Certification Practice Statement Zertifizierungsrichtlinien für das Symantec Trust Network (STN)

Transkript

1 Certification Practice Statement Zertifizierungsrichtlinien für das Symantec Trust Network (STN) Version 3.87 Datum des Inkrafttretens: Deutscher Sparkassen Verlag GmbH S-TRUST 1 Am Wallgraben Stuttgart Deutschland Dieses CPS findet keine Anwendung auf Dienstleistungen von S-TRUST im Zusammenhang mit qualifizierten Zertifikaten nach 2 Nr. 7 Signaturgesetz (SigG). Des Weiteren behält sich S-TRUST das Recht vor, bestimmte Produkte und Dienstleistungen auch dann nicht anzubieten, wenn sie in diesem CPS beschrieben werden. 1 S-TRUST ist ein Unternehmenskennzeichen der Deutscher Sparkassen Verlag GmbH.

2 S-TRUST 2 Certification Practices Statement (findet keine Anwendung auf Dienstleistungen von S-TRUST im Zusammenhang mit qualifizierten Zertifikaten nach 2 Nr. 7 Signaturgesetz (SigG)) 2011 Symantec Corporation. Alle Rechte vorbehalten. Publikationsdatum: Wichtig:- Übernahmemitteilung Am 9. August 2010 wurde die Übernahme der Authentifizierungsdienste von VeriSign Inc. durch die Symantec Corporation abgeschlossen. Als Folge davon ist Symantec nun neuer registrierter Eigentümer dieser Zertifizierungsrichtlinien, sowie der darin beschriebenen PKI- Dienstleistungen. Jedoch wird in diesem Dokument solange eine Mischform der Bezugnahmen sowohl auf VeriSign als auch auf Symantec verwendet, bis es betrieblich zweckmäßig ist, die Markenumbenennung der Zertifizierungsstellen und - leistungen abzuschließen. Alle Verweise auf VeriSign als Unternehmen sind ausschließlich als Altterminologie zu betrachten und spiegeln allein die Eigentumshistorie wieder. Symantec kann die Marke VeriSign auch weiterhin nutzen. Rechtlicher Hinweis Symantec, das Symantec-Logo und das Kontrollmarkierungslogo sind eingetragene Marken der Symantec Corporation oder ihrer verbundenen Unternehmen in den USA und anderen Ländern. Das VeriSign Logo, VeriSign Trust und andere verwandte Marken sind Marken oder eingetragene Marken von Symantec Corporation oder deren verbundener Unternehmen oder Tochterunternehmen in den USA oder anderen Ländern und sind lizenziert durch/an Symantec Corporation. Andere Namen können Marken des jeweiligen Eigentümers sein. Unbeschadet der vorstehend vorbehaltenen Rechte und vorbehaltlich der nachstehenden Lizenzbestimmungen darf diese Publikation weder in ihrer Gesamtheit noch in Teilen in irgendeiner Form oder durch irgendwelche Mittel (elektronisch, mechanisch, durch Fotokopieren, Aufzeichnen oder in sonstiger Weise) ohne vorherige schriftliche Zustimmung von Symantec Corporation vervielfältigt, in einem Abfragesystem gespeichert oder abgelegt oder übertragen werden. Abweichend davon ist es gestattet, diese S-TRUST CPS / S-TRUST Zertifizierungsbedingungen und -richtlinien auf nicht ausschließlicher, gebührenfreier Basis, zu vervielfältigen und zu verbreiten, unter der Voraussetzung, dass (i) der vorstehende rechtliche Hinweis und die einleitenden Paragraphen am Anfang jedes Exemplars deutlich sichtbar angeordnet sind, und (ii) dieses Dokument wortgetreu und vollständig unter Nennung von Symantec Corporation als Inhaber aller Rechte wiedergegeben wird. 2 S-TRUST ist ein Unternehmenskennzeichen der Deutscher Sparkassen Verlag GmbH. - - ii

3 Anfragen zur weitergehenden Vervielfältigung dieses S-TRUST Certification Practices Statement (sowie Anforderungen von weiteren Exemplaren von Symantec) sind an die folgende Adresse zu richten: Deutscher Sparkassen Verlag GmbH S-TRUST Zertifizierungsdienstleistungen Abteilung KDP2 Am Wallgraben Stuttgart Deutschland - - iii

4 Inhaltsverzeichnis 1. Einleitung Übersicht Name und Kennung des Dokuments PKI-Teilnehmer Zertifizierungsstellen Registrierungsstellen Endteilnehmer Vertrauende Dritte Andere Teilnehmer Verwendung von Zertifikaten Zulässige Verwendung von Zertifikaten Unzulässige Verwendung von Zertifikaten Verwaltung von Richtlinien Organisation, die das Dokument verwaltet Kontaktperson Person, die über die Vereinbarkeit der Richtlinien mit den CP entscheidet CPS-Genehmigungsverfahren Definitionen und Akronyme Verantwortung für Veröffentlichung und Datenbank Datenbanken Veröffentlichung von Zertifikatsinformationen Zeitpunkt oder Intervall der Veröffentlichung Zugangskontrollen zu Datenbanken Identifizierung und Authentifizierung Namensgebung Art der Namen Warum Namen aussagekräftig sein sollten Anonymität von Endteilnehmern oder Verwendung von Pseudonymen Regeln für die Interpretation verschiedener Namensformen Eindeutigkeit von Namen Erkennung, Authentifizierung und Rolle von Marken Erstmalige Identitätsprüfung Methode zum Besitznachweis des privaten Schlüssels Authentifizierung der Identität von Organisationen Authentifizierung der Identität von natürlichen Personen Nicht verifizierte Endteilnehmer-Informationen Validierung der Autorisierung Kriterien für Interoperabilität Identifizierung und Authentifizierung bei Anträgen auf Schlüsselerneuerung Identifizierung und Authentifizierung für routinemäßige Schlüsselerneuerung Identifizierung und Authentifizierung für Schlüsselerneuerung nach Sperrung Identifizierung und Authentifizierung für Sperranträge Betriebsanforderungen für den Zertifikatslebenszyklus Zertifikatsantrag Wer kann einen Zertifikatsantrag stellen? Antragstellungsverfahren und Pflichten Bearbeitung des Zertifikatsantrags Durchführung der Identifizierung und Authentifizierung Genehmigung oder Ablehnung von Zertifikatsanträgen Bearbeitungsdauer von Zertifikatsanträgen Ausstellung von Zertifikaten CA-Maßnahmen während der Ausstellung von Zertifikaten Benachrichtigung von Endteilnehmern über die Ausstellung eines Zertifikats durch die CA Annahme von Zertifikaten Verhalten, das die Annahme eines Zertifikats darstellt Veröffentlichung von Zertifikaten durch die CA Benachrichtigung von anderen Stellen über die Ausstellung eines Zertifikats durch die CA Schlüsselpaar und Verwendung von Zertifikaten Verwendung von privaten Schlüsseln und Zertifikaten von Endteilnehmern Verwendung von öffentlichen Schlüsseln und Zertifikaten durch Vertrauende Dritte Erneuerung von Zertifikaten Umstände der Erneuerung von Zertifikaten Wer kann eine Erneuerung beantragen? Bearbeitung von Erneuerungsanträgen

5 4.6.4 Benachrichtigung von Endteilnehmern über die Ausstellung eines neuen Zertifikats Verhalten, das die Annahme eines Erneuerungszertifikats darstellt Veröffentlichung von Erneuerungszertifikaten durch die CA Benachrichtigung von anderen Stellen über die Ausstellung eines Zertifikats durch die CA Schlüsselerneuerung von Zertifikaten Umstände der Schlüsselerneuerung von Zertifikaten Wer kann die Zertifizierung eines neuen öffentlichen Schlüssels beantragen? Bearbeitung von Schlüsselerneuerungsanträgen Benachrichtigung von Endteilnehmern über die Ausstellung eines neuen Zertifikats Verhalten, das die Annahme eines Zertifikats mit neuem Schlüssel darstellt Veröffentlichung von Zertifikaten mit neuem Schlüssel durch die CA Benachrichtigung von anderen Stellen über die Ausstellung eines Zertifikats durch die CA Änderung von Zertifikaten Umstände der Änderung von Zertifikaten Wer kann eine Zertifikatsänderung beantragen? Bearbeitung von Änderungsanträgen Benachrichtigung von Endteilnehmern über die Ausstellung eines neuen Zertifikats Verhalten, das die Annahme eines geänderten Zertifikats darstellt Veröffentlichung von geänderten Zertifikaten durch die CA Benachrichtigung von anderen Stellen über die Ausstellung eines Zertifikats durch die CA Sperrung und Aussetzung von Zertifikaten Umstände zur Sperrung von Zertifikaten Wer kann eine Sperrung beantragen? Verfahren für Sperranträge Nachfrist bei Sperranträgen Zeitraum, in dem eine CA den Sperrantrag bearbeiten muss Überprüfungsvorgaben für Vertrauende Dritte Erscheinungsintervall von Sperrlisten Maximale Wartezeit für Sperrlisten Online-Verfügbarkeit von Sperr-/Statusinformationen Überprüfungsvorgaben bei Online-Sperrinformationen Andere verfügbare Formen der Veröffentlichung von Sperrungen Besondere Anforderungen bezüglich der Kompromittierung von Schlüsseln Umstände der Aussetzung Wer kann eine Aussetzung beantragen? Verfahren für Aussetzungsanträge Beschränkung des Aussetzungszeitraums Zertifikatsstatus-Services Leistungsmerkmale Verfügbarkeit des Service Optionale Merkmale Ende der Zertifikatsnutzung Schlüsselhinterlegung und -wiederherstellung Richtlinien für Schlüsselhinterlegung und -wiederherstellung Sitzungsschlüsselkapselung und Richtlinien für die Wiederherstellung Gebäude-, Verwaltungs- und Betriebskontrollen Physische Kontrollen Standort und bauliche Maßnahmen Räumlicher Zugang Stromversorgung und Klimatisierung Wasserschäden Brandschutz Aufbewahrung von Datenträgern Entsorgung Sicherung Verfahrenskontrollen Vertrauenswürdige Rollen Anzahl der für eine Aufgabe erforderliche Personen Identifizierung und Authentifizierung für jede Rolle Rollen, die eine Funktionstrennung erfordern Personalkontrollen Anforderungen an Qualifikation, Erfahrung und Sicherheitsüberprüfung Sicherheitsüberprüfung Schulungs- und Fortbildungsanforderungen Nachschulungsintervalle und -anforderungen Häufigkeit und Abfolge der Arbeitsplatzrotation Strafmaßnahmen bei unbefugten Handlungen

6 5.3.7 Anforderungen an unabhängige Auftragnehmer Dokumentation für das Personal Audit-Protokollverfahren Art der aufgezeichneten Ereignisse Bearbeitungsintervall der Protokolle Aufbewahrungszeitraum für Audit-Protokolle Schutz der Audit-Protokolle Sicherungsverfahren für Audit-Protokolle Audit-Erfassungssystem (intern vs. extern) Benachrichtigung des ereignisauslösenden Subjekts Schwachstellenbewertung Archivierung von Datensätzen Art der archivierten Datensätze Aufbewahrungszeitraum für Archive Schutz von Archiven Sicherungsverfahren für Archive Anforderungen an Zeitstempel von Datensätzen Archiverfassungssystem (intern oder extern) Verfahren zur Beschaffung und Überprüfung von Archivinformationen Schlüsselumstellung Kompromittierung und Disaster Recovery Umgang mit Störungen und Kompromittierungen Beschädigung von EDV-Geräten, Software und/oder Daten Verfahren bei Kompromittierung von privaten Schlüsseln von Stellen Geschäftskontinuität nach einem Notfall Betriebsbeendigung einer CA oder RA Technische Sicherheitskontrollen Generierung und Installation von Schlüsselpaaren Generierung von Schlüsselpaaren Zustellung von privaten Schlüsseln an Endteilnehmer Zustellung von öffentlichen Schlüsseln an Zertifikatsaussteller Zustellung von öffentlichen CA-Schlüsseln an Vertrauende Dritte Schlüssellängen Generierung von Parametern öffentlicher Schlüssel und Qualitätsprüfung Verwendungszwecke von Schlüsseln (gemäß Feld Key Usage in X.509 Version 3) Schutz privater Schlüssel und technische Kontrollen kryptographischer Module Standards und Kontrollen für kryptographische Module Mehrpersonenkontrolle (m von n) bei privaten Schlüsseln Hinterlegung von privaten Schlüsseln Sicherung von privaten Schlüsseln Archivierung von privaten Schlüsseln Übertragung privater Schlüssel in oder von einem kryptographischen Modul Speicherung privater Schlüssel auf kryptographischen Modulen Methode zur Aktivierung eines privaten Schlüssels Methode zur Deaktivierung eines privaten Schlüssels Methode zur Vernichtung eines privaten Schlüssels Bewertung kryptographischer Module Weitere Aspekte der Verwaltung von Schlüsselpaaren Archivierung von öffentlichen Schlüsseln Gültigkeitsdauer von Zertifikaten und Verwendungsdauer von Schlüsselpaaren Aktivierungsdaten Generierung und Installation von Aktivierungsdaten Schutz von Aktivierungsdaten Weitere Aspekte von Aktivierungsdaten Computer-Sicherheitskontrollen Spezifische technische Anforderungen an die Computersicherheit Bewertung der Computersicherheit Technische Kontrollen des Lebenszyklus Systementwicklungskontrollen Sicherheitsverwaltungskontrollen Sicherheitskontrollen des Lebenszyklus Netzwerk-Sicherheitskontrollen Zeitstempel Zertifikats-, Sperrlisten- und OCSP-Profile Zertifikatsprofil Versionsnummer(n) Zertifikatserweiterungen

7 7.1.3 Objekt- Kennungen (-IDs) - von Algorithmen Namensformen Namensbeschränkungen Objekt- Kennungen (-IDs) für Zertifizierungsrichtlinien Verwendung der Erweiterung Policy Constraints Syntax und Semantik von Richtlinienkennungen Verarbeitungssemantik für die Erweiterung Critical Certificate Policies Sperrlistenprofil Versionsnummer(n) Sperrlisten- und Sperrlisteneintragserweiterungen OCSP-Profil Versionsnummer(n) OCSP-Erweiterungen Compliance Audit und andere Prüfungen Intervall und Umstände von Prüfungen Identität/Qualifikationen des Prüfers Beziehung des Prüfers zur überprüften Stelle Von der Prüfung erfasste Bereiche Vorgehen bei Feststellung von Mängeln Mitteilung der Ergebnisse Sonstige geschäftliche und rechtliche Bestimmungen Gebühren Gebühren für die Ausstellung oder Erneuerung von Zertifikaten Gebühren für den Zugriff auf Zertifikate Gebühren für den Zugriff auf Sperrungs- oder Statusinformationen Gebühren für andere Leistungen Erstattung von Gebühren Finanzielle Verantwortung Versicherungsschutz Sonstige finanzielle Mittel Versicherungs- oder Gewährleistungsschutz für Endstellen Vertraulichkeit von Geschäftsinformationen Umfang von vertraulichen Informationen Nicht vertrauliche Informationen Verantwortung für den Schutz vertraulicher Informationen Schutz personenbezogener Daten Datenschutzplan Informationen, die als privat behandelt werden Informationen, die nicht als privat behandelt werden Verantwortung für den Schutz privater Informationen Benachrichtigung und Zustimmung zur Nutzung privater Informationen Offenlegung aufgrund gerichtlicher oder verwaltungstechnischer Verfahren Andere Umstände für eine Offenlegung von Informationen Rechte des geistigen Eigentums Eigentumsrechte an Zertifikaten und Sperrungsinformationen Eigentumsrechte am CPS Eigentumsrechte an Namen Eigentumsrechte an Schlüsseln und Schlüsselmaterial Pflichten und Zusagen Pflichten der CA Pflichten der RA Pflichten des Endteilnehmers Pflichten von Vertrauenden Dritten Zusicherungen und Gewährleistungen anderer Teilnehmer Gewährleistungsausschluss Haftungsbeschränkungen Schadenersatz Schadloshaltung durch Endteilnehmer Schadloshaltung durch Vertrauende Dritte Laufzeit und Beendigung Laufzeit Beendigung Wirkung der Beendigung und Fortbestand Gegenseitige Benachrichtigungen und Mitteilungen von Teilnehmern Änderungen Verfahren für Änderungen Benachrichtigungsverfahren und -zeitraum

8 Umstände, unter denen die Objekt-Kennung (Objekt ID) geändert werden muss Bestimmungen zur Beilegung von Streitigkeiten Streitigkeiten zwischen Symantec, Affiliates, Kunden und Vertrauenden Dritten Geltendes Recht Einhaltung geltenden Rechts Verschiedene Bestimmungen Vollständiger Vertrag Abtretung Salvatorische Klausel Durchsetzung (Rechtsanwaltsgebühren und Rechtsverzicht) Höhere Gewalt Sonstige Bestimmungen Anhang A. Verzeichnis der Akronyme und Definitionen Anhang B. Änderungshistorie

9 1. Einleitung Bei diesem Dokument handelt es sich um die S-TRUST Zertifizierungsrichtlinien (Certification Practice Statement, CPS). Darin werden die Verfahren erläutert, die die S-TRUST Zertifizierungsstellen (Certification Authorities, CAs) bei der Bereitstellung von Zertifizierungsdiensten anwenden. Diese umfassen insbesondere die Vergabe, die Verwaltung, den Widerruf sowie die Erneuerung von Zertifikaten gemäß den in den Symantec Trust Network Zertifizierungsbestimmungen (Certificate Policies, CP) festgelegten Bestimmungen. Die CP enthalten die zentralen Richtlinien bezüglich des STN. In ihnen werden die geschäftlichen, rechtlichen und technischen Anforderungen für die Genehmigung, die Vergabe, die Verwaltung, die Nutzung, die Sperrung und die Erneuerung von digitalen Zertifikaten innerhalb des STN und die Bereitstellung der zugehörigen Trust-Services festgelegt. Diese Anforderungen, die sogenannten STN Standards, dienen dem Schutz und der Integrität des STN. Sie finden auf alle Teilnehmer des STN Anwendung und gewährleisten somit innerhalb des gesamten STN einen einheitlichen Sicherheitsstandard. Weitere Informationen zum STN und den STN Standards finden Sie in den CP. S-TRUST trägt die Verantwortung für einen Teil des STN, seine sogenannte Subdomäne (Subdomain) des STN. Die Subdomäne von S-TRUST enthält ihr untergeordnete Stellen wie Kunden, Endteilnehmer und Vertrauende Dritte. Während in den CP die Anforderungen festgelegt sind, die von den STN-Teilnehmern erfüllt werden müssen, wird in diesem CPS beschrieben, auf welche Weise S-TRUST diese Anforderungen innerhalb der S-TRUST Subdomäne des STN erfüllt. Im Einzelnen werden in diesem CPS die Verfahren beschrieben, die S-TRUST anwendet, um: die Kerninfrastruktur, die das STN unterstützt, sicher zu verwalten, und STN-Zertifikate zu vergeben, zu verwalten, zu sperren und zu erneuern, und zwar innerhalb der S-TRUST Subdomäne des STN, und gemäß den in den CP und den zugehörigen STN Standards festgelegten Bestimmungen. Die S-TRUST Zertifizierungsrichtlinien (CPS) entsprechen dem Aufbau für Zertifizierungsbestimmungen (Certificate Policy) und Zertifizierungsrichtlinien (Certification Practice Statement) nach RFC 3647 der Internet Engineering Task Force (IETF). Dieses CPS findet keine Anwendung auf Dienstleistungen, die S-TRUST als Zertifizierungsdiensteanbieter nach 2 Nr. 8 Signaturgesetz (SigG) leistet und/oder auf Dienstleistungen von S-TRUST im Zusammenhang mit qualifizierten Zertifikaten nach 2 Nr. 7 SigG. Für solche Leistungen gelten gesonderte Regelungen. 1.1 Übersicht Bei S-TRUST handelt es sich um ein Processing Center im Sinne von der CP. Das bedeutet, dass S-TRUST eine gesicherte Einrichtung angelegt hat, in der sich unter anderem CA-Systeme einschließlich der kryptographischen Module befinden, die die für die Vergabe von Zertifikaten verwendeten privaten Schlüssel enthalten. S-TRUST handelt als CA im STN und erbringt alle Dienstleistungen (Vergabe, Verwaltung, Sperrung und Erneuerung) im Rahmen des Zertifikatslebenszyklus. S-TRUST bietet auch die Verwaltung von CA-Schlüsseln sowie Zertifikatslebenszyklus-Dienstleistungen im Auftrag seiner Unternehmens-Kunden bzw. der Unternehmens-Kunden der Service Center an, die S-TRUST untergeordnet sind. Derzeit bietet S-TRUST lediglich Managed PKI Services über das eigene Processing Center für Unternehmens-Kunden an. Website-Zertifikate (Secure Server IDs und Global Server IDs) werden von S-TRUST zwar nicht über das eigene Processing Center angeboten, jedoch im Rahmen einer besonderen Kooperation mit Symantec. Für diese Geschäftsgebiete gilt das unter veröffentlichte Symantec CPS. Ungeachtet dessen sind in diesem CPS alle Zertifikatsklassen beschrieben. S-TRUST behält sich das Recht vor, das eigene Produkt

10 Portfolio auf alle Geschäftsgebiete zu erweitern, insbesondere Verbraucher- und Website-Zertifikate anzubieten. Dieses CPS gilt insbesondere für: Symantec Hauptzertifizierungsstellen (Public Primary Certification Authority, PCA), S-TRUST Infrastructure CAs sowie S-TRUST Administrative CAs, die das Symantec Trust Network unterstützen S-TRUST Public CAs und CAs von Unternehmens-Kunden, die Zertifikate innerhalb der S-TRUST Subdomäne des STN vergeben. Grundsätzlich werden in diesem CPS auch die Bestimmungen zur Nutzung von STN-Services innerhalb der S-TRUST Subdomäne des STN durch alle natürlichen Personen und Stellen innerhalb der S-TRUST Subdomäne (gemeinsam als S-TRUST Subdomänen-Teilnehmer bezeichnet) festgelegt. Auf private CAs und Hierarchien, die von Symantec und S-TRUST verwaltet werden, findet dieses CPS keine Anwendung. Auch auf von anderen Unternehmen innerhalb des STN (Affiliate) verwaltete CAs findet dieses CPS keine Anwendung. Das STN enthält vier Zertifikatsklassen, Class Die CP stellen ein Einzeldokument dar, in dem diese Zertifizierungsrichtlinien (jeweils eine pro Klasse) definiert und für jede Klasse STN Standards festgelegt werden. Im vorliegenden CPS wird beschrieben, auf welche Weise S-TRUST die Anforderungen der CP für jede Klasse innerhalb seiner Subdomäne erfüllt. 4 Somit regelt das CPS als Einzeldokument Verfahrensweisen im Zusammenhang mit der Vergabe und der Verwaltung aller drei Zertifikatsklassen. S-TRUST veröffentlicht unter Umständen als Ergänzung zu diesem CPS weitere ergänzende Zertifizierungsrichtlinien (CPS), um bestimmte staatliche Auflagen bzw. andere Industrienormen und anforderungen zu erfüllen. Diese ergänzenden Zertifizierungsrichtlinien werden den Endteilnehmern und ihren Vertrauenden Dritten für die im Rahmen der Ergänzungsrichtlinien vergebenen Zertifikate zur Verfügung gestellt. Das CPS ist ein Dokument in einer Reihe von Dokumenten, die für die S-TRUST Subdomäne des STN von Bedeutung sind. Dabei handelt es sich u.a. um die folgenden Dokumente: Zusätzliche vertrauliche Sicherheits- und Betriebsdokumente 5, die die CP und das CPS durch detailliertere Angaben von Anforderungen ergänzen, wie z.b.: - die Symantec Physical Security Policy, in der Sicherheitsprinzipien für die STN- Infrastruktur festgelegt sind, - der Symantec Security and Audit Requirements Guide, in dem genaue Sicherheitsanforderungen an die Schlüsselverwaltung durch Symantec und die Affiliates im Hinblick auf Personal, Material, Telekommunikation, Logik und Kryptographie beschrieben werden, und - der Key Ceremony Reference Guide, in dem Details zu den Betriebsanforderungen für die Schlüsselverwaltung beschrieben sind. Durch S-TRUST gestellte Zusatzvereinbarungen. Diese Vereinbarungen sind für Kunden, Endteilnehmer und Vertrauende Dritte von S-TRUST bindend. Die Vereinbarungen werden u.a. in die STN Standards für diese STN-Teilnehmer übernommen. In einigen Fällen enthalten sie spezifische Verfahren zur Erfüllung der STN Standards. 3 Class 4-Zertifikate werden durch das VTN derzeit nicht vergeben. 4 Hinweis: S-TRUST bietet nicht alle in diesem CPS beschriebenen Leistungen an. 5 Obwohl diese Dokumente nicht allgemein zugänglich sind, sind ihre Bestimmungen in Symantec s jährlichem WebTrust for Certification Authorities-Audit enthalten und können Kunden im Rahmen besonderer Vereinbarungen zur Verfügung gestellt werden

11 In vielen Fällen nimmt das CPS im Zusammenhang mit spezifischen, detaillierten Verfahren zur Umsetzung der STN Standards Bezug auf diese zusätzlichen Dokumente, wenn die Angabe von Einzelheiten im CPS die Sicherheit der S-TRUST Subdomäne des STN kompromittieren könnte. 1.2 Name und Kennung des Dokuments Bei dem vorliegenden Dokument handelt es sich um die S-TRUST Zertifizierungsrichtlinien (Certification Practice Statement CPS). STN-Zertifikate enthalten Objekt-ID-Werte, die einer bestimmten STN- Zertifikatsklasse entsprechen. S-TRUST hat diesem CPS daher keinen Objekt-ID-Wert zugewiesen. Die Verwendung von Objekt-IDs für Zertifizierungsrichtlinien wird in Abschnitt beschrieben. 1.3 PKI-Teilnehmer Zertifizierungsstellen Der Begriff Zertifizierungsstelle (Certification Authority, CA) ist ein übergeordneter Begriff, der für alle Stellen verwendet wird, die dazu berechtigt sind, innerhalb des STN öffentliche Schlüsselzertifikate auszustellen. Der Begriff CA umfasst auch eine Unterkategorie von Ausstellern, die als Hauptzertifizierungsstellen (Primary Certification Authority, PCA) bezeichnet werden. PCAs dienen als Wurzelinstanzen (Root) von vier Domänen 6, eine pro Zertifikatsklasse. Jede PCA ist eine Symantec-Stelle. Den PCAs untergeordnet sind S-TRUST Zertifizierungsstellen, die Zertifikate für Endteilnehmer oder andere CAs ausstellen. Symantec betreibt ferner die VeriSign Universal Root Certification Authority und die VeriSign ECC Universal Root Certification Authority. Die VeriSign Universal Root CAs stellen Class 3 und ausgewählte Class 2 Austellungszertifikate aus. S-TRUST Unternehmens-Kunden können ihre eigenen CAs als einer Symantec-PCA untergeordnete CA betreiben. Diese Kunden treten in eine Vertragsbeziehung mit S-TRUST, nach der sie alle Bestimmungen der STN CP und des S-TRUST CPS beachten müssen. Je nach ihren internen Anforderungen können diese untergeordneten CAs jedoch auch restriktivere Verfahren einsetzen. Eine STN CA, die sich formal außerhalb der drei Hierarchien unterhalb der PCAs befindet, ist die Secure Server Zertifizierungsstelle. Diese CA hat keine übergeordnete CA, wie z.b. eine Root oder eine PCA. Die Secure Server CA fungiert als ihre eigene Root und hat sich selbst ein selbstsigniertes Root-Zertifikat ausgestellt. Sie vergibt auch Zertifikate an Endteilnehmer. Die Secure Server Hierarchie besteht demnach lediglich aus der Secure Server CA. Die Secure Server CA vergibt Secure Server IDs, die als Class 3- Organisationszertifikate gelten. Die Secure Server CA wendet dabei Lebenszyklusverfahren an, die im Wesentlichen den Verfahren anderer Class 3-CAs innerhalb des STN entsprechen. Symantec hat die Secure Server Zertifizierungsstelle daher als Class 3-CA innerhalb des STN zugelassen und ausgewiesen. Die von ihr ausgestellten Zertifikate besitzen demnach eine mit anderen Class 3-Organisationszertifikaten vergleichbare Vertrauenswürdigkeit Registrierungsstellen Eine Registrierungsstelle (Registration Authority, RA) ist eine Stelle, die die Identifizierung und Authentifizierung von Antragstellern für Endteilnehmer-Zertifikate durchführt, Sperranträge für Endteilnehmer-Zertifikate anregt, stellt oder weiterleitet und Erneuerungsanträge für Zertifikate oder Anträge auf Schlüsselerneuerung im Auftrag einer STN CA genehmigt. S-TRUST kann als RA für Zertifikate tätig sein, die es ausstellt. Dritte, die in eine Vertragsbeziehung mit S-TRUST treten, können ihre eigene RA betreiben und die Vergabe von Zertifikaten durch eine S-TRUST CA autorisieren. Dritt-RAs müssen alle Bestimmungen der STN CP, des S-TRUST CPS und ihrer Unternehmensdienstleistungsvereinbarung (Vertrag) mit S-TRUST 6 Class 4-Zertifikate werden durch das VTN derzeit nicht vergeben

12 beachten. Abhängig von ihren internen Anforderungen können RAs jedoch auch restriktivere Verfahren einsetzen Endteilnehmer Endteilnehmer im Rahmen des STN umfassen alle Endnutzer (einschließlich Stellen) von Zertifikaten, die von einer STN-CA ausgestellt wurden. Ein Endteilnehmer ist eine Stelle, die als Endteilnehmer eines Zertifikats benannt wurde. Bei Endnutzern kann es sich um natürliche Personen, Organisationen oder Infrastrukturkomponenten wie Firewalls, Router, vertrauenswürdige Server oder andere Geräte handeln, die zur Sicherung der Kommunikation in einer Organisation verwendet werden. In manchen Fällen werden Zertifikate für den eigenen Gebrauch direkt an natürliche Personen oder Stellen vergeben. Es gibt jedoch häufig andere Situationen, in denen der Antragsteller eines Zertifikats nicht mit dem Subjekt übereinstimmt, auf das sich das Zertifikat bezieht. Eine Organisation kann beispielsweise Zertifikate für ihre Mitarbeiter anfordern, um ihnen zu ermöglichen, die Organisation bei elektronischen Transaktionen/Geschäftsvorgängen zu vertreten. In diesen Fällen unterscheidet sich die Stelle, die Endteilnehmer für die Vergabe von Zertifikaten ist (d.h. für sie im Rahmen des Bezugs einer bestimmten Dienstleistung oder als Aussteller selbst bezahlt), von der Stelle, die das Subjekt des Zertifikats ist (im Allgemeinen der Inhaber des Berechtigungsnachweises). Zur Unterscheidung dieser beiden Rollen werden in diesem CPS zwei unterschiedliche Begriffe verwendet: Ein Endteilnehmer ist eine Stelle, die mit S-TRUST einen Vertrag über die Vergabe von Zertifikaten schließt. Ein Subjekt ist die Person, an die das Zertifikat gebunden ist. Der Endteilnehmer trägt zwar die letztendliche Verantwortung für den Gebrauch des Zertifikats, das Subjekt ist jedoch die Person, die bei der Vorlage/Übermittlung des Zertifikats authentifiziert wird. Der Begriff Subjekt wird zur Abgrenzung von einem Endteilnehmer verwendet. Der Begriff Endteilnehmer kann sich entweder auf einen Endteilnehmer als eigenständige Stelle beziehen oder als Überbegriff für beide Begriffe verwendet werden. Welche Bedeutung die Verwendung eines Begriffs im Einzelfall hat, hängt daher vom Kontext ab, in dem die Begriffe verwendet werden. CAs sind genau genommen auch Endteilnehmer von Zertifikaten innerhalb des STN, entweder als PCA, die sich ein selbstsigniertes Zertifikat ausstellt, oder als CA, der durch eine übergeordnete CA ein Zertifikat ausgestellt wird. Die Begriffe Endstelle und Endteilnehmer beziehen sich in diesem CPS jedoch nur auf Endnutzer Vertrauende Dritte Ein Vertrauender Dritter (Relying Party) ist eine natürliche Person oder Stelle, die sich auf die Vertrauenswürdigkeit eines/einer im Rahmen des STN ausgestellten Zertifikats und/oder digitalen Signatur verlässt. Ein Vertrauender Dritter kann auch ein Endteilnehmer innerhalb des STN sein Andere Teilnehmer Nicht anwendbar 1.4 Verwendung von Zertifikaten Zulässige Verwendung von Zertifikaten Zertifikate für natürliche Personen Zertifikate für natürliche Personen werden in der Regel von natürlichen Personen dazu verwendet, s zu signieren und zu verschlüsseln und sich bei Anwendungen zu authentisieren (Client- Authentisierung). Während in der folgenden Tabelle 1 die gebräuchlichsten Verwendungszwecke von Zertifikaten für natürliche Personen aufgeführt sind, kann ein Zertifikat für natürliche Personen auch zu anderen Zwecken verwendet werden, vorausgesetzt, ein Vertrauender Dritter kann dem Zertifikat in 7 Ein Beispiel für eine Dritt-RA ist ein Kunde eines Managed PKI Services-Kunden

13 angemessener Weise vertrauen und die Verwendung ist nicht anderweitig gesetzlich, aufgrund der STN CP, des CPS, in dessen Rahmen das Zertifikat ausgestellt wurde, oder etwaiger Vereinbarungen mit Endteilnehmern verboten. Zertifikatsklasse Sicherheitsniveau Verwendung Niedriges Sicherheits niveau Mittleres Sicherheits niveau Hohes Sicherheits niveau 8 Signieren 9 Verschlüsselung Client- Authentisierung Class 1- Zertifikate Class 2- Zertifikate Class 3- Zertifikate Tabelle 1. Verwendung von Zertifikaten für natürliche Personen Zertifikate für Organisationen Organisationszertifikate werden an Organisationen vergeben, nachdem authentifiziert wurde, dass die Organisation rechtlich existiert und dass andere im Zertifikat enthaltene Organisationsattribute (ausschließlich nicht verifizierter Endteilnehmer-Informationen) authentifiziert wurden, wie z.b. der Besitz einer Internet- oder -Domäne. Es liegt nicht in der Absicht dieses CPS, die Verwendungszwecke von Organisationszertifikaten einzuschränken. Während in der folgenden Tabelle 2 die gebräuchlichsten Verwendungszwecke aufgeführt sind, kann ein Organisationszertifikat auch zu anderen Zwecken verwendet werden, vorausgesetzt, ein Vertrauender Dritter kann dem Zertifikat in angemessener Weise vertrauen und die Verwendung ist nicht anderweitig gesetzlich, aufgrund der STN CP, des CPS, in dessen Rahmen das Zertifikat ausgestellt wurde, oder etwaiger Vereinbarungen mit Endteilnehmern verboten. 8 Ein hohes Sicherheitsniveau weist im Rahmen dieses CPS lediglich auf ein hohes Sicherheitsniveau innerhalb des STN hin. Derzeit stellt S-TRUST im Rahmen dieses CPS keine qualifizierten Zertifikate nach 2 Nr. 7 Signaturgesetz (SigG) aus. 9 Siehe Fußnote

14 Sicherheitsniveau Verwendung Class 2- Zertifikate Class 3- Zertifikate Hohes Sicherheits niveau 10 Mittleres Sicherheits niveau Code/Content Signing Zertifikatsklasse SSLsichere SSL / TLS Internetsitzungen Authentisierung Signieren 11 und Verschlüsse lung Tabelle 2. Verwendung von Organisationszertifikaten Sicherheitsniveaus Zertifikate mit niedrigem Sicherheitsniveau sind Zertifikate, die nicht zu Authentifizierungszwecken oder zur Unterstützung von Nichtabstreitbarkeit (non-repudiation) verwendet werden sollten. Die digitale Signatur bietet eine eingeschränkte Sicherheit, dass die von einem Absender mit einer bestimmten -Adresse stammt. Das Zertifikat liefert jedoch keinen Identitätsnachweis des Endteilnehmers. Die Verschlüsselungsapplikation erlaubt es einem Vertrauenden Dritten, das Zertifikat des Endteilnehmers zur Verschlüsselung von Nachrichten an den Endteilnehmer zu verwenden, auch wenn der sendende Vertrauende Dritte sich nicht sicher sein kann, dass es sich bei dem Empfänger auch tatsächlich um die im Zertifikat genannte Person handelt. Zertifikate mit mittlerem Sicherheitsniveau sind Zertifikate, die sich für die Sicherung verschiedener geschäftlicher und privater s zwischen und innerhalb von Organisationen eignen, die ein mittleres Sicherheitsniveau zum Nachweis der Identität des Endteilnehmers in Bezug auf Class 1 und 3 erfordern. Zertifikate mit hohem Sicherheitsniveau sind Class 3-Zertifikate für natürliche Personen und Organisationen, die im Vergleich zu Class 1 und 2 ein hohes Sicherheitsniveau zum Nachweis der Identität des Endteilnehmers bieten Unzulässige Verwendung von Zertifikaten Zertifikate dürfen nur im zulässigen geltenden gesetzlichen Rahmen verwendet werden. Dies gilt insbesondere hinsichtlich der Beachtung der geltenden Ausfuhr- und Einfuhrbestimmungen. Symantec und S-TRUST Zertifikate sind nicht zur Verwendung oder zum Weitervertrieb als Kontroll- oder Steuerungseinrichtungen in gefährlichen Umgebungen oder für Verwendungszwecke, bei denen ein ausfallsicherer Betrieb erforderlich ist, wie z.b. der Betrieb von nuklearen Einrichtungen, Flugzeugnavigations- oder -kommunikationssystemen, Luftverkehrs-Kontrollsystemen oder Waffenkontrollsystemen, wobei ein Ausfall direkt zum Tode, zu Personenschäden oder schweren Umweltschäden führen kann, vorgesehen, darauf ausgelegt oder zugelassen. Ebenso dürfen Class 1- Zertifikate nicht als Identitätsnachweis oder zur Unterstützung der Nichtabstreitbarkeit der Identität oder einer Berechtigung verwendet werden. Client-Zertifikate sind für Client-Applikationen vorgesehen und dürfen nicht als Server- oder Organisationszertifikate verwendet werden. CA-Zertifikate dürfen ausschließlich für CA-Funktionen verwendet werden. Des Weiteren dürfen Zertifikate für Endteilnehmer nicht als CA-Zertifikate verwendet werden. 10 Siehe Fußnote 8 11 Siehe Fußnote 8 12 Siehe Fußnote

15 Symantec und S-TRUST nehmen eine regelmäßige Schlüsselerneuerung der Zwischen-CAs vor. Es ist daher möglich, dass Drittapplikationen oder -plattformen, die eine Zwischen-CA als Root-Zertifikat eingebettet haben.nach der Schlüsselerneuerung der Zwischen-CA nicht wie vorgesehen funktionieren. S-TRUST übernimmt daher keine Gewähr oder Haftung bei einer Verwendung von Zwischen-CAs als Root- Zertifikate und empfiehlt, Zwischen-CAs nicht als Root-Zertifikate in Applikationen und/oder Plattformen einzubetten. 1.5 Verwaltung von Richtlinien Organisation, die das Dokument verwaltet Deutscher Sparkassen Verlag GmbH S-TRUST Zertifizierungsdienstleistungen Abteilung KDP 2 Am Wallgraben Stuttgart Deutschland Kontaktperson The Certificate Policy Manager Symantec Trust Network Policy Management Authority c/o Deutscher Sparkassen Verlag GmbH S-TRUST Zertifizierungsdienstleistungen Abteilung KDP 2 Am Wallgraben Stuttgart Deutschland Tel.: Fax: service@s-trust.de Person, die über die Vereinbarkeit der Richtlinien mit den CP entscheidet Die in Abschnitt genannte Organisation ist für die Entscheidung darüber verantwortlich, ob dieses CPS und andere Certification Practice Statements entsprechende Dokumente, die dieses CPS ergänzen oder ihm untergeordnet sind, mit den CP und diesem CPS vereinbar sind CPS-Genehmigungsverfahren Die Genehmigung dieses CPS und späterer Änderungen findet durch die PMA (Policy Management Authority) statt. Änderungen bedürfen der Form eines Dokuments, das eine geänderte Version des CPS beinhaltet, oder eines Aktualisierungshinweises. Geänderte Versionen oder Aktualisierungen müssen im Repository von S-TRUST unter der folgenden Adresse verlinkt werden: Aktualisierungen setzen etwaige in der referenzierten Version des CPS aufgeführte oder widersprüchliche Bestimmungen außer Kraft. 1.6 Definitionen und Akronyme Eine Tabelle mit Akronymen und Definitionen finden Sie in Anhang A. 13 Kostenlos innerhalb des deutschen Festnetzes

16 2. Verantwortung für Veröffentlichung und Datenbank 2.1 Datenbanken S-TRUST ist für die Datenbankfunktionen für seine eigenen CAs und die CAs seiner Unternehmens- Kunden verantwortlich. Gemäß CPS 2.2 veröffentlicht S-TRUST Zertifikate, die es an Endteilnehmer vergibt, in der Datenbank. Bei Sperrung eines Endteilnehmer-Zertifikats veröffentlicht S-TRUST einen Hinweis über diesen Widerruf in der Datenbank. S-TRUST erstellt Sperrlisten (Certificate Revocation List, CRL) für seine eigenen CAs und die CAs von Service-Centern und Unternehmens-Kunden innerhalb seiner Subdomäne gemäß den Bestimmungen dieses CPS. Ferner stellt S-TRUST für Unternehmens-Kunden, die einen Vertrag über Online Certificate Status Protocol ( OCSP )-Services geschlossen haben, OCSP-Services gemäß den Bestimmungen dieses CPS bereit. 2.2 Veröffentlichung von Zertifikatsinformationen S-TRUST unterhält eine web-basierte Datenbank (Repository), die es Vertrauenden Dritten ermöglicht, Online-Anfragen zu Sperrung und anderen Statusinformationen über Zertifikate durchzuführen. S-TRUST stellt Vertrauenden Dritten Informationen zur Verfügung, wie sie die entsprechende Datenbank finden können, um den Status von Zertifikaten abzufragen und wie sie den richtigen OCSP-Responder finden, falls ein OCSP (Online Certificate Status Protocol) verfügbar ist. S-TRUST veröffentlicht die Zertifikate, die es ausstellt, im Auftrag seiner eigenen CAs und der CAs von Client-Service-Centern in ihrer Subdomäne. Bei Sperrung eines Endteilnehmer-Zertifikats veröffentlicht S-TRUST einen Hinweis auf diese Sperrung in der Datenbank. Ferner erstellt S-TRUST Sperrlisten (Certificate Revocation List, CRL) und stellt, falls verfügbar, OCSP-Services (Online Certificate Status Protocol) für seine eigenen CAs und die CAs von Service-Centern innerhalb seiner Subdomäne bereit. S-TRUST wird ständig eine aktuelle Version veröffentlicht halten von: o o o diesem CPS, Endteilnehmer-Verträgen, Verträgen für Vertrauende Dritte. S-TRUST trägt die Verantwortung für die Datenbankfunktion für S-TRUST CAs und CAs von Unternehmens-Kunden, die Zertifikate innerhalb der S-TRUST Subdomäne des STN vergeben. S-TRUST veröffentlicht bestimmte CA-Informationen im Datenbankbereich auf der S-TRUST Website unter (siehe unten). S-TRUST veröffentlicht die STN CP, dieses CPS, Endteilnehmer-Verträge und Verträge für Vertrauende Dritte im Datenbankbereich auf der S-TRUST Website

17 S-TRUST veröffentlicht Zertifikate gemäß der folgenden Tabelle 3. Zertifikatstyp STN PCA und ausstellende Root CA-Zertifikate S-TRUST ausstellende CA- Zertifikate Zertifikat der S-TRUST CA, das Managed PKI Lite- Zertifikate und CA- Zertifikate von Managed PKI-Kunden unterstützt Symantec OCSP Responder-Zertifikate Endteilnehmer-Zertifikate Von Managed PKI-Kunden ausgestellte Endteilnehmer-Zertifikate Veröffentlichungsvorgaben Für Vertrauende Dritte verfügbar durch Einbindung in aktuelle Browser- Software und als Teil einer Zertifikatskette, die mit dem Endteilnehmer- Zertifikat über die unten beschriebenen Abfragefunktionen abrufbar ist. Für Vertrauende Dritte verfügbar als Teil einer Zertifikatskette, die mit dem Endteilnehmer-Zertifikat über die unten beschriebenen Abfragefunktionen abrufbar ist. Verfügbar durch Abfrage des S-TRUST LDAP-Verzeichnis-Servers unter directory.s-trust.de. Verfügbar durch Abfrage des S-TRUST LDAP-Verzeichnis-Servers unter ocsp.s-trust.de. Verfügbar durch Abfrage des S-TRUST LDAP-Verzeichnis-Servers unter directory.s-trust.de. Über die oben genannten Abfragefunktionen verfügbar. Nach Ermessen des Managed PKI-Kunden ist das Zertifikat unter Umständen nur über eine Suche unter Angabe der Seriennummer des Zertifikats zugänglich. Tabelle 3. Vorgaben für die Veröffentlichung von Zertifikaten 2.3 Zeitpunkt oder Intervall der Veröffentlichung Aktualisierungen dieses CPS werden gemäß Abschnitt 9.12 veröffentlicht. Aktualisierungen von Endteilnehmer-Verträgen und Verträgen für Vertrauende Dritte werden bei Bedarf veröffentlicht. Zertifikate werden zum Zeitpunkt der Vergabe veröffentlicht 14. Statusinformationen zu Zertifikaten werden gemäß den Bestimmungen dieses CPS veröffentlicht. 2.4 Zugangskontrollen zu Datenbanken Im Datenbankbereich der S-TRUST Website veröffentlichte Informationen sind allgemein zugängliche Informationen. Der Lesezugriff auf diese Informationen ist unbeschränkt. Um Zugriff auf Zertifikate, Statusinformationen zu Zertifikaten oder Sperrlisten (CRL) zu erhalten, verlangt S-TRUST die Zustimmung zu einem Vertrag für Vertrauende Dritte oder einem CRL-Nutzungsvertrag als Bedingung für den Zugriff. S-TRUST hat logische und physische Sicherheitsmaßnahmen implementiert, um unbefugte Personen daran zu hindern, Datenbankeinträge hinzuzufügen, zu löschen oder zu ändern. 3. Identifizierung und Authentifizierung 3.1 Namensgebung Soweit in den STN CP, diesem CPS oder dem Inhalt des digitalen Zertifikats nicht anderes festgelegt ist, sind Namen, die in Zertifikaten erscheinen, die im Rahmen des STN ausgestellt wurden, authentifiziert Art der Namen 14 Für die Veröffentlichung von Endteilnehmer-Zertifikaten natürlicher Personen ist die vorherige (schriftliche) Zustimmung des Endteilnehmers erforderlich. Ohne die vorherige Zustimmung des Endteilnehmers können Zertifikate nur durch Empfänger von Dokumenten verifiziert werden, die vom Endteilnehmer mithilfe seines privaten Schlüssels signiert wurden

18 S-TRUST CA-Zertifikate enthalten eindeutige Namen (Distinguished Names) im X.501-Standard in den Feldern Issuer (Aussteller) und Subject (Subjekt). Eindeutige Namen von S-TRUST CAs bestehen aus den in Tabelle 4 (siehe unten) aufgelisteten Komponenten. Attribut Wert Country (C) = Ländercode (z.b. DE) oder nicht verwendet. Organization (O) = VeriSign, Inc. oder Deutscher Sparkassen Verlag GmbH 15 Organizational Unit (OU) = State or Province (S) = Locality (L) = Common Name (CN) = S-TRUST CA-Zertifikate können mehrere OU-Attribute enthalten. Diese Attribute können unter anderem folgendes enthalten: CA-Name Symantec Trust Network einen Hinweis auf den geltenden Vertrag für Vertrauende Dritte, in dem die Nutzungsbedingungen für das das Zertifikat festgelegt sind, und einen urheberrechtlichen Hinweis. Text zur Beschreibung des Zertifikatstyps. Nicht verwendet. Nicht verwendet mit Ausnahme der SymantecCommercial Software Publishers-CA, die Internet verwendet. Dieses Attribut enthält den CA-Namen (falls der CA-Name nicht in einem OU-Attribut festgelegt ist) oder wird nicht verwendet. Tabelle 4 Attribute von eindeutigen Namen in CA-Zertifikaten Endteilnehmer-Zertifikate enthalten einen eindeutigen Namen im X.501-Format im Subjektnamensfeld und bestehen aus den in Tabelle 5 (siehe unten) aufgelisteten Komponenten. Attribut Country (C) = Organization (O) = Organizational Unit (OU) = State or Province (S) = Locality (L) = Wert Ländercode (z.b. DE) oder nicht verwendet. Das Organisationsattribut wird wie folgt verwendet: Endteilnehmer-Organisationsname für Web-Server-Zertifikate und Zertifikate für natürliche Personen, die einer Organisation angehören, oder nicht verwendet. S-TRUST Endteilnehmer-Zertifikate können mehrere OU-Attribute enthalten. Diese Attribute können unter anderem folgendes enthalten: Endteilnehmer-Organisationseinheit (für Organisationszertifikate und Zertifikate für natürliche Personen, die einer Organisation angehören) Symantec Trust Network einen Hinweis auf den geltenden Vertrag für Vertrauende Dritte, in dem die Nutzungsbedingungen für das Zertifikat festgelegt sind einen urheberrechtlichen Hinweis Authenticated by S-TRUST und Member, Symantec Trust Network in Zertifikaten, deren Applikationen durch Symantec authentifiziert wurden Persona Not Validated für Class 1-Zertifikate für natürliche Personen Text zur Beschreibung des Zertifikatstyps. Gibt den Bundesstaat oder die Provinz des Endteilnehmers an (State ist in Zertifikaten für natürliche Personen kein erforderliches Feld) Gibt den Ort des Endteilnehmers an (Locality ist in Zertifikaten für 15 Eine Ausnahme hierzu ist die Secure Server-CA, die RSA Data Security, Inc. anzeigt, jedoch nun eine VeriSign-CA ist

19 Attribut Common Name (CN) = Address (E) = Wert natürliche Personen kein erforderliches Feld). Dieses Attribut enthält: den Namen des OCSP Responders (für OCSP Responder- Zertifikate) Domänenname (für Web-Server-Zertifikate) Organisationsname (für Code/Object Signing-Zertifikate) Name (bei Zertifikaten für natürliche Personen) -Adresse für Class 1-Zertfikate für natürliche Personen und im allgemeinen für MPKI Endteilnehmer-Zertifikate Tabelle 5 Attribute von eindeutigen Namen in Endteilnehmer-Zertifikaten Bei Class 2-3-Zertifikaten wird die Komponente Common Name (CN=) des eindeutigen Namens im Subjektfeld von Endteilnehmer-Zertifikaten authentifiziert. Der in den eindeutigen Subjektnamen von Organisationszertifikaten enthaltene authentifizierte Wert für den Gebrauchsnamen (Common Name) ist ein Domänenname (im Falle von Secure Server-IDs und Global Server-IDs) oder der Firmenname der Organisation oder Abteilung innerhalb der Organisation. Der in den eindeutigen Subjektnamen von Zertifikaten für natürliche Personen enthaltene Wert für den Gebrauchsnamen (Common Name) ist der allgemein anerkannte bürgerliche Name der natürlichen Person Warum Namen aussagekräftig sein sollten Class 2- und 3-Endteilnehmer-Zertifikate enthalten Namen mit allgemein verständlicher Semantik, mithilfe derer sich die Identität der natürlichen Person oder Organisation, die das Subjekt des Zertifikats (Zertifikatsinhaber) ist, feststellen lässt. S-TRUST CA-Zertifikate enthalten Namen mit allgemein verständlicher Semantik, mithilfe derer sich die Identität der CA, die das Subjekt des Zertifikats ist, feststellen lässt Anonymität von Endteilnehmern oder Verwendung von Pseudonymen Die Identität von Class 1-Endteilnehmern wird nicht authentifiziert; Class 1-Endteilnehmer können Pseudonyme benutzen. Soweit es nicht gesetzlich erforderlich ist oder von einer staatlichen Behörde zum Schutz der Identität bestimmter Endteilnehmer verlangt wird (z.b. bei Minderjährigen oder vertraulichen Daten von Regierungsangestellten), dürfen Class 2- und 3-Endteilnehmer keine Pseudonyme (Namen, die nicht dem tatsächlichen bürgerlichen Namen oder Organisationsnamen des Endteilnehmers entsprechen) benutzen. Jeder Antrag auf Anonymität in einem Zertifikat wird individuell durch die PMA bewertet. Falls dem Antrag stattgegeben wird, wird in dem Zertifikat darauf hingewiesen, dass die Identität zwar authentifiziert wurde, aber geschützt ist Regeln für die Interpretation verschiedener Namensformen Keine Bestimmungen Eindeutigkeit von Namen S-TRUST gewährleistet, dass eindeutige Subjektnamen von Endteilnehmern innerhalb der Domäne einer spezifischen CA durch automatisierte Komponenten des Antragstellungsverfahrens für Endteilnehmer nur einmalig vorkommen. Endteilnehmer können zwei oder mehr Zertifikate mit demselben eindeutigen Subjektnamen haben