Vad är en certifikatpolicy och ett certifikatpraxisutlåtande (CP/CPS)?

En certifikatpolicy (CP) är ett dokument som definierar de krav som ett certifikat måste uppfylla för ett givet användningsfall, och en certifikatpraxis (CPS) är det dokument som beskriver hur en specifik certifikatutfärdare faktiskt implementerar dessa krav i sina utfärdande- och hanteringspraxis.

En CP svarar på vilka krav ett certifikat måste uppfylla för sitt avsedda ändamål, medan en CPS svarar på hur en specifik CA uppfyller dessa krav i praktiken, vilket täcker identitetsverifiering, nyckelskydd, utfärdandeprocedurer och återkallelse. Tillsammans, enligt RFC 3647:s standardstruktur, utgör de den styrande dokumentation som varje offentligt betrodd CA måste publicera och verka under.

Key Takeaways

• RFC 3647 definierar standardstrukturen som både CP- och CPS-dokument ska följa, och täcker nio huvudavsnitt från allmänna bestämmelser till efterlevnadsrevision.
• En enda certifikatutfärdare kan arbeta under flera certifikatpolicyer (till exempel en för TLS-servercertifikat och en annan för kodsignering), som var och en kräver sin egen CPS-anpassning.
• Tillägget Certifikatpolicyer X.509 bäddar in en OID pekar på den styrande CP:n, vilket låter förlitande parter och programvara programmatiskt identifiera vilken policy ett certifikat utfärdades under.
• En CPS är vanligtvis mycket mer detaljerad och operativt specifik än en CP, eftersom den måste beskriva faktiska procedurer, inte bara krav.
• Offentliga CA:er måste publicera sina CP/CPS och genomgå regelbundna oberoende granskningar (såsom WebTrust eller ETSI) för att förbli inkluderade i större webbläsar- och operativsystemförtroendelagrar.

Vad är skillnaden mellan en CP och en CPS?

Dokument	svar	Skriven av
Certifikatpolicy (CP)	Vilka krav måste ett certifikat av denna typ uppfylla?	Kan skrivas oberoende av en specifik CA och antas av flera CA:er
Certifikatpraxisutlåtande (CPS)	Hur uppfyller just denna CA dessa krav i praktiken?	Skriven av den operativa CA:n själv, som beskriver dess faktiska procedurer

En användbar analogi: en CP är som en byggkod som specificerar erforderliga säkerhetsstandarder, medan en CPS är som en specifik entreprenörs dokumenterade process för att uppfylla den koden på en viss byggnad. Flera entreprenörer (CA) kan bygga enligt samma kod (CP) med olika, lika giltiga dokumenterade processer (CPS).

Vad täcker RFC 3647:s standard CP/CPS-struktur?

1. Introduktion: dokumentöversikt, tillämpliga OID:er och definitioner.
2. Publicerings- och arkiveringsansvar: var och hur certifikatutfärdaren publicerar certifikat och information om återkallelse.
3. Identifiering och autentisering: hur CA verifierar en sökandes identitet före utfärdande.
4. Driftskrav för certifikat under hela dess livscykel: ansöknings-, utfärdande-, godkännande-, förnyelse- och återkallelseförfaranden.
5. Anläggnings-, lednings- och operativa kontroller: fysisk säkerhet, personalgranskning och revisionsloggning.
6. Tekniska säkerhetskontroller: nyckelgenerering, skydd och krav på kryptografiska moduler.
7. Certifikat-, CRL- och OCSP-profil: det tekniska formatet för utfärdade certifikat och återkallningsdata.
8. Regelefterlevnadsrevision: hur och hur ofta den behöriga myndigheten granskas oberoende.
9. Andra affärsmässiga och juridiska frågor: avgifter, ansvar, sekretess och tvistlösning.

Varför är OID-tillägget för certifikatpolicyer viktigt?

Varje certifikat som utfärdas under en given policy bäddar in den policyns OID i dess certifikatpolicytillägg, vilket gör att förlitande partsprogramvara programmatiskt kan bekräfta vilken CP som styrde certifikatets utfärdande, utan att behöva manuellt korsreferera CA:ns publicerade dokumentation. Detta är särskilt viktigt i miljöer som tillämpar specifika policykrav, till exempel krav på hårdvarubaserad nyckellagring, eftersom OID:et låter automatiserad validering bekräfta policyefterlevnad i stor skala.

Varför ska en organisation investera i att utveckla sin egen CP/CPS?

Organisationer som driver en intern eller privat CA drar fortfarande nytta av en väl dokumenterad CP/CPS, även utan de offentliga kraven på förtroende- och lagringsrevision som en offentlig CA står inför. En tydlig CP/CPS ger interna intressenter, revisorer och affärspartners en dokumenterad grund för att lita på internt utfärdade certifikat, och det efterfrågas ofta under säkerhetsgranskningar av leverantörer, efterlevnadsrevisioner och kundkontroll av företag för alla organisationer som driver sin egen PKI.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulttjänster hjälper PKI Services utvecklar CP/CPS-dokumentation i linje med RFC 3647:s standardstruktur, oavsett om det gäller en publik CA som förbereder sig för en WebTrust-revision eller en intern CA som behöver dokumenterad styrning för företags- och efterlevnadsändamål. Stöds av ISO/IEC 27001:2022 och SOC 2 -certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Behöver privata, interna CA:er en CP/CPS?

Det är inte lagstadgat på samma sätt som det är för publika certifikatutfärdare, men en dokumenterad CP/CPS är fortfarande en stark praxis för interna certifikatutfärdare, eftersom det ger revisorer, affärspartners och interna intressenter en tydlig grund för att lita på internt utfärdade certifikat, och det efterfrågas ofta under säkerhetsgranskningar.

Kan en certifikatutfärdare arbeta under flera certifikatpolicyer?

Ja. Många certifikatutfärdare har separata certifikatpolicyer för olika certifikattyper, till exempel en policy för TLS-servercertifikat och en annan för kodsigneringscertifikat, var och en med sitt eget OID och motsvarande CPS-justering.

Vilka revisionsstandarder gäller för en offentlig CA:s CP/CPS?

Offentliga certifieringsutfärdare (CA) som söker inkludering i större webbläsar- och operativsystemförtroendebutiker genomgår vanligtvis en oberoende granskning mot WebTrust for Certification Authorities eller en motsvarande standard som ETSI EN 319 411, vilket bekräftar att CA:s faktiska praxis överensstämmer med dess publicerade CPS.

Är en CPS samma dokument för alla en CA:s certifikattyper?

Vanligtvis inte. En CPS behöver ofta ta itu med de specifika rutinerna för varje certifikatpolicy som CA:n arbetar under, eftersom utfärdande- och valideringsprocedurer kan skilja sig avsevärt mellan till exempel ett TLS-certifikat och ett kodsigneringscertifikat.

Få din CP/CPS-dokumentation korrekt

Ta nästa steg. PKI Services utvecklar RFC 3647-anpassad CP/CPS-dokumentation för både offentliga och privata CA:er, byggd för granskningsberedskap och företagsförtroende. Utforska PKI Services för att komma igång.