信角色所有涉及CA及其RA业务操作和维护管理的人员,可能是HNXACA雇员或代理人员、承包人员、顾问等,都属于可信人员.
这些可信人员担任的角色包括但不限于以下部分:1.
RA业务操作员2.
RA业务管理员3.
RA超级管理员4.
CA业务操作员5.
CA业务管理员6.
CA超级管理员7.
系统管理员8.
密钥管理员9.
安全管理员10.
安全审计员11.
用户服务人员5.
2.
2角色要求的人数HNXACA对于涉及敏感信息的操作任务,要求采取双人控制策略,并为担任该任务角色至少配置3人.
某些涉及敏感信息的区域的进入也是采取双人控制策略(见本文5.
1.
2);核心秘密(如CA根密钥)分管者和操作的物理访问控制者由不同的人员担任角色.
5.
2.
3可信角色的鉴别所有担任可信角色的人员需持有经授权的智能门禁识别卡或指纹进入相应的活动区域,或在有进入该区域权限的可信人员的陪同下进入,并持有经授权的智能IC卡和证书进入系统进行相应业务的操作和管理.
295.
2.
4职责需分离的角色以下但不限于以下承担任务的角色必须分离开:1.
证书业务受理;2.
证书或CRL签发;3.
系统工程与维护;4.
CA密钥管理;5.
安全审计.
5.
3人员控制5.
3.
1人员资格要求HNXACA在录用担任可信角色的人员之前,除需满足一般的技能和经验要求外,必须按HNXACA可信人员背景调查管理的相关操作指南要求,对录用岗位的可信人员进行对应调查级别的背景调查,符合要求方予录用.
可信人员背景调查至少包括以下方面:学历、学位、职称过往的就业情况对于较高可信等级的调查可能还包括社会关系、奖惩记录、犯罪记录、社会保险记录、交通违章记录、财务信贷记录等.
5.
3.
2背景调查程序首先拟录用担任信任角色的人员需同意HNXACA作背景调查.
HNXACA采取调阅人事档案、访问过往就读学校和就职单位的人事主管或同事、参阅政府相关部门的个人记录等方式,核实拟录用人所声明和未声明的信息,并作出评估.
评估通过后需签署保密协议和就业限制协议,方可录用.
新入职的员工必须经过三个月的观察期,观察期通过后才可独立上岗.
HNXACA不定期进行可信人员背景调查,以便能够持续验证人员的可信程度和工作能力.
5.
3.
3培训要求HNXACA为员工提供必要的培训,帮助员工胜任其目前的工作并为将来的发展做准备.
HNXACA根据需要对员工进行职责、岗位、技术、政策、法律和安全30等方面的培训.
HNXACA根据各岗位要求对员工进行相应的培训,包括但不限于:企业文化、规章制度、岗位职责等基本培训;《电子签名法》及《电子认证服务密码管理办法》、《电子认证服务管理办法》等相关法律法规的培训;HNXACA的CPS;HNXACA的安全原则和机制;HNXACA的系统运行、维护、安全;HNXACA的政策、标准、程序;以及岗位技能、行为方式等其他必要的培训.
5.
3.
4再培训要求HNXACA定期对员工进行再培训,以不断提高员工业务素质和综合能力.
同时根据HNXACA策略调整、系统更新升级或功能增加等情况,对员工进行继续培训,使其更快更好适应新的变化.
5.
3.
5工作轮换周期和顺序对于可替换的角色,HNXACA将根据业务的安排进行工作轮换,轮换的周期和顺序将视具体的业务情况而定.
5.
3.
6对未授权操作的处理HNXACA员工所有涉及到业务操作安全的操作均有记录.
记录由HNXACA系统管理员或安全审计员审查.
当发现员工涉嫌未授权行为、未授予的权力使用和对系统的未授权使用等,一经发现,HNXACA将立即中止该员工进入HNXACA证书认证体系各系统.
当事人的证书和操作权限即时吊销,所做的未授权操作将立即被吊销失效.
同时根据情节严重程度,对当事人作出相应处罚,包括内部处分、辞退、开除等,涉及犯罪的将送司法机关处理.
5.
3.
7独立合约人要求HNXACA因特殊需要聘请第三方人员参与指定工作时,必须对其进行必要的知识和培训和安全规范.
培训就工作内容签署保密协议,并对其从事的工作进行有效的监督.
5.
3.
8提供给员工的文档为保障认证系统的正常安全运行,HNXACA应该给相关员工提供有关的文档,至少包括CPS.
《公司章程》制度,岗位说明,相关培训资料及与岗位相关的文档资料等.
315.
4审计日志程序5.
4.
1记录事件的类型HNXACA日志记录的事件包括但不限于以下内容:涉及CA密钥发生的事件.
包括密钥生成、备份、存储、恢复、归档、吊销,密码设备的启用、停用、转移和吊销.
涉及数字证书发生的事件.
包括证书的申请、更新、密钥更新、密钥恢复、、吊销,证书业务申请的审核通过或拒绝,证书的签发、接受、CRL的签发.
涉及网络安全的事件,包括防火墙、路由器、入侵检测记录的信息,以及被攻击的相应处理记录.
其他安全事件.
包括各系统的登录、退出,系统的各种配置及其修改,业务处理的成功或失败,系统部件的安装、升级、维修,人员在各区域的访问记录,敏感信息的取阅.
每个事件的记录至少包括以下信息:发生的日期和事件事件的内容事件相关的实体事件的标识5.
4.
2日志的处理周期HNXACA审计人员每月对日志进行一次审查,识别可疑的事件,核实系统和操作人员是否按规定操作,并记录和报告审查的结果.
5.
4.
3审计日志的保存期限对于纸质日志,现场保存至少1个月,归档保存期限为10年以上,满足本文5.
5.
2要求的档案保存期限.
对于系统自动记录的日志,分在线保存和离线保存,其中在线保存是把日志留在运行的数据库或文件中保存;离线保存则是把数据库或文件中某段时间的日志以文件转储的方式分开保存.
在线保存期限为1年,离线保存的保存期限为10年以上,满足本文5.
5.
2要求的档案保存期限.
5.
4.
4审计日志的保护32只有被HNXACA授权的人员才能对日志进行查看和处理,HNXACA对系统的日志设有访问控制权限.
5.
4.
5审计日志的备份HNXACA定期对纸质日志实施归档,对电子日志实施备份(周期参见本文5.
4.
3).
归档或备份的日志都会被保存在异地,并需要授权才能取阅或恢复.
5.
4.
6审计日志的采集HNXACA的审计日志分手工采集和自动采集两种方式.
自动采集的主要是电子日志,通过CA系统(包括各子系统)、网络设备、各计算平台产生并记录;手工采集的主要是纸质日志,通过操作或出入人员的手工记录产生.
5.
4.
7对导致事件实体的通告HNXACA将依据法律、法规的监管要求,可能对一些恶意行为,如网络和病毒攻击等,通知相关的主管部门,并且HNXACA保留进一步追究责任的权利.
5.
4.
8脆弱性评估审计人员对日志进行日常审计,如发现引起安全事故的事件或可能的隐患,将写入审计报告.
HNXACA安全管理小组将每月对审计报告进行评审,确定需要改进的安全措施.
同时,HNXACA每年进行一次信息安全的风险评估.
5.
5记录归档5.
5.
1归档记录种类HNXACA归档的记录包括本文5.
4所述的所有日志记录和证书数据库文件、CA密钥备份、HNXACA发行的证书、CRL、ARL、证书各种业务申请资料等.
5.
5.
2档案保存期限HNXACA的档案保存期限至少为档案相关证书或密钥失效后10年.
5.
5.
3档案的保护HNXACA的档案保存在设有安全防护和防盗的物理环境中,并由专人管理,防止档案被修改、删除、非法取阅,以及水、火、磁力、虫害等环境的损害.
未经管理人员授权,任何人不得接近保存的档案.
5.
5.
4档案备份33HNXACA每天对CA系统产生的电子档案进行备份.
每周进行一次全备份并异地保存;对于纸质档案,则依据使用要求,按及时保存原则分别制定归档流程.
只有被授权的工作人员或在其监督的情况下,才能对档案进行读取操作,禁止在非授权的情况下对档案及其备份进行删除、修改等操作.
5.
5.
5记录时间戳的要求所有记录都在存档时加上具体准确的时间以表明存档时间,系统产生的记录,由系统自动添加时间,但这些时间未使用时间戳技术表明存档时间.
5.
5.
6档案采集系统HNXACA的档案采集系统分为人工处理和自动处理两部分组成.
5.
5.
7获得和检验归档信息程序只有在授权的可信人员在受控的情况下才可以看到和获得归档的信息.
5.
6电子认证服务机构密钥更替HNXACA使用国家根.
国家根的密钥更替遵循国家根的有关规定.
在CA根证书到期时,需要更换密钥,且遵循以下原则:在CA证书生命周期结束前停止签发新的下级证书,确保在CA的证书到期时所有下家证书也全部到期;在停止签发新的下级证书后至证书到期后,继续使用CA私钥签发CRL,直到最后一张下级证书过期生成和管理CA密钥,建立遵守密钥管理规范;及时发布新的CA证书确保整个过度过程安全、顺利、不出现信任真空期.
5.
7损害和灾难恢复5.
7.
1HNXACA遭攻击或发生损害事故时的恢复程序HNXACA备份所有CA运行所需的数据、软件和资料.
当发生事故或受到攻击时,用于系统的复原.
HNXACA制定相关的安全事件诊断和处理程序,包括业务连续性计划、灾难恢复程序等.
5.
7.
2计算资源、软件或数据的破坏处理34当出现计算资源或软件或数据被破坏,HNXACA启动安全事件的处理程序.
评估事件的影响,防止事件扩大,并调查原因,作恢复处理.
必要时可能启动CA私钥损害处理或灾难恢复程序.
5.
7.
3CA私钥损害的处理当CA私钥被攻破或泄露,HNXACA启动应急事件处理程序,由安全管理小组和相关的专家进行评估,制定行动计划.
如果需要吊销CA证书,会采取以下措施:立即向电子认证服务管理部门汇报,并启动电子认证服务机构密钥更替流程.
立即停止使用该私钥签发证书,并吊销所有已经被签发的证书.
立即通知依赖方关闭与证书认证服务相关的系统.
通知网站、客户端、短信、电话等方式,告知订户.
更新CRL和OCSP信息,供证书订户和依赖方进行查询.
机构密钥更替完成后,未受影响的订户重新签发证书.
5.
7.
4灾难发生后的业务保持当现行CA运行系统地点发生灾难,致使CA系统不能运作时,HNXACA启动灾难应急处理程序,异地恢复CA系统的运行.
HNXACA在异地保存有用于CA系统恢复的最小资源和最新数据,并预选两个备用地点用于灾难恢复.
灾难发生后,HNXACA会暂停业务受理,但证书及状态查询可以在24小时内恢复.
HNXACA每年最少进行一次灾难恢复和业务持续运作的演练,并对演练程序和结果进行记录,所包括的有关主要人员均参与演练.
5.
8CA或RA业务终止5.
8.
1CA业务终止因各种原因,在HNXACA计划暂停或终止电子认证业务情况下,HNXACA将按国家相关法律法规的要求进行业务终止操作.
HNXACA将努力寻找适合承接的认证机构,并在暂停或终止业务前六十个工作日前选择业务承接的认证机构,就业务承接有关事项通知有关各方,做出妥善35安排,并在暂停或终止认证服务四十五个工作日前向主管部门报告.
不能就业务承接事项做出妥善安排的,将在暂停或终止业务前六十个工作日前,向主管部门提出安排其他认证机构承接业务的申请.
无论如何,HNXACA继续按照本CPS和国家法规的要求来处理档案和证书的续存工作.
5.
8.
2注册机构业务终止因各种原因,在HNXACA所属注册机构计划暂停或终止证书业务情况下,注册机构应在暂停或终止业务前六十个工作日书面通知HNXACA,并通告其所办理证书的用户.
HNXACA将作出妥善的安排,由其他注册机构或新设注册机构承接其业务,尽量减少对CA及证书用户的影响.
注册机构业务终止之日起10个工作日内,所有业务档案资料将无条件移交给HNXACA或HNXACA指定的承接注册机构.
366认证系统技术安全控制6.
1密钥对的生成和安装6.
1.
1密钥对的生成HNXACA及其RA、用户的所有密钥对,都是由国家密码主管部门许可使用的密码设备或模块生成.
HNXACA根密钥对及其下级CA密钥对的生成,是在预设定的程序下,由至少3名密钥管理员及1名监督人员参与下产生,并对每个环节进行记录和签名.
用户的签名密钥对由其持有的电子密匙或其他密码设备产生,而加密密钥对由KMC的密码设备产生.
6.
1.
2私钥的传递HNXACA的私钥只能保存在HNXACA控制的密码设备和采取秘密分割的备份介质中,禁止向外传递.
用户的签名私钥在用户的电子密匙或其他密码设备生成后随其实物通过离线方式传递到用户;而用户的加密私钥在KMC产生后,使用用户对应电子密匙或其他密码设备预生成的公钥加密后经过CA、RA传递回用户对应的电子密匙或其他密码设备中,保证传递中间环节加密私钥不泄露.
电子密匙或其他密码设备的离线传递,可以是CA或RA和用户面对面的交递,或采取邮寄等方式发送(如邮递)给用户.
6.
1.
3公钥的传递用户的公钥采用证书签发请求格式(PKCS#10)或其他专门的安全格式通过安全通道传递给HNXACA完成证书签发.
这些请求的数据通过网络传输是使用国密局许可的通讯协议和算法,保证传输中的数据安全.
6.
1.
4电子认证服务机构公钥传输给依赖方.
用户证书签发后其公钥再随证书由HNXACA发布到HNXACA的证书库,证书依赖方可以从HNXACA证书库下载该公钥.
HNXACA的公钥或其直接生成证书的公钥,则直接由HNXACA签发证书后随证书发布到HNXACA证书库供用户和依赖方下载.
6.
1.
5密钥长度现行HNXACA的根密钥对及其下级CARSA密钥对为2048位的密钥对,SM237密钥为256位的密钥对.
HNXACA要求用户的密钥对至少为1024位的RSA密钥对、256位的SM2密钥对或与此强度相当的其他算法密钥对,否则证书申请不予批准.
6.
1.
6公钥参数的产生公钥参数由国家密码主管部门许可的设备或模块产生,HNXACA不会专门安排其质量检查.
6.
1.
7密钥用途在HNXACA认证体系中的密钥用途和证书类型紧密相关,被分为签名和加密两大类.
HNXACA的签名密钥用于签发下级CA、用户证书和CRL.
RA的签名密钥用于确认RA所做的审核证书等操作.
用户的签名密钥用于提供网络安全服务,如信息在传输过程中不被篡改、接收方能够通过数字证书来确认发送方的身份、发送方对于自己发送的信息不能抵赖等.
用户的加密密钥用于对需在网络上传送的信息进行加密,保证信息除发送方和接受方外不被其他人窃取、篡改.
更多与协议和应用相关的密钥使用限制请参阅X.
509标准中的密钥用途扩展域.
6.
2私钥保护与密码模块的控制6.
2.
1密码模块标准与控制HNXACA使用国家密码主管部门许可的密码产品,其密码模块符合国家规定的标准要求.
6.
2.
2私钥的分割管理HNXACA采用多人控制策略来管理(包括生成、激活、备份、恢复、停止、吊销)CA的私钥.
HNXACA使用国家密码主管部门许可的硬件密码设备来生成和保护CA的私钥.
通过密码设备支持的M选N(其中M至少为5,N至少为3但不大于M)方式进行私钥的分割,即将管理私钥的数据分割成M个部分,由密钥管理人员分别持有,并至少需要N个"秘密分享"持有者参与才能实现私钥的管理.
386.
2.
3私钥托管HNXACA的根和下级CA的私钥不进行托管,其他的签名私钥也都不进行托管.
根据国家相关法规的要求,HNXACA代用户向KMC申请加密密钥对的托管,其服务和安全保证参见本文4.
12节.
用户的签名私钥自行管理,以保证其不可否认性.
6.
2.
4私钥备份HNXACA的私钥按本文6.
2.
2的管理方式备份到安全介质中(如IC卡),以作灾难恢复或密码设备更换时的恢复.
除第6.
2.
3的托管服务外,HNXACA不对用户的私钥进行备份.
6.
2.
5私钥归档HNXACA对过期的CA密钥对进行归档,保存期限按照本文5.
5.
2的要求.
已归档的CA私钥不再利用,并在保存期过后进行销毁.
依据国家相关法规或HNXACA与用户的协议,KMC可对不再托管的私钥进行归档.
6.
2.
6私钥在密码模块中的导入和导出HNXACA的CA私钥可以在密码模块中导出,以实现私钥备份;HNXACA的CA,也可以导入到其他由国家密码主管部门许可的密码模块中,以实现灾难恢复和密码设备更新等.
CA私钥的导入和导出,由至少三个密钥管理员分别登录加密机,通过加密机进行加密导出和导入.
对于订户,HNXACA不提供私钥从密码模块中导出的方法.
6.
2.
7私钥在密码模块中的保存私钥在硬件密码模块中是以密文的形式保存.
6.
2.
8私钥的激活HNXACA的私钥采用本文6.
2.
2的控制方式进行激活,至少需要5名管理中的3名密钥管理人员同时在场才能完成操作,从技术和制度上保障敏感加密息操作的安全性.
39订户的私钥保存在电子秘钥或智能卡中,需要提供PIN码才能激活私钥.
6.
2.
9解除私钥激活状态的方法CA密钥,当密码硬件模块断电或重新初始化时.
私钥进入非激活状态,密码管理员至少3人在场,登陆服务器密码机,进行私钥解除操作.
订户解除私钥状态由其自行决定,当每次操作后注销计算机,或者硬件密码模块断电时,私钥就被解除.
6.
2.
10私钥的撤销当CA密钥不再使用,或者与其对应的公钥到期或被吊销后,加密设备必须被清空.
根据厂商的规定,按照操作手册对命要进行销毁.
同时,所有用于激活私钥的PIN码.
Ic卡等也必须被清空或销毁.
以上操作至少需要3名密钥管理人员共同在场,由操作员负责清空.
特定情况下需采用物理方式毁坏其中的加密卡、硬盘、内存、闪存以及其它可能存在敏感、机密信息的部件.
其余部件按一般设备的摧毁方式处理.
根ca密钥的管理员卡、操作员卡、备份卡必须同时进行物理销毁.
6.
2.
11密码模块的评估HNXACA使用国家密码主管部门鉴定并批准使用的密码设备,符合国家有关标准,接受其颁布的各类标准,规范,评估结果等各类要求.
6.
3密钥对的其他管理6.
3.
1公钥归档HNXACA和HNXACA用户的公钥会随其证书作为HNXACA安全运行数据被存放或被归档在第三方的数据库中,并在其失效后仍会在HNXACA系统中保存至少10年.
6.
3.
2密钥对与证书的有效期一般情况下密钥对的有效期视为与其对应的证书有效期相同.
6.
4激活数据6.
4.
1激活数据的产生40激活数据指用于激活私钥的口令、PIN码或"秘密分享"数据等.
HNXACA的"秘密分享"数据由硬件加密模块产生(参见本文6.
2.
2).
初始的口令或PIN码通常由HNXACA产生,或是预制的,或是由计算机随机产生的.
HNXACA要求其业务人员或建议用户按以下规则设置或修改口令和PIN码:长度不小于8个字符,除非系统或设备限制;由数字、字母和特别符号(如"组成;不使用有含义的字串;不能和操作员的名字相同;不能包含用户名信息中的较长的子字符串;不使用用过的口令或PIN码.
6.
4.
2激活数据的保护对于"秘密分享",其持有者将遵守规定存放在具有物理保护的地方.
口令和PIN码只有授权的私钥使用人员才能知悉.
需要传递的口令和PIN一般使用密码信封,防止泄露或被窃取.
激活数据被猜测或攻击时(如多次输入不正确的口令或PIN码),将被自动锁死.
HNXACA在任何时候发现其激活数据可能泄露的情况下,对激活数据进行更改,并销毁存在的记录,不对历史激活数据归档.
用户应自行评估其电子密匙的PIN码的泄露情况,建议用户定期更换PIN码.
6.
5计算机安全控制6.
5.
1计算机安全性要求HNXACA用于运行认证系统和处理数据的生产用计算机由HNXACA的系统管理员维护,只有系统管理员或专门授权人员才能管理这些计算机(包括软件安装、卸载、系统优化、部件更换等),以保证系统处于安全可信的运行状态.
HNXACA生产用计算机安装有病毒保护程序,并定时更新防病毒软件的病毒库.
任何维护时需接入生产网络的计算机均需进行病毒清查后才能使用.
HNXACA计算机的管理员账号口令有最小密码长度要求,而且必须符合复杂度要求,系统管理员定期更改这些口令.
41HNXACA的生产系统网络采用多级不同厂家的防火墙逻辑隔离各安全区域,并部署有入侵检测系统.
HNXACA定期针对网络环境进行风险评估和审计,以检测有否被入侵的危险,尽可能降低来自网络的风险.
HNXACA在处理废旧设备时,将会清除影响认证业务安全性的信息存储并加以确认.
HNXACA定期聘请独立第三方机构进行包括计算机和网络安全在内的整体评估.
6.
5.
2计算机的安全等级HNXACA的计算机系统安全等级基本达到计算机信息系统安全保护等级划分准则(中华人民共和国国家标准GB17859-1999)的第四级:结构化保护级.
6.
6生命周期技术控制6.
6.
1系统开发控制HNXACA的软件设计和开发过程遵循以下原则:1、制定公司内部的升级变更申请流程;2、开发程序必须在开发环境下进行严格的测试成功后,在申请部署于生产环境;3、变更前进行安全性分析.
6.
6.
2系统改进控制HNXACA认证系统的安全管理控制,严格遵循行业主管部门的有关运行管理规范来进行操作.
配置以及任何修改都会记录在案,并制定相关的管理程序和监督机制,包括确定认真系统的访问角色、制定网络安全策略、制定认证系统的访问机制,制定认证系统的审计机制等,来保障认证系统配置的安全,防止未授权的修改.
6.
6.
3生命周期的安全控制.
HNXACA认证系统从设计到实现,系统的安全性始终是重点保证的,完全按照国家有关标准进行严格设计,使用的算法和密码设备均通过了主管部门鉴定,使用了基于标准的强化安全通信协议,确保通信数据的安全.
在系统安全运行42方面,充分考虑人员权限,系统备份密钥恢复等安全运行措施,整个系统安全可靠.
6.
7网络安全性控制HNXACA认证系统根据信息敏感度的不同,划分为不同的区域,每个区域之间配备不同厂家的异构防火墙进行保护,并配置入侵检测系统.
CA与RA的功能模块之间的通信采用安全通信协议连接,并采用安全身份认证技术.
HNXACA对网络安全设备的软件版本、规则及时更新,保持其有效的工作状态.
只有系统管理员或专门授权人员才能管理这些网络设备.
并且这些设备的管理员账号口令有最小密码长度和复杂度要求,系统管理员定期更改这些口令.
6.
8数字时间戳HNXACA系统的所有服务器都与时间服务器的时间同步,保证系统各电子记录需要的时间是准确的.
HNXACA还提供数字时间戳(DTS)服务,符合RFC3161,精度为秒.
437证书、CRL和OCSP7.
1证书HNXACA颁发的证书符合《GB/T20518-2006信息安全技术公钥基础设施数字证书格式》标准要求,并完全兼容ITU-TX.
509和RFC5280等国际标准规范,支持大部分标准扩展,并支持自定义扩展项.
7.
1.
1版本号证书版本号为X.
509V3.
7.
1.
2证书扩展项HNXACA证书支持的标准扩展包括:密钥用法(KeyUsage)证书策略(CertificatePolicies)主体替换名称(SubjectAlternativeNames)基本限制(BasicConstraints)扩展密钥用途(ExtendedKeyUsage)证书吊销列表分发点(CRLDistributionPoints)颁发机构密钥标识符(AuthorityKeyIdentifier)主体密钥标识符(SubjectKeyIdentifier)HNXACA也支持GB/T20518标准及数字证书格式标准中指定的标准扩展,并支持用户自定义私有扩展,可根据用户或应用的要求定制.
私有扩展一般情况下为非关键项.
7.
1.
3算法OIDHNXACA使用SHA1withRSA算法签发证书,算法OID为:1.
2.
840.
113549.
1.
1.
5.
HNXACA使用SM3withSM2算法签发证书,算法OID为:1.
2.
156.
10197.
1.
501.
7.
1.
4名称形式证书主体名称和颁发机构的名称形式遵循本文3.
1要求,由DN表示.
另外,HNXACA颁发的证书支持主体替换名称扩展,在主体替换名称扩展中44可以包含证书主体的其他相关名称信息,比如电子邮件地址、服务器的IP地址或域名等.
7.
1.
5证书密钥用法HNXACA根据国家主管部门的相关要求,严格规定数字证书的密钥用法.
HNXACA签发的数字证书中都在密钥用法(KeyUsage)中明确指明了此已认证的公开密钥可用于何种用途.
用户和依赖方必须根据证书的密钥用法严格控制数字证书的使用场景.
7.
1.
6证书策略OID证书策略由证书颁发机构制定并对外发布,并向国际标准化组织申请证书策略对象标识符(OID)以保证互操作性.
证书策略OID代表证书颁发机构提供服务的相关策略(如HNXACACPS).
证书依赖方在接受该证书行为时通过阅读证书策略以帮助确定是否信任该证书.
用户必须在阅读并同意证书策略后才到证书颁发机构申请并使用证书.
7.
1.
7策略限定符的语法和语义在HNXACA所颁发证书的证书策略扩展项中包含了CPS策略限定符,提供了指向HNXACACPS的URL,从中可以获取HNXACA的《河南省信息化发展有限公司电子认证服务业务规则》.
7.
2CRLHNXACA发布的CRL符合《GB/T20518-2006信息安全技术公钥基础设施数字证书格式》及ITU-TX.
509、RFC5280标准规范.
7.
2.
1版本号CRL版本号为X.
509V2.
7.
2.
2CRL和CRL条目扩展项HNXACA发布的CRL中,包含了以下扩展项:颁发机构密钥标识符(AuthorityKeyIdentifier)CRL编号(CRLNumber)DeltaCRL指示符(DeltaCRLIndicator,仅用于DeltaCRL,是关键扩展)如果有明确的被吊销的原因,CRL条目则会包含被注销的原因45扩展(ReasonCode).
应用如果遇到不认识的关键的CRL扩展或者CRL条目扩展,则不能使用该CRL来验证证书的注销状态.
7.
3OCSPHNXACA采用OCSP提供在线证书状态查询服务.
应用户的要求,HNXACA可以将OCSP服务URL写到证书中.
OCSP作为CRL的有效补充,提供比CRL较为及时的证书状态查询机制,方便用户及时的获取证书状态信息.
HNXACA的OCSP服务系统符合RFC2560标准规范.
7.
3.
1版本号OCSP版本号为V1.
7.
3.
2OCSP扩展项HNXACA未使用OCSP相关扩展项.
如果遇到OCSP响应返回unauthorized错误码、证书返回unknown状态或者不认识的扩展,则应该使用其他的机制去验证该证书的吊销状态.
468认证机构审计和其他评估HNXACA建立内部审计机制,并组织信息安全风险评估活动.
HNXACA还接受国家电子认证服务主管部门组织的年度审查.
其他第三方的外部审计或评估依据用户协议或其他政策进行.
8.
1审计的依据审计是为了检查和监督HNXACA及其下属机构或其他关联机构是否依据《电子签名法》、《电子认证服务管理办法》、《河南省信息化发展有限公司电子认证服务业务规则》的要求,依法开展电子认证服务业务,以及在开展业务过程中,是否存在违反其他法律法规以及HNXACA的业务规范、管理制度、安全策略等情况,以达到规避经营风险、提高服务质量、保障用户权益的目的.
8.
2审计的形式审计分为外部审计与内部审计.
外部审计是由法律规定的主管部门、主管部门委托的第三方机构或HNXACA委托的第三方机构对自身的电子认证服务业务进行审计与评估.
审计内容、评估标准及审计评估结果是否公开由主管部门确定.
内部审计是指HNXACA自行组织人员对机构内部、下属机构等进行审计评估,审计结果供内部用以完善管理、改进服务,不需对外公开.
8.
3审计或评估的频率HNXACA的内部审计周期为每月一次,并且每年进行一次信息安全的风险评估.
如果出现特殊情况则单独启动审计或风险评估,引发评估或审计事件的特殊情况包括疑似或真实的敏感信息泄密、用户反馈异常、重大的系统变更等.
国家电子认证服务主管部门组织的审查为每年一次.
8.
4审计或评估人员的资质HNXACA的内部审计或评估人员要求熟悉电子认证业务和PKI技术体系,接受过内部信息安全管理培训,并由安全管理小组任命.
外部审计或评估人员的资质由相关法规或主管部门确定.
478.
5审计或评估人员与HNXACA的关系HNXACA内部审计人员要求与被审计对象无责任关系,为HNXACA雇员.
HNXACA内部风险评估的负责人要求与被评估对象无责任关系,可以是HNXACA雇员,也可以是非HNXACA雇员.
外部审计或评估人员应为与HNXACA无任何除审计或评估之外的业务、财务往来或其他足以影响评估客观性的利害关系.
8.
6审计或评估的内容HNXACA内部审计或评估涉及的内容包括以下:人员管理物理环境建设及安全管理系统结构及其运行管理密钥管理用户服务规范管理综合运营规范(如法规、CPS、风险控制等方面)在特殊情况下的审计或评估内容可能只包括以上内容的一部分.
国家电子认证服务主管部门组织的年度审查内容遵照其发布的最新要求.
8.
7对问题与不足采取的措施如果在审计或评估过程中发现执行规范有不足或存在问题,HNXACA将根据审计或评估报告制定和实施纠正措施,并由安全管理小组监督执行.
对于重大的安全隐患,HNXACA同样会启动应急事件处理程序,以迅速控制风险的影响范围.
8.
8审计或评估结果的传达与发布HNXACA只按管理或协议要求将审计或评估结果传达到相应对象.
除非法律法规要求,HNXACA一般不公开审计或评估结果.
489法律责任和其他业务条款9.
1费用9.
1.
1证书签发和更新费用HNXACA对证书的签发、更新、密钥恢复和管理收取服务费用,费用标准执行国家或地方物价主管部门批准的价格.
并根据实际情况,在批准价格之内调整.
9.
1.
2证书查询费用HNXACA对发布到证书库中的所有证书查询不予收费,但保留对该服务收费的权利9.
1.
3证书状态信息查询费用HNXACA对发布到证书库中的CRL提供免费下载和使用服务.
HNXACA的OCSP服务和其他定制的证书状态查询服务根据用户的服务协议要求进行收费.
9.
1.
4其他服务费用HNXACA免费提供本CPS和证书业务相关申请表格下载服务.
对于用户要求定制的服务,HNXACA酌情收取费用.
9.
1.
5退款政策HNXACA对订户收取的费用,除了证书申请和更新费用,因为特定理由可以退还外,HNXACA均不退还用户任何费用.
在实施证书操作和签发的过程中,HNXACA遵守严格的操作程序和策略.
如果HNXACA违背了本CPS所规定的责任或其它重大义务,订户可以要求HNXACA吊销证书并退款.
在HNXACA吊销了订户的证书后,HNXACA将把订户剩余的证书使用费用并扣除相应税费后退还给订户.
此退款策略不限制订户得到其它的赔偿.
完成退款后,订户如果继续使用该证书HNXACA将追究其法律责任.
在业务受理过程中,发现申请者提供虚假材料,HNXACA中止受理,但不予退还已收取的各项费用.
499.
2财务责任HNXACA保持足够的财力维持其业务运作和履行应负的责任.
HNXACA接受国家电子认证服务主管部门对HNXACA财务状况的检查.
9.
3业务信息保密9.
3.
1保密信息的范围HNXACA列入保密的信息包括但不限于以下内容:用户的个人信息和(或)机构信息;HNXACA及其代理机构的证书业务处理信息;所有的私钥信息;HNXACA的运行数据和记录,以及保障运行的相关计划;HNXACA与业务代理机构间的商业信息,包括商业计划、销售信息、贸易秘密和在非公开协议下从第三方得到的信息;HNXACA及其业务代理机构相关的审计报告、审计结果及其处理等信息;除非法律明文规定,HNXACA没有义务公布或透露用户证书以外的任何信息;其他书面或有形形式确认为保密的信息.
9.
3.
2不在保密范畴内的信息以下信息HNXACA不列入保密范畴:证书所载信息,以及证书状态信息;由HNXACA网站或手册公布的信息.
包括证书申请流程、证书使用指南、CPS等信息.
以上信息虽然是公开信息,但仅供下载查阅使用,任何人或组织不得转载或用于任何商业用途,HNXACA保留追究责任的权利.
9.
3.
3保护保密信息的责任HNXACA及其业务代理机构、用户、关联实体等所有保密信息掌握者均有义务承担信息保密的责任.
HNXACA执行严格的信息保密制度以确保只有经HNXACA授权的人员才能接近机密信息.
严格禁止未授权的访问、阅读、修改和删除等操作.
当机密信息的所有者出于某种原因,要求HNXACA公开或披露其所拥有的机50密信息,HNXACA应满足其要求.
如果这种披露机密的行为涉及任何其他方的赔偿义务,HNXACA不应承担任何与此相关的或由于公开机密信息引起的所有损失、损坏的赔偿责任.
当HNXACA在国家的法律法规要求下,或在法院的要求下必须披露本文9.
3.
1中的保密信息时,HNXACA可以按照法律法规或法院判决的要求,向执法部门公布相关的保密信息.
这种披露不能视为违反了保密的要求和义务,HNXACA无须承担任何责任.
9.
4个人隐私保密9.
4.
1隐私保护方案HNXACA尊重所有订户及其隐私,个人隐私信息保密方案遵守现行法律和政策规定.
订户选择使用HNXACA的服务,就表示已经同意接受NXACA有关隐私保护的声明.
HNXACA根据国家相关法规的出台,及时调整隐私保护策略,以符合国家法规的要求.
9.
4.
2作为隐私处理的信息订户在申请与享受证书服务过程中所提供的不构成数字证书内容的信息,原则上被视为订户隐私信息.
9.
4.
3不被视为隐私的信息订户再申请于享受证书服务过程中所提供的用来构成数字证书内容的信息,原则上不视为订户隐私信息,(如:公钥证书信息,证书状态信息).
9.
4.
4保护隐私信息的责任针对因证书服务而获得、接受或知悉的保密信息,各方主体(包括HNXACA、注册机构、订户、依赖方等)均应承担隐私保护责任.
9.
4.
5使用隐私信息的告知与同意HNXACA只在其业务范围内使用本文9.
4.
2所列的隐私信息,包括用户身份识别、管理、和服务的目的.
这些使用,HNXACA没有告知用户的义务,也无需得51到用户的同意.
任何超出以上范围的隐私信息使用,需得到其本人的同意.
对违法、违规使用、发布以上隐私信息的,HNXACA承担由此造成的证书持有者、依赖方的损失,并负担相应的行政、经济责任.
9.
4.
6依法律或行政程序的信息披露当HNXACA在国家的法律、规章的要求下,或在法院的要求下必须披露本文9.
4.
2中的隐私信息时,HNXACA可以按照法律、规章或法院判决的要求,向执法部门公布相关的隐私信息.
这种披露不能视为违反了保密的要求和义务,HNXACA无须承担任何责任.
9.
4.
7其他信息披露情形当隐私信息其本人出于某种原因,要求HNXACA公开或披露他的隐私信息,HNXACA可根据授权或协议进行披露.
如果这种披露行为涉及任何其他方的赔偿义务,HNXACA不承担任何与此相关的或由于公开隐私信息引起的所有损失、损坏的赔偿责任.
9.
5知识产权9.
5.
1HNXACA自身拥有的知识产权声明HNXACA享有并保留对证书以及HNXACA提供的全部软件的一切知识产权,包括但不限于所有权、名称权和利益分享权等.
HNXACA发行的证书及其状态信息,以及HNXACA提供的软件、系统、文档中,使用、体现和涉及到的一切版权、商标和其他知识产权均属于HNXACA,这些知识产权包括所有相关的文件、CPS、规范文档和使用手册等.
在没有HNXACA预先书面同意的情况下,用户不能在任何证书到期、作废、或终止的期间或之后,使用或接受任何HNXACA使用的名称、商标、交易形式或可能与之相混淆的名称、商标、交易形式或商务称号.
9.
5.
2HNXACA使用其他方知识产权的声明HNXACA在其服务系统中使用的软硬件设备、辅助设施和相关操作手册,其知识产权为相关供应商所有,HNXACA保证都是合法的拥有相应权利.
用户或证书申请人声明并保证其交付给HNXACA使用的网络域名、IP地址、52主体名称及所有其他证书申请书的资料不得在任何管辖区域内干预或侵犯第三人的商标、服务标志、公司名称或其他知识产权等权利,而且不用于非法目的,包括侵害、干扰协议或预期的商业利益、不公平竞争、损害他人信誉及干扰或误导他人.
9.
6陈述与担保9.
6.
1HNXACA的陈述与担保HNXACA的担保如下:在批准证书申请和颁发证书中没有HNXACA所知的或源自HNXACA的错误陈述;在生成证书时,保证足够检测和审核,使证书中的信息与HNXACA所收到的信息保持一致;除了未经验证的用户信息外,证书中的或证书中合并参考到的所有信息都是准确的;签发给用户的证书符合本CPS的所有实质性要求;按本CPS的规定,及时吊销证书,并签发CRL;HNXACA将向用户和依赖方通报任何已知的,将在根本上影响证书的有效性和可靠性的事件;其他的陈述与担保参见与用户的服务协议.
9.
6.
2RA的陈述与担保HNXACA的RA担保如下:RA遵循HNXACA制订的服务受理规范、系统运作和管理要求,保证其服务不影响到HNXACA的服务标准和承诺;在审核和批准证书申请中没有RA所知的或源自RA的错误陈述;在处理证书申请时,保证足够检测和审核,使证书中的信息与RA所收到的信息保持一致;除了未经验证的用户信息外,证书中的或证书中合并参考到的所有信息都是准确的;签发给用户的证书符合本CPS的所有实质性要求;按本CPS的规定,及时处理证书的吊销申请;其他的陈述与担保参见与用53户的服务协议.
9.
6.
3用户的陈述与担保用户的担保如下:用与证书中所含公钥相对应的私钥所进行的每一次签名,都是用户自己的签名,并且在进行签名时,证书是有效的(没有过期或吊销)并已被用户接受;用户的私钥得到很好的保护,未经授权的人员从未访问过其私钥;用户在证书申请过程中向HNXACA及其RA陈述的所有信息是真实的;用户提供给HNXACA及其RA用于申请证书的所有材料都是真实的;如果存在代理人,那么用户和代理人两者负有连带责任.
用户有责任就代理人所作的任何不实陈述与遗漏,通知HNXACA其RA;用户将按本CPS的规定,只将证书用于经过授权的或其他合法的使用目的;用户的证书是终端证书.
用户保证不将其证书用于发证机构所从事的业务,例如:把与证书中所含的公钥所对应的私钥用于签发任何证书(或认证其他任何形式的公钥)或签发CRL之类;其他的陈述与担保参见与HNXACA的服务协议.
9.
6.
4依赖方的陈述和担保依赖方的担保如下:依赖方保证熟悉HNXACACPS以及和用户证书相关的证书政策,并了解和遵守证书的使用目的;依赖方确保证书及其对应的密钥对的确用于预定的目的;依赖方在信赖用户的证书前,需收集足够的信息,判明是否HNXACA签发的证书并在有效期内,根据最新的CRL检查证书的状态,查明证书是否还有效;依赖方的信赖行为,表明其已同意本CPS的有关条款.
9.
7担保免责HNXACA在以下三种情况下免除责任:1.
不可抗力在不可抗力情况下(内容见本文9.
16.
5和相关法律条款),HNXACA免除责任.
542.
免责条款免责条款是指当事人在合同中约定的免除将来可能发生的违约责任的条款.
免责条款不得违反法律的强制性规定和社会公共利益.
3.
债权人过错如果合约不履行或者不完全履行是由对方即债权人的过错造成的,不履行或者不完全履行的一方免除违约责任.
在电子认证服务合同中也存在因债权人过错而免责的情况,包括但不限于以下内容:申请者故意或无意的提供不完整、不可靠或已过期的,包括但不限于伪造、篡改、虚假的信息,而其又根据正常的流程提供了必须的审核文件,由此得到了HNXACA签发的数字证书;用户或依赖方没有使用可信赖系统进行证书操作;用户在HNXACA允许的目的范围之外使用或证书使用不当;以上未尽事宜,依照中华人民共和国现行法律、法规执行.
9.
8有限责任在法律允许的范围内,认证机构订户协议,依赖方协议和其他订户协议限制认证机构承担的责任.
责任限制包括排除间接的、特殊意外造成的、偶然的和后续性的损失.
9.
8HNXACA偿付责任限制HNXACA是依《中华人民共和国公司法》、《电子签名法》设立的有限责任公司,HNXACA在承担任何责任和义务时,只承担法律范围内的有限责任.
HNXACA及其授权的发证机构,对于一份证书的所有当事人(包括但不限于用户、申请人或依赖方)的合计赔偿责任,不超过该证书的最高赔偿限额,这种限额可以由HNXACA改动.
HNXACA声明的法律赔偿责任之最高限额为该证书相应的服务费用的10倍.
当事人不能得到赔偿或有异议,可以向主管部门进行反映,责令HNXACA履行赔偿责任.
HNXACA的赔偿责任范围:证书信息与用户提交的资料信息不一致,导致用户或依赖方损失;由于HNXACA的原因,导致依赖方或用户自身无法正常验证证书状态而蒙受损失;55HNXACA只有在HNXACA证书有效期限内承担以上损失或损害赔偿.
9.
9用户和依赖方责任用户和依赖方在使用和信赖证书时,如有任何行为或疏忽导致HNXACA产生损失,则用户或依赖方应承担赔偿责任.
9.
9.
1用户的赔偿责任情况用户申请证书时,因故意、过失或者恶意提供不真实资料,造成HNXACA或者其他方遭受损害的;用户因故意或者过失造成其私钥泄漏、遗失,明知私钥已经泄漏、遗失而没有告知HNXACA或其RA,以及使用不安全系统或不当交付他人使用,造成HNXACA或其他方遭受损害的;用户提供使用的命名信息,包括但不限于名称、域名、IP、电子邮箱等,存在任何侵犯他人知识产权,造成HNXACA或其他方遭受损害的.
9.
9.
2依赖方的赔偿责任情况未按HNXACACPS或其他相关协议承担依赖方义务,而造成HNXACA或其他方遭受损害的;未能按HNXACACPS策略识别和信任证书及其行为,而造成HNXACA或其他方遭受损害的;未查验证书的有效期和状态就冒然信任证书及其行为,而造成HNXACA或其他方遭受损害的.
9.
10有效期限与终止9.
10.
1有效期限HNXACACPS自发布之日起正式生效.
CPS中将详细注明版本号及发布日期.
9.
10.
2终止当新版本的CPS正式发布生效时,旧版本的CPS将自动终止.
9.
10.
3效力的终止与保留HNXACACPS一旦终止后,用户和依赖方原则上不受其条款的约束,但涉及知识产权和保密的相关条款继续生效.
569.
11对参与者的个别通告与沟通除非参与者之间另有协议约定,HNXACA在必要的情况下,如主动吊销订户证书,发现订户将证书用于规定外用途及订户其他违反订户协议的行为,可通过适当方式,如电话、电邮、信函、传真等,个别通知订户、依赖方.
9.
12修订9.
12.
1修订程序HNXACACPS由HNXACA安全策略管理委员会根据情况进行审查,任何时候HNXACA安全策略管理委员会认为有必要时即组织修订.
有安全策略管理委员会指定安全管理的人员负责起草CPS初稿形成讨论稿,并征求公司领导和各部门负责人意见.
经讨论、修改达成一致意见后形成送审稿.
将CPS送审稿提交安全策略管理委员审阅.
在取得安全策略管理委员评审意见后,根据评审意见进行修改并提交安全策略管理委员审批,由安全策略管理委员进行CPS文本格式和版本号,形成定稿.
修订后的版本经HNXACA安全管理委员会审批后发布到HNXACA网站(www.
hnxaca.
com),并报送国家工业和信息化部备案.
9.
12.
2通告机制和期限HNXACA安全管理委员会有权作出对CPS作任何修改的决定.
如果CPS的修改没有本质的变化,包括重新排版、勘误、重新表达,联系方式、发布地址变更等,则无需进行个别的通告.
HNXACACPS的修改结果在HNXACA的网站(www.
hnxaca.
com)上公布.
所有可能以书面形式提供给用户的CPS修订结果,按以下规则发送:1.
接受者是一个组织,则向其在HNXACA或其RA登记的联系地址发送信息;2.
接受者是个人,则向其申请书上登记的地址发送信息;3.
这些通知可能用快递或挂号信的方式发送.
HNXACA也可以选择通过电子邮件(E-mail)向用户发送通知,该电子邮件地址在用户申请证书时已注明.
HNXACACPS的所有修正、修改和变化在公布后立刻生效.
用户如不在修改结果公布之日起七天内作废证书,就视为同意这种修正、修改和变化.
9.
12.
3必须修改CPS的情形57如果出现下列情况,那么必须对CPS进行修改:采用了新的密码体系或技术,并影响现有CPS的有效性;认证系统和有关管理规范发生重大升级或改变;法律法规的变化,并影响现有CPS的有效性;现有CPS出现重要缺陷.
9.
13争议处理证书用户、依赖方等实体在电子认证活动中产生争端可按照以下步骤解决:a)当事人首先通知,根据本《电子认证业务规则》中的规定,明确责任方;b)由相关部门负责与当事人协调;c)若协调失败,可以通过司法途径解决;d)任何因与HNXACA或授权机构就本《电子认证业务规则》所产生的任何争议而提起诉讼的,受HNXACA工商注册所在地的人民法院管辖.
9.
14管辖法律HNXACACPS在各方面按照中国现行法律和法规执行和解释.
包括但不限于《电子签名法》及《电子认证服务管理办法》、《电子认证服务密码管理办法》等.
9.
15与适用法律的符合性HNXACA电子认证业务各参与方必须遵守中国现行法律及相关行业规范的监管,包括但不限于《电子签名法》、《电子认证服务管理办法》、《电子认证服务密码管理办法》及相关密码技术、产品标准规范等.
若要出口使用于HNXACA认证服务的相关产品,可能需要取得相关政府机关的许可.
产品出口的当事人必须遵守中国进出口法律和法规.
9.
16一般条款9.
16.
1完整协议条款HNXACACPS及HNXACA的相关业务管理办法、国家相关法律法规构成HNXACA的整体协议,各参与方的业务须遵循整体协议.
9.
16.
2转让条款若HNXACA下属RA因故吊销,则其管理的相应用户须接受HNXACA的业务调配,通过另一RA获得相应服务.
58若HNXACA因政策性原因或其他不可抗力停止服务,HNXACA之所属用户须按国家规定,接受相应接管CA的证书服务条款.
9.
16.
3分割性条款在HNXACA的电子认证业务中,因某一原因导致法庭或其他仲裁机构判定协议中的某一条款无效或不具执行力时(由于某种原因),用户证书业务相关协议的其他条款仍然生效.
9.
16.
4强制执行条款HNXACA电子认证各参与方中,免除一方对合约某一条款违反应负的责任,不意味着免除这一方对其他条款违反或继续免除这一方对该条款违反应负的责任.
9.
16.
5不可抗力条款不可抗力,是指不能预见、不能避免并不能克服的客观情况.
不可抗力既可以是自然现象或者自然灾害,如地震、火山爆发、滑坡、泥石流、雪崩、洪水、海啸、台风等自然现象;也可以是社会现象、社会异常事件或者政府行为.
如合同订立后政府颁发新的政策、法律和行政法规,致使合同无法履行;再如战争、罢工、骚乱等社会异常事件.
在电子认证活动中,HNXACA由于不可抗力因素而暂停或终止全部或部分证书服务的,也可根据不可抗力的影响而部分或者全部免除违约责任.
其他认证活动参与各方(如用户)不得就此提出异议或者申请任何补偿.
由于法律无法具体规定或者列举不可抗力的内容和种类,加上不可抗力本身的弹性较大,在理解上容易产生歧义,因而允许当事人在合同中订立不可抗力条款,根据交易的情况约定不可抗力的内容和种类.
HNXACA电子认证合同中的不可抗力条款可以在与数字证书申请表一起提供给用户的服务协议中规定,也可被规定在HNXACACPS中.
9.
17其他条款HNXACA对于CPS及相关规定拥有最终解释权.
9.
17.
1各种规定的冲突若HNXACACPS的规定与其他规定、指导方针或协议相互抵触,各参与方必59须接受HNXACACPS的约束,除非HNXACACPS的规定为法律所禁止的范围内;该冲突的协议的签署日期在HNXACACPS首次公开发行之前;该冲突的协议明确的优于HNXACACPS.
9.
17.
2安全资料的财产权益除非另有约定,下列与安全相关的资料视为下列指定的当事人所拥有:证书:证书为HNXACA的产权所有.
HNXACACPS:HNXACACPS的版权为HNXACA所有.
甄别名:甄别名为该命名实体(或其雇主或委托人)所有.
私钥:不论该密钥是以何种实体媒介存放或保护,私钥为合法使用或有权使用该密钥用户(或其雇主或委托人)所有.
公钥:不论该密钥以何种实体媒介存放或保护,公钥为用户(或其雇主或委托人)所有.
HNXACA的私钥:HNXACA的私钥是HNXACA的财产.
这些私钥由HNXACA授权分配和使用.
HNXACA的公钥:HNXACA的公钥是HNXACA的财产.
HNXACA允许使用这些公钥.
9.
17.
3损害性资料证书申请人与用户不能把包含以下言论的任何资料提交给HNXACA或其RA:1.
毁谤、中伤、不雅、色情、侮辱、迷信、憎恶或种族歧视的言论;2.
鼓吹非法活动或讨论非法活动,并试图从事此类活动的言论;3.
其他违法言论.
1)(生效日期:2021年3月19日)河南省信息化发展有限公司HenanProvinceInformationDevelopmentCo.
,Ltd河南信安CA电子认证服务业务规则版本说明河南省信息化发展有限公司电子认证服务业务规则如表1所示:版本发布日期备注3.
12021年3月19日依据业务发展情况,进行修订.
3.
02019年7月17日依据业务发展情况,进行修订.
2.
02017年1月5日依据业务发展情况,进行修订.
1.
02013年01月21日依据《电子认证服务业务规则规范》制定注:河南省信息化发展有限公司已发布最新版本为V3.
1.
表1:河南省信息化发展有限公司电子认证服务业务规则版本.
I目录1概括性描述.
11.
1概述.
11.
2文档名称与标识11.
2.
1名称.
11.
2.
2版本.
11.
3认证体系的成员.
21.
3.
1电子认证服务机构.
21.
3.
2注册机构.
31.
3.
3订户.
31.
3.
4依赖方.
41.
3.
5其他成员.
41.
4证书应用.
41.
4.
1证书性质.
41.
4.
2禁止的证书应用.
41.
5策略管理.
41.
5.
1策略文档管理机构.
41.
5.
2联系信息.
51.
5.
3决定CPS符合策略的机构.
51.
5.
4CPS批准流程.
51.
6定义和缩写52信息发布与信息管理.
102.
1信息库.
102.
2认证信息的发布.
102.
2.
1CPS的发布.
102.
2.
2证书和CRL发布.
102.
3.
1CPS的发布时间或频率.
112.
3.
2证书的发布时间或频率.
112.
4对信息的访问控制113身份标识与鉴别133.
1命名133.
1.
1名称类型.
133.
1.
2对名称的意义化要求.
133.
1.
3订户的匿名或伪名.
13II3.
1.
4理解不同名称形式的规则.
133.
1.
5名称的唯一性.
133.
1.
6商标的承认、鉴别和角色143.
1.
7各类数字证书CN的取值方式.
143.
2初始身份确认.
143.
2.
1证明拥有私钥的方法143.
2.
2机构的身份确认143.
2.
3个人的身份确认163.
2.
4不予验证的用户信息163.
2.
5审核认证体系成员身份确认163.
2.
6互操作原则.
173.
3证书(密钥)更新请求中的身份鉴别173.
3.
1常规密钥更新的标识与鉴别173.
3.
2吊销后密钥更新的识别预报鉴别173.
4证书吊销请求中的身份鉴别174证书生命周期操作规范.
194.
1证书申请.
194.
2证书申请处理.
194.
2.
1身份审核194.
2.
2证书申请的接受与拒绝194.
2.
3处理证书申请的时间194.
3证书签发.
204.
4证书接受.
204.
4.
1证书的发布.
204.
4.
2接受证书的方式204.
5密钥对和证书的使用.
214.
5.
1用户私钥和证书的使用214.
5.
2依赖方对他人证书和公钥的使用214.
6证书更新.
214.
6.
1证书更新的情形214.
6.
2证书更新请求的处理224.
6.
3证书更新的签发、发布和用户接受224.
7证书密钥更新.
224.
7.
1证书密钥更新的情形224.
7.
2证书密钥更新请求的审核224.
7.
3证书密钥更新的签发、发布和用户接受234.
8证书变更.
23III4.
8.
1证书变更的内容234.
8.
2证书变更请求的审核234.
8.
3证书变更的签发、发布和用户接受234.
9证书的吊销和挂起234.
9.
1证书吊销的情形234.
9.
2请求证书吊销的实体244.
9.
3吊销请求的流程244.
9.
4吊销请求的宽限期244.
9.
5证书挂起的处理244.
9.
6证书吊销和挂起状态的发布244.
9.
7依赖方检查证书状态的要求244.
10证书状态服务244.
11订购结束.
244.
12密钥生成、备份和恢复.
254.
12.
1密钥的生成和备份254.
12.
2密钥的恢复.
254.
12.
3密钥对的存储和恢复安全策略255认证机构设施、管理和操作控制265.
1物理控制265.
1.
1机房的建筑.
265.
1.
2物理访问.
265.
1.
3电源和空调.
265.
1.
4水患防治.
275.
1.
5火灾预防和保护275.
1.
6介质存储275.
1.
7废物处理275.
1.
8异地备份275.
1.
9入侵侦测报警系统285.
2操作过程控制.
285.
2.
1可信角色285.
2.
2角色要求的人数285.
2.
3可信角色的鉴别285.
2.
4职责需分离的角色295.
3.
2背景调查程序.
295.
3.
3培训要求295.
3.
4再培训要求.
305.
3.
5工作轮换周期和顺序305.
3.
6对未授权操作的处理305.
3.
7独立合约人要求305.
3.
8提供给员工的文档30IV5.
4审计日志程序.
315.
4.
1记录事件的类型315.
4.
2日志的处理周期315.
4.
3审计日志的保存期限315.
4.
4审计日志的保护315.
4.
5审计日志的备份325.
4.
6审计日志的采集325.
4.
7对导致事件实体的通告325.
5记录归档.
325.
5.
1归档记录种类325.
5.
3档案的保护.
325.
5.
4档案备份.
325.
5.
5记录时间戳的要求335.
5.
6档案采集系统.
335.
5.
7获得和检验归档信息程序335.
6电子认证服务机构密钥更替335.
7损害和灾难恢复335.
7.
1HNXACA遭攻击或发生损害事故时的恢复程序.
335.
7.
2计算资源、软件或数据的破坏处理335.
7.
3CA私钥损害的处理.
345.
7.
4灾难发生后的业务保持345.
8CA或RA业务终止.
345.
8.
1CA业务终止.
345.
8.
2注册机构业务终止356认证系统技术安全控制.
366.
1密钥对的生成和安装.
366.
1.
1密钥对的生成.
366.
1.
2私钥的传递.
366.
1.
3公钥的传递.
366.
1.
4电子认证服务机构公钥传输给依赖方.
366.
1.
5密钥长度.
366.
1.
6公钥参数的产生376.
1.
7密钥用途.
376.
2私钥保护与密码模块的控制376.
2.
1密码模块标准与控制376.
2.
2私钥的分割管理376.
2.
3私钥托管386.
2.
4私钥备份386.
2.
5私钥归档386.
2.
6私钥在密码模块中的导入和导出386.
2.
7私钥在密码模块中的保存38V6.
2.
8私钥的激活.
386.
2.
9解除私钥激活状态的方法396.
2.
10私钥的撤销.
396.
2.
11密码模块的评估.
396.
3密钥对的其他管理396.
3.
1公钥归档396.
3.
2密钥对与证书的有效期396.
4激活数据.
396.
4.
1激活数据的产生396.
4.
2激活数据的保护406.
5计算机安全控制406.
5.
1计算机安全性要求406.
5.
2计算机的安全等级.
416.
6.
1系统开发控制.
416.
6.
2系统改进控制.
416.
6.
3生命周期的安全控制.
416.
7网络安全性控制427证书、CRL和OCSP.
437.
1证书437.
1.
1版本号.
437.
1.
2证书扩展项.
437.
1.
3算法OID.
437.
1.
4名称形式.
437.
1.
5证书密钥用法.
447.
1.
6证书策略OID447.
1.
7策略限定符的语法和语义447.
2CRL447.
2.
1版本号447.
2.
2CRL和CRL条目扩展项.
447.
3OCSP.
457.
3.
1版本号457.
3.
2OCSP扩展项.
458认证机构审计和其他评估468.
1审计的依据.
468.
2审计的形式.
468.
3审计或评估的频率46VI8.
4审计或评估人员的资质.
468.
5审计或评估人员与HNXACA的关系.
478.
6审计或评估的内容478.
7对问题与不足采取的措施478.
8审计或评估结果的传达与发布479法律责任和其他业务条款489.
1费用489.
1.
1证书签发和更新费用489.
1.
3证书状态信息查询费用489.
1.
4其他服务费用.
489.
1.
5退款政策489.
2财务责任.
499.
3业务信息保密.
499.
3.
1保密信息的范围499.
3.
2不在保密范畴内的信息499.
3.
3保护保密信息的责任499.
4个人隐私保密509.
4.
1隐私保护方案509.
4.
2作为隐私处理的信息509.
4.
3不被视为隐私的信息509.
4.
4保护隐私信息的责任509.
4.
6依法律或行政程序的信息披露519.
4.
7其他信息披露情形519.
5知识产权.
519.
5.
1HNXACA自身拥有的知识产权声明.
519.
5.
2HNXACA使用其他方知识产权的声明.
519.
6陈述与担保.
529.
6.
1HNXACA的陈述与担保529.
6.
2RA的陈述与担保.
529.
6.
3用户的陈述与担保539.
6.
4依赖方的陈述和担保539.
7担保免责.
539.
8有限责任.
549.
8HNXACA偿付责任限制.
549.
9用户和依赖方责任55VII9.
9.
1用户的赔偿责任情况559.
9.
2依赖方的赔偿责任情况559.
10有效期限与终止559.
10.
1有效期限.
559.
10.
2终止.
559.
10.
3效力的终止与保留559.
11对参与者的个别通告与沟通569.
12修订569.
12.
1修订程序.
569.
12.
2通告机制和期限569.
12.
3必须修改CPS的情形569.
13争议处理.
579.
14管辖法律.
579.
15与适用法律的符合性.
579.
16一般条款.
579.
16.
1完整协议条款.
579.
16.
2转让条款.
579.
16.
3分割性条款.
589.
16.
4强制执行条款.
589.
16.
5不可抗力条款.
589.
17其他条款.
589.
17.
1各种规定的冲突589.
17.
2安全资料的财产权益599.
17.
3损害性资料.
5911概括性描述1.
1概述河南省信息化发展有限公司,又称河南省信息安全电子认证中心(简称"信安CA、HNXACA"),成立于2009年7月6日,注册资金3,077万元人民币.
公司先后获得国家密码管理局颁发的《电子认证服务使用密码许可证》、国家工业和信息化部颁发的《电子认证服务许可证》、国家密码管理局颁发的《商用密码产品销售许可证》,通过了"国家密码管理局电子政务电子认证服务能力评估"、"国家卫生和计划生育委员会合规性测试",可以为电子政务及卫生系统提供电子认证服务,是公平、公正、权威的第三方电子认证服务机构.
《河南省信息化发展有限公司电子认证服务业务规则》(以下简称"HNXACACPS")是河南省信息化发展有限公司按照《电子签名法》、《电子认证服务管理办法》的要求,规范信安CA的电子认证业务的服务、管理,保障认证体系的可靠,维护电子认证的权威性,有效地防范安全风险.
明确规定信安CA在审核、签发、发布、存档和吊销数字证书等证书生命周期管理以及相关的业务应遵循的各项操作规范.
报国家工业和信息化部备案,并在公司官网上进行公示.
信安CA严格按照《电子签名法》及《电子认证服务管理办法》等法律法规要求,向用户提供可靠电子认证服务.
信安CA认证体系内的成员包括有信安CA(根CA)、注册机构(业务受理点,即RA)、数字证书用户、证书依赖方等成员,组成完整的信安CA电子认证架构,为用户提供网上安全、可靠的电子身份认证服务.
信安CA认证体系内的所有成员都必须严格遵循和执行HNXACACPS,并承担相应的责任.
1.
2文档名称与标识1.
2.
1名称本文档的名称是《河南省信息化发展有限公司电子认证服务业务规则》,简称为HNXACACPS,是HNXACA在颁发证书过程中所采取的业务操作规则规范.
1.
2.
2版本本HNXACACPS是HNXACA发布的最新版本,版本号为V3.
1.
21.
3认证体系的成员1.
3.
1电子认证服务机构HNXACA是根据《电子签名法》及《电子认证服务管理办法》规定依法设立的电子认证服务机构,是网上安全电子交易中具有权威性和公正性的可信赖的第三方机构.
HNXACA为网上业务的各参与方签发标识其身份的数字证书,并对数字证书进行更新、吊销等一系列管理.
HNXACA设立安全管理委员会、安全管理小组等机构,进行相关管理活动.
HNXACA下设服务中心、及业务受理点(RA),进行业务管理及实施活动.
(1)HNXACA的根:ROOTCAROOTCA是HNXACA电子认证服务系统加入的国家根的名称.
HNXACA为最终用户颁发的个人证书、机构证书和设备证书由ROOTCA为HNXACA签发的CA所签发.
(2)国家RSA根(一级)的DN是:CN=ROOTCAO=OSCCAC=CN(3)HNXACARSA根(二级)信息:CN=HNXACAOU=HNXACAO=HeNanProvinceInformationDevelopmentCo.
,LtdL=ZhengZhouS=HeNanC=CNHNXACARSA根证书的有效期为:2010年8月1日15:06:29——2020年7月29日15:06:29(4)国家SM2根(一级)证书:CN=ROOTCAO=NRCACC=CN3(5)HNXACASM2根(二级)信息:CN=XACAOU=HNXACAO=HeNanProvinceInformationDevelopmentCo.
LtdL=ZhengZhouS=HeNanC=CNHNXACASM2根证书的有效期为:2016年3月2日11:35:13——2036年2月26日11:35:13.
1.
3.
2注册机构HNXACA的注册机构(简称RA),又称为业务受理点,是HNXACA设立或授权委托设立的数字证书业务受理机构.
其业务范围包括:面向用户受理数字证书业务和销售数字证书产品业务.
其中受理数字证书业务是指受理用户的证书注册申请、审核用户身份、批准证书申请、证书制作、发放证书、接受和处理证书更新、证书吊销、密钥恢复以及其他需要直接面向用户的业务,其中密钥恢复业务仅由指定受理点开展.
销售数字证书产品业务是指销售HNXACA的各类数字证书以及数字证书存储介质.
RA按照HNXACA制定的CPS及相关业务受理点管理程序运营数字证书代理业务.
在代理数字证书业务的运营活动中,应按照HNXACA的规定,执行符合政策规定的资费标准,向用户提供统一标准的服务.
HNXACA各RA点挂牌的名称为"数字证书业务受理点".
1.
3.
3订户订户也称为证书持有者,也称为用户.
是指拥有电子认证服务机构签发的有效证书的实体.
包括从HNXACA处接受证书的任何个人或合法设立的组织.
订户符合以下情况:在接受的证书中指明或识别为证书接受者;已接受该证书并遵守本CPS和相关协议;拥有与接受的证书内公钥所对应的私钥.
41.
3.
4依赖方依赖方包括行为上依赖于HNXACA用户的证书及其数字签名的一方,与订户发生业务往来的个人或组织.
依赖方可以是、也可以不是一个订户.
1.
3.
5其他成员HNXACA认证体系在某种专门情况下所声明的其他相关成员.
1.
4证书应用各个证书代表各自的身份进行使用.
所有证书根据其颁发对象的不同,归为以下三种:个人证书机构证书设备证书HNXACA在开展业务时可能为某种对象的证书作特别的命名.
1.
4.
1证书性质证书类型用户性质举例个人证书各级政务部门的工作人员和参与业务的社会公众,用以代表个体的身份.
如某局职员,参加纳税申报的个人.
机构证书政务机关和参与业务的企事业单位,代表机构身份.
某部委、某局或参加政府招投标业务的投标企业.
设备证书系统中的服务器或其他设备,用以代表设备身份的服务器身份证书、SSL服务器证书、1.
4.
2禁止的证书应用各类证书的使用应符合对其用途的限定,如参与方未经HNXACA认可或不遵守相关约定,其证书的应用超出限定的应用范围,将不受HNXACA的保护.
禁止将证书用于违反国家法律、法规或破坏国家安全的情况下使用,由此造成的法律后果由订户自行承担.
1.
5策略管理1.
5.
1策略文档管理机构HNXACACPS由HNXACA安全管理委员会负责起草、注册、维护和更新,版权由HNXACA完全拥有.
51.
5.
2联系信息联系地址:河南省郑州市郑东新区明理路祭城南博雅广场4号楼15层邮编:450046网站:www.
hnxaca.
com电话:0371-86109777传真:0371-69176993电子邮件:service@hnxaca.
com1.
5.
3决定CPS符合策略的机构HNXACA安全策略委员会是公司CPS策略制定的最高权威机构,审定批准CPS,是决定CPS符合策略的机构.
1.
5.
4CPS批准流程HNXACA将对HNXACACPS进行严格的版本控制,由HNXACA安全管理委员会指定专人负责版本控制及发布.
所有CPS相关公告和通知需获得安全管理委员会批准后,通过HNXACA网站www.
hnxaca.
com进行公布.
根据《电子签名法》及《电子认证服务管理办法》等规定,HNXACA在公布CPS后向国家工业和信息化部备案.
1.
6定义和缩写1.
CA(CertificateAuthority)电子认证服务机构的简称.
CA是网络身份认证的管理机构,是网上安全电子交易中具有权威性和公正性的可信赖的第三方机构.
CA为电子事务的各参与方签发标识其身份的数字证书,并对数字证书进行更新、吊销等一系列管理.
2.
RA(RegistrationAuthority)注册机构的简称.
RA是CA认证体系的一个功能组件,负责对数字证书申请进行资格审核,并决定是否同意给该申请者发放数字证书,以及证书更新和吊销工作.
3.
KMC(KeyManagementCenter)密钥管理中心的简称.
用于产生用户加密证书密钥对,并提供加密密钥对托管服务的管理机构.
4.
HNXACA6河南省信息化发展有限公司的简称.
5.
CPS(CertificationPracticeStatement)电子认证业务规则的简称.
CPS详细描述电子认证机构数字证书的发放、吊销、更新、管理的规范,是认证体系各机构运营CA系统进行实际工作和运行应严格遵守的各种规范的综合,是数字证书管理、数字证书服务、数字证书应用、数字证书分类、数字证书授权和数字证书责任等政策集合.
6.
CRL(CertificateRevocationList)数字证书吊销列表的简称.
CRL中记录所有在原定失效日期到达之前被吊销的数字证书的序列号,供数字证书使用者在认证对方数字证书时查询使用,由CA周期性签发.
CRL通常又被称为数字证书黑名单、数字证书废止列表等.
内容通常包含列表签发者、发行日期、下次吊销列表的预定签发日期、被吊销的数字证书序号,并说明被吊销的时间与理由.
7.
OCSP(OnlineCertificateStatusProtocol)在线数字证书状态查询协议的简称,用于支持实时查询数字证书状态.
8.
数字证书(digitalcertificate)数字证书是由证书认证机构签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些扩展信息的数字文件.
它是用来标志和证明网络通信双方身份的数字信息文件,与司机驾照或日常生活中的身份证相似.
在网上进行电子商务等活动时,交易双方需要使用数字证书来表明自己的身份,并使用数字证书来进行有关交易操作.
9.
数字签名(电子签名digitalsignature)采用密码技术对数据进行运算得到的附加在数据上的签名数据,或是对数据所作的密码变换,用以确认数据来源及其完整性,防止被人(例如接收者)进行篡改或伪造.
10.
金融网上系统(financialinternetsystem)金融网上系统是指通过互联网、移动通信网络、其他开放性公众网络或专用网络基础设施向其用户提供各种金融服务的机构.
11.
DTS(DigitalTimeStamp)数字时间戳服务的简称.
用于向用户提供可信的精确时间源,以证明某个特7定时间某个行为或者文档确实存在.
时间源采用的是国际标准时间UTC,通过GPS(全球卫星定位系统)卫星天线接收同步卫星原子钟的精确时间信号.
12.
LDAP(LightweightDirectoryAccessProtocol)轻量级目录访问协议的简称.
LDAP用于查询、下载数字证书以及数字证书吊销列表(CRL).
13.
OID(ObjectIdentifiers)对象标识符的简称.
OID由国际标准化组织分配和发布,并形成一个层次关系.
OID是一串用点分开的十进制数(例如"1.
2.
3.
4").
OID标准的定义来自ITU-T推荐X.
208(ASN.
1),企业(和个人)可以从国际标准化组织申请得到一个根对象标识符,并且可使用它分配根节点下的其他对象标识符.
14.
PKI(PublicKeyInfrastructure)公开密钥基础设施的简称.
PKI为支持基于证书的公开密钥算法技术的实现和运作的相关体系、组织、技术、操作和程序的集合.
15.
私钥(PrivateKey)是一种不能公开、由持有者秘密保管的数字密钥,用于创建数字签名、解密报文或与相应的公开密钥一起加密机要文件.
16.
公钥(PublicKey)可以公开的数字密钥,用于验证相应的私钥签名的报文,也可以用来加密报文、文件,由相应的私钥解密.
17.
RSA算法RSA是由Rivest、Shamir及Adelman所发明的一种公开密钥加密算法,以数论的欧拉定理为基础,它的安全性依赖于大数的因数分解的困难性.
18.
URL(UniformResourceLocator)统一资源位址的简称.
URL是在Internet的www服务程序上用于指定信息位置的表示方法.
19.
X.
509一种由ITU-T(InternationalTelecommunicationUnion-T:国际电信联盟)所发布的数字证书标准以及对应的验证架构.
X.
509v3则为一种具扩展栏位或可扩展的数字证书.
820.
鉴别辨别认定证书申请者提交材料真伪的过程.
21.
验证对证书申请材料和申请者之间的关联性进行确定的活动.
22.
证书主体(certificatesubject)证书主体是证书公钥对应的实体,它可以是个人、机构、域名等.
23.
订户(customer)向CA申请证书的实体,包括个人用户和机构订户.
24.
依赖方(relyingparty)使用证书中的数据进行决策的用户或代理.
25.
个人证书(individualcertificate)以个人用户名义向CA申请,用以表示个人身份信息的证书.
26.
机构证书(organizationcertificate)以机构用户名义向CA申请,用以表示机构身份信息的证书.
27.
依赖方(relyingparty)使用证书中的数据进行决策的用户或代理.
28.
SSL证书(SSL(SecureSocketLayer)certificate)SSL服务器上需要配置的证书,包含服务器域名或IP地址信息,用于对服务器进行身份认证,并在服务器端与用户端之间建立SSL(SecureSocketLayer,安全套接层)加密通道,对传送的数据进行加密,并确保数据在传输过程中不会被篡改.
29.
文件证书(软证书softcertificate)指证书及对应私钥以文件形式存储在计算机文件系统中的证书,通常相对于证书及对应私钥保存在智能密码钥匙硬件中的证书而言(又称软证书).
30.
智能密码钥匙usbkey智能密码钥匙是一种内置PKI密码算法智能芯片、可以安全存储证书私钥和证书、并能进行签名和签名验证所需密码运算功能的硬件设备.
31.
证书更新(certificaterenewal)证书更新是指在证书所载信息不变的情况下,延长证书的有效期.
932.
证书吊吊销(certificaterevocation)证书吊销是指将用户的证书标记为CA永远不再信任的状态,并放置于证书吊销列表中供依赖方查询.
33.
证书冻结(certificatesuspension)证书冻结是指将用户的证书标记为CA暂时不信任的状态,并放置于证书吊吊销列表中供依赖方查询.
34.
证书解冻(certificatedissuspension)证书解冻是指将已经冻结的证书标记为CA重新信任的状态,并从证书吊吊销列表中删除其冻结信息供依赖方查询.
35.
证书策略(certificatepolicy)一套指定的规则集,用以指明证书对一个特定团体和(或)具有相同安全需求的应用类型的适用性;或用以指明证书对于具有相同安全需求的某类应用的适用性.
36.
密钥更新(certificaterekey)密钥更新是指在不改变证书中用户的其它任何信息的情况下,更换密钥对为用户签发一张新证书.
102信息发布与信息管理2.
1信息库HNXACA信息库是一个对外公开的信息库,它能够保存、取回证书及与证书有关的信息.
HNXACA信息库内容包括但不限于以下内容:证书、CRL,证书状态信息,HNXACACPS最新的版本,以及其他由HNXACA不定期发布的信息.
HNXACA证书库为信息库的子集,用来存放经HNXACA签发的证书和证书吊销列表(CRL),主要为用户和网络应用提供HNXACA证书查询及验证证书状态服务的信息库.
用户可登录HNXACA网站(www.
hnxaca.
com)查询证书信息或下载证书.
HNXACA信息库不会改变任何从发证机构发出的证书和任何证书吊销的通知,而是准确描述上述内容.
HNXACA信息库将及时发布包括证书、CPS修订、证书吊销的通知和其他资料等内容,这些内容保持与CPS和有关法律法规一致.
除HNXACA授权者外,禁止访问信息库(或其他由CA或RA维护的数据)中任何被CPS和/或HNXACA信息库宣布为机密信息的资料.
2.
2认证信息的发布2.
2.
1CPS的发布HNXACACPS一经HNXACA在网站(www.
hnxaca.
com)或以书面声明形式发布、更改,即时生效,并对一切仍有效的数字证书的使用者、新的数字证书及相关业务的申请者均具备约束力.
HNXACACPS的发布及更改遵循本规则1.
5.
4的规定.
如有需要,可访问HNXACA网站(www.
hnxaca.
com)查看,对具体个人不另行通知.
2.
2.
2证书和CRL发布数字证书在签发成功后,如果订户没有要求,HNXACA默认将该证书副本发布到信息库.
HNXACA定期发布CRL以公布在证书有效期内被吊销的数字证书.
证书依赖方可在HNXACA的LDAP服务器或指定的信息库位置中可查询获得证书和CRL有关信息.
同时HNXACA也提供标准的OCSP服务,证书依赖方经授权可实时地获取证书最新的状态信息.
HNXACA的证书发布将利用LDAP目录服务器定时更新证书数据和CRL数11据,并接收对证书及CRL的查询请求.
HNXACA可根据信息系统的需要,依据双方的约定,将CA系统中签发、更新、重签发的数字证书定时或实时与信息系统进行数据同步,将证书信息同步到信息系统中.
提供的信息可包括如下信息:业务类型、认证机构身份标识、用户基本信息、用户证书信息等.
HNXACA可以根据需要,将CRL实时发布到指定的信息系统中.
数据格式可包括如下信息:业务类型、认证机构身份标识、CRL文件、同步时间等.
2.
3发布时间或频率2.
3.
1CPS的发布时间或频率HNXACA将及时发布CPS的最新版本,一旦对规则的修改、补充、调整等获得批准,HNXACA将在网站(www.
hnxaca.
com)上发布,并将最新的CPS发布在HNXACA信息库.
HNXACA根据技术进步、业务发展、应用推进和法律法规的客观要求,决定对CPS的改动,其发布时间和频率将由HNXACA独立做出决定.
这种发布应该是即时的、高效的,并且是符合国家法律法规要求的.
在HNXACA没有发布新的CPS,或者没有任何形式的公告、通知等形式宣布对CPS进行修改、补充、调整或者更新前,当前的CPS即处在有效的和正在实施的状态.
2.
3.
2证书的发布时间或频率数字证书在签发成功后,HNXACA自动通过目录服务器或官方网站将该证书副本及CRL发布到信息库,发布周期为不大于24小时,即在24小时内发布最新的CRL,在紧急的情况下,HNXACA可自行决定证书和CRL的发布时间.
HNXACA通过目录发布服务和指定的信息库位置定期发布更新的数字证书信息.
用户和依赖方可在HNXACA的LDAP服务器或指定的信息库上查询、下载数字证书.
2.
4对信息的访问控制HNXACA在其网站上发布与其相关的公众信息.
通过设置访问控制和安全审计措施,确保只有授权的HNXACA工作人员才能编写、修改和删除HNXACA在线12发布的信息资料.
同时HNXACA在必要时可自主选择是否实行信息的权限管理,以确保只有数字证书用户才有权阅读受HNXACA权限控制的信息资料.
对于HNXACA发布的CPS、CRL和证书信息,证书订户和证书依赖方可以不受限制地进行只读访问.
133身份标识与鉴别3.
1命名3.
1.
1名称类型HNXACA数字证书的命名遵循《数字证书格式规范》的要求.
每张数字证书都包含有主体(Subject),目的是标识该证书由谁持有.
这些主体的命名方法采用X.
509V3的甄别名(DistinguishedName,简称DN)方式.
DN通常包含以下部分或其部分:C,国家S,所在省、市等行政区L,地址O,组织OU,组织下的部门或分支CN,主体名称E,电子邮件不同证书类型的DN的取值和编排方式有所不同,并且所有证书涉及命名的内容都经过严格审核.
3.
1.
2对名称的意义化要求订户的甄别名(DN)的取值和编排方式有所不同,并且所有证书涉及命名的内容都经过严格审核.
3.
1.
3订户的匿名或伪名在HNXACA证书服务体系中,订户不允许使用匿名或伪名申请证书.
3.
1.
4理解不同名称形式的规则.
HNXACA签发的数字符号X.
509V3标准,甄别名格式遵守X.
501标准.
甄别名的命名规则由HNXACA定义.
DN的具体内容由CN、OU、O、C等多个部分组成.
其中CN用来表示用户信息,OU、O用来表示组织机构单位名称、C用来表示国家.
3.
1.
5名称的唯一性在HNXACA证书服务体系中,证书主体名称必须是唯一的不同.
订户的证14书主体甄别名不能相同,必须是唯一的,但对于同一订户,HNXACA可以用其唯一的主体甄别名为其签发多张证书,当证书申请中出现不同订户存在相同名称时,遵循先申请者优先使用,后申请者增加附加识别信息.
寓意区别的原则.
3.
1.
6商标的承认、鉴别和角色HNXACA签发的证书主体甄别名中不包含商标名.
3.
1.
7各类数字证书CN的取值方式各类数字证书CN取值方式如下:证书类型政务中的类型CN取值方式个人证书政务部门工作人员个人姓名(与身份证明文件上标明的主体名称一致个人证书社会公众个人姓名(与身份证明文件上标明的主体名称一致机构证书政务部门机构名称(与机构有效证件上标明的一致)机构证书企业机构名称(与机构有效证件上标明的一致)机构证书代码签名机构名称(与机构有效证件上标明的一致)设备证书设备域名、IP地址或其他实体标识,与盖章申请表上标明的一致3.
2初始身份确认3.
2.
1证明拥有私钥的方法HNXACA为证书申请者提供电子密匙或其他符合要求的密码设备,用于生成和保存密钥对,保证私钥不被泄露,并将此电子密匙安全地传递到用户手中.
HNXACA也可通过证书请求(如PKCS#10)中的数字签名来确认证书申请者持有与注册证书对应的私钥.
证书申请者必需依据法律法规获取和使用密码.
3.
2.
2机构的身份确认HNXACA通过证书申请者提交申请材料的方式获取证书申请者信息.
HNXACA通过查验能证明其机构身份的证件的原件,或通过第三方信息数据或服务,或电话访问等.
HNXACA采用认为恰当的查验方式来确定机构的身份是确实存在的,15合法的实体.
同时HNXACA也需对经过机构授权办理证书业务的代表的身份进行确认,确定该机构知晓并授权证书申请.
一般需提供以下资料到HNXACA或HNXACA的RA进行身份审核及确认:1.
申请表2.
申请机构的如下有效证件的正本或其副本.
有效证件的类型如下:组织机构代码证营业执照企业法人营业执照事业机构登记证事业机构法人登记证税务登记证社会团体登记证社会团体法人登记证人民团体登记证人民团体法人登记证政府批文境外机构的有效证件其他有效证件3.
经办人身份证明原件.
有效证件的类型如下:身份证户口本护照回乡证军人身份证明授权委托书其他有效证件HNXACA在认为申请人的身份已经通过其他方式确认,则无需提交任何证件.
是否需要提交及提交何种证件,HNXACA将在证书申请表中予以明示.
HNXACA或HNXACA的RA的业务受理人员在认为有必要的情况下,采取电话调查、实地考察或其他验证方式(包括第三方平台数据、互联网访问等)鉴定16用户身份及其声明的IP地址和域名等信息,申请机构有配合业务受理员的调查工作的义务.
3.
2.
3个人的身份确认HNXACA通过证书申请者提交申请材料的方式获取证书申请者信息.
HNXACA通过查验证明其个人身份的原件,或通过第三方信息数据或服务,或电话访问等HNXACA认为恰当的查验方式来确定个人的身份,一般情况下,个人申请者应提供以下资料到HNXACA或其RA进行身份审核及确认:1.
申请表.
个人若需在证书中标明个人所属机构,其所属机构身份必须通过HNXACA的审核,并且其申请表必须由所属机构盖章.
2.
个人身份证明原件.
有效证件的类型如下:身份证户口本护照回乡证军人身份证明其他有效证件3.
如果是属于政府部门中的个人,申请人还需提供属于所在组织(所在部门)的证明(包括雇佣关系).
HNXACA在认为申请人的身份已经通过其他方式确认,则无需提交任何证件.
是否需要提交及提交何种证件,HNXACA将在证书申请表中予以明示.
HNXACA或其RA的业务受理人员在认为有必要的情况下,采取第三方信息数据或服务鉴定用户身份,申请人有配合业务受理员的调查工作的义务.
3.
2.
4不予验证的用户信息未在前面所列的,对于不影响用户身份追溯的信息,HNXACA一般不予验证.
3.
2.
5审核认证体系成员身份确认1.
RA所属单位必须为依法设立的机构,其身份审核依据本文3.
2.
2的要求进行,并由HNXACA进行实地的考察后可确认其身份.
RA的资格由HNXACA根据认证业务管理办法来审查批准,正式获得相应资17格后,其运作遵循HNXACA的相关规定.
2.
业务受理人员HNXACA的业务受理人员必须是HNXACA及所属RA机构的职员.
业务受理人员的身份除了必须符合个人证书申请者的条件外,还必须符合HNXACA的相关规定.
3.
2.
6互操作原则HNXACA通过可能存在的国家根CA或者通过交叉认证、证书交换中心等,与其他认证中心建立相互认证的关系.
如HNXACA与其他CA进行了的相互认证,将在HNXACA的网站中公布.
HNXACA在进行相互认证时遵循相关法律法规的规定,如果相关法规未列明的要求则采取对等的方式,以不降低信任管理等级为标准.
3.
3证书(密钥)更新请求中的身份鉴别3.
3.
1常规密钥更新的标识与鉴别数字证书用户申请更新数字证书(密钥)时,需要经过身份审核,才能够完成更新的过程.
HNXACA可以采用以下方式之一来对更新证书中的身份进行鉴别:(1)用原证书提交合法有效的数字签名的更新申请,则身份审核通过,无需再次进行其他形式的身份审核;(2)等同采用本文3.
2身份的初始验证方法.
3.
3.
2吊销后密钥更新的识别预报鉴别不提供证书吊销后的密钥更新3.
4证书吊销请求中的身份鉴别数字证书用户申请吊销数字证书时,需要经过身份审核,才能够完成吊销的过程.
HNXACA可以采用以下方式之一来对吊销证书中的身份进行鉴别:(1)用原证书提交合法有效的数字签名的吊销申请,则身份审核通过,无需再次进行其他形式的身份审核;18(2)等同采用本文3.
2身份的初始验证方法.
194证书生命周期操作规范4.
1证书申请HNXACA通过RA受理实体的证书申请.
证书申请的实体可以是任何个人、机构或其他客观存在的实体,其本人或机构的合法授权代表或实体拥有者都可以为该实体提交证书申请.
证书申请人提交的信息必须真实,否则后果由证书申请人承担.
HNXACA为机构的证书申请表格设置经办人栏,该经办人视为获得机构授权办理数字证书相关业务,包括接受数字证书.
HNXACA数字证书申请流程为:(1)证书申请人从网上下载打印或从HNXACA所属RA获取相应实体种类的数字证书申请表格,按表格要求填好申请表;或通过HNXACA的在线服务系统提交申请信息.
(2)按照本文3.
2身份鉴别要求提交对应实体类型的证书申请表格及相关身份证明资料,到HNXACA或其RA进行注册、身份审核和交费.
4.
2证书申请处理4.
2.
1身份审核HNXACA或其RA首先按本文3.
2的条款对证书申请进行身份审核,以鉴别其身份的真实性.
4.
2.
2证书申请的接受与拒绝HNXACA或其RA对已通过身份审核的证书申请,并确认接收到相关费用款项,则给予接受该证书申请,并向HNXACA提交证书签发请求.
任何不能提供足够的身份证明材料,或被HNXACA或其RA怀疑提供虚假信息的,或未在约定时限内支付相关费用的,或未满足HNXACA其他申请要求条件的,HNXACA或其RA有权拒绝其申请.
4.
2.
3处理证书申请的时间一般情况下,HNXACA处理证书申请的时间不超出48小时,或按双方约定的处理时限.
HNXACA允许未能提供足够身份证明材料的申请继续给予补充,这时将相应20延长证书申请的处理时间.
4.
3证书签发HNXACA将根据接受的证书申请所提供的信息来为申请实体签发证书.
HNXACA与RA之间通过可靠的安全连接方式进行身份认证及数据传递.
HNXACA在确认为证书申请提交签发请求的RA的身份后,正式为申请实体签发证书.
在签发过程中,HNXACA依然可以对系统记录的申请信息给予再次审核,无论是通过信息再审核或其他可靠信息渠道,如HNXACA认为申请信息存在有任何疑点,将暂停签发证书,并通知接受申请的RA,直至澄清问题,再重新启动证书签发程序.
HNXACA签发证书使用安全的存储介质(如USBKey)中生成并写入包含用户真实身份的证书,并从技术上保证信息不被篡改.
同时用技术和制度保证在证书生成时,签名证书相对应的私钥只留存在安全的存储介质中,CA不应留存任何私钥备份,用户加密证书,在CA归档中保留有对应私钥.
证书签发后,由RA作相应的后续处理,包括为用户将证书安装在电子密匙中并进行证书发放,或通知用户自行下载安装.
RA可以采取以下方式告知用户:网站公告或通知;在RA受理点面对面告知;电话通知;电子邮件或其他信函通知.
4.
4证书接受4.
4.
1证书的发布证书签发后,HNXACA将证书发布到HNXACA证书库.
4.
4.
2接受证书的方式根据不同的业务操作流程,以下任何一种情况均视为用户接受数字证书:1.
经办人在证书领取记录上签字;2.
用户获取数字证书及其PIN码或口令;3.
用户从网上下载该数字证书;4.
与用户约定的其他方式.
214.
5密钥对和证书的使用4.
5.
1用户私钥和证书的使用用户只有接受了数字证书后方能使用证书对应的私钥.
用户结合签名证书及加密证书的功能,在允许的应用范围内使用数字证书.
用户使用数字证书时必须遵守国家相关法律法规、HNXACACPS和签署的协议.
用户必须确保自己的私钥不被他人窃取.
如果用户无法确定其私钥为安全的,请及时向HNXACA申请吊销私钥对应的数字证书,以免因此造成损失.
用户必须按密钥的用途来使用相对应的证书,否则不被依赖方认可的责任由用户自行承担.
4.
5.
2依赖方对他人证书和公钥的使用证书依赖方获得对方的数字证书和公钥后,可以通过查看数字证书来了解对方的身份,通过公钥验证对方数字签名的真实性.
验证证书的有效性包括以下三个方面:1.
验证该证书为HNXACA签发;2.
检查该证书在有效期内;3.
查验该证书没有被吊销.
证书依赖方依据HNXACA的相关保障措施,确定自己对对方数字证书的信赖程度.
在验证数字签名时,证书依赖方应参照HNXACACPS,通过查看或判定证书使用目的和密钥的用途来评估决定是否接收用户的行为,对于不符合证书或密钥用途的证书使用,依赖方可以拒绝接收.
4.
6证书更新数字证书的有效期自证书受理之日起算起,以实际缴费年限为准,若数字证书有效期到期后,用户仍需继续使用数字证书且证书中任何用户信息不变的情况下,为用户签发一张有效期延长后的数字证书.
4.
6.
1证书更新的情形1.
证书将要到期或已到期或HNXACA其他策略要求原因,且密钥对处于安22全状态并且策略允许继续使用.
2.
用户或其授权代表提出证书的更新申请.
3.
HNXACA的策略要求或相关法律法规引致其他原因.
4.
6.
2证书更新请求的处理处理证书更新请求可以有以下两种方式:1.
在线更新,只适合于证书未过期且未被吊销的情形.
即在证书即将过期前,通过HNXACA网站提交更新申请,经过HNXACA证实提交更新申请者拥有对应证书的私钥并收到相关款项后,由HNXACA签发新的证书.
用户需在声明的处理时间之后,凭提交更新申请的证书公钥所对应的私钥下载新的证书.
2.
离线更新,适合所有证书更新情形.
即用户或其授权代表提交证书更新申请表和身份证明材料,到HNXACA或其RA进行证书更新.
其身份鉴别方式和处理过程与本文4.
2的要求相同.
4.
6.
3证书更新的签发、发布和用户接受1.
证书更新的签发与本文4.
3相同;2.
证书更新的发布和用户的证书接受与本文4.
4.
1、4.
4.
2规定相同.
4.
7证书密钥更新证书密钥更新是指用户生成一对新密钥并申请为新公钥签发新证书,也就是说更新证书同时也会更新数字证书密钥.
4.
7.
1证书密钥更新的情形1.
因私钥泄漏而吊销证书之后;2.
证书到期且密钥也到期;3.
用户或其授权代表提出证书密钥的更新申请;4.
HNXACA的策略要求或相关法律法规引致其他原因.
4.
7.
2证书密钥更新请求的审核证书密钥更新请求的处理应根据用户的实际情况而采用灵活的处理方式,应根据用户业务安全的需求,选择合适的密钥更新时间和周期.
密钥更新的签发过程与本文4.
6.
2相同.
234.
7.
3证书密钥更新的签发、发布和用户接受1.
证书更新的签发与本文4.
3相同;2.
证书更新的发布和用户的证书接受与本文4.
4.
1、4.
4.
2相同.
4.
8证书变更证书变更是指证书用户的信息发生变化进行的重新登记和处理.
如果涉及证书记载内容的变化,则需要重新制作证书.
4.
8.
1证书变更的内容用户因其信息发生变化由其或其授权代表提出证书的变更申请.
这些信息可以是:主体名称、主体身份ID、所属机构、住址、电子邮件、联系电话、通信地址、邮政编码等.
4.
8.
2证书变更请求的审核用户或其授权代表提交证书变更申请表和身份证明材料,到HNXACA或其RA进行证书变更.
其身份鉴别方式与本文4.
2的要求相同.
如果涉及其证书内容变更的,则需要重新为用户制作新的证书.
其处理方式同本文4.
2的要求,同时吊销原证书(参见本文4.
9).
HNXACA或其RA在收到证书更新申请后的5个工作日内处理完成.
通过证书更新申请的予以更新证书,拒绝用户的证书更新申请的,应在5个工作日内通知用户并告知其原因.
4.
8.
3证书变更的签发、发布和用户接受1.
证书变更涉及的证书签发与本文4.
3相同;2.
证书变更后用户的新证书发布和用户的证书接受与本文4.
4.
1、4.
4.
2规定相同;3.
证书变更后因吊销原证书引起的CRL签发与发布同本文4.
9.
5;4.
如果证书变更仅涉及非证书记载内容的变化,则HNXACA或其RA不予发布,除非与用户或依赖方另有约定.
4.
9证书的吊销和挂起4.
9.
1证书吊销的情形241.
数字证书私钥泄露丢失2.
证书中的信息发生重大变更3.
用户不希望继续使用数字证书4.
单位终止等原因致用户主体不存在的5.
对于下列情形之一,HNXACA有权主动吊销所签发的证书:a)用户申请证书时,提供不真实信息;b)用户未按照规定缴纳数字证书相关费用;c)证书对应的私钥泄露或出现其他证书的安全性得不到保证的情况;d)用户不能履行或违反了相关法律、法规和本协议所规定的责任和义务;e)法律、法规规定的其他情形.
证书的吊销既可以是用户提出申请,也可以是HNXACA因为用户的变更事实或违反约定事实而强行吊销.
4.
9.
2请求证书吊销的实体根据不同的情况,证书依赖方、订户、HNXACA、注册机构等可以提交证书问题报告并请求吊销证书.
4.
9.
3吊销请求的流程1.
在发生证书需吊销的情形时,用户应当立即到证书注册机构申请吊销证书.
及时填写证书吊销申请表,并按本文3.
2的要求携带身份证明材料,遵循HNXACA的吊销规定.
2.
如果单位终止等原因致用户主体不存在的,法定责任人应携带相关证明文件及原数字证书,向注册机构请求吊销用户证书.
HNXACA或其RA按本文3.
2的要求在24小时内进行身份审核通过后,在系统中完成证书的吊销操作,用户或相关法定责任人应当承担在证书吊销之前所有使用数字证书而造成的责任.
.
当HNXACA或其RA吊销某一证书时,将在完成吊销操作后按其登记的联系方式通知用户.
4.
9.
4吊销请求的宽限期如果发生需要吊销证书的情形时,订户应该实时提出吊销请求,如果确实因为客观原因导致延迟的,这个时间也不能超过8小时.
如果在宽限期内,因订户未及时提出吊销请求而产生的任何损失和责任,HNXACA并不承担.
244.
9.
5证书挂起的处理目前HNXACA不提供证书挂起服务.
一旦提供挂起服务,HNXACA将会通过网站进行公布.
4.
9.
6证书吊销和挂起状态的发布任何时候证书被吊销,HNXACA在24小时内将该信息发布到HNXACA信息库,并重新签发CRL.
包含该吊销证书状态的CRL最迟在24小时内可以通过证书列明的URL获取.
当吊销的证书过期时会被从下次发布的CRL中撤出.
在这期间由于证书吊销使证书不可用造成的用户损失由订户负责.
4.
9.
7依赖方检查证书状态的要求依赖方根据应用场合的不同,使用以下两种方式来检查依赖证书的状态:1.
CRL查询:依赖方从证书列明的URL下载HNXACA签发的最新CRL到本地,从中查询所依赖证书的状态;2.
OCSP查询:通过HNXACA提供的OCSP服务,依赖方可以采用OCSP协议获得HNXACA在线签发的所依赖证书的状态.
4.
10证书状态服务HNXACA提供7*24小时的证书状态查询服务.
用户和依赖方可以从HNXACA的网站或目录服务器下载CRL查询证书状态,或使用HNXACA或第三方的OCSP用户端工具进行在线的证书状态的查询.
对非在线用户,可直接在HNXACA的网站上下载CRL文件,通过此文件可离线查询证书状态.
HNXACA无法控制OCSP的同时在线访问量,因此可能造成网络拥挤而影响响应速度.
HNXACA可为某些应用场合提供定制的OCSP服务.
4.
11订购结束以下两种情况,表明证书订购结束:1.
证书在有效期内被吊销,并不再更换新的证书;2.
证书有效期期满后,用户不再进行证书更新或证书密钥更新.
与未到期的其他吊销用户对比,其证书不会进入CRL.
254.
12密钥生成、备份和恢复4.
12.
1密钥的生成和备份HNXACA颁发的用户证书中,含有签名用途的密钥对由用户生成或由HNXACA提供的电子密匙生成,HNXACA任何所属机构不对该密钥对进行备份;而加密用途的密钥对则由密钥管理中心(以下简称KMC)产生,并在KMC备份托管,HNXACA的密钥管理中心由河南省国家密码管理局进行管理.
4.
12.
2密钥的恢复这里的密钥恢复即指用户的加密密钥对恢复.
用户在KMC托管的加密密钥对在需要找回情况下可申请密钥恢复业务,其流程如下:提交密钥恢复申请表,以及本文3.
2的身份初始验证所述之身份证明材料到HNXACA指定的具有开展密钥恢复业务权限的业务受理机构办理.
4.
12.
3密钥对的存储和恢复安全策略私钥在KMC生成后始终以加密的状态存储在密钥库中,且每个私钥由硬件加密设备生成不同的会话密钥进行加密.
对于每次密钥对的申请和恢复,KMC使用用户或HNXACA提供的电子密匙产生的公钥对所申请(或恢复)的私钥进行加密传送,保持中间任何环节私钥都不会被获取.
265认证机构设施、管理和操作控制5.
1物理控制5.
1.
1机房的建筑HNXACA机房的选址和建设按照《电子认证基础设施建设要求》避开易发生火灾危险程度高的区域、有害气体来源以及存放腐蚀区域;避开易燃、易爆物品的地方;避开低洼、潮湿、落雷区域和地震频繁的地方;避开强振动源和强噪音源;避开强电磁场的干扰;避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁;避开重盐害地区,将其置于建筑物安全区内.
HNXACA的主机房根据业务功能划分为公共区、服务区、管理区、核心区,各功能区域对应的级别分别为控制区、限制区、敏感区、机密区,安全等级和要求逐级提高,并设置屏蔽室保护机密数据的存储和CA签名密钥的使用安全.
机房的建设和管理将严格按照国家标准及HNXACA的规定要求执行.
5.
1.
2物理访问HNXACA将功能区域按低到高划分为不同的四个安全等级,为公共区、服务区、管理区和核心区,并采用高安全性的监控技术,包括7*24小时全天候动态监控的摄像、智能卡和指纹双因素控制、可控权限和时间的门禁系统等监控技术,以及人工监控管理,所有进入高一级的区域,必须首先获得低一级区域的访问权限.
HNXACA设置指纹和智能卡双因素门禁系统来提高访问授权的安全性,并在进入管理区和核心区时采用双人控制策略.
对于非业务管理和系统维护人员,只有经HNXACA安全管理小组授权的工作人员陪同下,并获得HNXACA安全管理小组负责人批准,才可进入相应限制区域活动,并且一切活动皆由摄像监控设备及系统监控软件记录.
5.
1.
3电源和空调HNXACA系统由两路不同高压下的双路电源提供供电,当单路电源发生故障时也能及时自动切换,提供紧急供电,维持系统正常运转;同时备有不间断电源(UPS),避免电压波动和持续8小时不间断电力供应.
HNXACA系统的空调系统使用专用中央空调,同时备有独立的机房精密空调,27达到机房温度和湿度的控制要求.
HNXACA对于电源和空调系统的要求,严格按照国家机房管理相关规定,并且定时对系统进行检查,确保其符合设备运行要求.
5.
1.
4水患防治HNXACA机房采用符合国家标准的防水材料建造.
机房内布置有防水检测系统,发现水患可以及时报警.
5.
1.
5火灾预防和保护HNXACA机房设置火灾自动报警系统和灭火系统,火灾报警系统包括火灾自动探测、区域报警器、集中报警器和控制器等,能够对火灾发生区域以声、光、邮件、短信等方式发出报警信号,并能以自动或手动的方式启动灭火设备.
同时HNXACA制定了火灾事故专项应急预案,在HNXACA机房受到火灾威胁的时候启动应急预案,确保机房和CA系统的安全.
5.
1.
6介质存储HNXACA对存储有各类软件、运营数据和记录的各类介质妥善控制和保管.
这些介质都会被存放在结构坚固的储存柜中,并对存放的地点设置安全保护,防止诸如潮湿、磁力、灾害以及人为可能造成的危害和破坏,同时记录介质的使用、库存、维修、销毁事件等.
HNXACA对介质的存储地点进行监控,并且只有授权人员才能进入.
5.
1.
7废物处理对于存储或记录有敏感信息的介质,包括纸张、磁盘、磁带、光盘、加密设备等,HNXACA在它们作废前或保存期满后进行销毁.
HNXACA制定相关的销毁程序,按信息不可恢复的原则,进行销毁.
5.
1.
8异地备份HNXACA采用异地备份机制,对用于CA系统恢复的相关软件、CA密钥和日常的业务数据等进行异地防灾备份,以便CA系统在受到灾难性毁灭时能够启动灾难恢复程序恢复服务.
285.
1.
9入侵侦测报警系统HNXACA在CA机房内部署了入侵侦测报警系统,并进行安全布防,发生非法入侵会自动报警并通知相关负责人,保护机房场所的安全.
5.
2操作过程控制5.
2.
1可信角色所有涉及CA及其RA业务操作和维护管理的人员,可能是HNXACA雇员或代理人员、承包人员、顾问等,都属于可信人员.
这些可信人员担任的角色包括但不限于以下部分:1.
RA业务操作员2.
RA业务管理员3.
RA超级管理员4.
CA业务操作员5.
CA业务管理员6.
CA超级管理员7.
系统管理员8.
密钥管理员9.
安全管理员10.
安全审计员11.
用户服务人员5.
2.
2角色要求的人数HNXACA对于涉及敏感信息的操作任务,要求采取双人控制策略,并为担任该任务角色至少配置3人.
某些涉及敏感信息的区域的进入也是采取双人控制策略(见本文5.
1.
2);核心秘密(如CA根密钥)分管者和操作的物理访问控制者由不同的人员担任角色.
5.
2.
3可信角色的鉴别所有担任可信角色的人员需持有经授权的智能门禁识别卡或指纹进入相应的活动区域,或在有进入该区域权限的可信人员的陪同下进入,并持有经授权的智能IC卡和证书进入系统进行相应业务的操作和管理.
295.
2.
4职责需分离的角色以下但不限于以下承担任务的角色必须分离开:1.
证书业务受理;2.
证书或CRL签发;3.
系统工程与维护;4.
CA密钥管理;5.
安全审计.
5.
3人员控制5.
3.
1人员资格要求HNXACA在录用担任可信角色的人员之前,除需满足一般的技能和经验要求外,必须按HNXACA可信人员背景调查管理的相关操作指南要求,对录用岗位的可信人员进行对应调查级别的背景调查,符合要求方予录用.
可信人员背景调查至少包括以下方面:学历、学位、职称过往的就业情况对于较高可信等级的调查可能还包括社会关系、奖惩记录、犯罪记录、社会保险记录、交通违章记录、财务信贷记录等.
5.
3.
2背景调查程序首先拟录用担任信任角色的人员需同意HNXACA作背景调查.
HNXACA采取调阅人事档案、访问过往就读学校和就职单位的人事主管或同事、参阅政府相关部门的个人记录等方式,核实拟录用人所声明和未声明的信息,并作出评估.
评估通过后需签署保密协议和就业限制协议,方可录用.
新入职的员工必须经过三个月的观察期,观察期通过后才可独立上岗.
HNXACA不定期进行可信人员背景调查,以便能够持续验证人员的可信程度和工作能力.
5.
3.
3培训要求HNXACA为员工提供必要的培训,帮助员工胜任其目前的工作并为将来的发展做准备.
HNXACA根据需要对员工进行职责、岗位、技术、政策、法律和安全30等方面的培训.
HNXACA根据各岗位要求对员工进行相应的培训,包括但不限于:企业文化、规章制度、岗位职责等基本培训;《电子签名法》及《电子认证服务密码管理办法》、《电子认证服务管理办法》等相关法律法规的培训;HNXACA的CPS;HNXACA的安全原则和机制;HNXACA的系统运行、维护、安全;HNXACA的政策、标准、程序;以及岗位技能、行为方式等其他必要的培训.
5.
3.
4再培训要求HNXACA定期对员工进行再培训,以不断提高员工业务素质和综合能力.
同时根据HNXACA策略调整、系统更新升级或功能增加等情况,对员工进行继续培训,使其更快更好适应新的变化.
5.
3.
5工作轮换周期和顺序对于可替换的角色,HNXACA将根据业务的安排进行工作轮换,轮换的周期和顺序将视具体的业务情况而定.
5.
3.
6对未授权操作的处理HNXACA员工所有涉及到业务操作安全的操作均有记录.
记录由HNXACA系统管理员或安全审计员审查.
当发现员工涉嫌未授权行为、未授予的权力使用和对系统的未授权使用等,一经发现,HNXACA将立即中止该员工进入HNXACA证书认证体系各系统.
当事人的证书和操作权限即时吊销,所做的未授权操作将立即被吊销失效.
同时根据情节严重程度,对当事人作出相应处罚,包括内部处分、辞退、开除等,涉及犯罪的将送司法机关处理.
5.
3.
7独立合约人要求HNXACA因特殊需要聘请第三方人员参与指定工作时,必须对其进行必要的知识和培训和安全规范.
培训就工作内容签署保密协议,并对其从事的工作进行有效的监督.
5.
3.
8提供给员工的文档为保障认证系统的正常安全运行,HNXACA应该给相关员工提供有关的文档,至少包括CPS.
《公司章程》制度,岗位说明,相关培训资料及与岗位相关的文档资料等.
315.
4审计日志程序5.
4.
1记录事件的类型HNXACA日志记录的事件包括但不限于以下内容:涉及CA密钥发生的事件.
包括密钥生成、备份、存储、恢复、归档、吊销,密码设备的启用、停用、转移和吊销.
涉及数字证书发生的事件.
包括证书的申请、更新、密钥更新、密钥恢复、、吊销,证书业务申请的审核通过或拒绝,证书的签发、接受、CRL的签发.
涉及网络安全的事件,包括防火墙、路由器、入侵检测记录的信息,以及被攻击的相应处理记录.
其他安全事件.
包括各系统的登录、退出,系统的各种配置及其修改,业务处理的成功或失败,系统部件的安装、升级、维修,人员在各区域的访问记录,敏感信息的取阅.
每个事件的记录至少包括以下信息:发生的日期和事件事件的内容事件相关的实体事件的标识5.
4.
2日志的处理周期HNXACA审计人员每月对日志进行一次审查,识别可疑的事件,核实系统和操作人员是否按规定操作,并记录和报告审查的结果.
5.
4.
3审计日志的保存期限对于纸质日志,现场保存至少1个月,归档保存期限为10年以上,满足本文5.
5.
2要求的档案保存期限.
对于系统自动记录的日志,分在线保存和离线保存,其中在线保存是把日志留在运行的数据库或文件中保存;离线保存则是把数据库或文件中某段时间的日志以文件转储的方式分开保存.
在线保存期限为1年,离线保存的保存期限为10年以上,满足本文5.
5.
2要求的档案保存期限.
5.
4.
4审计日志的保护32只有被HNXACA授权的人员才能对日志进行查看和处理,HNXACA对系统的日志设有访问控制权限.
5.
4.
5审计日志的备份HNXACA定期对纸质日志实施归档,对电子日志实施备份(周期参见本文5.
4.
3).
归档或备份的日志都会被保存在异地,并需要授权才能取阅或恢复.
5.
4.
6审计日志的采集HNXACA的审计日志分手工采集和自动采集两种方式.
自动采集的主要是电子日志,通过CA系统(包括各子系统)、网络设备、各计算平台产生并记录;手工采集的主要是纸质日志,通过操作或出入人员的手工记录产生.
5.
4.
7对导致事件实体的通告HNXACA将依据法律、法规的监管要求,可能对一些恶意行为,如网络和病毒攻击等,通知相关的主管部门,并且HNXACA保留进一步追究责任的权利.
5.
4.
8脆弱性评估审计人员对日志进行日常审计,如发现引起安全事故的事件或可能的隐患,将写入审计报告.
HNXACA安全管理小组将每月对审计报告进行评审,确定需要改进的安全措施.
同时,HNXACA每年进行一次信息安全的风险评估.
5.
5记录归档5.
5.
1归档记录种类HNXACA归档的记录包括本文5.
4所述的所有日志记录和证书数据库文件、CA密钥备份、HNXACA发行的证书、CRL、ARL、证书各种业务申请资料等.
5.
5.
2档案保存期限HNXACA的档案保存期限至少为档案相关证书或密钥失效后10年.
5.
5.
3档案的保护HNXACA的档案保存在设有安全防护和防盗的物理环境中,并由专人管理,防止档案被修改、删除、非法取阅,以及水、火、磁力、虫害等环境的损害.
未经管理人员授权,任何人不得接近保存的档案.
5.
5.
4档案备份33HNXACA每天对CA系统产生的电子档案进行备份.
每周进行一次全备份并异地保存;对于纸质档案,则依据使用要求,按及时保存原则分别制定归档流程.
只有被授权的工作人员或在其监督的情况下,才能对档案进行读取操作,禁止在非授权的情况下对档案及其备份进行删除、修改等操作.
5.
5.
5记录时间戳的要求所有记录都在存档时加上具体准确的时间以表明存档时间,系统产生的记录,由系统自动添加时间,但这些时间未使用时间戳技术表明存档时间.
5.
5.
6档案采集系统HNXACA的档案采集系统分为人工处理和自动处理两部分组成.
5.
5.
7获得和检验归档信息程序只有在授权的可信人员在受控的情况下才可以看到和获得归档的信息.
5.
6电子认证服务机构密钥更替HNXACA使用国家根.
国家根的密钥更替遵循国家根的有关规定.
在CA根证书到期时,需要更换密钥,且遵循以下原则:在CA证书生命周期结束前停止签发新的下级证书,确保在CA的证书到期时所有下家证书也全部到期;在停止签发新的下级证书后至证书到期后,继续使用CA私钥签发CRL,直到最后一张下级证书过期生成和管理CA密钥,建立遵守密钥管理规范;及时发布新的CA证书确保整个过度过程安全、顺利、不出现信任真空期.
5.
7损害和灾难恢复5.
7.
1HNXACA遭攻击或发生损害事故时的恢复程序HNXACA备份所有CA运行所需的数据、软件和资料.
当发生事故或受到攻击时,用于系统的复原.
HNXACA制定相关的安全事件诊断和处理程序,包括业务连续性计划、灾难恢复程序等.
5.
7.
2计算资源、软件或数据的破坏处理34当出现计算资源或软件或数据被破坏,HNXACA启动安全事件的处理程序.
评估事件的影响,防止事件扩大,并调查原因,作恢复处理.
必要时可能启动CA私钥损害处理或灾难恢复程序.
5.
7.
3CA私钥损害的处理当CA私钥被攻破或泄露,HNXACA启动应急事件处理程序,由安全管理小组和相关的专家进行评估,制定行动计划.
如果需要吊销CA证书,会采取以下措施:立即向电子认证服务管理部门汇报,并启动电子认证服务机构密钥更替流程.
立即停止使用该私钥签发证书,并吊销所有已经被签发的证书.
立即通知依赖方关闭与证书认证服务相关的系统.
通知网站、客户端、短信、电话等方式,告知订户.
更新CRL和OCSP信息,供证书订户和依赖方进行查询.
机构密钥更替完成后,未受影响的订户重新签发证书.
5.
7.
4灾难发生后的业务保持当现行CA运行系统地点发生灾难,致使CA系统不能运作时,HNXACA启动灾难应急处理程序,异地恢复CA系统的运行.
HNXACA在异地保存有用于CA系统恢复的最小资源和最新数据,并预选两个备用地点用于灾难恢复.
灾难发生后,HNXACA会暂停业务受理,但证书及状态查询可以在24小时内恢复.
HNXACA每年最少进行一次灾难恢复和业务持续运作的演练,并对演练程序和结果进行记录,所包括的有关主要人员均参与演练.
5.
8CA或RA业务终止5.
8.
1CA业务终止因各种原因,在HNXACA计划暂停或终止电子认证业务情况下,HNXACA将按国家相关法律法规的要求进行业务终止操作.
HNXACA将努力寻找适合承接的认证机构,并在暂停或终止业务前六十个工作日前选择业务承接的认证机构,就业务承接有关事项通知有关各方,做出妥善35安排,并在暂停或终止认证服务四十五个工作日前向主管部门报告.
不能就业务承接事项做出妥善安排的,将在暂停或终止业务前六十个工作日前,向主管部门提出安排其他认证机构承接业务的申请.
无论如何,HNXACA继续按照本CPS和国家法规的要求来处理档案和证书的续存工作.
5.
8.
2注册机构业务终止因各种原因,在HNXACA所属注册机构计划暂停或终止证书业务情况下,注册机构应在暂停或终止业务前六十个工作日书面通知HNXACA,并通告其所办理证书的用户.
HNXACA将作出妥善的安排,由其他注册机构或新设注册机构承接其业务,尽量减少对CA及证书用户的影响.
注册机构业务终止之日起10个工作日内,所有业务档案资料将无条件移交给HNXACA或HNXACA指定的承接注册机构.
366认证系统技术安全控制6.
1密钥对的生成和安装6.
1.
1密钥对的生成HNXACA及其RA、用户的所有密钥对,都是由国家密码主管部门许可使用的密码设备或模块生成.
HNXACA根密钥对及其下级CA密钥对的生成,是在预设定的程序下,由至少3名密钥管理员及1名监督人员参与下产生,并对每个环节进行记录和签名.
用户的签名密钥对由其持有的电子密匙或其他密码设备产生,而加密密钥对由KMC的密码设备产生.
6.
1.
2私钥的传递HNXACA的私钥只能保存在HNXACA控制的密码设备和采取秘密分割的备份介质中,禁止向外传递.
用户的签名私钥在用户的电子密匙或其他密码设备生成后随其实物通过离线方式传递到用户;而用户的加密私钥在KMC产生后,使用用户对应电子密匙或其他密码设备预生成的公钥加密后经过CA、RA传递回用户对应的电子密匙或其他密码设备中,保证传递中间环节加密私钥不泄露.
电子密匙或其他密码设备的离线传递,可以是CA或RA和用户面对面的交递,或采取邮寄等方式发送(如邮递)给用户.
6.
1.
3公钥的传递用户的公钥采用证书签发请求格式(PKCS#10)或其他专门的安全格式通过安全通道传递给HNXACA完成证书签发.
这些请求的数据通过网络传输是使用国密局许可的通讯协议和算法,保证传输中的数据安全.
6.
1.
4电子认证服务机构公钥传输给依赖方.
用户证书签发后其公钥再随证书由HNXACA发布到HNXACA的证书库,证书依赖方可以从HNXACA证书库下载该公钥.
HNXACA的公钥或其直接生成证书的公钥,则直接由HNXACA签发证书后随证书发布到HNXACA证书库供用户和依赖方下载.
6.
1.
5密钥长度现行HNXACA的根密钥对及其下级CARSA密钥对为2048位的密钥对,SM237密钥为256位的密钥对.
HNXACA要求用户的密钥对至少为1024位的RSA密钥对、256位的SM2密钥对或与此强度相当的其他算法密钥对,否则证书申请不予批准.
6.
1.
6公钥参数的产生公钥参数由国家密码主管部门许可的设备或模块产生,HNXACA不会专门安排其质量检查.
6.
1.
7密钥用途在HNXACA认证体系中的密钥用途和证书类型紧密相关,被分为签名和加密两大类.
HNXACA的签名密钥用于签发下级CA、用户证书和CRL.
RA的签名密钥用于确认RA所做的审核证书等操作.
用户的签名密钥用于提供网络安全服务,如信息在传输过程中不被篡改、接收方能够通过数字证书来确认发送方的身份、发送方对于自己发送的信息不能抵赖等.
用户的加密密钥用于对需在网络上传送的信息进行加密,保证信息除发送方和接受方外不被其他人窃取、篡改.
更多与协议和应用相关的密钥使用限制请参阅X.
509标准中的密钥用途扩展域.
6.
2私钥保护与密码模块的控制6.
2.
1密码模块标准与控制HNXACA使用国家密码主管部门许可的密码产品,其密码模块符合国家规定的标准要求.
6.
2.
2私钥的分割管理HNXACA采用多人控制策略来管理(包括生成、激活、备份、恢复、停止、吊销)CA的私钥.
HNXACA使用国家密码主管部门许可的硬件密码设备来生成和保护CA的私钥.
通过密码设备支持的M选N(其中M至少为5,N至少为3但不大于M)方式进行私钥的分割,即将管理私钥的数据分割成M个部分,由密钥管理人员分别持有,并至少需要N个"秘密分享"持有者参与才能实现私钥的管理.
386.
2.
3私钥托管HNXACA的根和下级CA的私钥不进行托管,其他的签名私钥也都不进行托管.
根据国家相关法规的要求,HNXACA代用户向KMC申请加密密钥对的托管,其服务和安全保证参见本文4.
12节.
用户的签名私钥自行管理,以保证其不可否认性.
6.
2.
4私钥备份HNXACA的私钥按本文6.
2.
2的管理方式备份到安全介质中(如IC卡),以作灾难恢复或密码设备更换时的恢复.
除第6.
2.
3的托管服务外,HNXACA不对用户的私钥进行备份.
6.
2.
5私钥归档HNXACA对过期的CA密钥对进行归档,保存期限按照本文5.
5.
2的要求.
已归档的CA私钥不再利用,并在保存期过后进行销毁.
依据国家相关法规或HNXACA与用户的协议,KMC可对不再托管的私钥进行归档.
6.
2.
6私钥在密码模块中的导入和导出HNXACA的CA私钥可以在密码模块中导出,以实现私钥备份;HNXACA的CA,也可以导入到其他由国家密码主管部门许可的密码模块中,以实现灾难恢复和密码设备更新等.
CA私钥的导入和导出,由至少三个密钥管理员分别登录加密机,通过加密机进行加密导出和导入.
对于订户,HNXACA不提供私钥从密码模块中导出的方法.
6.
2.
7私钥在密码模块中的保存私钥在硬件密码模块中是以密文的形式保存.
6.
2.
8私钥的激活HNXACA的私钥采用本文6.
2.
2的控制方式进行激活,至少需要5名管理中的3名密钥管理人员同时在场才能完成操作,从技术和制度上保障敏感加密息操作的安全性.
39订户的私钥保存在电子秘钥或智能卡中,需要提供PIN码才能激活私钥.
6.
2.
9解除私钥激活状态的方法CA密钥,当密码硬件模块断电或重新初始化时.
私钥进入非激活状态,密码管理员至少3人在场,登陆服务器密码机,进行私钥解除操作.
订户解除私钥状态由其自行决定,当每次操作后注销计算机,或者硬件密码模块断电时,私钥就被解除.
6.
2.
10私钥的撤销当CA密钥不再使用,或者与其对应的公钥到期或被吊销后,加密设备必须被清空.
根据厂商的规定,按照操作手册对命要进行销毁.
同时,所有用于激活私钥的PIN码.
Ic卡等也必须被清空或销毁.
以上操作至少需要3名密钥管理人员共同在场,由操作员负责清空.
特定情况下需采用物理方式毁坏其中的加密卡、硬盘、内存、闪存以及其它可能存在敏感、机密信息的部件.
其余部件按一般设备的摧毁方式处理.
根ca密钥的管理员卡、操作员卡、备份卡必须同时进行物理销毁.
6.
2.
11密码模块的评估HNXACA使用国家密码主管部门鉴定并批准使用的密码设备,符合国家有关标准,接受其颁布的各类标准,规范,评估结果等各类要求.
6.
3密钥对的其他管理6.
3.
1公钥归档HNXACA和HNXACA用户的公钥会随其证书作为HNXACA安全运行数据被存放或被归档在第三方的数据库中,并在其失效后仍会在HNXACA系统中保存至少10年.
6.
3.
2密钥对与证书的有效期一般情况下密钥对的有效期视为与其对应的证书有效期相同.
6.
4激活数据6.
4.
1激活数据的产生40激活数据指用于激活私钥的口令、PIN码或"秘密分享"数据等.
HNXACA的"秘密分享"数据由硬件加密模块产生(参见本文6.
2.
2).
初始的口令或PIN码通常由HNXACA产生,或是预制的,或是由计算机随机产生的.
HNXACA要求其业务人员或建议用户按以下规则设置或修改口令和PIN码:长度不小于8个字符,除非系统或设备限制;由数字、字母和特别符号(如"组成;不使用有含义的字串;不能和操作员的名字相同;不能包含用户名信息中的较长的子字符串;不使用用过的口令或PIN码.
6.
4.
2激活数据的保护对于"秘密分享",其持有者将遵守规定存放在具有物理保护的地方.
口令和PIN码只有授权的私钥使用人员才能知悉.
需要传递的口令和PIN一般使用密码信封,防止泄露或被窃取.
激活数据被猜测或攻击时(如多次输入不正确的口令或PIN码),将被自动锁死.
HNXACA在任何时候发现其激活数据可能泄露的情况下,对激活数据进行更改,并销毁存在的记录,不对历史激活数据归档.
用户应自行评估其电子密匙的PIN码的泄露情况,建议用户定期更换PIN码.
6.
5计算机安全控制6.
5.
1计算机安全性要求HNXACA用于运行认证系统和处理数据的生产用计算机由HNXACA的系统管理员维护,只有系统管理员或专门授权人员才能管理这些计算机(包括软件安装、卸载、系统优化、部件更换等),以保证系统处于安全可信的运行状态.
HNXACA生产用计算机安装有病毒保护程序,并定时更新防病毒软件的病毒库.
任何维护时需接入生产网络的计算机均需进行病毒清查后才能使用.
HNXACA计算机的管理员账号口令有最小密码长度要求,而且必须符合复杂度要求,系统管理员定期更改这些口令.
41HNXACA的生产系统网络采用多级不同厂家的防火墙逻辑隔离各安全区域,并部署有入侵检测系统.
HNXACA定期针对网络环境进行风险评估和审计,以检测有否被入侵的危险,尽可能降低来自网络的风险.
HNXACA在处理废旧设备时,将会清除影响认证业务安全性的信息存储并加以确认.
HNXACA定期聘请独立第三方机构进行包括计算机和网络安全在内的整体评估.
6.
5.
2计算机的安全等级HNXACA的计算机系统安全等级基本达到计算机信息系统安全保护等级划分准则(中华人民共和国国家标准GB17859-1999)的第四级:结构化保护级.
6.
6生命周期技术控制6.
6.
1系统开发控制HNXACA的软件设计和开发过程遵循以下原则:1、制定公司内部的升级变更申请流程;2、开发程序必须在开发环境下进行严格的测试成功后,在申请部署于生产环境;3、变更前进行安全性分析.
6.
6.
2系统改进控制HNXACA认证系统的安全管理控制,严格遵循行业主管部门的有关运行管理规范来进行操作.
配置以及任何修改都会记录在案,并制定相关的管理程序和监督机制,包括确定认真系统的访问角色、制定网络安全策略、制定认证系统的访问机制,制定认证系统的审计机制等,来保障认证系统配置的安全,防止未授权的修改.
6.
6.
3生命周期的安全控制.
HNXACA认证系统从设计到实现,系统的安全性始终是重点保证的,完全按照国家有关标准进行严格设计,使用的算法和密码设备均通过了主管部门鉴定,使用了基于标准的强化安全通信协议,确保通信数据的安全.
在系统安全运行42方面,充分考虑人员权限,系统备份密钥恢复等安全运行措施,整个系统安全可靠.
6.
7网络安全性控制HNXACA认证系统根据信息敏感度的不同,划分为不同的区域,每个区域之间配备不同厂家的异构防火墙进行保护,并配置入侵检测系统.
CA与RA的功能模块之间的通信采用安全通信协议连接,并采用安全身份认证技术.
HNXACA对网络安全设备的软件版本、规则及时更新,保持其有效的工作状态.
只有系统管理员或专门授权人员才能管理这些网络设备.
并且这些设备的管理员账号口令有最小密码长度和复杂度要求,系统管理员定期更改这些口令.
6.
8数字时间戳HNXACA系统的所有服务器都与时间服务器的时间同步,保证系统各电子记录需要的时间是准确的.
HNXACA还提供数字时间戳(DTS)服务,符合RFC3161,精度为秒.
437证书、CRL和OCSP7.
1证书HNXACA颁发的证书符合《GB/T20518-2006信息安全技术公钥基础设施数字证书格式》标准要求,并完全兼容ITU-TX.
509和RFC5280等国际标准规范,支持大部分标准扩展,并支持自定义扩展项.
7.
1.
1版本号证书版本号为X.
509V3.
7.
1.
2证书扩展项HNXACA证书支持的标准扩展包括:密钥用法(KeyUsage)证书策略(CertificatePolicies)主体替换名称(SubjectAlternativeNames)基本限制(BasicConstraints)扩展密钥用途(ExtendedKeyUsage)证书吊销列表分发点(CRLDistributionPoints)颁发机构密钥标识符(AuthorityKeyIdentifier)主体密钥标识符(SubjectKeyIdentifier)HNXACA也支持GB/T20518标准及数字证书格式标准中指定的标准扩展,并支持用户自定义私有扩展,可根据用户或应用的要求定制.
私有扩展一般情况下为非关键项.
7.
1.
3算法OIDHNXACA使用SHA1withRSA算法签发证书,算法OID为:1.
2.
840.
113549.
1.
1.
5.
HNXACA使用SM3withSM2算法签发证书,算法OID为:1.
2.
156.
10197.
1.
501.
7.
1.
4名称形式证书主体名称和颁发机构的名称形式遵循本文3.
1要求,由DN表示.
另外,HNXACA颁发的证书支持主体替换名称扩展,在主体替换名称扩展中44可以包含证书主体的其他相关名称信息,比如电子邮件地址、服务器的IP地址或域名等.
7.
1.
5证书密钥用法HNXACA根据国家主管部门的相关要求,严格规定数字证书的密钥用法.
HNXACA签发的数字证书中都在密钥用法(KeyUsage)中明确指明了此已认证的公开密钥可用于何种用途.
用户和依赖方必须根据证书的密钥用法严格控制数字证书的使用场景.
7.
1.
6证书策略OID证书策略由证书颁发机构制定并对外发布,并向国际标准化组织申请证书策略对象标识符(OID)以保证互操作性.
证书策略OID代表证书颁发机构提供服务的相关策略(如HNXACACPS).
证书依赖方在接受该证书行为时通过阅读证书策略以帮助确定是否信任该证书.
用户必须在阅读并同意证书策略后才到证书颁发机构申请并使用证书.
7.
1.
7策略限定符的语法和语义在HNXACA所颁发证书的证书策略扩展项中包含了CPS策略限定符,提供了指向HNXACACPS的URL,从中可以获取HNXACA的《河南省信息化发展有限公司电子认证服务业务规则》.
7.
2CRLHNXACA发布的CRL符合《GB/T20518-2006信息安全技术公钥基础设施数字证书格式》及ITU-TX.
509、RFC5280标准规范.
7.
2.
1版本号CRL版本号为X.
509V2.
7.
2.
2CRL和CRL条目扩展项HNXACA发布的CRL中,包含了以下扩展项:颁发机构密钥标识符(AuthorityKeyIdentifier)CRL编号(CRLNumber)DeltaCRL指示符(DeltaCRLIndicator,仅用于DeltaCRL,是关键扩展)如果有明确的被吊销的原因,CRL条目则会包含被注销的原因45扩展(ReasonCode).
应用如果遇到不认识的关键的CRL扩展或者CRL条目扩展,则不能使用该CRL来验证证书的注销状态.
7.
3OCSPHNXACA采用OCSP提供在线证书状态查询服务.
应用户的要求,HNXACA可以将OCSP服务URL写到证书中.
OCSP作为CRL的有效补充,提供比CRL较为及时的证书状态查询机制,方便用户及时的获取证书状态信息.
HNXACA的OCSP服务系统符合RFC2560标准规范.
7.
3.
1版本号OCSP版本号为V1.
7.
3.
2OCSP扩展项HNXACA未使用OCSP相关扩展项.
如果遇到OCSP响应返回unauthorized错误码、证书返回unknown状态或者不认识的扩展,则应该使用其他的机制去验证该证书的吊销状态.
468认证机构审计和其他评估HNXACA建立内部审计机制,并组织信息安全风险评估活动.
HNXACA还接受国家电子认证服务主管部门组织的年度审查.
其他第三方的外部审计或评估依据用户协议或其他政策进行.
8.
1审计的依据审计是为了检查和监督HNXACA及其下属机构或其他关联机构是否依据《电子签名法》、《电子认证服务管理办法》、《河南省信息化发展有限公司电子认证服务业务规则》的要求,依法开展电子认证服务业务,以及在开展业务过程中,是否存在违反其他法律法规以及HNXACA的业务规范、管理制度、安全策略等情况,以达到规避经营风险、提高服务质量、保障用户权益的目的.
8.
2审计的形式审计分为外部审计与内部审计.
外部审计是由法律规定的主管部门、主管部门委托的第三方机构或HNXACA委托的第三方机构对自身的电子认证服务业务进行审计与评估.
审计内容、评估标准及审计评估结果是否公开由主管部门确定.
内部审计是指HNXACA自行组织人员对机构内部、下属机构等进行审计评估,审计结果供内部用以完善管理、改进服务,不需对外公开.
8.
3审计或评估的频率HNXACA的内部审计周期为每月一次,并且每年进行一次信息安全的风险评估.
如果出现特殊情况则单独启动审计或风险评估,引发评估或审计事件的特殊情况包括疑似或真实的敏感信息泄密、用户反馈异常、重大的系统变更等.
国家电子认证服务主管部门组织的审查为每年一次.
8.
4审计或评估人员的资质HNXACA的内部审计或评估人员要求熟悉电子认证业务和PKI技术体系,接受过内部信息安全管理培训,并由安全管理小组任命.
外部审计或评估人员的资质由相关法规或主管部门确定.
478.
5审计或评估人员与HNXACA的关系HNXACA内部审计人员要求与被审计对象无责任关系,为HNXACA雇员.
HNXACA内部风险评估的负责人要求与被评估对象无责任关系,可以是HNXACA雇员,也可以是非HNXACA雇员.
外部审计或评估人员应为与HNXACA无任何除审计或评估之外的业务、财务往来或其他足以影响评估客观性的利害关系.
8.
6审计或评估的内容HNXACA内部审计或评估涉及的内容包括以下:人员管理物理环境建设及安全管理系统结构及其运行管理密钥管理用户服务规范管理综合运营规范(如法规、CPS、风险控制等方面)在特殊情况下的审计或评估内容可能只包括以上内容的一部分.
国家电子认证服务主管部门组织的年度审查内容遵照其发布的最新要求.
8.
7对问题与不足采取的措施如果在审计或评估过程中发现执行规范有不足或存在问题,HNXACA将根据审计或评估报告制定和实施纠正措施,并由安全管理小组监督执行.
对于重大的安全隐患,HNXACA同样会启动应急事件处理程序,以迅速控制风险的影响范围.
8.
8审计或评估结果的传达与发布HNXACA只按管理或协议要求将审计或评估结果传达到相应对象.
除非法律法规要求,HNXACA一般不公开审计或评估结果.
489法律责任和其他业务条款9.
1费用9.
1.
1证书签发和更新费用HNXACA对证书的签发、更新、密钥恢复和管理收取服务费用,费用标准执行国家或地方物价主管部门批准的价格.
并根据实际情况,在批准价格之内调整.
9.
1.
2证书查询费用HNXACA对发布到证书库中的所有证书查询不予收费,但保留对该服务收费的权利9.
1.
3证书状态信息查询费用HNXACA对发布到证书库中的CRL提供免费下载和使用服务.
HNXACA的OCSP服务和其他定制的证书状态查询服务根据用户的服务协议要求进行收费.
9.
1.
4其他服务费用HNXACA免费提供本CPS和证书业务相关申请表格下载服务.
对于用户要求定制的服务,HNXACA酌情收取费用.
9.
1.
5退款政策HNXACA对订户收取的费用,除了证书申请和更新费用,因为特定理由可以退还外,HNXACA均不退还用户任何费用.
在实施证书操作和签发的过程中,HNXACA遵守严格的操作程序和策略.
如果HNXACA违背了本CPS所规定的责任或其它重大义务,订户可以要求HNXACA吊销证书并退款.
在HNXACA吊销了订户的证书后,HNXACA将把订户剩余的证书使用费用并扣除相应税费后退还给订户.
此退款策略不限制订户得到其它的赔偿.
完成退款后,订户如果继续使用该证书HNXACA将追究其法律责任.
在业务受理过程中,发现申请者提供虚假材料,HNXACA中止受理,但不予退还已收取的各项费用.
499.
2财务责任HNXACA保持足够的财力维持其业务运作和履行应负的责任.
HNXACA接受国家电子认证服务主管部门对HNXACA财务状况的检查.
9.
3业务信息保密9.
3.
1保密信息的范围HNXACA列入保密的信息包括但不限于以下内容:用户的个人信息和(或)机构信息;HNXACA及其代理机构的证书业务处理信息;所有的私钥信息;HNXACA的运行数据和记录,以及保障运行的相关计划;HNXACA与业务代理机构间的商业信息,包括商业计划、销售信息、贸易秘密和在非公开协议下从第三方得到的信息;HNXACA及其业务代理机构相关的审计报告、审计结果及其处理等信息;除非法律明文规定,HNXACA没有义务公布或透露用户证书以外的任何信息;其他书面或有形形式确认为保密的信息.
9.
3.
2不在保密范畴内的信息以下信息HNXACA不列入保密范畴:证书所载信息,以及证书状态信息;由HNXACA网站或手册公布的信息.
包括证书申请流程、证书使用指南、CPS等信息.
以上信息虽然是公开信息,但仅供下载查阅使用,任何人或组织不得转载或用于任何商业用途,HNXACA保留追究责任的权利.
9.
3.
3保护保密信息的责任HNXACA及其业务代理机构、用户、关联实体等所有保密信息掌握者均有义务承担信息保密的责任.
HNXACA执行严格的信息保密制度以确保只有经HNXACA授权的人员才能接近机密信息.
严格禁止未授权的访问、阅读、修改和删除等操作.
当机密信息的所有者出于某种原因,要求HNXACA公开或披露其所拥有的机50密信息,HNXACA应满足其要求.
如果这种披露机密的行为涉及任何其他方的赔偿义务,HNXACA不应承担任何与此相关的或由于公开机密信息引起的所有损失、损坏的赔偿责任.
当HNXACA在国家的法律法规要求下,或在法院的要求下必须披露本文9.
3.
1中的保密信息时,HNXACA可以按照法律法规或法院判决的要求,向执法部门公布相关的保密信息.
这种披露不能视为违反了保密的要求和义务,HNXACA无须承担任何责任.
9.
4个人隐私保密9.
4.
1隐私保护方案HNXACA尊重所有订户及其隐私,个人隐私信息保密方案遵守现行法律和政策规定.
订户选择使用HNXACA的服务,就表示已经同意接受NXACA有关隐私保护的声明.
HNXACA根据国家相关法规的出台,及时调整隐私保护策略,以符合国家法规的要求.
9.
4.
2作为隐私处理的信息订户在申请与享受证书服务过程中所提供的不构成数字证书内容的信息,原则上被视为订户隐私信息.
9.
4.
3不被视为隐私的信息订户再申请于享受证书服务过程中所提供的用来构成数字证书内容的信息,原则上不视为订户隐私信息,(如:公钥证书信息,证书状态信息).
9.
4.
4保护隐私信息的责任针对因证书服务而获得、接受或知悉的保密信息,各方主体(包括HNXACA、注册机构、订户、依赖方等)均应承担隐私保护责任.
9.
4.
5使用隐私信息的告知与同意HNXACA只在其业务范围内使用本文9.
4.
2所列的隐私信息,包括用户身份识别、管理、和服务的目的.
这些使用,HNXACA没有告知用户的义务,也无需得51到用户的同意.
任何超出以上范围的隐私信息使用,需得到其本人的同意.
对违法、违规使用、发布以上隐私信息的,HNXACA承担由此造成的证书持有者、依赖方的损失,并负担相应的行政、经济责任.
9.
4.
6依法律或行政程序的信息披露当HNXACA在国家的法律、规章的要求下,或在法院的要求下必须披露本文9.
4.
2中的隐私信息时,HNXACA可以按照法律、规章或法院判决的要求,向执法部门公布相关的隐私信息.
这种披露不能视为违反了保密的要求和义务,HNXACA无须承担任何责任.
9.
4.
7其他信息披露情形当隐私信息其本人出于某种原因,要求HNXACA公开或披露他的隐私信息,HNXACA可根据授权或协议进行披露.
如果这种披露行为涉及任何其他方的赔偿义务,HNXACA不承担任何与此相关的或由于公开隐私信息引起的所有损失、损坏的赔偿责任.
9.
5知识产权9.
5.
1HNXACA自身拥有的知识产权声明HNXACA享有并保留对证书以及HNXACA提供的全部软件的一切知识产权,包括但不限于所有权、名称权和利益分享权等.
HNXACA发行的证书及其状态信息,以及HNXACA提供的软件、系统、文档中,使用、体现和涉及到的一切版权、商标和其他知识产权均属于HNXACA,这些知识产权包括所有相关的文件、CPS、规范文档和使用手册等.
在没有HNXACA预先书面同意的情况下,用户不能在任何证书到期、作废、或终止的期间或之后,使用或接受任何HNXACA使用的名称、商标、交易形式或可能与之相混淆的名称、商标、交易形式或商务称号.
9.
5.
2HNXACA使用其他方知识产权的声明HNXACA在其服务系统中使用的软硬件设备、辅助设施和相关操作手册,其知识产权为相关供应商所有,HNXACA保证都是合法的拥有相应权利.
用户或证书申请人声明并保证其交付给HNXACA使用的网络域名、IP地址、52主体名称及所有其他证书申请书的资料不得在任何管辖区域内干预或侵犯第三人的商标、服务标志、公司名称或其他知识产权等权利,而且不用于非法目的,包括侵害、干扰协议或预期的商业利益、不公平竞争、损害他人信誉及干扰或误导他人.
9.
6陈述与担保9.
6.
1HNXACA的陈述与担保HNXACA的担保如下:在批准证书申请和颁发证书中没有HNXACA所知的或源自HNXACA的错误陈述;在生成证书时,保证足够检测和审核,使证书中的信息与HNXACA所收到的信息保持一致;除了未经验证的用户信息外,证书中的或证书中合并参考到的所有信息都是准确的;签发给用户的证书符合本CPS的所有实质性要求;按本CPS的规定,及时吊销证书,并签发CRL;HNXACA将向用户和依赖方通报任何已知的,将在根本上影响证书的有效性和可靠性的事件;其他的陈述与担保参见与用户的服务协议.
9.
6.
2RA的陈述与担保HNXACA的RA担保如下:RA遵循HNXACA制订的服务受理规范、系统运作和管理要求,保证其服务不影响到HNXACA的服务标准和承诺;在审核和批准证书申请中没有RA所知的或源自RA的错误陈述;在处理证书申请时,保证足够检测和审核,使证书中的信息与RA所收到的信息保持一致;除了未经验证的用户信息外,证书中的或证书中合并参考到的所有信息都是准确的;签发给用户的证书符合本CPS的所有实质性要求;按本CPS的规定,及时处理证书的吊销申请;其他的陈述与担保参见与用53户的服务协议.
9.
6.
3用户的陈述与担保用户的担保如下:用与证书中所含公钥相对应的私钥所进行的每一次签名,都是用户自己的签名,并且在进行签名时,证书是有效的(没有过期或吊销)并已被用户接受;用户的私钥得到很好的保护,未经授权的人员从未访问过其私钥;用户在证书申请过程中向HNXACA及其RA陈述的所有信息是真实的;用户提供给HNXACA及其RA用于申请证书的所有材料都是真实的;如果存在代理人,那么用户和代理人两者负有连带责任.
用户有责任就代理人所作的任何不实陈述与遗漏,通知HNXACA其RA;用户将按本CPS的规定,只将证书用于经过授权的或其他合法的使用目的;用户的证书是终端证书.
用户保证不将其证书用于发证机构所从事的业务,例如:把与证书中所含的公钥所对应的私钥用于签发任何证书(或认证其他任何形式的公钥)或签发CRL之类;其他的陈述与担保参见与HNXACA的服务协议.
9.
6.
4依赖方的陈述和担保依赖方的担保如下:依赖方保证熟悉HNXACACPS以及和用户证书相关的证书政策,并了解和遵守证书的使用目的;依赖方确保证书及其对应的密钥对的确用于预定的目的;依赖方在信赖用户的证书前,需收集足够的信息,判明是否HNXACA签发的证书并在有效期内,根据最新的CRL检查证书的状态,查明证书是否还有效;依赖方的信赖行为,表明其已同意本CPS的有关条款.
9.
7担保免责HNXACA在以下三种情况下免除责任:1.
不可抗力在不可抗力情况下(内容见本文9.
16.
5和相关法律条款),HNXACA免除责任.
542.
免责条款免责条款是指当事人在合同中约定的免除将来可能发生的违约责任的条款.
免责条款不得违反法律的强制性规定和社会公共利益.
3.
债权人过错如果合约不履行或者不完全履行是由对方即债权人的过错造成的,不履行或者不完全履行的一方免除违约责任.
在电子认证服务合同中也存在因债权人过错而免责的情况,包括但不限于以下内容:申请者故意或无意的提供不完整、不可靠或已过期的,包括但不限于伪造、篡改、虚假的信息,而其又根据正常的流程提供了必须的审核文件,由此得到了HNXACA签发的数字证书;用户或依赖方没有使用可信赖系统进行证书操作;用户在HNXACA允许的目的范围之外使用或证书使用不当;以上未尽事宜,依照中华人民共和国现行法律、法规执行.
9.
8有限责任在法律允许的范围内,认证机构订户协议,依赖方协议和其他订户协议限制认证机构承担的责任.
责任限制包括排除间接的、特殊意外造成的、偶然的和后续性的损失.
9.
8HNXACA偿付责任限制HNXACA是依《中华人民共和国公司法》、《电子签名法》设立的有限责任公司,HNXACA在承担任何责任和义务时,只承担法律范围内的有限责任.
HNXACA及其授权的发证机构,对于一份证书的所有当事人(包括但不限于用户、申请人或依赖方)的合计赔偿责任,不超过该证书的最高赔偿限额,这种限额可以由HNXACA改动.
HNXACA声明的法律赔偿责任之最高限额为该证书相应的服务费用的10倍.
当事人不能得到赔偿或有异议,可以向主管部门进行反映,责令HNXACA履行赔偿责任.
HNXACA的赔偿责任范围:证书信息与用户提交的资料信息不一致,导致用户或依赖方损失;由于HNXACA的原因,导致依赖方或用户自身无法正常验证证书状态而蒙受损失;55HNXACA只有在HNXACA证书有效期限内承担以上损失或损害赔偿.
9.
9用户和依赖方责任用户和依赖方在使用和信赖证书时,如有任何行为或疏忽导致HNXACA产生损失,则用户或依赖方应承担赔偿责任.
9.
9.
1用户的赔偿责任情况用户申请证书时,因故意、过失或者恶意提供不真实资料,造成HNXACA或者其他方遭受损害的;用户因故意或者过失造成其私钥泄漏、遗失,明知私钥已经泄漏、遗失而没有告知HNXACA或其RA,以及使用不安全系统或不当交付他人使用,造成HNXACA或其他方遭受损害的;用户提供使用的命名信息,包括但不限于名称、域名、IP、电子邮箱等,存在任何侵犯他人知识产权,造成HNXACA或其他方遭受损害的.
9.
9.
2依赖方的赔偿责任情况未按HNXACACPS或其他相关协议承担依赖方义务,而造成HNXACA或其他方遭受损害的;未能按HNXACACPS策略识别和信任证书及其行为,而造成HNXACA或其他方遭受损害的;未查验证书的有效期和状态就冒然信任证书及其行为,而造成HNXACA或其他方遭受损害的.
9.
10有效期限与终止9.
10.
1有效期限HNXACACPS自发布之日起正式生效.
CPS中将详细注明版本号及发布日期.
9.
10.
2终止当新版本的CPS正式发布生效时,旧版本的CPS将自动终止.
9.
10.
3效力的终止与保留HNXACACPS一旦终止后,用户和依赖方原则上不受其条款的约束,但涉及知识产权和保密的相关条款继续生效.
569.
11对参与者的个别通告与沟通除非参与者之间另有协议约定,HNXACA在必要的情况下,如主动吊销订户证书,发现订户将证书用于规定外用途及订户其他违反订户协议的行为,可通过适当方式,如电话、电邮、信函、传真等,个别通知订户、依赖方.
9.
12修订9.
12.
1修订程序HNXACACPS由HNXACA安全策略管理委员会根据情况进行审查,任何时候HNXACA安全策略管理委员会认为有必要时即组织修订.
有安全策略管理委员会指定安全管理的人员负责起草CPS初稿形成讨论稿,并征求公司领导和各部门负责人意见.
经讨论、修改达成一致意见后形成送审稿.
将CPS送审稿提交安全策略管理委员审阅.
在取得安全策略管理委员评审意见后,根据评审意见进行修改并提交安全策略管理委员审批,由安全策略管理委员进行CPS文本格式和版本号,形成定稿.
修订后的版本经HNXACA安全管理委员会审批后发布到HNXACA网站(www.
hnxaca.
com),并报送国家工业和信息化部备案.
9.
12.
2通告机制和期限HNXACA安全管理委员会有权作出对CPS作任何修改的决定.
如果CPS的修改没有本质的变化,包括重新排版、勘误、重新表达,联系方式、发布地址变更等,则无需进行个别的通告.
HNXACACPS的修改结果在HNXACA的网站(www.
hnxaca.
com)上公布.
所有可能以书面形式提供给用户的CPS修订结果,按以下规则发送:1.
接受者是一个组织,则向其在HNXACA或其RA登记的联系地址发送信息;2.
接受者是个人,则向其申请书上登记的地址发送信息;3.
这些通知可能用快递或挂号信的方式发送.
HNXACA也可以选择通过电子邮件(E-mail)向用户发送通知,该电子邮件地址在用户申请证书时已注明.
HNXACACPS的所有修正、修改和变化在公布后立刻生效.
用户如不在修改结果公布之日起七天内作废证书,就视为同意这种修正、修改和变化.
9.
12.
3必须修改CPS的情形57如果出现下列情况,那么必须对CPS进行修改:采用了新的密码体系或技术,并影响现有CPS的有效性;认证系统和有关管理规范发生重大升级或改变;法律法规的变化,并影响现有CPS的有效性;现有CPS出现重要缺陷.
9.
13争议处理证书用户、依赖方等实体在电子认证活动中产生争端可按照以下步骤解决:a)当事人首先通知,根据本《电子认证业务规则》中的规定,明确责任方;b)由相关部门负责与当事人协调;c)若协调失败,可以通过司法途径解决;d)任何因与HNXACA或授权机构就本《电子认证业务规则》所产生的任何争议而提起诉讼的,受HNXACA工商注册所在地的人民法院管辖.
9.
14管辖法律HNXACACPS在各方面按照中国现行法律和法规执行和解释.
包括但不限于《电子签名法》及《电子认证服务管理办法》、《电子认证服务密码管理办法》等.
9.
15与适用法律的符合性HNXACA电子认证业务各参与方必须遵守中国现行法律及相关行业规范的监管,包括但不限于《电子签名法》、《电子认证服务管理办法》、《电子认证服务密码管理办法》及相关密码技术、产品标准规范等.
若要出口使用于HNXACA认证服务的相关产品,可能需要取得相关政府机关的许可.
产品出口的当事人必须遵守中国进出口法律和法规.
9.
16一般条款9.
16.
1完整协议条款HNXACACPS及HNXACA的相关业务管理办法、国家相关法律法规构成HNXACA的整体协议,各参与方的业务须遵循整体协议.
9.
16.
2转让条款若HNXACA下属RA因故吊销,则其管理的相应用户须接受HNXACA的业务调配,通过另一RA获得相应服务.
58若HNXACA因政策性原因或其他不可抗力停止服务,HNXACA之所属用户须按国家规定,接受相应接管CA的证书服务条款.
9.
16.
3分割性条款在HNXACA的电子认证业务中,因某一原因导致法庭或其他仲裁机构判定协议中的某一条款无效或不具执行力时(由于某种原因),用户证书业务相关协议的其他条款仍然生效.
9.
16.
4强制执行条款HNXACA电子认证各参与方中,免除一方对合约某一条款违反应负的责任,不意味着免除这一方对其他条款违反或继续免除这一方对该条款违反应负的责任.
9.
16.
5不可抗力条款不可抗力,是指不能预见、不能避免并不能克服的客观情况.
不可抗力既可以是自然现象或者自然灾害,如地震、火山爆发、滑坡、泥石流、雪崩、洪水、海啸、台风等自然现象;也可以是社会现象、社会异常事件或者政府行为.
如合同订立后政府颁发新的政策、法律和行政法规,致使合同无法履行;再如战争、罢工、骚乱等社会异常事件.
在电子认证活动中,HNXACA由于不可抗力因素而暂停或终止全部或部分证书服务的,也可根据不可抗力的影响而部分或者全部免除违约责任.
其他认证活动参与各方(如用户)不得就此提出异议或者申请任何补偿.
由于法律无法具体规定或者列举不可抗力的内容和种类,加上不可抗力本身的弹性较大,在理解上容易产生歧义,因而允许当事人在合同中订立不可抗力条款,根据交易的情况约定不可抗力的内容和种类.
HNXACA电子认证合同中的不可抗力条款可以在与数字证书申请表一起提供给用户的服务协议中规定,也可被规定在HNXACACPS中.
9.
17其他条款HNXACA对于CPS及相关规定拥有最终解释权.
9.
17.
1各种规定的冲突若HNXACACPS的规定与其他规定、指导方针或协议相互抵触,各参与方必59须接受HNXACACPS的约束,除非HNXACACPS的规定为法律所禁止的范围内;该冲突的协议的签署日期在HNXACACPS首次公开发行之前;该冲突的协议明确的优于HNXACACPS.
9.
17.
2安全资料的财产权益除非另有约定,下列与安全相关的资料视为下列指定的当事人所拥有:证书:证书为HNXACA的产权所有.
HNXACACPS:HNXACACPS的版权为HNXACA所有.
甄别名:甄别名为该命名实体(或其雇主或委托人)所有.
私钥:不论该密钥是以何种实体媒介存放或保护,私钥为合法使用或有权使用该密钥用户(或其雇主或委托人)所有.
公钥:不论该密钥以何种实体媒介存放或保护,公钥为用户(或其雇主或委托人)所有.
HNXACA的私钥:HNXACA的私钥是HNXACA的财产.
这些私钥由HNXACA授权分配和使用.
HNXACA的公钥:HNXACA的公钥是HNXACA的财产.
HNXACA允许使用这些公钥.
9.
17.
3损害性资料证书申请人与用户不能把包含以下言论的任何资料提交给HNXACA或其RA:1.
毁谤、中伤、不雅、色情、侮辱、迷信、憎恶或种族歧视的言论;2.
鼓吹非法活动或讨论非法活动,并试图从事此类活动的言论;3.
其他违法言论.
CloudServer：$4/月KVM-2GB/50GB/5TB/三个数据中心
CloudServer是一家新的VPS主机商，成立了差不多9个月吧，提供基于KVM架构的VPS主机，支持Linux或者Windows操作系统，数据中心在美国纽约、洛杉矶和芝加哥机房，都是ColoCrossing的机器。目前商家在LEB提供了几款特价套餐，最低月付4美元(或者$23.88/年)，购买更高级别套餐还能三个月费用使用6个月，等于前半年五折了。下面列出几款特别套餐配置信息。CPU：1cor...
腾讯云2核4GB内存8M带宽 年74元
一般大厂都是通过首年才有可以享受爆款活动，然后吸引我们注册他们商家达到持续续费和购买的目的。一般只有大厂才能有这样的魄力和能力首年亏本，但是对于一般的公司和个人厂家确实难过，这几年确实看到不少的同类商家难以生存。这里我们可以看到有对应的套餐方案。不过这两个套餐都是100%CPU独享的，不是有某云商家限制CPU的。但是轻量服务器有个不好的就是带宽是较大且流量是限制的额，分别是1GB和1.2TB月流量...
提速啦(24元/月）河南BGP云服务器活动 买一年送一年4核 4G 5M
提速啦的来历提速啦是 网站 本着“良心 便宜 稳定”的初衷 为小白用户避免被坑 由赣州王成璟网络科技有限公司旗下赣州提速啦网络科技有限公司运营 投资1000万人民币 在美国Cera 香港CTG 香港Cera 国内 杭州 宿迁 浙江 赣州 南昌 大连 辽宁 扬州 等地区建立数据中心 正规持有IDC ISP CDN 云牌照 公司。公司购买产品支持3天内退款 超过3天步退款政策。提速啦的市场定位提速啦主...
根证书为你推荐
-
亿元支付宝sns平台sns是什么平台中国企业信息网全国企业信息公示系统怎么查询企业信息字节跳动回应TikTok易主每天每夜要结束了主持人问关于抄袭的问题，权志龙很认真的回答不想说的，想在以后做好的那段话的音乐叫什支付宝注册网站在哪里注册支付宝账号瑞东集团请问富源集团到底是一个怎么样的集团？电子商务世界美国电子商务的发展经历几个阶段即时通平台寻找娱乐高科技产品三五互联股票三五互联是干什么的？欢迎光临本店宾馆欢迎语都有哪些？ 越多越专业越好