电子认证业务规则.docx

JXCA C P S电子认证业务规则版本V2.0生效日期：2007 年 7 月 10 日版权归属江西省数字证书有限公司（任何单位和个人不得擅自翻印）目 录1 概括性描述11.1 概述11.2 文档名称与标识11.3 电子认证活动参与者11.3.1 电子认证服务机构11.3.2 注册机构21.3.3 订户21.3.4 依赖方21.3.5 其它参与者21.4 证书应用21.4.1 适合的证书应用21.4.2 限制的证书应用21.5 策略管理31.5.1 策略文档管理机构31.5.2 联系人31.5.3 决定CPS 符合策略的机构31.5.4 CPS 批准程序31.6 定义和缩写42 信息发布与信息管理52.1 认证信息的发布52.2发布的时间或频率52.3 信息库访问控制53 身份标识与鉴别63.1 命名63.1.1 名称类型63.1.2 对名称意义化的要求63.1.3 订户的匿名或伪名63.1.4 理解不同名称形式的规则63.1.5 名称的唯一性63.1.6 商标的识别、鉴别和角色63.2 初始身份验证73.2.1 证明拥有私钥的方法73.2.2 组织机构身份的鉴别73.2.3 个人身份的鉴别73.2.4 设备身份的鉴别83.2.5 没有验证的订户信息83.2.6授权确认83.2.7 互操作准则83.3 密钥更新请求的标识与鉴别83.3.1 常规密钥更新的标识与鉴别83.3.2 吊销后密钥更新的标识与鉴别83.4 吊销请求的的标识与鉴别9 证书生命周期操作要求104.1 证书申请104.1.1 证书申请实体104.1.2 注册过程与责任104.2 证书申请处理104.2.1 执行识别与鉴别功能104.2.2 证书申请批准和拒绝104.2.3 处理证书申请的时间114.3 证书签发114.3.1 证书签发中注册机构和电子认证服务机构的行为114.3.2 电子认证服务机构和注册机构对订户的通告114.4 证书接受114.4.1 构成接受证书的行为114.4.2 电子认证服务机构对证书的发布114.4.3 电子认证服务机构对其他实体的通告124.5 密钥对和证书的使用124.5.1 订户私钥和证书的使用124.5.2 依赖方公钥和证书的使用124.6 证书更新124.6.1 证书更新的情形124.6.2 请求证书更新的实体134.6.3 证书更新请求的处理134.6.4 颁发新证书时对订户的通告134.6.5 构成接受更新证书的行为134.6.6 电子认证服务机构对更新证书的发布134.6.7 电子认证服务机构对其他实体的通告134.7密钥更新134.7.1 证书密钥更新的情形134.7.2 请求证书密钥更新的实体144.7.3 证书密钥更新请求的处理144.7.4 颁发新证书时对订户的通告144.7.5 构成接受密钥更新证书的行为144.7.6 电子认证服务机构对密钥更新证书的发布144.7.7 电子认证服务机构对其他实体的通告144.8 证书变更144.8.1 证书变更的情形144.8.2 请求证书变更的实体154.8.3 证书变更请求的处理154.8.6 电子认证服务机构对变更证书的发布154.8.7 电子认证服务机构对其他实体的通告154.9 证书吊销和挂起154.9.1 证书吊销的情形154.9.2 请求证书吊销的实体164.9.3 吊销请求的流程164.9.4 吊销请求宽限期164.9.5 电子认证服务机构处理吊销请求的时限164.9.6 依赖方检查证书吊销的要求164.9.7 CRL 发布频率164.9.8 CRL 发布的最大滞后时间174.9.9 在线的吊销/状态查询的可用性174.9.10 吊销信息的其他发布形式174.9.11 证书挂起的情形174.9.14 请求证书挂起的实体174.9.15 挂起请求的流程174.9.16 挂起的期限限制184.10 证书状态服务184.10.1 操作特征184.10.2 服务可用性184.10.3 可选特征184.11 订购结束184.12 密钥生成、备份与恢复194.12.1 密钥生成、备份与恢复的策略与行为195 认证机构设施、管理和操作控制205.1 物理控制205.1.1 场地位置与建筑205.1.2 物理访问205.1.3 电力与空调215.1.4 水患防治215.1.5 火灾防护215.1.6 介质存储215.1.7 废物处理215.2 程序控制215.2.1 可信角色215.2.2 每个角色的识别与鉴别225.2.3 需要职责分割的角色225.3 人员控制225.3.1 资格、经历和无过失要求225.3.2 背景审查程序225.3.3 培训要求235.3.4 再培训周期和要求235.3.5 工作岗位轮换周期和顺序235.3.6 未授权行为的处罚235.3.7 独立合约人的要求235.3.8 提供给员工的文档245.4 审计日志程序245.4.1 记录事件的类型245.4.2 处理日志的周期245.4.3 审计日志的保存期限245.4.4 审计日志的保护245.4.5 审计日志备份程序255.4.6 审计收集系统255.4.7 对导致事件实体的通告255.4.8 脆弱性评估255.5 记录归档255.5.1 归档记录的类型255.5.2 归档记录的保存期限255.5.3 归档文件的保护255.5.4 归档文件的备份程序265.5.5 获得和检验归档信息的程序265.6 电子认证服务机构密钥更替265.7 损坏与灾难恢复265.7.1 事故和损害处理流程265.7.2 计算资源、软件和/或数据的损坏265.7.3 实体私钥损害处理程序275.7.4 灾难后的业务连续性能力275.8 电子认证服务机构或注册机构的终止275.8.1 CA 终止原因275.8.2 终止通知275.8.3 终止归档275.8.4 终止措施275.8.5 RA 的终止根据286 认证系统技术安全控制296.1 密钥对的生成和安装296.1.1 密钥对的生成296.1.2 私钥传送给订户296.1.3 公钥传送给证书签发机构296.1.4 电子认证服务机构公钥传送给依赖方306.1.5 密钥的长度306.1.6 公钥参数的生成和质量检查306.1.7 密钥使用目的306.2 私钥保护和密码模块工程控制306.2.1 密码模块标准和控制306.2.2 私钥多人控制（m 选 n）306.2.3 私钥托管316.2.4 私钥备份316.2.5 私钥归档316.2.6 私钥导入、导出密码模块316.2.7 私钥在密码模块的存储316.2.8 激活私钥的方法316.2.9 解除私钥激活状态的方法316.2.10 销毁私钥的方法326.2.11 密码模块的评估326.3 密钥对管理的其它方面326.3.1 公钥归档326.3.2 证书操作期和密钥对使用期限326.4 激活数据336.4.1 激活数据的产生和安装336.4.2 激活数据的保护336.4.3 激活数据的其他方面336.5 计算机安全控制336.5.1 特别的计算机安全技术要求336.5.2 计算机安全评估336.6 生命周期技术控制346.6.1 系统开发控制346.6.2 安全管理控制346.6.3 生命期的安全控制346.7 网络的安全控制347 证书、证书吊销列表和在线证书状态协议357.1 证书357.1.1 版本号357.1.2 证书扩展项357.1.3 算法对象标识符357.1.4 名称形式367.1.5 名称限制367.2证书吊销列表367.2.1 版本号377.2.2 CRL 和CRL 条目扩展项377.2.3 示图377.3 在线证书状态协议387.3.1 版本号387.3.2 OCSP 扩展项388 认证机构审计和其它评估398.1 评估的频率或情形398.2 评估者的资质398.3 评估者与被评估者的关系398.4 评估内容398.5 对问题与不足采取的措施408.6 评估结果的传达与发布409 法律责任和其他业务条款419.1 费用419.1.1 证书签发和更新费用419.1.2 证书查询费用419.1.3 证书吊销或状态信息的查询费用419.1.4 其它服务费用419.1.5 退款策略419.2 财务责任429.2.1 赔偿责任范围429.2.2 对最终实体的赔偿担保429.2.3 责任免除429.3 业务信息保密439.3.1 保密信息范围439.3.2 不属于保密的信息449.3.3 保护保密信息的责任449.4 个人隐私保密459.4.1 隐私保密方案459.4.2 作为隐私处理的信息459.4.3 不被视作隐私的信息459.4.4 保护隐私的责任459.4.5 使用隐私信息的告知与同意459.4.6 依法律或行政程序的信息披露459.4.7 其它信息披露情形459.5 知识产权469.6 陈述与担保469.6.1 电子认证服务机构的陈述与担保469.6.2 注册机构的陈述与担保479.6.3 订户的陈述与担保479.6.4 依赖方的陈述与担保479.6.5 其它参与者的陈述与担保489.7 担保免责489.8 有限责任489.9 赔偿489.10 有效期限与终止499.10.1 有效期限499.10.2 终止499.10.3 效力的终止与保留499.11 对参与者的个别通告与沟通499.12 修订499.12.1 修订程序499.12.2 通知机制和期限509.12.3 必须修改业务规则的情形509.13 争议处理509.14 管辖法律509.15 与适用法律的符合性509.16 一般条款519.16.1 完整协议519.16.2 转让519.16.3 分割性519.16.4 强制执行519.16.5 不可抗力519.17 其它条款511 概括性描述 1.1 概述 江西省数字证书有限公司（以下简称JXCA）是为电子签名提供第三方认证服务的电子认证服务机构。JXCA的电子认证业务规则详细阐述了JXCA在提供认证服务过程中，制定并对外公布有关数字证书的业务类型、证书制作、证书管理、认证作业及信息安全保障的实施规程。包括：证书的申请、审核、签发、撤销、更新、变更、挂失、冻结等操作流程，以及信息公开的要求等内容。对于JXCA所提供的认证服务过程的责任范围，本业务规则也给予了明确的规定。 1.2 文档名称与标识 本文为JXCA电子认证业务规则（ CPS ），在JXCA 网站发布，JXCA网址：。JXCA是江西省数字证书有限公司（JiangXi Certification Authority）的英文简称。JXCA的标识为： 1.3 电子认证活动参与者 1.3.1 电子认证服务机构JXCA是根据中华人民共和国电子签名法、电子认证服务管理办法规定，依法设立的第三方电子认证服务机构。JXCA通过给从事电子交易活动的各方主体颁发数字证书、提供证书验证服务等手段而成为电子认证活动的参与主体。1.3.2 注册机构 JXCA的数字证书注册机构是经JXCA正式授权后的业务分支机构，包括证书注册审核（RA）中心、证书本地受理（LRA）点等。注册机构是为JXCA的证书申请者建立注册过程的实体。1.3.3 订户 在电子签名应用中，订户即是电子签名人，是接收本机构签发证书的实体1.3.4 依赖方 JXCA的证书依赖方是指基于对JXCA提供电子认证活动中电子签名的信赖而从事有关活动的实体。该实体可以是，也可以不是JXCA的一个证书订户。1.3.5 其它参与者 其他参与者是指为JXCA的电子认证活动提供相关服务的其他实体。1.4 证书应用 1.4.1 适合的证书应用 JXCA签发的数字证书常见的应用范围包括电子商务、电子政务、其他社会信息化应用。目前JXCA可以签发的证书种类有以下四类：1、个人数字证书2、单位数字证书3、服务器证书4、代码签名证书1.4.2 限制的证书应用 JXCA签发的数字证书禁止的应用范围包括： 1、根据中华人民共和国电子签名法第三条规定，民事活动中的合同或者其他文件、单证等文书，当事人可以约定使用或者不使用电子签名、数据电文。当事人约定使用电子签名、数据电文的文书，不得仅因为其采用电子签名、数据电文的形式而否定其法律效力。前款规定不适用下列文书： （一）涉及婚姻、收养、继承等人身关系的； （二）涉及土地、房屋等不动产权益转让的； （三）涉及停止供水、供热、供气、供电等公用事业服务的； （四）法律、行政法规规定的不适用电子文书的其他情形。 2、JXCA与订户约定的证书禁止应用范围。1.5 策略管理 1.5.1 策略文档管理机构 本 CPS 的制订、更新、发布等事宜，其管理机构为JXCA 运营安全管理小组。1.5.2 联系人 CPS维护组 电话：0791-6212680 EMAIL：jxca1.5.3 决定CPS 符合策略的机构 JXCA 运营安全管理小组拥有对JXCA CPS的决策权和审批权。1.5.4 CPS 批准程序 批准流程是： （1） CPS 编写组编写CPS。 （2） CPS 编写完成后提交JXCA 各部门修改。 （3） 修改后的CPS 递交运营安全管理小组审查。 （4） 运营安全管理小组审查通过后，CPS 正式对外发行。 1.6 定义和缩写 1.6.1 术语定义一览表 电子签名认证证书 电子认证服务提供者签发的用以证明证书持有人的电子签名、身份、资格即其他有关信息的电子文件。 数字证书 使用数字签名作为识别签名人身份和表明签名人认可签名数据的一种电子签名认证证书。 电子签名 具有识别签名人身份和表明签名人认可签名数据的功能的技术手段。 数字签名 通过使用非对称密码加密系统对电子记录进行加密、解密变换来实现的一种电子签名。 电子签名人 是指持有电子签名制作数据并以本人身份或者以其所代表的名义实施电子签名的人 电子签名依赖方 是指基于对电子签名认证证书或者电子签名的信赖而从事有关活动的人。 私钥（电子签名制作数据） 在电子签名过程中使用的，将电子签名与电子签名人可靠地联系起来的字符、编码等数据。 公钥（电子签名验证数据） 是指订户验证电子签名的数据。 1.6.2 缩略语及其含义一览表 JXCA Jiang Xi Certificate Authority 江西省数字证书认证中心 CA Certificate Authority 电子认证服务机构 KMC Key Management Center 密钥管理中心 RA Registration Authority 注册审核服务机构 LRA Local Registration Authority 本地注册受理点 LDAP Lightweight Directory Access Protocol 轻型目录访问协议 CPS Certification Practice Statement 电子认证业务规则 CRL Certificate Rovoke List 证书撤消列表 CSR Certificate Signing Request 证书签名请求 OCSP Online Certificate Status Protocol 在线证书状态协议 PIN Personal Indentification Number 证书个人识别码 PKCS Public KEY Cryptography Standards 公共密钥密码标准 PKI Public Key Infrastructure 公共密钥基础设施 X.509 国际电信同盟认证体系的证书标准 2 信息发布与信息管理 2.1 认证信息的发布 JXCA电子认证信息库包括以下内容：CPS、证书、CRL，该信息库的运营实体为JXCA机构本身。JXCA的职责是使发布的认证信息及时可靠。2.2发布的时间或频率 JXCA通过网站方式公布本机构制定的CPS。对于因认证业务需要进行的CPS的不定期变更，JXCA也将通过文档版本升级的形式，以原有公布方式予以及时发布。JXCA 的CRL可以实时发布和定期发布。 2.3 信息库访问控制 对于以网站方式公布的CPS认证信息，JXCA允许任何公众进行查询和访问。证书和CRL通过LDAP方式予以发布，同时提供OCSP在线验证方式。JXCA采取授权和安全审计等安全管理手段，保证了证书、CRL等认证信息库的登陆和访问控制。 3 身份标识与鉴别3.1 命名 3.1.1 名称类型 JXCA签发的数字证书格式中，遵循国际电信联盟（ITU）提出的X.509版本和Internet工程任务组（IETF）颁布的ORC3280规定，对证书持有人唯一标识符包含在证书的“DN”项中。该项标识了本证书所提到的最终实体的唯一身份标识。 3.1.2 对名称意义化的要求 DN项中的名称标识符具有一定的代表性意义，可为个人订户的身份证号码、机构订户的组织机构代码等。 3.1.3 订户的匿名或伪名 本CPS规定，JXCA的订户在进行数字证书申请时不能够使用匿名或伪名。 3.1.4 理解不同名称形式的规则 DN 的具体内容依次由CN、E、OU、O、L、S、C几部分组成。其中CN 用来表示用户名，E表示电子邮箱，OU表示证件号码，O表示名称，L表示地址，S表示省，C表示国家。 3.1.5 名称的唯一性 JXCA数字证书的主体名称项具有唯一性。当同一订户申请多张证书时，遵循先申请者优先使用DN项，后申请者在DN项增加附加识别信息予以区别的原则。 3.1.6 商标的识别、鉴别和角色 JXCA不接受使用商标作为名称标识符的订户申请。 3.2 初始身份验证3.2.1 证明拥有私钥的方法 通过证书请求中包含的数字签名来证明用户持有与注册公钥对应的私钥。在JXCA 体系中，用户私钥（private key）在用户端生成，用户的证书请求信息中包含用私钥进行的数字签名，CA 用对应的公钥可以验证这个签名。JXCA 要求用户妥善保管自己的私钥，因此，用户视作其私钥的唯一持有者。 3.2.2 组织机构身份的鉴别 JXCA在接到组织机构类订户的证书申请后，向该订户签发证书前，必须对该组织机构身份进行查验和鉴别。鉴别要求如下： 1、组织机构的授权办理人携带本人身份证原件及复印、机构工商营业执照登记证及复印件、组织机构代码证原件及复印件亲自到证书申请现场。2、核对办理人身份证、机构工商营业执照登记证、组织机构代码证原件与复印件是否一致。 3、核对办理人身份证、机构工商营业执照登记证、组织机构代码证信息与申请表相应信息是否一致。 4、确认组织机构接受JXCA“数字证书用户责任书”中的各项条款。 5、检查该订户提交申请材料的完整性。 3.2.3 个人身份的鉴别 JXCA在接到个人类订户的证书申请后，向该订户签发证书前，必须对该证书申请者的个人身份进行查验和鉴别。鉴别要求如下： 1、证书申请个人携带本人身份证原件及复印件亲自到证书申请现场。通过面对面核实方式确认该订户的真实身份。 2、核对申请者身份证原件与复印件是否一致。 3、核对申请者身份证原件信息与申请表相应信息是否一致。 4、确认该申请者接受JXCA“数字证书用户责任书”中的各项条款。 5、检查该订户提交申请材料的完整性。3.2.4 设备身份的鉴别 JXCA在接到订户的设备证书申请后，向该订户签发设备证书前，必须对该证书申请者及申请设备的身份进行查验和鉴别。鉴别要求如下： 1、订户为组织机构的身份鉴别按照本CPS 3.2.2节描述执行。订户为个人的身份鉴别按照3.2.3节描述执行。2、核查证书订户与设备的责任关系证明材料与订户的身份证明材料是否一致。3.2.5 没有验证的订户信息订户提交鉴证文件以外的信息为没有验证的订户信息。 3.2.6授权确认 个人订户或机构订户在JXCA的数字证书申请表上加盖单位有效公章后，则证明本机构对个人或办理人进行JXCA证书申请的授权确认。 3.2.7 互操作准则 经过JXCA的合法授权后，注册机构可对订户的证书申请执行以上的初始身份确认方法。 3.3 密钥更新请求的标识与鉴别 3.3.1 常规密钥更新的标识与鉴别 JXCA在接到注册机构或订户的常规密钥更新请求后，将使用该订户证书中的当前有效密钥对对包含新密钥的密钥更新请求进行签名，作为对常规密钥更新的标识与鉴别。 3.3.2 吊销后密钥更新的标识与鉴别 证书被吊销后，对密钥更新的鉴别将按照该订户初始身份的验证过程进行。 3.4 吊销请求的的标识与鉴别 JXCA对证书吊销请求的鉴别要求包括： 1、订户本人申请吊销证书； 2、订户没有履行双方合同规定的义务。 证书生命周期操作要求4.1 证书申请4.1.1 证书申请实体JXCA证书申请实体包括个人和具有独立法人资格的组织机构(包括行政机关、事业单位、企业单位、社会团体和人民团体等)。 4.1.2 注册过程与责任 证书申请人按照本CPS所规定的要求，填写证书申请表，并准备相关的身份证明材料。JXCA或注册机构依据身份鉴别规范对证书申请人的身份进行鉴别，并决定是否受理申请。 申请过程中各方责任为：订户要按照本CPS的要求准备证书申请材料，并确保申请材料真实准确。 注册机构负责接收证书申请人的请求材料，当面对订户所提供的证书申请信息与身份证明资料的一致性进行查验。 4.2 证书申请处理 4.2.1 执行识别与鉴别功能 JXCA或授权的注册机构按照本CPS所规定的身份鉴别流程对申请人的身份进行识别与鉴别，具体的鉴别流程详见.身份标识与识别4.2.2 证书申请批准和拒绝 JXCA或授权的注册机构根据本CPS所规定的身份鉴别流程对证书申请人身份进行识别与鉴别后，根据鉴别结果决定批准或拒绝证书申请。 如果证书申请人通过本CPS所规定的身份鉴别流程且鉴证结果为合格，JXCA或注册机构将批准证书申请，为证书申请人制作并颁发数字证书。证书申请人未能通过身份鉴证，JXCA或注册机构将拒绝申请人的证书申请，并通知申请人鉴证失败，同时向申请人提供失败的原因(法律禁止的除外)。 被拒绝的证书申请人可以在准备正确的材料后，再次提出申请。 4.2.3 处理证书申请的时间 JXCA授权的注册机构将做出合理努力来尽快确认证书申请信息，一旦注册机构收到了所有必须的相关信息，将在24小时内处理证书申请。 注册机构能否在上述时间期限内处理证书申请取决于证书申请人是否真实、完整、准确地提交了相关信息和是否及时地响应了JXCA的管理要求。 4.3 证书签发4.3.1 证书签发中注册机构和电子认证服务机构的行为 JXCA在批准证书申请之后，将签发证书。证书的签发意味着电子认证服务机构最终完全正式地批准了证书申请。 4.3.2 电子认证服务机构和注册机构对订户的通告 JXCA通过注册机构，对订户的通告有以下几种方式： 1、 通过面对面的方式，通知订户到注册机构领取数字证书；注册机构把数字证书直接提交给订户，来通知订户证书信息已经正确生成； 2、 邮政信函通知订户；3、 其他JXCA认为其他安全可行的方式通知订户。 4.4 证书接受 4.4.1 构成接受证书的行为数字证书签发完成后，注册机构将数字证书当面或寄送给证书申请人。证书申请人从获得数字证书起，就被视为同意接受证书。 4.4.2 电子认证服务机构对证书的发布 订户接受证书后，JXCA在其规定的时间内将该订户证书发布到JXCA的目录服务系统。供订户和依赖方查询和下载4.4.3 电子认证服务机构对其他实体的通告 其他实体可以通过从目录服务器中查询到JXCA已经签发的数字证书。4.5 密钥对和证书的使用 4.5.1 订户私钥和证书的使用 用户需要妥善保管自己的私钥和证书，不将其用于不适合的证书用途（在1.4.2 节定义），也不可在证书已过期或被吊销的情况下继续使用证书和密钥。 4.5.2 依赖方公钥和证书的使用 依赖方有义务妥善保存用户的公钥和证书，不将其用于不适合的证书用途，使用前有责任根据CPS 的规定检查证书的有效性。4.6 证书更新为保证证书及其密钥对的安全有效，JXCA为签发的证书设置有效期，一般为一年。这也是为了保证证书用户的权利。证书用户必须在证书有效期到期前一个月内，到JXCA授权的发证机构申请更新证书。更新证书时发证机构根据用户的要求决定新证书是否使用原证书密钥。出于安全考虑建议证书用户更新证书时更新密钥。 4.6.1 证书更新的情形证书更新的原因l 证书的使用期限将要到期；l 其他。 证书更新指JXCA 在不修改证书中的订户相关公开身份信息的情况下重新签发一张证书。 4.6.2 请求证书更新的实体 请求证书更新的实体为证书订户。 4.6.3 证书更新请求的处理 1、 订户可到证书申请的注册机构进行证书更新申请。2、 证书订户填写“证书更新申请表”表单。3、 注册机构对申请订户的身份进行查验与鉴别，鉴别要求同本CPS中3.2.2、3.2.3节描述。JXCA注册机构先注销旧证书后，再为证书订户发放新证书。 4.6.4 颁发新证书时对订户的通告对订户的通告有以下几种方式：1、 通过面对面的方式，通知证书更新已完成，新证书已颁发；2、 邮政信函通知订户； 4.6.5 构成接受更新证书的行为 见4.4.1 构成接受证书的行为。4.6.6 电子认证服务机构对更新证书的发布 见4.4.2 电子认证服务机构对证书的发布。4.6.7 电子认证服务机构对其他实体的通告 关于该证书是否可以正常使用，其它用户可以在JXCA 的对外的目录服务器上查到。 4.7密钥更新4.7.1 证书密钥更新的情形 证书密钥更新条件具体包括： 1、证书的有效期将要到期； 2、密钥对的使用期将要到期； 3、因私钥泄漏而吊销证书后，就需要进行证书更新； 4、其他。 4.7.2 请求证书密钥更新的实体 请求证书密钥更新的实体为证书订户。 4.7.3 证书密钥更新请求的处理 1、JXCA对证书密钥更新请求的处理通过证书更新请求处理流程完成。 2、JXCA证书密钥更新请求的处理流程同本CPS 4.6.3节描述。4.7.4 颁发新证书时对订户的通告 见4.6.4 颁发新证书时对订户的通告。4.7.5 构成接受密钥更新证书的行为见4.4.1 构成接受证书的行为。4.7.6 电子认证服务机构对密钥更新证书的发布JXCA在签发更新证书后，就将更新证书发布到目录服务器中，对外进行发布。 4.7.7 电子认证服务机构对其他实体的通告 其他实体可以通过从目录服务器中查询已更新的数字证书。 4.8 证书变更 4.8.1 证书变更的情形 证书的变更是指证书用户在名称等有关用户的信息发生变更但密钥不需要改变的情况下，向RA 提出修改证书内容的情形。 4.8.2 请求证书变更的实体 请求证书变更的实体为证书订户。 4.8.3 证书变更请求的处理1、JXCA对证书变更请求的处理通过证书更新请求处理流程完成。 2、JXCA证书变更请求的处理流程同本CPS 4.6.3节描述。 4.8.6 电子认证服务机构对变更证书的发布见4.4.2 电子认证服务机构对证书的发布。4.8.7 电子认证服务机构对其他实体的通告 其他实体可以通过从目录服务器中查询已更新的数字证书。4.9 证书吊销和挂起 以下对证书吊销和挂起的情况进行描述 4.9.1 证书吊销的情形 对于下列情况之一，JXCA 将吊销所签发的数字证书： 1、 JXCA发现订户在申请时提供的证明材料不真实；2、 订户没有按照规定缴纳数字证书服务费用； 3、 订户未履行证书服务责任书约定的义务；4、 订户要求吊销数字证书；5、 订户主体消亡； 6、 订户变更数字证书的用途；7、 私钥失窃、篡改、未经授权的泄露和其它安全威胁；8、 法律、行政法规规定的其他情形。4.9.2 请求证书吊销的实体 请求证书吊销实体为订户、注册机构、JXCA。4.9.3 吊销请求的流程l 申请者到JXCA授权的发证机构书面填写“证书吊销申请”，并注明吊销的原因。l JXCA 授权的发证机构按照3.身份标识与鉴别对用户提交的证书吊销申请进行审核。l 强制吊销：JXCA授权的发证机关管理员可以依法对用户证书进行强制挂起，吊销后必须立即通知该证书用户。强制吊销的命令来源于：JXCA或JXCA授权的发证机构。l JXCA注销用户证书后，发证机构将通知用户证书被注销。用户证书在24小时内进入CRL或被直接签发CRL，向外界公布。 4.9.4 吊销请求宽限期 如果出现密钥泄露或有泄露嫌疑等事件，吊销要求必须在泄密或有泄密嫌疑8小时以内提出。其他吊销原因的吊销要求必须在变更的48小时内提出。 4.9.5 电子认证服务机构处理吊销请求的时限 CA 在接到吊销请求后应立即处理且在24 小时内完成。 4.9.6 依赖方检查证书吊销的要求 依赖方需要访问JXCA 目录服务器来查询用户的证书状态，以获得用户证书是否可以信赖的信息。 4.9.7 CRL 发布频率JXCA将通过证书黑名单列表在24小时内公布被吊销的证书，特殊紧急情况下可以立即生效（假使网络传输条件能够保证）。对于测试证书的吊销，不提供黑名单公布服务。 4.9.8 CRL 发布的最大滞后时间 JXCA的CRL发布最大滞后时间为发布周期之后的24小时内。 4.9.9 在线的吊销/状态查询的可用性使用JXCA 提供7×24小时目录服务，可以进行证书吊销查询和状态查询。4.9.10 吊销信息的其他发布形式 OCSP 作为可选的吊销通知形式。 4.9.11 证书挂起的情形 以下情况出现时考虑证书挂起： 1、 订户怀疑证书或密钥受到攻击。2、 订户违反了CPS规定的重要职责。3、 没有按期缴纳证书费。 4.9.14 请求证书挂起的实体请求证书挂起的实体为订户。4.9.15 挂起请求的流程l 申请者到JXCA授权的发证机构书面填写“证书废止申请”，并注明挂起的原因。l JXCA 授权的发证机构按照.身份标识与鉴别对用户提交的证书挂起申请进行审核。l 强制挂起：JXCA授权的发证机关管理员可以依法对用户证书进行强制挂起，挂起后必须立即通知该证书用户。强制挂起的命令来源于：JXCA或JXCA授权的发证机构。l JXCA挂起用户证书后，发证机构将当面通知或通过发送E-mail邮件或邮寄的方式通知用户证书被挂起；4.9.16 挂起的期限限制 用户证书被挂起后，用户必须在证书挂起之日起的三十日内申请恢复证书，否则JXCA或JXCA授权的发证机构有权自行注销证书。对此造成的任何后果，JXCA不负任何责任。4.10 证书状态服务 4.10.1 操作特征订户通过JXCA的证书状态查询系统，能够在线查询证书的状态。 4.10.2 服务可用性 JXCA的证书状态查询系统能够保持与订户的实时网络连接。即在网络允许的情况下，订户能够实时获得证书状态查询服务。 4.10.3 可选特征 证书状态的其他可选服务方式为订户利用JXCA指定的CRL地址，通过目录服务器提供的查询系统，查询并下载CRL到本地，进行证书状态的查询。 4.11 订购结束 1、当订户停止使用JXCA提供的数字证书时，必须向JXCA提出证书注销的申请。申请流程为本CPS中4.9.3的规定。JXCA注销证书后，表明订户的订购行为正式结束。 2、当证书有效期结束后，订户未按时续缴服务费时，JXCA吊销证书后，表明订户的订户行为正式结束。 4.12 密钥生成、备份与恢复 4.12.1 密钥生成、备份与恢复的策略与行为 JXCA要求订户必须使用本订户的数字证书载体生成签名密钥对。订户可以委托JXCA代订户进行生成签名密钥对的有关操作。由于签名私钥遗失所造成的损失由订户自己承担，JXCA对此不承担责任。 证书订户的加密密钥对由JXCA代订户向江西省电子密钥管理中心申请生成，并由江西省电子密钥管理中心进行管理。当证书订户需要恢复加密密钥时，按照江西省电子密钥管理中心的规范、流程，接受订户的申请，为订户恢复相应的加密密钥。 5 认证机构设施、管理和操作控制 本章为JXCA 系统非技术性安全控制规范，这些规范对于JXCA 的权威性是十分关键的，安全的控制下将最大限度的减少CA 遭受攻击的情况发生。 5.1 物理控制 系统的物理安全和环境安全是整个JXCA 系统安全的基础，它包括基础设施的处理、周边环境的监控、区域访问控制、设备安全及灾难预防等。为把JXCA 系统的危险减至最低限度，JXCA 选择设施的适当