Verze: 1.1 Odpovídá: Jií Hejl Datum: Utajení: Veejný dokument

Transkript

1 Verze: 1.1 Odpovídá: Jií Hejl Datum: Utajení: Veejný dokument eidentity a.s. Vinohradská 184, Praha 3 Tel: fax: info@eidentity.cz

2 Copyright 2005 e-identity a.s. Žádná ást tohoto dokumentu nesmí být kopírována žádným zpsobem bez písemného souhlasu majitel autorských práv. Nkteré názvy produkt a spoleností citované v tomto díle mohou být ochranné známky píslušných vlastník. Schváleno: Verze Schválil 1.1 Ladislav Šedivý Historie dokumentu: Verze Datum Autor Poznámka Jií Hejl komplexní verze Jií Hejl zjednodušení poskytovaných služeb, konsolidace pojm, rejstík zkratek Utajení: Veejný dokument Strana: 2/64

3 !" 1 Úvod Pehled Název a identifikace dokumentu Subjekty participující na PKI Certifikaní autority Registraní autority Držitelé kvalifikovaných certifikát oznaující osoby Spoléhající se strany Jiní úastníci Použití certifikátu Pípustné použití certifikátu Nepípustné použití certifikátu Správa politiky Organizace spravující dokument Kontaktní osoba Subjekt odpovdný za rozhodování o souladu dokumentace Postupy schvalování Pehled použitých pojm a zkratek Odpovdnost za publikování a úložišt Úložišt Zveejování informací Periodicita zveejování ízení pístupu k úložišti Identifikace a autentizace Pojmenování Typy jmen Požadavek na sémantický význam jmen Anonymita a používání pseudonymu Pravidla pro interpretaci rzných forem pojmenování Jednoznanost jmen Rozpoznávání, autentizace a význam obchodních znaek Poátení ovení identity Metody dkazu vlastnictví (POP - proof of possession) soukromého klíe Prokázání identity právnické osoby Prokázání identity fyzické osoby Neovované informace Ovování specifických práv Kritéria pro interoperaci (spolupráci) Identifikace a autentizace pro požadavky na výmnu klíe (Re-key) Identifikace a autentizace pi rutinní výmn klíe Identifikace a autentizace pro výmnu klíe po zneplatnní Identifikace a autentizace pro požadavek na zneplatnní Funkní požadavky na životní cyklus certifikátu Žádost o vydání certifikátu Kdo mže podat žádost o vydání certifikátu Registraní proces a odpovdnosti...24 Utajení: Veejný dokument Strana: 3/64

4 4.2 Zpracování žádosti o certifikát Identifikace a autentizace Pijetí nebo zamítnutí žádosti o certifikát Doba zpracování žádosti o certifikát Vydání certifikátu Úkony CA v prbhu vydávání certifikátu Oznámování vydání certifikátu oznaující osob Pevzetí certifikátu Úkony spojené s pevzetím certifikátu Zveejování vydaných certifikát certifikaní autoritou Oznámení vydání certifikátu jiným subjektm Použití párových klí a certifikátu Použití soukromého klíe a certifikátu držitelem/oznaující osobou Použití veejného klíe a certifikátu spoléhající se stranou Obnovení certifikátu Okolnosti pro obnovení certifikátu Kdo mže požadovat obnovení Zpracování požadavku na obnovu certifikátu Oznámení o vydání obnoveného certifikátu držiteli/podepisující osob Úkony spojené s pevzetím obnoveného certifikátu Zveejování vydaných obnovených certifikát certifikaní autoritou Oznámování vydání certifikátu jiným subjektm Výmna klíe (re-key) v certifikátu Okolnosti pro výmnu klíe v certifikátu Kdo mže požadovat výmnu klíe v certifikátu Provedení požadavku na výmnu klíe Oznámení o vydání certifikátu s vymnným klíem podepisující osob Úkony spojené s pevzetím certifikátu s vymnným klíem podepisující osobou Zveejování vydaných certifikátu s vymnným klíem Oznámení o vydání certifikátu s vymnným klíem jiným subjektm Zmna certifikátu (modification) Okolnosti pro zmnu certifikátu Subjekty oprávnné požadovat zmnu certifikátu Zpracování požadavku na zmnu certifikátu Oznámení o vydání zmnného certifikátu podepisující osob Úkony spojené s pevzetím zmnného certifikátu Zveejování vydaných zmnných certifikát Oznámení o vydání zmnného certifikátu jiným subjektm Zneplatnní a pozastavení platnosti certifikátu Okolnosti pro zneplatnní certifikátu Subjekty oprávnné žádat o zneplatnní certifikátu Provedení požadavku na zneplatnní certifikátu Doba odkladu požadavku na zneplatnní certifikátu Maximální doba, za kterou musí CA realizovat požadavek na zneplatnní certifikátu Povinnosti spoléhajících se stran pi ovování, zda nebyl certifikát zneplatnn Periodicita vydávání CRL Maximální zpoždní CRL Možnost ovování zneplatnní/statusu certifikátu on-line...34 Utajení: Veejný dokument Strana: 4/64

5 Požadavky pi on-line ovování zneplatnní/statusu certifikátu Jiné zpsoby oznamování zneplatnní certifikátu Speciální podmínky pi kompromitaci soukromého klíe Okolnosti pro pozastavení platnosti certifikátu Kdo mže požadovat pozastavení platnosti certifikátu Zpracování požadavku na pozastavení platnosti certifikátu Omezení doby pozastavení platnosti certifikátu Služby statutu certifikátu Funkní charakteristiky Dostupnost služeb Další charakteristiky služeb statutu certifikátu Ukonení poskytování služeb pro podepisující osobu Úschova klíe u dvryhodné tetí strany a jeho obnova Politika a postupy pi úschov a obnovování klíe Politika a postup pi zapouzdování (encapsulation) a obnovování relaního klíe (session key) Budovy, management a provozní ízení Kontrola fyzické bezpenosti Umístní a konstrukce Fyzický pístup Elektina a klimatizace Vlivy vody Protipožární opatení a ochrana Ukládání médií Nakládání s odpady Zálohy mimo budovu Kontrola procedurální bezpenosti Dvryhodné role Poet osob požadovaných na zajištní jednotlivých inností Identifikace a autentizace pro každou roli Role vyžadující rozdlení povinností Kontroly personální bezpenosti Požadavky na kvalifikaci, zkušenosti a bezúhonnost Postupy pi ovování zázemí osob Požadavky na pípravu pro výkon role, vstupní školení Požadavky a periodicita školení Periodicita a posloupnost job rotation mezi rznými rolemi Postihy za neautorizované innosti zamstnanc Požadavky na nezávislé zhotovitele (dodavatele) Dokumentace poskytovaná zamstnancm Auditní záznamy (logy) Typy zaznamenávaných událostí Periodicita zpracování záznam Doba uchování auditních záznam Ochrana auditních záznam Postupy pi zálohování auditních záznam Systém shromažování auditních záznam Oznamování subjektu, který zpsobil událost Hodnocení zranitelnosti...42 Utajení: Veejný dokument Strana: 5/64

6 5.5 Archivace záznam Typy záznam, které se archivují Doba uchování archivovaných záznam Ochrana úložišt archivovaných záznam Postupy pi zálohování archivovaných záznam Požadavky na používání asových razítek u archivovaných záznam Systém shromažování archivovaných záznam Postupy pro získání a ovení archivních údaj Výmna klíe CA Obnova po havárii nebo kompromitaci Postup v pípad incidentu a kompromitace Poškození výpoetních prostedk, softwaru a/nebo dat Postup pi kompromitaci soukromého klíe ACAeID Schopnost pokraovat v innosti po havárii Ukonení innosti CA nebo RA Kontroly technické bezpenosti Generování a instalace párových klí Generování párových klí Pedání soukromého klíe podepisující osob Pedání veejného klíe certifikaní autorit Pedání veejného klíe CA potenciálním spoléhajícím se stranám Délky klíe Parametry pro generování veejného klíe a ovování kvality Úel použití klíe (pole použití klíe pro X.509 v3) Ochrana soukromého klíe a kontroly kryptografického modulu Standardy a kontroly kryptografických modul Sdílení tajemství (m z n) Úschova soukromých klí Zálohování soukromých klí Archivace soukromých klí Transfer soukromých klí do/z kryptografického modulu Uložení soukromých klí v kryptografickém modulu Postup aktivování soukromého klíe Postup pi deaktivaci soukromého klíe Postup pi zniení soukromého klíe Hodnocení kryptografických modul Další aspekty klíového hospodáství Archivace veejného klíe Maximální doba platnosti certifikátu vydaného podepisující osob a párových klí Aktivaní data Generování a instalace aktivaních dat Ochrana aktivaních dat Ostatní aspekty archivaních dat ízení poítaové bezpenosti Specifické technické požadavky na poítaovou bezpenost Hodnocení poítaové bezpenosti Technické kontroly životního cyklu ízení vývoje systému...49 Utajení: Veejný dokument Strana: 6/64

7 6.6.2 Kontroly ízení bezpenosti ízení síové bezpenosti asová razítka Certifikát, CRL a OCSP profily Profil certifikátu íslo verze Rozšíení certifikátu Objektové identifikátory (OID) algoritm Zpsoby zápisu jmen a názv Omezení jmen a názv Objektový identifikátor certifikaní politiky Rozšiující položka policy constraints Syntaxe a sémantika/význam rozšiující položky kvalifikátor politiky policy qualifiers Zpsob zápisu kritické rozšiující položky Certificate Policies Profil CRL íslo verze Rozšíení CRL a CRL entry Profil OCSP íslo verze Rozšíení OCSP Audit shody a ostatní hodnocení Periodicita hodnocení nebo okolnosti pro provedení hodnocení Identita a kvalifikace hodnotitele Vztah hodnotitele k hodnocené entit Hodnocené oblasti Postup v pípad zjištní nedostatk Sdlování výsledk hodnocení Ostatní obchodní a právní záležitosti Poplatky Poplatky za vydání, píp. obnovení certifikátu Poplatky za pístup k certifikátu Poplatky za informace o stavu certifikátu a o zneplatnní Poplatky za další služby Jiná ustanovení týkající se poplatk Finanní zodpovdnost Krytí pojištním Další aktiva Pojištní nebo krytí zárukou pro koncové entity/uživatele Dvrnost obchodních informací Stupnice (klasifikace) dvrnosti informací Informace mimo rámec stupnice dvrnosti informací Odpovdnost za ochranu dvrných informací Dvrnost osobních informací Plán dvrnosti Osobní údaje Informace, které nejsou osobními údaji Odpovdnost za ochranu osobních údaj Oznámení a souhlas s používáním osobních údaj...60 Utajení: Veejný dokument Strana: 7/64

8 9.4.6 Zpístupování osobních údaj Jiné náležitosti zpístupování osobních údaj Práva duševního vlastnictví Zastupování a záruky Zastupování a záruky CA Zastupování a záruky RA Zastupování a záruky podepisující osoby Zastupování a záruky spoléhajících se stran Zastupování a záruky ostatních úastník Zeknutí se záruk Hranice (meze) odpovdnosti Náhrada škody Doba platnosti, ukonení platnosti Doba platnosti Ukonení Dsledky ukonení a petrvání závazk Komunikace mezi úastníky Zmny Postup pi zmnách Postup pi oznámování zmn Okolnosti, pi kterých musí být zmnn OID Opatení pro ešení spor Relevantní právní úprava Shoda s právními pedpisy Další ustanovení Celková dohoda Postoupení práv Oddlitelnost Platby obhájcm a zeknutí se práv Vyšší moc Další opatení Závrená ustanovení...64 Utajení: Veejný dokument Strana: 8/64

9 Úvod #$ Tato Certifikaní politika pro kvalifikované systémové certifikáty obsahuje zásady a postupy související se zajištním innosti akreditovaného poskytovatele certifikaních služeb podle zákona. 227/2000 Sb. a pedpis souvisejících. Tato Certifikaní politika stanovuje zásady, které poskytovatel certifikaních služeb uplatuje pi zajišování kvalifikovaných certifikaních služeb: vydání kvalifikovaného systémového certifikátu, vydání následného kvalifikovaného systémového certifikátu. Pojem kvalifikovaný systémový certifikát je popsán v zákon 227/2000 Sb. a využívá se k ovení elektronické znaky fyzické osoby, právnické osoby nebo organizaní složky státu. Tato Certifikaní politika je urena žadatelm o poskytnutí výše vyjmenované služby, všem spoléhajícím se stranám a jiným úastníkm PKI. Tato Certifikaní politika nevyžaduje na stran oznaující osoby používání prostedku pro bezpené vytváení elektronických znaek. Struktura tohoto dokumentu vychází z dokumentu RFC Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework. Systém ACAeID je budován a provozován ve shod s právním prostedím eské republiky. %&' Postupy, pravidla, technologie a ostatní skutenosti popsané v této CP dokladují dvryhodnost a integritu ešení ACAeID pi poskytování certifikaních služeb a to po celou dobu životního cyklu certifikát i jiných produkt, poskytovaných provozovatelem. Informace o dalších provozovaných službách jsou popsány v jejich projektové dokumentaci, jejich Certifikaních politikách a na internetových stránkách provozovatele. Zajištní bezpeného provozovaní všech kvalifikovaných certifikaních služeb je popsáno v Certifikaní provádcí smrnici QS. Ve veejné ásti webového prostoru provozovatele jsou umístny informace, které umožní zájemci i žadateli kvalifikovan se rozhodnout o poskytovaných službách, svých povinnostech a právech. K dispozici mu je také tato Certifikaní politika a další dokumenty. () * eský normalizaní institut pidlil spolenosti eidentity a.s. OID ve tvaru Utajení: Veejný dokument Strana: 9/64

10 Úvod Podtída je intern urena pro dokumentaci ACAeID, její další lenní je ureno íslem dokumentu a jeho verzí, tedy nap znaí dokument D10.2 ve verzi 1.1. Tato Certifikaní politika - QSC má tyto identifikaní znaky: Identifikaní znak Význam identifikaního znaku Hodnota Název dokumentu Název dokumentu v itelné podob Certifikaní politika ACAeID - QSC OID Identifikace dokumentu v rámci prostoru OID eidentity a.s ,--% Certifikaní autority ACAeID eidentity a.s. tvoí koenová autorita (RCA) a autorita vydávající kvalifikované certifikáty pro podepisující a oznaující osoby (QCA). Koenová autorita RCA vydává certifikáty pouze podízeným certifikaním autoritám a vydala tedy i kvalifikovaný systémový certifikát pro vydávající certifikaní autoritu QCA. Tato vydávající autorita QCA nevydává certifikáty pro žádné podízené certifikaní autority, ale jen jednotlivým žadatelm. Spolenost eidentity a.s. provozuje i další certifikaní autority, které se ídí svými Certifikaními politikami a provozními pedpisy Registraní autority Jako Registraní autority pracují dvryhodní Operátoi registraního místa, kteí provádjí proces ovení skuteností nutných pro vydání certifikátu, pípadn pijímají žádost o zneplatnní certifikátu. S každým Operátorem registraního místa je uzavena Smlouva o innosti, operátoi jsou pravideln školeni a kontrolováni. Operátorem se mže stát pouze osoba, která dosáhla uritých kvalit a splnila kvalifikaní pedpoklady Držitelé kvalifikovaných certifikát oznaující osoby Oznaující osobou se stává každá fyzická osoba, právnická osoba nebo organizaní složka státu, která je využívá prostedku pro vytváení elektronických znaek a oznauje datovou zprávu elektronickou znakou založenou na kvalifikovaném systémovém certifikátu, vydaného QCA podle zákona 227/2000 Sb. Utajení: Veejný dokument Strana: 10/64

11 Úvod Spoléhající se strany Spoléhající se stranou je každý jedinec nebo skupina, která využívá kvalifikovaných systémových certifikát vydaných QCA a/nebo elektronických znaek s nimi souvisejících Jiní úastníci Další úastníci jsou orgány dozoru podle zákona 227/2000 Sb. a orgány inné v trestním ízení, pípadn další orgány, kterým to ze zákona písluší. / %0 Kvalifikované systémové certifikáty vydané podle této Certifikaní politiky se mohou použít jen k úelm, které stanovuje zákon 227/2000 Sb Pípustné použití certifikátu Typickými aplikacemi, které je možné použít v souvislosti s kvalifikovanými systémovými certifikáty, vydávanými podle této politiky, jsou aplikace umožující vytváet a ovovat elektronické znaky jako napíklad systémy elektronické pošty, podepisovací a ovovací aplikace pro elektronické znakování (tj. vytváení elektronických znaek podle zákona 227/2000Sb.) dokument a jiných typ soubor obecn, pokud jsou v souladu s požadavky zákona 227/2000 Sb Nepípustné použití certifikátu Kvalifikované systémové certifikáty se nesmí používat v rozporu s úelem, ke kterému byly vydány a to jak z technického hlediska (nap. podle omezení KeyUsage) tak i z právního hlediska (nap. v rozporu se zákonem 227/2000 Sb.). Takovým nepípustným použitím kvalifikovaného systémového certifikátu mže být napíklad jeho použití pro šifrování i identifikaci úastníka šifrované komunikace v prostedí protokolu SSL/TLS. 1 Za údržbu tohoto dokumentu odpovídá pedseda Výboru pro politiky Organizace spravující dokument eidentity a.s. Vinohradská Praha 3 Utajení: Veejný dokument Strana: 11/64

12 Úvod eská republika Kontaktní osoba Pedseda Výboru pro politiky eidentity a.s. Vinohradská Praha 3 eská republika Tel: Fax: PAA-manager@acaeid.cz Subjekt odpovdný za rozhodování o souladu dokumentace Soulad Certifikaní politiky s jí odpovídající Certifikaní provádcí smrnicí schvaluje Výbor pro politiky na základ schze Výboru a v souladu s jednacím ádem tohoto orgánu Postupy schvalování Postupy jsou ureny jednacím ádem Výboru pro politiky. 2 %&'03'-* 4) Zákon ACAeID, ACA RCA QCA RM ORM CP CPS QC QSC RQSC CRL poskytovatel, PCS EVI soukromý klí veejný klí revokace DN Zákon 227/2000 Sb. o elektronickém podpisu Informaní systém eidentity a.s., poskytující kvalifikované certifikaní služby Koenová certifikaní autorita, jako souást ACAeID Vydávající certifikaní autorita, jako souást ACAeID Registraní místo Operátor registraního místa Certifikaní politika Certifikaní provádcí smrnice Kvalifikovaný certifikát Kvalifikovaný systémový certifikát Koenový kvalifikovaný systémový certifikát Seznam zneplatnných certifikát Poskytovatel certifikaních služeb Evidenní ást informaního systému PCS Data pro vytváení elektronických podpis nebo znaek Data pro ovování elektronických podpis nebo znaek zneplatnní certifikátu Distinguished Name Jednoznaná identifikace držitele certifikátu Utajení: Veejný dokument Strana: 12/64

13 Odpovdnost za publikování a úložišt % $5( 67%8!9. $:(;# 9 <=65 QCA zveejuje seznam vydaných kvalifikovaných certifikát a seznam zneplatnných certifikát vetn kvalifikovaných systémových certifikát. Každý žadatel o poskytnutí služby i oznaující osoba má navíc pístup do svého místa u provozovatele, kde má k dispozici seznam všech svých poskytnutých i práv poskytovaných služeb a mže jejich stav sledovat a mnit v rozsahu své autorizace v systému. #0>? V informaním systému ACAeID jsou zpracovávány a uchovávány informace v souladu se zákonem 227/2000 Sb. a zákonem 101/2000 Sb. tak, aby záznamy nebo jejich zmny mohly provádt pouze povené osoby, aby bylo možno kontrolovat správnost záznam a aby jakékoliv technické nebo programové zmny, porušující tyto bezpenostní požadavky, byly zjevné. Zveejované informace jsou ureny zejména spoléhajícím se tetím stranám, aby bylo možné rozhodnout o platnosti kvalifikovaného systémového certifikátu s požadovaným stupnm dvry. 7 &-@ * K veejným informacím je možné pistupovat pomocí webových služeb. Vydané kvalifikované systémové certifikáty jsou zveejnny v Seznamu vydaných kvalifikovaných certifikát, který je dostupný na adresách Veejn dostupné jsou tyto položky certifikátu: Sériové íslo certifikátu Platnost od do U certifikát, k jejichž zveejnní dal držitel souhlas, jsou veejn dostupné ješt tyto položky: Držitel (Subject) Vlastní certifikát ve formátu DER, PEM a TXT Kvalifikované systémové certifikáty, které byly zneplatnny, jsou zveejnny v Seznamu zneplatnných kvalifikovaných certifikát. Aktuální seznam (poslední platný) bude dostupný (vždy nejmén na jednom míst) v elektronické form ve formátu CRL na adresách: Utajení: Veejný dokument Strana: 13/64

14 Odpovdnost za publikování a úložišt Souástí zveejnných informací bude i informace o poadí a dob zveejnní aktuálního CRL a historie zveejnných CRL. Informace o dob zveejnní aktuálního CRL bude poskytnuta v souboru a bude ve tvaru YYYYMMDDHHMMSS. V osobním útu Žadatele mže žádající osoba získat další podrobnjší informace o stavu své žádosti i o odebíraných službách. Tyto informace jsou však neveejné a jsou dostupné jen píslušné osob Žadatele. Souástí veejn dostupných informací je také dokument Certifikaní politika - QSC, který je zveejnn ve formátu PDF na adresách: Na této adrese je dostupná platná verze Certifikaní politiky. Historie verzí je pístupná na webových stránkách provozovatele spolu s vyznaením období platnosti. Zveejnn na webových stránkách poskytovatele je také kvalifikovaný systémový certifikát koenové (RCA) a vydávající (QCA) certifikaní autority. Pro ovení správnosti tchto certifikát jsou tyto také zveejnny na stránkách Ministerstva informatiky R a ve Vstníku tohoto ministerstva. Dále jsou na webových stránkách poskytovatele zveejnny i procesní, obchodní a další pomocné informace, které se vztahují k poskytovaným službám. + %) &-@ Certifikaní politika je schválena díve, než je podle ní možné vydat první certifikát. Periodicita zveejování dalších informací není urena a závisí na nutnosti udržovat informace v aktuálním stavu. Periodicita zveejování CRL je popsána v kapitole / A)&BC0> Publikování CP schvaluje a odpovdnou osobu uruje Výbor pro politiky v souladu s jednacím ádem tohoto Výboru. Zveejnní a aktualizaci Seznamu vydaných kvalifikovaných certifikát a Seznamu Utajení: Veejný dokument Strana: 14/64

15 Odpovdnost za publikování a úložišt zneplatnných kvalifikovaných certifikát provádí obsluha ACAeID s frekvencí, která je v souladu s tímto dokumentem. Utajení: Veejný dokument Strana: 15/64

16 Identifikace a autentizace + D(6E.D86D( 67D + %-* Typy jmen Kvalifikované systémové certifikáty vydávající QCA eidentity a.s. obsahují v polích Subject a Issuer jména ve formátu podle doporuení X Vydávající certifikaní autorita QCA Položka Subject vydávající certifikaní autority se sestává z komponent uvedených v následující tabulce. Atribut Pravidlo vyplnní Country (C) pevný text CZ Hodnota Organization (O) pevný text eidentity a.s. Organizational Unit (OU) pevný text Akreditovaný poskytovatel certifikaních služeb Locality (L) pevný text Vinohradská 184, Praha 3 Common Name (CN) pevný text ACAeID Qualified Issuer Certificate (kvalifikovaný systémový certifikát vydávající CA) Položka Issuer vydávající certifikaní autority se sestává z komponent uvedených v následující tabulce: Atribut Pravidlo vyplnní Country (C) pevný text CZ Hodnota Organization (O) pevný text eidentity a.s. Organizational Unit (OU) pevný text Akreditovaný poskytovatel certifikaních služeb Locality (L) pevný text Vinohradská 184, Praha 3 Common Name (CN) pevný text ACAeID Qualified Root Certificate (kvalifikovaný systémový certifikát koenové CA) Utajení: Veejný dokument Strana: 16/64

17 Identifikace a autentizace Vydávané certifikáty Kvalifikované systémové certifikáty žadatel obsahují DN (Distinguished Name) v poli Subject, které se skládá z komponent v následující tabulce. Atribut Význam ím se dokládá Country (C) Kód státu, kde má žadatel trvalý pobyt nebo kde má sídlo Organization (O) Název organizace žadatele Organizational Unit (OU) Organizaní jednotka Identifikaní prkaz, cestovní pas, výpis z obchodního rejstíku, zizovací listina apod. Výpis z obchodního rejstíku, živnostenský list, zizovací listina, prohlášení osoby s oprávnním za organizaci jednat. Název organizace mže být doplnn o identifikaní íslo, které bude uvedeno za mezerou v hranatých závorkách, uvozené I a mezerou Nap. prohlášením osoby s oprávnním za organizaci jednat Omezení podle ISO 3166 Pro osoby stojící mimo organizaci vyplní tuto položku poskytovatel. Mže být vyznaena jen jedna organizace. Certifikát uživatele mže obsahovat jeden nebo více tchto atribut. Nepovinné. Hodnota píklad CZ eidentity a.s. [I ] Elektronická podatelna Utajení: Veejný dokument Strana: 17/64

18 Identifikace a autentizace Atribut Význam ím se dokládá Locality (L) Name (Name) Given Name Surname Common Name (CN) Adresa sídla organizace pro žadatele - právnickou osobu Adresa bydlišt pro žadatele - fyzickou osobu Celé jméno žadatele vetn pípadných titul Jméno oznaující osoby Píjmení oznaující osoby Obsahem pole je celé jméno oznaující osoby. Výpis z obchodního rejstíku, živnostenský list, zizovací listina, prohlášení osoby s oprávnním za organizaci jednat, identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Identifikaní prkaz, cestovní pas, další uznaný osobní doklad. Osobní doklad, prohlášení odpovdné osoby za organizaci. Omezení Hodnota píklad Povinné. Vinohradská 22, Praha 3 Nepovinné Nepovinné Obsahuje jméno (jména) žadatele Nepovinné Píjmení žadatele Penáší se Name nebo Given Name (pokud je vyplnno) a po pidané mezee Surname JUDr. Jan Tadeáš Novák Jan Tadeáš Novák Utajení: Veejný dokument Strana: 18/64

19 Identifikace a autentizace Atribut Význam ím se dokládá Address (E) Title (Title) Kontaktní ová adresa. Titul i pracovní role nebo oznaení prostedku pro vytváení elektronických znaek prohlášením majitele domény i držitele ové adresy v pípad veejných domén Prohlášením osoby s oprávnním jednat za organizaci i dokladem nebo prohlášením žadatele Omezení Nepovinné Nepovinné. Hodnota píklad jan.novak@eidentity.cz Utajení: Veejný dokument Strana: 19/64

20 Identifikace a autentizace Atribut Význam ím se dokládá SerialNumber Pro fyzickou osobu obsahuje údaj spravovaný ústedním orgánem státní správy, na základ kterého je možné osobu jednoznan identifikovat uvozený zkratkou správce a pomlkou nebo hodnotu, pidlenou poskytovatelem certifikaních služeb - v tomto pípad je uvozena etzcem QCAnebo údaj pidlený žadateli od MPSV, uvozený etzcem MPSV-. Pro právnickou osobu nebo organizaní složku státu obsahuje I organizace nebo hodnotu, pidlenou poskytovatelem certifikaních služeb - v tomto pípad je uvozena etzcem QCA- Rozhodnutím o pidlení ústedním orgánem státní správy Výpisem z obchodního rejstíku, živnostenským listem, zizovací listinou, prohlášením osoby s oprávnním za organizaci jednat. Omezení Hodnota píklad Utajení: Veejný dokument Strana: 20/64

21 Identifikace a autentizace Požadavek na sémantický význam jmen Všechna pojmenování uvedená v DN certifikátu musí být smysluplná a doložitelná Anonymita a používání pseudonymu QCA nevydává anonymní certifikáty. Kvalifikovaný systémový certifikát nelze ani vystavit na pseudonym Pravidla pro interpretaci rzných forem pojmenování Tam, kde to RFC3280 dovoluje, lze použít národní znakové sady v kódování UTF Jednoznanost jmen QCA eidentity zaruuje automatickou kontrolou unikátnost vazby DN v poli Subject certifikátu na jednoho konkrétního uživatele i prostedek na vytváení elektronických znaek. Uživatel však mže mít více certifikát se stejným i jiným DN v poli Subject Rozpoznávání, autentizace a význam obchodních znaek Všechny údaje uvedené v kvalifikovaném systémovém certifikátu uživatele se musí prokazateln vztahovat k jeho osob. QCA eidentity tuto skutenost ovuje. To vyluuje možnost zneužití obchodní znaky tetí osoby. + %?& Metody dkazu vlastnictví (POP - proof of possession) soukromého klíe Žadatel o kvalifikovaný certifikát musí prokázat vlastnictví soukromého klíe odpovídajícímu veejnému klíi, který má být uveden v kvalifikovaném systémové certifikátu. Za prokazatelnou se považuje žádost ve formátu PKCS#10, nebo ekvivalentní metoda (nap. SPKAC). Principem je pedání veejného klíe spolu s pípadnými dalšími daty certifikaní autorit tak, aby tento balík nebo jeho otisk byl podepsán odpovídajícím soukromým klíem. Vtšinou se taková zpráva vytváí prostedky prostedí, ve kterém se klíe a kvalifikovaný systémový certifikát budou používat Prokázání identity právnické osoby Identitu prokazuje právnická osoba pedložením originálu nebo notásky ovené kopie výpisu z obchodního rejstíku, živnostenského listu i jiné listiny, na základ které byla organizace zízena. Z dokladu musí být patrno úplné obchodní jméno organizace, pidlené identifikaní íslo, sídlo a statutární orgán. Pro úely jednání s eidentity a.s. mže statutární orgán Utajení: Veejný dokument Strana: 21/64