Verze: 1.1 Odpovídá: Jií Hejl Datum: Utajení: Veejný dokument

Transkript

1 Verze: 1.1 Odpovídá: Jií Hejl Datum: Utajení: Veejný dokument eidentity a.s. Vinohradská 184, Praha 3 Tel: fax: info@eidentity.cz

2 Copyright 2005 e-identity a.s. Žádná ást tohoto dokumentu nesmí být kopírována žádným zpsobem bez písemného souhlasu majitel autorských práv. Nkteré názvy produkt a spoleností citované v tomto díle mohou být ochranné známky píslušných vlastník. Schváleno: Verze Schválil 1.1 Ladislav Šedivý Historie dokumentu: Verze Datum Autor Poznámka Jií Hejl komplexní verze Jií Hejl zjednodušení poskytovaných služeb, konsolidace pojm, rejstík zkratek Utajení: Veejný dokument Strana: 2/63

3 ! 1 Úvod Pehled Název a identifikace dokumentu Subjekty participující na PKI Certifikaní autority Registraní autority Držitelé kvalifikovaných certifikát podepisující osoby Spoléhající se strany Jiní úastníci Použití certifikátu Pípustné použití certifikátu Nepípustné použití certifikátu Správa politiky Organizace spravující dokument Kontaktní osoba Subjekt odpovdný za rozhodování o souladu dokumentace Postupy schvalování Pehled použitých pojm a zkratek Odpovdnost za publikování a úložišt Úložišt Zveejování informací Periodicita zveejování ízení pístupu k úložišti Identifikace a autentizace Pojmenování Typy jmen Požadavek na sémantický význam jmen Anonymita a používání pseudonymu Pravidla pro interpretaci rzných forem pojmenování Jednoznanost jmen Rozpoznávání, autentizace a význam obchodních znaek Poátení ovení identity Metody dkazu vlastnictví (POP - proof of possession) soukromého klíe Prokázání identity právnické osoby Prokázání identity fyzické osoby Neovované informace Ovování specifických práv Kritéria pro interoperaci (spolupráci) Identifikace a autentizace pro požadavky na výmnu klíe (Re-key) Identifikace a autentizace pi rutinní výmn klíe Identifikace a autentizace pro výmnu klíe po zneplatnní Identifikace a autentizace pro požadavek na zneplatnní Funkní požadavky na životní cyklus certifikátu Žádost o vydání certifikátu Kdo mže podat žádost o vydání certifikátu Registraní proces a odpovdnosti...23 Utajení: Veejný dokument Strana: 3/63

4 4.2 Zpracování žádosti o certifikát Identifikace a autentizace Pijetí nebo zamítnutí žádosti o certifikát Doba zpracování žádosti o certifikát Vydání certifikátu Úkony CA v prbhu vydávání certifikátu Oznámování vydání certifikátu podepisující osob Pevzetí certifikátu Úkony spojené s pevzetím certifikátu Zveejování vydaných certifikát certifikaní autoritou Oznámení vydání certifikátu jiným subjektm Použití párových klí a certifikátu Použití soukromého klíe a certifikátu držitelem/podepisující osobou Použití veejného klíe a certifikátu spoléhající se stranou Obnovení certifikátu Okolnosti pro obnovení certifikátu Kdo mže požadovat obnovení Zpracování požadavku na obnovu certifikátu Oznámení o vydání obnoveného certifikátu držiteli/podepisující osob Úkony spojené s pevzetím obnoveného certifikátu Zveejování vydaných obnovených certifikát certifikaní autoritou Oznámování vydání certifikátu jiným subjektm Výmna klíe (re-key) v certifikátu Okolnosti pro výmnu klíe v certifikátu Kdo mže požadovat výmnu klíe v certifikátu Provedení požadavku na výmnu klíe Oznámení o vydání certifikátu s vymnným klíem podepisující osob Úkony spojené s pevzetím certifikátu s vymnným klíem podepisující osobou Zveejování vydaných certifikátu s vymnným klíem Oznámení o vydání certifikátu s vymnným klíem jiným subjektm Zmna certifikátu (modification) Okolnosti pro zmnu certifikátu Subjekty oprávnné požadovat zmnu certifikátu Zpracování požadavku na zmnu certifikátu Oznámení o vydání zmnného certifikátu podepisující osob Úkony spojené s pevzetím zmnného certifikátu Zveejování vydaných zmnných certifikát Oznámení o vydání zmnného certifikátu jiným subjektm Zneplatnní a pozastavení platnosti certifikátu Okolnosti pro zneplatnní certifikátu Subjekty oprávnné žádat o zneplatnní certifikátu Provedení požadavku na zneplatnní certifikátu Doba odkladu požadavku na zneplatnní certifikátu Maximální doba, za kterou musí CA realizovat požadavek na zneplatnní certifikátu Povinnosti spoléhajících se stran pi ovování, zda nebyl certifikát zneplatnn Periodicita vydávání CRL Maximální zpoždní CRL Možnost ovování zneplatnní/statusu certifikátu on-line...33 Utajení: Veejný dokument Strana: 4/63

5 Požadavky pi on-line ovování zneplatnní/statusu certifikátu Jiné zpsoby oznamování zneplatnní certifikátu Speciální podmínky pi kompromitaci soukromého klíe Okolnosti pro pozastavení platnosti certifikátu Kdo mže požadovat pozastavení platnosti certifikátu Zpracování požadavku na pozastavení platnosti certifikátu Omezení doby pozastavení platnosti certifikátu Služby statutu certifikátu Funkní charakteristiky Dostupnost služeb Další charakteristiky služeb statutu certifikátu Ukonení poskytování služeb pro podepisující osobu Úschova klíe u dvryhodné tetí strany a jeho obnova Politika a postupy pi úschov a obnovování klíe Politika a postup pi zapouzdování (encapsulation) a obnovování relaního klíe (session key) Budovy, management a provozní ízení Kontrola fyzické bezpenosti Umístní a konstrukce Fyzický pístup Elektina a klimatizace Vlivy vody Protipožární opatení a ochrana Ukládání médií Nakládání s odpady Zálohy mimo budovu Kontrola procedurální bezpenosti Dvryhodné role Poet osob požadovaných na zajištní jednotlivých inností Identifikace a autentizace pro každou roli Role vyžadující rozdlení povinností Kontroly personální bezpenosti Požadavky na kvalifikaci, zkušenosti a bezúhonnost Postupy pi ovování zázemí osob Požadavky na pípravu pro výkon role, vstupní školení Požadavky a periodicita školení Periodicita a posloupnost job rotation mezi rznými rolemi Postihy za neautorizované innosti zamstnanc Požadavky na nezávislé zhotovitele (dodavatele) Dokumentace poskytovaná zamstnancm Auditní záznamy (logy) Typy zaznamenávaných událostí Periodicita zpracování záznam Doba uchování auditních záznam Ochrana auditních záznam Postupy pi zálohování auditních záznam Systém shromažování auditních záznam Oznamování subjektu, který zpsobil událost Hodnocení zranitelnosti...41 Utajení: Veejný dokument Strana: 5/63

6 5.5 Archivace záznam Typy záznam, které se archivují Doba uchování archivovaných záznam Ochrana úložišt archivovaných záznam Postupy pi zálohování archivovaných záznam Požadavky na používání asových razítek u archivovaných záznam Systém shromažování archivovaných záznam Postupy pro získání a ovení archivních údaj Výmna klíe CA Obnova po havárii nebo kompromitaci Postup v pípad incidentu a kompromitace Poškození výpoetních prostedk, softwaru a/nebo dat Postup pi kompromitaci soukromého klíe ACAeID Schopnost pokraovat v innosti po havárii Ukonení innosti CA nebo RA Kontroly technické bezpenosti Generování a instalace párových klí Generování párových klí Pedání soukromého klíe podepisující osob Pedání veejného klíe certifikaní autorit Pedání veejného klíe CA potenciálním spoléhajícím se stranám Délky klíe Parametry pro generování veejného klíe a ovování kvality Úel použití klíe (pole použití klíe pro X.509 v3) Ochrana soukromého klíe a kontroly kryptografického modulu Standardy a kontroly kryptografických modul Sdílení tajemství (m z n) Úschova soukromých klí Zálohování soukromých klí Archivace soukromých klí Transfer soukromých klí do/z kryptografického modulu Uložení soukromých klí v kryptografickém modulu Postup aktivování soukromého klíe Postup pi deaktivaci soukromého klíe Postup pi zniení soukromého klíe Hodnocení kryptografických modul Další aspekty klíového hospodáství Archivace veejného klíe Maximální doba platnosti certifikátu vydaného podepisující osob a párových klí Aktivaní data Generování a instalace aktivaních dat Ochrana aktivaních dat Ostatní aspekty archivaních dat ízení poítaové bezpenosti Specifické technické požadavky na poítaovou bezpenost Hodnocení poítaové bezpenosti Technické kontroly životního cyklu ízení vývoje systému...48 Utajení: Veejný dokument Strana: 6/63

7 6.6.2 Kontroly ízení bezpenosti ízení síové bezpenosti asová razítka Certifikát, CRL a OCSP profily Profil certifikátu íslo verze Rozšíení certifikátu Objektové identifikátory (OID) algoritm Zpsoby zápisu jmen a názv Omezení jmen a názv Objektový identifikátor certifikaní politiky Rozšiující položka policy constraints Syntaxe a sémantika/význam rozšiující položky kvalifikátor politiky policy qualifiers Zpsob zápisu kritické rozšiující položky Certificate Policies Profil CRL íslo verze Rozšíení CRL a CRL entry Profil OCSP íslo verze Rozšíení OCSP Audit shody a ostatní hodnocení Periodicita hodnocení nebo okolnosti pro provedení hodnocení Identita a kvalifikace hodnotitele Vztah hodnotitele k hodnocené entit Hodnocené oblasti Postup v pípad zjištní nedostatk Sdlování výsledk hodnocení Ostatní obchodní a právní záležitosti Poplatky Poplatky za vydání, píp. obnovení certifikátu Poplatky za pístup k certifikátu Poplatky za informace o stavu certifikátu a o zneplatnní Poplatky za další služby Jiná ustanovení týkající se poplatk Finanní zodpovdnost Krytí pojištním Další aktiva Pojištní nebo krytí zárukou pro koncové entity/uživatele Dvrnost obchodních informací Stupnice (klasifikace) dvrnosti informací Informace mimo rámec stupnice dvrnosti informací Odpovdnost za ochranu dvrných informací Dvrnost osobních informací Plán dvrnosti Osobní údaje Informace, které nejsou osobními údaji Odpovdnost za ochranu osobních údaj Oznámení a souhlas s používáním osobních údaj...59 Utajení: Veejný dokument Strana: 7/63

8 9.4.6 Zpístupování osobních údaj Jiné náležitosti zpístupování osobních údaj Práva duševního vlastnictví Zastupování a záruky Zastupování a záruky CA Zastupování a záruky RA Zastupování a záruky podepisující osoby Zastupování a záruky spoléhajících se stran Zastupování a záruky ostatních úastník Zeknutí se záruk Hranice (meze) odpovdnosti Náhrada škody Doba platnosti, ukonení platnosti Doba platnosti Ukonení Dsledky ukonení a petrvání závazk Komunikace mezi úastníky Zmny Postup pi zmnách Postup pi oznámování zmn Okolnosti, pi kterých musí být zmnn OID Opatení pro ešení spor Relevantní právní úprava Shoda s právními pedpisy Další ustanovení Celková dohoda Postoupení práv Oddlitelnost Platby obhájcm a zeknutí se práv Vyšší moc Další opatení Závrená ustanovení...63 Utajení: Veejný dokument Strana: 8/63

9 Úvod "# Tato Certifikaní politika pro kvalifikované certifikáty obsahuje zásady a postupy související se zajištním innosti akreditovaného poskytovatele certifikaních služeb podle zákona. 227/2000 Sb. a pedpis souvisejících. Tato Certifikaní politika stanovuje zásady, které PCS uplatuje pi zajišování kvalifikovaných certifikaních služeb: vydání kvalifikovaného certifikátu, vydání následného kvalifikovaného certifikátu, Pojem kvalifikovaný certifikát je popsán v zákon 227/2000 Sb. a využívá se k ovení elektronického podpisu fyzické osoby. Tato Certifikaní politika je urena žadatelm o poskytnutí výše vyjmenované služby, všem spoléhajícím se stranám a jiným úastníkm PKI. Tato Certifikaní politika nevyžaduje na stran podepisující osoby používání prostedku pro bezpené vytváení elektronických podpis. Struktura tohoto dokumentu vychází z dokumentu RFC Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework. Systém ACAeID je budován a provozován ve shod s právním prostedím eské republiky. $%& Postupy, pravidla, technologie a ostatní skutenosti popsané v této CP dokladují dvryhodnost a integritu ešení ACAeID pi poskytování certifikaních služeb a to po celou dobu životního cyklu certifikát i jiných produkt, poskytovaných provozovatelem. Informace o dalších provozovaných službách jsou popsány v jejich projektové dokumentaci, jejich Certifikaních politikách a na internetových stránkách provozovatele. Zajištní bezpeného provozovaní kvalifikovaných certifikaních služeb je popsáno v Certifikaní provádcí smrnici QS. Ve veejné ásti webového prostoru provozovatele jsou umístny informace, které umožní zájemci i žadateli kvalifikovan se rozhodnout o poskytovaných službách, svých povinnostech a právech. K dispozici mu je také tato Certifikaní politika a další dokumenty. ' () * eský normalizaní institut pidlil spolenosti eidentity a.s. OID ve tvaru Utajení: Veejný dokument Strana: 9/63

10 Úvod Podtída je intern urena pro dokumentaci ACAeID, její další lenní je ureno íslem dokumentu a jeho verzí, tedy nap znaí dokument D10.1 ve verzi 1.1. Tato Certifikaní politika - QC má tyto identifikaní znaky: Identifikaní znak Význam identifikaního znaku Hodnota Název dokumentu Název dokumentu v itelné podob Certifikaní politika ACAeID - QC OID Identifikace dokumentu v rámci prostoru OID eidentity a.s ,--$ Certifikaní autority ACAeID eidentity a.s. tvoí koenová autorita (RCA) a autorita vydávající kvalifikované certifikáty pro podepisující a oznaující osoby (QCA). Koenová autorita RCA vydává certifikáty pouze podízeným certifikaním autoritám a vydala tedy i kvalifikovaný systémový certifikát pro vydávající certifikaní autoritu QCA. Tato vydávající autorita QCA nevydává certifikáty pro žádné podízené certifikaní autority, ale jen jednotlivým žadatelm. Spolenost eidentity a.s. provozuje i další certifikaní autority, které se ídí svými Certifikaními politikami a provozními pedpisy Registraní autority Jako Registraní autority pracují dvryhodní Operátoi registraního místa, kteí provádjí proces ovení skuteností nutných pro vydání certifikátu, pípadn pijímají žádost o zneplatnní certifikátu. S každým Operátorem registraního místa je uzavena Smlouva o innosti, operátoi jsou pravideln školeni a kontrolováni. Operátorem se mže stát pouze osoba, která dosáhla uritých kvalit a splnila kvalifikaní pedpoklady Držitelé kvalifikovaných certifikát podepisující osoby Podepisující osobou se stává každá fyzická osoba, která využívá prostedek pro vytváení elektronických podpis a jedná jménem svým nebo jménem jiné fyzické i právnické osoby a používá kvalifikovaný certifikát, vydaný ACAeID podle zákona 227/2000 Sb. této osob k tomuto prostedku. Utajení: Veejný dokument Strana: 10/63

11 Úvod Spoléhající se strany Spoléhající se stranou je každý jedinec nebo skupina, která využívá kvalifikovaných certifikát vydaných ACAeID a/nebo elektronických podpis s nimi souvisejících Jiní úastníci Další úastníci jsou orgány dozoru podle zákona 227/2000 Sb. a orgány inné v trestním ízení, pípadn další orgány, kterým to ze zákona písluší. / $0 Kvalifikované certifikáty vydané podle této Certifikaní politiky se mohou použít jen k úelm, které stanovuje zákon 227/2000 Sb Pípustné použití certifikátu Typickými aplikacemi, které je možné použít v souvislosti s kvalifikovanými certifikáty, vydávanými podle této politiky, jsou aplikace umožující vytváet a ovovat elektronické podpisy jako napíklad systémy elektronické pošty, podepisovací a ovovací aplikace pro podepisování dokument a jiných typ soubor obecn, pokud jsou v souladu s požadavky zákona 227/2000 Sb Nepípustné použití certifikátu Certifikáty se nesmí používat v rozporu s úelem, ke kterému byly vydány a to jak z technického hlediska (nap. podle omezení KeyUsage) tak i z právního hlediska (nap. v rozporu se zákonem 227/2000 Sb.). Takovým nepípustným použitím kvalifikovaného certifikátu mže být napíklad jeho použití pro šifrování i identifikaci úastníka šifrované komunikace v prostedí protokolu SSL/TLS. 1 Za údržbu tohoto dokumentu odpovídá pedseda Výboru pro politiky Organizace spravující dokument eidentity a.s. Vinohradská Praha 3 Utajení: Veejný dokument Strana: 11/63

12 Úvod eská republika Kontaktní osoba Pedseda Výboru pro politiky eidentity a.s. Vinohradská Praha 3 eská republika Tel: Fax: PAA-manager@acaeid.cz Subjekt odpovdný za rozhodování o souladu dokumentace Soulad Certifikaní politiky s jí odpovídající Certifikaní provádcí smrnicí schvaluje Výbor pro politiky na základ schze Výboru a v souladu s jednacím ádem tohoto orgánu Postupy schvalování Postupy jsou ureny jednacím ádem Výboru pro politiky. 2 $%&03&-* 4) Zákon ACAeID, ACA RCA QCA RM ORM CP CPS QC QSC RQSC CRL poskytovatel, PCS EVI soukromý klí veejný klí revokace DN Zákon 227/2000 Sb. o elektronickém podpisu Informaní systém eidentity a.s., poskytující kvalifikované certifikaní služby Koenová certifikaní autorita, jako souást ACAeID Vydávající certifikaní autorita, jako souást ACAeID Registraní místo Operátor registraního místa Certifikaní politika Certifikaní provádcí smrnice Kvalifikovaný certifikát Kvalifikovaný systémový certifikát Koenový kvalifikovaný systémový certifikát Seznam zneplatnných certifikát Poskytovatel certifikaních služeb Evidenní ást informaního systému PCS Data pro vytváení elektronických podpis nebo znaek Data pro ovování elektronických podpis nebo znaek zneplatnní certifikátu Distinguished Name Jednoznaná identifikace držitele certifikátu Utajení: Veejný dokument Strana: 12/63

13 Odpovdnost za publikování a úložišt ' $#5( 67$89.#:(;" 9<=65 ACAeID zveejuje seznam vydaných kvalifikovaných certifikát a seznam zneplatnných certifikát. Každý žadatel o poskytnutí služby i držitel kvalifikovaného certifikátu má navíc pístup do svého místa u provozovatele, kde má k dispozici seznam všech svých poskytnutých i práv poskytovaných služeb a mže jejich stav sledovat a mnit v rozsahu své autorizace v systému. ' "0>? V informaním systému ACAeID jsou zpracovávány a uchovávány informace v souladu se zákonem 227/2000 Sb. a zákonem 101/2000 Sb. tak, aby záznamy nebo jejich zmny mohly provádt pouze povené osoby, aby bylo možno kontrolovat správnost záznam a aby jakékoliv technické nebo programové zmny, porušující tyto bezpenostní požadavky, byly zjevné. Zveejované informace jsou ureny zejména spoléhajícím se tetím stranám, aby bylo možné rozhodnout o platnosti kvalifikovaného certifikátu s požadovaným stupnm dvry. '' 7 %-@ * K veejným informacím je možné pistupovat pomocí webových služeb. Vydané kvalifikované certifikáty jsou zveejnny v Seznamu vydaných kvalifikovaných certifikát, který je dostupný na adresách Veejn dostupné jsou tyto položky certifikátu: Sériové íslo certifikátu Platnost od do U certifikát, k jejichž zveejnní dal držitel souhlas, jsou veejn dostupné ješt tyto položky: Držitel (Subject) Vlastní certifikát ve formátu DER, PEM a TXT Kvalifikované certifikáty, které byly zneplatnny, jsou zveejnny v Seznamu zneplatnných kvalifikovaných certifikát. Aktuální seznam (poslední platný) bude dostupný (vždy nejmén na jednom míst) v elektronické form ve formátu CRL na adresách: Utajení: Veejný dokument Strana: 13/63

14 Odpovdnost za publikování a úložišt Souástí zveejnných informací bude i informace o poadí a dob zveejnní aktuálního CRL a historie zveejnných CRL. Informace o dob zveejnní aktuálního CRL bude poskytnuta v souboru a bude ve tvaru YYYYMMDDHHMMSS. V osobním útu Žadatele mže žádající osoba získat další podrobnjší informace o stavu své žádosti i o odebíraných službách. Tyto informace jsou však neveejné a jsou dostupné jen píslušné osob Žadatele. Souástí veejn dostupných informací je také dokument Certifikaní politika - QC, který je zveejnn ve formátu PDF na adresách: Na této adrese je dostupná práv platná verze Certifikaní politiky. Historie verzí je pístupná na webových stránkách provozovatele spolu s vyznaením období platnosti. Zveejnn na webových stránkách poskytovatele je také kvalifikovaný systémový certifikát koenové (RCA) a vydávající (QCA) certifikaní autority. Pro ovení správnosti tchto certifikát jsou tyto také zveejnny na stránkách Ministerstva informatiky R a ve Vstníku tohoto ministerstva. Dále jsou na webových stránkách poskytovatele zveejnny i procesní, obchodní a další pomocné informace, které se vztahují k poskytovaným službám. '+ $) %-@ Certifikaní politika je schválena díve, než je podle ní možné vydat první certifikát. Periodicita zveejování dalších informací není urena a závisí na nutnosti udržovat informace v aktuálním stavu. Periodicita zveejování CRL je popsána v kapitole '/ A)%BC0> Publikování CP schvaluje a odpovdnou osobu uruje Výbor pro politiky v souladu s jednacím ádem tohoto Výboru. Utajení: Veejný dokument Strana: 14/63

15 Odpovdnost za publikování a úložišt Zveejnní a aktualizaci Seznamu vydaných kvalifikovaných certifikát a Seznamu zneplatnných kvalifikovaných certifikát provádí obsluha ACAeID s frekvencí, která je v souladu s tímto dokumentem. Utajení: Veejný dokument Strana: 15/63

16 Identifikace a autentizace + D(6E.D86D( 67D + $-* Typy jmen Kvalifikované certifikáty vydávající QCA eidentity a.s. obsahují v polích Subject a Issuer jména ve formátu podle doporuení X Vydávající certifikaní autorita ACAeID Položka Subject vydávající certifikaní autority se sestává z komponent uvedených v následující tabulce. Atribut Pravidlo vyplnní Country (C) pevný text CZ Hodnota Organization (O) pevný text eidentity a.s. Organizational Unit (OU) pevný text Akreditovaný poskytovatel certifikaních služeb Locality (L) pevný text Vinohradská 184, Praha 3 Common Name (CN) pevný text ACAeID Qualified Issuer Certificate (kvalifikovaný systémový certifikát vydávající CA) Položka Issuer vydávající certifikaní autority QCA se sestává z komponent uvedených v následující tabulce: Atribut Pravidlo vyplnní Country (C) pevný text CZ Hodnota Organization (O) pevný text eidentity a.s. Organizational Unit (OU) pevný text Akreditovaný poskytovatel certifikaních služeb Locality (L) pevný text Vinohradská 184, Praha 3 Common Name (CN) pevný text ACAeID Qualified Root Certificate (kvalifikovaný systémový certifikát koenové CA) Utajení: Veejný dokument Strana: 16/63

17 Identifikace a autentizace Vydávané certifikáty Kvalifikované certifikáty žadatel obsahují DN (Distinguished Name) v poli Subject, které se skládá z komponent v následující tabulce. Atribut Význam ím se dokládá Country (C) Kód státu, kde má žadatel trvalý pobyt nebo kde má sídlo Organization (O) Název organizace žadatele Organizational Unit (OU) Organizaní jednotka Identifikaní prkaz, cestovní pas, výpis z obchodního rejstíku, zizovací listina apod. Výpis z obchodního rejstíku, živnostenský list, zizovací listina, prohlášení osoby s oprávnním za organizaci jednat. Název organizace mže být doplnn o identifikaní íslo, které bude uvedeno za mezerou v hranatých závorkách, uvozené I a mezerou Nap. prohlášením osoby s oprávnním za organizaci jednat Omezení podle ISO 3166 Pro osoby stojící mimo organizaci vyplní tuto položku poskytovatel. Mže být vyznaena jen jedna organizace. Certifikát uživatele mže obsahovat jeden nebo více tchto atribut. Nepovinné. Hodnota píklad CZ eidentity a.s. [I ] Elektronická podatelna Utajení: Veejný dokument Strana: 17/63

18 Identifikace a autentizace Atribut Význam ím se dokládá Locality (L) Name (Name) Adresa bydlišt podepisující osoby Celé jméno žadatele vetn pípadných titul Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Given Name Jméno Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Surname Píjmení Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Common Name (CN) Address (E) Pseudonym (Pseudonym) Obsahem pole je celé jméno nebo pseudonym s oznaením PSEUDONYM uživatele. ová adresa uživatele. Pseudonym uživatele. Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. prohlášením majitele domény i držitele ové adresy v pípad veejných domén Neprokazuje se. Omezení Hodnota píklad Nepovinné. Vinohradská 22, Praha 3 Nepovinné Obsahuje jméno (jména) žadatele Píjmení žadatele Novák Penáší se Name nebo Given Name (pokud je vyplnno) a po pidané mezee Surname Nepovinné JUDr. Jan Tadeáš Novák Jan Tadeáš jan.novak@eidentity.cz Utajení: Veejný dokument Strana: 18/63

19 Identifikace a autentizace Atribut Význam ím se dokládá Title (Title) SerialNumber Titul i pracovní role Obsahuje údaj spravovaný ústedním orgánem státní správy, na základ kterého je možné osobu jednoznan identifikovat uvozený zkratkou správce a pomlkou nebo údaj, pidlený poskytovatelem certifikaních služeb - v tomto pípad je uvozen etzcem QCAnebo údaj pidlený žadateli MPSV na základ jeho žádosti, a který je uvozený etzcem MPSV-. Prohlášením osoby s oprávnním jednat za organizaci i dokladem nebo prohlášením žadatele Rozhodnutím o pidlení i ovením správnosti údaje ústedním orgánem státní správy, který údaj vydal nebo MPSV jím vydané údaje Omezení Nepovinné. Hodnota píklad Certifikát uživatele musí obsahovat alespo jeden z atribut CN nebo Pseudonym. Pokud v kvalifikovaném certifikátu nebude uveden údaj v souladu s 4 vyhlášky. 496/2004 Sb. na jehož základ je možné osobu jednoznan identifikovat, nelze takový kvalifikovaný certifikát využívat bez vady v oblasti orgán veejné moci dle 11 zákona. 227/2000 Sb. Utajení: Veejný dokument Strana: 19/63

20 Identifikace a autentizace Požadavek na sémantický význam jmen Všechna pojmenování uvedená v DN certifikátu musí být smysluplná a doložitelná Anonymita a používání pseudonymu QCA nevydává anonymní certifikáty. Kvalifikovaný certifikát lze však vystavit na pseudonym. Tato skutenost je v kvalifikovaném certifikátu jednoznan urena atributem Pseudonym Pravidla pro interpretaci rzných forem pojmenování Tam, kde to RFC3280 dovoluje, lze použít národní znakové sady v kódování UTF Jednoznanost jmen QCA eidentity zaruuje automatickou kontrolou unikátnost vazby DN v poli Subject certifikátu na jednoho konkrétního uživatele. Uživatel však mže mít více certifikát se stejným i jiným DN v poli Subject Rozpoznávání, autentizace a význam obchodních znaek Všechny údaje uvedené v kvalifikovaném certifikátu uživatele se musí prokazateln vztahovat k právnické i fyzické osob. QCA eidentity tuto skutenost ovuje. +' $?% Metody dkazu vlastnictví (POP - proof of possession) soukromého klíe Žadatel o kvalifikovaný certifikát musí prokázat vlastnictví soukromého klíe odpovídajícímu veejnému klíi, který má být uveden v kvalifikovaném certifikátu. Za prokazatelnou se považuje žádost ve formátu PKCS#10, nebo ekvivalentní metoda (nap. SPKAC). Principem je pedání veejného klíe spolu s pípadnými dalšími daty certifikaní autorit tak, aby tento balík nebo jeho otisk byl podepsán odpovídajícím soukromým klíem. Vtšinou se taková zpráva vytváí prostedky prostedí, ve kterém se klíe a kvalifikovaný certifikát budou používat Prokázání identity právnické osoby Identitu prokazuje právnická osoba pedložením originálu nebo notásky ovené kopie výpisu z obchodního rejstíku, živnostenského listu i jiné listiny, na základ které byla organizace zízena. Z dokladu musí být patrno úplné obchodní jméno organizace, pidlené identifikaní íslo, sídlo a statutární orgán. Pro úely jednání s eidentity a.s. mže statutární orgán zplnomocnit na základ notásky ovené plné moci další osobu. Utajení: Veejný dokument Strana: 20/63

21 Identifikace a autentizace Prokázání identity fyzické osoby Fyzická osoba prokazuje svoji identitu platným osobním dokladem a pro úely vydání kvalifikovaného certifikátu prokazuje svoje identifikaní údaje dvma osobními doklady. Jako základní osobní doklad se pijímá Obanský prkaz u oban R nebo cestovní pas u oban jiných zemí. Jako další doklad se pijímá cestovní pas, národní identifikaní prkaz cizinc nebo idiský prkaz. Pokud nemá fyzická osoba požadované doklady vystaveny, musí o jejich vystavení požádat v souladu s právními pedpisy a to v dostateném pedstihu ped podáním žádosti o kvalifikovaný certifikát Neovované informace Všechny informace uvedené v certifikátu od QCA jsou ovené Ovování specifických práv V pípad, že žadatel požaduje umístit do kvalifikovaného certifikátu informaci o jeho pracovní pozici v organizaci (viz Titul i pracovní role v DN), dokládá tuto skutenost souhlasem organizace, který je v písemné podob a je podepsán statutárním orgánem nebo osobou, která má oprávnní za organizaci jednat s eidentity a.s Kritéria pro interoperaci (spolupráci) QCA eidentity mže spolupracovat s CA tetích stran pouze na základ písemné smlouvy. ++ )0 3*?FG H Identifikace a autentizace pi rutinní výmn klíe Identifikace a autentizace pro výmnu klíe po zneplatnní +/ )0 )? O zneplatnní kvalifikovaného certifikátu mže požádat držitel nebo podepisující osoba. Utajení: Veejný dokument Strana: 21/63

22 Identifikace a autentizace Kvalifikovaný certifikát zneplatuje poskytovatel na základ pijaté žádosti o zneplatnní pokud žadatel kvalifikovaný certifikát nepevezme pokud žadatel požádá o ukonení zpracování osobních údaj na základ uvdomní držitele nebo podepisující osoby, že hrozí nebezpeí zneužití jejich dat pro vytváení elektronických podpis v pípad, že byl kvalifikovaný certifikát vydán na základ nepravdivých nebo chybných údaj dozví-li se prokazateln, že podepisující osoba zemela nebo zanikla nebo ji soud zpsobilosti k právním úkonm zbavil nebo omezil dozví-li se prokazateln, že údaje, na jejichž základ byl kvalifikovaný certifikát vydán, pozbyly pravdivosti pokud mu Ministerstvo informací naídí zneplatnní kvalifikovaného certifikátu jako pedbžné opatení, pokud existuje dvodné podezení, že kvalifikovaný certifikát byl padlán nebo pokud byl vydán na základ nepravdivých údaj nebo v pípad, kdy bylo zjištno, že podepisující osoba používá prostedek pro vytváení podpisu, který vykazuje bezpenostní nedostatky, které umožují padlání zaruených elektronických podpis nebo zmnu podepisovaných údaj. Žádost o zneplatnní nebo uvdomní držitele nebo podepisující osoby musí být v písemné form a musí obsahovat Sériové íslo certifikátu Oznaení držitele, kterému byl certifikát vydán Heslo pro zneplatnní certifikátu Pokud si heslo nepamatuje nebo ho nezná, musí uvést dokumenty, kterými prokázal identitu pi podání žádosti, a tmito dokumenty také prokázat svoji totožnost pi osobním podání této žádosti nebo žádost musí být podepsána statutárním orgánem nebo osobou, která má oprávnní za organizaci jednat s eidentity a.s. Tuto žádost lze pak podat jen osobn na RM Žádost o zneplatnní nebo uvdomní držitele nebo podepisující osoby lze podat (nejmén jedna možnost je vždy dostupná) Osobn na RM Elektronicky ve svém osobním útu Faxem na íslo dle kapitoly této certifikaní politiky Pokyn pro zneplatnní mže podat držitel nebo podepisující osoba pro své certifikáty nebo odpovdná osoba eidentity a.s. pro ostatní pípady. Utajení: Veejný dokument Strana: 22/63

23 Funkní požadavky na životní cyklus certifikátu / E8(.I(;$<#.J(<#6(;J.98 DG6E.:68 / <B Kdo mže podat žádost o vydání certifikátu O kvalifikovaný certifikát mže žádat každá fyzická osoba, která je povinna uvádt pouze pravdivé informace a tyto také odpovídajícím zpsobem doložit. Žádat mže pouze ten, kterého soud zpsobilosti k právním úkonm nezbavil nebo neomezil Registraní proces a odpovdnosti Vlastní registrace žádosti je rozdlena do dvou oblastí. První oblastí je správa žadatel a výbr služby. Druhou oblast tvoí prokázání skuteností uvedených ve fázi správy žadatel a, pokud je prokázání dostatené, dojde k vydání certifikátu. Vyplnní údaj je pln v zodpovdnosti žadatele. Žadatel je zodpovdný za to, že uvádné údaje jsou správné, úplné a pravdivé. Uvedené údaje pak prokazuje v procesu ovení na registraním míst. Za ovení údaj zodpovídá Operátor registraního místa, který je také pln zodpovdný za schválení tchto údaj a za vystavení certifikátu. Operátor registraního místa pracuje podle seznamu úkon Procesu registraního místa, který je pipraven na základ struktury uvádných údaj. O prbhu Procesu registraního místa je poízen Zápis o prbhu registraního procesu, který podepisují Operátor registraního místa a Žadatel. Tento zápis je vyhotoven ve dvou kopiích, jedna zstává pílohou žádosti a druhou dostává Žadatel. Operátor registraního místa je oprávnn žádost zrušit a kvalifikovaný certifikát nevydat pokud není pln pesvden, že uvádné údaje jsou odpovídajícím zpsobem doloženy. Žadatel mže reklamovat práci Operátora registraního místa u vedení eidentity a.s. s uvedením podrobností pípadu. /' 7 0B Identifikace a autentizace Zájem o službu Vybere se webový formulá, který je pístupný pes SSL/TLS a jehož obsahem je vysvtlení pravidel, úelu a použití kvalifikovaného certifikátu, vetn podmínek pro jeho užívání (doporuený HW, SW apod.) na stran žadatele a požadavky na držitele vyplývající ze zákona 227/2000 Sb. Utajení: Veejný dokument Strana: 23/63

24 Funkní požadavky na životní cyklus certifikátu Zájemce vyplní: Jméno (vetn dalšího jména apod.) Píjmení V systému unikátní adresa s výhradním právem pístupu zájemce V systému unikátní pihlašovací jméno Na uvedenou ovou adresu následn pijde s URL a heslem, kde zájemce pokrauje v procesu žádosti. Tím se oví platnost ové adresy. Tato ová adresa bude dále používána ke komunikaci s klientem a budou na ni zasílány informace, týkající se procesu zpracování žádosti, návrhy smluv, výzvy k platb a další servisní informace. Heslo má omezenou platnost 5 dní. Pihlašovací jméno se em nepenáší, zájemce si ho musí pamatovat i stránku si vytisknout. Pokud uvedená ová adresa již je uvedena u jiného žadatele, dojde zde k jejímu odmítnutí. Systém nedovolí také duplicitu pihlašovacích jmen. Na stránce bude také specifikován povolený formát vstupních dat s uvedením píkladu vyplnní. ové adresy, které jsou spolené pro více žadatel lze volit až dodaten v prbhu evidence žadatele. Pokud nedojde k pihlášení zájemce do systému do konce omezené platnosti hesla nebo na píkaz operátora, záznam o zájemci se ze systému odstraní. Na takto poízené údaje se hledí tak, jako by nebyly použity mohou se tedy opt použít dalším zájemcem Vyplnní identifikaních údaj žadatele Webový formulá je dostupný na URL, který je uveden v zaslaném u. Pístup je pes SSL/TLS, autentizace pihlašovacím jménem a zaslaným heslem. Autentizace mže být také certifikátem od jiné urené certifikaní autority. Žadatel vyplní: Jméno pevn vyplnno z minulého kroku Píjmení pevn vyplnno z minulého kroku spojení pevn vyplnno z minulého kroku Celé jméno vznikne z Jména a Píjmení, nelze mnit Adresa bydlišt íslo OP nebo pasu Typ dalšího dokladu pas, idiský prkaz, národní identifikaní prkaz cizinc ten, který bude pedložen pi osobní návštv u registraní autority. íslo dalšího dokladu Registrované další ové adresy (po zadání nové ové adresy na ni bude zaslán textový etzec, který uživatel zadá do formuláe ovení adresy). Takto je popsán subjekt žadatele pro úely zákona. Tomuto subjektu žadateli se vytvoí úet v informaním systému, ve kterém jsou vedeny informace o historii jeho žádostí o certifikáty a Utajení: Veejný dokument Strana: 24/63

25 Funkní požadavky na životní cyklus certifikátu o jeho vydaných certifikátech. Bude zde i možnost mnit identifikaní údaje (je vedena i jejich historie) s následným posouzením operátorem, zda tato zmna má i nemá vliv na již vydané certifikáty (zda dojde k administrativnímu zneplatnní apod.) a zda je pípadn nutná optovná osobní návštva na registraním míst. Zde je možné také mnit pístupové heslo k útu žadatele Úet žadatele Tento webový formulá tvoí zejména dv tabulky. V první je seznam vydaných kvalifikovaných certifikát pro podepisující osobu a ve druhé je seznam vydaných kvalifikovaných systémových certifikát pro oznaující osobu. V obou tabulkách je jako poslední ádek Žádost o další certifikát. V tabulkách je také informace o stavu, ve kterém se certifikát nachází, nap. vydaný a v dob platnosti, zneplatnn (revokován), v procesu žádosti (podrobnjší info o stavu zpracování nap. žádost podána, probhla formální kontrola žádosti a je k dispozici Smlouva, probhla platba a je možné pistoupit ke generování klí, žádost zamítnuta apod.). Webový formulá bude mít v záhlaví identifikaní údaje z minulého kroku. Vydání následného certifikátu je možné vyídit elektronicky. Žadatel bude upozornn zprávou na primární ovou adresu o blížícím se termínu vypršení platnosti kvalifikovaného certifikátu. Pokud se nezmnily skutenosti, které uvedl pi žádosti o kvalifikovaný certifikát, bude mu na jeho žádost, kterou tímto ješt platným certifikátem podepíše, vydán následný certifikát se stejnými údaji. Takový certifikát bude mít však odlišné nkteré položky obsahu, napíklad dobu platnosti, jiné sériové íslo certifikátu, bude vytvoen pro nový veejný klí žadatele a mohou být zmnny i informace o akreditované vystavující (QCA) i koenové (RCA) certifikaní autorit. V osobním útu žadatele bude také možné požádat o zneplatnní certifikátu i zrušit probíhající žádost o vydání. Úet žadatele mže být doplnn o další nabízené služby Žádost o vydání kvalifikovaného certifikátu Na tento webový formulá se pejde z odkazu Žádosti o další certifikát z tabulky seznamu kvalifikovaných certifikát žadatele. Žadatel mže mít k dispozici jeden i více bon, které budou oznaovat nestandardní platební podmínky. Pedvyplnno bude: Oznaení, že je certifikát vydán jako kvalifikovaný certifikát podle zákona íslo 227/2000 Sb. Název obchodní firmy kvalifikovaného poskytovatele a stát, ve kterém je poskytovatel usazen Elektronická znaka kvalifikovaného poskytovatele certifikaních služeb založená na Utajení: Veejný dokument Strana: 25/63

26 Funkní požadavky na životní cyklus certifikátu kvalifikovaném systémovém certifikátu poskytovatele CDP odkaz, kde lze pistoupit k CRL Politika, podle které došlo k vydání Celé jméno Jméno Píjmení Poskytovatel doplní dodaten v okamžiku vydání kvalifikovaného certifikátu: Správný datum a as poátku a konce platnosti kvalifikovaného certifikátu Unikátní íslo vydávaného kvalifikovaného certifikátu Data pro ovování podpisu, která odpovídají datm pro vytváení podpisu, jež jsou pod kontrolou podepisující osoby Zda se jedná o pseudonym Žadatel vyplní: DN subjektu vetn jména i pseudonymu i pracovního zaazení ová adresa - výbr ze seznamu registrovaných ových adres nebo žádná Omezení kvalifikovaného certifikátu podle povahy a rozsahu jen pro urité použití (Key Usage) Unikátní identifikace žadatele u eidentity a.s. doplní pevn systém (ACA- SerialNumber) nebo údaj spravovaný ústedním orgánem státní správy, na základ kterého je možné osobu jednoznan identifikovat (BIO) nebo poví poskytovatele, aby takový údaj u ústedního orgánu státní správy zajistil Voliteln oznaení kuponu na speciální cenu i akci Vyjádení souhlasu se zveejnním certifikátu Heslo pro zneplatnní certifikátu Pokud pravidla ústedního orgánu státní správy pro pidlení údaje BIO vyžadují uvedení dalších osobních údaj, pak tyto osobní údaje budou zpracovány se souhlasem subjektu údaj v nezbytné míe pouze pro úely vystavení údaje BIO a poté budou znieny. Po vyplnní bude žádost odeslána k formální kontrole. Formální kontrola prozkoumá jednak obsah pipravovaného kvalifikovaného certifikátu a také platnost kuponu na speciální cenu i akci ve vztahu k poskytované služb. Formální kontrola mže také urit, jaké skutenosti musí žadatel doložit (a také jak) pi procesu na registraním míst Smlouva a platba Po úspšné formální kontrole (a pípadných opravách žádosti) je pipraven návrh smlouvy na vydání odpovídajícího kvalifikovaného i kvalifikovaného systémového certifikátu a bude generována výzva k zálohové platb za službu a oba dokumenty budou zaslány žadateli. Po obdržení platby na úet, zajištní požadovaných údaj (nap. BIO) a odsouhlasení smlouvy o poskytnutí služby žadatelem bude uvolnno generování klí v prostedí žadatele a následné Utajení: Veejný dokument Strana: 26/63

27 Funkní požadavky na životní cyklus certifikátu zaslání žádosti o certifikát dle PKCS#10 nebo obdobným zpsobem. Teprve nyní, po doplnní zaznamenaných údaj do formátu podle PKCS#10 (nebo obdobného) se na tyto údaje pohlíží jako na úplnou Žádost o poskytnutí služby. Žádost se penáší do vnitního systému, kde dochází k registranímu procesu a k vlastnímu vydání certifikátu. Ve smlouv žadatel stvrdí mimo jiné, že poskytl pesné a kompletní informace podle požadavku CP používá výhradn klíového páru v souladu s ostatním omezením uinil úelná opatení k zabránní neautorizovanému použití soukromého klíe generoval klíe o o o algoritmem ureným pro úely kvalifikovaného elektronického podpisu délka klíe vyhovuje pro úely kvalifikovaného elektronického podpisu tak, že zstal výhradním držitelem soukromého klíe upozorní bez zbyteného odkladu v dob platnosti certifikátu o o o že soukromý klí byl ztracen, zcizen i existuje možnost zneužití že se soukromý klí nenachází pod výhradní kontrolou držitele z dvodu možného zneužití aktivaních dat (PIN) nebo z jiných dvod na nepesnosti nebo zmny údaj, na základ kterých byl certifikát vydán v pípad kompromitace soukromého klíe ho pestane okamžit a napoád používat zda souhlasí se zveejnním vydaného kvalifikovaného certifikátu Registraní místo Operátor registraního místa postupuje podle schváleného postupu a provede kontrolu vyplnných informací oproti pedloženým dokumentm. Pokud bude vše v poádku, poídí kopie doklad a dokument, na jejichž základ došlo k ovení údaj a doplní je o prohlášení žadatele, že ten souhlasí s jejich archivací. Operátor uzave smlouvu s žadatelem o poskytnutí služby, zadá pokyn k vystavení certifikátu a ten po jeho vystavení protokolárn pedá žadateli. Žadatel obdrží Smlouvu o poskytování služby, fakturu za uhrazení ceny služby vetn píjmového dokladu, Zápis o prbhu procesu registraního místa a Protokol o pedání a pevzetí kvalifikovaného certifikátu Pijetí nebo zamítnutí žádosti o certifikát Pokyn k vystavení certifikátu mže vydat Operátor registraního místa na základ uzavené Utajení: Veejný dokument Strana: 27/63

28 Funkní požadavky na životní cyklus certifikátu písemné Smlouvy o poskytování služeb a to pouze v pípad, že si je jist správným doložením údaj ze strany Žadatele a splnním jeho dalších povinností (zejména uhrazení ceny za poskytovanou službu na základ Výzvy k platb, podepsáním Zápisu o prbhu procesu registraního místa apod.). Pi nedostatenosti pi prokazování údaj i pi jiném porušení registraního procesu musí Operátor zamítnout žádost a neposkytnout objednávanou službu. Pípadné následující kroky (nap. forma vrácení zálohové platby apod.) bude ešena se Žadatelem i plátcem individuáln Doba zpracování žádosti o certifikát asový limit, ve kterém dojde ke zpracování žádosti o certifikát není pevn stanoven. Jedná se o interaktivní proces, jehož délku uruje pevážn žadatel. Spolenost eidentity a.s. poskytuje certifikaní služby bez zbyteného otálení. Pokud žádost o službu nezruší žadatel i operátor, zstává žádost stále aktivní. /+ # Úkony CA v prbhu vydávání certifikátu Vydáním pokynu k vystavení certifikátu pro interní systém QCA se sestaví obsah certifikátu, spote se z nj otisk podle schváleného schématu elektronického podpisu (SHA1) a pedá se k vytvoení elektronické znaky na Podepisovací pracovišt. Zde dojde k vytvoení elektronické znaky otisku a získaná data se odešlou zpt ke konenému vytvoení certifikátu ve formátech DER, PEM a TXT Oznámování vydání certifikátu podepisující osob Certifikát ve výše zmínných formátech je od tohoto okamžiku k dispozici trvale v osobním útu žadatele a jeho obsah je souástí Protokolu o pedání a pevzetí certifikátu. // $% ) Úkony spojené s pevzetím certifikátu Souástí pedání certifikátu je Protokol o pedání a pevzetí certifikátu, ve kterém žadatel stvrzuje pevzetí certifikátu. Certifikát, který byl vydán v souladu s touto CP nelze odmítnout. Žadatel mže požádat však ihned o jeho zneplatnní. Protokol o pedání a pevzetí certifikátu obsahuje výpis certifikátu i v textové form, ze které je zejmý obsah certifikátu, okamžik pevzetí a podpis žadatele a ORM. Jednu kopii si odnáší Utajení: Veejný dokument Strana: 28/63

29 Funkní požadavky na životní cyklus certifikátu žadatel a druhá kopie zstává souástí dokumentace žádosti Zveejování vydaných certifikát certifikaní autoritou Vydaný certifikát je po pevzetí umístn do seznamu vydaných kvalifikovaných certifikát. Zveejnny jsou pouze tyto údaje Sériové íslo certifikátu Doba platnosti od-do V pípad, že žadatel souhlasil se zveejnním certifikátu, jsou ješt navíc zobrazeny údaje Držitel (Subject) Vlastní certifikát ve formátu DER, PEM a TXT Oznámení vydání certifikátu jiným subjektm Vnitní systém CA informuje o vydání certifikátu odpovídajícího ORM vyhotovením Protokolu o pedání a pevzetí certifikátu. /1 $0 3& Použití soukromého klíe a certifikátu držitelem/podepisující osobou Soukromý klí (data pro vytváení podpisu), který se vztahuje k vydanému kvalifikovanému certifikátu mže být použit pouze v souladu se Zákonem a se Smlouvou a toto použití je povoleno až po pedchozím pevzetí odpovídajícího kvalifikovaného certifikátu a musí být ukoneno po uplynutí doby platnosti i pi zneplatnní tohoto kvalifikovaného certifikátu. Podepisující osoba je povinna zacházet s daty pro vytváení elektronického podpisu s náležitou péí tak, aby nemohlo dojít k jejich neoprávnnému použití a uvdomit neprodlen poskytovatele certifikaních služeb, který vydal kvalifikovaný certifikát, o tom, že hrozí nebezpeí zneužití jejích dat pro vytváení zarueného elektronického podpisu Použití veejného klíe a certifikátu spoléhající se stranou Spoléhající strana mže spoléhat pouze na certifikáty a veejné klíe, které byly vydány a používány v souladu s touto politikou, byly použity v souladu s údaji v certifikátu a které nemají oznaen za neplatný žádný certifikát ve svém certifikaním etzci. Spoléhající strana je pln zodpovdna za veškeré úkony, které musí vykonat ped tím, než získá dvru v platnost certifikátu a veejného klíe. Doporuený postup je uveden nap. v Naízení vlády. 495/2004 Sb. a Vyhlášce 496/2004 Sb. nebo na webových stránkách Ministerstva informatiky. Utajení: Veejný dokument Strana: 29/63

30 Funkní požadavky na životní cyklus certifikátu /2, Je možné požádat o vydání nového certifikátu Okolnosti pro obnovení certifikátu Kdo mže požadovat obnovení Zpracování požadavku na obnovu certifikátu Oznámení o vydání obnoveného certifikátu držiteli/podepisující osob Úkony spojené s pevzetím obnoveného certifikátu Zveejování vydaných obnovených certifikát certifikaní autoritou Oznámování vydání certifikátu jiným subjektm /K #3*?FH Okolnosti pro výmnu klíe v certifikátu Utajení: Veejný dokument Strana: 30/63

31 Funkní požadavky na životní cyklus certifikátu Kdo mže požadovat výmnu klíe v certifikátu Provedení požadavku na výmnu klíe Oznámení o vydání certifikátu s vymnným klíem podepisující osob Úkony spojené s pevzetím certifikátu s vymnným klíem podepisující osobou Zveejování vydaných certifikátu s vymnným klíem Oznámení o vydání certifikátu s vymnným klíem jiným subjektm /L 7*?F* H Okolnosti pro zmnu certifikátu Subjekty oprávnné požadovat zmnu certifikátu Zpracování požadavku na zmnu certifikátu Utajení: Veejný dokument Strana: 31/63