Är er organisations certifikatpolicyer uppdaterade?

Certifikatpolicy (CP)

A certifikat policyn beskriver de åtgärder som vidtas för att validera ett certifikats ämne innan certifikatet utfärdas och certifikatets avsedda syften. För många organisationer avgör policyn för certifikatutfärdande om det presenterade certifikatet kommer att vara tillförlitligt. CP:n låter också användare och PKI Certifikatansvariga vet hur man ansöker om ett certifikat, namngivningsstandarderna för certifikat och mer. Certifikatpraxisutlåtandet (CPS) följer standarderna som anges i CP.

Innehållet i en certifikatpolicy

En certifikatpolicy bör innehålla följande information:

1. Metoden genom vilken användarens identitet valideras under certifikatregistreringen

   Förfarandet för att identifiera en äkta användare måste definieras. Det kan ske via en kombination av konto och lösenord eller andra former av identifiering som begärande/användare måste uppvisa för validering.

2. Certifikatets avsedda syfte

   Syftet med att begära certifikatet måste tydligt anges i policyn. Används certifikatet till exempel för autentisering i nätverket eller för att signera inköpsordrar? Om certifikatet används för att signera inköpsordrar, finns det ett maximalt tillåtet värde? Sådana frågor bör tas upp i certifikatpolicyn.

3. Den typ av enhet där certifikatets privata nyckel lagras

   Den privata nyckeln lagras på datorns lokala disk i användarens profil, eller på en hårdvaruenhet som ett smartkort. Andra åtgärder, som att implementera starkt skydd av den privata nyckeln eller att kräva ett lösenord för att komma åt den privata nyckeln, kan inkluderas i denna information.

4. Subjektets ansvar för den privata nyckeln som är kopplad till certifikatet om den privata nyckeln komprometteras eller förloras

   Är användaren ansvarig för eventuella åtgärder som utförs med den förvärvade privata nyckeln om den privata nyckeln komprometteras eller en säkerhetskopia av den privata nyckeln förloras? Detta beslut kan leda till att arkivering eller export av den privata nyckeln som är kopplad till certifikatet förhindras.

5. Återkallelsepolicyer, procedurer och ansvarsområden

   Den består av de handlingar eller händelser som kommer att leda till återkallelse av ett certifikat, hur återkallelseprocessen kommer att initieras och vem som kommer att utföra själva återkallelseproceduren.

Certifikatpraxisutlåtande (CPS)

En certifieringspraxis (CPS) definierar de åtgärder som vidtas för att säkra CA-verksamheten och hanteringen av CA-utfärdade certifikat. Du kan betrakta en CPS som ett avtal mellan den organisation som hanterar CA:n och de personer som förlitar sig på de certifikat som utfärdats av CA:n. Medan CP:n informerar en användare eller underhållare vad att göra, säger CPS till dem hur att göra det. CA:s CPS är ett offentligt dokument som bör vara lättillgängligt för alla deltagare så att en förlitande part kan avgöra om de certifikat som utfärdats av den CA:n uppfyller dess säkerhetskrav eller inte. CPS:en kan innehålla följande information:

• Hur certifikatutfärdaren kommer att verkställa de åtgärder som krävs för att validera certifikatets ämne, i enlighet med certifikatpolicyn.
• Organisationens ansvar om ett bedrägeri begås mot den tjänst som skyddas av certifikatet, och felet visar sig vara kopplat till certifikatet.
• De omständigheter under vilka ett certifikat kan återkallas innan det löper ut.

RFC 3647 rekommenderar ett standardiserat CPS-format, som innehåller följande nio avsnitt:

1. Beskrivning

   Införandet av en CPS ger en översikt över CA, samt vilka typer av användare, datorer, nätverksenheter eller tjänster som kommer att få certifikat. Den innehåller också information om certifikatanvändning.

2. Publicerings- och arkiveringsansvar

   Det här avsnittet innehåller information om vem som driver komponenterna i infrastrukturen för publika nycklar och ansvaret för att publicera CP:n eller CPS:en.

3. Identifiering och autentisering (I&A)

   Detta avsnitt beskriver de namnformat som tilldelats och används i certifikat utfärdade av CA. Det beskriver också certifikatpolicyn och säkerhetsnivåerna som implementerats av CA och specificerar identifieringsprocedurer för.

4. Första registreringen för ett certifikat

   De åtgärder som vidtagits för att validera certifikatbegärarens identitet.

5. Förnyelse av ett certifikat

   Upprepas de åtgärder som används för initial registrering när ett certifikat förnyas? I vissa fall är innehav av ett befintligt certifikat och en privat nyckel tillräckligt bevis på identitet för att få ett nytt certifikat vid förnyelsetillfället.

6. Begäran om återkallelse

   När ett certifikat måste återkallas, vilka åtgärder kommer att vidtas för att säkerställa att den som begär det har behörighet att begära återkallelse av ett certifikat?

7. Driftskrav för certifikatets livscykel

   Detta avsnitt definierar de operativa procedurerna för hantering av CA, utfärdande av certifikat och hantering av utfärdade certifikat.

8. Anläggnings-, lednings- och driftskontroller

   Den beskriver fysiska, procedurmässiga och personalkontroller som implementerats hos CA för nyckelgenerering, subjektautentisering, certifikatutfärdande, återkallelse av certifikat, granskning och arkivering. Dessa kontroller kan variera från att begränsa vilken personal som fysiskt kan komma åt certifikatutfärdaren till att säkerställa att en anställd endast tilldelas en enda PKI-hanteringsroll.

9. Tekniska säkerhetskontroller

   Detta innehåller de säkerhetsåtgärder som CA vidtagit för att skydda sina kryptografiska nycklar och aktiveringsdata.

10. Certifikat-, CRL- och OCSP-profiler

    Den används för att specificera tre typer av information:

    • Information om de typer av certifikat som utfärdas av CA Till exempel, utfärdas certifikat från CA för användarautentisering, EFS eller kodsignering?
    • Information om CRL-innehåll Detta bör ge information om vilka versionsnummer som stöds för CRL:er och vilka tillägg som finns i CRL-objekten.
    • OCSP-profiler Det här avsnittet bör ge information om vilka versioner av Online -certifikatstatusprotokoll (OCSP) används (till exempel vilka RFC:er som stöds av OCSP-implementeringen) och vilka OCSP-tillägg som finns i utfärdade certifikat.

11. Regelefterlevnadsrevision och annan bedömning

    Avsnittet beskriver vad som kontrolleras under en efterlevnadsrevision, hur ofta efterlevnadsrevisionen måste utföras, vem som ska utföra revisionen (utförs revisionen av det interna teamet eller av en tredje part?), vilka åtgärder som måste vidtas om den behöriga myndigheten inte klarar revisionen och vem som får granska den slutliga revisionsrapporten.

12. Andra affärs- och juridiska frågor

    Den specificerar allmänna affärs- och juridiska frågor gällande CP och CPS. Affärsfrågorna inkluderar avgifter för tjänster och deltagarnas ekonomiska ansvar i PKI. De juridiska frågorna inkluderar sekretess för personlig information som registreras av PKI, immateriella rättigheter, garantier, friskrivningar, ansvarsbegränsningar och skadestånd.

Slutsats

Ocuco-landskapet Certifikatpolicy är ett dokument som definierar standarder för PKI, och CPS anger de procedurer som används i PKI.