国家现代服务业服务交互支撑平台.docx

国家现代服务业服务交互支撑平台
CA安全认证共性服务

中国国际电子商务中心
国家现代服务业服务交互支撑平台课题组

CA电子认证业务规则V2.0
目录
国家现代服务业服务交互支撑平台 0
CA安全认证共性服务 0
1 概括性描述 7
1.1概述 7
1.1.1证书类别 7
1.1.2证书分发服务 9
1.2文档名称与标识 9
1.3电子认证活动参与方及其职责 10
1.3.1电子认证服务机构 10
1.3.2注册机构 11
1.3.3订户 12
1.3.4依赖方 12
1.3.5其他参与者 12
1.4证书应用 12
1.4.1适合的证书应用 12
1.4.2限制的证书应用 12
1.5策略管理 13
1.5.1策略文档管理机构 13
1.5.2联系人 13
1.5.3决定CPS符合策略的机构 13
1.5.4CPS批准程序 13
1.6定义和缩写 13
2 信息发布与信息管理 18
2.1认证信息的发布 18
2.2发布的时间或频率 18
2.3信息库访问控制 18
3 身份标识与鉴别 18
3.1命名 18
3.1.1名称类型 18
3.1.2对名称意义化的要求 19
3.1.3订户的匿名或伪名 19
3.1.4理解不同名称形式的规则 20
3.1.5名称的唯一性 20
3.1.6名称解析 20
3.1.6商标和订户签名信息 20
3.2初始身份确认 20
3.2.1 证明拥有私钥的方法 20
3.2.2 组织机构身份及其授权的鉴别 20
3.2.3 个人身份的鉴别 21
3.2.4虚拟身份鉴别 21
3.2.5 没有验证的订户信息 22
3.3密钥更新请求的标识与鉴别 22
3.3.1 常规密钥更新的标识与鉴别 22
3.3.2 吊销后密钥更新的标识与鉴别 22
3.4吊销请求的标识与鉴别 22
4 证书生命周期操作要求 23
4.1证书申请 23
4.1.1证书申请实体 23
4.1.2注册过程与责任 23
4.2证书申请处理 23
4.2.1执行识别与鉴别功能 23
4.2.2证书申请批准和拒绝 23
4.2.3 处理证书申请的时间 24
4.3证书签发 24
4.3.1 证书签发中注册机构和电子认证服务机构的行为 24
4.3.2 电子认证服务机构和注册机构对订户的通告 24
4.4证书接受 24
4.4.1 构成接受证书的行为 24
4.4.2 电子认证服务机构对证书的发布 24
4.4.3 电子认证服务机构对其他实体的通告 24
4.5密钥对和证书的使用 25
4.5.1 订户私钥和证书的使用 25
4.5.2 信赖方公钥和证书的使用 25
4.6证书更新 25
4.6.1 证书更新的情形 25
4.6.2 请求证书更新的实体 25
4.6.3 证书更新请求的处理 25
4.6.4 颁发新证书时对订户的通告 26
4.6.5 构成接受更新证书的行为 26
4.6.6 电子认证服务机构对更新证书的发布 26
4.6.7 电子认证服务机构对其他实体的通告 26
4.7证书变更 26
4.7.1 证书变更的情形 26
4.7.2 请求证书变更的实体 26
4.7.3 证书变更请求的处理 26
4.7.4 颁发新证书时对订户的通告 27
4.7.5 构成接受变更证书的行为 27
4.7.6 电子认证服务机构对变更证书的发布 27
4.7.7 电子认证服务机构对其他实体的通告 27
4.8证书吊销和挂起 27
4.8.1 证书吊销的情形 27
4.9.2 请求证书吊销的实体 28
4.9.3 吊销请求的流程 28
4.9.4 吊销请求宽限期 28
4.9.5 电子认证服务机构处理吊销请求的时限 29
4.9.6 依赖方检查证书吊销的要求 29
4.9.7 CRL发布频率 29
4.9.8 CRL发布的最大滞后时间 29
4.9.9 在线状态查询的可用性 29
4.9.10 在线状态查询要求 29
4.9.11 吊销信息的其他发布形式 30
4.9.12 密钥损害的特别要求 30
4.10证书状态服务 30
4.10.1 操作特征 30
4.10.2 服务可用性 30
4.10.3 可选特征 30
4.11订购结束 30
4.12密钥生成、备份与恢复 30
4.12.1 密钥生成、备份与恢复的策略与行为 31
4.12.2 会话密钥的封装与恢复的策略与行为 31
5 认证机构设施、管理和操作控制 31
5.1 物理控制 31
5.1.1 场地位置与控制 32
5.1.2 物理访问 34
5.1.3电源和空调 34
5.1.4防水 35
5.1.5防火 35
5.1.6存储介质保护 35
5.1.7 废物处理 35
5.1.8异地备份介质 35
5.1.9RA（包括受理点）的物理控制 36
5.2操作过程控制 36
5.2.1 CA系统管理人员 36
5.2.2 运营安全管理小组 36
5.2.3 每一项任务需要的人数 36
5.2.4 安全令牌控制 37
5.3 人员控制 37
5.3.1 人员背景审查 37
5.3.2背景审查的实现 38
5.3.3 培训要求 38
5.3.4 继续培训要求 38
5.3.5 岗位分离 38
5.3.6 未授权行为的制裁 38
5.3.7 系统抢修的要求 38
5.3.8 工作轮换周期和顺序 39
5.3.9 独立合约人的要求 39
5.3.10 提供给员工的文档 39
5.4 审计日志程序 39
5.4.1 记录事件的类型 39
5.4.2 处理或归档日志的周期 39
5.4.3 审计日志的保存期限 40
5.4.4 审计日志的保护 40
5.4.5 审计日志备份程序 40
5.4.6 审计日志收集系统 40
5.4.7 对导致事件实体的通告 40
5.4.8 脆弱性评估 41
5.5记录归档 41
5.5.1 存档记录类型 41
5.5.2 存档的保留期限 41
5.5.3 档案的保护 41
5.5.4 存档备份 42
5.5.5 为记录加上时间戳 42
5.5.6 档案收集系统 42
5.5.7 验证档案信息 42
5.6 密钥转换 42
5.6.1 密钥转换定义 42
5.6.2 CA证书有效期 42
5.6.3 CRL 43
5.7 灾难恢复 43
5.7.1 国富安CA遭到攻击造成灾难时的恢复 43
5.7.2 CA证书公钥被撤销 43
5.7.3 CA证书私钥被攻破 43
5.7.4 自然灾难或其他灾难后采取的安全措施 43
5.8 国富安CA终止提供服务 43
6 认证系统技术安全控制 44
6.1 密钥对的生成和安装 44
6.1.1 密钥对的生成 44
6.1.2 私钥传送给订户 45
6.1.3 公钥传送给证书签发机构 45
6.1.4 电子认证服务机构公钥传送给依赖方 45
6.1.5 密钥的长度 45
6.1.6 公钥参数的生成和质量检查 45
6.1.7 密钥使用目的 45
6.2 私钥的安全保证 46
6.2.1 密码模块标准和控制 46
6.2.2私钥的多人控制 46
6.2.3 私钥的托管 46
6.2.4 私钥备份 46
6.2.5 私钥归档 47
6.2.6 私钥导入或导出密码模块 47
6.2.7 私钥在密码模块中的存储 47
6.2.8 激活私钥的方法 47
6.2.9 解除私钥激活状态的方法 48
6.2.10 销毁密钥的方法 48
6.2.11 密码模块的评估 48
6.3 密钥对管理的其他方面 48
6.3.1 公钥归档 48
6.3.2 证书操作期和密钥对使用期限 49
6.4 激活数据 49
6.4.1 激活数据的产生和安装 49
6.4.2 激活数据的保护 49
6.4.3 激活数据的其他方面 50
6.4.3.1 激活数据的传送 50
6.4.3.2 激活数据的销毁 50
6.5 计算机安全控制 50
6.5.1 特别的计算机安全技术要求 50
6.5.2 计算机安全评估 51
6.6 生命周期技术控制 51
6.6.1 系统开发控制 51
6.6.2 安全管理控制 51
6.6.3 生命周期的安全控制 51
6.7 网络的安全控制 51
6.8 时间戳 52
7 证书、证书吊销列表和在线证书状态协议 52
7.1 证书 52
7.1.1证书版本号 52
7.1.2证书扩展项 52
7.1.3证书格式 53
7.1.4 算法对象标识符 58
7.2 证书吊销列表 59
7.2.1 版本号 59
7.2.2 CRL和CRL条目扩展项 59
7.3 在线证书状态协议 59
7.3.1 版本号 59
7.3.2 OCSP基本域 59
7.3.3 OCSP扩展域 60
8 认证机构审计和其他评估 60
8.1 评估的频率或情形 60
8.2 评估者的资质 60
8.3 评估者与被评估者之间的关系 60
8.4 评估内容 61
8.5 对问题与不足采取的措施 61
8.6 评估结果的传达与发布 61
8.7 其他评估 61
9 法律责任和其他业务条款 61
9.2 财务责任 62
9.2.1 保险范围 62
9.2.2 其他资产 62
9.2.3 对最终实体的保险或担保 62
9.3 业务信息保密 62
9.3.1 保密信息范围 62
9.3.2 不属于保密的信息 63
9.3.3 保护保密信息的责任 63
9.4 个人隐私保密 63
9.4.1 隐私保密方案 63
9.4.2 作为隐私处理的信息 63
9.4.3 不被视为隐私的信息 63
9.4.4 保护隐私的责任 63
9.4.5 使用隐私信息的告知与同意 63
9.4.6 依法律或行政程序的信息披露 64
9.4.7 其他信息披露情形 64
9.5 知识产权 64
9.6 陈述与担保 9.6.1 电子认证服务机构的陈述与担保 64
9.6.2 注册机构的陈述与担保 67
9.6.4 依赖方的陈述与担保 69
9.6.5 其他参与者的陈述与担保 69
9.7 担保免责 69
9.8 有限责任 70
9.9 赔偿 70
9.10 有效期限与终止 71
9.10.1 有效期限 71
9.10.2 终止 71
9.10.3 效力的终止与保留 71
9.11 对参与者的个别通告与沟通 71
9.12 修订 72
9.12.1 修订程序 72
9.12.2 通知机制和期限 72
9.12.3 必须修改业务规则的情形 72
9.13 争议处理 72
9.14 管辖法律 73
9.15 与适用法律的符合性 73
9.16 一般条款 73
9.16.1 完整协议 73
9.16.2分割性 73
9.16.3 强制执行 73
9.16.4不可抗力 73
9.16.5 其他条款 74

1 概括性描述
1.1概述
北京国富安电子商务安全认证有限公司成立于1998年12月，简称“国富安CA”。 国富安CA是在公众网络（例如CHINANET、CIETNET等，以下简称公网）上进行电子商务活动的安全基础设施。该体系和与之配套的安全技术在整个公众电子商务平台中处于基础结构地位。
国富安CA安全认证体系的设计和建设符合各项国际安全协议标准。国富安CA签发的证书格式遵循国际电联（ITU）X.509标准。2006年2月，国富安数字证书认证系统通过国家密码管理局安全性审查。
国富安CA严格按照《中华人民共和国电子签名法》和《电子认证服务管理办法》的要求，以及相关管理规定，提供数字证书的申请、颁发、存档、查询、废止等服务，并通过以PKI技术、数字证书应用技术为核心的应用安全解决方案。
北京国富安电子商务安全认证有限公司电子认证业务规则由北京富安电子商务安全认证有限公司按照信息产业部《电子认证服务管理办法》的要求，依据《电子认证业务规则规范（试行）》制定。
本《电子认证业务规则》详细阐述了国富安CA在实际工作和运营中所遵循的各项规范。本《电子认证业务规则》适用于国富安CA及其员工、注册机构、证书申请方、订户和依赖方，各参与方必须完整理解和执行《电子认证业务规则》所规定的条款并承担相应的责任和义务。

1.1.1证书类别
国富安CA证书策略根据社会活动中参与的实体不同定义了五类证书。在每类证书中又根据其承担的法律责任、安全保障级别、用途等又进行了细分，目的是为了更好的保障各参与方的权利和义务。
一类证书是个人证书，国富安CA签发的这类证书在满足《中华人民共和国电子签名法》的其他规定要求下，由其产生的电子签名符合《中华人民共和国电子签名法》的要求。按照安全保障级别和具体用途分为如下几种：
自然人证书，提供基本的安全保障，代表法定公民在中华人民共和国境内从事社会活动的网络身份，与个人在社会中的职务与地位没有关系，如同公安局发的身份证一样；只承担由个人行为所引发的责任。依据订户的要求，该类证书可以与自然人的电子名章相对应。自然人证书里可以包含职业资格要素，增加国家法定承认的职业资格鉴定。
组织机构、企业授权人证书，提供比自然人证书更高一级的安全保障，代表个人在组织机构、企业中的职务和地位，每一个人在不同的组织机构、企业中可以拥有不同的授权人证书，承担与所代表组织、机构内相应的责任。
组织机构、企业法人证书，该证书代表组织机构、企业的注册法人，与组织机构、企业的唯一身份证书具有相同的用途，承担相同的责任与义务，依据订户的要求，该类证书可以与组织机构、企业的法人名章相对应。
对于同一实体自然人来说，为了应用的方便，组织机构、企业法人证书、组织机构、企业授权人证书、自然人证书可以依次由上一级证书代替实现其用途，但国富安CA会在订户证书申请时说明从安全角度出发，订户应遵循安全保障级别越高的证书使用次数及途径越少的原则。
二类证书是组织机构、企业证书，国富安CA签发的这类证书在满足《中华人民共和国电子签名法》的其他规定要求下，由其产生的电子签名符合《中华人民共和国电子签名法》的要求。这类证书从安全保障级别和组织机构、企业行政部门以及具体用途不同有如下几种：
组织机构、企业身份证书，代表组织机构在中华人民共和国境内网络身份，直接或间接(通过委托授权人证书)承担企业网上行为责任。依据订户的要求，该类证书可以与组织机构、企业的电子公章或合同章相对应。
组织机构、企业部门证书，由组织机构、企业授权代表组织机构、企业部门，承担其所在部门内的责任和义务。依据订户的要求，该类证书可以与相应部门的电子业务章相对应。
三类证书为设备、服务器证书，根据设备归属实体又分为个人服务器证书和组织机构、企业服务器证书。
个人服务器证书代表以个人申请的域名或其他设备证书，由于该域名或设备为个人拥有，根据法律不能从事经营活动，所以不承担由此引发的责任，该证书仅保障该域名或设备的身份，负责建立安全对话连接和身份证明。
组织机构、企业服务器证书，代表由组织机构、企业申请的域名或设备证书，由于该域名为企业拥有，代表组织机构、企业从事电子商务和其他经营活动，所以承担由此引发的责任，该证书不仅保障该域名或设备的身份，国富安CA签发的这类证书在满足《中华人民共和国电子签名法》的其他规定要求下，由其产生的电子签名符合《中华人民共和国电子签名法》的要求。
四类证书为学生证书，代表中华人民共和国境内的大、中、小学生实体身份，但由于学生不承担相应的民事责任，所以该类证书只表示学生的真实身份，该类证书的签名也具有相应的法律效应，但不承担由此引起的赔偿责任。学生不能用该证书从事有经济赔偿责任的电子商务和其他社会活动，只能用于学校或教育的内部管理。
五类证书是虚拟证书，提供基于网络虚拟主体应用的安全保护，比如针对电子邮箱的安全电子邮件证书和针对即时通信的QQ、MSN号证书，能够应用于安全电子邮件、安全即时通信的签名、加密以及建立安全通话通道，由于该类证书中的最终实体并不能和现实社会中的实体一一对应，因此该类证书所产生的电子签名仅代表虚拟实体的愿望。国富安CA并不保障虚拟实体所产生的电子签名代表其所对应的真实实体，即电子签名人的意愿，因此该类证书不承担由此引发的法律责任。

1.1.2证书分发服务
国富安CA通过其承担相应责任的RA注册机构，包括在其CA认证机房和自建分布在全国各地、以及建立在其他组织机构中、遵从于本电子认证业务规则的RA注册机构进行证书批准、签发、管理、使用和吊销、更新等安全服务，国富安CA会在其运营网站公布各RA注册机构的有关信息。

1.2文档名称与标识
本文档名称为国富安CA电子认证业务规则（CPS），目前版本号为V2.0。
1.3电子认证活动参与方及其职责
国富安CA是根据《中华人民共和国电子签名法》和《电子认证服务管理办法》规定，依法设立的第三方电子认证服务机构。
国富安CA秉承国际领先的PKI技术，总体分为两层，第一层为根CA，第二层为运营CA，可以根据其电子认证业务规则依据其策略向不同行业和领域扩展其信任体系。运营CA由CA系统、RA系统和LA受理点三部分组成，以下为其系统示意图：
根CA

国富安运营CA1

国富安运营CA2

国富安RA系统１
托管RA系统2
RA系统3
国富安LA１
LA4
国富安LA2
托管LA3
证书用户

1.3.1电子认证服务机构
电子认证服务系统CA（Certification Authority）系统承担证书签发、审批、吊销、查询、证书及黑名单发布、密钥和证书管理、政策制定等工作，设在国富安CA北京经济技术开发区运营主机房，不直接面对用户证书，采用两层结构，第一层为根CA，负责制定国富安CA电子认证总体政策与策略，为下级运营CA签发并管理CA证书，负责与其他CA信任体系进行交叉认证。第二层为运营CA，直接为用户签发并管理数字证书，该层CA可以根据用户证书策略不同分为多个运营CA。
1.3.2注册机构
注册机构作为电子认证服务机构授权委托的下属机构，包括注册系统（RA系统），和证书受理点（LA），负责用户证书的申请、审批和证书管理，直接面向证书用户；一般情况下LA证书受理点进行用户身份鉴定和证书信息录入，提交到RA系统把证书申请信息传递到CA。
国富安CA的RA系统分为自建RA和授权RA，每个RA系统下面可以根据系统能力建立多个LA证书受理点。
自建RA指由国富安CA自己投资建设分布于全国各地的RA系统，归国富安CA所有，为证书总量在500，000张以下的地区或行业应用提供证书申请审批、证书信息录入以及证书发放并进行部分管理服务。
另一种为授权RA，归授权的企业或组织所有，授权RA在遵循国富安CA电子认证业务规则的基础上负责为该区域或组织提供数字证书的申请，为证书总量相对较小（在10000以下，根据具体情况可以升级到50，000张以下），或证书审核严格或证书管理复杂的的区域和组织提供证书申请审批、证书信息录入以及证书发放并进行部分管理服务，适合于需要对RA系统功能进行客户化定制和需要自主管理RA系统的区域和组织使用。
RA系统与CA系统根据其业务需求和特殊情况采用专线或VPN方式相连，之间的通信符合国家相关安全规范与标准。

LA证书受理点是面向最终用户的注册审核机构，其主要功能是对用户提交的资料进行审核，以决定是否同意为该申请者发放证书。LA的身份由RA审核，LA的操作员证书由运行CA签发。LA作为RA的下级机构，它不直接与CA进行数据交换，CA不接收来自LA的证书签发请求，LA的证书签发请求由RA转发给CA。RA服务器负责安全地和国富安CA服务器交换数据。
LA证书受理点与RA系统一般采用VPN方式相连，之间的通信也符合国家相关安全规范与标准。
1.3.3订户
从电子认证服务机构接收证书的实体。在电子签名应用中，订户即为电子签名人。
1.3.4依赖方
依赖于证书真实性的实体。在电子签名应用中，即为电子签名依赖方。依赖方可以是、也可以不是一个订户。
1.3.5其他参与者
其他参与者指为国富安CA提供相关服务的其它实体，如提供第三方身份鉴定的机构和组织。
1.4证书应用
1.4.1适合的证书应用
国富安CA所发证书能够满足不同的业务需要，如网上银行，电子商务，电子政务，安全电子邮件，SSL安全代理，在线支付等应用。证书申请人根据实际需要和承担责任，自觉采用哪种数字证书类型。
1.4.2限制的证书应用
证书禁止在任何违反国家法律、法规或破坏国家安全的情形下使用，否则由此造成的法律后果由用户自己承担。
由于证书的使用可能导致人员死亡、伤残的情形。
由于证书的使用可能导致环境破坏的情形。
1.5策略管理
1.5.1策略文档管理机构
本《电子认证业务规则》的管理机构是国富安CA策略委员会。由国富安CA策略委员会负责对本《电子认证业务规则》的制定、发布、更新等事宜。
本《电子认证业务规则》由北京国富安电子商务安全认证有限公司拥有完全版权。
1.5.2联系人
国家现代服务业服务交互支撑平台课题办公室
地址: 北京经济技术开发区荣华中路11号
邮编：100176
电话: [phone]
传真：[phone]
联系人：尹鹏翎
E-mail: yinpengling@
1.5.3决定CPS符合策略的机构
本《电子认证业务规则》由国富安CA策略委员会制定并执行。
1.5.4CPS批准程序
国富安CA策略委员会负责CPS的管理。国富安CA策略委员会对CPS草案进行评审，如果符合证书策略，将批准CPS，之后在国富安CA网站上对外公布。从对外公布之日起三十个工作日之内向信息产业部备案。
1.6定义和缩写
术语定义一览表
激活数据
不同于密钥的数据值 （如PIN，验证短语，biometric或是人工掌握的密钥份额），用来操作加密模块，须被保护
鉴定
核实实体（如个人，公司，或机构）所声称的身份
证书
是一种信息，包含的基本信息有：签发证书的认证中心，用户的名称，用户的公钥，证书的操作期，及签发证书的认证中心的数字签名。
证书政策（CP）
一套命名的规则，指定了证书对于特定群体的适用性和/或有共同安全要求的应用等级。
证书的密钥更新（Re-key）
有现成密钥对和证书的用户在新的密钥对产生之后接收了新的证书从而得到新的公钥。
证书的更新
用户得到了现有证书的一段新的有效期限
证书请求
RA向CA呈交的确认的注册请求，注册证书中用户的公钥。
证书撤消列表（CRL）
被撤消的证书列表，由发证CA数字签名
认证中心(CA)
制作并签名证书的并被一个或多个依赖方信任的机构，CA可取消它所制作并签发的证书。
认证实施声明（CPS）
认证机构应用于签发证书的实施声明。认证实施声明定义了CA为满足所支持的证书政策规定的要求而采用的设置，政策和程序。
损害
对安全系统的违反，因而可能导致敏感信息的未授权的泄露，修改，置换或使用
加密硬件(加密装置)
硬件加密模块
加密模块
一套硬件，软件，韧件或某种结合，在其中可执行密码逻辑，包括加密算法。一种可以实行密码功能（如加密，鉴定，密钥生成）的装置。
数字签名
数据的密码转换，当与数据单位相连时，提供鉴定起源，使数据完整和防止签名者抵赖的服务。
事件日志（审计日志或审计记录）
按照时间顺序对系统活动的记录，可以再现，评估和检查从事项的开始到最后结果的输出中每一事件周围的或导致每一事件的环境和活动序列。
密钥托管
私钥交由第三方保管，任何对被托管的密钥的访问，如法律实施官员的访问，都应符合事先定义的条件。
密钥恢复
当实体的私钥或对称的加密密钥丢失，被破坏，或不能获得时，从安全的存储库中恢复这些密钥能力。
目标重用
对包含一个或多个目标的介质主体（如页帧，磁盘扇区，磁带）的重新赋值。为安全的分配，该介质不应包含原先目标的剩余数据。
在线证书状态查询协议(OCSP)
可取代或补充定期的CRL的确定证书的当前状态的协议。该协议说明了检查证书状态的应用和提供该状态的服务器之间应交换的数据。
政策中心
政策中心有制定维护它自己的和下级机构操作的政策的职责。
政策管理中心（PMA）或政策中心（PA）
政策管理中心是有制定安全政策（如CP）的最终权威和职责的实体。
公钥基础设施（PKI）
为了推动拥有非对称公钥的公共成分与拥有对应私钥的特定用户之间可证实的联系，采用数字签名技术的硬件，软件，人员，程序和政策的结构。公钥可被用来证实数字签名，鉴定通讯对话中的主体，和/或，交换或流通信息加密密钥。
注册中心（RA）
负责辨认和证明证书主体的实体，它不是CA因此不能签名或签发证书。RA可以协助证书的申请，撤消或两者。
注册请求
某实体向RA（或CA）注册该实体在证书中的公钥的申请
注册回应
由RA（或CA）发出的回应注册申请的信息。
依赖方
证书的接受者，他信任证书中的信息或发证CA公布的其他信息，如CRL（注：在此文件中，术语“证书使用者”和“依赖方”可互用。
资源库
分布或使证书或证书状态信息可利用的方法（如数据库或X.500目录）
根认证机构（根CA）
CA等级中地位最高的CA
用户
公钥被公钥证书证实的实体
可信的计算系统（TCB）
计算机系统中的全体保护装置——包括硬件，韧件和软件——它们的结合负责执行安全政策。TCB由一个或多个共同执行某个产品或系统的安全政策的成分组成。TCB正确执行安全政策的能力完全由TCB内的装置和系统管理人员对安全政策的参数的正确输入所决定。
可信路径
终端人员可直接与可信的计算系统通信的机制。该机制只能由该人员或可信计算系统所激活，且不能被非置信的软件所效仿。
验证（Validation）
依赖方检查证书状态的过程。
确认（Verification）
为专有通信比较两种层次的系统规格的过程（如有最高规格的安全政策，有源码的TLS，或有目标码的源码）。
查证（Verify）
是与数字签名相关的一种方法，为准确地确定：（1）数字签名是在有效证书的操作期内由对应于证书公钥的私钥制作的；（2）数字签名被制作后信息没有被改变。
缩写词
CA
安全认证机构
(Certification authority)
CPS
认证业务声明
(Certification practice statement)
CRL
证书黑名单
(Certificate revocation list)
CSR
证书签名请求
（Certificate Signing Request）
DAM
修改草本( ISO 标准)
（draft amendment(to an ISO standard )）
FIPS
联邦信息处理标准
(Federal Information Processing Standard)
FTP
文件传输协议
（File Transfer Protocol）
GFA CA
北京国富安电子商务安全认证有限公司
(Beijing Guo Fu An Security Electronic Commerce CA Co.，Ltd.)
GMT
格林威治标准时间
（Greenwich Mean Time）
HTTP
超文本传输协议
(Hypertext Transfer Protocol)
HTTPS
安全套接层下的超文本传输协议
(Hypertext Transfer Protocol with SSL)
LRA
地方注册机构
(Local registration authority)
LRAA
地方注册机构管理员
(Local registration authority administrator)
NSI
未经证实的用户信息
(Nonverified subscriber information)
OCA
操作CA
(Operation Certification Authority)
PCA
政策CA
(Policy certification authority)
PCS
公共认证服务
(Public certification services)
PIN
个人识别码
(Personal identification number)
PKCS
公钥加密标准
（Public Key Cryptography Standards）
PKI
公钥基础设施
(Public key infrastrUCTure)
RCA
根CA
（Root Certification Authority）
RDN
相关区别名称
（Relative Distinguished Name）
RPA
信赖方协议
(Relying Party Agreement)
RSA
一种加密算法 (见定义)
(a cryptographic system (see definitions))
SET
安全电子交易
（Secure Electronic Transaction）
S/MIME
安全的多用途网络邮件延伸格式
(Secure Multipurpose Internet Mail Extensions)
SSL
安全协议层
（Secure Sockets Layer）
URL
单一资源地址
（uniform resource locator）
WWW or Web
万维网
（World Wide Web）
X.509
国际电信联盟认证体系的证书标准
（the ITU-T standard for certificates and their corresponding authentication framework）

2 信息发布与信息管理
2.1认证信息的发布
国富安CA公布以下信息：
RA系统、LA证书受理点的基本情况；
‚用户协议和依赖方协议；
ƒCP和CPS；
国富安CA应当在目录服务器中公布：
用户的证书；
‚CRL。
2.2发布的时间或频率
国富安CA按照CPS的相关规定修订CPS、用户协议、依赖方协议。证书一经签发就要在目录服务器公布，证书状态及CRL根据本CPS的相关规定公开。
国富安CA的CPS、订户协议、依赖方协议，通过信息库7X24可获得。国富安CA签发的订户证书一经签发即发布到LDAP服务器供用户下载，同时订户可通过证书服务站点获得已签发的证书。通过OCSP对证书状态的查询是及时的。国富安CA对每个证书签发CA发布一个证书吊销列表，发布该CA签发的证书中的已吊销了的证书。证书吊销列表一般是每24小时更新一次。
2.3信息库访问控制
在国富安CA网站或者目录服务器公布的信息属于公开信息，任何人可以免费查阅这些信息。国富安CA要求访问CPS、证书、证书状态、CRL等信息的任何人必须遵守本CPS、依赖方协议和CRL使用协议。
3 身份标识与鉴别
3.1命名
3.1.1名称类型
根据证书类型不同，国富安CA签发的证书实体名字可以是个人姓名、组织机构、企业名称、部门名、域名或其相应的身份证号码和组织机构代码，特殊情况如第五类证书也可以是虚拟世界中的虚拟名如电子邮件名和QQ、MSN号。
国富安CA最终订户证书的主题域中包含一个X.500甄别名（遵从关于X.500标准，并用X.501PrintableString格式），它由如下内容组成：
l 国家 （C）=CN或不用；
l 组织机构 （O）=组织机构属性如下：
u 对于一类自然人证书和五类电子邮件虚拟证书为GFA
u 对于五类其他虚拟证书可以是那类应用或组织的名称，如MSN证书为微软名称
u 对于其他类型证书，是证书订户所在机构名称
l 机构部门 （OU1）=订户组织机构部门名称；
（OU2）=职业资格证号、商标、订户签名或其他，或不用；
（OU3）=订户证书类型；
l 省或城市 （S）=订户所在的省、城市或不用；
l 位置 （L）=订户所在具体地点或不用；
l 通用名 （CN）=通用名如下：
u 一类证书为身份证号-姓名
u 二类证书为组织机构代码-组织机构、企业名称
u 三类证书为域名或服务器DNS名
u 四类证书为学生号-姓名
u 五类证书为虚拟名称
l 电子邮箱 （E）=电子邮件地址；
国富安CA可以根据自己的要求拥有对最终订户证书主题甄别名意义修改的权利，但修改的前提是不损害其他证书订户的权利和义务，并随时公布修改结果。
3.1.2对名称意义化的要求
主题和签发者的DN遵循PKIX标准，并且在证书中标明。
证书主体名称标识本证书所提到的最终实体的特定名称，描述了与主体公钥中的公钥绑定的实体信息，除五类证书外不允许使用假名或伪名。
3.1.3订户的匿名或伪名
在国富安CA证书服务体系中，除了第五类证书外，订户不能使用匿名、伪名或虚拟名申请证书。
3.1.4理解不同名称形式的规则
依X.500甄别名命名规则解释。
3.1.5名称的唯一性
在国富安CA证书信任域中，订户证书实体中主题甄别名必须是唯一的，除非订户申请签发双证书（签名证书和加密证书），两个证书因为属于同一实体，因此中X.500甄别名是一样的，但证书密钥用途不一样，签名证书密钥只能用于签名，加密证书密钥只用于加密。
3.1.6名称解析
国富安CA免费向所有依赖方组织或个人、应用提供方提供证书解析字符串和解析方法。
3.1.6商标和订户签名信息
国富安CA签发的证书的主题甄别名中可以包含商标名或订户签名信息。
3.2初始身份确认
3.2.1 证明拥有私钥的方法
国富安CA通过使用经数字签名的PKCS#10格式的证书请求，或其它相当的密码格式，或其他国富安CA批准的方法，验证证书申请者拥有私钥。
3.2.2 组织机构身份及其授权的鉴别
对于与组织机构相关的证书，如一类证书中的组织机构授权人证书、组织机构法人证书，二类证书以及三类证书中的高级服务器证书，组织机构应指定和授权证书的申请代表，出具申请委托函，在证书的申请书上签字、盖章表示接受证书申请的有关条款, 并承担相应的责任。国富安CA或RA（包括受理点）当面或采用其他方式审核组织机构身份及其申请者的代表人是否符合要求。
国富安CA对证书组织机构身份及申请者代表的鉴证按以下方式进行：
①审核该组织机构身份的真实性：国富安CA或RA（包括受理点）必须检查组织机构相关的证明文件原件或复印件，申请者需向国富安CA提供组织机构确实存在的证明(如工商执照、组织机构代码证、税务登记等，对于服务器证书需要出具域名拥有证书等)。
②代表人身份的授权：国富安CA或RA（包括受理点）必须检查组织机构的证书申请委托函，委托函需加盖组织机构公章和签名，通过对代表人身份证件的验证或其他渠道核实代表人已经由该组织授权。
如果国富安CA或RA（包括受理点）已经预先明确了组织机构和授权或委托人的身份，那么国富安CA或RA（包括受理点）可以信赖这些证明。
对于特殊情况，国富安CA或RA（包括受理点）可以采用其他方式追加组织机构身份鉴证的权利。