Polityka certyfikacji w zakresie niekwalifikowanych usług certyfikacyjnych dla

Polityka certyfikacji w zakresie niekwalifikowanych usług certyfikacyjnych dla. Wersja 1.0 Warszawa 2009 r.

Historia dokumentu Wersja Data Opis prac 1.0 dd-mm-yyyy Publikacja dokumentu. 2

Spis treści 1. WSTĘP...7 1.1 WPROWADZENIE... 7 1.2 DOKUMENTACJA... 9 1.3 ARCHITEKTURA PKI W CENTRUM CERTYFIKACJI... 9 1.3.1 CENTRUM CERTYFIKACJI... 10 1.3.2 URZĄD REJESTRACJI... 11 1.3.3 SUBSKRYBENT... 11 1.3.4 STRONA UFAJĄCA... 11 1.4 ZASTOSOWANIE USŁUG CERTYFIKACYJNYCH... 12 1.4.1 WYKORZYSTANIE USŁUG CERTYFIKACYJNYCH... 12 1.4.2 OGRANICZENIE WYKORZYSTANIA USŁUG CERTYFIKACYJNYCH... 12 1.5 ZARZĄDZANIE POLITYKĄ CERTYFIKACJI... 13 1.5.1 ORGAN ZARZĄDZAJĄCY POLITYKĄ CERTYFIKACJI... 13 1.5.2 OSOBY KONTAKTOWE... 13 1.5.3 ZATWIERDZANIE POLITYKI CERTYFIKACJI... 13 1.6 DEFINICJE I AKRONIMY... 13 2 ZOBOWIĄZANIA OGÓLNE...16 2.1 REPOZYTORIUM CENTRUM CERTYFIKACJI... 16 2.2 INFORMACJE PODLEGAJĄCE PUBLIKACJI W REPOZYTORIUM... 16 2.3 CZĘSTOTLIWOŚĆ PUBLIKACJI INFORMACJI W REPOZYTORIUM... 16 2.4 DOSTĘP DO REPOZYTORIUM... 17 3 IDENTYFIKACJA SUBSKRYBENTA...18 3.1 NAZEWNICTWO... 18 3.1.1 Typy nazw... 18 3.1.2 Prawidłowość danych zamieszczanych w certyfikatach... 18 3.1.3 Anonimowość Subskrybentów... 18 3.1.4 Zasady interpretowania nazw... 18 3.1.5 Unikalność nazw... 19 3.1.6 Wykorzystanie znaków towarowych... 20 3.2 PIERWSZA CERTYFIKACJA SUBSKRYBENTA... 20 3.2.1 Dowód posiadania klucza prywatnego... 20 3.2.2 Weryfikacja tożsamości... 20 3.2.3 Dane nie podlegające weryfikacji... 20 3.3 RECERTYFIKACJA SUBSKRYBENTA... 20 3.3.1 Recertyfikacja Subskrybenta w przypadku wygaśnięcia Certyfikatu... 20 3.3.2 Recertyfikacja Subskrybenta w przypadku unieważnienia Certyfikatu... 20 3.4 AUTORYZACJA ZGŁOSZEŃ O UNIEWAŻNIENIE CERTYFIKATU... 21 4 CYKL ŻYCIA USŁUG CERTYFIKACYJNYCH...22 4.1 SKŁADANIE WNIOSKU O CERTYFIKAT... 22 4.1.1 Podmioty upoważnione do składania wniosku o Certyfikat... 22 3

4.1.2 Procedura ubiegania się o Certyfikat przez osobę fizyczną... 22 4.2 PRZETWARZANIE WNIOSKU O CERTYFIKAT... 22 4.2.1 Weryfikacja tożsamości Subskrybenta... 22 4.2.2 Procedura przyjęcia wniosku o wystawienie Certyfikatu... 22 4.2.3 Czas realizacji wniosku o wystawienie Certyfikatu... 23 4.3 WYSTAWIENIE CERTYFIKATU... 23 4.3.1 Przetwarzanie wniosku o wystawienie certyfikatu w Centrum Certyfikacji. 23 4.3.2 Informowanie Subskrybenta o wystawieniu Certyfikatu... 23 4.4 AKCEPTACJA CERTYFIKATU... 23 4.4.1 Potwierdzenie akceptacji Certyfikatu przez Subskrybenta... 23 4.4.2 Publikacja Certyfikatu w Repozytorium Centrum Certyfikacji... 24 4.4.3 Informowanie Stron ufających o wystawieniu Certyfikatu dla Subskrybenta 24 4.5 UŻYCIE CERTYFIKATU I PARY KLUCZY... 24 4.5.1 Użycie pary kluczy i Certyfikatu przez Subskrybenta... 24 4.5.2 Użycie klucza publicznego i Certyfikatu przez Stronę ufającą... 24 4.6 ODNAWIANIE CERTYFIKATU... 25 4.7 ODNAWIANIE CERTYFIKATU DLA ISTNIEJĄCEJ PARY KLUCZY... 25 4.8 MODYFIKACJA CERTYFIKATU... 25 4.8.1 Okoliczności modyfikacji Certyfikatu... 25 4.8.2 Podmioty upoważnione do ubiegania się o modyfikacje w Certyfikacie... 25 4.8.3 Procedura modyfikacji w Certyfikacie... 25 4.8.4 Informowanie Stron ufających o odnowieniu Certyfikatu Subskrybenta... 26 4.9 ZAWIESZANIE I UNIEWAŻNIANIE CERTYFIKATU... 26 4.9.1 Okoliczności unieważnienia Certyfikatu... 26 4.9.2 Podmioty upoważnione do unieważnienia certyfikatu... 27 4.9.3 Procedura składania wniosku o unieważnienie Certyfikatu przez Subskrybenta... 27 4.9.4 Procedura składania wniosku o unieważnienie Certyfikatu przez inny podmiot wpisany w Certyfikacie... 27 4.9.5 Procedura składania wniosku o unieważnienie Certyfikatu przez Centrum Certyfikacji... 28 4.9.6 Procedura przetwarzania wniosku o unieważnienie certyfikatu... 28 4.9.7 Czas realizacji unieważnienia Certyfikatu przez Centrum Certyfikacji... 28 4.9.8 Weryfikacja ważności Certyfikatu przez Strony ufające... 28 4.9.9 Częstotliwość generowania list CRL... 29 4.9.10 Okres ważności list CRL... 29 4.9.11 Dostępność list CRL... 29 4.9.12 Inne formy publikacji informacji o unieważnieniu Certyfikatu... 29 4.9.13 Okoliczności zawieszenia Certyfikatu... 29 4.9.14 Podmioty upoważnione do zawieszenia Certyfikatu... 29 4.9.15 Procedura składania wniosku w zakresie zawieszenia/ odwieszenia Certyfikatu przez Subskrybenta... 29 4.9.16 Procedura składania wniosku o zawieszenia/ odwieszenie Certyfikatu przez inny podmiot wpisany w Certyfikacie... 30 4.9.17 Procedura składania wniosku o zawieszenie/ odwieszenie Certyfikatu przez Centrum Certyfikacji... 30 4

4.9.18 Okres zawieszenia certyfikatu... 30 4.9.19 Publikacja informacji o zawieszeniu certyfikatu... 30 4.9.20 Inne formy publikacji informacji o zawieszeniu certyfikatu... 30 4.10 USŁUGI WERYFIKACJI WAŻNOŚCI CERTYFIKATU... 31 4.11 ZAKOŃCZENIE ŚWIADCZENIA USŁUGI CERTYFIKACYJNEJ... 31 4.12 ARCHIWIZACJA I ODTWARZANIE PARY KLUCZY... 31 5 ZABEZPIECZENIA ORGANIZACYJNE, OPERACYJNE I FIZYCZNE...32 5.1 ZABEZPIECZENIA FIZYCZNE... 32 5.1.1 Lokalizacja Centrum Certyfikacji... 32 5.1.2 Kontrola dostępu... 32 5.1.3 Zasilanie i klimatyzacja... 32 5.1.4 Ochrona przed zalaniem... 32 5.1.5 Ochrona przeciwpożarowa... 32 5.1.6 Przechowywanie nośników danych... 32 5.1.7 Niszczenie informacji i nośników danych... 33 5.1.8 Przechowywanie nośników danych poza miejscem eksploatacji Centrum Certyfikacji... 33 5.2 ZABEZPIECZENIA PROCEDURALNE... 33 5.2.1 Zaufane role... 33 5.2.2 Dopuszczenie do realizacji zadań w Centrum Certyfikacji... 33 5.2.3 Zasady uwierzytelniania i autoryzacji ról... 33 5.2.4 Zasady łączenia ról... 33 5.3 ZABEZPIECZENIA OSOBOWE... 33 5.3.1 Wymagania dotyczące kwalifikacji, doświadczenia, sprawdzenia pracowników... 33 5.3.2 Weryfikacja doboru pracowników... 34 5.3.3 Wymagania szkoleniowe... 34 5.3.4 Rotacja pracowników... 34 5.3.5 Sankcje za nieuprawnione działania... 34 5.3.6 Pracownicy tymczasowi... 34 5.3.7 Dokumentacja udostępniana pracownikom... 34 5.4 PROCEDURY ARCHIWIZACJI ZDARZEŃ CENTRUM CERTYFIKACJI... 34 5.4.1 Rodzaje zdarzeń podlegających archiwizacji... 34 5.4.2 Częstotliwość przeglądu rejestrów zdarzeń... 35 5.4.3 Czas przechowywania archiwalnych kopii rejestrów zdarzeń... 35 5.4.4 Zabezpieczenie archiwalnych kopii rejestrów zdarzeń... 35 5.4.5 Procedura dostępu do archiwalnych kopii rejestrów zdarzeń... 35 5.4.6 Techniczna realizacja procesu archiwizacji rejestru zdarzeń... 36 5.5 POLITYKA TWORZENIA KOPII ZAPASOWYCH... 36 5.5.1 Rodzaje zasobów podlegających tworzeniu kopii zapasowych... 36 5.5.2 Częstotliwość tworzenia kopii zapasowych... 36 5.5.3 Czas przechowywania kopii zapasowych... 36 5.5.4 Przechowywanie i dostęp do kopii zapasowych... 36 5.5.5 Techniczna realizacja tworzenia kopii zapasowych... 36 5.6 ZMIANA PARY KLUCZY CENTRUM CERTYFIKACJI... 37 5.7 PLAN CIĄGŁOŚCI DZIAŁANIA... 37 5

5.7.1 Procedura postępowania po wystąpienie incydentu... 37 5.7.2 Postępowanie po uszkodzeniu zasobów sprzętowych programowych i danych 37 5.7.3 Postępowanie po naruszeniu ochrony klucza prywatnego Centrum Certyfikacji... 37 5.7.4 Możliwość do zapewniania ciągłości działania po wystąpieniu incydentu... 38 5.8 ZAKOŃCZENIE DZIAŁALNOŚCI CENTRUM CERTYFIKACJI... 38 6 ZABEZPIECZENIA TECHNICZNE...39 6.1 GENEROWANIE PARY KLUCZY... 39 6.1.1 Generowanie pary kluczy Centrum Certyfikacji... 39 6.1.2 Generowanie pary kluczy Subskrybenta... 39 6.1.3 Dostarczanie pary kluczy do Subskrybenta... 39 6.1.4 Dostarczanie klucza publicznego do Centrum Certyfikacji... 39 6.1.5 Dostarczanie klucza publicznego Centrum Certyfikacji do Stron ufających.. 39 6.1.6 Parametry techniczne pary kluczy... 39 6.1.7 Zastosowanie pary kluczy... 40 6.2 OCHRONA KLUCZA PRYWATNEGO... 40 6.2.1 Środki ochrony klucza prywatnego... 40 6.2.2 Podział klucza prywatnego... 40 6.2.3 Depozyt klucza prywatnego... 40 6.2.4 Kopia zapasowa klucza prywatnego... 40 6.2.5 Archiwizacja klucza prywatnego... 41 6.2.6 Przechowywanie klucza prywatnego w module kryptograficznym... 41 6.2.7 Aktywacja klucza prywatnego... 41 6.2.8 Niszczenie klucza prywatnego... 41 6.2.9 Ocena przydatności urządzeń kryptograficznych... 41 6.3 INNE ASPEKTY ZARZĄDZANIA PARĄ KLUCZY... 41 6.3.1 Archiwizacja kluczy publicznych... 41 6.3.2 Okresy stosowania pary kluczy... 42 6.4 DANE AKTYWUJĄCE KLUCZE... 42 6.5 ZABEZPIECZANIE SYSTEMÓW KOMPUTEROWYCH... 42 6.6 CYKL ŻYCIA ZABEZPIECZEŃ TECHNICZNYCH CENTRUM CERTYFIKACJI... 42 6.6.1 Rozwój systemu komputerowego... 42 6.6.2 Zarządzanie bezpieczeństwem... 42 6.7 KONTROLA ZABEZPIECZEŃ SIECI KOMPUTEROWEJ... 43 6.8 ZNAKOWANIE CZASEM... 43 7 PROFIL CERTYFIKATU I LISTY CRL...44 7.1 PROFIL CERTYFIKATU... 44 7.1.1 Numer wersji... 45 7.1.2 Rozszerzenia certyfikatów... 45 7.1.3 Zasady przetwarzania rozszerzeń... 46 7.1.4 Szczegółowy profil Certyfikatu Osobistego... 46 7.2 PROFIL LISTY CRL... 47 7.2.1 Numer wersji... 48 7.2.2 Rozszerzenia listy CRL... 48 6

8 AUDYT ZGODNOŚCI...50 8.1 CZĘSTOTLIWOŚĆ I OKOLICZNOŚCI AUDYTU... 50 8.2 KWALIFIKACJE AUDYTORÓW... 50 8.3 POWIĄZANIE AUDYTORÓW Z CENTRUM CERTYFIKACJI... 50 8.4 ZAKRES KONTROLI/AUDYTU... 50 8.5 PODEJMOWANIE DZIAŁAŃ W PRZYPADKU WYKRYCIA NIEZGODNOŚCI... 50 8.6 PRZEDSTAWIANIE WYNIKÓW AUDYTU... 51 9 INNE KWESTIE BIZNESOWE I PRAWNE...52 9.1 OPŁATY... 52 9.2 ODPOWIEDZIALNOŚĆ FINANSOWA... 52 9.3 POUFNOŚĆ INFORMACJI... 52 9.4 PRYWATNOŚĆ DANYCH OSOBOWYCH... 52 9.5 ZOBOWIĄZANIA I GWARANCJE... 52 9.5.1 Zobowiązania Centrum Certyfikacji... 52 9.5.2 Zobowiązania Subskrybenta... 52 9.5.3 Zobowiązania Strony ufającej... 53 9.6 OGRANICZENIA ODPOWIEDZIALNOŚCI... 53 9.7 ODSZKODOWANIA... 53 9.8 OCHRONA INFORMACJI... 53 9.9 ROZSTRZYGANIE SPORÓW... 53 1. Wstęp 1.1 Wprowadzenie Niniejszy dokument stanowi szczegółowy zbiór zasad opisujących świadczenie niekwalifikowanych usług certyfikacyjnych przez Centrum Certyfikacji EPU. Odzwierciedla 7

podejście do realizacji i wykorzystania usług Infrastruktury Klucza Publicznego (PKI). Odbiorcami dokumentu są Subskrybenci usług certyfikacyjnych oraz Strony ufające. Podmioty te zobowiązane są do przestrzegania treści Polityki certyfikacji pod rygorem konsekwencji służbowych i utraty certyfikatu elektronicznego Dokument został utworzony w oparciu o zalecenia RFC 3647 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework 1 Definicje pojęć i terminów jakie można znaleźć w niniejszym dokumencie zostały zamieszczone w rozdziale 1.6 Słownik terminów. Treść niniejszej Polityki certyfikacji należy rozpatrywać jako minimalny poziom wymagań stosowanych w PKI eksploatowanym w ramach Centrum Certyfikacji EPU. Usługi certyfikacyjne realizowane są tylko i wyłącznie na wewnętrzne potrzeby EPU i portalu informatycznego związanego z tym Centrum Certyfikacji Zadaniem Polityki certyfikacji jest ogólne opisanie reguł świadczenia usług certyfikacyjnych przez Centrum Certyfikacji EPU. Jego treść odnosi się nie tylko do składników samej Infrastruktury Klucza Publicznego w Centrum Certyfikacji EPU, lecz także do Subskrybentów (klientów usług certyfikacyjnych) oraz Stron ufających (odbiorców informacji zabezpieczonych elektronicznie z użyciem Certyfikatów wystawionych przez Centrum Certyfikacji EPU). Usługi PKI w szczególności obejmują: generowanie pary kluczy, generowanie i dystrybucję certyfikatów elektronicznych, udostępnianie mechanizmów weryfikacji ważności certyfikatów elektronicznych (listy CRL), publikowanie certyfikatów elektronicznych w Repozytorium Centrum Certyfikacji, O zaufaniu do Centrum Certyfikacji decyduje nie tylko treść Polityki Certyfikacji, lecz także zdolność do funkcjonowania Centrum Certyfikacji w zgodzie z regułami nakreślonymi w powyższym dokumencie. W celu zapewnienia jak najwyższego poziomu bezpieczeństwa, Centrum Certyfikacji zobowiązane jest do postępowania zgodnie z regułami zatwierdzonymi przez.. Obejmują one w szczególności obejmują: zagadnienia związane z identyfikacją i weryfikacją tożsamości Subskrybentów, utrzymanie odpowiedniego poziomu bezpieczeństwa systemu komputerowego i urządzeń kryptograficznych związanych z PKI, funkcjonowaniem systemu informatycznego Centrum Certyfikacji, periodyczną publikacją danych do weryfikacji ważności wystawianych certyfikatów, 1 Zalecenie dostępne jest pod adresem http://www.ietf.org/rfc/rfc3647.txt?number=3647 8

wykorzystaniem pary kluczy i certyfikatów przez Subskrybentów i Strony ufające. Wiarygodność usług certyfikacyjnych Centrum Certyfikacji ściśle zależy od skrupulatnej realizacji procedur eksploatacji Centrum Certyfikacji, zastosowanego sprzętu, wykorzystywanej lokalizacji oraz doborze odpowiedniego personelu. 1.2 Dokumentacja Zapisy Polityki certyfikacji definiują świadczenie usług certyfikacyjnych na wysokim poziomie abstrakcji. Operacyjnie Usługi certyfikacyjne realizowane są w oparciu o zbiór dokumentów obejmujących: procedury Centrum Certyfikacji (nie podlegające publikacji), procedury Urzędu rejestracji (nie podlegają publikacji), procedury zarządzania stanem ważności certyfikatu elektronicznego wniosek o wystawienie i zmianę stanu ważności certyfikatu elektronicznego. Polityka Certyfikacji i Regulamin Certyfikacji nie podlega rejestracji w Krajowym Rejestrze Identyfikatorów Obiektów. 1.3 Architektura PKI w Centrum Certyfikacji W niniejszym rozdziale zdefiniowano domenę usług certyfikacyjnych w ramach. Obejmuje ona organizacyjnie i technicznie wydzielone Centrum Certyfikacji oraz Urząd rejestracji pozostający w bezpośrednim kontakcie z Subskrybentami usług certyfikacyjnych. Rysunek przedstawiony poniżej ilustruje architekturę Centrum Certyfikacji EPU. 9

Usługi Centrum Certyfikacji EPU Repozytorium Centrum Certyfikacji Urząd rejestracji rejestracja na portalu Odbiorcy usług certyfikacyjnych Strona ufająca Subskrybent Rys 1. Architektura PKI w Centrum Certyfikacji 1.3.1 Centrum Certyfikacji Centrum Certyfikacji jest głównym elementem infrastruktury PKI. Zostało utworzone w celu generowania certyfikatów elektronicznych. Centrum Certyfikacji podlega bezpośrednio pod Centrum Certyfikacji funkcjonuje zgodnie z zapisami Polityki Certyfikacji. Podmiot ten odpowiada za wszelkie aspekty związane z wystawianiem i zarządzaniem certyfikatami elektronicznymi, począwszy od procesu rejestracji Subskrybenta, przez publikację certyfikatów po działania związane z ich zawieszaniem i unieważnianiem. W ramach architektury PKI wygenerowanej w. istnieje jedno Centrum Certyfikacji, posiadające samopodpisane zaświadczenie certyfikacyjne. Centrum Certyfikacji odpowiada za wystawianie: Zaświadczeń certyfikacyjnych dla siebie, Certyfikatów dla pracowników..odpowiadającym za utrzymanie Centrum Certyfikacji i świadczenie usług certyfikacyjnych (tzw. certyfikaty infrastruktury), Certyfikatów dla osób rejestrujących się na portalu informatycznym Centrum Certyfikacji wystawia Certyfikaty o specyfikacji opisanej w Polityce Certyfikacji. 10

Centrum Certyfikacji dostarcza także środki do zarządzania stanem ważności certyfikatów (unieważnianie/zawieszanie/uchylanie zawieszenia) oraz publikuje informacje o unieważnionych/zawieszonych certyfikatach. Centrum Certyfikacji jest głównym elementem Ścieżki certyfikacji i przed pierwszym użyciem Certyfikatu, zarówno Subskrybenci jaki i Strony ufające zobowiązane są do instalacji Zaświadczenia certyfikacyjnego Centrum Certyfikacji. Zaświadczenie to dostępne jest w Repozytorium. Centrum Certyfikacji jest zarządzane i utrzymywane przez wskazanych pracowników.. 1.3.2 Urząd rejestracji Za działania związane ze wspieraniem usług certyfikacyjnych odpowiada Urząd rejestracji funkcjonujący przy Centrum Certyfikacji. Do zadań Urzędu rejestracji której należy: realizacja procesu akceptacji zgłoszeń o wydanie Certyfikatu Subskrybentowi, weryfikacja tożsamości Subskrybentów, przekazywanie Subskrybentowi Certyfikatu, przyjmowanie zgłoszeń o zmianę stanu Certyfikatów Subskrybentów. Urząd rejestracji jest punktem styku pomiędzy Subskrybentami, a Centrum Certyfikacji. Za realizację zadań Urzędu rejestracji odpowiadają upoważnieni pracownicy.. Wymagane jest, aby przed uzyskaniem dostępu do systemu teleinformatycznego Centrum Certyfikacji upoważnieni pracownicy przeszli stosowne szkolenie. Urząd rejestracji funkcjonuje w ramach Polityki Certyfikacji oraz procedur i innych dokumentów dostarczanych przez Centrum Certyfikacji. Informacje kontaktowe dotyczące Urzędu rejestracji zostały opublikowane w Repozytorium Centrum Certyfikacji. 1.3.3 Subskrybent Subskrybentami mogą być wyłącznie osoby fizyczne, których określone dane, w tym dane osobowe, zostały zawarte w Certyfikacie. Zakres użycia certyfikatów został określony w Polityce certyfikacji. Zakres zobowiązań i odpowiedzialności Subskrybenta został opisany w rozdziale 9. 1.3.4 Strona ufająca Osoba fizyczna, prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, która w granicach określonych w Polityce certyfikacji może działać w oparciu o Certyfikat lub Zaświadczenie certyfikacyjne. 11

W szczególności Strona ufająca nie musi być Subskrybentem Usług certyfikacyjnych, a jej działania ograniczają się wówczas do weryfikacji ważności i interpretacji Certyfikatu Subskrybenta. Na czas wykorzystania Certyfikatu Subskrybenta, Strony ufające zobowiązane są do weryfikacji ważności Certyfikatu w zgodzie z zapisami niniejszej Polityki certyfikacji. Do realizacji procesu weryfikacji ważności Certyfikatu Strony ufające posługują się sprzętem i/lub oprogramowaniem do weryfikacji autentyczności i integralności danych zawartych w Certyfikacie. 1.4 Zastosowanie Usług certyfikacyjnych 1.4.1 Wykorzystanie Usług certyfikacyjnych W niniejszym rozdziale określono zakres dopuszczalnego użycia Certyfikatu w ramach niniejszej Polityki certyfikacji. Subskrybenci mogą wykorzystywać Certyfikaty tylko i wyłącznie w ramach wewnętrznego systemu informatycznego EPU. Wykorzystanie Certyfikatu poza zakresem przewidzianym przez Politykę certyfikacji może skutkować unieważnieniem certyfikatu. Za określenie danych zawartych w Certyfikacie oraz przeznaczenia Certyfikatu jaki ma zostać wystawiony odpowiada Subskrybent. Centrum Certyfikacji EPU wystawia następujące rodzaje Certyfikatów: Nazwa certyfikatu Odbiorca Źródło klucza Zastosowanie Certyfikat Osobisty Osoba fizyczna plik Podpisywanie danych i, uwierzytelnianie w systemie EPU Tabela 1. Dopuszczalne nazwy typów Certyfikatów. 1.4.2 Ograniczenie wykorzystania Usług certyfikacyjnych Centrum Certyfikacji nie odpowiada za skutki użycia Certyfikatów do innych celów niż opisano w rozdziale 1.4.1 Polityki certyfikacji. Powyższe ograniczenie odnosi się zarówno do Subskrybentów, jak i Stron ufających weryfikujących dane zabezpieczone elektronicznie z użyciem Certyfikatu Subskrybenta. 12

1.5 Zarządzanie Polityką certyfikacji 1.5.1 Organ zarządzający Polityką certyfikacji Polityka certyfikacji odzwierciedla podejście. do wykorzystania Usług certyfikacyjnych. Z tego względu są to dokumenty, których zarządzanie podlega wyłącznej kontroli... Polityka certyfikacji obowiązuje od dnia jej publikacji do dnia publikacji jej znowelizowanej wersji. 1.5.2 Osoby kontaktowe Zapytania i uwagi należy kierować na adres: Osoba kontaktowa:. Email:. Telefon:. 1.5.3 Zatwierdzanie Polityki certyfikacji Zmiany w dokumentacji certyfikacyjnej mogą wynikać ze zmiany uwarunkowań prawnych, zmian w wykorzystywanej technologii czy możliwości ich wykorzystania. Zmianę Polityki certyfikacji zatwierdza.... po czym podlegają one niezwłocznej publikacji w Repozytorium. Równolegle Subskrybenci i Strony ufające są informowani o nowelizacji Polityki certyfikacji. W przypadku braku akceptacji nowej wersji Polityki certyfikacji Subskrybent ma prawo do odstąpienia od wykorzystania certyfikatów oferowanych w ramach Centrum Certyfikacji EPU. 1.6 Definicje i akronimy Definicja Centrum Certyfikacji Certyfikat Klucz prywatny Klucz publiczny Opis Organ odpowiedzialny za wystawianie i zarządzanie certyfikatami elektronicznymi. Elektroniczne zaświadczenie, poświadczające przynależność klucza publicznego do Subskrybenta wskazanego w certyfikacie. Ciąg danych, wykorzystywany do składania podpisu elektronicznego i deszyfrowania danych. Klucz prywatny powinien pozostawać pod wyłączną kontrolą jego posiadacza. Ciąg danych, wykorzystywany do weryfikacji podpisu elektronicznego i szyfrowania danych. Klucz publiczny może być swobodnie dystrybuowany i jest zamieszczany w certyfikacie. 13

Kryptografia asymetryczna Lista CRL Nazwa wyróżniona Odbiorca usług certyfikacyjnych Para kluczy Podpis elektroniczny Podział na sekrety Polityka certyfikacji Repozytorium EPU Sprzętowy moduł bezpieczeństwa Strona ufająca Subskrybent Rodzaj kryptografii, która wykorzystuje parę matematycznie powiązanych ze sobą kluczy, zwanych kluczem publicznym i kluczem prywatnym. Lista unieważnionych i zawieszonych certyfikatów klucza publicznego wystawionych przez Centrum Certyfikacji. Lista jest poświadczona elektronicznie przez Centrum Certyfikacji. Jednoznaczna nazwa Subskrybenta, która została zapisana w certyfikacie. Nazwą wyróżnioną identyfikuje się także Centrum Certyfikacji. Subskrybent usług certyfikacyjnych lub Strona ufająca. Klucz prywatny i klucz publiczny, które połączone są ze sobą zależnością matematyczną. Para wykorzystywana jest do kryptograficznego zabezpieczania informacji, np. do podpisu elektronicznego, szyfrowania. Dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały połączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny. Praktyka dystrybuowania części klucza prywatnego między kilku użytkowników. Dokument określający ogólne zasady świadczenia usług certyfikacyjnych przez Centrum Certyfikacji EPU. Element Centrum Certyfikacji, odpowiedzialny za publikację najbardziej istotnych dla architektury PKI informacji takich jak listy CRL, certyfikaty, polityki i regulaminy certyfikacji. EPU (Elektroniczne Postępowanie Upominawcze) funkcjonujące w ramach Kodeksu Prawa Cywilnego odrębne postępowanie inicjowane poprzez portal informatyczny pełniący zadania tzw. e-sądu utworzonego jako wydział cywilnego sądu rejonowego, Urządzenie sprzętowo programowe odpowiadające za przechowywanie klucza prywatnego i realizację operacji kryptograficznych z użyciem klucza prywatnego. Uczestnik architektury PKI, który jest odbiorcą informacji zabezpieczonej kryptograficznie. Strona ufająca nie jest zobowiązana do bycia Subskrybentem usług certyfikacyjnych. Osoba fizyczna wykorzystująca parę kluczy i certyfikat 14

wystawiony przez Centrum Certyfikacji. Urząd rejestracji Usługi certyfikacyjne Zaświadczenie certyfikacyjne Element architektury PKI odpowiedzialny przyjmowanie i weryfikację wniosków o wystawienie certyfikatów od Subskrybentów. Usługi polegające na wystawianiu i zarządzaniu certyfikatami wykorzystywanymi do zabezpieczenia komunikacji elektronicznej w EPU. Certyfikat elektroniczny, poświadczający przynależność klucza publicznego do określonego w zaświadczeniu Centrum Certyfikacji. 15

2 Zobowiązania ogólne 2.1 Repozytorium Centrum Certyfikacji Centrum Certyfikacji zobowiązane jest do utrzymywania Repozytorium. Jest to system informatyczny należący do Centrum Certyfikacji, odpowiadający za publikację informacji związanych z funkcjonowaniem Centrum Certyfikacji. Wykaz danych podlegających publikacji został określony w rozdziale 2.2. Repozytorium dostępne jest publicznie pod adresem: W skład Repozytorium Centrum Certyfikacji wchodzi strona WWW, która publikuje pozostałe informacje określone w rozdziale 2.2. Centrum Certyfikacji dołoży należytych starań aby wszelkie informacje publikowane w Repozytorium były aktualne, dokładne oraz kompletne. 2.2 Informacje podlegające publikacji w Repozytorium W Repozytorium podlegają publikacji m.in. następujące informacje: Zaświadczenie certyfikacyjne Centrum Certyfikacji, Certyfikaty Subskrybentów, lista CRL, Polityka certyfikacji (w tym archiwalne wersje), Umowa na świadczenie Usług certyfikacyjnych inne dokumenty związane ze świadczeniem Usług certyfikacyjnych, informacje o Urzędzie rejestracji w tym informacje kontaktowe, o ile zajdzie potrzeba, publikacji poddawane jest także oprogramowanie umożliwiające wykorzystanie Certyfikatów, komunikaty związane z funkcjonowaniem Centrum Certyfikacji. Publikacji podlegają wszystkie Certyfikaty wystawione przez Centrum Certyfikacji. Certyfikaty publikowane są za pośrednictwem strony www Usługa dostępna jest odpowiednio pod adresem:. Za pośrednictwem strony WWW publikowana jest aktualna lista CRL wygenerowana przez Centrum Certyfikacji. Lista CRL dostępna jest pod adresem:.. 2.3 Częstotliwość publikacji informacji w Repozytorium Certyfikaty Subskrybentów podlegają publikacji w czasie nie dłuższym niż 1 dzień od momentu ich wygenerowania. 16

Listy CRL publikowane są periodycznie. Szczegóły związane z publikacją list CRL zostały poruszone w rozdziale 4.9. 2.4 Dostęp do Repozytorium Dostęp do Repozytorium jest publiczny, nieodpłatny i anonimowy. Repozytorium dostępne jest przez 24 godziny na dobę i przez 7 dni w tygodniu. W skali roku kalendarzowego, Repozytorium może być maksymalnie niedostępne przez okres 7 dni w skali roku. 17

3 Identyfikacja Subskrybenta 3.1 Nazewnictwo 3.1.1 Typy nazw Centrum Certyfikacji zobowiązane jest zamieszczania danych Subskrybentów w wystawianych Certyfikatach. Nazwy Subskrybentów tworzą tzw. nazwy wyróżnione DN (z ang. distinguished name). Nazwa wyróżniona jest zbiorem atrybutów, które identyfikują Subskrybenta. Centrum Certyfikacji określa dopuszczalny zbiór atrybutów oraz ich znaczenie. Atrybuty nazwy Subskrybenta powinny zawierać znaki narodowe, o ile zostały one zamieszczone w danych Subskrybenta. 3.1.2 Prawidłowość danych zamieszczanych w certyfikatach Informacje dotyczące Subskrybenta, które podlegają zamieszczeniu w Certyfikacie podlegają weryfikacji poprzez: kontrolę ich zgodności w oparciu o formularze rejestracyjne wypełniane przez Subskrybenta na portalu informatycznym EPU; akceptację przez Subskrybenta przesłanego zwrotnie przez portal linku aktywującego na konto Subskrybenta na portalu informatycznym EPU. 3.1.3 Anonimowość Subskrybentów Centrum Certyfikacji nie zezwala na wystawianie Certyfikatów z anonimowymi danymi Subskrybenta (np. z pseudonimem). 3.1.4 Zasady interpretowania nazw Informacja o Subskrybencie jaka podlega zamieszczeniu w Certyfikacie musi zawierać niepustą nazwę wyróżniającą podmiotu. Zawiera ona niektóre lub wszystkie atrybuty zawarte w następującym zbiorze atrybutów: Nazwa atrybutu Akronim Opis nazwa powszechna cn Numer konta w systemie informatycznym imię (imiona) givenname Imię lub imiona Subskrybenta. Nazwisko sn Nazwisko Subskrybenta. nazwa kraju nazwa miejscowości c locality Nazwa kraju pochodzenia Subskrybenta (jedyną dopuszczalną wartością jest PL). Dane pobierane w profilu informacyjnego Subskrybenta. Nazwa miejscowości pochodzenia Subskrybenta. Dane pobierane w profilu 18

nazwa województwa Alternatywna nazwa podmiotu state Subject Alternative Name informacyjnego Subskrybenta. Nazwa województwa pochodzenia Subskrybenta. Dane pobierane w profilu informacyjnego Subskrybenta. Adres poczty elektronicznej, który przyporządkowany jest do Subskrybenta. Dane pobierane w profilu informacyjnego Subskrybenta. Tabela 3. Dopuszczalne atrybuty nazwy wyróżnionej. Powyższe atrybuty mogą wystąpić w nazwie wyróżnionej Subskrybenta tylko raz. Dopuszczalne są następujące kombinacje nazw wyróżnionych Subskrybenta: 1) Dla Subskrybenta będącego osobą fizyczną można zamieścić w certyfikacie następujące informacje: nazwa powszechna, imię (imiona), nazwisko, nazwa kraju, nazwa miejscowości nazwa województwa adres poczty elektronicznej, Jako minimalny zbiór atrybutów określających nazwę Subskrybenta dopuszczane będzie zamieszczenie: nazwy powszechnej ( cn ), imienia (imion), nazwiska, nazwy kraju ( c ). 3.1.5 Unikalność nazw Centrum Certyfikacji dołoży wszelkiej staranności przy zamieszczaniu danych jednoznacznie identyfikujących Subskrybenta. Dopuszczalne jest posiadanie przez Subskrybenta kilku Certyfikatów wystawionych przez Centrum Certyfikacji z takimi samymi wartościami Nazwy wyróżnionej. 19

3.1.6 Wykorzystanie znaków towarowych Centrum Certyfikacji nie kontroluje praw do korzystania z podawanych znaków towarowych i nazw handlowych. Zakłada się, że Subskrybent posiada prawa i upoważnienia do posługiwania się w/w informacjami. 3.2 Pierwsza certyfikacja Subskrybenta 3.2.1 Dowód posiadania klucza prywatnego W poniższym rozdziale określono procedury, jakie zobowiązane jest zrealizować Centrum Certyfikacji, aby wystawić certyfikat dla Subskrybenta, który wcześniej nie korzystał z Usług certyfikacyjnych. Polityka certyfikacji zakłada, że para kluczy Subskrybenta generowana jest przez Centrum Certyfikacji w oparciu o utworzony przez Subskrybenta wniosek przekazany przy pomocy portalu informatycznego EPU. 3.2.2 Weryfikacja tożsamości Weryfikacja tożsamości następuje tylko i wyłącznie na podstawie elektronicznej rejestracji na portalu informatycznym EPU, a następnie poprzez akceptację linku aktywacyjnego wygenerowanego w oparciu o dane rejestracyjne Subskrybenta. Polityka certyfikacji nie przewiduje weryfikacji tożsamości poprzez osobiste stawienie się w Urzędzie rejestracji i przedstawienie przez Subskrybenta dokumentu tożsamości 3.2.3 Dane nie podlegające weryfikacji Weryfikacji nie podlegają dane podmiotu trzeciego, które mogą być wpisane w treść certyfikatu Subskrybenta. 3.3 Recertyfikacja Subskrybenta 3.3.1 Recertyfikacja Subskrybenta w przypadku wygaśnięcia Certyfikatu W poniższym rozdziale określono procedury, jakie zobowiązane jest zrealizować Centrum Certyfikacji, aby wystawić kolejny Certyfikat dla Subskrybenta, który wcześniej korzystał z Usług certyfikacyjnych Centrum Certyfikacji. W przypadku, gdy Certyfikat Subskrybenta uległ wygaśnięciu i następuje odnowienie Usługi certyfikacyjnej, Subskrybent poddawany jest procedurze opisanej w rozdziale 3.2. 3.3.2 Recertyfikacja Subskrybenta w przypadku unieważnienia Certyfikatu W przypadku, gdy Certyfikat Subskrybenta został unieważniony przed upływem okresu ważności Certyfikatu i następuje odnowienie Usługi certyfikacyjnej, Subskrybent poddawany jest procedurze opisanej w rozdziale 3.2. 20

3.4 Autoryzacja zgłoszeń o unieważnienie certyfikatu Procedury zarządzania stanem Certyfikatu należą do szczególnie istotnych aspektów, wpływających na wiarygodność Centrum Certyfikacji i Usług certyfikacyjnych przez niego świadczonych. Zgłoszenia o: unieważnienie Certyfikatu, zawieszenie Certyfikatu, odwieszenie Certyfikatu zgłaszane są poprzez portal informatyczny EPU. Wniosek o zmianę stanu ważności zawierający prośbę o unieważnienie Certyfikatu przekazywany jest bezpośrednio do Centrum Certyfikacji w wykorzystaniem portalu informatycznego EPU. Wniosek o zmianę stanu ważności zawierający prośbę o zawieszenie Certyfikatu przekazywany jest bezpośrednio do Centrum Certyfikacji z wykorzystanie portalu informatycznego EPU. Wniosek o zmianę stanu ważności certyfikatu zawierający prośbę o odwieszenie Certyfikatu przekazywany jest bezpośrednio do Centrum Certyfikacji z wykorzystanie portalu informatycznego EPU. Szczegółowa procedura zarządzania stanem ważności Certyfikatu została opisana w rozdziale 4. 21

4 Cykl życia Usług certyfikacyjnych 4.1 Składanie wniosku o Certyfikat 4.1.1 Podmioty upoważnione do składania wniosku o Certyfikat W ramach niniejszej Polityki certyfikacji, do ubiegania się o Certyfikat upoważnione są osoby fizyczne zarejestrowane na portalu informatycznym EPU. 4.1.2 Procedura ubiegania się o Certyfikat przez osobę fizyczną Procedura ta ma na celu przygotowanie niezbędnych danych i podjęcie przez Subskrybenta kroków zmierzających do uzyskania Certyfikatu. W toku tej procedury, Subskrybent zobowiązany jest do: zapoznania się z treścią Polityki certyfikacji; zarejestrowania się na portalu informatycznym EPU; akceptacji umowy na świadczenie Usług certyfikacyjnych; akceptacji warunków używania Certyfikatu; akceptacji linku aktywującego konto portalu EPU; wprowadzenia wszystkich wymaganych danych rejestracyjnych na w/w portalu, oczekiwania na wygenerowanie pary kluczy i certyfikatu w postaci pliku PKCS#12 wraz z hasłem dostępowym do pliku 4.2 Przetwarzanie wniosku o Certyfikat 4.2.1 Weryfikacja tożsamości Subskrybenta Przed wystawieniem Certyfikatu, Centrum Certyfikacji zobowiązane jest do potwierdzenia tożsamości ubiegającego się o Certyfikat. Weryfikacja tożsamości następuje tylko i wyłącznie na podstawie elektronicznej rejestracji na portalu informatycznym EPU, a następnie poprzez akceptację linku aktywacyjnego wygenerowanego w oparciu o dane rejestracyjne. Polityka certyfikacji nie przewiduje weryfikacji tożsamości poprzez osobiste stawienie się w Urzędzie rejestracji i przedstawienie przez Subskrybenta dokumentu tożsamości. 4.2.2 Procedura przyjęcia wniosku o wystawienie Certyfikatu Po poprawnie zakończonej weryfikacji tożsamości i akceptacji linku aktywacyjnego, Subskrybent może wnioskować o wydanie Certyfikatu. Procedura wygenerowania Certyfikatu odbywa się w sposób automatyczny. Następuje wygenerowanie pary kluczy w postaci pliku PKCS#12 wraz z hasłem zabezpieczającym dostęp do tego pliku. 22

Portal informatyczny EPU w automatyczny sposób informuje Subskrybenta w sposób jasny i powszechnie zrozumiały o warunkach używania Certyfikatu. Poinformowanie o tychże warunkach realizowane jest poprzez wyświetlenie informacji elektronicznej na koncie Subskrybenta. Subskrybent zobowiązany jest do akceptacji przedstawionych warunków używania Certyfikatu. W przeciwnym razie cały proces zostanie zakończony.. Procedurę przyjęcia wniosku o wystawienie Certyfikatu kończy akceptacja przedstawionej na portalu informatycznym EPU umowy na świadczenie usług certyfikacyjnych. Umowa na świadczenie usług certyfikacyjnych zawierana jest pomiędzy Subskrybentem a.. i stanowi podstawę do wygenerowania Certyfikatu. 4.2.3 Czas realizacji wniosku o wystawienie Certyfikatu Wystawienie Certyfikatu realizowane jest niezwłocznie po przyjęciu i akceptacji wniosku przesłanego przez Subskrybenta. 4.3 Wystawienie Certyfikatu 4.3.1 Przetwarzanie wniosku o wystawienie certyfikatu w Centrum Certyfikacji Wnioski o wystawienie Certyfikatu przesyłane są do Centrum Certyfikacji w trybie online. Centrum Certyfikacji po odbiorze wniosku, oraz po spełnieniu wszystkich wymagań formalnych opisanych w rozdziale 4.1, dokonuje jego automatycznego przetworzenia,. Pozyskuje z niego klucz publiczny oraz dane, które zostaną zamieszczone w Certyfikacie. Dodatkowo w Certyfikacie zamieszczane są dane wprowadzane w momencie rejestracji na portalu informatycznym EPU. Po realizacji tych czynności, Centrum Certyfikacji zobowiązane jest do poświadczenia Certyfikatu swoim kluczem prywatnym. Proces generowania Certyfikatu przez Centrum Certyfikacji kończy przesłanie zwrotne Certyfikat na konto Subskrybenta w portalu informatycznym EPU. Równolegle realizowana jest publikacja Certyfikatu w Repozytorium. W przypadku, gdy nie jest możliwe wystawienie Certyfikatu, Centrum Certyfikacji zobowiązane jest do poinformowania o tym fakcie Subskrybenta od którego spłynął wniosek o wystawienie certyfikatu. Odmowie towarzyszy podanie przyczyny odrzucenia wniosku. 4.3.2 Informowanie Subskrybenta o wystawieniu Certyfikatu O fakcie wystawienia Certyfikatu Subskrybent powiadamiany drogą elektroniczną na swoje konto w portalu informatycznym EPU. 4.4 Akceptacja Certyfikatu 4.4.1 Potwierdzenie akceptacji Certyfikatu przez Subskrybenta Po otrzymaniu Certyfikatu i przed jego pierwszym użyciem, Subskrybent zobowiązany jest do przeprowadzenia procedury akceptacji Certyfikatu. Procedura ta polega na 23

weryfikacji, czy dane zawarte w Certyfikacie są zgodne z danymi przedstawionymi przez Subskrybenta w dokumentacji o której mowa w rozdziale 4.1, Procedura akceptacji Certyfikatu powinna zostać przeprowadzona przez Subskrybenta niezwłocznie po otrzymaniu Certyfikatu. Wszelkie niezgodności w treści Certyfikatu Subskrybent zobowiązany jest do zgłoszenia do Centrum Certyfikacji. W takim przypadku wystawiony Certyfikat ulega unieważnieniu, a Subskrybent otrzymuje nowy Certyfikat. Brak zgłoszenia o wszelkich błędach w wystawionym Certyfikacie oznacza akceptację Certyfikatu. 4.4.2 Publikacja Certyfikatu w Repozytorium Centrum Certyfikacji Po wygenerowaniu Certyfikatu, Centrum Certyfikacji zobowiązane jest do publikacji certyfikatu w Repozytorium. Szczegółowe zasady funkcjonowania Repozytorium zawarto w rozdziale 2. Publikacji podlegają wszystkie Certyfikaty wystawiane przez Centrum Certyfikacji. 4.4.3 Informowanie Stron ufających o wystawieniu Certyfikatu dla Subskrybenta Na mocy niniejszej Polityki certyfikacji nie przewiduje się informowania w jakikolwiek sposób Stron ufających o wystawieniu Certyfikatu dla Subskrybenta. 4.5 Użycie Certyfikatu i pary kluczy 4.5.1 Użycie pary kluczy i Certyfikatu przez Subskrybenta Niniejszy rozdział określa zasady wykorzystywania Certyfikatów wystawionych przez Centrum Certyfikacji w ramach Polityki certyfikacji. Na mocy w/w dokumentów, Subskrybent zobowiązany jest do: wykorzystywania Certyfikatu w zgodzie z niniejszą Polityką certyfikacji, wykorzystywania Certyfikatu w okresie jego ważności, z wyjątkiem przypadku, gdy Certyfikat jest wykorzystany po wygaśnięciu jego ważności, do zweryfikowania podpisu elektronicznego złożonego w okresie ważności Certyfikatu. wykorzystywania Certyfikatu zgodnie z jego przeznaczeniem określonym w jego treści, wykorzystywania Certyfikatu w oparciu o umowę na świadczenie usług certyfikacyjnych zawartą pomiędzy.., a Subskrybentem. 4.5.2 Użycie klucza publicznego i Certyfikatu przez Stronę ufającą W ramach przetwarzania informacji zabezpieczonych elektronicznie Certyfikatem Subskrybenta, Strona ufająca zobowiązana jest do: wykorzystywania Certyfikatu w zgodzie z niniejszą Polityką certyfikacji, 24

wykorzystywania Certyfikatu zgodnie z jego przeznaczeniem określonym w jego treści, ale tylko i wyłącznie po weryfikacji jego ważności z wyjątkiem przypadku, gdy Certyfikat jest wykorzystany po wygaśnięciu jego ważności, do zweryfikowania podpisu elektronicznego złożonego w okresie ważności Certyfikatu. Zasadę weryfikacji ważności określono rozdziale 4.9 4.6 Odnawianie Certyfikatu Niniejszy rozdział odnosi się do sytuacji, w której Subskrybent Usług certyfikacyjnych posiadał lub posiada Certyfikat, lecz na skutek jego unieważnienia lub wygaśnięcia, występuje o wystawienie nowego Certyfikatu. Procedura odnowienia Certyfikatu przebiega w taki sam sposób, jak procedura składania wniosku o Certyfikat, która została opisana w rozdziale 4.1. O odnowienie Certyfikatu mogą ubiegać się Subskrybenci o których mowa w rozdziale 4.1.1. 4.7 Odnawianie Certyfikatu dla istniejącej pary kluczy Niniejsza Polityka certyfikacji nie przewiduje możliwości odnowienia Certyfikatu dla wcześniej istniejącej i wykorzystywanej pary kluczy kryptograficznych. 4.8 Modyfikacja Certyfikatu 4.8.1 Okoliczności modyfikacji Certyfikatu Procedura modyfikacji danych w Certyfikacie powinna zostać zrealizowana w sytuacji, gdy zmianie ulegają dane identyfikujące tożsamość Subskrybenta, Poprzez modyfikację danych w Certyfikacie należy rozumieć sytuację, w której zmianie ulega wartość przynajmniej jednego z atrybutów Nazwy wyróżnionej Subskrybenta, o których mowa w rozdziale 3 niniejszej Polityki certyfikacji. Procedurze podlegają tylko i wyłącznie te Certyfikaty, których okres ważności nie upłynął w momencie modyfikacji danych. 4.8.2 Podmioty upoważnione do ubiegania się o modyfikacje w Certyfikacie Do ubiegania się o modyfikacje w Certyfikacie upoważnieni są Subskrybenci Usług certyfikacyjnych oraz inne podmioty, których dane zostały zawarte w Certyfikacie.. 4.8.3 Procedura modyfikacji w Certyfikacie Uruchomienie procedury modyfikacji danych w Certyfikacie powinna być wynikiem inicjatywy jednego z podmiotów określonych w rozdziale 4.8.2. Procedura jest realizowana niezwłocznie po wystąpieniu modyfikacji danych identyfikujących Subskrybenta. Procedura modyfikacji danych w Certyfikacie realizowana jest według następujących kroków: 25

Podmiot upoważniony do modyfikacji danych w Certyfikacie dokonuje unieważnienia Certyfikatu na zasadach opisanych w rozdziale 4.9, Subskrybent występuje o wystawienie Certyfikatu na zasadach opisanych w rozdziale 4. Tym samym podejmowane są takie same działania, jakie są związane z wystawieniem nowego Certyfikatu. 4.8.4 Informowanie Stron ufających o odnowieniu Certyfikatu Subskrybenta Analogicznie do rozdziału 4.4.3, niniejsza Polityki certyfikacji nie przewiduje się informowania w jakikolwiek sposób Stron ufających o wystawieniu zaktualizowanego Certyfikatu dla Subskrybenta. 4.9 Zawieszanie i unieważnianie Certyfikatu 4.9.1 Okoliczności unieważnienia Certyfikatu Zasady opisane w niniejszym rozdziale mają ścisły związek z wykorzystaniem Certyfikatu i utrzymaniem poziomu zaufania do Usług certyfikacyjnych świadczonych przez Centrum Certyfikacji. Działania związane z unieważnieniem Certyfikatu mają charakter jednorazowy, tym samym nie jest możliwe przywrócenie stanu ważności unieważnionemu Certyfikatowi. Podmiot upoważniony do unieważnienia Certyfikatu zobowiązany jest do wskazania przyczyny unieważnienia Certyfikatu. Zawieszenie Certyfikatu jest czynnością uniemożliwiającą czasowe wykorzystanie Certyfikatu. Po okresie wskazanym w niniejszej Polityce certyfikacji, podmiot upoważniony do zawieszenia Certyfikatu zobowiązany jest do podjęcia decyzji o przywróceniu ważności Certyfikatu, bądź jego unieważnieniu. Zawieszenie lub unieważnienie Certyfikatu jest skuteczne od momentu wskazanego w liście CRL. Działanie związane z unieważnieniem lub zawieszeniem Certyfikatu przez upoważniony do tego podmiot realizowane jest na portalu informatycznym EPU. Unieważnienie Certyfikatu może mieć miejsce w przypadku, gdy zajdzie jedna z poniższych przesłanek: Przesłanka Ujawnienie klucza prywatnego Subskrybenta Zmiana danych w Certyfikacie Subskrybenta Subskrybent wystąpił o wystawienie nowego Opis Zaszło podejrzenie, że klucz prywatny przyporządkowany do Subskrybenta został ujawniony stronom trzecim. Na skutek zmiany danych związanych z identyfikacją tożsamości Subskrybenta, dane zawarte w Certyfikacie przestały być aktualne. Podjęta została decyzja o zastąpieniu Certyfikatu aktualnie wykorzystywanego nowym Certyfikatem. W takiej sytuacji 26

Certyfikatu przed upływem ważności posiadanego Certyfikatu Subskrybent zaprzestał wykorzystywania Certyfikatu Ujawnienie klucza prywatnego Centrum Certyfikacji Przyczyna unieważnienia nie jest określona nie wystąpiły przesłanki związane z ujawnienia klucza prywatnego oraz zmianą danych zapisanych w Certyfikacie. Subskrybent zaprzestał wykorzystywania Certyfikatu. Na skutek zaburzenia poziomu bezpieczeństwa systemu informatycznego Centrum Certyfikacji, klucz prywatny Centrum Certyfikacji został ujawniony. Przesłanka wykorzystywana w przypadku, gdy wystąpiły inne zdarzenia rzutujące na bezpieczeństwo i wykorzystanie Certyfikatu przez Subskrybenta i żadne z tych zdarzeń nie zostało wskazane powyżej. Podmiot upoważniony do unieważnienia Certyfikatu zobowiązany jest do określenia wyłącznie jednej przyczyny unieważnienia Certyfikatu. 4.9.2 Podmioty upoważnione do unieważnienia certyfikatu Na mocy niniejszej Polityki certyfikacji, do podjęcia decyzji o unieważnieniu Certyfikatu upoważnieni są Subskrybent oraz Centrum Certyfikacji. Ze strony Centrum Certyfikacji do realizacji procedury unieważnienia Certyfikatu upoważnione są podmioty: Administrator systemu, Upoważniony pracownik w Urzędzie rejestracji. 4.9.3 Procedura składania wniosku o unieważnienie Certyfikatu przez Subskrybenta Procedura unieważnienia Certyfikatu przez Subskrybenta może zostać zrealizowana na drodze elektronicznej przez portal informatyczny EPU. Subskrybent wypełnia określone i wymagane pola w celu dokonania czynności unieważnienia Certyfikatu. O fakcie unieważnienia Certyfikatu Subskrybent otrzymuje informację zwrotną na swoje konto w portalu informatycznym EPU. 4.9.4 Procedura składania wniosku o unieważnienie Certyfikatu przez inny podmiot wpisany w Certyfikacie Procedura unieważnienia Certyfikatu przez inny podmiot wpisany w Certyfikacie odbywa się na zasadach opisanych w rozdziale 4.9.3. 27

4.9.5 Procedura składania wniosku o unieważnienie Certyfikatu przez Centrum Certyfikacji Realizacja procedury unieważnienia Certyfikatu przez Centrum Certyfikacji może mieć miejsce w przypadku istnienia uzasadnionego podejrzenia, że istnieją okoliczności ku temu. Unieważnienie przez Centrum Certyfikacji poprzedzone jest zawieszeniem Certyfikatu w celu podjęcia działania niezbędnego do wyjaśnienia wątpliwości związanych z przyczyną zmiany stanu ważności Certyfikatu. W przypadku ujawnienia klucza prywatnego Centrum Certyfikacji wszystkie ważne Certyfikaty podlegają unieważnieniu. 4.9.6 Procedura przetwarzania wniosku o unieważnienie certyfikatu Centrum Certyfikacji (lub działający w jego imieniu Urząd rejestracji) zobowiązany jest do weryfikacji poprawności wniosku o unieważnienie Certyfikatu, oraz jednoznacznego stwierdzenia, czy o unieważnienie Certyfikatu ubiega się osoba do tego upoważniona. Jeżeli wniosek jest poprawny, to Centrum Certyfikacji przystępuje do unieważnienia Certyfikatu, czego wynikiem jest publikacja w Repozytorium zaktualizowanej listy CRL. W przypadku stwierdzenia, że wniosek jest niepoprawny (np. jest niekompletny, został przedstawiony przez nieuprawnioną osobę), Centrum Certyfikacji zobowiązane jest do przekazania informacji o odrzuceniu wniosku podmiotowi zgłaszającemu potrzebę unieważnienia Certyfikatu. W takim przypadku działania związane ze zmianą stanu ważności Certyfikatu nie są podejmowane. Informacja o odrzuceniu wniosku powinna zostać przekazana w przeciągu 1 dnia roboczego od momentu złożenia wniosku. 4.9.7 Czas realizacji unieważnienia Certyfikatu przez Centrum Certyfikacji Centrum Certyfikacji zobowiązane jest do unieważnienia Certyfikatu w przeciągu 1 godziny od momentu przyjęcia do realizacji wniosku o unieważnienie Certyfikatu. 4.9.8 Weryfikacja ważności Certyfikatu przez Strony ufające Za weryfikację ważności Certyfikatów odpowiadają Strony ufające, które są odbiorcami informacji zabezpieczonej elektronicznie. Weryfikacja stanu ważności Certyfikatu opiera się o listę CRL, która stanowi jednoznaczne i aktualne źródło informacji o Certyfikatach zawieszonych i unieważnionych. W przypadku odnalezienia na liście CRL informacji o unieważnieniu lub zawieszeniu Certyfikatu Subskrybenta, Strona ufająca podejmuje decyzję o przyjęciu lub odrzuceniu informacji zabezpieczonej elektronicznie przez Subskrybenta z wykorzystaniem w/w Certyfikatu. Weryfikacja ważności Certyfikatu może być realizowana przez Strony ufające manualnie lub za pośrednictwem aplikacji posiadających zaimplementowane mechanizmy PKI (np. klient poczty elektronicznej, oprogramowanie weryfikujące podpis elektroniczny). Przyjęcie informacji, która została zabezpieczona unieważnionym lub zawieszonym Certyfikatem Subskrybenta realizowana jest na wyłączną odpowiedzialność Strony ufającej. W takim przypadku Strony ufające ponoszą wszelkie konsekwencje z tym związane. 28

4.9.9 Częstotliwość generowania list CRL Centrum Certyfikacji zobowiązane jest do publikowania list CRL co 1 dzień. W przypadku wystąpienia zdarzenia związanego ze zmianą stanu ważności Certyfikatu (unieważnienie, zawieszenie lub odwieszenie Certyfikatu), lista CRL publikowana jest w przeciągu 1 godziny od momentu przyjęcia do realizacji zgłoszenia o zmianie stanu ważności Certyfikatu. 4.9.10 Okres ważności list CRL Lista CRL ważna jest przez 1 dzień od momentu wygenerowania. 4.9.11 Dostępność list CRL Lista CRL publikowana jest w Repozytorium dostępnym przez 24 godziny na dobę i 7 dni w tygodniu. Zasady dostępu do Repozytorium zostały opisane w rozdziale 2.4. 4.9.12 Inne formy publikacji informacji o unieważnieniu Certyfikatu W ramach niniejszej Polityki certyfikacji nie przewiduje się, aby informacja o unieważnieniu Certyfikatu była publikowana w inny sposób, niż z wykorzystaniem listy CRL. 4.9.13 Okoliczności zawieszenia Certyfikatu Zawieszenie Certyfikatu jest czynnością uniemożliwiającą czasowe wykorzystanie Certyfikatu. Podmioty upoważnione do zmiany stanu ważności Certyfikatu mają możliwość odwieszenia Certyfikatu. Tym samym Certyfikat może być ponownie wykorzystywany. W okresie zawieszenia Certyfikatu, czynności związane z jego wykorzystaniem (np. złożenie podpisu elektronicznego) uważa się za ważne i wiążące o ile zawieszenie Certyfikatu zostało uchylone. 4.9.14 Podmioty upoważnione do zawieszenia Certyfikatu Na mocy niniejszej Polityki certyfikacji, do podjęcia decyzji o zawieszeniu Certyfikatu upoważnieni są Subskrybent oraz Centrum Certyfikacji. Ze strony Centrum Certyfikacji do realizacji procedury unieważnienia Certyfikatu upoważnione są podmioty: Administrator systemu, Upoważniony pracownik w Urzędzie rejestracji. 4.9.15 Procedura składania wniosku w zakresie zawieszenia/ odwieszenia Certyfikatu przez Subskrybenta Procedura zawieszenia/ odwieszenia Certyfikatu przez Subskrybenta może zostać zrealizowana na drodze elektronicznej przez portal informatyczny EPU. Subskrybent 29

wypełnia określone i wymagane pola w celu dokonania czynności zawieszenia/ odwieszenia Certyfikatu. O fakcie zawieszenia/ odwieszenia Certyfikatu Subskrybent otrzymuje informację zwrotną na swoje konto w portalu informatycznym EPU. 4.9.16 Procedura składania wniosku o zawieszenia/ odwieszenie Certyfikatu przez inny podmiot wpisany w Certyfikacie Procedura zawieszenia/ odwieszenia Certyfikatu przez inny podmiot wpisany w Certyfikacie odbywa się na zasadach opisanych w rozdziale 4.9.15. 4.9.17 Procedura składania wniosku o zawieszenie/ odwieszenie Certyfikatu przez Centrum Certyfikacji Realizacja procedury zawieszenia certyfikatu przez Centrum Certyfikacji może mieć miejsce w przypadku istnienia uzasadnionego podejrzenia, że istnieją przesłanki ku temu. W przypadku wyjaśnienia wątpliwości związanych ze stanem ważności certyfikatu, a w terminie krótszym niż określonym w rozdziale 4.9.18, Centrum Certyfikacji dokonuje odwieszenia Certyfikatu. 4.9.18 Okres zawieszenia certyfikatu Certyfikat Subskrybenta może być zawieszony przez okres 7 dni kalendarzowych. Przed upływem terminu zawieszenia podmiot upoważniony do zawieszenia Certyfikatu zobowiązany jest do podjęcia decyzji o: odwieszenia Certyfikatu, unieważnieniu Certyfikatu. Jeśli w ciągu 7 dni od daty zawieszenia Subskrybent nie wykona żadnej z powyższych czynności, to Administrator systemu odwiesza Certyfikat. 4.9.19 Publikacja informacji o zawieszeniu certyfikatu Informacja o zawieszeniu Certyfikatu zamieszczana jest na liście CRL. Odwieszenie Certyfikatu powoduje usunięcie z listy CRL zapisu mówiącego o zawieszeniu Certyfikatu. Unieważnienie zawieszonego certyfikatu powoduje zamieszczenie na liście CRL informacji o unieważnieniu Certyfikatu. Towarzyszy temu usunięcie informacji o zawieszeniu Certyfikatu. 4.9.20 Inne formy publikacji informacji o zawieszeniu certyfikatu W ramach niniejszej Polityki certyfikacji nie przewiduje się, aby informacja o zawieszeniu certyfikatu była publikowana w inny sposób, niż z wykorzystaniem listy CRL. 30