TS 102 042-2013 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.4.1)
ETSI - European Telecommunications Standards Institute
Ultima versión
TS 102 042-2013
Alcance
"El presente documento especifica los requisitos de política relacionados con las autoridades de certificación (CA) que emiten certificados de clave pública@, incluidos los certificados de validación extendida (EVC) y los certificados TLS/SSL de confianza pública (PTC). Define los requisitos de política sobre las prácticas operativas y de gestión de las autoridades de certificación. emitir y gestionar certificados de manera que los suscriptores@ sujetos certificados por la CA y las partes que confían puedan tener confianza en la aplicabilidad del certificado en apoyo de los mecanismos criptográficos. Los requisitos de política se definen en términos de seis políticas de certificados de referencia y un marco desde el cual las CA pueden producir una política de certificación dirigida a un servicio particular. La primera política de referencia define un conjunto de requisitos para las CA que proporcionen un nivel de calidad igual al ofrecido por los certificados cualificados@ sin estar ligados a la Directiva de Firma Electrónica (1999/93/CE [ i.1]) y sin requerir el uso de un dispositivo de usuario seguro (de firma o descifrado). Esto se denomina Política de certificados (NCP) "normalizada". Se prevé que el NCP pueda utilizarse como base para alcanzar el nivel de calidad establecido por la Política de certificación cualificada (como se define en TS 101 456 [15]) pero sin las limitaciones legales de la Directiva de firma electrónica (1999/93/EC [i.1]). Además del nivel de calidad del NCP@, el presente documento especifica seis variantes alternativas de NCP@ cuyos requisitos pueden utilizarse cuando se puedan justificar niveles alternativos de servicio mediante un análisis de riesgos. Las alternativas se denominan: ? la Política de certificación ligera (LCP) para su uso cuando una evaluación de riesgos no justifica los costos adicionales de cumplir con los requisitos más onerosos de la NCP (por ejemplo, presencia física); ? la Política de Certificados Normalizados (NCP+) extendida para su uso cuando se considere necesario un dispositivo de usuario seguro (firma o descifrado); ? la Política de Certificados de Validación Extendida (EVCP) para uso con firma de código o TLS/SSL donde se requieren provisiones@ adicionales a las indicadas en NCP@ para emitir EVCs@ de manera consistente con lo especificado en las Directrices de Certificados EV [16] emitidas por el CAB Foro; ? la Política de Certificados de Validación Extendida (EVCP+) mejorada para uso con firma de código o TLS/SSL donde@ además de los requisitos para emitir EVCs@ se considera necesario un dispositivo de usuario seguro (firma o descifrado); ? la Política de Certificados de Validación de Dominio (DVCP) para uso con TLS/SSL donde se requieren provisiones@ adicionales a las indicadas en NCP@ para emitir DVCs@ de manera consistente con lo especificado en el BRG [19] emitido por el Foro CAB; ? la Política de Certificados de Validación Organizacional (OVCP) para uso con TLS/SSL donde se requieren provisiones@ adicionales a las indicadas en NCP@ para emitir OVCs@ de manera consistente con lo especificado en el BRG [19] emitido por el Foro CAB. NOTA 1: TLS/SSL se utiliza para indicar el acceso a servicios basados en web protegidos mediante el protocolo Transport Layer Security (TLS) [i.4] o un protocolo Secure Socket Layer (SSL) equivalente anterior. EVCP y EVCP+ se basan en NCP y NCP+ respectivamente@ por lo tanto@, excepto donde se especifique explícitamente@, todos los requisitos pertinentes de NCP y NCP+ se aplican además de los específicamente requeridos para EVC. DVCP y OVCP también se basan en NCP, por lo que, salvo que se especifique explícitamente, se aplican todos los requisitos de NCP pertinentes además de los específicamente requeridos para DVC y/o OVC. La aplicabilidad de estos certificados se especifica en la cláusula 5.3. El presente documento puede ser utilizado por organismos independientes competentes como base para confirmar que una CA proporciona un servicio fiable de acuerdo con prácticas reconocidas. En lo que respecta a EVC y DVC/OVC, puede ser utilizado por: ? Auditores@ que operan en un marco europeo para la evaluación de Autoridades de Certificación@ para evaluar si estas Autoridades de Certificación cumplen con los requisitos para emitir EVC y/o DVC/OVC como se especifica en las Directrices de Certificación EV del Foro CAB [16] y/o el BRG [19 ] respectivamente. ? Autoridades de Certificación@ que operan bajo las versiones anteriores de esta Especificación Técnica@ que pretenden adaptar sus políticas y prácticas para la emisión de EVC y/o DVC/OVC. ? Autoridades de certificación que planean emitir EVC y/o DVC/OVC dentro de un contexto que se ajuste a las prácticas estándar europeas para las CA. Se recomienda que los suscriptores y las partes que confían consulten la política de certificación y la declaración de prácticas de certificación de la CA emisora para obtener detalles de los requisitos abordados por su política de certificación y cómo la CA en particular implementa la política de certificación. Los requisitos de política relacionados con la CA incluyen requisitos sobre la prestación de servicios para el registro@generación de certificados@difusión de certificados@gestión de revocación@estado de revocación y, si es necesario,@provisión segura del dispositivo sujeto. El soporte para otras funciones de terceros confiables, como el sellado de tiempo y los certificados de atributos, está fuera del alcance del presente documento. Además, el presente documento no aborda los requisitos para los certificados de autoridad de certificación, incluidas las jerarquías de certificados y la certificación cruzada, excepto cuando se especifique explícitamente en los casos de EVCP y/o EVCP+ y DVCP/OVCP. De manera consistente con EVCG [16] y BRG [19]@ dentro de las cláusulas del presente documento relacionadas con la emisión de certificados, la palabra clave ""DEBE"" tiene el significado especificado en RFC 2119 [18] que indica que pueden existir razones válidas en particular. circunstancias ignorar un punto en particular@, pero se comprenden todas las implicaciones y se sopesan cuidadosamente antes de elegir un curso diferente. Si se debe certificar que una implementación del presente documento cumple con la evaluación realizada por un auditor independiente, el anexo E establece los requisitos para garantizar la calificación adecuada de ese auditor. NOTA 2: Consulte TS 119 403 [i.2] para obtener orientación sobre la evaluación de los procesos y servicios de CA con respecto al presente documento".
TS 102 042-2013 Historia
2013TS 102 042-2013 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.4.1)
2012TS 102 042-2012 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.3.1)
2011TS 102 042-2011 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.2.1)
2010TS 102 042-2010 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.1.2)
2009TS 102 042-2009 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V2.1.1)
2007TS 102 042-2007 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V1.2.4)
2006TS 102 042-2006 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V1.2.3)
2005TS 102 042-2005 Firmas e Infraestructuras Electrónicas (ESI); Requisitos de política para las autoridades de certificación que emiten certificados de clave pública (V1.2.2)
2002TS 102 042-2002 Requisitos de política para autoridades de certificación que emiten certificados de clave pública (V1.1.1)