Swisscom Digital Certificate Services Certificate Policy (CP)

Transkript

1 Swisscom Digital Certificate Services Certificate Policy (CP) - Zertifikatsklasse: Diamant (qualifiziert) Abstract Name Certification Policy für qualifizierte Zertifikate der Swisscom Digital Certificate Services, einer Dienstleistung der Swisscom (Schweiz) AG zur Ausgabe von digitalen Zertifikaten für die Erstellung von elektronischen Signaturen gemäss schweizerischem Signaturgesetz (ZertES) 001_cp_diamant_sdcs_ _v2.0_de.doc Classification Project Name Nicht klassifiziert Hermes OID (Swisscom Diamant CA 1) (Swisscom Diamant CA 2) Zugehöriges CPS CPS OID: (Swisscom Root CA 2) Root CA 1 (OID: : ) Root CA 2 (OID: : ) Name der CA Swisscom Diamant CA 1 Swisscom Diamant CA 2 Owner der CA Language Version: Swisscom (Schweiz) AG Deutsch (Rechtlich verbindliche Originalversion) CP Compliance start 01. Januar 2011 Document approval Swisscom (Schweiz) AG, Governance Board Signature

2 Änderungskontrolle Version Datum Ausführende Stelle Bemerkungen/Art der Änderung Aug Projektteam Konsolidierung Input KPMG Nov Projektteam Rechtliche Ergänzungen gemäss KPMG Audit Nov Projektteam Rechtliche Ergänzungen gemäss Input Insurance Management Nov Projektteam Korrekturen gemäss KPMG feed-back, QS und einen externen Proofreader Dez Projektteam Rechtliche Ergänzungen gemäss KPMG Audit Juli 2006 Projektteam Abgrenzungen der RA, HSM hinzugefügt Feb 2008 Daniel Keller Einfügen neues Logo, div. Erneuerungen Juni.2010 Markus Limacher Remove OID Typo Juni 2010 Governance Board Freigabe Nov 2010 Markus Limacher Remove CPS Referenz Kapitel Typo April 2011 Governance Board Freigabe Nov Projektteam Ergänzungen SHA-256, Unterscheidung beinhaltend CA 1 (ersetzend) und CA 2 (neu) Nov Governance Board Freigabe 2/42

3 Referenzierte Dokumente: Referenz Bezeichnung [1] ZertES: Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur (Bundesgesetz über die elektronische Signatur, ZertES) vom 19. Dezember 2003, nachfolgend auch Signaturgesetz genannt. [2] VZertES: Verordnung über Zertifizierungsdienste im Bereich der elektronischen Signatur (Verordnung über die elektronische Signatur, VZertES) vom 3. Dezember 2004 [3] TAV: Technische und administrative Vorschriften über Zertifizierungsdienste im Bereich der elektronischen Signatur, Ausgabe 2: , SR [4] IETF RFC 3647 (2003): "Internet X.509 Public Key Infrastructure - Certificate Policy and Certification Practices Framework" [5] ETSI TS V1.4.1 ( ): Electronic Signatures and Infrastructures (ESI); Policy requirements for certification authorities issuing qualified certificates [6] IETF RFC 5280 (May 2008) Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile (Obsoletes: RFC 3280, RFC 4325, RFC 4630) [7] IETF RFC 2560 (1999) X.509 Internet Public Key Infrastructure Online Certificate Status Protocol OCSP [8] CPS, OID [9] Botschaft Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur (ZertES) vom 3. Juli 2001 [10] SR Verordnung des EFD über elektronisch übermittelte Daten und Informationen (ElDI-V) vom 30. Januar 2002 (Stand am 1. November 2007) 3/42

4 Inhaltsverzeichnis 1 EINLEITUNG ÜBERBLICK IDENTIFIKATION DES DOKUMENTS BETEILIGTE DER SWISSCOM DIGITAL CERTIFICATE SERVICES Certification Authorities Registrierungsstellen Registration Authorities (RA) Zertifikatinhaber (Subscriber) Zertifikatprüfer (Relying Parties) Weitere Teilnehmer ANWENDBARKEIT DER ZERTIFIKATE (CERTIFICATE USAGE) Geeignete Zertifikatnutzung Untersagte Zertifikatnutzung VERWALTUNG DER RICHTLINIEN SCHLÜSSELWÖRTER UND BEGRIFFE VERÖFFENTLICHUNGEN UND VERANTWORTUNG FÜR DEN VERZEICHNISDIENST VERZEICHNISDIENST VERÖFFENTLICHUNG VON INFORMATIONEN AKTUALISIERUNG DER INFORMATIONEN ZUGANG ZU DEN INFORMATIONSDIENSTEN IDENTIFIZIERUNG UND AUTHENTIFIZIERUNG NAMEN Namensform Aussagekraft von Namen Pseudonymität / Anonymität Regeln zur Interpretation verschiedener Namensformen Eindeutigkeit von Namen Erkennung, Authentifizierung und Funktion von Warenzeichen IDENTITÄTSÜBERPRÜFUNG BEI NEUANTRAG Verfahren zur Überprüfung des Besitzes des privaten Schlüssels Authentifizierung einer juristischen Person Authentifizierung einer natürlichen Person Nicht überprüfte Informationen Unterschriftenvollmacht Cross-Zertifizierung IDENTIFIZIERUNG UND AUTHENTIFIZIERUNG BEI EINER ZERTIFIKATERNEUERUNG Bei Routinemässige Zertifikaterneuerung (re-key) Bei Zertifikaterneuerung (re-key) nach einer Ungültigerklärung IDENTIFIZIERUNG UND AUTHENTIFIZIERUNG BEI EINER UNGÜLTIGERKLÄRUNG BETRIEBSANFORDERUNGEN FÜR DEN ZERTIFIKATS LEBENSZYKLUS ZERTIFIKATANTRAG Annahme eines Zertifikatantrages Registrierungsprozess BEARBEITUNG VON ZERTIFIKATANTRÄGEN Durchführung der Identifikation und Authentifizierung Annahme oder Abweisung von Zertifikatanträgen Bearbeitungsdauer /42

5 4.3 ZERTIFIKATAUSSTELLUNG Weitere Prüfungen der Zertifizierungsstelle Benachrichtigung des Antragstellers ZERTIFIKATAKZEPTANZ Annahme des Zertifikats Veröffentlichung des Zertifikats Benachrichtigung weiterer Instanzen VERWENDUNG DES SCHLÜSSELPAARES UND DES ZERTIFIKATS Nutzung des privaten Schlüssels und des Zertifikats durch den Zertifikatinhaber Nutzung von öffentlichen Schlüsseln und Zertifikaten durch Zertifikatprüfer ZERTIFIKATERNEUERUNG UNTER VERWENDUNG DES ALTEN SCHLÜSSEL (CERTIFICATE RENEWAL) Gründe für eine Zertifikaterneuerung (Certificate renewal) Beantragung einer Zertifikaterneuerung (Certificate renewal) Ablauf der Zertifikaterneuerung (Certificate renewal) Benachrichtigung des Zertifikatinhabers Annahme einer Zertifikaterneuerung Veröffentlichung einer Zertifikaterneuerung Benachrichtigung weiterer Instanzen über eine Zertifikaterneuerung ZERTIFIKATERNEUERUNG UNTER VERWENDUNG EINES NEUEN SCHLÜSSELS (RE-KEY) Gründe für Re-Key Beantragung Re-Key Ablauf Re-Key Benachrichtigung des Zertifikatinhabers bei Re-Key Annahme eines Re-Key Veröffentlichung bei Re-Key Benachrichtigung weiterer Instanzen bei Re-Key ZERTIFIKATMODIFIZIERUNG Gründe für eine Zertifikatsmodifizierung Beantragung einer Zertifikatsmodifizierung Ablauf einer Zertifikatsmodifizierung Benachrichtigung des Zertifikatinhabers bei Zertifikatsmodifizierung Annahme einer Zertifikatsmodifizierung Veröffentlichung einer Zertifikatsmodifizierung Benachrichtigung weiterer Instanzen bei einer Zertifikatsmodifizierung UNGÜLTIGERKLÄRUNG UND SUSPENDIERUNG VON ZERTIFIKATEN Gründe für eine Ungültigerklärung Wer kann die Ungültigerklärung vornehmen Ablauf einer Ungültigerklärung eines Zertifikats Fristen für den Zertifikatinhaber Fristen für die Zertifizierungsstelle Anforderungen zur Kontrolle der CRL durch den Zertifikatprüfer Aktualisierung der CRL s Maximale Latenzzeit für CRL s Verfügbarkeit von Online- Ungültigkeits/Status-Überprüfungsverfahren Anforderungen an Online-Ungültigkeits/Status-Überprüfungsverfahren Andere verfügbare Formen der Ungültigkeitsbekanntmachung Kompromittierung von privaten Schlüsseln Gründe für eine Suspendierung Beantragung einer Suspendierung Ablauf einer Suspendierung Begrenzung der Suspendierungsperiode /42

6 4.10 DIENST ZUR STATUSABFRAGE VON ZERTIFIKATEN Verfahrensmerkmale Verfügbarkeit des Dienstes Optionale Merkmale BEENDIGUNG DES VERTRAGSVERHÄLTNISSES DURCH DEN ZERTIFIKATINHABER SCHLÜSSELHINTERLEGUNG UND -WIEDERHERSTELLUNG INFRASTRUKTURELLE, ORGANISATORISCHE UND PERSONELLE SICHERHEITSMASSNAHMEN TECHNISCHE SICHERHEITSMASSNAHMEN PROFILE FÜR ZERTIFIKATE, LISTE DER FÜR UNGÜLTIG ERKLÄRTEN ZERTIFIKATE UND ONLINE- STATUSABFRAGEN ZERTIFIKATPROFIL Zertifikaterweiterungen CRL PROFILE CRL Version CRL Erweiterungen OCSP PROFILE KONFORMITÄTSPRÜFUNG (COMPLIANCE) UND ANDERE ASSESSMENTS INTERVALL UND UMSTÄNDE DER ÜBERPRÜFUNG IDENTITÄT UND QUALIFIKATION DER ÜBERPRÜFERIN VERHÄLTNIS VON ÜBERPRÜFERIN ZU ÜBERPRÜFTER ÜBERPRÜFTE BEREICHE MÄNGELBESEITIGUNG VERÖFFENTLICHUNG DER ERGEBNISSE RAHMENVORSCHRIFTEN GEBÜHREN FINANZIELLE VERANTWORTUNG Versicherungsschutz Versicherungsschutz für Zertifikatinhaber und RA s VERTRAULICHKEIT VON GESCHÄFTSINFORMATIONEN Vertraulich zu behandelnde Daten Nicht vertraulich zu behandelnde Daten Verantwortung zum Schutz vertraulicher Informationen SCHUTZ VON PERSONENDATEN (DATENSCHUTZ) Nicht vertraulich zu behandelnde Daten Verantwortlicher Umgang mit Daten Nutzung von Personendaten Offenlegung bei gerichtlicher Anordnung oder im Rahmen einer gerichtlichen Beweisführung Andere Umstände einer Weitergabe an Dritte IMMATERIALGÜTERRECHTE ZUSICHERUNG UND GEWÄHRLEISTUNG Verpflichtung der CSP Verpflichtung der RA-Vertragspartner und Registrierungsstellen Verpflichtung des Zertifikatinhabers Verpflichtung des Zertifikatprüfers Verpflichtung anderer Teilnehmer /42

7 9.7 AUSSCHLUSS DER GEWÄHRLEISTUNG HAFTUNG VON SWISSCOM (SCHWEIZ) AG HAFTUNG DES ZERTIFIKATINHABERS INKRAFTTRETEN UND AUFHEBUNG Inkrafttreten Aufhebung Konsequenzen der Aufhebung INDIVIDUELLE BENACHRICHTIGUNGEN UND KOMMUNIKATION MIT TEILNEHMERN ÄNDERUNGEN DER RICHTLINIEN KONFLIKTBEILEGUNG GELTENDES RECHT UND GERICHTSSTAND KONFORMITÄT MIT DEM GELTENDEN RECHT WEITERE BESTIMMUNGEN Geltungsbereich Sprache Gültigkeit Änderungen der CP Übertragung der Rechte und Pflichten /42

8 1 Einleitung Dieses Dokument beschreibt die Certification Policy (Zertifizierungspolitik, nachfolgend CP) von, einer Dienstleistung der Swisscom (Schweiz) AG [nachfolgend Swisscom (Schweiz) AG] zur Ausgabe von qualifizierten Zertifikaten nach schweizerischem Signaturgesetz ZertES [1] und den referenzierten technischen und administrativen Ausführungsbestimmungen TAV[3] und VZertES [2]. Die CP erlaubt Benutzern und Dritten, welche dem Zertifikat vertrauen (Relying Parties), die Vertrauenswürdigkeit der durch Swisscom (Schweiz) AG als Anbieterin von Zertifizierungsdiensten (nachfolgend Certificate Service Provider, CSP) und ihren RA-Vertragspartnern ausgestellte Zertifikate abzuschätzen. Ein Diamant Zertifikat ist eine elektronische Bescheinigung, mit der ein öffentlicher kryptografischer Schlüssel einer Person zugeordnet und mit der die Identität der Person oder Organisation bestätigt wird. Ein Zertifikat stellt also eine Verbindung zwischen einer Person oder Organisation und einem kryptografischen Schlüssel her. Die Bezeichnung qualifiziert in Bezug auf elektronische Signaturen und Zertifikate bedeutet, dass ein Dienstanbieter die Vorgaben des Signaturgesetzes (ZertES [1]), der Verordnung (VZertES [2]) und die technischen und administrativen Vorschriften über Zertifizierungsdienste im Bereich der elektronischen Signatur (TAV [3]) erfüllt Die Einhaltung dieser Vorgaben wird durch eine von der Schweizerischen Akkreditierungsstelle (SAS) akkreditierte Anerkennungsstelle geprüft. Danach ist die anerkannte Anbieterin von Zertifizierungsdiensten (nachfolgend CSP) berechtigt, Secure Signature Creation Devices (SSCD) und Zertifikate für die Erstellung und Überprüfung von qualifizierten Signaturen anzubieten. Mit dem am in Kraft getretenen schweizerischen Signaturgesetz wurde Art. 14 Abs. 2 bis OR eingeführt, der die qualifizierte elektronische Signatur der eigenhändigen Unterschrift gleichstellt, womit es möglich wird, Willenserklärungen (insbesondere für den Abschluss von Verträgen) auch in Bereichen, in welchen die Schriftform vorgeschrieben ist, mit qualifizierter elektronischer Signatur rechtlich verbindlich abzugeben. Daneben kann die qualifizierte Signatur auch für den Herkunftsnachweis (Authentizität) und zum Schutz vor Veränderungen (Integrität) eingesetzt werden. OR Art. 14 Abs. 2bis lautet wie folgt: Der eigenhändigen Unterschrift gleichgestellt ist die qualifizierte elektronische Signatur, die auf einem qualifizierten Zertifikat einer anerkannten Anbieterin von Zertifizierungsdiensten im Sinne des Bundesgesetzes vom 19. Dezember über die elektronische Signatur beruht. Abweichende gesetzliche oder vertragliche Regelungen bleiben vorbehalten. Jedes Zertifikat ist nur so vertrauenswürdig wie die Verfahren, nach denen es ausgestellt wird. Swisscom (Schweiz) AG teilt dazu Zertifikate in Zertifikatklassen ein. Je höher die Zertifikatklasse, desto umfangreichere Identifikationsprüfungen liegen der Ausstellung eines Zertifikates zugrunde. Die Zertifikate selbst enthalten als Information die Angabe über die Klasse des Zertifikats. Für die höchste Zertifikatklasse, das qualifizierte Zertifikat, muss sich eine Person zu einer 1 SR ; AS /42

9 Registrierungsstelle begeben und alle im Zertifikat vermerkten Daten mit amtlichen Ausweisen oder Bescheinigungen belegen. Die detaillierten Prozesse der Prüfungen, welche hinter einer Zertifikatklasse stehen sowie die allgemeinen Sicherheitsvorkehrungen können dem Swisscom Digital Certificate Services Certificate Practice Statement (nachfolgend CPS) entnommen werden. Diese CP bezieht sich auf die Zertifikatklasse Diamant und entspricht den Anforderungen der eidgenössischen Steuerverwaltung für den elektronischen Geschäftsverkehr (ElDI-V [10]). Diese CP bezieht sich auf die höchste Zertifikatklasse, das qualifizierte digitale Zertifikat und entspricht den Anforderungen des schweizerischen Signaturgesetzes. Für alle Zertifikate, die dieser CP entsprechen, ist der Objekt Identifikator gemäss X.509 [OID] dieser CP im Zertifikat vermerkt. Somit wird die CP an das Zertifikat einer bestimmten Klasse gebunden. Die vorliegende CP bezieht sich auf zwei unterschiedliche CA Generationen. Die mit der Endung CA 1 bezeichnete erste Generation verwendet durchwegs SHA-1 als Hash-Algorithmus, während die mit CA 2 identifizierte CA Hierarchie für alle Zertifikate SHA-256 als Hash-Algorithmus einsetzt. Die Nummerierung wird innerhalb einer CA Hierarchie konstant gehalten, d.h. alle CA 1 Issuing CAs sind unterhalb der CA 1 Root ausgestellt, während alle Issuing CA 2 von der Root CA 2 signiert sind. Falls nicht näher bezeichnet, beziehen sich die Angaben in diesem Dokument immer auf beide CA Generationen. 1.1 Überblick Diese qualifizierte CP wurde von Swisscom (Schweiz) AG zu folgendem Zweck erstellt: Erfüllung der Anforderungen an einen Certificate Service Provider (nachfolgend CSP) von qualifizierten Zertifikaten gemäss ZertES [1] Beschreibung der Dienstleistungen, Rollen, Einschränkungen und Verpflichtungen bei der Verwendung von qualifizierten Zertifikaten der Sicherstellung der Interoperabilität bei der Benutzung qualifizierter Zertifikate der. Die CP orientiert sich an den Vorgaben des RFC 3647 [4]. Das Framework CP und CPS wurde nach den Vorgaben für einen Dienstanbieter zur Aufgabe von qualifizierten Zertifikaten nach folgenden Standards aufgesetzt: SR [3] ETSI TS [5] ElDI-V [10] Um die internationale Zusammenarbeit mit anderen Zertifizierungsstellen zu ermöglichen, wird ferner eine englische Übersetzung der CP veröffentlicht; massgeblich ist in jedem Fall die deutsche Version in der jeweils aktuellen Fassung. 1.2 Identifikation des Dokuments 9/42

10 Identifikation (Swisscom Diamant CA 1) Titel: Certification Policy (CP) der Version: 1.0 Object Identifier (OID): Zusammensetzung der OID: Bedeutung 1. Stelle 2. Stelle 3. Stelle 4. Stelle 5. Stelle 6. Stelle 7. Stelle 2 Joint ISO-CCITT Tree 16 Country 756 Switzerland 1 zur Bezeichnung der Namen von Organisationen (RDN) Stufe Qualifizierte (Diamant) 1 Certification Policy (CP) Identifikation Swisscom Diamant CA 2 Titel: Certification Policy (CP) der Version: 1.0 Object Identifier (OID): Zusammensetzung der OID: Bedeutung 1. Stelle 2. Stelle 3. Stelle 4. Stelle 5. Stelle 6. Stelle 7. Stelle 8. Stelle 2 Joint ISO-CCITT Tree 16 Country 756 Switzerland 1 zur Bezeichnung der Namen von Organisationen (RDN) Stufe Qualifizierte (Diamant CA 2) 2 Durch Bundesamt für Kommunikation (Bakom) zugeteilt 3 Durch Bundesamt für Kommunikation (Bakom) zugeteilt 10/42

11 2 Certificate Policy (CP) 1 Version Die vom BAKOM vergebenen OID der verschiedenen Kategorien, können auf der Internetseite des BAKOM als RDN-Nummer abgefragt werden ( 1.3 Beteiligte der Certification Authorities Als anerkannte Anbieterin von Zertifizierungsdiensten betreibt Swisscom (Schweiz) AG eine Off- Line Root Certification Authority (nachfolgend CA) sowie eine der Root CA untergeordnete CA für qualifizierte Zertifikate ( Diamant ). Die Swisscom Root CA ist an keinem Netzwerk angeschlossen und wird nur dann gestartet, wenn sie benötigt wird. Die Root-CA stellt ausschliesslich Zertifikate für unmittelbar nachgelagerte Zertifizierungsstellen der aus. Die Diamant stellt nur Zertifikate an natürliche Personen aus, die allerdings wiederum Vertreter einer juristischen Person oder Organisation sein können. Für den Betrieb der CA und die Funktionentrennung gelten die Vorgaben der TAV [3]. Diese CP bezieht sich nur auf die höchste Zertifikatklasse, das qualifizierte digitale Zertifikat ( Diamant ) und entspricht den Anforderungen des schweizerischen Signaturgesetzes. Die Infrastruktur ist folgendermassen aufgebaut [8] Registrierungsstellen Registration Authorities (RA) Das Geschäftsmodell von Swisscom (Schweiz) AG basiert auf einem Registration Authorities (nachfolgend RA) Vertragspartner-Modell. Dabei übernehmen Vertragspartner von Swisscom (Schweiz) AG die RA-Funktion. Das Geschäftsmodell von Swisscom (Schweiz) AG unterscheidet zwei Typen von RA: - Swisscom-RA: Zur Ausgabe von Zertifikaten für den Eigengebrauch und der nachgelagerten RA s (E-RA): - Enterprise-RA: (Enterprise Registration Authority, nachfolgend E-RA) ist ein RA-Partner, der in der Lage ist, SSCD und Zertifikate direkt zu erstellen und auszugeben. - TPS: (Trusted Point of Sale) ist ein RA-Partner, der als Registrierungsstelle Zertifikatsanträge entgegennimmt und die Angaben überprüft. Die SSCD für die Zertifikatsklassen Diamant werden von einer E-RA oder einer zentralen Verteilstelle personalisiert und verteilt. 11/42

12 Wird von einer RA gesprochen, umfasst dies die RA, welche durch Swisscom betrieben werden und die E-RA/TPS der Vertragspartner. Mit dem RA-Vertragspartner Modell soll sichergestellt werden, dass: Die angebotenen Zertifikate optimal in die entsprechenden Anwendungen des Partners eingebunden sind Der Benutzer auf möglichst einfache Weise zu seinem Zertifikat kommt Zertifikate von bei mehreren Dienstanbietern eingesetzt werden können Die RA-Vertragspartner werden vertraglich verpflichtet, alle Anforderungen gemäss TAV [2] Kapitel Registrierung, Verwaltung und Ungültigerklärung von Zertifikaten für Dritte einzuhalten. Bei einer RA, die Zertifikate der Stufe qualifiziert ausgibt, wird die Einhaltung der Vorgaben (TAV [3]) von der Anerkennungsstelle überprüft. Die Einhaltung der jeweiligen CP muss durch den RA Betreiber gegenüber dem CSP schriftlich zugesichert werden. Ebenso sind die Rollen und Zuständigkeiten der RA durch den CSP zu dokumentieren und zu kommunizieren Zertifikatinhaber (Subscriber) Ein qualifiziertes Zertifikat kann sowohl auf eine natürlich als auch eine juristische Person vertreten durch eine natürliche Person ausgestellt werden. In beiden Fällen ist das persönliche Erscheinen einer natürlichen Person bei der RA erforderlich, welche unter Vorlage von amtlichen Ausweisen als Zertifikatinhaber gegenüber der RA registriert wird und sich verpflichtet, diese Nutzungsbestimmungen einzuhalten oder dafür zu sorgen, dass diese eingehalten werden Zertifikatprüfer (Relying Parties) Unter Zertifikatprüfern sind natürliche Personen oder Organisationen zu verstehen, die unter Nutzung eines von ausgestellten Zertifikats die Identität eines Zertifikatinhabers überprüfen oder von diesem Informationen entgegennehmen oder diesem Informationen zukommen lassen. Ein Zertifikatprüfer kann muss aber nicht Teilnehmer der sein Weitere Teilnehmer Weitere Teilnehmer können natürliche oder juristische Personen sein, die in den Zertifizierungsoder Registrierungsprozess als Dienstleister eingebunden sind. Bei Dienstleistern, die im Namen und Auftrag eines Zertifikatinhabers oder Prüfers tätig werden, liegt die Verantwortung bei dem beauftragenden Zertifikatinhaber. Der Abschluss von Dienstleistungsabkommen mit einem Dienstleister oder die Entgegennahme und Akzeptanz von Leistungen eines Dienstleisters, der im eigenen Namen handelt, kann ausschliesslich durch die Service Leitung der vorgenommen werden. 12/42

13 1.4 Anwendbarkeit der Zertifikate (Certificate Usage) Geeignete Zertifikatnutzung Die im Rahmen dieser CP ausgestellten Zertifikate können durch den Zertifikatinhaber für die elektronische Signatur als Willensäusserung, als Herkunftsnachweis und zum Schutz von Veränderungen verwendet werden. Eingeschlossen ist die Verwendung für ElDI-V [10] konformen Signaturen des elektronischen Geschäftsverkehrs gemäss eidg. Steuerverwaltung, Bereich MWST. Zusätzlich können die Zertifikatsangaben für die Abfrage von Statusinformationen der ungültig erklärten Zertifikate beim CSP verwendet werden. Die Zertifikatinhaber sind selbst für die Benutzung der Zertifikate in den Anwendungsprogrammen zuständig. Für eine gültige qualifizierte Signatur müssen die Verfahren und Mittel verwendet werden, die durch definiert werden. Die verwendeten Anwendungsprogramme müssen dazu den Sicherheitsanforderungen geeignet Rechnung tragen. Eine Installation von Anwendungsprogrammen durch sowie durch deren Vertragspartner findet nicht statt Untersagte Zertifikatnutzung Grundsätzlich ist gemäss ZertES und den Ausführungsbestimmungen (TAV [3] sowie ETSI TS [5] Ziff ) nur das Signieren mit einem qualifizierten Zertifikat erlaubt. Alle anderen Nutzungen sind untersagt. 1.5 Verwaltung der Richtlinien Herausgeberin des Dokumentenframeworks ist: Swisscom (Schweiz) AG Digital Certificate Services Müllerstrasse Zürich Es gilt ein formelles Genehmigungsverfahren gemäss CPS [8] Schlüsselwörter und Begriffe Schlüsselwörter und Begriffe sind Abschnitt 1.6 der CPS [8] zu entnehmen. Abkürzungen Begriff BCP CA CN CP Erklärung Business Continuity Plans Certification Authority Common Name, als Teil des DN Certification Policy 13/42

14 Begriff CPS CSP CRL Erklärung Certificate Practice Statement, Aussage über die Zertifizierungspraxen Certificate Service Provider Certificate Revocation List CN Common Name, als Teil des DN DN Distinguished Name gemäss RFC 3739 EE ESTV ETSI ElDI-V HSM LDAP E-RA OCSP OID PED End Entity Eidgenössische Steuerverwaltung European Telecommunications Standards Institute Verordnung des EFD über elektronisch übermittelte Daten und Informationen Hardware Security Modules Lightweight Directory Access Protocol, Verzeichnisdienst Local Registration Authority / Lokale Registrierungsstelle bei einem RA Partner Online Certificate Status Protocol Object Identifier PIN Entry Device PIN Personal Identification Number, Persönliche Nummer zum Aktivieren des Signaturschlüssels RA Registration Authority / Registrierungsstelle (Umfasst RA der Swisscom und E- RA/TPS) Re-Key Zertifikaterneuerung SSCD Sichere Signaturerstellungseinheit, Secure Signature Creation Device gemäss ETSI TS SSL Secure Socket Layer, Sicherheitsprotokoll TSP Time Stamping Profile TPS Trusted Point of Sales TSA Time-stamping Authorities TAV Technische und administrative Vorschriften über Zertifizierungsdienste im Bereich der elektronischen Signatur VZertES Verordnung über Zertifizierungsdienste im Bereich der elektronischen Signatur (Verordnung über die elektronische Signatur, VZertES) vom 3. Dezember 2004 ZertES Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur vom 19. Dezember /42

15 2 Veröffentlichungen und Verantwortung für den Verzeichnisdienst 2.1 Verzeichnisdienst als CSP stellt sicher, dass Informationen zur Überprüfung der Gültigkeit der von ihr ausgegebenen Zertifikate kostenlos über eine Internetseite sowie eine LDAP Abfrage bereitgestellt werden (Art. 11 Abs. 1 ZertES[1]). Zusätzliche Statusdienste sind der CPS [8] unter 2.1 zu entnehmen. Ungültige Zertifikate werden in einer Liste der für ungültig erklärten Zertifikate (nachfolgend CRL) geführt. Die CRL wird alle 24 Stunden aktualisiert. Details sind dem CPS [8] unter 2.2 und 2.3 zu entnehmen. 2.2 Veröffentlichung von Informationen als CSP veröffentlicht folgende Informationen: Das Wurzelzertifikat der und dessen Fingerabdruck Zertifikate der nächsten CA-Stufe (Level 1) und deren Fingerabdrücke Diese CP und zugehöriges CPS [8]. Darüber hinaus werden Informationen über die, über die korrekte Anwendung von Kryptographie und die Verwendung von Zertifikaten den Zertifikatinhabern zur Verfügung gestellt. Details der Bezugsadressen dieser Informationen und ggf. weiterer Dienstleistungen sind dem CPS [8] unter 2.2 zu entnehmen. 2.3 Aktualisierung der Informationen aktualisiert die Informationen zur Überprüfung der Gültigkeit von Zertifikaten in regelmässigen Abständen. Der Abstand zwischen zwei Aktualisierungen beträgt 24 Stunden. Einzelheiten sind dem CPS [8] unter 2.3 zu entnehmen. 2.4 Zugang zu den Informationsdiensten Der lesende Zugriff auf alle in den Abschnitten 2.1 und 2.2 aufgeführten Informationen unterliegt keiner Zugangskontrolle. Es werden keine Massenabfragen oder Wildcard-Abfragen unterstützt. Schreibender Zugriff auf diese Informationen darf nur berechtigten Personen gewährt werden. Details sind dem CPS [8] unter 2.4 zu entnehmen. 15/42

16 3 Identifizierung und Authentifizierung 3.1 Namen Namensform Es wird eine einheitliche Namenshierarchie verwendet. Alle innerhalb der Swisscom Digital Certificate Services ausgestellten Zertifikate haben eindeutige Namen (Distinguished Name, nachfolgend DN) entsprechend der Normenserie X.500. Ein DN enthält eine Folge von eindeutig kennzeichnenden Namensattributen, durch die alle Teilnehmer einer Hierarchie referenziert werden können. Die Einzelheiten für die spezifischen Namensformen sind im CPS [8] unter festgelegt Aussagekraft von Namen Der DN muss den Zertifikatinhaber eindeutig identifizieren und in einer für Menschen verständlichen Form vorliegen. Bei der Namensvergabe gelten grundsätzlich die folgenden Regelungen: Zertifikate dürfen nur auf einen zulässigen Namen des Zertifikatinhabers ausgestellt werden. Soll der Name der natürlichen Person, welche den Signaturschlüssel konrolliert nicht im Zertifikat enthalten sein, muss der Name als Pseudonym gekennzeichnet sein. Dies trifft auch auf Firmen- und Organisationszertifikate zu. Bei der Vergabe von Namen für Pseudonyme muss eine Verwechslung mit natürlichen und juristischen Personen oder Bezeichnungen von Organisationseinheiten ausgeschlossen werden. Ebenso dürfen keine DNS-Namen, IP-Adressen oder andere innerhalb der Swisscom Digital Certificate Services benutzte Syntaxelemente verwendet werden. Ein Pseudonym darf keinen beleidigenden oder anzüglichen Inhalt enthalten oder gegen Rechtsnormen oder Rechte Dritter (v.a. Namensrecht) verstossen. Diskriminierungen sind in jeglicher Form unzulässig. Darüber hinaus wird jedem Zertifikat eine eindeutige Zertifikats-Seriennummer zugeordnet, welche eine eindeutige und unveränderliche Zuordnung zum Zertifikatinhaber ermöglicht. Die Einzelheiten sind im CPS [8] unter festgelegt Pseudonymität / Anonymität In begründeten Ausnahmen kann für eine natürliche Person anstelle des Namens im Zertifikat ein Pseudonym aufgeführt werden. Dieses wird bereits im CN-Feld des DN eindeutig kenntlich gemacht. Einzelheiten regelt das CPS [8] unter Für die Eindeutigkeit von Pseudonymen gelten weiterhin auch die Regelungen unter Die Identitätsprüfung erfolgt immer entsprechend den Regelungen unter 3.2. Anonyme Zertifikate sind daher nicht möglich. 16/42

17 3.1.4 Regeln zur Interpretation verschiedener Namensformen Der zu verwendende Zeichensatz und die Substitutionsregelungen für Sonderzeichen sind dem CPS [8] unter zu entnehmen Eindeutigkeit von Namen Vor der Zertifikatausgabe muss die Korrektheit der Angaben zum DN durch die Registrierungsstelle anhand amtlicher Ausweise überprüft werden. Der DN eines Zertifikatinhabers muss eindeutig sein und darf nicht an unterschiedliche Zertifikatinhaber vergeben werden. Nur wenn ein Zertifikatinhaber mehrere Zertifikate mit unterschiedlicher Schlüsselnutzung besitzt, kann ein DN mehrmals vorkommen. Seriennummern in Bezug zu der ausstellenden CA sind jedoch uneingeschränkt eindeutig Erkennung, Authentifizierung und Funktion von Warenzeichen Sofern sich der DN auf dem Zertifikat explizit auf eine natürliche Person bezieht, ist eine Anerkennung von Warenzeichen nicht relevant. In allen anderen Fällen liegt es in der Verantwortung des Zertifikatinhabers, dass die Namenswahl keine Warenzeichen, Markenrechte usw. verletzt. Die CA ist nicht verpflichtet, solche Rechte zu überprüfen. Allein der Zertifikatinhaber ist für solche Überprüfungen verantwortlich. Falls die CA über eine Verletzung solcher Rechte informiert wird, wird das Zertifikat ungültig erklärt. 3.2 Identitätsüberprüfung bei Neuantrag Verfahren zur Überprüfung des Besitzes des privaten Schlüssels Der private Schlüssel wird innerhalb einer sicheren Signaturerstellungseinheit im Trust Center des CSP oder eines Vertragspartners erzeugt. Bei der Verwendung eines HSM kann unter Einhaltung der definierten Prozesse der Schlüssel auch direkt im HSM beim Zertifikatsinhaber erzeugt werden. Die entsprechenden Verfahren werden im CPS [8] unter beschrieben Authentifizierung einer juristischen Person Gemäss ZertES werden qualifizierte Zertifikate nur an natürliche Personen ausgegeben. Ein Zertifikatsantrag für eine juristische Person muss von einer natürlichen Person eingereicht werden, die sich gemäss gegenüber der RA authentisiert. Die Berechtigung, im Namen einer im Handelsregister eingetragenen Organisation ein Zertifikat zu beantragen, wird durch einen beglaubigten Handelsregisterauszug bestätigt. Der vorzulegende beglaubigte Handelsregisterauszug muss hierbei aktuell (nicht älter als drei Monate) sein und der Antragsteller muss darin als Vertretungsberechtigter des Unternehmens genannt sein oder über eine Vollmacht verfügen, die von Vertretungsberechtigten des Unternehmens unterzeichnet wurde. Dies ist insbesondere dann erforderlich, wenn die im HRA genannte Firma nur gemeinschaftlich vertreten werden kann. 17/42

18 Wirtschaftsubjekte mit Handelsregistereintrag Bei Unternehmen, die im Handelsregister eingetragen sind, erfolgt die Überprüfung anhand eines Handelsregisterauszuges, aus dem hervorgeht, dass die Organisation tatsächlich existiert und welche Personen Zeichnungsberechtigt sind für die Organisation. Das vorgelegte Dokument muss aktuell (nicht älter als drei Monate) und beglaubigt sein Einzelfirma (natürliche Person) Bei Einzelfirmen erfolgt die Überprüfung anhand der Eintragungsbescheinigung der ESTV (wie die steuerpflichtige Einzelfirma bei der ESTV eingetragen ist) oder einer registrierten 4 Unternehmens- Identifikationsnummer (UID) Einfache Gesellschaft Bei einfachen Gesellschaften erfolgt die Überprüfung anhand des Gesellschaftsvertrages sowie der Eintragungsbescheinigung der ESTV (wie die steuerpflichtige einfache Gesellschaft bei der ESTV eingetragen ist) oder einer registrierten 4 Unternehmens-Identifikationsnummer (UID). Handelt es sich bei den Gesellschaftern um juristische Personen, erfolgt die Überprüfung anhand der entsprechenden Handelsregisterauszüge. Die Berechtigung, im Namen einer einfachen Gesellschaft ein Zertifikat zu beantragen, wird anhand des Gesellschaftsvertrages bestätigt. Der Antragsteller muss im Gesellschaftsvertrag als Gesellschafter genannt sein oder von diesem bevollmächtigt werden Gemeinden (Gemeinwesen) Die Überprüfung erfolgt mittels Kopie der Wahlverfügung resp. Bestätigung durch die zuständige kantonale Behörde Authentifizierung einer natürlichen Person Für die Identitätsprüfung einer natürlichen Person (auch wenn sie ein Pseudonym verwendet) für ein qualifiziertes Zertifikat sind folgende Verfahrensschritte anwendbar: 1. Der Antragsteller eines Zertifikats erscheint persönlich bei der zuständigen RA und legt für die Identitätsprüfung eines oder mehrere gültige amtliche Ausweispapiere mit Lichtbild (Identitätskarte, Reisepass, Meldebescheinigung des Einwohnermeldeamtes) vor. 2. Ein RA Mitarbeiter führt die Identitätsprüfung anhand eines oder mehreren amtlichen Ausweispapiers mit Lichtbild (Identitätskarte, Reisepass, Meldebescheinigung des Einwohnermeldeamtes) durch und dokumentiert das Verfahren. Der RA-Vertragspartner (E-RA/TSP) muss über eine Konformitätsbestätigung für die korrekte Umsetzung der Identifizierung durch eine von der schweizerischen Akkreditierungsstelle (SAS) anerkannte Anerkennungsstelle verfügen. Zusätzlich wird das konforme Verhalten vertragliche verpflichtend geregelt /42

19 3. Für alle im Zertifikat vermerkten Attribute hat ein Nachweis und eine Bestätigung anhand eines gültigen amtlichen Dokumentes zu erfolgen (Art. 8 ZertES, Art. 5 Abs. 2 VZertES). Verfügt die beantragende Person über ein gültiges Zertifikat, kann die Beantragung weiterer Zertifikate für diese Person auch durch die Übersendung eines verschlüsselten und signierten Antrags erfolgen, sofern sich die Identität der Person nicht geändert hat. Voraussetzung für diese Art der Antragstellung ist, dass seit dem Erstantrag des gültigen Zertifikats nicht mehr als drei Jahre vergangen sind und die bei der Identifizierung vorgelegten Ausweisdokumente noch gültig sind Nicht überprüfte Informationen Es werden alle Informationen überprüft, die für die Identitätsprüfung erforderlich sind (Abschnitt 3.2.3). Darüber hinaus werden keine weiteren Informationen überprüft Unterschriftenvollmacht Für die Vertretung einer juristischen Person muss eine rechtsgültig unterzeichnete Vollmacht der Organisation vorliegen. Eine Vertretung einer juristischen Person liegt dann vor, wenn im Feld O= <Name der Organisation gemäss Handelsregister> und/oder OU=<Abteilung / Funktion innerhalb der Organissation> des Zertifikatsinhabers (Subject) eine Eintrag vorhanden ist Cross-Zertifizierung Die Cross-Zertifizierung ist gemäss Botschaft zum ZertES [9] Art. 4 in der Schweiz nicht zulässig Antragsteller mit hohem Risiko Swisscom Digital Certificates Services berücksichtigt Zwangsmassnamen, welche vom Bunde erlassen werden um Sanktionen durchzusetzen. Zertfikikatsanträge von oder für natürlichen und juristischen Personen, Gruppen und Organisationen, die auf einer vom SECO publizierten Verordnung 5 aufgeführt sind, können ohne Angabe von Gründen abgelehnt werden. 3.3 Identifizierung und Authentifizierung bei einer Zertifikaterneuerung Bei Routinemässige Zertifikaterneuerung (re-key) Eine routinemässige Zertifikaterneuerung setzt voraus, dass der Zertifikatinhaber über ein gültiges Zertifikat der zuständigen CA verfügt. Dazu sollte er den Antrag auf ein neues Zertifikat vor Ablauf der Gültigkeit des zu erneuernden Zertifikates stellen. Sofern alle hinterlegten Dokumente für die Identifikation noch aktuell und gültig sind und ein gültiges Zertifikat vorliegt, sind keine zusätzlichen Massnahmen nötig. Für alle anderen Fälle ist wie für einen Neuantrag (3.2) zu verfahren Bei Zertifikaterneuerung (re-key) nach einer Ungültigerklärung Nach Ungültigerklärung eines Zertifikats erfolgt keine Zertifikaterneuerung: Es ist ein neues Zertifikat zu beantragen. Es gilt das Verfahren nach Abschnitt /42

20 3.4 Identifizierung und Authentifizierung bei einer Ungültigerklärung Um ein Zertifikat beim CSP oder der zuständigen Registrierungsstelle als ungültig erklären zu können, wird dem Zertifikatinhaber oder die juristische Person für die der Zertifikatsbesitzer eine Rolle wahrnimmt ein geeignetes Verfahren angeboten. Die Ungültigerklärung eines Zertifikats kann telefonisch unter Angabe der mit der E-RA/TPS vereinbarten. Autorisierungsinformation oder handschriftlich erfolgen. Unter bestimmten Voraussetzungen kann eine Ungültigerklärung auch elektronisch über das Webportal des CSP erfolgen, die Details sind dem CPS [8] gemäss 3.4 zu entnehmen. Es gelten folgende Zuständigkeiten für die Ungültigerklärung: 1. Der Zertifikatsbesitzer oder die juristische Person die der Zertifikatsbesitzer vertritt richten einen Antrag für die Ungültigerklärung an die zuständige RA oder E-RA 2. Die RA / E-RA überprüft die Identität des Antragstellers und die Begründung für die Ungültigerklärung 3. Nach erfolgreicher Prüfung wird das entsprechende Zertifikat durch die RA / E-RA ungültig erklärt. 4. Der CSP veröffentlicht die CRL mit den Ungültigerklärten Zertifikaten 20/42

21 4 Betriebsanforderungen für den Zertifikats Lebenszyklus 4.1 Zertifikatantrag Annahme eines Zertifikatantrages Zertifikatanträge sind an die RA-Vertragspartner der zu richten. Diese können Zertifikate an den Antragsteller eines Zertifikats ausgeben, sofern die Bedingungen unter erfüllt sind Registrierungsprozess Ein Zertifikat kann durch den CSP erst erzeugt werden, wenn der Registrierungsprozess bei einer E- RA/TPS eines RA-Vertragspartners erfolgreich abgeschlossen wurde. Die Dokumentation des Registrierungsprozesses bei natürlichen Personen beinhaltet zumindest: Zertifikatantrag Kopie aller vorgelegter Ausweisdokumente mit einem aktuellen Lichtbild Bestätigung des Antragstellers eines Zertifikats, den Kundenvertrag (mit allen Bestandteilen wie Leistungsbeschreibung, Nutzungsbedingungen) gelesen und verstanden zu haben Aussage darüber, ob die Informationen im Zertifikat veröffentlicht werden sollen. Standardmässig werden die Daten nicht publiziert. Für die Vertretung einer juristischen Person müssen die entsprechenden Vollmachten vorliegen, die belegen, dass der Antragsteller (natürliche Person) berechtigt ist im Namen der juristischen Person zu handeln. 4.2 Bearbeitung von Zertifikatanträgen Durchführung der Identifikation und Authentifizierung Die zuständige Registrierungsstelle des RA-Vertragspartners führt die Identifikation und Authentifizierung eines Antragstellers eines Zertifikats nach den im Abschnitt 3.2 genannten Verfahren durch Annahme oder Abweisung von Zertifikatanträgen Der Zertifizierungsantrag wird von der zuständigen Registrierungsstelle oder dem CSP angenommen, wenn die folgenden Kriterien erfüllt wurden: Vorlage aller notwendiger Dokumente (siehe Abschnitt 4.1.2) Zahlung der ggf. festgelegten Gebühr (siehe Abschnitt 9.1). Nach erfolgreicher Prüfung der o.g. Kriterien und nach Durchführung der Identifikation und Authentifizierung wird der Zertifizierungsantrag durch den CSP weiter bearbeitet. 21/42

22 Sollte die Prüfung der o.g. Kriterien oder die Identifikation und Authentifizierung eines Antragstellers eines Zertifikats nicht erfolgreich sein, wird der Zertifizierungsantrag nicht bearbeitet. Der Sachverhalt wird dokumentiert und ist dem Antragsteller unter Angabe der Gründe mitzuteilen Bearbeitungsdauer Die Bearbeitungsdauer ist dem CPS [8] unter zu entnehmen. 4.3 Zertifikatausstellung Nach Eingang und erfolgreicher Prüfung (siehe 4.2.2) eines Zertifikatantrags wird: durch den CSP ein qualifiziertes Zertifikat der Klasse Diamant ausgestellt o das SSCD mit dem privaten Schlüssel entweder direkt dem Antragsteller ausgehändigt oder über einen sicheren Weg geliefert der Antragsteller über diesen Vorgang informiert (siehe 4.3.2). der Antragsteller über den korrekten Umgang mit dem kryptografischen Mittel instruiert ein Nutzungsbestimmung mit den Rechten und Pflichten der Parteien referenziert Weitere Prüfungen der Zertifizierungsstelle Die formalen Voraussetzungen für die Ausstellung eines Zertifikats werden durch den CSP in angemessener Weise überprüft. Weitere Überprüfungen finden nicht statt Benachrichtigung des Antragstellers Nach der Zertifikatausstellung wird dem Antragsteller eines Zertifikats in geeigneter Weise das ausgestellte Zertifikat zusammen mit der sicheren Signaturerstellungseinheit übermittelt. Nimmt der Antragsteller eines Zertifikats die sichere Signaturerstellungseinheit nicht persönlich entgegen, so ist die Übermittlung angemessen zu schützen. Die Verfahren sind dem CPS [8] unter 4.3 zu entnehmen. 4.4 Zertifikatakzeptanz Der Zertifikatinhaber ist verpflichtet, die Korrektheit des eigenen Zertifikats sowie des Zertifikats des CSP nach Erhalt zu verifizieren Annahme des Zertifikats Ein Zertifikat wird durch den Zertifikatinhaber akzeptiert, wenn das Zertifikat verwendet wird oder eine explizite Äusserung erfolgt oder wenn innerhalb eines im CPS [8] festgelegten Zeitraums kein Widerspruch erfolgt. 22/42

23 Fehlerhaft ausgestellte Zertifikate hat die ausstellende RA unverzüglich bei der zuständigen Registrierungsstelle oder CSP für ungültig zu erklären Veröffentlichung des Zertifikats Es gelten die Regelungen aus Abschnitt Benachrichtigung weiterer Instanzen Eine Benachrichtigung weiterer Instanzen ist nicht vorgesehen. 4.5 Verwendung des Schlüsselpaares und des Zertifikats Der Anwendungsbereich der im Rahmen dieser CP ausgestellten Zertifikate ist dem Abschnitt 1.4 zu entnehmen. Qualifizierte digitale Zertifikate können gemäss ZertES nur und ausschliesslich für die elektronische Signatur verwendet werden Nutzung des privaten Schlüssels und des Zertifikats durch den Zertifikatinhaber Durch Annahme des Zertifikats versichert der Zertifikatinhaber allen Teilnehmern der Swisscom Digital Certificate Services und allen Parteien, die sich auf die Vertrauenswürdigkeit der in dem Zertifikat enthaltenden Informationen verlassen, dass: ein angemessenes Verständnis der Anwendung und des Einsatzes von Zertifikaten besteht, sämtliche Angaben und Erklärungen des Zertifikatinhabers in Bezug auf die im Zertifikat enthaltenen Informationen der Wahrheit entsprechen, zur Erstellung der Signatur ein Verfahren angewendet wurde, dass vom CSP freigegeben ist (siehe dazu Informationen auf der Internetseite des CSP) der private Schlüssel geschützt aufbewahrt wird, keiner unbefugten Person Zugang zu dem privaten Schlüssel gewährt wird, das Zertifikat ausschliesslich in Übereinstimmung mit dieser CP eingesetzt wird, das Zertifikat unverzüglich ungültig erklärt wird, wenn die Angaben des Zertifikats nicht mehr stimmen oder der private Schlüssel abhanden kommt, gestohlen oder möglicherweise kompromittiert wurde Nutzung von öffentlichen Schlüsseln und Zertifikaten durch Zertifikatprüfer Jeder, der ein Zertifikat, welches im Rahmen dieser CP ausgestellt wurde, zur Überprüfung einer Signatur oder für die Zwecke der Authentifizierung verwendet, sollte ein grundlegendes Verständnis der Anwendung und des Einsatzes von Zertifikaten besitzen, Komponenten und Verfahren zur Signaturprüfung eingesetzt werden, die von Swisscom (Schweiz) AG empfohlen und auf der Internetseite publiziert werden (siehe dazu CPS [8] unter 2.2) vor der Nutzung eines Zertifikats dessen Gültigkeit überprüfen und 23/42

24 das Zertifikat ausschliesslich für autorisierte und legale Zwecke in Übereinstimmung mit dieser CP einsetzen. 4.6 Zertifikaterneuerung unter Verwendung des alten Schlüssel (Certificate renewal) Die Erstellung eines neuen Zertifikates mit dem alten Schlüssel (certificate renewal) wird durch für qualifizierte Zertifikate der Klasse Diamant nicht unterstützt. Bei einer Zertifikatserneuerung wird dem Zertifikatinhaber durch die zuständige RA ein neues Zertifikat basierend auf einem neuen Schlüsselpaar erzeugt in einem neuen SSCD ausgestellt. Bei der Verwendung eines HSM wird im HSM ein neues Schlüsselpaar erzeugt Gründe für eine Zertifikaterneuerung (Certificate renewal) Nicht Anwendbar Beantragung einer Zertifikaterneuerung (Certificate renewal) Nicht Anwendbar Ablauf der Zertifikaterneuerung (Certificate renewal) Nicht Anwendbar Benachrichtigung des Zertifikatinhabers Nicht Anwendbar Annahme einer Zertifikaterneuerung Nicht Anwendbar Veröffentlichung einer Zertifikaterneuerung Nicht Anwendbar Benachrichtigung weiterer Instanzen über eine Zertifikaterneuerung Nicht Anwendbar 4.7 Zertifikaterneuerung unter Verwendung eines neuen Schlüssels (Re-Key) Bei einer Zertifikaterneuerung wird grundsätzlich ein neues Schlüsselpaar erstellt. Die Lebensdauer des Zertifikates und des Schlüssel sind gleich. (3 Jahre). Ein neues Zertifikat wird immer auf einer neuen sicheren Signaturerstellungseinheit ausgestellt. Bei der Verwendung eines HSM wird im HSM ein neues Schlüsselpaar erzeugt. Es werden die Schlüssellänge und der Algorithmus verwendet, der zu dem jeweiligen Zeitpunkt aktuell ist und gemäss geltender CPS [8] 7.1 einzusetzen ist. Der Zertifikatinhaber hat zu bestätigen, dass die im 24/42

25 Zertifikat enthaltenen Informationen unverändert bleiben und die anlässlich der Zertifikatsausstellung vorgelegten Ausweise und Dokumente noch gültig sind. Das alte Zertifikat wird nach Ausstellung des neuen Zertifikats nicht ungültig erklärt und bleibt bis zum Ablauf der Gültigkeitsdauer gültig Gründe für Re-Key Eine Zertifikaterneuerung mit einem neuen Schlüsselpaar (re-key) kann dann beantragt werden, wenn: die Gültigkeit des Zertifikats abläuft die verwendete Schlüssellänge oder ein eingesetzter Algorithmus als nicht mehr ausreichend betrachtet wird Beantragung Re-Key Eine Zertifikaterneuerung mit einem neuen Schlüsselpaar (re-key) wird grundsätzlich durch den Zertifikatinhaber oder direkt durch den RA-Vertragspartner beantragt, es obliegt der CA, ob sie eine Zertifikaterneuerung aktiv unterstützt. Entsprechende Prozesse sind dem CPS [8] unter zu entnehmen Ablauf Re-Key Der Ablauf der Zertifikaterneuerung mit einem neuen Schlüsselpaar (re-key) entspricht den Regelungen unter 4.3, für die Identifizierung und Authentifizierung bei der Re-Zertifizierung gelten die Regelungen gemäss Abschnitt Benachrichtigung des Zertifikatinhabers bei Re-Key Es gelten die Regelungen gemäss Abschnitt Annahme eines Re-Key Es gelten die Regelungen gemäss Abschnitt Veröffentlichung bei Re-Key Es gelten die Regelungen gemäss Abschnitt Benachrichtigung weiterer Instanzen bei Re-Key Es gelten die Regelungen gemäss Abschnitt Zertifikatmodifizierung Bei der Zertifikatmodifizierung wird aufgrund von Veränderungen der Informationen im Zertifikat ein neues Zertifikat mit demselben Schlüsselpaar erstellt. Sofern sich die Identität des Zertifikatinhabers geändert hat, ist wie bei einem Neuantrag zu verfahren. Das alte Zertifikat wird nach Ausstellung des neuen Zertifikats ungültig erklärt. 25/42

26 Zertifikatsmodifizierungen werden nur dann durchgeführt, wenn das zugehörige Schlüsselpaar noch mindestens 12 Monate gültig ist, das SSCD mechanisch keine grossen Abnützungen aufweist und die Identität des Zertifikatsinhabers sich nicht ändert. Ansonsten wird eine Zertifikatserneuerung mit einem neuen Schlüsselpaar (re-key) vorgenommen Gründe für eine Zertifikatsmodifizierung Gründe für eine Zertifikatsmodifizierung sind: Schreibfehler bei der Ausstellung des Zertifikates Modifikation einer optionalen Zertifikatsinformation ( Adresse, Organisation, etc.) Beantragung einer Zertifikatsmodifizierung Der Zertifikatsinhaber muss persönlich bei der zuständigen RA vorsprechen und einen Beleg für die zu ändernden Informationen vorlegen Ablauf einer Zertifikatsmodifizierung Der Ablauf der Zertifikaterneuerung entspricht den Regelungen unter 4.3, für die Identifizierung und Authentifizierung bei der Zertifikatsmodifizierung gelten die Regelungen gemäss Abschnitt Benachrichtigung des Zertifikatinhabers bei Zertifikatsmodifizierung Der Zertifikatsinhaber beantragt die Zertifikatsmodifizierung persönlich und muss somit nicht speziell benachrichtigt werden Annahme einer Zertifikatsmodifizierung Es gelten die Regelungen gemäss Abschnitt Veröffentlichung einer Zertifikatsmodifizierung Es gelten die Regelungen gemäss Abschnitt Benachrichtigung weiterer Instanzen bei einer Zertifikatsmodifizierung Es gelten die Regelungen gemäss Abschnitt Ungültigerklärung und Suspendierung von Zertifikaten In diesem Abschnitt werden die Umstände erläutert, unter denen ein Zertifikat ungültig erklärt werden muss. Eine Suspendierung (zeitliche Aussetzung) von Zertifikaten wird nicht vorgenommen (ZertEs Art. 10). Einmal ungültig erklärte Zertifikate können nicht erneuert oder verlängert werden Gründe für eine Ungültigerklärung Zertifikate müssen von der zuständigen RA oder dem CSP ungültig erklärt werden, wenn: 26/42