POLÍTICAS Y PRÁCTICAS DE CERTIFICACIÓN PARTICULARES APLICABLES A LOS SERVICIOS
DE CERTIFICACIÓN Y FIRMA ELECTRÓNICA EN EL ÁMBITO DE LA COMISIÓN EUROPEANOMBRE FECHA
Elaborado por: FNMT-RCM / v1.4 12/7/2013
Revisado por: FNMT-RCM / v1.4 12/7/2013
Aprobado por: FNMT-RCM / v1.4 12/7/2013
HISTÓRICO DEL DOCUMENTO
Versión Fecha Descripción Autor
1.0 15/11/2010 Creación del documento FNMT-RCM
1.1 22/12/2010 Inclusión de nuevas definiciones. Se incluye
también el concepto de Oficina de Registro
centralizada y Entidades Competentes
FNMT-RCM
1.1 21/2/2011 Se realizan modificaciones para admitir
nombres de áreas o departamentos en el CN de los certificados ligeros, así como direcciones genéricas o de grupo asociadas a estas entidades.
FNMT-RCM
1.1 21/2/2011 Se elimina la información relativa a la gestión
de las políticas de certificación puesto que figura en la DGPC
FNMT-RCM
1.1 21/06/2011 Actualizada la información de la extensión de
AIA para los certificados para entidades finales. Nuevo valor:
http://www.cert.fnmt.es/certs/ISACA.crt
FNMT-RCM
1.2 3/2/2012 Modificación de la tabla de perfiles de
certificados: Los números de serie de los certificados se asignan de forma aleatoria
HISTÓRICO DEL DOCUMENTO
Versión Fecha Descripción Autor
1.3 16/4/2013 Desglose de la política de certificados de
servidor en dos grandes grupos: los de servidor web y los de actuación automatizada.
Inclusión de dos nuevos tipos dentro de la política de certificados de servidor:
- reconocido sin dispositivo seguro de
creación de firma para firma de documentos
- normalizado para firma o cifrado de
documentos
Sustitución del término titular por firmante o suscriptor.
FNMT-RCM
1.4 12/7/2013 Párrafo 233: Corregida la expresión “Titulares
del Certificados” por “Suscriptoras de los Certificados”.
Párrafo 358: Incluido el compromiso con el contenido en las garantías que ofrece el uso de los certificados.
Párrafo 423: Corregida la validez de los certificados de servidor a 1 año.
FNMT-RCM
Referencia: DPC/PCPCE0104/SGPSC/2013
ÍNDICES
ÍNDICE DE CONTENIDOS
Índices ... 3 1. Definiciones y abreviaturas ... 6 2. Organización de la documentación ... 8 3. Introducción y alcance ... 9 4. Referencias ... 10 5. Orden de prelación ... 116. Gestión del ciclo de vida de las claves del prestador de servicios de certificación ... 12
6.1. Gestión del ciclo de vida de las Claves ... 12
6.1.1. Generación de las Claves del Prestador de Servicios de Certificación ... 12
6.1.2. Almacenamiento, salvaguarda y recuperación de las Claves del Prestador de Servicios de Certificación ... 12
6.1.3. Distribución de los Datos de verificación de Firma del Prestador de Servicios de Certificación 12 6.1.4. Almacenamiento, salvaguarda y recuperación de las Claves Privadas de la Administración, Organismos y Entidades públicas usuarias ... 12
6.1.5. Uso de los Datos de Creación de Firma del Prestador de Servicios de Certificación ... 12
6.1.6. Fin del ciclo de vida de las Claves del Prestador de Servicios de Certificación ... 13
6.1.7. Ciclo de vida del hardware criptográfico utilizado para firmar Certificados ... 13
7. Operación y gestión de la Infraestructura de Claves Públicas ... 14
7.1. Disponibilidad de los servicios ... 14
7.2. Servicio de información y consulta sobre el estado de validez de los certificados... 14
7.3. Gestión de la seguridad de la información y controles de seguridad... 14
8. Difusión de Términos y Condiciones ... 16
9. Certificados Ligeros ... 17
9.1. Política de certificación para la emisión de Certificados Ligeros ... 17
9.1.1. Identificación ... 17
9.1.2. Tipología del Certificado Ligero... 17
9.1.3. Comunidad y ámbito de aplicación ... 18
9.1.4. Responsabilidad y obligaciones de las partes ... 18
9.1.5. Límites de uso de los Certificados Ligeros ... 20
9.2. Prácticas de certificación particulares para los Certificados Ligeros ... 20
9.2.1. Servicios de Gestión de las Claves ... 21
9.2.2. Gestión del ciclo de vida de los Certificados ... 21
9.2.2.1. Procedimiento de solicitud y emisión del Certificado Ligero ... 21
9.2.2.2. Publicación del Certificado Ligero ... 24
9.2.2.3. Descarga e instalación del Certificado Ligero ... 24
9.2.2.4. Vigencia del Certificado Ligero ... 25
9.2.2.5. Revocación del Certificado Ligero ... 25
9.2.2.6. Suspensión del Certificado Ligero ... 27
10. Certificados Normalizados ... 29
10.1. Política de certificación para la emisión de Certificados Normalizados ... 29
10.1.1. Identificación ... 29
10.1.2. Tipología del Certificado Normalizado ... 29
10.1.3. Comunidad y ámbito de aplicación ... 30
10.1.4. Responsabilidad y obligaciones de las partes ... 30
10.2. Prácticas de certificación particulares para los Certificados Normalizados ... 32
10.2.1. Servicios de Gestión de las Claves ... 33
10.2.2. Gestión del ciclo de vida de los Certificados ... 33
10.2.2.1. Procedimiento de solicitud y emisión del Certificado Normalizado ... 33
10.2.2.2. Publicación del Certificado Normalizado ... 36
10.2.2.3. Descarga e instalación del Certificado Normalizado ... 36
10.2.2.4. Vigencia del Certificado Normalizado ... 36
10.2.2.5. Revocación del Certificado Normalizado ... 37
10.2.2.6. Suspensión del Certificado Normalizado ... 39
11. Certificados Reconocidos ... 41
11.1. Política de certificación para la emisión de Certificados Reconocidos ... 41
11.1.1. Identificación ... 41
11.1.2. Tipología del Certificado Reconocido ... 41
11.1.3. Comunidad y ámbito de aplicación ... 42
11.1.4. Responsabilidad y obligaciones de las partes ... 42
11.1.5. Límites de uso de los Certificados Reconocidos ... 44
11.2. Prácticas de certificación particulares para los Certificados Reconocidos ... 45
11.2.1. Servicios de Gestión de las Claves ... 45
11.2.2. Preparación de los Dispositivos Seguros de Creación de Firma ... 45
11.2.3. Gestión del ciclo de vida de los Certificados ... 45
11.2.3.1. Procedimiento de solicitud y emisión del Certificado Reconocido ... 45
11.2.3.2. Publicación del Certificado Reconocido ... 48
11.2.3.3. Descarga e instalación del Certificado Reconocido ... 48
11.2.3.4. Vigencia del Certificado Reconocido... 49
11.2.3.5. Revocación del Certificado Reconocido ... 49
11.2.3.6. Suspensión del Certificado Reconocido ... 51
11.2.4. Exclusiones y requisitos adicionales a ETSI TS 101 456 ... 52
12. Certificados de Servidor ... 53
12.1. Política de Certificación de los Certificados de Servidor Web ... 53
12.1.1. Identificación ... 53
12.1.2. Tipología del Certificado de servidor web... 53
12.1.3. Comunidad y ámbito de aplicación ... 54
12.1.4. Responsabilidad y obligaciones de las partes ... 55
12.1.5. Límites de uso de los Certificados de servidor web ... 56
12.2. Política de Certificación de los Certificados de Servidor de Actuación Automatizada ... 57
12.2.1. Identificación ... 57
12.2.2. Tipología del Certificado de Actuación Automatizada ... 57
12.2.3. Comunidad y ámbito de aplicación ... 59
12.2.4. Responsabilidad y obligaciones de las partes ... 59
12.2.5. Limitaciones de responsabilidad adicionales para los Certificados de Actuación Automatizada del tipo Reconocido sin DSCF para firma de documentos ... 61
12.2.6. Límites de uso de los Certificados de Actuación Automatizada ... 61
12.3. Prácticas de certificación particulares para los Certificados de servidor ... 62
12.3.1. Servicios de Gestión de las Claves ... 62
12.3.2. Gestión del ciclo de vida de los Certificados ... 62
12.3.2.1. Procedimiento de solicitud y emisión del Certificado de servidor ... 62
12.3.2.2. Publicación del Certificado de servidor ... 66
12.3.2.3. Descarga e instalación del Certificado de Servidor ... 66
12.3.2.4. Vigencia del Certificado de Servidor ... 66
12.3.2.5. Revocación del Certificado de servidor ... 67
ÍNDICE DE TABLAS
Tabla 1 - Certificado Raíz de la FNMT-RCM para la emisión de certificados para la Comisión
Europea (Jerarquía subordinada al Certificado Raíz de la FNMT-RCM) ... 69
Tabla 2 – Perfil del Certificado Ligero ... 72
Tabla 3 – Perfil del Certificado Normalizado ... 75
Tabla 4 – Perfil del Certificado Reconocido ... 78
Tabla 5 – Perfil del Certificado de Servidor web (tipo Common Name) ... 82
Tabla 6 – Perfil del Certificado de Servidor web (tipo Wildcard) ... 85
Tabla 7 – Perfil del Certificado de Actuación Automatizada (tipo Reconocido sin DSCF para firma de documentos) ... 88
Tabla 8 – Perfil del Certificado de Actuación Automatizada (tipo Normalizado para firma o cifrado de documentos) ... 91
1.
DEFINICIONES Y ABREVIATURASEn el presente documento los siguientes términos tendrán las siguientes definiciones:
- Autoridades Competentes: Entidades designadas por alguno de los Estados Miembros de la
Unión Europea, algún país de la EFTA (European Free Trade Association) u otro país, para el intercambio de información en un determinado contexto.
- Autoridad Local de Registro (LRA): La Organización en el ejercicio de sus responsabilidades
de identificación y autenticación de los Usuarios en nombre de Prestador de Servicios de
Certificación
- Aplicación: Aplicación basada en tecnologías cliente/servidor que requiere mecanismos de
seguridad en la “capa de aplicación” para el intercambio de información entre la Autoridad
Competente y las instituciones, agencias y entidades.
- Certificado de Servidor: Es el certificado empleado para ser utilizado por una máquina sin
necesidad de intervención directa de una persona en cada una de sus operaciones. Contempla
dos tipos según la necesidad que cubren: los Certificados de Servidor web y los Certificados
de Actuación Automatizada.
- Certificado de Actuación Automatizada: Es aquel Certificado empleado en operaciones
automatizadas de firma y/o de cifrado de documentos.
- Certificado de Servidor web: Es aquel Certificado que permite identificar y autenticar a un
servidor web o una URL.
Dentro de esta categoría de Certificado de servidor, la FNMT-RCM emite un tipo especial de
Certificado de Servidor web, denominado Wildcard, que permite a sus Suscriptores,
miembros de la Comunidad Electrónica UE, identificar y autenticar todos los subdominios
asociados a un dominio determinado, sin necesidad de adquirir y gestionar múltiples
Certificados.
- Certificado de Servidor web tipo “Common Name”: Certificado de Servidor web expedido
bajo [RFC5246] y que permite a un Servidor web o URL ser identificada y autenticada.
- Certificado de Servidor web tipo “Wildcard”: Un Certificado de Servidor web que permite al
Firmante identificar y autenticar todos los subdominios asociados o derivados a un cierto nombre de dominio
- Certificado Ligero: Certificado emitido bajo un Política de Certificación que ofrece una
calidad del servicio menos gravosa que la Política de Certificación para la emisión de
Certificados Reconocidos (QCP) definida en ETSI 101 456
- Certificado Normalizado: Certificado emitido bajo una Política de Certificación que ofrece
una calidad del servicio equivalente a la Política de Certificación para la emisión de
Certificados Reconocidos (QCP) definida en ETSI 101 456
- Certificado Reconocido: Certificado emitido bajo una Política de Certificación que incorpora
los requisitos identificados en el anexo I y II de la Directiva 1999/93/EC
- Cliente OCSP: Herramienta necesaria para poder hacer peticiones de información sobre el
estado de validez de los Certificados siguiendo el protocolo OCSP.
- Comunidad Electrónica UE:Conjunto de personas y Entidades usuarias que se relacionan con
Certificados entre sí o que confían en éstos y en la Firma Electrónica de la FNMT-RCM, bajo
el marco general de la [DGPC] y las presentes Políticas de Certificación y el marco particular,
si lo hubiera, de los correspondientes documentos de relación (acuerdos, contratos, formularios, etc.) que se hayan suscrito. Este concepto también puede ser referido como “Grupo (cerrado) ISA”
El concepto de Comunidad Electrónica UE es exclusivo de las presentes Políticas y es
excluyente con el de Comunidad Electrónica definido en [DGPC]
- DGPC: Declaración General de Prácticas de Certificación
- Entidad usuaria: Aquella Organización que se haya adherido al Contrato Marco formalizado
con la Comisión Europea y que da lugar a la prestación de servicios de certificación objeto del presente documento.
- Firmante (Certificate holder): Es la persona física que posee y custodia un dispositivo de
creación de firma y que actúa (realiza la firma) en nombre del Suscriptor del Certificado de
conformidad con sus facultades.
- FNMT-RCM: Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda. En el
contexto de estas Políticas de Certificación, es el Prestador de Servicios de Certificación.
- Oficinas de Registro (LRA Office): Oficinas instaladas por la Organización que se constituyen
a fin de facilitar a los Usuarios la presentación de solicitudes relativas a los Certificados, con la finalidad de realizar la confirmación de su identidad y la entrega de los correspondientes títulos acreditativos de las cualidades personales, facultades de representación y demás
requisitos exigidos para el tipo de Certificado que se solicite.
- Organización: La Comisión Europea (EC) e instituciones, agencias y entidades de la Unión
Europea que participan en ella, así como cualquier otra agencia ejecutiva que la Comisión Europea decida establecer en Bruselas o Luxemburgo.
- QCP: Política de Certificación para la emisión de Certificados Reconocidos de conformidad
con [ETSI456]
- Referente de la LRA: Es la persona responsable de las operaciones de registro realizadas por la
Organización en calidad de Autoridad Local de Registro
- Registrador (LRA Officer): Personal adscrito a la Oficina de Registro expresamente designado
por el Referente de la LRA para el desempeño de las labores de registro de Usuarios de
Certificados y para gestionar las solicitudes relativas a los mismos (emisión, revocación,
suspensión y cancelación de la suspensión). Las actividades desempeñadas por los
Registradores podrán ser igualmente llevadas a cabo por el Referente de la LRA.
- Representantes de la Organización: Persona física que por razón del cargo vincula y obliga a
una Organización con el contenido del acuerdo de prestación de servicios de certificación
suscrito con la FNMT-RCM.
- Responsable del certificado de servidor: Persona física o jurídica que tiene a su cargo la
dirección, control y custodia del Certificado de servidor, así como los Datos de Creación de
Firma o los Datos de Descifrado asociados.
- SGSI: Sistema de Gestión de la Seguridad
- Solicitante: Persona contratante con la FNMT-RCM que suscribe los términos y condiciones
del servicio en nombre del Suscriptor del Certificado
- SSL: Secure Sockets Layer
- Suscriptor (de un Certificado): Es la Organización o Entidad Competente cuya identidad
queda vinculada a los Datos de verificación de firma (Clave Pública) del Certificado del que
es Suscriptor y emitido por el Prestador de Servicios de Certificación. Por tanto, la identidad
del Suscriptor se vincula a lo firmado electrónicamente utilizando los Datos de creación de
firma (Clave privada) asociados al Certificado.
- TSL: Transport Security Layer
- Usuario de los Servicios de información y consulta del estado de los certificados: Persona
que, sin tener la condición de Entidad usuaria, confía en la FNMT-RCM para proporcionar
información sobre el estado de los Certificados y que accede a dichos servicios con tal objeto.
2.
ORGANIZACIÓN DE LA DOCUMENTACIÓN
1. La FNMT-RCM estructura su Declaración de Prácticas de Certificación en varios
documentos:
La [DGPC], que tiene por objeto la información pública de las condiciones y
características generales de los servicios de certificación por parte de la FNMT-RCM
como Prestador de Servicios de Certificación,
Cuantos anexos se consideren oportunos para la información pública de las
condiciones de uso, limitaciones, responsabilidades, propiedades y cualquier otra
información que se considere específica de cada tipo de Certificado. Estos anexos
tendrán la condición de Política y Prácticas de Certificación Particulares del tipo de
Certificado en cuestión
2. De esta forma, se considera como Declaración de Prácticas de Certificación de un
determinado tipo de Certificado emitido por la FNMT-RCM al conjunto de los documentos
formados por la [DGPC] y cuantos anexos especifiquen, desarrollen o particularicen las
cuestiones relativas al tipo de Certificado en cuestión, es decir, la Política y Prácticas de
Certificación particulares de dicho tipo de Certificado
3. El objetivo del presente documento es la información pública del conjunto de prácticas,
condiciones y características de los servicios de certificación que presta la FNMT-RCM
como Prestador de Servicios de Certificación en relación al ciclo de vida de los Certificados
electrónicos para su uso en el ámbito de competencias de las Organizaciones y en el marco
de la Comunidad Electrónica UE.
4. Así pues, el presente anexo trae causa y forma parte integrante de la Declaración de
Prácticas de Certificación de la FNMT-RCM en lo relativo a los Certificados para su uso en
el ámbito de competencias de las Organizaciones y en el marco de la Comunidad
Electrónica UE, así como las Prácticas de Certificación empleadas en el ciclo de vida de
éstos.
5. En conclusión, estas Políticas y Prácticas de Certificación Particulares concretan lo
articulado en el cuerpo principal de la [DGPC], conformando, ambos documentos la Declaración de Prácticas de Certificación de la FNMT-RCM para los Certificados para su
uso en el ámbito de competencias de las Organizaciones y en el marco de la Comunidad
Electrónica UE. Lo descrito en este documento, sólo es de aplicación para el conjunto de
Certificados caracterizados e identificados en estas Políticas y Prácticas de Certificación
3.
INTRODUCCIÓN Y ALCANCE
6. Este documento recoge las obligaciones y procedimientos que las partes se comprometen a
cumplir en relación con la prestación por parte de la FNMT-RCM de servicios propios de una Infraestructura de Claves Públicas en el ámbito de competencias de las Organizaciones
y en el marco de la Comunidad Electrónica UE.
7. Estos servicios, entre los que se encuentra la emisión de Certificados, posibilitarán a las
Entidades usuarias, Suscriptores y Usuarios de los Certificados, de forma directa o
indirecta y en determinados contextos, la realización de las siguientes operaciones: cifrado,
autenticación, Firma Electrónica, no repudio e identificación.
8. Al objeto de que las Entidades Usuarias, Suscriptores y Usuarios puedan desarrollar
servicios telemáticos con las garantías de seguridad adecuadas y, por otra parte, beneficiarse de cuantos pudieran estar establecidos y disponibles, la FNMT-RCM emitirá diferentes tipos
de Certificados, cuyos requisitos, límites de uso y responsabilidades, ámbito de aplicación y
procedimientos relacionados se declararán como apartados en el presente documento y que a continuación se enumeran:
Política de certificación para la emisión de “Certificadosligeros”1
Política de certificación para la emisión de “Certificadosnormalizados”2
Política de certificación para la emisión de “Certificados reconocidos”3
Política de certificación para la emisión de “Certificados de servidor”4
9. En especial deberá tenerse presente, a efectos interpretativos de estas Políticas y Prácticas
de Certificación Particulares, el apartado “Definiciones” de la [DGPC].
1 Política de Certificación que ofrece una calidad del servicio menos gravosa que la Política de
Certificación para la emisión de Certificados Reconocidos (QCP) definida en ETSI 101 456
2 Política de Certificación que ofrece una calidad del servicio equivalente a la Política de Certificación
para la emisión de Certificados Reconocidos (QCP) definida en ETSI 101 456
3Política de Certificación que incorpora los requisitos identificados en el anexo I y II de la Directiva
1999/93/EC
4 Dentro de la denominación de “Certificados de servidor web” se engloban los Certificados de servidor
4.
REFERENCIAS
[DGPC] Declaración General de Prácticas de Certificación
[D99/93EC] Directive 1999/93/EC of the European Parliament and of the council of 13 December
1999 on a community framework for electronic signatures
[D9546EC] Directive 1995/46/EC on the protection of individuals with regard to the processing of
personal data and on the free movement of such data
[CD3602] Commission Decision of 16 August 2006 C(2006) 3602 concerning the security of
information systems used by the European Commission
[ETSI456] ETSI TS 101 456: Policy requirement for certification authorities issuing qualified
certificates
[ETSI042] ETSI TS 102 042: Policy requirements for certification authorities issuing public key
certificates
[ETSI903] ETSI TS 101 903: XML Advanced Electronic Signatures (XAdES)
[ETSI733] ETSI TS 101 733: CMS Advanced Electronic Signatures (CAdES)
[ETSI861] ETSI TS 101 861: Time Stamping Profile
[ETSI862] ETSI TS 101 862: Qualified Certificate Profile
[ETSI158] ETSI TS 102 158: Policy requirements for Certification Service Providers issuing
attribute certificates usable with Qualified certificates
[ETSI023] ETSI TS 102 023: Policy requirements for time-stamping authorities
[ISO9594] ISO/IEC 9594-8:2005: The Directory: Public-key and attribute certificate frameworks
[RFC5280] IETF RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate
Revocation List (CRL) Profile
[RFC3647] IETF RFC 3647: Internet X.509 Public Key Infrastructure Certificate Policy and
Certification Practices Framework.
5.
ORDEN DE PRELACIÓN
10. Las presentes Políticas y Prácticas de Certificación Particulares de los Certificados
emitidos para su uso en el ámbito de competencias de las Organizaciones y en el marco de
la Comunidad Electrónica UE, tendrán prelación, en lo que corresponda y con carácter
particular respecto de cada tipo de Certificado, sobre lo dispuesto en el cuerpo principal de
la [DGPC]. Por tanto, en caso de que existiera contradicción entre el presente documento y lo dispuesto en [DGPC], tendrá preferencia lo aquí articulado.
11. No obstante lo anterior, en los contratos, acuerdos, formularios y condiciones que se
suscriban entre la Organización y la FNMT-RCM o en el ámbito de relaciones entre las
partes integrantes de la Comunidad Electrónica UE, podrán definirse especialidades que en
6.
GESTIÓN DEL CICLO DE VIDA DE LAS CLAVES DEL PRESTADOR DE SERVICIOS DE
CERTIFICACIÓN12. La FNMT-RCM en su actividad como Prestador de Servicios de Certificación, en relación
con las claves criptográficas empleadas para la emisión de Certificados para su uso en el
ámbito de competencias de las Organizaciones y en el marco de la Comunidad Electrónica
UE, declara que realizará la siguiente gestión:
6.1. GESTIÓN DEL CICLO DE VIDA DE LAS CLAVES
6.1.1. Generación de las Claves del Prestador de Servicios de Certificación
13. Las Claves de la FNMT-RCM, como Prestador de Servicios de Certificación, son generadas
en circunstancias completamente controladas, en un entorno físicamente seguro y, al menos, por dos personas autorizadas para ello, utilizando sistemas hardware y software que cumplen con la normativa actual en materia de protección criptográfica, tal y como se muestra en la [DGPC].
6.1.2. Almacenamiento, salvaguarda y recuperación de las Claves del Prestador de Servicios
de Certificación
14. La FNMT-RCM utiliza los mecanismos necesarios para mantener su Clave privada
confidencial y mantener su integridad en la forma que se muestra en la [DGPC]
6.1.3. Distribución de los Datos de verificación de Firma del Prestador de Servicios de Certificación
15. La FNMT-RCM utiliza los mecanismos necesarios para mantener la integridad y
autenticidad de su Clave Pública, así como su distribución en la forma que se muestra en la
[DGPC]
16. Los campos del Certificado Raíz correspondiente a la jerarquía de certificación de los
Certificados para su uso en el ámbito de competencias de las Organizaciones y en el marco de la Comunidad Electrónica UE, se pueden ver en la [DGPC]
17. Por otra parte, los Certificados emitidos bajo las Políticas de Certificación identificadas en
este documento vendrán firmados electrónicamente con los Datos de Creación de Firma del Prestador de Servicios de Certificación.
Para dicha emisión, la FNMT-RCM emplea Datos de Creación de Firma que se corresponden con su respectivo Certificado de Autoridad de Certificación (en cualquier caso, subordinada al Certificado
Raíz de la FNMT-RCM identificado anteriormente). Este Certificado se encuentra definido en el anexo a este documento (
18. Tabla 1 - Certificado Raíz de la FNMT-RCM para la emisión de certificados para la
Comisión Europea (Jerarquía subordinada al Certificado Raíz de la FNMT-RCM))
6.1.4. Almacenamiento, salvaguarda y recuperación de las Claves Privadas de la
Administración, Organismos y Entidades públicas usuarias
19. La FNMT-RCM bajo ningún concepto genera ni almacena las Claves Privadas de sus
Firmantes, las cuales son generadas bajo su exclusivo control, y cuya custodia está bajo la
responsabilidad de los diferentes firmantes y entidades a las que se encuentren vinculadas o de las que dependan.
6.1.5. Uso de los Datos de Creación de Firma del Prestador de Servicios de Certificación
20. Los Datos de Creación de Firma de la FNMT-RCM, en su actividad como Prestador de
Servicios de Certificación, serán utilizadas única y exclusivamente para los propósitos de:
2) Firma de las Listas de Revocación.
3) Otros usos previstos en esta Declaración y/o en la legislación aplicable.
6.1.6. Fin del ciclo de vida de las Claves del Prestador de Servicios de Certificación
21. La FNMT-RCM dispondrá de los medios necesarios para lograr que una vez finalizado el
período de validez de las Claves del Prestador de Servicios de Certificación, estas Claves
no vuelven a ser utilizadas, bien destruyéndolas o almacenándolas de forma apropiada para dicha finalidad.
6.1.7. Ciclo de vida del hardware criptográfico utilizado para firmar Certificados
22. La FNMT-RCM dispondrá de los medios necesarios para posibilitar que el hardware
criptográfico utilizado para la protección de sus Claves como Prestador de Servicios de
Certificación, no sufra manipulaciones de acuerdo con el estado de la técnica a la fecha durante todo su ciclo de vida, estando situado dicho componente en un entorno físicamente seguro desde su recepción hasta su destrucción llegado el caso.
7.
OPERACIÓN Y GESTIÓN DE LA INFRAESTRUCTURA DE CLAVES PÚBLICAS
7.1. DISPONIBILIDAD DE LOS SERVICIOS
23. Los servicios objeto del presente documento declarativo (solicitud de certificados, registro,
revocación y renovación) son monitorizados y controlados por los correspondientes sistemas de gestión de la disponibilidad.
24. El nivel de servicio que se establece para las actividades relacionadas con la Infraestructura
de Claves Públicas incluidos en este documento será:
de veinticuatro (24) horas del día, todos los días del año, salvo por circunstancias
ajenas a la FNMT-RCM u operaciones de mantenimiento, que serán llevadas a cabo
regularmente para asegurar la continuidad del servicio para el Servicio de
información y consulta del estado de validez de los Certificados y
en los días laborables, en horario de 9:30 a 17:30, según el calendario y hora oficial
del Prestador de Servicios de Certificación para el resto de servicios
25. La FNMT-RCM notificará las operaciones de mantenimiento en la infraestructura a las
Organizaciones, acordando con éstas las fechas y horario de su realización. Asimismo, también se informará en la dirección http://www.ceres.fnmt.es, si es posible con al menos cuarenta y ocho (48) horas de antelación y tratará de solventarla en un periodo no superior a veinticuatro (24) horas.
7.2. SERVICIO DE INFORMACIÓN Y CONSULTA SOBRE EL ESTADO DE VALIDEZ DE LOS
CERTIFICADOS
26. La FNMT-RCM pondrá a disposición de los interesados un servicio para consultas y
obtención de información sobre el estado de los Certificados emitidos bajo las políticas
definidas en el presente documento.
27. Los integrantes de la Comunidad Electrónica UE podrán realizar la comprobación del
estado de un Certificado en la forma y condiciones que se expresan en este apartado.
28. Se entiende que el Usuario del Servicio de información y consulta del estado de validez los
Certificados, por el mero hecho de acceder al servicio, acepta las condiciones de la
Declaración de Prácticas de Certificación y sus obligaciones y responsabilidades como
partes confiantes en los Certificados emitidos por la FNMT-RCM y Firma electrónica de
ésta. La FNMT-RCM, previo al acceso del Usuario al referido servicio, pondrá a su
disposición las condiciones antedichas.
29. El Servicio de información y consulta sobre el estado de los certificados se ofrecerá a través
de la puesta a disposición del interesado de las Listas de Revocación pertinentes y a través
del protocolo OCSP.
30. La FNMT-RCM dispone de un servicio de respuesta conforme al mencionado protocolo
OCSP ("OCSP responder") que funciona de la siguiente forma: El servidor OCSP recibe la
petición OCSP efectuada por un Cliente OCSP y comprueba el estado de los Certificados
incluidos en la misma. Con la información sobre el estado de los Certificados compone una
respuesta conforme al protocolo y se la remite al cliente.
31. Será responsabilidad del interesado obtener un Cliente OCSP para operar con el servidor
OCSP puesto a disposición por la FNMT-RCM.
7.3. GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN Y CONTROLES DE SEGURIDAD
32. Las operaciones y procedimientos realizados para la puesta en práctica de las Políticas de
Certificación reflejadas en este documento se realizan siguiendo los controles requeridos
por los estándares reconocidos para tal efecto, describiéndose estas actuaciones en los apartados “Controles de seguridad física, de procedimientos y del personal” y “Controles de seguridad técnica” de la [DGPC].
33. De forma informativa cabe decir que la FNMT-RCM posee un Sistema de Gestión de la
Seguridad de la Información (en adelante SGSI) para su Departamento CERES con el objetivo final de mantener y garantizar la seguridad de la información de forma que el servicio prestado por la FNMT-RCM tenga los niveles suficientes de fiabilidad que exige el mercado. El SGSI de la FNMT-RCM es aplicable a los activos de información definidos en el Análisis de Riesgos realizado para todas las Áreas que componen el departamento, incluyendo como activos los servicios prestados y expuestos en el presente documento.
34. En [DGPC] se da respuesta concreta para todos aquellos aspectos referentes a los siguientes
apartados de la norma ETSI TS 101 456:
Gestión de la Seguridad.
Clasificación y Gestión de Activos.
Seguridad de Personal.
Seguridad física y del entorno.
Gestión de las Operaciones.
Gestión de Accesos al Sistema.
Gestión de incidencias y sistema de continuidad de negocio.
Terminación de la FNMT-RCM como Prestador de Servicios de Certificación.
8.
DIFUSIÓN DE TÉRMINOS Y CONDICIONES
35. La FNMT-RCM pone a disposición de la Comunidad Electrónica UE y demás interesados,
tanto el presente documento como la [DGPC]:
1) Los términos y condiciones que regulan la utilización de los Certificados expedidos
por la FNMT-RCM.
2) La Política de Certificación aplicable a los Certificados expedidos por la
FNMT-RCM.
3) Los límites de uso para los Certificados expedidos bajo las presentes Políticas de
Certificación.
4) Las obligaciones, garantías y responsabilidades de las partes envueltas en la emisión y
uso de los Certificados.
5) Los períodos de conservación de la información recabada en el proceso de registro y
de los eventos producidos en los sistemas del Prestador de Servicios de Certificación
relacionados con la gestión del ciclo de vida de los Certificados emitidos bajo las
presentes Políticas de Certificación.
6) Reseña legal de interés, con referencia a las normas relativas a reclamaciones y
9.
CERTIFICADOS LIGEROS
9.1. POLÍTICA DE CERTIFICACIÓN PARA LA EMISIÓN DE CERTIFICADOS LIGEROS
9.1.1. Identificación
36. La presente Política de Certificación de la FNMT-RCM para la expedición de Certificados
Ligeros para su uso en el ámbito de competencias de las Organizaciones y en el marco de la
Comunidad Electrónica UE.
Nombre: Política de Certificación para la emisión de Certificado Ligeros
Referencia / OID5:
1.3.6.1.4.1.5734.3.4.3
Versión: 1.0
Fecha de emisión: 15 de noviembre de 2010 Localización: http://www.cert.fnmt.es/dpcs/
DPC relacionada: Declaración General de Prácticas de Certificación de la FNMT-RCM Localización: http://www.cert.fnmt.es/dpcs/
9.1.2. Tipología del Certificado Ligero
37. El Certificado Ligero es la certificación electrónica emitida por la FNMT-RCM que vincula
al Firmante con unos Datos de Verificación de Firma y confirma, de forma conjunta:
la identidad del firmante y custodio de las Claves y su condición de personal al
servicio de la Organización que realiza firmas electrónicas utilizando el Certificado
en nombre de la entidad actuante y,
al Suscriptor del Certificado, que es la Organización o Entidad Competente.
38. Este Certificado se emite por la FNMT-RCM por cuenta de la Organización
correspondientes y a la que la FNMT-RCM presta los servicios técnicos, administrativos y de seguridad necesarios como Prestador de Servicios de Certificación.
39. Los procesos necesarios para la gestión de este Certificado (emisión, revocación,
renovación, etc.) son desarrollados por la FNMT-RCM mediante una infraestructura PKI específica, basada en actuaciones de identificación y registro realizadas por la red de
Oficinas de Registro designadas por las Organizaciones y que son Suscriptores del
Certificados.
40. [ETSI042] identifica una serie de requisitos para las Políticas de Certificación que, entre
otros, emitan Certificados que tienen la denominación de “Lightweight Certificate”. Esta
denominación tiene su equivalencia en el término Certificado Ligero que se emplea en el
presente documento.
41. Por cuanto antecede, los requisitos identificados en [ETSI042] para las Políticas de
Certificación que emiten “Certificados Ligeros” son satisfechos en la presente Política.
Adicionalmente, se señala que los Certificados emitidos bajo la presente política son
emitidos con el perfil técnico correspondiente a los Certificados Ligeros con base en los
criterios establecidos para tales Certificados en la normativa [ETSI042], tanto en lo
referente al Prestador de Servicios de Certificación, como a la generación de los Datos de
Creación y Verificación de Firma y al contenido del propio Certificado.
5Nota: El OID o identificador de política es una referencia que se incluirá en el Certificado al objeto de
que los usuarios puedan determinar las prácticas y procedimientos de aplicación para la emisión del Certificado en cuestión.
42. Por otra parte, [ETIS042] define los Certificados Ligeros como aquellos que son emitidos
por una Política de Certificación que ofrece una calidad del servicio menos gravosa que la
Política de Certificación para la emisión de Certificados Reconocidos (QCP) definida en
[ETSI456].
43. La FNMT-RCM ha optado por rebajar las garantías de esta Política de Certificación para la
emisión de Certificados Ligeros respecto a las definidas de Certificados Reconocidos
definidas en [ETSI046] implantando un servicio de registro basado en la autenticación, al
menos telemática, del Firmante y custodio de los Datos de Creación de Firma, no
requiriéndose la personación física de éste último en la Oficina de Registro.
44. Los detalles del servicio de registro para esta Política de Certificación figuran más adelante
en el apartado correspondiente.
9.1.3. Comunidad y ámbito de aplicación
45. La presente Política de Certificación es de aplicación en la expedición de Certificados
electrónicos que tienen las siguientes características:
a) Son expedidos por la FNMT-RCM como Prestador de Servicios de Certificación
cumpliendo con los criterios establecidos en la Ley española 59/2003, de 19 de diciembre, de Firma Electrónica y en la Directiva Europea de Firma Electrónica [D99/93EC]
b) Son expedidos como Certificados Ligeros con base en los criterios establecidos para
tal en la normativa técnica EESSI, concretamente en la Política de Certificación para
la emisión de Certificados Ligeros identificados en la norma [ETSI042] – LCP
(Lightweight Certificate Policy)
c) Los Certificados emitidos bajo esta Política de Certificación son expedidos para las
Organizaciones que forman parte de la Comunidad Electrónica UE, tal y como se
define en el apartado Definiciones de este documento. En el marco de esta Política de
Certificación, los Usuarios y custodios de los Datos de Creación de Firma se
corresponden con el personal de las Organizaciones en el ejercicio de sus
competencias y funciones públicas propias del cargo, de la relación funcionarial, de las funciones del empleado público, o de la condición de autorizado por la
Organización, en relación con la entidad a la que pertenezcan o con la que se
relacionen estos Usuarios.
9.1.4. Responsabilidad y obligaciones de las partes
46. Serán partes a los efectos de este apartado los siguientes sujetos:
Las Organizaciones y Entidades Competentes representadas a través de los diferentes
órganos competentes y que son los Suscriptores responsables de los Certificados.
Oficinas de Registro, que, a través del personal designado por la Organización, serán
responsables de comprobar los requisitos y condiciones ostentados por los Usuarios
del Certificado.
Los Usuarios del Certificado y sus Claves, que será el personal al servicio de las
Organizaciones.
FNMT-RCM, en cuanto Prestador de Servicios de Certificación.
El resto de la Comunidad Electrónica UE.
47. El régimen de derechos y obligaciones de la Organización y la FNMT-RCM se regirá
mediante los correspondientes acuerdos reguladores de los servicios de certificación.
48. De forma adicional a las obligaciones y responsabilidades de las partes enumeradas en este
documento y en la [DGPC], la Organización como Autoridad Local de Registro, el
Referente de la LRA y los Registradores tienen la obligación de:
No realizar registros o tramitar solicitudes de personal que preste sus servicios en una
Organización diferente a la que representa como Oficina de Registro, sin perjuicio de
la creación, en la propia Comisión Europea, de Oficinas de Registro centralizadas que
se hayan establecido.
Comprobar fehacientemente los datos del personal al servicio de la Organización
referidos a su identidad y su pertenencia a dicha Organización a la que presta sus
servicios y, en su caso, cualquier otro dato que refleje o caracterice esta pertenencia.
Solicitar la revocación o suspensión del Certificado Ligero para el personal al servicio
de la Organización a la que representa la Oficina de Registro, cuando alguno de los
datos consignados en el Certificado sea inexacto, incorrecto, haya variado o sea de
necesaria revocación por razones de seguridad. También deberá solicitar la revocación o suspensión cuando se den las circunstancias previstas en la legislación aplicable.
Solicitar a la FNMT-RCM la revocación del Certificado cuando las circunstancias que
afecten a la condición del cargo, puesto de trabajo, empleo o cualquier otro dato que
refleje o caracterice la relación del Usuario del Certificado con la Organización
donde presta sus servicios, sean inexactas, incorrectas, hayan variado o sean de necesaria revocación por razones de seguridad.
Solicitar a la FNMT-RCM, a través de la Oficina de Registro, la revocación o
suspensión del Certificado cuando, directamente o a través de comunicación del
personal al servicio de Organización, exista pérdida, extravío del soporte del
Certificado o de su confidencialidad, o presunción de ello.
Custodiar la documentación aportada por cualquiera de los intervinientes en los
procesos de gestión de los Certificados (solicitudes de emisión, suspensión,
cancelación de la suspensión, revocación y cualesquiera otros de la misma índole) así como los documentos generados en dichos procesos (justificantes, contratos de emisión, revocación, etc.)
49. Las relaciones de la FNMT-RCM con la Organización y los Usuarios de los Certificados
quedarán determinadas, a los efectos del régimen de uso de los Certificados, por los
siguientes documentos: condiciones de utilización o contrato de emisión del Certificado, y,
subsidiariamente, las presentes Políticas y Prácticas de Certificación Particulares y por la
[DGPC], atendiendo a los acuerdos o documentos de relación entre la FNMT-RCM y las
Organizaciones.
50. Las relaciones de la Organización o Entidad CompetenteSuscriptora del Certificado y de
su personal con la FNMT-RCM se realizarán siempre a través de la Oficina de Registro y su
Referente. La FNMT-RCM no realizará ninguna acción solicitada por el personal al servicio
de la Organización o Usuario del Certificado que no esté autorizada por Referente de la
LRA o por la Organización o Entidad CompetenteSuscriptora del Certificado.
51. De forma adicional a las obligaciones y responsabilidades de las partes enumeradas en la
[DGPC], el Usuario del Certificado tiene la obligación de:
No utilizar el Certificado cuando alguno de los datos referidos al cargo, puesto de
trabajo, empleo o cualquier otro que dio lugar a la emisión del Certificado sea
inexacto, incorrecto o no refleje o caracterice su relación con la Organización o
Entidad Competente Suscriptora
Realizar un uso adecuado del Certificado en base a las competencias y facultades
atribuidas por el cargo, puesto de trabajo o empleo como personal al servicio de la
Organización.
Mantener en todo momento el control exclusivo de los Datos de Creación de Firma y
tomar las razonables precauciones para prevenir su pérdida, revelación, modificación o uso no autorizado
Comunicar al Referente de la LRA correspondiente, la pérdida, extravío, o sospecha
de ello, del soporte del Certificado o de su confidencialidad, del que es Usuario con el
52. El resto de la Comunidad Electrónica UE y los terceros regularán sus relaciones con la
FNMT-RCM a través de la [DGPC] y estas Políticas y Prácticas de Certificación
Particulares; todo ello sin perjuicio de lo dispuesto en la normativa sobre firma electrónica y demás normativa que resulte de aplicación.
9.1.5. Límites de uso de los Certificados Ligeros
53. Constituyen límites de uso de este tipo de Certificados los sistemas de mensajería
electrónica (correo electrónico) de las Organizaciones o Entidades Competentes
Suscriptoras y las operaciones de autenticación y cifrado de datos que dentro de éstos se pudieran realizar. Fuera de la funcionalidad prevista anteriormente no se podrán emplear
estos Certificados.
54. La FNMT-RCM y las Organizaciones podrán fijar en los acuerdos correspondientes otros
límites adicionales.
55. FNMT-RCM no tendrá control sobre las actuaciones y usos de los Certificados que se
realicen por parte del Suscriptor, Usuario o las Oficinas de Registro, por lo que la
FNMT-RCM quedará exonerada de responsabilidad a efectos de tales usos y de la extralimitación en el uso establecido anteriormente, así como de las consecuencias y efectos que pudieran producirse por reclamaciones o posibles responsabilidades patrimoniales llevadas a cabo por
cualquier miembro de la Comunidad Electrónica UE o por terceros.
56. Para que el Usuario utilice de forma diligente los Certificados Ligeros y Claves asociadas,
la Organización a la que representa el usuario deberá previamente formar parte de la
Comunidad Electrónica UE y haberse constituido como Suscriptor del Certificado.
57. En cualquier caso, si un tercero desea confiar en la Firma electrónica realizada con uno de
estos Certificados Ligeros sin acceder a los Servicios de información y consulta sobre el
estado de validez de los certificados emitidos bajo esta Política de Certificación, no se
obtendrá cobertura de las presentes Políticas y Prácticas de Certificación Particulares y se
carecerá de legitimidad alguna para reclamar o emprender acciones legales contra la
FNMT-RCM por daños, perjuicios o conflictos provenientes del uso o confianza en un Certificado.
58. Además, incluso dentro del ámbito de la Comunidad Electrónica UE, no se podrán emplear
este tipo de Certificados por persona o entidad distinta a la FNMT-RCM, para:
Firmar otro Certificado, salvo supuestos expresamente autorizados previamente.
Usos particulares o privados
Firmar software o componentes
Generar sellos de tiempo para procedimientos de Sellado de Tiempo
Prestar servicios a título gratuito u oneroso, salvo supuestos expresamente autorizados
previamente, como por ejemplo serían a título enunciativo:
o Prestar servicios de OCSP
o Generar Listas de Revocación
o Prestar servicios de notificación
Utilizar el Certificado para usos distintos a los inicialmente previstos respecto de los
Certificados Ligeros
9.2. PRÁCTICAS DE CERTIFICACIÓN PARTICULARES PARA LOS CERTIFICADOS LIGEROS
59. La FNMT-RCM en su labor como Prestador de Servicios de Certificación y para demostrar
la necesaria fiabilidad para la prestación de dichos servicios, ha desarrollado una
Declaración de Prácticas de Certificación cuyo objeto es la información pública sobre las
condiciones generales de prestación de los servicios de certificación por parte de la
FNMT-RCM en su condición de Prestador de Servicios de Certificación.
60. En especial deberá tenerse presente, a efectos interpretativos del presente anexo el apartado
61. El presente documento trae causa y forma parte integrante de la Declaración de Prácticas
de Certificación de la FNMT-RCM y define el conjunto de prácticas particulares adoptadas por la FNMT-RCM como Prestador de Servicios de Certificación para la gestión del ciclo de vida de los Certificados Ligeros expedidos bajo la Política de Certificación identificada con el OID 1.3.6.1.4.1.5734.3.4.3.
9.2.1. Servicios de Gestión de las Claves
62. La FNMT-RCM, bajo ningún concepto, genera ni almacena las Claves Privadas de los
Firmantes, que son generadas bajo su exclusivo control y, en su caso, con la intervención
de la Oficina de Registro correspondiente y cuya custodia está bajo responsabilidad del
Usuario del Certificado.
9.2.2. Gestión del ciclo de vida de los Certificados
63. Se definen aquí aquellos aspectos que, si bien algunos ya han sido apuntados en la [DGPC],
revisten determinadas especialidades que necesitan un mayor nivel de detalle.
9.2.2.1. Procedimiento de solicitud y emisión del Certificado Ligero
64. A continuación se describe el procedimiento de solicitud por el que el Registrador toma los
datos del personal al servicio de la Organización, confirma su identidad y se formaliza,
entre el citado personal y la FNMT-RCM, el documento de condiciones de utilización o el
contrato de emisión, según lo previsto en el acuerdo de la FNMT-RCM con la Organización
para la posterior emisión de un Certificado Ligero.
65. Se hace constar que FNMT-RCM, en función de la relación de Suscriptores y personal
Usuario dependiente remitida por la Oficina de Registro, considerará, bajo responsabilidad
de las correspondientes Organizaciones o Entidades Competentes, que actuarán a través de
las Oficinas de Registro como Autoridad Local de Registro, que este personal se encuentra
con su cargo vigente, que sus datos personales son auténticos y están en vigor y, por tanto,
habilitado para obtener y usar el Certificado.
66. La Comisión Europea podrá establecer, en el ámbito de actuación de sus competencias,
Oficinas de Registro centrales o comunes con efectos uniformes para cualesquiera de las
diferentes entidades de los Estados Miembro
67. FNMT-RCM, no tendrá, en este tipo de Certificado, la responsabilidad de comprobar el
cargo o empleo del Usuario, así como que estos requisitos se mantienen durante toda la vida
del Certificado. La FNMT-RCM no mantiene relación jurídica funcionarial, administrativa
o laboral con el Usuario, más allá del documento de condiciones de utilización o, en su
caso, contrato de emisión.
68. Las actividades de comprobación anteriores serán realizadas por el personal de la Oficina de
Registro implantada por la Organización, que es la entidad donde el Usuario presta sus
servicios. Por tanto y a estos efectos las Oficinas de Registro no serán autoridades delegadas
o dependientes de la FNMT-RCM.
69. Este Certificado será solicitado por la Organización o Entidad Competente Suscriptora
quien actuará como solicitante sin perjuicio de que las operaciones necesarias para la
petición y obtención del Certificado se realicen por el Referente o el Registrador o, de
manera instrumental, por los propios Usuarios.
70. Los tres pasos a realizar para la obtención del Certificado son:
9.2.2.1.1. Presolicitud (Paso 1)
71. Con carácter previo, el Usuario y el Suscriptor deberán consultar la [DGPC] y las presentes
Políticas y Prácticas de Certificación Particulares en la dirección
http://www.cert.fnmt.es/dpcs/ con las condiciones de uso y obligaciones propias como
Usuario y Suscriptor, respectivamente, del Certificado, que se plasmaran en el documento de condiciones de utilización o, si procede, el contrato de emisión.
72. El Usuario deberá acceder a la dirección electrónica https://ec.fnmt.es donde se mostrarán
las instrucciones para realizar una generación de Claves. En esta dirección deberá introducir su nombre, primer apellido y dirección de correo electrónico en el punto de recogida de datos dispuesto para ello.
73. En el caso de que se desee un Certificado Ligero para una unidad organizativa dependiente
del Suscriptor del Certificado, el Usuario podrá introducir en estos campos los datos
referidos al nombre de dicha unidad. Asimismo, la dirección de correo facilitada podrá corresponderse con un buzón genérico –no personal- de dicha unidad.
74. A continuación se generarán las Claves Pública y Privada que serán vinculadas al
Certificado, convirtiéndose en su momento en Datos de Verificación y Creación de Firma
respectivamente.
75. Al realizar esta presolicitud se envía a la FNMT-RCM la Clave Pública generada, junto con
las correspondientes pruebas de posesión de la Clave Privada, para la posterior emisión del
Certificado.
76. La FNMT-RCM, tras recibir esta información, comprobará mediante la Clave Pública del
Usuario la validez de la información de la presolicitud firmada, comprobando, únicamente,
la posesión y correspondencia de la pareja de Claves criptográficas por parte de éste.
77. Si todo es correcto, la FNMT-RCM asignará un código de solicitud a la petición realizada
por el Usuario y se lo indicará en una página web de respuesta.
78. Esta información no dará lugar a la generación de un Certificado por parte de la
FNMT-RCM, en tanto que ésta no reciba firmada, por la Oficina de Registro, la solicitud del
Certificado.
9.2.2.1.2. Acreditación de la identidad y solicitud (Paso 2)
79. Una vez que el Usuario ha obtenido el código de solicitud en el subproceso de
“Presolicitud” deberá realizar la correspondiente solicitud de emisión de Certificado a través
de la Oficina de Registro que le corresponda (aquella que representa a la Organización ante
la FNMT-RCM en las operaciones de gestión de Certificados y en la que el Usuario presta
sus servicios).
80. Esta solicitud podrá realizarse bien por personación física o de forma telemática. En
cualquier caso, el Registrador autenticará al Usuario mediante el requerimiento de
aportación de
datos personales (como mínimo el nombre, primer apellido, correo electrónico y
número distintivo del documento oficial a aportar) y datos vinculados a la solicitud en cuestión (código de solicitud) y
la documentación correspondiente y consistente en el documento oficial que acredite
la identidad del Usuario.
Nota: En el caso de haberse introducido en los campos nombre, apellido y correo
electrónico datos genéricos referidos a una unidad organizativa dependiente del Suscriptor,
el Usuario también deberá aportar documentación acreditativa de las facultades de
representación bastante para realizar dicha solicitud en nombre de la unidad organizativa en cuestión.
81. Adicionalmente, el Registrador requerirá al Usuario la aportación (presencialmente, por
correo electrónico o fax) de una fotocopia del documento oficial que acredite la identidad de
éste y en el que figuren los datos referidos a la identidad del Usuario. Estos documentos
serán custodiados por la Oficina de Registro como parte de la solicitud.
82. El Registrador comprobará la condición del Usuario como empleado de la Organización o
Entidad CompetenteSuscriptora del Certificado y con cargo vigente, así como la veracidad
del correo electrónico, todo ello por los medios que tenga a su disposición y habida cuenta
de que la Oficina de Registro actúa en representación de la Organización en cuestión y por
tanto conoce de forma fehaciente esta información.
83. FNMT-RCM, no tendrá la responsabilidad de comprobar los datos personales, la condición
condiciones se mantienen durante toda la vida del Certificado, al no ostentar relación
jurídica funcionarial, administrativa o laboral con el Usuario, más allá del documento de
condiciones de utilización o, en su caso, contrato de emisión, cuyo efecto es estrictamente instrumental para el desempeño de las funciones propias del cargo.
84. La aportación de estos datos y documentos avalarán la identidad del Usuario y será
condición necesaria y suficiente para el establecimiento del vínculo entre identidad y Datos de Creación de Firma que se crea en el momento de la emisión del Certificado.
85. No es necesaria la personación física del interesado en la Oficina de Registro puesto que
esta Política de Certificación conlleva unas condiciones de emisión menos gravosas que las
recogidas en [ETSI456] y además la Oficina de Registro tiene constancia previa de los datos
identificativos del Usuario por pertenecer a la misma Organización. Adicionalmente este
forma de acreditación está en plena sintonía con los requisitos establecidos para las Políticas
de Certificación para la emisión de “Lightweight Certificates” (Certificados Ligeros) o LCP definidas en [ETSI042].
86. Una vez que el Registrador confirme la identidad del Usuario, la vigencia de su cargo o
empleo en la Organización y habiendo aceptado el documento de condiciones de utilización
o, en su caso, el contrato de solicitud por el Usuario y la Oficina de Registro, ésta procederá
a validar los datos y a enviarlos a la FNMT-RCM junto con el código de solicitud recogido en la fase de presolicitud.
87. La Oficina de Registro recibirá un justificante con los datos de la solicitud realizada y que
deberá custodiar como parte de ésta.
88. Los datos personales y su tratamiento quedarán sometidos a la legislación específica.
89. Esta transmisión de información a la FNMT-RCM se realizará mediante comunicaciones
seguras establecidas para tal fin entre la Oficina de Registro y la FNMT-RCM.
9.2.2.1.3. Emisión del Certificado (Paso 3)
90. Una vez recibidos en la FNMT-RCM los datos personales del Usuario, la información que
describe su relación con la Organización o Entidad Competente Suscriptora del Certificado,
así como el código de solicitud obtenido en la fase de presolicitud, se procederá a la emisión
del Certificado.
91. La emisión de Certificados supone la generación de documentos electrónicos que confirman
la identidad del Firmante, su relación con la Organización así como su correspondencia con
la Clave Pública asociada.
92. La emisión de los Certificados sujetos a las presentes Políticas sólo puede realizarse por la
FNMT-RCM en su calidad de Prestador de Servicios de Certificación, no existiendo
ninguna otra entidad u organismo con capacidad de emisión de los mismos.
93. La FNMT-RCM, por medio de su Firma electrónica, autentica el Certificado y confirma la
identidad del Suscriptor, así como su relación con el Usuario, de conformidad con la
información recibida por la Oficina de Registro. Por otro lado y con el fin de evitar la
manipulación de la información contenida en el Certificado, la FNMT-RCM utilizará
mecanismos criptográficos que doten de autenticidad e integridad al Certificado.
94. En cualquier caso, la FNMT-RCM actuará eficazmente para:
Comprobar que el Usuario del Certificado utiliza la Clave Privada correspondiente a
la Clave Publica vinculada a la identidad del Firmante del mismo. Para ello, la
FNMT-RCM comprobará la correspondencia entre la Clave privada y la Clave
pública.
Lograr que la información incluida en el Certificado se base en la información
proporcionada por la Oficina de Registro correspondiente.
No ignorar hechos notorios que puedan afectar a la fiabilidad del Certificado.
Lograr que el DN (nombre distintivo) asignado en el Certificado sea único en toda la
Infraestructura de Claves Públicas de la FNMT-RCM.
1. Composición del nombre distintivo (DN) del Certificado Ligero
Con los datos personales del Usuario recogidos durante el proceso de solicitud del
Certificado, se procede a componer el nombre distintivo (DN) conforme al estándar X.500, asegurando que dicho nombre tenga sentido y no de lugar a ambigüedades. No se contempla el uso de seudónimos como forma de identificación.
El DN para este tipo de Certificados está compuesto de los siguientes elementos: DN≡CN, O, C
El conjunto de atributos O, C representa la rama del directorio en la que se encuentra
ubicada la entrada correspondiente a los Certificados Ligeros emitidos al Usuario al
servicio de la Organización en cuestión.
El atributo CN contiene los datos de identificación del Usuario o, en su caso, los datos de identificación de la unidad organizativa dependiente del Suscriptor del Certificado.
El atributo O contiene el nombre de la Organización.
El atributo C contiene el código de país al que pertenece la Organización.
Una vez compuesto el nombre distintivo (DN) se crea la correspondiente entrada en el
Directorio, procurando que el nombre distintivo sea único en toda la Infraestructura
de Clave Pública del Prestador de Servicios de Certificación.
2. Composición de la identidad alternativa del Usuario
La identidad alternativa del Usuario, tal como se contempla en la presente tipología de
Certificados, contiene la dirección de correo electrónico de éste aportada durante los
procesos de presolicitud y acreditación de la identidad. Se utiliza la extensión
subjectAltName definida en X.509 versión 3 para ofrecer esta información.
3. Generación del Certificado conforme al perfil del Certificado Ligero.
El formato del Certificado Ligero estará en consonancia con la norma UIT-T X.509
versión 3 y de acuerdo con la normativa legalmente aplicable.
En la Tabla 2 – Perfil del Certificado Ligero anexa a este documento puede
consultarse el perfil de este tipo de Certificados
9.2.2.2. Publicación del Certificado Ligero
96. Una vez generado el Certificado por parte del Prestador de Servicios de Certificación, se
publicará en el Directorio, concretamente en la entrada correspondiente a la Organización.
97. A la dirección de correo electrónico proporcionada por el Usuario se le enviará una
comunicación de la disposición de su Certificado para su descarga.
9.2.2.3. Descarga e instalación del Certificado Ligero
98. Una vez generado el Certificado, se pone a disposición del Usuario un mecanismo de
descarga en la dirección https://ec.fnmt.es accediendo a la opción “Descarga de su
Certificado”.
99. En este proceso guiado se le pedirá al interesado que introduzca su nombre, primer apellido
y correo electrónico con el que se realizó el proceso de presolicitud, así como el código de solicitud devuelto por el sistema al finalizar dicho proceso.
100. Si el Certificado no ha sido aún generado por cualquier motivo, se le indicará este hecho en
el momento que intente su descarga. En caso contrario se pondrá a disposición del
interesado, quien lo introducirá en el soporte en el que se generaron las Claves durante el