电子认证服务业务规则.doc

电子认证服务业务规则（版本 2.0）发布日期：二七年四月生效日期：二七年四月天津信息港电子商务有限公司版权声明天津市数字证书认证中心(简称为TJCA)由天津信息港电子商务有限公司建设并运营,所负责编写修改的TJCA的电子认证服务业务规则中所涉及的“TJCA”及其图标等，均由天津信息港电子商务有限公司独立享有版权和其它知识产权。天津信息港电子商务有限公司拥有对本电子认证服务业务规则的最终解释权。未经天津信息港电子商务有限公司的书面同意，任何个人和团体不得以任何方式、任何途经（电子的、机械的、影印、录制等）进行部分的转载、粘贴或发布本CPS，更不得更改本文件的部分词汇进行转贴。在被授权情况下，本文副本可以在非独占性的、免收版权许可使用费的基础上进行复制及传播，并应保证复制、传播文件的准确性、完整性。对任何复制本文件的其他请求，请寄往以下地址：天津信息港电子商务有限公司地 址：天津市河北区昆纬路88号联系电话政编码：300140修订表版本发布日期备注V1.02006年4月V2.02007年4月目 录第一章 总则11.1 概述11.1.1 TJCA11.1.2 电子认证服务业务规则（CPS）21.2 TJCA标识21.3 文档名称与标识符31.3.1 名称31.3.2 发布31.4 电子认证活动参与者31.4.1 电子认证服务机构31.4.2 注册审批机构（Registration Authority）41.4.3 注册分支机构（Registration Authority Branch）51.4.4 受理点（Business Terminal）51.4.5 订户（Subscriber）51.4.6 信任体（Relying Party）61.4.7 证书申请者（Certificates Applicant）61.4.8 其他参与者（Other Participants）71.5 证书应用71.5.1 适合的证书应用71.5.2 限制的证书应用81.6 策略管理81.6.1 策略文档管理机构81.6.2 决定本CPS符合策略的机构91.6.3 公告91.6.4 认证业务规则的变更和发布91.7 定义与缩写101.7.1 TJCA101.7.2 TJCA认证委员会101.7.3 电子认证服务机构（Certificate Authority，CA）101.7.4 注册机构（Registration Authority，RA）101.7.5 注册分支机构101.7.6 受理点111.7.7 发证机构111.7.8 TJCA数字证书签发系统111.7.9 TJCA灾难恢复策略111.7.10 订户（Subscriber）111.7.11 证书申请者111.7.12 证书申请111.7.13 证书口令121.7.14 证书序列号121.7.15 甄别名121.7.16 通用名称121.7.17 密码管理中心121.7.18 OCSP121.7.19 LDAP121.7.20 PKI121.7.21 CRL131.7.22 认证131.7.23 数字证书131.7.24 数字签名131.7.25 电子签名131.7.26 私人密钥141.7.27 公开密钥141.7.28 签名密钥对141.7.29 加密密钥对141.7.30 PKCS14第二章 信息发布与信息管理152.1 信息发布152.1.1 CPS的发布152.1.2 TJCA公众信息的发布152.1.3 证书的发布152.1.4TJCA信息库162.2 发布时间及频率162.2.1 电子认证服务业务规则的发布时间和频率162.2.2 TJCA公众信息的发布时间及频率172.2.3 证书的发布时间及频率182.2.4 CRL的发布时间和频率182.3 信息访问控制182.3.1 信息的发布与处理182.3.2 信息访问控制和安全审计192.3.3 信息资料权限管理19第三章 身份标识与鉴别203.1 命名203.1.1 名称类型203.1.2 对名称有意义的要求203.1.3 订户的匿名或伪名213.1.4 理解不同名称形式的规则213.1.5 名称的唯一性213.1.6 商标的识别、鉴证和角色213.2 初始身份验证213.2.1申请者身份的鉴别213.2.2 组织机构身份的鉴别223.2.3 个人身份的鉴别233.2.4 域名(或IP地址)的确认和鉴别243.2.5 授权确认253.3 密钥更新请求的标识与鉴别253.4 吊销请求的标识与鉴别26第四章 证书生命周期操作要求274.1 证书申请274.1.1 个人证书274.1.2 单位证书（包括国家机构、组织和企事业单位）284.1.3 设备证书284.1.4 代码签名证书294.2 证书申请审核304.3 证书签发314.4 密钥的申请和生成314.5 证书的发放和接收324.6 证书信息的发布324.7 密钥和证书的使用334.7.1订户私钥和证书的使用334.7.2 密钥及证书的使用说明354.7.3 证书和公钥的用途354.8 证书及密钥更新354.9 证书变更364.10 证书补发364.11 证书的吊销和挂起374.12 证书的恢复394.13 证书状态查询394.14 终止服务394.15 证书介质解锁40第五章 认证机构设施、管理和操作控制415.1 物理控制415.1.1 场地位置与建筑415.1.2 物理访问控制415.1.3 电力和空调425.1.4 水患防治425.1.5 防火425.1.6 介质存储425.1.7 废物处理435.1.8 异地备份435.2 程序控制435.2.1 可信角色435.2.2 每项任务需要的人数445.2.3 每个角色的识别与鉴别455.2.4 需要职责分割的角色455.3 人员培训455.3.1 资格、经历和无过失要求455.3.2 背景审查程序465.3.3 培训要求465.3.4 再培训周期和要求465.3.5 工作岗位轮换周期和顺序475.3.6 未授权行为的处罚475.3.7 独立合约人的要求475.3.8 提供给员工的文档475.4 审计日志程序485.4.1 记录事件的类型485.4.2 处理日志的周期485.4.3 审计日志的保存期限495.4.4 审计日志的保护495.4.5 审计日志备份程序495.4.6 审计收集系统495.4.7 对攻击者的处理495.4.8 脆弱性评估505.5 记录归档505.5.1 归档记录的类型505.5.2 归档记录的保存期限505.5.3 归档文件的保护515.5.4 归档文件的备份程序515.5.5 记录时间戳要求515.5.6 归档收集系统525.5.7 获得和检验归档信息的程序525.6 电子认证服务机构密钥更替525.6.1 密钥更替定义525.6.2 根证书有效期525.6.3 CRL535.7 灾难恢复535.7.1 事故和损害处理程序535.7.2 计算机资源、软件和/或数据的损坏535.7.3 实体私钥损害处理程序535.7.4 灾难后的业务连续能力545.8 电子认证服务机构或注册机构的终止54第六章 认证系统技术安全控制566.1 密钥对的产生和安装566.1.1 密钥对的产生566.1.2 私钥传递给订户566.1.3 公钥传递给证书签发机构576.1.4 根公钥的传递576.1.5 密钥长度576.1.6 公钥参数的产生和质量检查576.1.7 密钥使用目的576.2 私钥保护与密码模块的控制586.2.1 密码模块标准与控制586.2.2 私钥多人控制586.2.3 私钥托管586.2.4 私钥备份586.2.5 私钥归档586.2.6 私钥导入、导出密码模块596.2.7 私钥在密码模块的存储596.2.8 激活私钥的方法596.2.9 解除私钥激活状态的方法596.2.10 销毁私钥的方法606.2.11 密码模块的评估606.3 密钥对管理的其他方面616.3.1 公钥归档616.3.2 证书操作期和密钥对使用期限616.4 激活数据616.4.1 激活数据的产生和安装616.4.2 激活数据的保护616.4.3 激活数据的其他方面626.5 计算机安全控制626.5.1 特别的计算机安全技术要求626.5.2 计算机的安全等级626.6 生命周期安全控制636.6.1 系统开发控制636.6.2 安全管理控制和生命周期的安全控制636.7 网络安全控制636.8 时间戳64第七章 证书、CRL及OCSP657.1 证书657.1.1 证书版本号667.1.2 证书扩展项667.1.3 密钥算法对象标识符667.1.4 名称形式667.1.5 名称限制667.1.6 证书策略对象标识符677.1.7 策略限制扩展项的用法677.1.8 策略限定符的语法和语义677.1.9 关键证书策略扩展项的处理规则677.2 证书废除列表（CRL）677.2.1 CRL版本号677.2.2 CRL和CRL条目扩展项677.2.3 CRL下载687.3 在线证书状态查询服务（OCSP）687.3.1 版本号687.3.2 OCSP 扩展项68第八章 认证机构审计与评估698.1 审计的频率与环境698.2 审计者的身份与资质708.3 审计者与TJCA的关系708.3.1 审计者与TJCA的关系708.3.2 审计报告与TJCA的关系708.4 审计内容718.5 审计结果718.6 不足信息的处理71第九章 法律责任和其他业务条款729.1 费用729.1.1 证书签发和更新费用729.1.2 证书查询费用729.1.3 证书吊销或状态信息的查询费用729.1.4 其他服务费用739.1.5 退款策略739.2 支付能力739.3 商业信息的保密749.3.1 保密的商业信息749.3.2 非保密的商业信息749.4 个人信息的保密759.4.1 保密的个人信息759.4.2 非保密的个人信息759.5 知识产权769.6 免责769.7 责任范围779.7.1 TJCA的责任789.7.2 注册机构的职责789.7.3 注册分支机构的职责799.7.4 受理点的职责799.7.5 订户的职责799.8 有效期和终止809.9 争议解决809.10 监管和适用的法律809.11 其他规定819.11.1 完整协议819.11.2 转让819.11.3 分割性819.11.4 强制执行829.11.5 不可抗力829.11.6 规则生效82第一章 总则1.1 概述1.1.1 TJCA天津市数字证书认证中心（Tianjin Digital Certificate Authority Center即TJCA）简称TJCA，由天津信息港电子商务有限公司建设并运营，是权威、公正的第三方电子认证服务机构。TJCA严格按照中华人民共和国电子签名法、电子认证管理办法等法律法规的要求，向公众（政府机构、企事业单位及个人）提供身份认证和信息服务等。TJCA严格按照信息产业部、国家密码主管部门的各项要求从事认证服务，获得国家密码主管部门签发的电子认证服务使用密码许可证，并通过了国家和天津市安全测评部门的安全认证。TJCA电子认证服务业务规则由天津信息港电子商务有限公司制定，服从于中国的法律，包括且不限于中华人民共和国刑法、中华人民共和国人大常委会颁发的关于互联网安全防护措施的决定、中华人民共和国计算机安全管理条例、中华人民共和国商用密码管理条例、中华人民共和国电子签名法等。从2003年起，TJCA作为专业的第三方认证服务机构，正式对外提供数字认证服务。在遵循国际PKI体系标准的基础上，结合中国的实际情况，对外提供第三方电子认证服务。包括数字证书的申请、吊销、查询、举证等，以及与此相关的各类实体、角色、程序、组织、条款和法律等。1.1.2 电子认证服务业务规则（CPS）TJCA、TJCA授权的注册机构、注册分支机构、受理点、TJCA授权或协议的单位等实体，统称为TJCA认证体系内的实体或TJCA关联实体。TJCA认证体系内的实体和TJCA数字订户，必须完整地理解和执行TJCA电子认证服务业务规则所规定的条款，承担相应的责任和义务。TJCA电子认证服务业务规则详细阐述了TJCA实际工作和运行应遵循的各项规范。电子认证服务业务规则作为实际应用和操作的文件依据，适用于TJCA、TJCA授权机构、TJCA数字证书签约单位、TJCA实体内员工、申请证书的单位和个人。作为公告，向社会公布TJCA关于证书服务的基本立场和观点。在证书有效期内为证书申请者提供相关的咨询服务。TJCA认证体系中涉及的单位和个人，必须完整理解和准确解释TJCA电子认证服务业务规则的内容。1.2 TJCA标识TJCA是天津市数字证书认证中心（Tianjin Digital Certificate Authority Center）的缩写形式。 TJCA所拥有的品牌的商标为：1.3 文档名称与标识符1.3.1 名称本文档名称为电子认证服务业务规则，是TJCA对所提供的认证及相关业务的全面描述。1.3.2 发布本电子认证服务业务规则文档将在TJCA网站上发布。网址是。1.4 电子认证活动参与者1.4.1 电子认证服务机构TJCA和TJCA下层CA统称为电子认证服务机构。TJCA是所有TJCA下层机构和实体的根。在严格保密和安全机制控制下，TJCA根据根证书有效期的策略，自己生成密钥对，自己签发根证。TJCA根据授权和协议签发下一级的证书。TJCA将决定在什么时间、什么地点、由什么人监督、怎么实施TJCA根密钥对的更新和切换。TJCA必须建立完善的安全机制，以保证根私钥的安全性。在时机成熟的时候，TJCA将建立异地备份中心。TJCA所签发的证书与每一个证书申领实体的公钥绑定。TJCA承诺，在有效期内的证书，将采用证书网站和证书黑名单服务（Certificate Revocation List Service），公布该证书可以公开的信息和状态。TJCA将根据业务需要，与TJCA服务框架体系中未涉及的其他电子认证服务机构建立交叉认证关系。交叉认证是指两个完全独立的，采用各自认证策略的证书认证中心建立相互信任关系，从而使双方的客户可以实现互相认证。当TJCA需要建立与某CA交叉认证关系时，即信任某电子认证服务机构发放的证书，TJCA将审查该电子认证服务机构目前已在执行的证书业务相关文件、承诺以及操作规程。所有信任TJCA的机构，如果要接受与TJCA建立交叉认证关系的CA所发放的证书，必须自行检查该CA的业务声明及其他证书业务相关的文件。交叉认证并不表示TJCA批准了或赋予了其他独立电子认证服务机构的任何权力。1.4.2 注册审批机构（Registration Authority）注册审批机构作为电子认证服务机构授权委托的下属机构，负责订户信息的审核、整理汇总、统计分析、与上级CA进行数据交换、管理和服务下层注册分支机构和下层受理点。每个注册机构可以按照行业或行政地域分成多个注册分支机构或直接连接受理点，可以直接对最终订户提供服务。注册机构可以根据客户群体的发展需要，遵循TJCA认证体系地域或行业的划分情况，授权建立相应的受理点或注册分支机构。注册机构有责任不将客户的数据透露给与证书申请无关的任何单位或个人，不允许用于牟取商业利益。注册机构必须获得电子认证服务机构的授权。地区、行业、机构均可以申请成为TJCA的注册机构。注册机构性质包含授权、品牌、独立法人等。注册机构（RA）作为电子认证服务机构授权委托的证书服务注册受理机构，负责订户信息的审核、整理汇总、统计分析、与CA机构进行数据交换、管理和服务下属分支机构，包括分理中心（RAB）和下属受理点(RAT)等。每个RA可以按照行业、行政地域或其他因素分成多个RAB，或直接连接RAT，对最终订户提供服务。RA应遵循本CPS以及TJCA的授权，建立相应的RAB或RAT。RA有责任妥善保存订户的申请信息，不允许将订户的申请信息透露给与证书申请无关的任何单位或个人，不允许用于牟取商业利益。RA必须获得TJCA及其子CA的授权，根据授权从事各类证书服务，并依据授权拓展相应的下级服务机构。地区、行业、机构等均可以申请成为TJCA架构内的注册机构。1.4.3 注册分支机构（Registration Authority Branch）与注册机构功能类似。当注册机构服务的群体超过一定限度时，在注册机构下面设注册分支机构。注册分支机构的上级是注册机构，下级是受理点。注册分支机构由注册机构或电子认证服务机构授权建立或撤消。注册分支机构是可选项，即根据客户群体大小决定是否设注册分支机构。注册分支机构性质包含授权、品牌、独立法人等。1.4.4 受理点（Business Terminal）经过TJCA审查，TJCA授权特定单位或实体，负责办理和审批数字证书申请。数字证书申请手续、过程和要求，必须与TJCA正在实施的电子认证服务业务规则以及TJCA的CA受理点授权协议书一致。受理点负责向TJCA授权的注册机构或TJCA授权的注册分支机构提供证书申请实体的信息，包括申请实体的名称、可以表明身份的证件号码和联系方法（通信地址、电子邮箱、电话等）。受理点根据这些信息为申请实体制作证书或根据申请实体的要求为申请实体自行申请提供技术支持。1.4.5 订户（Subscriber）订户包括个人、单位、服务器、网站等提供网上服务和享受网上服务的各种实体，以及其他持有TJCA各类证书的人、物或单位组织。 1.4.6 信任体（Relying Party）在TJCA证书服务体系范围内，用证书进行网上作业的订户称为TJCA的信任体。 信任体必须是TJCA证书服务体系中订户，享有相应的利益，包括TJCA可能提供的证书保障，以及TJCA电子认证服务业务规则中涉及的权益。1.4.7 证书申请者（Certificates Applicant）证书申请者是请求TJCA颁发证书的个人、企业和组织机构。每一个期望作为TJCA或其下级操作子CA的证书订户的实体，都可以成为TJCA的证书申请者，根据其想要获得的证书类型，按照本CPS的规定提供必要的信息，完成申请过程。如果证书申请者不能提供TJCA所需的信息，其申请过程将延迟或终止。一经提交证书申请，所有的证书申请者就已授权TJCA可进行安全问题的调查。所有这些调查必须符合相关的隐私权和相关法律法规的要求，申请人同意协助TJCA采用后者认为适当的并与本CPS一致的方式，来确定所有的事实、发生环境和其他相关信息。如果该证书申请经过了发证机构的所有必要鉴别程序并鉴别合格，TJCA将依照本CPS的规定为申请者签发一份证书，以证明已经批准了申请者的证书申请。如果申请者未能成功通过鉴别，TJCA将拒绝申请者的证书申请，并通知申请者鉴别失败，同时向申请者提供失败的原因（法律禁止的除外）。被拒绝的证书申请者可再次提出申请。TJCA内的发证机构只有在经过证书申请者的同意后才签发证书。证书申请者一旦提交了证书申请，尽管事实上还没有接受证书，但仍被视为该订户已同意接受发证机构为其签发证书。同时，发证机构可以根据其独立判断，拒绝给任何主体签发证书，并且不对因此导致的任何损失或费用承担任何责任和义务。1.4.8 其他参与者（Other Participants）为以上未提及的隶属于TJCA证书体系的实体，如网站提供者等与PKI服务相关的参与者。1.5 证书应用1.5.1 适合的证书应用 TJCA数字证书目前已经在电子政务公共服务、电子交易、电子办公、电子公证、公共服务等领域应用，为建设互联网络的信任环境开展了基础性的服务。证书申请者可以根据实际需要，自主判断和决定采用相应合适的证书种类。 TJCA及其操作子CA签发的证书，从功能上可以满足下列安全需要：l 身份认证-保证采用TJCA信任服务的订户身份的真实性。l 验证信息完整性-保证采用TJCA证书和数字签名时，可以验证信息在传递过程中是否被篡改，发送和接收的信息是否完整一致。l 验证数字签名-对信任体交易不可抵赖性的依据即数字签名进行验证。必须指出，对于任何电子通信或交易，不可抵赖性应根据法律和争议解决办法裁定。l 保证机密性-机密性保证传送方和接收方信息的机密，不会被泄露给其他未经合法授权方。但TJCA对机密性事件没有承担相应责任的义务。在TJCA中，TJCA目前支持两种不同信任等级的订户证书：正式证书和测试证书。正式证书的申请者必须通过规定的物理身份认证和TJCA需要的鉴别程序，有效期一般为1年。测试证书有效期一般不超过3个月。涉及证书签发、申请、受理、操作、管理、使用的单位和个人，应熟悉本CPS中的术语、条件、需求、建议以及权益等内容。证书申请者、订户和依赖方等各类主体可以根据实际需要，自主判断和决定采用相应合适的证书类型，以及了解证书的应用类型、应用范围，选择自己的应用方式。除非在本CPS中特别声明，TJCA没有义务承担任何因使用证书产生的额外的经济赔偿责任。1.5.2 限制的证书应用证书禁止在任何违反国家法律、法规或破环国家安全的情形下使用，否则由此造成的法律后果由订户自己承担。1.6 策略管理1.6.1 策略文档管理机构根据中华人民共和国电子签名法、电子认证服务管理办法和电子认证服务业务规则规范的要求，TJCA制定本电子认证服务业务规则（CPS），并指定专门的机构TJCA认证委员会作为策略的最高管理机构。TJCA认证委员会作为TJCA框架内第三方电子认证服务所有策略的最高管理机构，由TJCA召集管理人员、PKI技术人员和法律顾问组成，负责审核批准CPS，并作为CPS实施检查监督的最高决定机构。TJCA安全管理部作为CPS的工作机构，负责起草CPS并根据要求提出修改报告，并负责此方面的对外咨询服务。1.6.2 决定本CPS符合策略的机构作为电子认证业务的主管部门，信息产业部发布了电子认证服务业务规则规范，TJCA根据规范的要求，制定本电子认证服务业务规则（CPS），并提交信息产业部备案。TJCA保证其制订和发布的CPS，其执行、解释、翻译和有效性均符合和适用于中华人民共和国的法律规定。安全管理部作为认证服务策略的工作部门，负责本CPS实施的日常监督检查，保证TJCA内的运行符合本CPS的要求。1.6.3 公告所有公告和通知将在TJCA网站上公布。TJCA网站地址：。1.6.4 认证业务规则的变更和发布TJCA有权对TJCA电子认证服务业务规则（CPS）进行预期或非预期的修改。修改过的电子认证服务业务规则，将根据电子认证服务管理办法的要求，在规定的时间内向信息产业部进行备案。在本CPS作出任何变动之前，TJCA认证委员会将对安全管理部提供的变更建议报告进行研究，最终作出是否变更的决定。TJCA将在决定形成决议后，在TJCA网站公布变更后的CPS。对本CPS所做的修改将于TJCA发布之日起立即生效，所进行的修改将取代以往CPS各版本中的任何冲突和指定条款。TJCA将对本CPS进行严格的版本控制。所有修改在TJCA网站上公布。1.7 定义与缩写1.7.1 TJCA天津市数字证书认证中心（Tianjin Digital Certificate Authority Center即TJCA）简称TJCA，由天津信息港电子商务有限公司建设并运营，是权威、公正的第三方电子认证服务机构。1.7.2 TJCA认证委员会TJCA体系内的最高策略管理监督机构和本CPS一致性决定机构。1.7.3 电子认证服务机构（Certificate Authority，CA）TJCA及授权的下级操作子CA称为电子认证服务机构，也就是证书认证机构，是颁发证书的实体。1.7.4 注册机构（Registration Authority，RA）负责处理证书申请者和订户的服务请求，并将其提交给认证服务机构，为最终证书申请者建立注册过程的实体，负责对证书申请者进行身份标识和鉴别，发起或传递证书吊销请求，代表电子认证服务机构批准更新证书或更新密钥的申请。1.7.5 注册分支机构CA注册分支机构。与TJCA签署注册分支机构协议，被TJCA授权发行TJCA证书的代理机构，隶属于注册机构。功能同CA注册机构。 1.7.6 受理点 与TJCA签署受理点协议，被TJCA授权发行TJCA证书的代理机构。 1.7.7 发证机构包含TJCA授权的注册机构、注册分支机构、受理点证书发放机构。发证机构为证书申请者发放TJCA证书。1.7.8 TJCA数字证书签发系统为TJCA证书申请者签发、管理数字证书的软件系统。1.7.9 TJCA灾难恢复策略TJCA灾难恢复策略指TJCA在灾难发生时执行的计划和程序，可以由TJCA独立的审查员或管理者验证。1.7.10 订户（Subscriber）订户包括个人、单位、服务器、网站等提供网上服务和享受网上服务的各种实体，以及其他持有TJCA各类证书的人、物或单位组织。1.7.11 证书申请者证书申请者（Certificate Applicant）请求TJCA颁发证书的个人、企业、组织机构。1.7.12 证书申请 由证书申请者提交给TJCA的请求，TJCA根据此请求为订户颁发证书。1.7.13 证书口令 证书口令指证书中私钥的保护口令。1.7.14 证书序列号 唯一标识证书的32位字母组合。1.7.15 甄别名 甄别名（Distinguished Name）简称DN，包含订户的主题信息。1.7.16 通用名称 通用名称（Common Name）简称CN，甄别名中的一项。1.7.17 密码管理中心 密码管理中心简称KMC，负责密钥的产生、存储、归档等管理工作。1.7.18 OCSP OCSP（Online Certificate Status Protocol），即在线查询数字证书状态协议，用于支持实时查询数字证书状态。1.7.19 LDAP LDAP（Lightweight Directory Access Protocol），即轻量级目录访问协议，用于查询、下载数字证书以及数字证书废止列表（CRL）。1.7.20 PKI PKI（Public Key Infrastructure），公开密钥基础设施。1.7.21 CRLCRL（Certificate Rovocation List），即数字证书废止列表的英文简称。CRL中记录所有在原定失效日期到达之前被废止的数字证书的订户数字证书序列号，供数字证书使用者在认证对方数字证书时查询使用。CRL 通常又被称为数字证书黑名单。内容通常还包含列表发行人的姓名、发行日期、下次废止列表的预定发行日期、遭更新或废止的数字证书序号，并说明遭更新或废止的时间与理由。声明了主体的名字或签发中心的身份，确定签名者的身份，包括签名者的公开密钥，表明了数字证书的操作时限，还包括数字证书的序列号。1.7.22 认证 认证（Certification）指不同实体在进行网上交易之前，通过可信赖的、中立的第三方（如TJCA）对身份进行审核，并由第三方出具证明证实其身份的可靠性和合法性的过程。1.7.23 数字证书 数字证书是一种电子认证服务机构签发的电子文件。本CPS中提及的数字证书，包括签名证书和加密证书。1.7.24 数字签名通过使用非对称密码加密系统对电子数据进行加密、解密变换来实现的一种电子签名。本CPS中提及的签名为数字签名。1.7.25 电子签名电子签名，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。1.7.26 私人密钥私人密钥（Private Key），是一种不能公开、由持有者秘密保管的数字密钥，用于创建电子签名、解密报文或与相应的公开密钥一起加密机要文件等。1.7.27 公开密钥公开密钥（Public Key），可以公开的数字密钥，用于验证相应的私人密钥签名的报文，也可以用来加密报文、文件，由相应的私人密钥解密等。1.7.28 签名密钥对包含一对私人密钥和公开密钥。主要用于订户的签名和验证。证书申请者申请证书时一般由客户端或服务器端产生。1.7.29 加密密钥对包含一对私人密钥和公开密钥。主要用于订户信息的加解密。证书申请者申请证书时由KMC产生。1.7.30 PKCSPKCS（Public Key Cryptography Standard），公开密钥密码算法标准。第二章 信息发布与信息管理2.1 信息发布2.1.1 CPS的发布TJCA电子认证服务业务规则由TJCA编制，并负责本规则的解释，一经TJCA在网页或以书面声明形式发布、更改，即时生效，并对一切仍有效的数字证书的使用者、新的数字证书及相关业务的申请者均具备约束力。 本电子认证服务业务规则的发布及更改一律须经TJCA核准和发布。如有需要可访问TJCA网页查看本电子认证服务业务规则，对具体个人不另行通知。 2.1.2 TJCA公众信息的发布TJCA在TJCA网站上发布与其相关的公众信息，并对旧信息进行处理。 2.1.3 证书的发布证书在签发成功后，TJCA通过网站将该证书复本发布到TJCA网站上。TJCA定期公布在证书有效期内被废止的数字证书。订户都可以在TJCA的网站中查询获得有关信息。 2.1.4TJCA信息库TJCA信息库是一个对外公开的信息库，它能够保存、取回证书及与证书有关的信息。TJCA信息库内容包括但不限于以下内容：证书、CRL，证书挂起信息，TJCA CPS过去和现在的版本，以及其他由TJCA不定期发布的信息。TJCA信息库不会改变任何从发证机构发出的证书和任何证书挂起或注销的通知，而是准确描述上述内容。处理任何与TJCA相关的事宜时，TJCA必须使用TJCA信息库作为主要的和正式的信息库。TJCA信息库将及时发布包括证书、CPS 修订、证书挂起和吊销的通知和其他资料等内容，这些内容必须保持与CPS 和有关法律法规一致。TJCA信息库可以通过网址：访问，或由TJCA随时指定的其他通讯方法获得。TJCA可在TJCA信息库外颁布订户证书和相关CRL资料。除TJCA授权者外，禁止访问信息库（或其他由发证机构维护的数据）中任何被CPS和/或TJCA信息库宣布为机密信息的资料。2.2 发布时间及频率2.2.1 电子认证服务业务规则的发布时间和频率 TJCA将及时发布电子认证服务业务规则（CPS）的最新版本，一旦对规则的修改、补充、调整等获得批准，TJCA将在上发布，并将最新的CPS发布在TJCA信息库内，并与原有CPS共同列出，以便检索。TJCA根据技术进步、业务发展、应用推进和法律法规的客观要求，决定对CPS的改动，其发布时间和频率将由TJCA独立做出决定。这种发布应该是即时的、高效的，并且是符合国家法律法规的要求。在TJCA没有发布新的CPS，或者没有任何形式的公告、通知等形式宣布对CPS进行修改、补充、调整或者更新前，当前的CPS即处在有效的和正在实施的状态。只有TJCA有权利对这种状态进行任何形式的改变。2.2.2 TJCA公众信息的发布时间及频率 TJCA在上发布与其相关的公众信息、处理旧信息。TJCA的网站实时更新，会在第一时间发布信息。 2.2.3 证书的发布时间及频率 TJCA的网站上每日更新目录，通常在24小时内自动发布，也可人工发布。订户可在TJCA网页上查询、下载。 2.2.4 CRL的发布时间和频率 发证机构在挂起或吊销证书后，必须在24小时内，在TJCA信息库中发出挂起和吊销的公告。TJCA将公布一项或多项以下内容：发布吊销和挂起证书的清单，该清单可通过安全通道索取。通过OCSP协议，请求者可以实时查看和获得某一证书的状态，包括有效、被吊销或者被挂起。在满足要求以后，TJCA还可以提供跟进服务，当指定的证书被吊销或挂起时，TJCA将按照约定的方式通知请求该项服务请求者。所有被吊销的证书列表CRL，通过TJCA的网站进行发布。TJCA每日更新网站，通常在24小时内自动发布最新CRL。根据需要，也可以人工发布最新CRL。除非另有规定，TJCA保证至少每24小时一次发布各类证书的吊销列表（CRL）。在紧急情况下，TJCA可自行决定公布证书吊销列表的时间和频率。2.3 信息访问控制2.3.1 信息的发布与处理 TJCA将及时在网站上公布新的信息。只有TJCA有权对网站上的旧信息进行处理。 2.3.2 信息访问控制和安全审计 TJCA设置了信息访问控制和安全审计措施，保证只有经过授权的TJCA工作人员才能编写和修改TJCA在线的公告版本和公布信息。 2.3.3 信息资料权限管理 TJCA在必要时可自主选择是否实行信息的权限管理，以确保只有订户才有权阅读受TJCA控制的信息资料。第三章 身份标识与鉴别3.1 命名3.1.1 名称类型根据证书对应实体的类型不同，TJCA签发的证书的实体名可以是人员姓名、组织机构名、域名等，命名符合X.500 甄别名规定。TJCA 证书的主题域中包含X.500 甄别名。TJCA 的主题甄别名由以下几项组成:l Country（C）l Organization（O）l Organizational Unit（OU）l Common Name（CN）l E-mail 地址（E）3.1.2 对名称有意义的要求标识名称所采用的订户识别信息，必须具有明确的、可追溯的、肯定的代表意义，不允许匿名或者伪名等出现。3.1.3 订户的匿名或伪名 本CPS中明确声明，TJCA不接受任何匿名或者伪名，仅接受有明确意义的名称作为唯一表示符。3.1.4 理解不同名称形式的规则依X.500 甄别名命名规则解释。3.1.5 名称的唯一性TJCA签发给某个实体的证书，其主题甄别名，在CA信任域内是唯一的，其中的例外是签发双证书时（一个签名证书、一个加密证书），属于同一实体的两个证书具有同样的主题甄别名，但证书的密钥用法扩展项不同。3.1.6 商标的识别、鉴证和角色TJCA签发的证书的主题甄别名中不包含商标名。3.2 初始身份验证 3.2.1申请者身份的鉴别TJCA需要对证书申请者的身份进行程序性的鉴别，包括但不限于验证订户提供的身份证明材料、通过第三方进行调查、通过公共数据库调查、邮政地址调查等等。TJCA首先会要求申请者对其递交的材料作真实性声明，并承担相应的法律责任。TJCA会按照本CPS的规定，对材料进行鉴别。TJCA也可能采取附加的或者额外的方式进行这种鉴别。如果申请者拒绝TJCA的身份鉴别要求，那么就被视作放弃对证书的申请。同时TJCA声明，TJCA可以拒绝任何申请请求，并且没有对此说明原因的义务。3.2.2 组织机构身份的鉴别组织机构申请者身份的鉴别流程，会根据申请证书种类的不同而不同，TJCA可以按照每种证书相应的要求进行不同的验证。如通过证明E-mail的有效性、 查询可信的数据库验证真实性、面对面鉴别身份材料以及其他可以获得申请者明确的身份信息的方式等；相应的证书申请流程规定了不同的鉴别程序。证书申请表上有申请者本身或被充分授权的证书申请者代表的签字。在申请组织机构证书时，申请者应指定证书申请代表，并对其合法授权，证书申请代表在证书的申请表上签字表示接受证书申请的有关条款, 并承担相应的责任。TJCA及其证书服务机构审核单位证书申请者的代表人是否符合要求。对组织机构的身份鉴别按以下方式进行：TJCA或其注册机构、受理点等证书服务机构必须检查申请者所递交的文件，申请者需向TJCA提供单位或服务器确实存在的有效证明，包括但不限于工商营业执照、企事业单位组织机构代码证等；申请者有义务保证申请材料的真实有效，并承担与此相关的法律责任。TJCA可以通过查询第三方数据库或咨询相应的政府机构等方式，来对申请者及其申请材料进行验证。TJCA可以通过从第三方得到的电话号码等其他联络方式，用某种方式与申请机构进行联络以确认某个信息（例如，验证代理人的职位或者验证申请表中的某个人是否是申请人）。如果TJCA无法从第三方得到所有需要的信息，可要求第三方进行调查，或要求证书申请者提供额外的信息和证明材料。如果TJCA或其注册机构、受理点等证书服务机构已经预先明确了证书申请单位的身份，那么TJCA和其授权的证书服务机构可以信赖申请者提供的证明。这种身份鉴别，通常是通过现场的方式进行。对于包括邮递、传真等非现场方式进行的身份鉴别，TJCA将会要求申请者提供额外的身份鉴别资料和证明，通过电话、第三方调查、邮政地址调查等TJCA以为合理的方式辅助进行鉴别。TJCA 和其授权的证书服务机构在规定期限内保存组织机构的全部申请材料，这个规定期限由法律、政策、主管部门的要求或者TJCA自行决定。TJCA的单位身份证书、单位E-mail证书、单位代码签名证书、服务器证书只提供给单位、组织或部门性质的申请者，不对个人订户提供该项服务。在审核申请信息时，必须审核单位的身份。3.2.3 个人身份的鉴别个人申请者身份的鉴别流程，会根据申请证书种类的不同而不同，TJCA可以按照每种证书相应的要求进行不同的验证。例如通过证明E-mail的有效性、 查询可信的数据库验证真实性、面对面鉴别身份材料以及其他可以获得申请者明确的身份信息的方式等；相应的证书申请流程规定了不同的鉴别程序。证书申请表上有申请者本身或被充分授权的证书申请者代表的签字。1、证明E-mail的有效性。通过审核和验证订户的E-mail地址真实存在性来识别和鉴定个人的身份。2、查询可信的信息数据库。通过核对和证实可信的数据库内必要的个人特征,识别和鉴定个人身份。由TJCA来选择和决定可信的数据库，包括现存的TJCA数据库和其他第三方的数据库。3、面对面鉴定。TJCA和其授权的证书服务机构将申请者本人和两份身份证明（原件和复印件）进行比较。身份证明文件必须是有效的身份证，或护照证件等。如果TJCA或受理点已经确认申请者个人的身份，那么TJCA 或其授权的证书服务机构可以信任现有的证明。4、TJCA还可以通过从第三方获取的信息来验证该申请者个人的身份，如果TJCA无法从第三方得到所有所需的信息，可要求第三方进行调查，或要求申请者提供额外的信息和证明材料。申请者必须承担材料真实性的责任，TJCA和其授权的证书服务机构在进行了法律规定的有限审查以后，不承担对申请者的身份证明文件（如身份证等）进行合法性甄别的义务。目前，TJCA主要通过第三种方式进行个人的身份鉴别。对于包括邮递、传真等非现场方式进行的身份鉴别，TJCA将会要求申请者提供额外的身份鉴别资料和证明，通过电话、第三方调查、邮政地址调查等TJCA以为合理的方式辅助进行鉴别。TJCA和其授权的证书服务机构保存订户在申请表中填写的详细信息。3.2.4 域名(或IP地址)的确认和鉴别如果证书的名称为域名（或IP地址），除了在对申请者递交的书面材料进行审核外，TJCA需要申请者提供额外的域名(IP地址)使用权证明材料，或向相应的域名注册服务机构(IP注册服务机构)或者其他第三方查询，以确定申请者是否有权使用相应的域名(IP地址)。TJCA还需要采取其他独立的审查措施，以确认该域名（或IP地址）的归属权，如果要求申请者提供相应的协助，该申请者不得拒绝这种请求。3.2.5 授权确认在组织机构申请某一类型的证书时，TJCA和其授权的证书服务机构还需审核申请代表人的身份和资格，包括必需的身份资料和授权证明，并且可以通过电话、信函或其他方式与其代表的实体进行核实确认，以审核他是否有权代表那个实体。TJCA可通过从第三方得到的电话号码等其他联络方式，用某种方式与组织机构进行联络以确认授权申请人的某个信息（例如，验证代理人的职位或者验证申请表中的某个人是否是申请人）。如果TJCA无法从第三方得到所有需要的信息，可要求第三方进行调查，或要求证书申请者提供额外的信息和证明材料。3.3 密钥更新请求的标识与鉴别通常，订户的密钥有效期为一年（根据情况，TJCA可