1、 粤港电子签名证书互认证书策略 版本序号： 1.1 工信部的对象标识符为 : 2.16.156.339.1.1.1.2.1 (自然人 ) / 2.16.156.339.1.1.2.2.1 (法人 ) 香港资科办的对象标识符为 : 2.16.344.8.2.2008.810.2.2018.1.1 (繁简体版本使用同一对象标识符 ) 生效日期 : 2018 年 月 日 粤港电子签名证书互认证书策略 版本序号： 1.1 目录 一、 适用证书范围 . 1 二、规范范围 . 1 三、总体责任 . 1 四、信息发布 . 2 （一）信息库 . 2 （二）电子认证服务机构信息发布 . 3 （三）发布时间或频率
2、 . 4 五、身份标识与鉴别 . 4 （一）证书上 的身份命名 . 4 （二）初次申请证书时的身份鉴别 . 5 （三）证书吊销请求時的身份鉴别 . 6 六、证书生命周期操作要求 . 6 （一）证书 申请 . 6 （二）证书申请处理 . 7 （三）证书签发 . 7 （四）接受证书 . 8 （五）证书更新 . 8 （六）证书变更 . 8 （七）证书吊销和挂起 . 8 （八）密钥对和证书的使用 . 9 （九）证书状态服务 . 9 （十）终止证书服务 /订购的结束 . 9 （十一）密钥托管与恢复 . 9 七、认证机构设施、管理和操作控制 . 10 （一）物理安全和环境控制 . 10 （二）过程控制 .
3、 11 （三）人员安全 . 12 （四）事件纪录程序 /审计流程 . 13 （五）记录归档 . 13 （六）事故处理、紧急应变、灾难恢复及业务持续 . 14 八、认证系统技术安全控制 . 14 （一）密钥对生成和安装 . 14 （二）电子认证服务机构密钥变更 . 15 （三）私钥保护和密码模块工程控制 . 15 （四）密钥对管理的其他方面 . 16 （五）计算机和网络安全控制 . 16 （六）系统开发控制 . 16 （七）时间戳 . 17 九、证书和证书吊销列表的描述 . 17 十、合规性 . 17 十一、赔偿限额、赔偿安排和法律解决 . 18 十二、信息保密 . 18 十三、附则 . 18
4、附件 1.1：互认策略主要名词术语的两地对照表 . 19 附件 1.2：粤港两地电子签名证书互认技术标准列表和釆用措施 . 22 第 1 页 一、 适用证书范围 （一）本证书策略是核准由依据中华人民共和国电子签名法获得电子认证服务许可并在广东省注册登记的第三方电子认证服务机构或依据香港特别行政区电子交易条例成立的认可核证机关（以下统称为电子认证服务机构）签发的电子签名证书或认可数码证书（以下统称电子签名证书）能否应用于粤港跨境电子交易的重要依据。 （二）本证书策略主要适用于粤港跨境电子交易使用的个人电子签名证书和组织机构电子签名证书（以下简称为“个人证书”和“组织机构证书”，或 统称为 “证书
5、”）。本证书策略亦适用于签发上述证书的电子认证服务机构本身的证书（以下简称为“电子认证服务机构本身的证书”）。 （三）本证书策略在规范签发上述证书的电子认证服务机构行为基础上，对规范证书持有人（以下简称为“订户”）、证书依赖方（以下简称为“依赖方”）等参与方行为亦提出明确要求。 （四）本证书策略在规范证书类别及对象标识如下： 证书类别 工信部的对象标识符 香港资科办的对象标识符 个人证书 2.16.156.339.1.1.1.2.1 2.16.344.8.2.2008.810.2.2018.1.1 机构证书 2.16.156.339.1.1.2.2.1 二、规范范围 本证书策略对电子认证服务机
6、构有关证书的服务和管理提出以下规范性要求： * 信息发布； * 身份标识与鉴别； * 证书生命周期操作要求； * 认证机构设施、管理和操作控制； * 认证系统技术安全控制； * 证书和证书吊銷列表的描述； * 合规性； * 赔偿限额、赔偿安排和法律解决； * 信息保密。 三、总体责任 第 2 页 （一）电子认证服务机构（包括其注册机构）须 1承担以下责任 ，包括但不限于 ： * 制定符合本证书策略要求的电子认证业务规则，依据本证书策略的要求及相关电子认 证业务规则的条款，提供认证服务和相关的基础设施； * 电子认证服务机构须建立和执行符合相关规定的安全机制，保证私钥得到安全的存放和保护； *
7、所有和认证业务相关的活动须符合本地法律法规和主管部门的规定。 （二）电子认证服务机构须对证书订户承担以下责任，包括但不限于： * 证书中没有电子认证服务机构所知的或源于电子认证服务机构的错误陈述； * 生成证书时，不因电子认证服务机构的失误而导致证书中的信息与电子认证服务机构所收到的信息不一致； * 签发给订户的证书符合本证书策略及相关电子认证业务规则的要求； * 将按本证书策略及相关电子认 证业务规则的规定，及时吊销证书； * 将向订户通报任何已知的、将在根本上影响证书有效性和可靠性的事件。 （三）电子认证服务机构须对依赖方（按照本证书策略及相关电子认证业务规则合理地依赖签名（该签名可通过证
8、书中所含的公钥验证）的人）承担以下责任，包括但不限于： * 除未经验证的订户信息外，证书中或证书指向的所有信息都是准确的； * 完全遵照本证书策略及相关电子认证业务规则的规定签发证书； * 通过公开发布证书，向所有合理依赖证书中信息的依赖方证明：发证机构已向订户签发了证书，并且订户已按照本证书策略及相关电子认证业务规则的规 定接受了该证书。 四、信息发布 （一）信息库 1、电子认证服务机构建立和维护一个或多个可公开查 询 的在线信息库，用于发布： * 证书策略、电子认证业务规则及相关披露文档等信息； * 证书和证书状态查询（包括但不限于证书目录信息、证书状态信息、证书吊销列表）等信息； * 可
9、公开的订户协议和必须公开的依赖方协议的最新版本； * 本地主管部门指明必须发布的其他信息。 2、电子认证服务机构应在电子认证业务规则中清楚指出证书状态信息的发布方式。证1 在本证书策略中，“须”和“应”也 是 表示“必须”的意思。 第 3 页 书状态可以通过电子认证服务机构网站发布证书吊销列表，也可以通过 LDAP 目录服务器、OCSP 服务器作为证书吊销列表的有效补充。 3、电子认证服务机构须根据 RFC3647 标准（或相关更新版本）制定电子认证业务规则的内容范围。若有不适用于该电子认证服务机构或某类型、类别 或 种类的证书范围时，电子认证服务机构须在电子认证业务规则中清楚指出不适用的范围
10、及其原因。 4、电子认证服务机构须通过信息库发布信息让证书的依赖方清楚知道，在依赖方信赖电子认证服务机构签发的证书时，必须对证书的使用承担以下的主要责任，包括但不限于： * 依赖方已经熟悉本证书策略及相关电子认证业务规则的条款，了解证书的使用目的和可提供的保证， 依赖方在信任证书前， 须 同意依赖方协议中的条款，并根据使用的环境和条件判断该证书是否可信任； * 如果依赖方需要电子认证服务机构提供额外的保障，即电子认证业务规则中有关条款所提供的额外保障，依赖方应在确认可以获得这些保障之后，自行 决定是否信任相应的证书； * 依赖方对证书进行合理的检查和审核，包括检查电子认证服务机构公布的最新的证
11、书吊销列表，确认该证书没有被挂起或吊销；检查证书信任路径中所有出现过的证书的可靠性；检查证书的有效期；检查其它能够影响证书有效性的信息； * 依赖方在电子认证业务规则中的其他合理责任； * 依赖方 须 承担因未履行以上责任所产生的法律责任。 5、电子认证服务机构在电子认证业务规则及其它相关文档中须清楚指出其信息库的位置和查询方式，以便能让有关人士查询并获取所需信息，尤其是证书订户和依赖方对电子认证业务规则、证书及证书状态的查询。 6、电子认证服务机构须采取有效安全的措施防止信息库受到未经授权的增加、删除、修改等，且在运行及管理信息库时，不得进行任何对依赖信息库包括证书和其他信息的人士造成不合理
12、风险的活动。 7、电子认证服务机构须在其与本证书策略相关的电子认证业务规则中声明，在遵守本地法律监管要求和本证 书策略的基础上，任何由于电子认证服务机构或相关证书的不足或疏忽所引起的责任和索偿， 电子认证服务机构、订户和依赖方 对两地政府和电子认证服务主管部门免责。 （二）电子认证服务机构信息发布 8、电子认证服务机构在其信息库中须公布以下证书信息，包括但不限于： * 电子认证服务机构本身的证书，其中包含与电子认证服务机构用作签发证书的私钥所对应的公钥； * 电子认证服务机构本身或其主管部门对电子认证服务机构 本身 的证书进行挂起、吊销或不获续期的通知； 第 4 页 * 任何对电子认证服务机构
13、发出的证书的可靠性或服务能力造成重大及不利影响的事 件。 （三）发布时间或频率 9、电子认证服务机构须及时发布及更新信息库中有关披露文档和文档的修订信息，包括但不限于： * 证书策略； * 电子认证业务规则； * 使用电子认证服务机构有关证书服务所需要的相关文档； * 电子认证服务机构上述文档以往发布、修订信息的披露记录。 10、电子认证服务机构签发的证书和相关信息，必须在生效后及时发布，以供下载、查询和使用。 11、电子认证服务机构应发布证书（包括电子认证服务机构本身的证书）挂起或吊销的信息（包括证书吊销列表和任何其他有关挂起或吊销的信息）。 * 当证书被挂起或吊销时，电子认 证服务机构应及
14、时发布有关信息； * 当证书被挂起或吊销时 ,电子认证服务机构应及时发布有关的证书吊销列表； * 电子认证服务机构 应 至少每 24 小时发布一次证书有关的证书吊销列表； * 当电子认证服务机构本身的证书被挂起或吊销时，电子认证服务机构应及时发布有关信息； * 当电子认证服务机构本身的证书被挂起或吊销时 ,电子认证服务机构应及时发布有关的证书吊销列表； * 电子认证服务机构 应 至少每年签发一次电子认证服务机构本身证书有关的证书吊销列表； * 电子认证服务机构应在合理时间内发布证书吊销列表，并在其相 关 的电子认证业务规则中清楚指出其证 书吊销列表的发布时间。 12、电子认证服务机构不应在其信
15、息库中载有已确 认为 不正确或不可靠的信息。 五、身份标识与鉴别 （一）证书上的身份命名 电子认证服务机构应在其签发的证书保证 : 1、证书在主体名 称 (subject name)中包含一个 X.501 甄别名 (Distinguished Name (DN) ，且按照 X.500 的解释作为不同命名的规则。 2、订户的命名一定要有 意 义，应具有通常能够被理解的语义，可以明确确定证书主体第 5 页 中的个人或者组织机构的身份，能够把名称与唯一一个确定的实体（个人或者组织机构）联系起来。当出现相同的名称时，电子认证服务机构应有明确制度决定申请者的优先使用顺序。证书不允许使用匿名或假名。个人证
16、书的证书主体应以个人身份命名；组织机构证书的证书主体应以组织机构身份命名。 3、电子认证服务机构应要求证书申请者确保不会使用任何侵犯知识产权的名称。电子认证服务机构应要求证书申请者当其申请的证书 内 容包含商标信息时，应提交有关的商标注册文件，例如由政府机构 发 出的合法性 证 明文件。 （二）初次申请证书时的身份鉴别 4、组织机构身份的鉴别： 当任何组织机构（政府机构、企事业单位或其它社会组织等）提出证书 申请时，电子认证服务机构应当先对其身份进行严格的鉴别，包括但不限于： * 由独立、权威的第三方提供的资料 证 明 该组织 确 实 存在，例如由政府机构发出的合法性证明，或由其它被认可的权威
17、组织提供的证明资料； * 通过有效方式确认组织机构申 请 资料的真实性，确保申请已得到 该组织 机构充分的授权并能提供其它必须验证的信息； * 申请的组织机构证书包括个人身份名义时，电子认证服务机构应要求该组织机构核实确认个人身份的真实性，并要求提交有 关 材料进行 审 核； * 申请的组织机构证书由授权代表申请时，电子认证服务机构应要求授权代表提交该组织机构充分授 权的书面证明文件（如授权书）， 审 核确认授权代表得到该组织机构的明确授权； * 以面对面的审核方式确认授权代表身份时 ,通过法定的身份证明文件（包括但不限于身份证、护照或者其它相身份证明资料），确认授权代表的真实身份； * 在采
18、用以上审核方式的基础上，可使用认为必 要 的其它额外鉴别方式和资料。 5、个人身份的鉴别： 当个人提出证书申请时，电子认证服务机构应先用以下 的身份审核方式 对其身份进行严格的鉴别 ， 包括： 身份审核方式 详情 A * 以面对面的审核方式确认个人身份时 ,通过法定的身份证明文件（包括但不限于身份证、护照或者 其它身份证明资料），确认个人的真实身份，且其身份必须与所申请的证书主体相对应。 B 提供身份证的拍照件并与 “粤港电子签名证书互认试点工作組”认可的 独立权威第三方数据库 （例如内地的“全国公民身份证号码查询服务中心”） 进行比对， 确认 申请 人的真实身份 ； 及 第 6 页 结合生物
19、特征确认身份证与申请人的一致性；及 * 通过拍照、语音或视频确定个人申请证书的真实意愿；及 * 使用第三方身份认证辅助信息源（例如内地 eID 或内地银行对外提供的个人账户和身份信息对应关系验证）验证申请人身份真实性，并与其签订身份鉴别的法律责任划分协议。 * 电子 认证服务机构在使用独立权威第三方数据库作身份比对时，须直接连接官方机构所提供的平台或接口以确保资料准确和可靠； * 在采用以上审核方式的基础上，可使用认为必要的其它额外鉴别方式和资料； * 中华人民共和国电子签名法第 28 条要求内地电子认证服务机构承担证明自身无过错的举证责任，如果引入外部第三方信息源进行辅助验证，则应就鉴证法律
20、责任进行明确划分，以避免出现纠纷时无法确定法律责任。 6、电子认证服务机构须在电子认证业务规则内清楚指出所釆用的组织或个人身份鉴别方法。电子认证服务机构 在 处理个人证书申请时所使用的身份审核 方式，亦须载于电子签名证书内 。 7、当证书上存在未经明确的、可靠验证的订户信息时，电子认证服务机构须在电子认证业务规则及证书上清楚指出未经验证的信息或信息类别。 （三）证书吊销请求時的身份鉴别 8、电子认证服务机构须对证书吊销请求进行合理的鉴别，包括但不限于以下程序： * 当订户申请吊销时，电子认证服务机构应要求订户提交与证书申请时相同的身份资料或利用原证书提交合法有效的电子签名的吊销申请，并对订户进
21、行身份鉴别。申请者由于条件限制无法进行现场身份鉴别时，电子认证服务机构或其注册机构应通过合理的方式，例如通过电话 、邮递、其他第三方的证明等，对申请者的身份予以鉴别验证。当司法机关依法提出证书吊销时，电子认证服务机构或其注册机构可直接以司法机关书面的吊销请求文件作为鉴别依据，不再进行其他方式的鉴别； * 考虑到一般情况下，申请者的身份鉴别需要一定时间，不能即时吊销证书，因此容许电子认证服务机构在合理情况下，可挂起证书，但仍应及时进行申请者的身份鉴别程序或处理司法机关书面的吊销请求。 六、证书生命周期操作要求 （一）证书申请 1、电子认证服务机构（包括其注册机构）可接受下列证书申请： * 任何组
22、织机构（政府机构、企事业单位或其 它社会组织等）； * 任何组织机构（政府机构、企事业单位或其它社会组织等）的授权代表； 第 7 页 * 个人申请者本人。 组织机构、授权代表和个人申请者的身份必须符合本策略的身份鉴别要求。 2、电子认证服务机构须要求所有证书申请者应在证书申请的过程中， * 清楚了解及同意订户协议的内容，特别是关于责任和担保的内容； * 根据申请的证书类型提供真实、可靠、完整的身份资料； * 承担任何因提供虚假、伪造信息所产生的法律责任。 （二）证书申请处理 3、接受或拒绝证书申请 : 电子认证服务机构在下列情况下，不应批准下述证书申请： * 申请未能完全满足本 证书策略关于订
23、户信息的标识和鉴别的规定； * 申请者未能提供必需的身份证明材料或其他必须提供的支持文件； * 申请者未能接受订户协议的内容和要求，特别是关于义务和担保的内容。 4、电子认证服务机构须保留足以识别申请者身份的文档记录。 5、证书申请的处理期限： 电子认证服务机构必须在电子认证服务规则中明确规定处理时间，并且在承诺的处理时间内完成证书申请。 （三）证书签发 6、电子认证服务机构接受申请者的证书申请后，基于对其证书申请文件进行审核和对申 请 人的身份 进 行鉴别的结果，进行证书签发。 7、电子认证服务机构在安全的 环境下通过系统为订户制作订户证书 ， 以及将证书以安全的方式交给订户等过程，均须保证
24、私钥不受干扰。电子认证服务机构不应接受订户提供的签名私钥，也不应接受订户的签名私钥更新请求。 8、电子认证服务机构一旦签发证书，即向任何合理依赖该证书的人或任何合理依赖该证书的公钥所能核实的电子签名的人士保证： 电子认证服务机构已按照相关法律法规、本证书策略和证书相 关 的电子认证业务规则签发该证书。 9、电子认证服务机构应将已经签发的证书及其他有关的信息发布到可以被公开查询的信息库中。 10、电子认证服务机构及其注册机构均须记录所 有与发出证书有关的交易事项，包括日期和时间。 11、电子认证服务机构签发证书后，电子认证服务机构 应 及时通知订户，并提供获得证书的方式，以确保订户能通过合理方式获得证书。
