Elaborado por: FNMT-RCM / v1.4 12/7/2013. Revisado por: FNMT-RCM / v1.4 12/7/2013. Aprobado por: FNMT-RCM / v1.4 12/7/2013 HISTÓRICO DEL DOCUMENTO

Texto completo

(1)

POLÍTICAS Y PRÁCTICAS DE CERTIFICACIÓN PARTICULARES APLICABLES A LOS SERVICIOS

DE CERTIFICACIÓN Y FIRMA ELECTRÓNICA EN EL ÁMBITO DE LA COMISIÓN EUROPEA

NOMBRE FECHA

Elaborado por: FNMT-RCM / v1.4 12/7/2013

Revisado por: FNMT-RCM / v1.4 12/7/2013

Aprobado por: FNMT-RCM / v1.4 12/7/2013

HISTÓRICO DEL DOCUMENTO

Versión Fecha Descripción Autor

1.0 15/11/2010 Creación del documento FNMT-RCM

1.1 22/12/2010 Inclusión de nuevas definiciones. Se incluye

también el concepto de Oficina de Registro

centralizada y Entidades Competentes

FNMT-RCM

1.1 21/2/2011 Se realizan modificaciones para admitir

nombres de áreas o departamentos en el CN de los certificados ligeros, así como direcciones genéricas o de grupo asociadas a estas entidades.

FNMT-RCM

1.1 21/2/2011 Se elimina la información relativa a la gestión

de las políticas de certificación puesto que figura en la DGPC

FNMT-RCM

1.1 21/06/2011 Actualizada la información de la extensión de

AIA para los certificados para entidades finales. Nuevo valor:

http://www.cert.fnmt.es/certs/ISACA.crt

FNMT-RCM

1.2 3/2/2012 Modificación de la tabla de perfiles de

certificados: Los números de serie de los certificados se asignan de forma aleatoria

(2)

HISTÓRICO DEL DOCUMENTO

Versión Fecha Descripción Autor

1.3 16/4/2013 Desglose de la política de certificados de

servidor en dos grandes grupos: los de servidor web y los de actuación automatizada.

Inclusión de dos nuevos tipos dentro de la política de certificados de servidor:

- reconocido sin dispositivo seguro de

creación de firma para firma de documentos

- normalizado para firma o cifrado de

documentos

Sustitución del término titular por firmante o suscriptor.

FNMT-RCM

1.4 12/7/2013 Párrafo 233: Corregida la expresión “Titulares

del Certificados” por “Suscriptoras de los Certificados”.

Párrafo 358: Incluido el compromiso con el contenido en las garantías que ofrece el uso de los certificados.

Párrafo 423: Corregida la validez de los certificados de servidor a 1 año.

FNMT-RCM

Referencia: DPC/PCPCE0104/SGPSC/2013

(3)

ÍNDICES

ÍNDICE DE CONTENIDOS

Índices ... 3 1. Definiciones y abreviaturas ... 6 2. Organización de la documentación ... 8 3. Introducción y alcance ... 9 4. Referencias ... 10 5. Orden de prelación ... 11

6. Gestión del ciclo de vida de las claves del prestador de servicios de certificación ... 12

6.1. Gestión del ciclo de vida de las Claves ... 12

6.1.1. Generación de las Claves del Prestador de Servicios de Certificación ... 12

6.1.2. Almacenamiento, salvaguarda y recuperación de las Claves del Prestador de Servicios de Certificación ... 12

6.1.3. Distribución de los Datos de verificación de Firma del Prestador de Servicios de Certificación 12 6.1.4. Almacenamiento, salvaguarda y recuperación de las Claves Privadas de la Administración, Organismos y Entidades públicas usuarias ... 12

6.1.5. Uso de los Datos de Creación de Firma del Prestador de Servicios de Certificación ... 12

6.1.6. Fin del ciclo de vida de las Claves del Prestador de Servicios de Certificación ... 13

6.1.7. Ciclo de vida del hardware criptográfico utilizado para firmar Certificados ... 13

7. Operación y gestión de la Infraestructura de Claves Públicas ... 14

7.1. Disponibilidad de los servicios ... 14

7.2. Servicio de información y consulta sobre el estado de validez de los certificados... 14

7.3. Gestión de la seguridad de la información y controles de seguridad... 14

8. Difusión de Términos y Condiciones ... 16

9. Certificados Ligeros ... 17

9.1. Política de certificación para la emisión de Certificados Ligeros ... 17

9.1.1. Identificación ... 17

9.1.2. Tipología del Certificado Ligero... 17

9.1.3. Comunidad y ámbito de aplicación ... 18

9.1.4. Responsabilidad y obligaciones de las partes ... 18

9.1.5. Límites de uso de los Certificados Ligeros ... 20

9.2. Prácticas de certificación particulares para los Certificados Ligeros ... 20

9.2.1. Servicios de Gestión de las Claves ... 21

9.2.2. Gestión del ciclo de vida de los Certificados ... 21

9.2.2.1. Procedimiento de solicitud y emisión del Certificado Ligero ... 21

9.2.2.2. Publicación del Certificado Ligero ... 24

9.2.2.3. Descarga e instalación del Certificado Ligero ... 24

9.2.2.4. Vigencia del Certificado Ligero ... 25

9.2.2.5. Revocación del Certificado Ligero ... 25

9.2.2.6. Suspensión del Certificado Ligero ... 27

10. Certificados Normalizados ... 29

10.1. Política de certificación para la emisión de Certificados Normalizados ... 29

10.1.1. Identificación ... 29

10.1.2. Tipología del Certificado Normalizado ... 29

10.1.3. Comunidad y ámbito de aplicación ... 30

10.1.4. Responsabilidad y obligaciones de las partes ... 30

(4)

10.2. Prácticas de certificación particulares para los Certificados Normalizados ... 32

10.2.1. Servicios de Gestión de las Claves ... 33

10.2.2. Gestión del ciclo de vida de los Certificados ... 33

10.2.2.1. Procedimiento de solicitud y emisión del Certificado Normalizado ... 33

10.2.2.2. Publicación del Certificado Normalizado ... 36

10.2.2.3. Descarga e instalación del Certificado Normalizado ... 36

10.2.2.4. Vigencia del Certificado Normalizado ... 36

10.2.2.5. Revocación del Certificado Normalizado ... 37

10.2.2.6. Suspensión del Certificado Normalizado ... 39

11. Certificados Reconocidos ... 41

11.1. Política de certificación para la emisión de Certificados Reconocidos ... 41

11.1.1. Identificación ... 41

11.1.2. Tipología del Certificado Reconocido ... 41

11.1.3. Comunidad y ámbito de aplicación ... 42

11.1.4. Responsabilidad y obligaciones de las partes ... 42

11.1.5. Límites de uso de los Certificados Reconocidos ... 44

11.2. Prácticas de certificación particulares para los Certificados Reconocidos ... 45

11.2.1. Servicios de Gestión de las Claves ... 45

11.2.2. Preparación de los Dispositivos Seguros de Creación de Firma ... 45

11.2.3. Gestión del ciclo de vida de los Certificados ... 45

11.2.3.1. Procedimiento de solicitud y emisión del Certificado Reconocido ... 45

11.2.3.2. Publicación del Certificado Reconocido ... 48

11.2.3.3. Descarga e instalación del Certificado Reconocido ... 48

11.2.3.4. Vigencia del Certificado Reconocido... 49

11.2.3.5. Revocación del Certificado Reconocido ... 49

11.2.3.6. Suspensión del Certificado Reconocido ... 51

11.2.4. Exclusiones y requisitos adicionales a ETSI TS 101 456 ... 52

12. Certificados de Servidor ... 53

12.1. Política de Certificación de los Certificados de Servidor Web ... 53

12.1.1. Identificación ... 53

12.1.2. Tipología del Certificado de servidor web... 53

12.1.3. Comunidad y ámbito de aplicación ... 54

12.1.4. Responsabilidad y obligaciones de las partes ... 55

12.1.5. Límites de uso de los Certificados de servidor web ... 56

12.2. Política de Certificación de los Certificados de Servidor de Actuación Automatizada ... 57

12.2.1. Identificación ... 57

12.2.2. Tipología del Certificado de Actuación Automatizada ... 57

12.2.3. Comunidad y ámbito de aplicación ... 59

12.2.4. Responsabilidad y obligaciones de las partes ... 59

12.2.5. Limitaciones de responsabilidad adicionales para los Certificados de Actuación Automatizada del tipo Reconocido sin DSCF para firma de documentos ... 61

12.2.6. Límites de uso de los Certificados de Actuación Automatizada ... 61

12.3. Prácticas de certificación particulares para los Certificados de servidor ... 62

12.3.1. Servicios de Gestión de las Claves ... 62

12.3.2. Gestión del ciclo de vida de los Certificados ... 62

12.3.2.1. Procedimiento de solicitud y emisión del Certificado de servidor ... 62

12.3.2.2. Publicación del Certificado de servidor ... 66

12.3.2.3. Descarga e instalación del Certificado de Servidor ... 66

12.3.2.4. Vigencia del Certificado de Servidor ... 66

12.3.2.5. Revocación del Certificado de servidor ... 67

(5)

ÍNDICE DE TABLAS

Tabla 1 - Certificado Raíz de la FNMT-RCM para la emisión de certificados para la Comisión

Europea (Jerarquía subordinada al Certificado Raíz de la FNMT-RCM) ... 69

Tabla 2 – Perfil del Certificado Ligero ... 72

Tabla 3 – Perfil del Certificado Normalizado ... 75

Tabla 4 – Perfil del Certificado Reconocido ... 78

Tabla 5 – Perfil del Certificado de Servidor web (tipo Common Name) ... 82

Tabla 6 – Perfil del Certificado de Servidor web (tipo Wildcard) ... 85

Tabla 7 – Perfil del Certificado de Actuación Automatizada (tipo Reconocido sin DSCF para firma de documentos) ... 88

Tabla 8 – Perfil del Certificado de Actuación Automatizada (tipo Normalizado para firma o cifrado de documentos) ... 91

(6)

1.

DEFINICIONES Y ABREVIATURAS

En el presente documento los siguientes términos tendrán las siguientes definiciones:

- Autoridades Competentes: Entidades designadas por alguno de los Estados Miembros de la

Unión Europea, algún país de la EFTA (European Free Trade Association) u otro país, para el intercambio de información en un determinado contexto.

- Autoridad Local de Registro (LRA): La Organización en el ejercicio de sus responsabilidades

de identificación y autenticación de los Usuarios en nombre de Prestador de Servicios de

Certificación

- Aplicación: Aplicación basada en tecnologías cliente/servidor que requiere mecanismos de

seguridad en la “capa de aplicación” para el intercambio de información entre la Autoridad

Competente y las instituciones, agencias y entidades.

- Certificado de Servidor: Es el certificado empleado para ser utilizado por una máquina sin

necesidad de intervención directa de una persona en cada una de sus operaciones. Contempla

dos tipos según la necesidad que cubren: los Certificados de Servidor web y los Certificados

de Actuación Automatizada.

- Certificado de Actuación Automatizada: Es aquel Certificado empleado en operaciones

automatizadas de firma y/o de cifrado de documentos.

- Certificado de Servidor web: Es aquel Certificado que permite identificar y autenticar a un

servidor web o una URL.

Dentro de esta categoría de Certificado de servidor, la FNMT-RCM emite un tipo especial de

Certificado de Servidor web, denominado Wildcard, que permite a sus Suscriptores,

miembros de la Comunidad Electrónica UE, identificar y autenticar todos los subdominios

asociados a un dominio determinado, sin necesidad de adquirir y gestionar múltiples

Certificados.

- Certificado de Servidor web tipo “Common Name”: Certificado de Servidor web expedido

bajo [RFC5246] y que permite a un Servidor web o URL ser identificada y autenticada.

- Certificado de Servidor web tipo “Wildcard”: Un Certificado de Servidor web que permite al

Firmante identificar y autenticar todos los subdominios asociados o derivados a un cierto nombre de dominio

- Certificado Ligero: Certificado emitido bajo un Política de Certificación que ofrece una

calidad del servicio menos gravosa que la Política de Certificación para la emisión de

Certificados Reconocidos (QCP) definida en ETSI 101 456

- Certificado Normalizado: Certificado emitido bajo una Política de Certificación que ofrece

una calidad del servicio equivalente a la Política de Certificación para la emisión de

Certificados Reconocidos (QCP) definida en ETSI 101 456

- Certificado Reconocido: Certificado emitido bajo una Política de Certificación que incorpora

los requisitos identificados en el anexo I y II de la Directiva 1999/93/EC

- Cliente OCSP: Herramienta necesaria para poder hacer peticiones de información sobre el

estado de validez de los Certificados siguiendo el protocolo OCSP.

- Comunidad Electrónica UE:Conjunto de personas y Entidades usuarias que se relacionan con

Certificados entre sí o que confían en éstos y en la Firma Electrónica de la FNMT-RCM, bajo

el marco general de la [DGPC] y las presentes Políticas de Certificación y el marco particular,

si lo hubiera, de los correspondientes documentos de relación (acuerdos, contratos, formularios, etc.) que se hayan suscrito. Este concepto también puede ser referido como “Grupo (cerrado) ISA”

El concepto de Comunidad Electrónica UE es exclusivo de las presentes Políticas y es

excluyente con el de Comunidad Electrónica definido en [DGPC]

- DGPC: Declaración General de Prácticas de Certificación

- Entidad usuaria: Aquella Organización que se haya adherido al Contrato Marco formalizado

con la Comisión Europea y que da lugar a la prestación de servicios de certificación objeto del presente documento.

(7)

- Firmante (Certificate holder): Es la persona física que posee y custodia un dispositivo de

creación de firma y que actúa (realiza la firma) en nombre del Suscriptor del Certificado de

conformidad con sus facultades.

- FNMT-RCM: Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda. En el

contexto de estas Políticas de Certificación, es el Prestador de Servicios de Certificación.

- Oficinas de Registro (LRA Office): Oficinas instaladas por la Organización que se constituyen

a fin de facilitar a los Usuarios la presentación de solicitudes relativas a los Certificados, con la finalidad de realizar la confirmación de su identidad y la entrega de los correspondientes títulos acreditativos de las cualidades personales, facultades de representación y demás

requisitos exigidos para el tipo de Certificado que se solicite.

- Organización: La Comisión Europea (EC) e instituciones, agencias y entidades de la Unión

Europea que participan en ella, así como cualquier otra agencia ejecutiva que la Comisión Europea decida establecer en Bruselas o Luxemburgo.

- QCP: Política de Certificación para la emisión de Certificados Reconocidos de conformidad

con [ETSI456]

- Referente de la LRA: Es la persona responsable de las operaciones de registro realizadas por la

Organización en calidad de Autoridad Local de Registro

- Registrador (LRA Officer): Personal adscrito a la Oficina de Registro expresamente designado

por el Referente de la LRA para el desempeño de las labores de registro de Usuarios de

Certificados y para gestionar las solicitudes relativas a los mismos (emisión, revocación,

suspensión y cancelación de la suspensión). Las actividades desempeñadas por los

Registradores podrán ser igualmente llevadas a cabo por el Referente de la LRA.

- Representantes de la Organización: Persona física que por razón del cargo vincula y obliga a

una Organización con el contenido del acuerdo de prestación de servicios de certificación

suscrito con la FNMT-RCM.

- Responsable del certificado de servidor: Persona física o jurídica que tiene a su cargo la

dirección, control y custodia del Certificado de servidor, así como los Datos de Creación de

Firma o los Datos de Descifrado asociados.

- SGSI: Sistema de Gestión de la Seguridad

- Solicitante: Persona contratante con la FNMT-RCM que suscribe los términos y condiciones

del servicio en nombre del Suscriptor del Certificado

- SSL: Secure Sockets Layer

- Suscriptor (de un Certificado): Es la Organización o Entidad Competente cuya identidad

queda vinculada a los Datos de verificación de firma (Clave Pública) del Certificado del que

es Suscriptor y emitido por el Prestador de Servicios de Certificación. Por tanto, la identidad

del Suscriptor se vincula a lo firmado electrónicamente utilizando los Datos de creación de

firma (Clave privada) asociados al Certificado.

- TSL: Transport Security Layer

- Usuario de los Servicios de información y consulta del estado de los certificados: Persona

que, sin tener la condición de Entidad usuaria, confía en la FNMT-RCM para proporcionar

información sobre el estado de los Certificados y que accede a dichos servicios con tal objeto.

(8)

2.

ORGANIZACIÓN DE LA DOCUMENTACIÓN

1. La FNMT-RCM estructura su Declaración de Prácticas de Certificación en varios

documentos:

 La [DGPC], que tiene por objeto la información pública de las condiciones y

características generales de los servicios de certificación por parte de la FNMT-RCM

como Prestador de Servicios de Certificación,

 Cuantos anexos se consideren oportunos para la información pública de las

condiciones de uso, limitaciones, responsabilidades, propiedades y cualquier otra

información que se considere específica de cada tipo de Certificado. Estos anexos

tendrán la condición de Política y Prácticas de Certificación Particulares del tipo de

Certificado en cuestión

2. De esta forma, se considera como Declaración de Prácticas de Certificación de un

determinado tipo de Certificado emitido por la FNMT-RCM al conjunto de los documentos

formados por la [DGPC] y cuantos anexos especifiquen, desarrollen o particularicen las

cuestiones relativas al tipo de Certificado en cuestión, es decir, la Política y Prácticas de

Certificación particulares de dicho tipo de Certificado

3. El objetivo del presente documento es la información pública del conjunto de prácticas,

condiciones y características de los servicios de certificación que presta la FNMT-RCM

como Prestador de Servicios de Certificación en relación al ciclo de vida de los Certificados

electrónicos para su uso en el ámbito de competencias de las Organizaciones y en el marco

de la Comunidad Electrónica UE.

4. Así pues, el presente anexo trae causa y forma parte integrante de la Declaración de

Prácticas de Certificación de la FNMT-RCM en lo relativo a los Certificados para su uso en

el ámbito de competencias de las Organizaciones y en el marco de la Comunidad

Electrónica UE, así como las Prácticas de Certificación empleadas en el ciclo de vida de

éstos.

5. En conclusión, estas Políticas y Prácticas de Certificación Particulares concretan lo

articulado en el cuerpo principal de la [DGPC], conformando, ambos documentos la Declaración de Prácticas de Certificación de la FNMT-RCM para los Certificados para su

uso en el ámbito de competencias de las Organizaciones y en el marco de la Comunidad

Electrónica UE. Lo descrito en este documento, sólo es de aplicación para el conjunto de

Certificados caracterizados e identificados en estas Políticas y Prácticas de Certificación

(9)

3.

INTRODUCCIÓN Y ALCANCE

6. Este documento recoge las obligaciones y procedimientos que las partes se comprometen a

cumplir en relación con la prestación por parte de la FNMT-RCM de servicios propios de una Infraestructura de Claves Públicas en el ámbito de competencias de las Organizaciones

y en el marco de la Comunidad Electrónica UE.

7. Estos servicios, entre los que se encuentra la emisión de Certificados, posibilitarán a las

Entidades usuarias, Suscriptores y Usuarios de los Certificados, de forma directa o

indirecta y en determinados contextos, la realización de las siguientes operaciones: cifrado,

autenticación, Firma Electrónica, no repudio e identificación.

8. Al objeto de que las Entidades Usuarias, Suscriptores y Usuarios puedan desarrollar

servicios telemáticos con las garantías de seguridad adecuadas y, por otra parte, beneficiarse de cuantos pudieran estar establecidos y disponibles, la FNMT-RCM emitirá diferentes tipos

de Certificados, cuyos requisitos, límites de uso y responsabilidades, ámbito de aplicación y

procedimientos relacionados se declararán como apartados en el presente documento y que a continuación se enumeran:

 Política de certificación para la emisión de “Certificadosligeros”1

 Política de certificación para la emisión de “Certificadosnormalizados”2

 Política de certificación para la emisión de “Certificados reconocidos”3

 Política de certificación para la emisión de “Certificados de servidor”4

9. En especial deberá tenerse presente, a efectos interpretativos de estas Políticas y Prácticas

de Certificación Particulares, el apartado “Definiciones” de la [DGPC].

1 Política de Certificación que ofrece una calidad del servicio menos gravosa que la Política de

Certificación para la emisión de Certificados Reconocidos (QCP) definida en ETSI 101 456

2 Política de Certificación que ofrece una calidad del servicio equivalente a la Política de Certificación

para la emisión de Certificados Reconocidos (QCP) definida en ETSI 101 456

3Política de Certificación que incorpora los requisitos identificados en el anexo I y II de la Directiva

1999/93/EC

4 Dentro de la denominación de “Certificados de servidor web” se engloban los Certificados de servidor

(10)

4.

REFERENCIAS

[DGPC] Declaración General de Prácticas de Certificación

[D99/93EC] Directive 1999/93/EC of the European Parliament and of the council of 13 December

1999 on a community framework for electronic signatures

[D9546EC] Directive 1995/46/EC on the protection of individuals with regard to the processing of

personal data and on the free movement of such data

[CD3602] Commission Decision of 16 August 2006 C(2006) 3602 concerning the security of

information systems used by the European Commission

[ETSI456] ETSI TS 101 456: Policy requirement for certification authorities issuing qualified

certificates

[ETSI042] ETSI TS 102 042: Policy requirements for certification authorities issuing public key

certificates

[ETSI903] ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES)

[ETSI733] ETSI TS 101 733: CMS Advanced Electronic Signatures (CAdES)

[ETSI861] ETSI TS 101 861: Time Stamping Profile

[ETSI862] ETSI TS 101 862: Qualified Certificate Profile

[ETSI158] ETSI TS 102 158: Policy requirements for Certification Service Providers issuing

attribute certificates usable with Qualified certificates

[ETSI023] ETSI TS 102 023: Policy requirements for time-stamping authorities

[ISO9594] ISO/IEC 9594-8:2005: The Directory: Public-key and attribute certificate frameworks

[RFC5280] IETF RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate

Revocation List (CRL) Profile

[RFC3647] IETF RFC 3647: Internet X.509 Public Key Infrastructure Certificate Policy and

Certification Practices Framework.

(11)

5.

ORDEN DE PRELACIÓN

10. Las presentes Políticas y Prácticas de Certificación Particulares de los Certificados

emitidos para su uso en el ámbito de competencias de las Organizaciones y en el marco de

la Comunidad Electrónica UE, tendrán prelación, en lo que corresponda y con carácter

particular respecto de cada tipo de Certificado, sobre lo dispuesto en el cuerpo principal de

la [DGPC]. Por tanto, en caso de que existiera contradicción entre el presente documento y lo dispuesto en [DGPC], tendrá preferencia lo aquí articulado.

11. No obstante lo anterior, en los contratos, acuerdos, formularios y condiciones que se

suscriban entre la Organización y la FNMT-RCM o en el ámbito de relaciones entre las

partes integrantes de la Comunidad Electrónica UE, podrán definirse especialidades que en

(12)

6.

GESTIÓN DEL CICLO DE VIDA DE LAS CLAVES DEL PRESTADOR DE SERVICIOS DE

CERTIFICACIÓN

12. La FNMT-RCM en su actividad como Prestador de Servicios de Certificación, en relación

con las claves criptográficas empleadas para la emisión de Certificados para su uso en el

ámbito de competencias de las Organizaciones y en el marco de la Comunidad Electrónica

UE, declara que realizará la siguiente gestión:

6.1. GESTIÓN DEL CICLO DE VIDA DE LAS CLAVES

6.1.1. Generación de las Claves del Prestador de Servicios de Certificación

13. Las Claves de la FNMT-RCM, como Prestador de Servicios de Certificación, son generadas

en circunstancias completamente controladas, en un entorno físicamente seguro y, al menos, por dos personas autorizadas para ello, utilizando sistemas hardware y software que cumplen con la normativa actual en materia de protección criptográfica, tal y como se muestra en la [DGPC].

6.1.2. Almacenamiento, salvaguarda y recuperación de las Claves del Prestador de Servicios

de Certificación

14. La FNMT-RCM utiliza los mecanismos necesarios para mantener su Clave privada

confidencial y mantener su integridad en la forma que se muestra en la [DGPC]

6.1.3. Distribución de los Datos de verificación de Firma del Prestador de Servicios de Certificación

15. La FNMT-RCM utiliza los mecanismos necesarios para mantener la integridad y

autenticidad de su Clave Pública, así como su distribución en la forma que se muestra en la

[DGPC]

16. Los campos del Certificado Raíz correspondiente a la jerarquía de certificación de los

Certificados para su uso en el ámbito de competencias de las Organizaciones y en el marco de la Comunidad Electrónica UE, se pueden ver en la [DGPC]

17. Por otra parte, los Certificados emitidos bajo las Políticas de Certificación identificadas en

este documento vendrán firmados electrónicamente con los Datos de Creación de Firma del Prestador de Servicios de Certificación.

Para dicha emisión, la FNMT-RCM emplea Datos de Creación de Firma que se corresponden con su respectivo Certificado de Autoridad de Certificación (en cualquier caso, subordinada al Certificado

Raíz de la FNMT-RCM identificado anteriormente). Este Certificado se encuentra definido en el anexo a este documento (

18. Tabla 1 - Certificado Raíz de la FNMT-RCM para la emisión de certificados para la

Comisión Europea (Jerarquía subordinada al Certificado Raíz de la FNMT-RCM))

6.1.4. Almacenamiento, salvaguarda y recuperación de las Claves Privadas de la

Administración, Organismos y Entidades públicas usuarias

19. La FNMT-RCM bajo ningún concepto genera ni almacena las Claves Privadas de sus

Firmantes, las cuales son generadas bajo su exclusivo control, y cuya custodia está bajo la

responsabilidad de los diferentes firmantes y entidades a las que se encuentren vinculadas o de las que dependan.

6.1.5. Uso de los Datos de Creación de Firma del Prestador de Servicios de Certificación

20. Los Datos de Creación de Firma de la FNMT-RCM, en su actividad como Prestador de

Servicios de Certificación, serán utilizadas única y exclusivamente para los propósitos de:

(13)

2) Firma de las Listas de Revocación.

3) Otros usos previstos en esta Declaración y/o en la legislación aplicable.

6.1.6. Fin del ciclo de vida de las Claves del Prestador de Servicios de Certificación

21. La FNMT-RCM dispondrá de los medios necesarios para lograr que una vez finalizado el

período de validez de las Claves del Prestador de Servicios de Certificación, estas Claves

no vuelven a ser utilizadas, bien destruyéndolas o almacenándolas de forma apropiada para dicha finalidad.

6.1.7. Ciclo de vida del hardware criptográfico utilizado para firmar Certificados

22. La FNMT-RCM dispondrá de los medios necesarios para posibilitar que el hardware

criptográfico utilizado para la protección de sus Claves como Prestador de Servicios de

Certificación, no sufra manipulaciones de acuerdo con el estado de la técnica a la fecha durante todo su ciclo de vida, estando situado dicho componente en un entorno físicamente seguro desde su recepción hasta su destrucción llegado el caso.

(14)

7.

OPERACIÓN Y GESTIÓN DE LA INFRAESTRUCTURA DE CLAVES PÚBLICAS

7.1. DISPONIBILIDAD DE LOS SERVICIOS

23. Los servicios objeto del presente documento declarativo (solicitud de certificados, registro,

revocación y renovación) son monitorizados y controlados por los correspondientes sistemas de gestión de la disponibilidad.

24. El nivel de servicio que se establece para las actividades relacionadas con la Infraestructura

de Claves Públicas incluidos en este documento será:

 de veinticuatro (24) horas del día, todos los días del año, salvo por circunstancias

ajenas a la FNMT-RCM u operaciones de mantenimiento, que serán llevadas a cabo

regularmente para asegurar la continuidad del servicio para el Servicio de

información y consulta del estado de validez de los Certificados y

 en los días laborables, en horario de 9:30 a 17:30, según el calendario y hora oficial

del Prestador de Servicios de Certificación para el resto de servicios

25. La FNMT-RCM notificará las operaciones de mantenimiento en la infraestructura a las

Organizaciones, acordando con éstas las fechas y horario de su realización. Asimismo, también se informará en la dirección http://www.ceres.fnmt.es, si es posible con al menos cuarenta y ocho (48) horas de antelación y tratará de solventarla en un periodo no superior a veinticuatro (24) horas.

7.2. SERVICIO DE INFORMACIÓN Y CONSULTA SOBRE EL ESTADO DE VALIDEZ DE LOS

CERTIFICADOS

26. La FNMT-RCM pondrá a disposición de los interesados un servicio para consultas y

obtención de información sobre el estado de los Certificados emitidos bajo las políticas

definidas en el presente documento.

27. Los integrantes de la Comunidad Electrónica UE podrán realizar la comprobación del

estado de un Certificado en la forma y condiciones que se expresan en este apartado.

28. Se entiende que el Usuario del Servicio de información y consulta del estado de validez los

Certificados, por el mero hecho de acceder al servicio, acepta las condiciones de la

Declaración de Prácticas de Certificación y sus obligaciones y responsabilidades como

partes confiantes en los Certificados emitidos por la FNMT-RCM y Firma electrónica de

ésta. La FNMT-RCM, previo al acceso del Usuario al referido servicio, pondrá a su

disposición las condiciones antedichas.

29. El Servicio de información y consulta sobre el estado de los certificados se ofrecerá a través

de la puesta a disposición del interesado de las Listas de Revocación pertinentes y a través

del protocolo OCSP.

30. La FNMT-RCM dispone de un servicio de respuesta conforme al mencionado protocolo

OCSP ("OCSP responder") que funciona de la siguiente forma: El servidor OCSP recibe la

petición OCSP efectuada por un Cliente OCSP y comprueba el estado de los Certificados

incluidos en la misma. Con la información sobre el estado de los Certificados compone una

respuesta conforme al protocolo y se la remite al cliente.

31. Será responsabilidad del interesado obtener un Cliente OCSP para operar con el servidor

OCSP puesto a disposición por la FNMT-RCM.

7.3. GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN Y CONTROLES DE SEGURIDAD

32. Las operaciones y procedimientos realizados para la puesta en práctica de las Políticas de

Certificación reflejadas en este documento se realizan siguiendo los controles requeridos

por los estándares reconocidos para tal efecto, describiéndose estas actuaciones en los apartados “Controles de seguridad física, de procedimientos y del personal” y “Controles de seguridad técnica” de la [DGPC].

(15)

33. De forma informativa cabe decir que la FNMT-RCM posee un Sistema de Gestión de la

Seguridad de la Información (en adelante SGSI) para su Departamento CERES con el objetivo final de mantener y garantizar la seguridad de la información de forma que el servicio prestado por la FNMT-RCM tenga los niveles suficientes de fiabilidad que exige el mercado. El SGSI de la FNMT-RCM es aplicable a los activos de información definidos en el Análisis de Riesgos realizado para todas las Áreas que componen el departamento, incluyendo como activos los servicios prestados y expuestos en el presente documento.

34. En [DGPC] se da respuesta concreta para todos aquellos aspectos referentes a los siguientes

apartados de la norma ETSI TS 101 456:

 Gestión de la Seguridad.

 Clasificación y Gestión de Activos.

 Seguridad de Personal.

 Seguridad física y del entorno.

 Gestión de las Operaciones.

 Gestión de Accesos al Sistema.

 Gestión de incidencias y sistema de continuidad de negocio.

 Terminación de la FNMT-RCM como Prestador de Servicios de Certificación.

(16)

8.

DIFUSIÓN DE TÉRMINOS Y CONDICIONES

35. La FNMT-RCM pone a disposición de la Comunidad Electrónica UE y demás interesados,

tanto el presente documento como la [DGPC]:

1) Los términos y condiciones que regulan la utilización de los Certificados expedidos

por la FNMT-RCM.

2) La Política de Certificación aplicable a los Certificados expedidos por la

FNMT-RCM.

3) Los límites de uso para los Certificados expedidos bajo las presentes Políticas de

Certificación.

4) Las obligaciones, garantías y responsabilidades de las partes envueltas en la emisión y

uso de los Certificados.

5) Los períodos de conservación de la información recabada en el proceso de registro y

de los eventos producidos en los sistemas del Prestador de Servicios de Certificación

relacionados con la gestión del ciclo de vida de los Certificados emitidos bajo las

presentes Políticas de Certificación.

6) Reseña legal de interés, con referencia a las normas relativas a reclamaciones y

(17)

9.

CERTIFICADOS LIGEROS

9.1. POLÍTICA DE CERTIFICACIÓN PARA LA EMISIÓN DE CERTIFICADOS LIGEROS

9.1.1. Identificación

36. La presente Política de Certificación de la FNMT-RCM para la expedición de Certificados

Ligeros para su uso en el ámbito de competencias de las Organizaciones y en el marco de la

Comunidad Electrónica UE.

Nombre: Política de Certificación para la emisión de Certificado Ligeros

Referencia / OID5:

 1.3.6.1.4.1.5734.3.4.3

Versión: 1.0

Fecha de emisión: 15 de noviembre de 2010 Localización: http://www.cert.fnmt.es/dpcs/

DPC relacionada: Declaración General de Prácticas de Certificación de la FNMT-RCM Localización: http://www.cert.fnmt.es/dpcs/

9.1.2. Tipología del Certificado Ligero

37. El Certificado Ligero es la certificación electrónica emitida por la FNMT-RCM que vincula

al Firmante con unos Datos de Verificación de Firma y confirma, de forma conjunta:

 la identidad del firmante y custodio de las Claves y su condición de personal al

servicio de la Organización que realiza firmas electrónicas utilizando el Certificado

en nombre de la entidad actuante y,

 al Suscriptor del Certificado, que es la Organización o Entidad Competente.

38. Este Certificado se emite por la FNMT-RCM por cuenta de la Organización

correspondientes y a la que la FNMT-RCM presta los servicios técnicos, administrativos y de seguridad necesarios como Prestador de Servicios de Certificación.

39. Los procesos necesarios para la gestión de este Certificado (emisión, revocación,

renovación, etc.) son desarrollados por la FNMT-RCM mediante una infraestructura PKI específica, basada en actuaciones de identificación y registro realizadas por la red de

Oficinas de Registro designadas por las Organizaciones y que son Suscriptores del

Certificados.

40. [ETSI042] identifica una serie de requisitos para las Políticas de Certificación que, entre

otros, emitan Certificados que tienen la denominación de “Lightweight Certificate”. Esta

denominación tiene su equivalencia en el término Certificado Ligero que se emplea en el

presente documento.

41. Por cuanto antecede, los requisitos identificados en [ETSI042] para las Políticas de

Certificación que emiten “Certificados Ligeros” son satisfechos en la presente Política.

Adicionalmente, se señala que los Certificados emitidos bajo la presente política son

emitidos con el perfil técnico correspondiente a los Certificados Ligeros con base en los

criterios establecidos para tales Certificados en la normativa [ETSI042], tanto en lo

referente al Prestador de Servicios de Certificación, como a la generación de los Datos de

Creación y Verificación de Firma y al contenido del propio Certificado.

5Nota: El OID o identificador de política es una referencia que se incluirá en el Certificado al objeto de

que los usuarios puedan determinar las prácticas y procedimientos de aplicación para la emisión del Certificado en cuestión.

(18)

42. Por otra parte, [ETIS042] define los Certificados Ligeros como aquellos que son emitidos

por una Política de Certificación que ofrece una calidad del servicio menos gravosa que la

Política de Certificación para la emisión de Certificados Reconocidos (QCP) definida en

[ETSI456].

43. La FNMT-RCM ha optado por rebajar las garantías de esta Política de Certificación para la

emisión de Certificados Ligeros respecto a las definidas de Certificados Reconocidos

definidas en [ETSI046] implantando un servicio de registro basado en la autenticación, al

menos telemática, del Firmante y custodio de los Datos de Creación de Firma, no

requiriéndose la personación física de éste último en la Oficina de Registro.

44. Los detalles del servicio de registro para esta Política de Certificación figuran más adelante

en el apartado correspondiente.

9.1.3. Comunidad y ámbito de aplicación

45. La presente Política de Certificación es de aplicación en la expedición de Certificados

electrónicos que tienen las siguientes características:

a) Son expedidos por la FNMT-RCM como Prestador de Servicios de Certificación

cumpliendo con los criterios establecidos en la Ley española 59/2003, de 19 de diciembre, de Firma Electrónica y en la Directiva Europea de Firma Electrónica [D99/93EC]

b) Son expedidos como Certificados Ligeros con base en los criterios establecidos para

tal en la normativa técnica EESSI, concretamente en la Política de Certificación para

la emisión de Certificados Ligeros identificados en la norma [ETSI042] – LCP

(Lightweight Certificate Policy)

c) Los Certificados emitidos bajo esta Política de Certificación son expedidos para las

Organizaciones que forman parte de la Comunidad Electrónica UE, tal y como se

define en el apartado Definiciones de este documento. En el marco de esta Política de

Certificación, los Usuarios y custodios de los Datos de Creación de Firma se

corresponden con el personal de las Organizaciones en el ejercicio de sus

competencias y funciones públicas propias del cargo, de la relación funcionarial, de las funciones del empleado público, o de la condición de autorizado por la

Organización, en relación con la entidad a la que pertenezcan o con la que se

relacionen estos Usuarios.

9.1.4. Responsabilidad y obligaciones de las partes

46. Serán partes a los efectos de este apartado los siguientes sujetos:

 Las Organizaciones y Entidades Competentes representadas a través de los diferentes

órganos competentes y que son los Suscriptores responsables de los Certificados.

Oficinas de Registro, que, a través del personal designado por la Organización, serán

responsables de comprobar los requisitos y condiciones ostentados por los Usuarios

del Certificado.

 Los Usuarios del Certificado y sus Claves, que será el personal al servicio de las

Organizaciones.

 FNMT-RCM, en cuanto Prestador de Servicios de Certificación.

 El resto de la Comunidad Electrónica UE.

47. El régimen de derechos y obligaciones de la Organización y la FNMT-RCM se regirá

mediante los correspondientes acuerdos reguladores de los servicios de certificación.

48. De forma adicional a las obligaciones y responsabilidades de las partes enumeradas en este

documento y en la [DGPC], la Organización como Autoridad Local de Registro, el

Referente de la LRA y los Registradores tienen la obligación de:

(19)

 No realizar registros o tramitar solicitudes de personal que preste sus servicios en una

Organización diferente a la que representa como Oficina de Registro, sin perjuicio de

la creación, en la propia Comisión Europea, de Oficinas de Registro centralizadas que

se hayan establecido.

 Comprobar fehacientemente los datos del personal al servicio de la Organización

referidos a su identidad y su pertenencia a dicha Organización a la que presta sus

servicios y, en su caso, cualquier otro dato que refleje o caracterice esta pertenencia.

 Solicitar la revocación o suspensión del Certificado Ligero para el personal al servicio

de la Organización a la que representa la Oficina de Registro, cuando alguno de los

datos consignados en el Certificado sea inexacto, incorrecto, haya variado o sea de

necesaria revocación por razones de seguridad. También deberá solicitar la revocación o suspensión cuando se den las circunstancias previstas en la legislación aplicable.

 Solicitar a la FNMT-RCM la revocación del Certificado cuando las circunstancias que

afecten a la condición del cargo, puesto de trabajo, empleo o cualquier otro dato que

refleje o caracterice la relación del Usuario del Certificado con la Organización

donde presta sus servicios, sean inexactas, incorrectas, hayan variado o sean de necesaria revocación por razones de seguridad.

 Solicitar a la FNMT-RCM, a través de la Oficina de Registro, la revocación o

suspensión del Certificado cuando, directamente o a través de comunicación del

personal al servicio de Organización, exista pérdida, extravío del soporte del

Certificado o de su confidencialidad, o presunción de ello.

 Custodiar la documentación aportada por cualquiera de los intervinientes en los

procesos de gestión de los Certificados (solicitudes de emisión, suspensión,

cancelación de la suspensión, revocación y cualesquiera otros de la misma índole) así como los documentos generados en dichos procesos (justificantes, contratos de emisión, revocación, etc.)

49. Las relaciones de la FNMT-RCM con la Organización y los Usuarios de los Certificados

quedarán determinadas, a los efectos del régimen de uso de los Certificados, por los

siguientes documentos: condiciones de utilización o contrato de emisión del Certificado, y,

subsidiariamente, las presentes Políticas y Prácticas de Certificación Particulares y por la

[DGPC], atendiendo a los acuerdos o documentos de relación entre la FNMT-RCM y las

Organizaciones.

50. Las relaciones de la Organización o Entidad CompetenteSuscriptora del Certificado y de

su personal con la FNMT-RCM se realizarán siempre a través de la Oficina de Registro y su

Referente. La FNMT-RCM no realizará ninguna acción solicitada por el personal al servicio

de la Organización o Usuario del Certificado que no esté autorizada por Referente de la

LRA o por la Organización o Entidad CompetenteSuscriptora del Certificado.

51. De forma adicional a las obligaciones y responsabilidades de las partes enumeradas en la

[DGPC], el Usuario del Certificado tiene la obligación de:

 No utilizar el Certificado cuando alguno de los datos referidos al cargo, puesto de

trabajo, empleo o cualquier otro que dio lugar a la emisión del Certificado sea

inexacto, incorrecto o no refleje o caracterice su relación con la Organización o

Entidad Competente Suscriptora

 Realizar un uso adecuado del Certificado en base a las competencias y facultades

atribuidas por el cargo, puesto de trabajo o empleo como personal al servicio de la

Organización.

 Mantener en todo momento el control exclusivo de los Datos de Creación de Firma y

tomar las razonables precauciones para prevenir su pérdida, revelación, modificación o uso no autorizado

 Comunicar al Referente de la LRA correspondiente, la pérdida, extravío, o sospecha

de ello, del soporte del Certificado o de su confidencialidad, del que es Usuario con el

(20)

52. El resto de la Comunidad Electrónica UE y los terceros regularán sus relaciones con la

FNMT-RCM a través de la [DGPC] y estas Políticas y Prácticas de Certificación

Particulares; todo ello sin perjuicio de lo dispuesto en la normativa sobre firma electrónica y demás normativa que resulte de aplicación.

9.1.5. Límites de uso de los Certificados Ligeros

53. Constituyen límites de uso de este tipo de Certificados los sistemas de mensajería

electrónica (correo electrónico) de las Organizaciones o Entidades Competentes

Suscriptoras y las operaciones de autenticación y cifrado de datos que dentro de éstos se pudieran realizar. Fuera de la funcionalidad prevista anteriormente no se podrán emplear

estos Certificados.

54. La FNMT-RCM y las Organizaciones podrán fijar en los acuerdos correspondientes otros

límites adicionales.

55. FNMT-RCM no tendrá control sobre las actuaciones y usos de los Certificados que se

realicen por parte del Suscriptor, Usuario o las Oficinas de Registro, por lo que la

FNMT-RCM quedará exonerada de responsabilidad a efectos de tales usos y de la extralimitación en el uso establecido anteriormente, así como de las consecuencias y efectos que pudieran producirse por reclamaciones o posibles responsabilidades patrimoniales llevadas a cabo por

cualquier miembro de la Comunidad Electrónica UE o por terceros.

56. Para que el Usuario utilice de forma diligente los Certificados Ligeros y Claves asociadas,

la Organización a la que representa el usuario deberá previamente formar parte de la

Comunidad Electrónica UE y haberse constituido como Suscriptor del Certificado.

57. En cualquier caso, si un tercero desea confiar en la Firma electrónica realizada con uno de

estos Certificados Ligeros sin acceder a los Servicios de información y consulta sobre el

estado de validez de los certificados emitidos bajo esta Política de Certificación, no se

obtendrá cobertura de las presentes Políticas y Prácticas de Certificación Particulares y se

carecerá de legitimidad alguna para reclamar o emprender acciones legales contra la

FNMT-RCM por daños, perjuicios o conflictos provenientes del uso o confianza en un Certificado.

58. Además, incluso dentro del ámbito de la Comunidad Electrónica UE, no se podrán emplear

este tipo de Certificados por persona o entidad distinta a la FNMT-RCM, para:

 Firmar otro Certificado, salvo supuestos expresamente autorizados previamente.

 Usos particulares o privados

 Firmar software o componentes

 Generar sellos de tiempo para procedimientos de Sellado de Tiempo

 Prestar servicios a título gratuito u oneroso, salvo supuestos expresamente autorizados

previamente, como por ejemplo serían a título enunciativo:

o Prestar servicios de OCSP

o Generar Listas de Revocación

o Prestar servicios de notificación

 Utilizar el Certificado para usos distintos a los inicialmente previstos respecto de los

Certificados Ligeros

9.2. PRÁCTICAS DE CERTIFICACIÓN PARTICULARES PARA LOS CERTIFICADOS LIGEROS

59. La FNMT-RCM en su labor como Prestador de Servicios de Certificación y para demostrar

la necesaria fiabilidad para la prestación de dichos servicios, ha desarrollado una

Declaración de Prácticas de Certificación cuyo objeto es la información pública sobre las

condiciones generales de prestación de los servicios de certificación por parte de la

FNMT-RCM en su condición de Prestador de Servicios de Certificación.

60. En especial deberá tenerse presente, a efectos interpretativos del presente anexo el apartado

(21)

61. El presente documento trae causa y forma parte integrante de la Declaración de Prácticas

de Certificación de la FNMT-RCM y define el conjunto de prácticas particulares adoptadas por la FNMT-RCM como Prestador de Servicios de Certificación para la gestión del ciclo de vida de los Certificados Ligeros expedidos bajo la Política de Certificación identificada con el OID 1.3.6.1.4.1.5734.3.4.3.

9.2.1. Servicios de Gestión de las Claves

62. La FNMT-RCM, bajo ningún concepto, genera ni almacena las Claves Privadas de los

Firmantes, que son generadas bajo su exclusivo control y, en su caso, con la intervención

de la Oficina de Registro correspondiente y cuya custodia está bajo responsabilidad del

Usuario del Certificado.

9.2.2. Gestión del ciclo de vida de los Certificados

63. Se definen aquí aquellos aspectos que, si bien algunos ya han sido apuntados en la [DGPC],

revisten determinadas especialidades que necesitan un mayor nivel de detalle.

9.2.2.1. Procedimiento de solicitud y emisión del Certificado Ligero

64. A continuación se describe el procedimiento de solicitud por el que el Registrador toma los

datos del personal al servicio de la Organización, confirma su identidad y se formaliza,

entre el citado personal y la FNMT-RCM, el documento de condiciones de utilización o el

contrato de emisión, según lo previsto en el acuerdo de la FNMT-RCM con la Organización

para la posterior emisión de un Certificado Ligero.

65. Se hace constar que FNMT-RCM, en función de la relación de Suscriptores y personal

Usuario dependiente remitida por la Oficina de Registro, considerará, bajo responsabilidad

de las correspondientes Organizaciones o Entidades Competentes, que actuarán a través de

las Oficinas de Registro como Autoridad Local de Registro, que este personal se encuentra

con su cargo vigente, que sus datos personales son auténticos y están en vigor y, por tanto,

habilitado para obtener y usar el Certificado.

66. La Comisión Europea podrá establecer, en el ámbito de actuación de sus competencias,

Oficinas de Registro centrales o comunes con efectos uniformes para cualesquiera de las

diferentes entidades de los Estados Miembro

67. FNMT-RCM, no tendrá, en este tipo de Certificado, la responsabilidad de comprobar el

cargo o empleo del Usuario, así como que estos requisitos se mantienen durante toda la vida

del Certificado. La FNMT-RCM no mantiene relación jurídica funcionarial, administrativa

o laboral con el Usuario, más allá del documento de condiciones de utilización o, en su

caso, contrato de emisión.

68. Las actividades de comprobación anteriores serán realizadas por el personal de la Oficina de

Registro implantada por la Organización, que es la entidad donde el Usuario presta sus

servicios. Por tanto y a estos efectos las Oficinas de Registro no serán autoridades delegadas

o dependientes de la FNMT-RCM.

69. Este Certificado será solicitado por la Organización o Entidad Competente Suscriptora

quien actuará como solicitante sin perjuicio de que las operaciones necesarias para la

petición y obtención del Certificado se realicen por el Referente o el Registrador o, de

manera instrumental, por los propios Usuarios.

70. Los tres pasos a realizar para la obtención del Certificado son:

9.2.2.1.1. Presolicitud (Paso 1)

71. Con carácter previo, el Usuario y el Suscriptor deberán consultar la [DGPC] y las presentes

Políticas y Prácticas de Certificación Particulares en la dirección

http://www.cert.fnmt.es/dpcs/ con las condiciones de uso y obligaciones propias como

Usuario y Suscriptor, respectivamente, del Certificado, que se plasmaran en el documento de condiciones de utilización o, si procede, el contrato de emisión.

(22)

72. El Usuario deberá acceder a la dirección electrónica https://ec.fnmt.es donde se mostrarán

las instrucciones para realizar una generación de Claves. En esta dirección deberá introducir su nombre, primer apellido y dirección de correo electrónico en el punto de recogida de datos dispuesto para ello.

73. En el caso de que se desee un Certificado Ligero para una unidad organizativa dependiente

del Suscriptor del Certificado, el Usuario podrá introducir en estos campos los datos

referidos al nombre de dicha unidad. Asimismo, la dirección de correo facilitada podrá corresponderse con un buzón genérico –no personal- de dicha unidad.

74. A continuación se generarán las Claves Pública y Privada que serán vinculadas al

Certificado, convirtiéndose en su momento en Datos de Verificación y Creación de Firma

respectivamente.

75. Al realizar esta presolicitud se envía a la FNMT-RCM la Clave Pública generada, junto con

las correspondientes pruebas de posesión de la Clave Privada, para la posterior emisión del

Certificado.

76. La FNMT-RCM, tras recibir esta información, comprobará mediante la Clave Pública del

Usuario la validez de la información de la presolicitud firmada, comprobando, únicamente,

la posesión y correspondencia de la pareja de Claves criptográficas por parte de éste.

77. Si todo es correcto, la FNMT-RCM asignará un código de solicitud a la petición realizada

por el Usuario y se lo indicará en una página web de respuesta.

78. Esta información no dará lugar a la generación de un Certificado por parte de la

FNMT-RCM, en tanto que ésta no reciba firmada, por la Oficina de Registro, la solicitud del

Certificado.

9.2.2.1.2. Acreditación de la identidad y solicitud (Paso 2)

79. Una vez que el Usuario ha obtenido el código de solicitud en el subproceso de

“Presolicitud” deberá realizar la correspondiente solicitud de emisión de Certificado a través

de la Oficina de Registro que le corresponda (aquella que representa a la Organización ante

la FNMT-RCM en las operaciones de gestión de Certificados y en la que el Usuario presta

sus servicios).

80. Esta solicitud podrá realizarse bien por personación física o de forma telemática. En

cualquier caso, el Registrador autenticará al Usuario mediante el requerimiento de

aportación de

 datos personales (como mínimo el nombre, primer apellido, correo electrónico y

número distintivo del documento oficial a aportar) y datos vinculados a la solicitud en cuestión (código de solicitud) y

 la documentación correspondiente y consistente en el documento oficial que acredite

la identidad del Usuario.

Nota: En el caso de haberse introducido en los campos nombre, apellido y correo

electrónico datos genéricos referidos a una unidad organizativa dependiente del Suscriptor,

el Usuario también deberá aportar documentación acreditativa de las facultades de

representación bastante para realizar dicha solicitud en nombre de la unidad organizativa en cuestión.

81. Adicionalmente, el Registrador requerirá al Usuario la aportación (presencialmente, por

correo electrónico o fax) de una fotocopia del documento oficial que acredite la identidad de

éste y en el que figuren los datos referidos a la identidad del Usuario. Estos documentos

serán custodiados por la Oficina de Registro como parte de la solicitud.

82. El Registrador comprobará la condición del Usuario como empleado de la Organización o

Entidad CompetenteSuscriptora del Certificado y con cargo vigente, así como la veracidad

del correo electrónico, todo ello por los medios que tenga a su disposición y habida cuenta

de que la Oficina de Registro actúa en representación de la Organización en cuestión y por

tanto conoce de forma fehaciente esta información.

83. FNMT-RCM, no tendrá la responsabilidad de comprobar los datos personales, la condición

(23)

condiciones se mantienen durante toda la vida del Certificado, al no ostentar relación

jurídica funcionarial, administrativa o laboral con el Usuario, más allá del documento de

condiciones de utilización o, en su caso, contrato de emisión, cuyo efecto es estrictamente instrumental para el desempeño de las funciones propias del cargo.

84. La aportación de estos datos y documentos avalarán la identidad del Usuario y será

condición necesaria y suficiente para el establecimiento del vínculo entre identidad y Datos de Creación de Firma que se crea en el momento de la emisión del Certificado.

85. No es necesaria la personación física del interesado en la Oficina de Registro puesto que

esta Política de Certificación conlleva unas condiciones de emisión menos gravosas que las

recogidas en [ETSI456] y además la Oficina de Registro tiene constancia previa de los datos

identificativos del Usuario por pertenecer a la misma Organización. Adicionalmente este

forma de acreditación está en plena sintonía con los requisitos establecidos para las Políticas

de Certificación para la emisión de “Lightweight Certificates” (Certificados Ligeros) o LCP definidas en [ETSI042].

86. Una vez que el Registrador confirme la identidad del Usuario, la vigencia de su cargo o

empleo en la Organización y habiendo aceptado el documento de condiciones de utilización

o, en su caso, el contrato de solicitud por el Usuario y la Oficina de Registro, ésta procederá

a validar los datos y a enviarlos a la FNMT-RCM junto con el código de solicitud recogido en la fase de presolicitud.

87. La Oficina de Registro recibirá un justificante con los datos de la solicitud realizada y que

deberá custodiar como parte de ésta.

88. Los datos personales y su tratamiento quedarán sometidos a la legislación específica.

89. Esta transmisión de información a la FNMT-RCM se realizará mediante comunicaciones

seguras establecidas para tal fin entre la Oficina de Registro y la FNMT-RCM.

9.2.2.1.3. Emisión del Certificado (Paso 3)

90. Una vez recibidos en la FNMT-RCM los datos personales del Usuario, la información que

describe su relación con la Organización o Entidad Competente Suscriptora del Certificado,

así como el código de solicitud obtenido en la fase de presolicitud, se procederá a la emisión

del Certificado.

91. La emisión de Certificados supone la generación de documentos electrónicos que confirman

la identidad del Firmante, su relación con la Organización así como su correspondencia con

la Clave Pública asociada.

92. La emisión de los Certificados sujetos a las presentes Políticas sólo puede realizarse por la

FNMT-RCM en su calidad de Prestador de Servicios de Certificación, no existiendo

ninguna otra entidad u organismo con capacidad de emisión de los mismos.

93. La FNMT-RCM, por medio de su Firma electrónica, autentica el Certificado y confirma la

identidad del Suscriptor, así como su relación con el Usuario, de conformidad con la

información recibida por la Oficina de Registro. Por otro lado y con el fin de evitar la

manipulación de la información contenida en el Certificado, la FNMT-RCM utilizará

mecanismos criptográficos que doten de autenticidad e integridad al Certificado.

94. En cualquier caso, la FNMT-RCM actuará eficazmente para:

 Comprobar que el Usuario del Certificado utiliza la Clave Privada correspondiente a

la Clave Publica vinculada a la identidad del Firmante del mismo. Para ello, la

FNMT-RCM comprobará la correspondencia entre la Clave privada y la Clave

pública.

 Lograr que la información incluida en el Certificado se base en la información

proporcionada por la Oficina de Registro correspondiente.

 No ignorar hechos notorios que puedan afectar a la fiabilidad del Certificado.

 Lograr que el DN (nombre distintivo) asignado en el Certificado sea único en toda la

Infraestructura de Claves Públicas de la FNMT-RCM.

(24)

1. Composición del nombre distintivo (DN) del Certificado Ligero

Con los datos personales del Usuario recogidos durante el proceso de solicitud del

Certificado, se procede a componer el nombre distintivo (DN) conforme al estándar X.500, asegurando que dicho nombre tenga sentido y no de lugar a ambigüedades. No se contempla el uso de seudónimos como forma de identificación.

El DN para este tipo de Certificados está compuesto de los siguientes elementos: DN≡CN, O, C

El conjunto de atributos O, C representa la rama del directorio en la que se encuentra

ubicada la entrada correspondiente a los Certificados Ligeros emitidos al Usuario al

servicio de la Organización en cuestión.

El atributo CN contiene los datos de identificación del Usuario o, en su caso, los datos de identificación de la unidad organizativa dependiente del Suscriptor del Certificado.

El atributo O contiene el nombre de la Organización.

El atributo C contiene el código de país al que pertenece la Organización.

Una vez compuesto el nombre distintivo (DN) se crea la correspondiente entrada en el

Directorio, procurando que el nombre distintivo sea único en toda la Infraestructura

de Clave Pública del Prestador de Servicios de Certificación.

2. Composición de la identidad alternativa del Usuario

La identidad alternativa del Usuario, tal como se contempla en la presente tipología de

Certificados, contiene la dirección de correo electrónico de éste aportada durante los

procesos de presolicitud y acreditación de la identidad. Se utiliza la extensión

subjectAltName definida en X.509 versión 3 para ofrecer esta información.

3. Generación del Certificado conforme al perfil del Certificado Ligero.

El formato del Certificado Ligero estará en consonancia con la norma UIT-T X.509

versión 3 y de acuerdo con la normativa legalmente aplicable.

En la Tabla 2 – Perfil del Certificado Ligero anexa a este documento puede

consultarse el perfil de este tipo de Certificados

9.2.2.2. Publicación del Certificado Ligero

96. Una vez generado el Certificado por parte del Prestador de Servicios de Certificación, se

publicará en el Directorio, concretamente en la entrada correspondiente a la Organización.

97. A la dirección de correo electrónico proporcionada por el Usuario se le enviará una

comunicación de la disposición de su Certificado para su descarga.

9.2.2.3. Descarga e instalación del Certificado Ligero

98. Una vez generado el Certificado, se pone a disposición del Usuario un mecanismo de

descarga en la dirección https://ec.fnmt.es accediendo a la opción “Descarga de su

Certificado”.

99. En este proceso guiado se le pedirá al interesado que introduzca su nombre, primer apellido

y correo electrónico con el que se realizó el proceso de presolicitud, así como el código de solicitud devuelto por el sistema al finalizar dicho proceso.

100. Si el Certificado no ha sido aún generado por cualquier motivo, se le indicará este hecho en

el momento que intente su descarga. En caso contrario se pondrá a disposición del

interesado, quien lo introducirá en el soporte en el que se generaron las Claves durante el

Figure

Actualización...

Related subjects : FNMT-RCM