declaraciÓn de prÁcticas de certificaciÓn de certisign...

DECLARACIÓN DE PRÁCTICAS DE CERTIFICACIÓN DE CERTISIGN AC PARCERIA

VERSIÓN 1.0

26 DE OCTUBRE DE 2015


1

Índice 1. INTRODUCCIÓN ............................................................................................................................................. 10

1.1 Información general ................................................................................................................................ 10

1.2 Nombre e identificación del documento ................................................................................................ 10

1.2.1 Identificadores de la Política de CABF .............................................................................................. 10

1.3 Participantes de ICP ................................................................................................................................ 10

1.3.1 Autoridades certificadoras ............................................................................................................... 10

1.3.2 Autoridades de registro .................................................................................................................... 10

1.3.3 Suscriptores ...................................................................................................................................... 11

1.3.4 Partes confiadas ............................................................................................................................... 11

1.3.5 Otros participantes ........................................................................................................................... 11

1.4 Uso de certificados .................................................................................................................................. 11

1.4.1 Usos correspondientes de certificados ............................................................................................ 11

1.4.2 Usos prohibidos de certificados ....................................................................................................... 12

1.5 Administración de la política ................................................................................................................... 12

1.5.1 Organización que administra el documento .................................................................................... 12

1.5.2 Persona de contacto ......................................................................................................................... 12

1.5.3 Persona que determina la idoneidad de la CPS de la política .......................................................... 12

1.5.4 Procedimiento de aprobación de la CPS .......................................................................................... 12

1.6 Definiciones y acrónimos ........................................................................................................................ 12

2. Responsabilidades de repositorios y publicaciones ...................................................................................... 12

2.1 Repositorios ............................................................................................................................................ 12

2.2 Publicación de la información de certificados ........................................................................................ 12

2.3 Tiempo o frecuencia de publicación ....................................................................................................... 13

2.4 Controles de acceso a los repositorios .................................................................................................... 13

3. Identificación y autenticación ....................................................................................................................... 13

3.1 Definición de nombre .............................................................................................................................. 13

3.1.1 Tipos de nombres ............................................................................................................................. 13

3.1.2 Importancia de los nombres ............................................................................................................ 15

3.1.3 Anonimidad o seudonimidad de los suscriptores ............................................................................ 16

3.1.4 Reglas para interpretar varias formas de nombres ......................................................................... 16

3.1.5 Unicidad de los nombres .................................................................................................................. 16

3.1.6 Reconocimiento, autenticación y funciones de marcas comerciales ............................................... 16

3.2Validación de identidad inicial ................................................................................................................. 16


2

3.2.1 Método de comprobación de propiedad de claves privadas ........................................................... 16

3.2.2 Autenticación de la identidad de la organización ............................................................................ 16

3.2.3 Autenticación de la identidad individual .......................................................................................... 17

3.2.4 Información de suscriptor no verificada .......................................................................................... 17

3.2.5 Validación de la autoridad ................................................................................................................ 17

3.2.6 Criterios de interoperación .............................................................................................................. 17

3.3 Identificación y autenticación para solicitudes de regeneración de claves ............................................ 17

3.3.1 Identificación y autenticación para regeneración de claves de rutina............................................. 18

3.3.2 Identificación y autenticación para regeneración de claves luego de la revocación ....................... 18

3.4 Identificación y autenticación para solicitud de revocación ................................................................... 18

4. Requisitos operativos del ciclo de vida de certificados ................................................................................. 19

4.1 Solicitud de certificados .......................................................................................................................... 19

4.1.1 ¿Quién puede presentar una solicitud de certificado? .................................................................... 19

4.1.2 Proceso de inscripción y responsabilidades ..................................................................................... 19

4.2 Procesamiento de solicitud de certificados ............................................................................................ 20

4.2.1 Desempeño de las funciones de identificación y autenticación ...................................................... 20

4.2.2 Aprobación o rechazo de las solicitudes de certificados .................................................................. 20

4.2.3 Tiempo de procesamiento de las solicitudes de certificados........................................................... 20

4.2.4 Autorización de la autoridad certificadora (CAA) ............................................................................. 20

4.3 Emisión de certificados ........................................................................................................................... 20

4.3.1 Medidas de la AC durante la emisión de certificados ...................................................................... 20

4.3.2 Notificaciones al suscriptor por parte de la AC sobre la emisión de certificados ............................ 20

4.3.3 Requisitos de CABF para la emisión de certificados por parte de una AC raíz ................................. 20

4.4 Aceptación de certificados ...................................................................................................................... 20

4.4.1 Comportamiento que constituye la aceptación de certificados ...................................................... 21

4.4.2 Publicación de certificados por parte de la AC ................................................................................. 21

4.4.3 Notificación de emisión de certificados por parte de la AC a otras entidades ................................ 21

4.5 Uso de certificados y par de claves ......................................................................................................... 21

4.5.1 Uso de certificados y clave privada del suscriptor ........................................................................... 21

4.5.2 Uso de certificados y clave pública de partes confiadas .................................................................. 21

4.6 Renovación de certificados ..................................................................................................................... 21

4.6.1 Circunstancias para la renovación de certificados ........................................................................... 22

4.6.2 Quiénes pueden solicitar la renovación ........................................................................................... 22

4.6.3 Procesamiento de las solicitudes de renovación de certificados ..................................................... 22


3

4.6.4 Notificación al suscriptor sobre la emisión de un nuevo certificado ............................................... 22

4.6.5 Comportamiento que constituye la aceptación de un certificado de renovación ............................ 22

4.6.6 Publicación de certificados de renovación por parte de la AC .......................................................... 22

4.6.7 Notificación de la emisión de certificados por parte de la AC a otras entidades ............................. 22

4.7 Regeneración de claves de certificados .................................................................................................. 22

4.7.1 Circunstancias de regeneración de claves de certificados ................................................................ 22

4.7.2 Quiénes pueden solicitar la certificación de una nueva clave pública .............................................. 22

4.7.3 Procesamiento de las solicitudes de regeneración de claves de certificados .................................. 22


4.7.5 Comportamiento que constituye la aceptación de un certificado con clave regenerada ................ 22

4.7.6 Publicación de certificados con clave regenerada por parte de la AC .............................................. 22


4.8 Modificación de certificados.................................................................................................................. 22

4.8.1 Circunstancias de modificación de certificados ................................................................................ 22

4.8.2 Quiénes pueden solicitar la modificación de certificados ................................................................ 23

4.8.3 Procesamiento de las solicitudes de modificación de certificados ................................................... 23


4.8.5 Comportamiento que otorga la aceptación de un certificado modificado ....................................... 23

4.8.6 Publicación de certificados modificados por parte de la AC ............................................................. 23


4.9 Revocación y suspensión de certificados ................................................................................................ 23

4.9.1 Circunstancias de revocación ............................................................................................................ 23

4.9.2 Quiénes pueden solicitar la revocación ............................................................................................ 24

4.9.3 Procedimiento para la solicitud de revocación ................................................................................. 24

4.9.4 Período de gracia de la solicitud de revocación ................................................................................ 25

4.9.5 Tiempo de procesamiento de la solicitud de revocación por parte de la AC .................................... 25

4.9.6 Requisitos de verificación de revocación para partes confiadas ...................................................... 25

4.9.7 Frecuencia de emisión de las LCR ..................................................................................................... 25

4.9.8 Latencia máxima para LCR ................................................................................................................ 25

4.9.9 Disponibilidad de verificación de estado o revocación en línea ....................................................... 26

4.9.9.1 Requisitos de CABF para disponibilidad de OCSP .......................................................................... 26

4.9.10 Requisitos de verificación de revocación en línea .......................................................................... 26

4.9.11 Otras formas de avisos de revocación disponibles ......................................................................... 26

4.9.12 Requisitos especiales respecto del riesgo de claves ....................................................................... 26


4

4.9.13 Circunstancias para la suspensión .................................................................................................. 26

4.9.14 Quiénes pueden solicitar la suspensión ......................................................................................... 26

4.9.15 Procedimiento para la solicitud de suspensión .............................................................................. 26

4.9.16 Límites del período de suspensión ................................................................................................. 26

4.10 Servicios de estado de certificados ....................................................................................................... 26

4.10.1 Características operativas .............................................................................................................. 26

4.10.2 Disponibilidad del servicio .............................................................................................................. 26

4.10.3 Funciones opcionales ..................................................................................................................... 26

4.11 Fin de la suscripción .............................................................................................................................. 27

4.10.2 Disponibilidad del servicio .............................................................................................................. 27

4.10.3 Funciones opcionales ..................................................................................................................... 27

4.11 Fin de la suscripción .............................................................................................................................. 27

4.12 Recuperación y custodia de claves ........................................................................................................ 27

4.12.1 Política y prácticas de recuperación y custodia de claves .............................................................. 27

4.12.2 Política y prácticas de recuperación y encapsulación de claves de sesión .................................... 27

5. Controles operativos, de administración e instalación ................................................................................. 27

5.1 Controles físicos ...................................................................................................................................... 27

5.1.1 Construcción y ubicación del sitio .................................................................................................... 27

5.1.2 Acceso físico ..................................................................................................................................... 27

5.1.3 Energía y aire acondicionado ........................................................................................................... 28

5.1.4 Exposición al agua ............................................................................................................................ 28

5.1.5 Protección y prevención de incendios .............................................................................................. 28

5.1.6 Almacenamiento de medios ............................................................................................................. 28

5.1.7 Eliminación de residuos .................................................................................................................... 28

5.1.8 Copias de seguridad fuera del sitio .................................................................................................. 28

5.2 Controles procedimentales ..................................................................................................................... 29

5.2.1 Puestos de confianza ........................................................................................................................ 29

5.2.2 Cantidad de personas necesarias por tarea ..................................................................................... 29

5.2.3 Identificación y autenticación para cada puesto .............................................................................. 29

5.2.4 Puestos que exigen la división de responsabilidades ....................................................................... 30

5.3 Controles de personal ............................................................................................................................. 30

5.3.1 Requisitos de autorización, experiencia y calificaciones .................................................................. 30

5.3.2 Procedimientos de control de antecedentes ................................................................................... 30

5.3.3 Requisitos de capacitación ............................................................................................................... 30


5

5.3.4 Requisitos y frecuencia de cursos de perfeccionamiento ................................................................. 31

5.3.5 Secuencia y frecuencia de rotación laboral ...................................................................................... 31

5.3.6 Sanciones por acciones no autorizadas ............................................................................................ 31

5.3.7 Requisitos para contratistas independientes .................................................................................... 31

5.3.8 Documentación suministrada al personal ......................................................................................... 31

5.4 Procedimientos de registro de auditorías .............................................................................................. 31

5.4.1 Tipos de eventos registrados ............................................................................................................ 31

5.4.2 Frecuencia de procesamiento de registros ....................................................................................... 32

5.4.3 Período de retención para registros de auditorías ........................................................................... 32

5.4.4 Protección de registros de auditorías ............................................................................................... 32

5.4.5 Procedimientos de copias de seguridad de registros de auditorías ................................................. 32

5.4.6 Sistema de recopilación de auditorías (interno frente a externo) .................................................... 32

5.4.7 Notificación a sujetos que provocan eventos ................................................................................... 32

5.4.8 Evaluación de vulnerabilidades ......................................................................................................... 32

5.5 Archivo de registros ................................................................................................................................ 32

5.5.1 Tipos de registros archivados ............................................................................................................ 32

5.5.2 Período de retención para archivos .................................................................................................. 33

5.5.3 Protección de archivos ...................................................................................................................... 33

5.5.4 Procedimientos de copias de seguridad de archivos ........................................................................ 33

5.5.5 Requisitos para el sellado de tiempo de los registros ....................................................................... 33

5.5.6 Sistema de recopilación de archivos (interno o externo) ................................................................. 33

5.5.7 Procedimientos para obtener y verificar información de archivos ................................................... 33

5.6 Cambio de claves .................................................................................................................................... 33

5.7 Recuperación ante desastres y riesgos ................................................................................................... 33

5.7.1 Procedimientos para control de incidentes y riesgos ....................................................................... 33

5.7.2 Recursos informáticos, software o datos dañados ........................................................................... 33

5.7.3 Procedimientos ante riesgos de las claves privadas de entidades ................................................... 34

5.7.4 Capacidad para continuar con el negocio luego de un desastre ...................................................... 34

No corresponde ............................................................................................................................................ 34

5.8 Terminación de AC o AR ......................................................................................................................... 34

5.9 Seguridad de los datos ............................................................................................................................ 35

5.9.1 Objetivos ........................................................................................................................................... 35

5.9.2 Evaluación de riesgos ........................................................................................................................ 35

5.9.3 Plan de seguridad .............................................................................................................................. 35


6

5.9.4. Seguridad de los datos para la EV ................................................................................................... 35

No corresponde ............................................................................................................................................. 35

6. Controles de seguridad técnicos ................................................................................................................... 36

6.1 Instalación y generación de par de claves ............................................................................................... 36

6.1.1 Generación de par de claves ............................................................................................................ 36

6.1.2 Entrega de clave privada al suscriptor ............................................................................................. 36

6.1.3 Entrega de clave pública al emisor de certificados .......................................................................... 36

6.1.4 Entrega de clave pública de la AC a las partes confiadas ................................................................. 36

6.1.6 Generación y verificación de calidad de los parámetros de las claves públicas .............................. 37

6.1.7 Fines de uso de las claves (según el campo Key Usage de X.509 v3) ............................................... 37

6.2 Controles de ingeniería de módulo criptográfico y protección de clave privada .................................. 37

6.2.1 Controles y estándares del módulo criptográfico ............................................................................ 37

6.2.2 Control multipersonal de clave privada (m de n) ............................................................................. 37

6.2.3 Custodia de clave privada ................................................................................................................. 37

6.2.4 Copia de seguridad de clave privada ................................................................................................ 37

6.2.5 Archivo de clave privada .................................................................................................................. 37

6.2.6 Transferencia de clave privada del módulo criptográfico o hacia él ................................................ 38

6.2.7 Almacenamiento de clave privada en módulo criptográfico ........................................................... 38

6.2.8 Método de activación de clave privada ............................................................................................ 38

6.2.8 Método de activación de clave privada ............................................................................................ 38

6.2.9 Método de desactivación de clave privada ...................................................................................... 38

6.2.10 Método de destrucción de clave privada ....................................................................................... 38

6.2.11 Clasificación del módulo criptográfico ........................................................................................... 38

6.3 Otros aspectos de la administración de par de claves ............................................................................ 38

6.3.1 Archivo de clave pública ................................................................................................................... 38

6.3.2 Períodos operativos de certificados y períodos de uso de par de claves......................................... 38

6.4 Datos de activación ................................................................................................................................. 39

6.4.1 Instalación y generación de datos de activación .............................................................................. 40

6.4.2 Protección de datos de activación.................................................................................................... 40

6.4.3 Otros aspectos de los datos de activación ....................................................................................... 40

6.5 Controles de seguridad informática ........................................................................................................ 40

6.5.1 Requisitos técnicos de seguridad informática específicos ............................................................... 40

6.5.2 Clasificación de seguridad informática ............................................................................................. 41

6.6 Controles técnicos del ciclo de vida ........................................................................................................ 41


7

6.6.1 Controles de desarrollo de sistemas ................................................................................................ 41

6.6.2 Controles de administración de seguridad ....................................................................................... 41

6.6.3 Controles de seguridad del ciclo de vida .......................................................................................... 41

6.7 Controles de seguridad de la red ............................................................................................................ 41

6.8 Sellado de tiempo ................................................................................................................................... 41

7. Perfiles de certificados, LCR y OCSP .............................................................................................................. 41

7.1 Perfil de certificados ................................................................................................................................ 41

7.1.1 Números de versiones ...................................................................................................................... 42

7.1.2 Extensiones de certificados .............................................................................................................. 42

7.1.3 Identificadores de objetos de algoritmos ........................................................................................ 43

7.1.4 Formas de nombres .......................................................................................................................... 44

7.1.5 Restricciones de los nombres ........................................................................................................... 44

7.1.6 Identificador de objetos de la Política de certificados ..................................................................... 44

7.1.7 Uso de la extensión de restricciones de la política .......................................................................... 44

7.1.8 Semántica y sintaxis de los calificadores de la política .................................................................... 44

7.1.9 Procesamiento de la semántica para la extensión Critical Certificate Policies ................................ 44

7.2 Perfil de LCR ............................................................................................................................................ 44


7.2.2 Extensiones de LCR y entradas de LCR ............................................................................................. 45

7.3 Perfil de OCSP .......................................................................................................................................... 45


7.3.2 Extensiones de OCSP ........................................................................................................................ 45

7.3.3 Requisito de CABF para la firma de OCSP para la EV ....................................................................... 45

8. Auditoría de conformidad y otras evaluaciones............................................................................................ 45

8.1 Frecuencia y circunstancias de evaluación ............................................................................................ 46

8.2 Identidad o calificaciones del asesor ..................................................................................................... 46

8.3 Relación del asesor con la entidad evaluada ......................................................................................... 46

8.4 Temas que abarca la evaluación ............................................................................................................ 46

8.4 Temas que abarca la evaluación ............................................................................................................ 46

Auditorías de AR ........................................................................................................................................ 46

Auditoría de CERTISIGN o una filial ........................................................................................................... 46

8.5 Medidas que se tomaron como resultado de insuficiencia .................................................................... 47

8.6 Informe de resultados ............................................................................................................................. 47

9. Otros asuntos legales y comerciales.............................................................................................................. 47


8

9.1 Aranceles ................................................................................................................................................ 47

9.1.1 Aranceles de emisión o renovación de certificados ........................................................................ 47

9.1.2 Aranceles de acceso de certificados ................................................................................................ 47

9.1.3 Aranceles de acceso a la información de estado o revocación ....................................................... 47

9.1.4 Aranceles por otros servicios ........................................................................................................... 47

9.1.5 Política de reembolso ...................................................................................................................... 48

9.2 Responsabilidad financiera ..................................................................................................................... 48

9.2.1 Cobertura de seguros ...................................................................................................................... 48

9.2.2 Otros activos .................................................................................................................................... 48

9.2.3 Cobertura de garantía extendida ..................................................................................................... 48

9.3 Confidencialidad de la información comercial ....................................................................................... 48

9.3.1 Alcance de la información confidencial ........................................................................................... 48

9.3.2 Información fuera del alcance de la información confidencial........................................................ 48

9.3.3 Responsabilidad para proteger la información confidencial ........................................................... 49

9.4 Privacidad de la información personal ................................................................................................... 49

9.4.1 Plan de privacidad ............................................................................................................................ 49

9.4.2 Información de carácter privado ..................................................................................................... 49

9.4.3 Información que no se considera privada ....................................................................................... 49

9.4.4 Responsabilidad para proteger la información privada .................................................................. 49

9.4.5 Notificación y consentimiento para utilizar la información privada ............................................... 49

9.4.6 Divulgación conforme al proceso judicial o administrativo ............................................................. 49

9.4.7 Otras circunstancias de divulgación de la información ................................................................... 49

9.5 Derechos de propiedad intelectual ........................................................................................................ 49

9.5.1 Derechos de propiedad en certificados e información de revocación ............................................ 49

9.5.2 Derechos de propiedad en la CPS .................................................................................................... 50

9.5.3 Derechos de propiedad en nombres ............................................................................................... 50

9.5.4 Derechos de propiedad en claves y material de claves ................................................................... 50

9.6 Representaciones y garantías ................................................................................................................. 50

9.6.1 Representaciones y garantías de AC ................................................................................................ 50

9.6.2 Representaciones y garantías de AR ................................................................................................ 50

9.6.3 Representaciones y garantías de suscriptores ................................................................................ 51

9.6.4 Representaciones y garantías de partes confiadas.......................................................................... 51

9.6.5 Representaciones y garantías de otros participantes ...................................................................... 51

9.7 Exclusión de garantías ............................................................................................................................. 51


9

9.8 Limitaciones de responsabilidad ............................................................................................................. 51

9.8.1 Limitaciones de responsabilidad para la EV ..................................................................................... 52

9.9 Indemnizaciones ..................................................................................................................................... 52

9.9.1 Indemnización por parte de suscriptores ......................................................................................... 52

9.9.2 Indemnización por parte de las partes confiadas ............................................................................ 52

9.9.3 Indemnización de proveedores de software de aplicación .............................................................. 52

9.10 Vigencia y finalización ........................................................................................................................... 52

9.10.1 Vigencia .......................................................................................................................................... 52

9.10.2 Finalización ..................................................................................................................................... 52

9.10.3 Efecto de la finalización y la supervivencia .................................................................................... 52

9.11 Notificaciones y comunicaciones individuales con participantes ......................................................... 53

9.12 Enmiendas ............................................................................................................................................. 53

9.12.1 Procedimiento para enmiendas ..................................................................................................... 53

9.12.2 Período y mecanismo de notificación ............................................................................................ 53

9.12.3 Circunstancias en las que el OID debe cambiarse .......................................................................... 53

9.13 Disposiciones sobre la resolución de disputas ...................................................................................... 54

9.13.1 Disputas entre CERTISIGN, sus filiales y clientes ............................................................................ 54

9.13.2 Disputas con suscriptores usuarios finales o partes confiadas ...................................................... 54

9.14 Ley vigente ............................................................................................................................................ 54

9.15 Cumplimiento de la ley vigente............................................................................................................. 54

9.15.1 Cumplimiento con el CABFORUM .................................................................................................. 54

9.16 Disposiciones varias .............................................................................................................................. 54

9.16.1 Acuerdo completo .......................................................................................................................... 54

9.16.2 Asignación ...................................................................................................................................... 54

9.16.3 Divisibilidad .................................................................................................................................... 54

9.16.4 Exigibilidad (honorarios de abogados y renuncia de derechos) ..................................................... 54

9.16.5 Fuerza mayor .................................................................................................................................. 55

9.17 Otras disposiciones ............................................................................................................................... 55

Apéndice A: Lista de acrónimos y definiciones ................................................................................................. 56


10

1. INTRODUCCIÓN

Este documento es la “Declaración de prácticas de certificación (CPS) de CERTISIGN AC PARCERIA. En ella se

mencionan las prácticas que las autoridades certificadoras (“AC”) de CERTISIGN utilizan para brindar los servicios

de certificación que incluyen, entre otros, emitir, administrar, revocar y renovar certificados de conformidad con

los requisitos específicos de las políticas de certificados (“CP”) de CERTISIGN AC PARCERIA.

Este documento está previsto para los siguientes destinatarios:

Los proveedores de servicios de ICP de CERTISIGN AC PARCERIA que deben operar conforme a su propia

CP, la cual cumple con los requisitos determinados en la CPS.

Los suscriptores de certificados de CERTISIGN AC PARCERIA que deben conocer cómo se autentican y

cuáles son sus obligaciones como suscriptores de CERTISIGN AC PARCERIA, y de qué manera están

protegidos por CERTISIGN AC PARCERIA.

Las partes confiadas que deben conocer cuánto pueden confiar en un certificado de CERTISIGN

AC PARCERIA o en una firma digital usando ese certificado.

Esta CPS cumple con la RFC 3647 de Internet Engineering Task Force (IETF) para la creación de Políticas de

certificados y Declaraciones de prácticas de certificación.

1.1. Información general

CERTISIGN AC PARCERIA es una AC de firma propia, sin ninguna AC subordinada. CERTISIGN AC PARCERIA opera como AC conforme a la CP de CERTISIGN AC PARCERIA y emite certificados de

suscriptores usuarios finales.

Las autoridades de registro (AR) son entidades que autentican las solicitudes de certificados de CERTISIGN AC PARCERIA. CERTISIGN y sus filiales se desempeñan como AR de los certificados que emiten. Según el tipo de certificado, es posible que los suscriptores utilicen los certificados digitales para asegurar sitios

web y firmar digitalmente códigos u otro contenido, además de documentos o correos electrónicos. La persona

que recibe finalmente una comunicación o un documento firmado, o accede a un sitio web seguro se denomina la

parte confiada, es decir, la persona confía en el certificado y debe tomar la decisión de confiar o no en este.

La parte confiada debe confiar en el certificado conforme al Acuerdo de partes confiadas pertinente, publicado en

el sitio web de CERTISIGN AC PARCERIA.

1.2. Nombre e identificación del documento

Este documento es la Declaración de prácticas de certificación (CPS) de CERTISIGN AC PARCERIA. 1.2.1. Identificadores de la Política de CABF

No corresponde. 1.3. Participantes de ICP 1.3.1. Autoridades certificadoras

El término Autoridad certificadora (AC) en esta CPS hace referencia a CERTISIGN AC PARCERIA. 1.3.2. Autoridades de registro

Una autoridad de registro es una entidad que realiza la identificación y autenticación de solicitantes de certificados

para certificados de usuarios finales, que inicia o transmite solicitudes de revocación de certificados de usuarios

finales y que aprueba solicitudes de renovación o regeneración de claves de certificados en nombre de una AC de

CERTISIGN AC PARCERIA. CERTISIGN puede desempeñarse como AR de los certificados que emite.

Cualquier tercero, que celebra una relación contractual con CERTISIGN, puede operar su propia AR y autorizar la

emisión de certificados por parte de una AC de CERTISIGN AC PARCERIA. Las AR de terceros deben respetar todos


11

los requisitos de la CP de CERTISIGN AC PARCERIA, esta CPS de CERTISIGN AC PARCERIA y los términos de su

acuerdo de servicios empresariales con CERTISIGN. No obstante, las AR pueden implementar más prácticas

restrictivas basadas en sus requisitos internos.

1.3.3. Suscriptores

Los suscriptores de CERTISIGN AC PARCERIA incluyen todos los usuarios finales (incluidas las entidades) de

certificados emitidos por una AC de CERTISIGN AC PARCERIA. Un suscriptor es la entidad denominada como el

suscriptor usuario final de un certificado. Los suscriptores usuarios finales pueden ser individuos, organizaciones

o componentes de infraestructura como cortafuegos, enrutadores, servidores de confianza u otros dispositivos

utilizados para asegurar las comunicaciones dentro de una organización.

En algunos casos, los certificados se emiten directamente a los individuos o las entidades para su propio uso. Sin

embargo, comúnmente existen otras situaciones donde la parte que requiere un certificado no es el mismo sujeto

al que corresponde la credencial. Por ejemplo, una organización puede requerir certificados para sus empleados a

fin de permitirles que representen a la organización en negociaciones o transacciones electrónicas. En estas

situaciones, la entidad que suscribe la emisión de los certificados (es decir, que los paga mediante la suscripción a

un servicio específico, o como el emisor en sí) es distinta a la entidad que es el sujeto del certificado (por lo

general, el titular de la credencial). Se utilizan dos términos diferentes en esta CPS para distinguir estas dos

funciones: el “suscriptor” es la entidad que celebra un contrato con CERTISIGN para la emisión de las credenciales

y el “sujeto” es la persona a la que está vinculada la credencial. El suscriptor es el responsable principal del uso de

la credencial, pero el sujeto es el individuo que se autentica cuando se presenta la credencial.

Cuando se utiliza el término “sujeto”, se realiza para marcar una diferenciación del suscriptor. Cuando se emplea

“suscriptor”, puede referirse simplemente al suscriptor como una entidad distinta, pero también puede usarse

para abarcar ambos términos. El contexto de su uso en esta CPS invocará la comprensión correcta.

Las AC también son técnicamente suscriptores de certificados dentro de CERTISIGN AC PARCERIA, ya sea como

una AC que emite un certificado autofirmado para sí misma, o bien como una AC que recibió un certificado de una

AC superior. No obstante, las referencias a “entidades finales” y “suscriptores” en esta CPS se aplican solo a

suscriptores usuarios finales.

1.3.4. Partes confiadas

Una parte confiada es un individuo o una entidad que actúa sobre la base de la confianza de una firma digital o un

certificado emitido por CERTISIGN AC PARCERIA. Una parte confiada puede ser también o no un suscriptor dentro

de CERTISIGN AC PARCERIA.

1.3.5. Otros participantes

No corresponde.

1.4. Uso de certificados

1.4.1. Usos correspondientes de certificados

1.4.1.1. Certificados emitidos a individuos Los certificados para individuos son normalmente utilizados por las personas para firmar y cifrar correos

electrónicos y realizar autenticaciones en aplicaciones (autenticación de cliente).

1.4.1.2. Certificados emitidos a organizaciones Los certificados para organizaciones son emitidos a organizaciones una vez que se autentica que la organización

existe legalmente y que otros atributos de la organización incluidos en el certificado (excepto la información del

suscriptor no verificada) estén autenticados, por ej., la propiedad de un dominio de correo electrónico o Internet.

1.4.1.3. Niveles de seguridad No corresponde.


12

1.4.2 Usos prohibidos de certificados

Los certificados solo deben utilizarse en la medida que el uso esté de acuerdo con la legislación vigente y, en

particular, solo deben utilizarse en la medida que esté permitido conforme a las leyes de importación o

exportación correspondientes.

Los certificados de AC no pueden utilizarse para otras funciones, salvo para las funciones AC. Además, los

certificados de suscriptores usuarios finales no deben utilizarse como certificados de AC.

1.5. Administración de la política

1.5.1. Organización que administra el documento

Certisign Certificadora Digital S.A.

Rua. Bela Cintra, 904 – 16 andar - São Paulo

Brasil

1.5.2. Persona de contacto Normas e Gestão de PKI

Certisign Certificadora Digital S.A.

Rua Rua. Bela Cintra, 904 – 16 andar - São Paulo

Brasil

1.5.3. Persona que determina la idoneidad de la CPS de la política

El Departamento de administración de políticas (PMD) de CERTISIGN AC PARCERIA, denominado “Normas e

Gestão de PKI” determina la idoneidad y aplicabilidad de esta CPS.

1.5.4. Procedimiento de aprobación de la CPS

El PMD estará a cargo de la aprobación de esta CPS y de sus posteriores enmiendas. Las enmiendas deben ser en forma de un documento con un formulario de enmienda de la CP o bien una notificación de actualización. Las actualizaciones o versiones enmendadas deben estar vinculadas a la sección Notificaciones y actualizaciones de prácticas del Repositorio de CERTISIGN ubicado en:

http://iofe.certisign.com.br/repository/cps/Certisign_AC_Peru_CPS.pdf .

Las actualizaciones substituyen toda disposición designada o en conflicto de la versión referida de la CPS.

1.6. Definiciones y acrónimos Consulte el Apéndice A para ver el cuadro de acrónimos y definiciones.

2. Responsabilidades de repositorios y publicaciones

2.1. Repositorios CERTISIGN y sus filiales son responsables del mantenimiento de un repositorio en línea de acceso público, así

como también de la información de revocación relacionada con los certificados que emiten.

2.2. Publicación de la información de certificados CERTISIGN mantiene un repositorio en Internet que permite a las partes confiadas realizar consultas en línea con

respecto a la información de revocación y otra información de estado del certificado. CERTISIGN y sus filiales

brindan a las partes confiadas información sobre cómo encontrar el repositorio adecuado para consultar el estado

del certificado y, si se encuentra disponible el Protocolo de estado de certificado en línea (OCSP), cómo encontrar

el respondedor OCSP correcto.

http://iofe.certisign.com.br/repository/cps/Certisign_AC_Peru_CPS.pdf


13

CERTISIGN publica los certificados que emite en representación de sus propias AC y las AC en su subdominio.

Luego de la revocación del certificado de un suscriptor usuario final, CERTISIGN publica una notificación sobre

dicha revocación en el repositorio. Asimismo, CERTISIGN emite listas de certificados revocados (LCR) y, si están

disponibles, brinda servicios de OCSP para sus propias AC y las AC dentro de sus respectivos subdominios.

CERTISIGN publicará en todo momento una versión actualizada de los siguientes documentos en sus repositorios:

La CP de CERTISIGN AC PARCERIA.

Esta CPS de CERTISIGN AC PARCERIA.

Los Acuerdos de suscripción.

Los Acuerdos de partes confiadas.

2.3. Tiempo o frecuencia de publicación La información de la AC se publica inmediatamente después de que se encuentre disponible para la AC.

CERTISIGN AC PARCERIA ofrece LCR que muestran la revocación de los certificados de CERTISIGN AC PARCERIA

y brinda servicios de consulta de estado a través del repositorio de CERTISIGN y los repositorios de las filiales. Las

LCR para certificados de suscriptores usuarios finales deben emitirse al menos una vez por día.

2.4. Controles de acceso a los repositorios CERTISIGN y sus filiales no utilizarán de forma intencional medios técnicos para limitar el acceso a esta CPS, su CP,

sus certificados, la información de estado de certificados o las LCR. CERTISIGN y sus filiales, no obstante, exigen

que las personas acepten el Acuerdo de partes confiadas o el Acuerdo de uso de LCR como condición para acceder

a los certificados, la información de estado de certificados o las LCR. CERTISIGN y sus filiales deben implementar

controles para evitar que personas no autorizadas agreguen, eliminen o modifiquen entradas del repositorio.

3. Identificación y autenticación

3.1. Definición de nombre Salvo que se indique lo contrario en esta CPS, la CP de CERTISIGN AC PARCERIA o el contenido del certificado

digital, los nombres que figuran en los certificados emitidos por CERTISIGN AC PARCERIA se autentican.

3.1.1. Tipos de nombres

Los certificados de AC de CERTISIGN AC PARCERIA contienen lo siguiente:

- Un nombre distinguido (DN) X.501 en el campo Nombre de sujeto y en el campo Nombre de emisor.

- Puede contener atributos OU múltiples.

- Su DN se forma de la siguiente manera:

Atributo Valor País (C) = BR Organización (O) = Certisign Certificadora Digital S.A.

Nombre común (CN) = AC Certisign Parceria

1- Atributos de nombre distinguido en certificados de AC

Los certificados de suscriptores usuarios finales contienen lo siguiente:

- Un nombre distinguido (DN) X.501 en el campo Nombre de sujeto y en el campo Nombre de emisor.

- Puede contener atributos OU múltiples.

- Su DN se forma de la siguiente manera:

Atributo Valor País (C) = Código de país de dos letras según ISO o no utilizado.

Organización (O) = <nombre de la organización> Unidad organizativa (OU) = <unidad organizativa> Estado o provincia (S) = Indica el estado o la provincia del suscriptor (Estado no

es un campo obligatorio en los certificados emitidos a individuos). Localidad (L) = Indica la localidad del suscriptor (Localidad no es un campo


14

obligatorio en los certificados emitidos a individuos). Nombre común (CN) = . Nombre de respondedor OCSP (para certificados de respondedor

OCSP) . Nombre de dominio (para certificados de servidor web) . Nombre de organización (para certificados con firma de objeto o código) . Nombre de la persona (para certificados individuales o certificados con firma de código emitidos a individuos)

Dirección de correo electrónico (E) = Dirección de correo electrónico

3 - Atributos de nombre distinguido en certificados de suscriptores usuarios finales

3.1.1.1 Requisitos de definición de nombres de CABF

Los certificados SSL validados por organizaciones y validados por dominio cumplen con los requisitos estándares del foro del buscador o AC. Los siguientes atributos de definición de nombres deben utilizarse para rellenar el emisor en los certificados emitidos en virtud de esta CPS: Issuer CountryName (obligatorio) El componente countryName (C=) es obligatorio y contiene el código de país de dos letras según ISO 3166-1 para el país en el que se ubica el domicilio comercial del emisor. Issuer organizationName (obligatorio) El campo organizationName (O=) es obligatorio y contiene el nombre de la organización del emisor (o su abreviatura), marca comercial u otro identificador importante para la AC, que identifique correctamente a la AC. El campo no debe contener una designación genérica como “Raíz” o “AC1”. Issuer commonName (opcional) El campo commonName (CN=) del emisor está presente y debe contener un nombre que identifique correctamente a la AC emisora. Los siguientes atributos de definición de nombres deben utilizarse para rellenar el sujeto en los certificados emitidos en virtud de esta CPS: Extensión subjectAlternativeName (obligatoria) La extensión subjectAlternativeName es obligatoria y contiene al menos una entrada. Cada entrada es un dNSName que contiene un nombre de dominio totalmente calificado o bien una iPAddress que contiene una dirección IP de un servidor. La AC de Certisign confirma que el solicitante controla el nombre de dominio totalmente calificado (FQDN) o la dirección IP, o que el inscrito de nombres de dominio o usuario asignado de la dirección IP le otorgó el derecho de utilizarlos, según corresponda. Se permiten los FQDN de carácter comodín. Antes de emitir un certificado con la extensión subjectAlternativeName o con el campo Subject commonName que contenga una dirección IP reservada o un nombre de servidor interno, la AC de Certisign notifica al solicitante que el uso de dichos certificados quedó obsoleto conforme al foro del buscador o AC y que la práctica se eliminará en octubre de 2016. Asimismo, a partir del 1.° de julio de 2012, la AC de Certisign no debe emitir certificados con fecha de caducidad posterior al 1.° de noviembre de 2015 con extensión subjectAlternativeName o campo Subject commonName que contengan una dirección IP reservada o un nombre de servidor interno. A partir del 1.° de octubre de 2016, las AC de Certisign deben revocar todos los certificados no caducados cuya extensión subjectAlternativeName o campo Subject commonName contengan una dirección IP reservada o un nombre de servidor interno. CountryName (opcional) Si se encuentra presente, el componente countryName (C=) debe ser un código de país de dos letras según ISO 3166-1. Si se encuentra presente, las AC de Certisign deben verificar el país asociado con el sujeto de conformidad con la Sección 3.2.2. OrganizationName (opcional) Si el campo organizationName (O=) se encuentra presente, el campo contiene el nombre o la razón social del sujeto y los campos de dirección obligatorios contienen una ubicación del sujeto según se verifique de conformidad con la Sección 3.2.2. Si el sujeto es una persona física, dado que los atributos de nombres de sujeto para individuos (p. ej., primer


15

nombre y apellido [givenName and surname]) no son ampliamente compatibles con los software de aplicación, la AC puede utilizar el campo organizationName para comunicar el nombre o la razón social del sujeto (ver 3.2.2.1 Verificación de solicitante individual). Si los campos incluyen discrepancias que la AC considera menores, como abreviaturas y variaciones comunes, entonces la AC debe documentar la discrepancia y debe utilizar las abreviaturas aceptadas localmente cuando se abrevie el nombre de la organización (p. ej., si el registro oficial muestra “Company Name Incorporated”, la AC debe incluir “Company Name, Inc.”). El campo organizationName puede incluir una marca comercial o una razón social verificada del sujeto.

Si organizationName se encuentra presente, entonces los campos localityName, stateOrProvinceName (cuando corresponda) y countryName también deben ser obligatorios, y streetAddress y postalCode son opcionales. Si no se encuentra presente el campo organizationName, entonces el certificado no debe contener los atributos streetAddress, localityName, stateOrProvinceName o postalCode. La AC puede incluir el campo countryName del sujeto sin incluir otra información de identidad del sujeto en virtud de los requisitos de countryName ya mencionados. OrganizationalUnitName (opcional) El componente OrganizationalUnitName (OU=), cuando esté presente, puede contener información que la AC no haya verificado. No deben usarse metadatos como los caracteres ‘.’, ‘-‘, y ‘ ‘ (es decir, espacio) ni cualquier otra indicación de que el valor está ausente, incompleto o no se aplica. Certisign implementa un proceso que evita que un atributo OU incluya un nombre, razón social, marca comercial, dirección, ubicación u otro texto que se refiera a una persona física o entidad jurídica específicas, salvo que Certisign haya verificado esta información de conformidad con la Sección 3.2.2 y que el certificado también contenga los atributos subject:organizationName, subject:localityName y subject:countryName, asimismo verificados de conformidad con la Sección 3.2.2. Cuando se envía un valor OU en una solicitud, el valor queda sujeto a búsqueda de varias listas de alto riesgo en virtud de la Sección 3.2.2.1, Solicitudes de alto riesgo. Si se encuentra una coincidencia, la AR revisa el valor para garantizar que sea correcto y no erróneo. Si el valor OU identifica el nombre de una entidad jurídica, el valor se verifica de conformidad con la Sección 3.2.2.1, Verificación de identidad del sujeto compuesta por el nombre de país y demás información de identificación. commonName (opcional) El componente commonName (CN=) es obsoleto (no se recomienda, pero tampoco está prohibido). Si se encuentra presente, commonName contiene una dirección IP única o un nombre de dominio totalmente calificado que también es uno de los valores que contiene la extensión subjectAlternativeName del certificado. domainComponent (opcional) El componente domainComponent (dc=) es opcional. Si se encuentra presente, domainComponent contiene todos los componentes del nombre de dominio registrado del sujeto en secuencia ordenada, con el componente más importante, más próximo de la raíz del espacio de nombres, escrito al final. Otros atributos del sujeto Cuando estén presentes en el campo del sujeto, los atributos opcionales deben contener información que la AC haya verificado. No deben usarse metadatos como los caracteres ‘.’, ‘-‘, y ‘ ‘ (es decir, espacio) ni cualquier otra indicación de que el valor está ausente, incompleto o no se aplica. Certisign no debe incluir los nombres de dominio totalmente calificado en los atributos del sujeto, salvo como se

especificó anteriormente para subjectAlternativeName y CommonName.

3.1.1.1.1 Requisitos de definición de nombres de CABF para la EV No corresponde.

3.1.2. Importancia de los nombres

Los certificados de CERTISIGN AC PARCERIA deben contener nombres con una semántica que sea fácil de

comprender y que permita determinar la identidad de la AC que es el sujeto del certificado.

Los certificados de suscriptores usuarios finales deben contener nombres con una semántica que sea fácil de

comprender y que permita determinar la identidad del individuo o la organización que es el sujeto del

certificado.


16

3.1.3. Anonimidad o seudonimidad de los suscriptores

Cuando se exija por ley o una autoridad estatal o gubernamental exija proteger la identidad de determinados

suscriptores usuarios finales (por ej., menores o información confidencial de un empleado del gobierno), se

puede emitir un certificado que indique que se ha autenticado la identidad, pero está protegida. Cada solicitud de

anonimidad en un certificado será evaluada por el PMD en función de su merecimiento.

3.1.4. Reglas para interpretar varias formas de nombres

No hay estipulaciones.

3.1.5. Unicidad de los nombres Los nombres de suscriptores dentro de la AC deben ser únicos. El suscriptor puede tener dos o más certificados

con el mismo nombre distinguido (DN) de sujeto.

3.1.6. Reconocimiento, autenticación y funciones de marcas comerciales Los solicitantes de certificados no deben usar nombres en sus solicitudes que infrinjan los derechos de propiedad

intelectual de otras personas. CERTISIGN debe determinar si un solicitante de certificado tiene derechos de

propiedad intelectual sobre el nombre que figura en la solicitud de certificado, y debe arbitrar, mediar o resolver

cualquier disputa relacionada con la propiedad de cualquier nombre de dominio, nombre comercial, marca

comercial o marca de servicio. CERTISIGN tiene derecho, sin responsabilidad alguna por ningún solicitante de

certificado, a rechazar o suspender cualquier solicitud de certificado debido a una disputa.

3.2. Validación de identidad inicial

3.2.1. Método de comprobación de propiedad de claves privadas

El solicitante de certificado debe demostrar que posee legítimamente la clave privada correspondiente a la clave

pública que debe indicarse en el certificado.

El método para comprobar la posesión de una clave privada debe ser mediante el PKCS n.° 10, otra demostración

de criptografía equivalente u otro método aprobado por CERTISIGN. Este requisito no corresponde cuando una

AC genera un par de claves en nombre de un suscriptor1.

3.2.2. Autenticación de la identidad de la organización Siempre que un certificado contenga el nombre de una organización, se confirma la identidad de la organización,

además de otra información de inscripción provista por los solicitantes de certificados (excepto la información

del suscriptor no verificada), de acuerdo con los procedimientos establecidos en los procedimientos de validación

documentados de CERTISIGN.

Como mínimo, CERTISIGN debe realizar lo siguiente:

Determinar que la organización existe utilizando al menos una base de datos o un servicio de

verificación de identidad externo, o como alternativa, una documentación de la organización emitida o

archivada en el organismo gubernamental pertinente o una autoridad reconocida que confirme la

existencia de la organización.

Confirmar al solicitante del certificado, por teléfono, correo postal de confirmación u otro

procedimiento semejante, cierta información acerca de la organización, que la organización ha

autorizado al solicitante del certificado y que la persona que presenta la solicitud de certificado en

nombre del solicitante está autorizada para hacerlo.

Cuando un certificado incluye el nombre de un individuo como representante autorizado de la

organización, también debe confirmarse el empleo de ese individuo y su facultad para actuar en nombre

de la organización.

Cuando un nombre de dominio o dirección de correo electrónico se incluya en el certificado, CERTISIGN

autentica el derecho de la organización a utilizar ese nombre de dominio, ya sea como nombre de

dominio totalmente calificado o un dominio de correo electrónico.

1por ejemplo, cuando se colocan claves generadas previamente en tarjetas inteligentes.


17

3.2.2.1. Requisitos de verificación de CABF para solicitantes de organizaciones

No corresponde.

3.2.2.2. Requisitos de verificación de Mozilla para solicitantes de organizaciones

No corresponde.

3.2.3. Autenticación de la identidad del individuo La autenticación de los certificados individuales se basa en la presencia física del solicitante del certificado ante

un agente de la AC o la AR, o ante un escribano público u otro funcionario con una autoridad semejante dentro de

la jurisdicción del solicitante del certificado. El agente, escribano u otro funcionario debe verificar la identidad del

solicitante del certificado mediante una forma reconocida de identificación con fotografía emitida por el gobierno,

como el pasaporte o la licencia de conducir y otra credencial de identificación más.

3.2.4. Información del suscriptor no verificada La información del suscriptor no verificada incluye lo siguiente:

La unidad organizativa (OU) con ciertas excepciones

Toda información adicional designada como no verificada en su certificado.

3.2.5. Validación de la autoridad

Siempre que el nombre de un individuo esté asociado con el nombre de una organización en un certificado, de

manera tal que indique la afiliación del individuo o la autorización para actuar en nombre de la organización, la AR

realiza lo siguiente:

Determina que la organización existe utilizando al menos una base de datos o un servicio de verificación

de identidad externo, o como alternativa, una documentación de la organización emitida o archivada en el

organismo gubernamental pertinente o una autoridad reconocida que confirme la existencia de la

organización.

Usa la información contenida en los registros comerciales o las bases de datos de información comercial

(directorios de empleados o clientes) de una AR que aprueba los certificados a sus propios individuos

afiliados o confirma a la organización, por teléfono, correo postal de confirmación u otro procedimiento

semejante, el empleo dentro dela organización del individuo que presenta la solicitud de certificado y,

cuando corresponda, su capacidad para actuar en nombre de la organización.

3.2.6. Criterios de interoperación

CERTISIGN puede brindar servicios de interoperación que permiten que cualquier AC pueda interoperar con

CERTISIGN AC PARCERIA al certificar de forma unilateral esa AC. Las AC habilitadas para operar de esta forma

cumplirán con la CP de CERTISIGN AC PARCERIA conforme a su complementación con otras políticas cuando sea

requerido.

CERTISIGN solo debe permitir la interoperación de cualquier AC con CERTISIGN AC PARCERIA en circunstancias

donde la AC debe como mínimo:

Celebrar un acuerdo contractual con CERTISIGN

Operar conforme a una CPS que cumpla con los requisitos de CERTISIGN AC PARCERIA para los tipos de

certificados que emitirá.

Aprobar una evaluación de cumplimiento para poder estar habilitado para interoperar.

Aprobar una evaluación de cumplimiento anual para conservar la elegibilidad para interoperar.

3.3. Identificación y autenticación para solicitudes de regeneración de claves Antes de la caducidad del certificado actual de un suscriptor, es necesario que el suscriptor obtenga un nuevo

certificado para mantener la continuidad del uso del certificado. CERTISIGN y las AR, por lo general, exigen que el

suscriptor genere un nuevo par de claves para reemplazar el par de claves vencido (técnicamente definido como

“regeneración de claves”). Sin embargo, en ciertos casos (es decir, para los certificados de servidores web) los

suscriptores pueden solicitar un certificado nuevo para un par de claves existente (técnicamente definido como

“renovación”).


18

En términos generales, tanto la “regeneración de claves” como la “renovación” se describe normalmente como

“renovación de certificado” y se centra en el hecho de que el certificado antiguo se reemplaza por el certificado

nuevo y no se enfatiza si se genera o no un par de claves nuevo. Cuando exista una distinción entre la

“regeneración de claves” y la “renovación”, se señalará.

3.3.1. Identificación y autenticación para regeneración de claves de rutina La entidad que aprueba una solicitud de certificado para el suscriptor de un certificado de suscriptor usuario final

deber ser la responsable de autenticar una solicitud de regeneración de claves o renovación. Los procedimientos

de regeneración de claves aseguran que la persona o la organización que solicita renovar o regenerar las claves de

un certificado de suscriptor usuario final sea efectivamente el suscriptor del certificado.

Un procedimiento aceptable es a través del uso de una frase de comprobación (o su equivalente) o una constancia

de la posesión de la clave privada. Los suscriptores eligen y brindan con su información de inscripción una frase de

comprobación. Al renovar un certificado, si un suscriptor brinda correctamente su frase de comprobación (o su

equivalente) con su información de la nueva inscripción, y la información de inscripción (incluida la información

de contacto2) no ha cambiado, se emite automáticamente la renovación del certificado.

Luego de la renovación o la regeneración de claves de este modo, y al menos en otras instancias de renovación o

regeneración de claves posteriores, CERTISIGN o la AR vuelve a confirmar la identidad del suscriptor de acuerdo

con los requisitos de identificación y autenticación de una solicitud de certificado original.

La regeneración de claves luego de la caducidad del certificado se reautentica como una solicitud de certificado

original y no se emite automáticamente.

3.3.2. Identificación y autenticación para la regeneración de claves después de la revocación

No se permite la regeneración o renovación de claves luego de la revocación.

3.4. Identificación y autenticación para solicitudes de revocación Los procedimientos de revocación aseguran, antes de la revocación de cualquier certificado, que esta

efectivamente la haya solicitado el suscriptor del certificado, la entidad que aprobó la solicitud de certificado.

Los procedimientos aceptables para autenticar las solicitudes de revocación de un suscriptor incluyen los siguientes:

El suscriptor para ciertos tipos de certificado debe brindar la frase de comprobación (o su equivalente) y

se debe revocar el certificado automáticamente si coincide con la frase de comprobación (o su

equivalente) registrada. (Tenga en cuenta que esta opción puede no estar disponible para todos los

clientes).

Recibir un mensaje del suscriptor que solicita la revocación, el cual contiene una firma digital verificable

con referencia al certificado que se revoca.

Comunicarse con el suscriptor para obtener garantías razonables de que la persona o la organización

que solicita la revocación es efectivamente el suscriptor. Dicha comunicación, según las circunstancias,

puede incluir una o más de las siguientes opciones: teléfono, facsímil, correo electrónico, correo postal o

servicio de mensajería.

CERTISIGN y los administradores de AR tienen derecho a solicitar la revocación de certificados de suscriptores

usuarios finales dentro del subdominio de CERTISIGN. CERTISIGN autentica la identidad de los administradores

mediante la autenticación de clientes antes de permitirles realizar funciones de revocación u otro procedimiento

aprobado por CERTISIGN AC PARCERIA.

Las solicitudes para revocar el certificado de una AC debe autenticarlas la entidad superior de la entidad

solicitante a fin de garantizar que la AC efectivamente solicitó la revocación.

2Si la información de contacto se modificó mediante un procedimiento formal aprobado de cambio de contacto, el

certificado aun así debe reunir los requisitos para la renovación automática.


19

4. Requisitos operativos del ciclo de vida de certificados

4.1. Solicitud de certificado

4.1.1. ¿Quién puede presentar una solicitud de certificado?

A continuación, se presenta una lista de las personas que pueden presentar solicitudes de certificados:

Todo individuo que sea el sujeto del certificado.

Todo representante autorizado de una organización o entidad.

Todo representante autorizado de una AC.

Todo representante autorizado de una AR.

4.1.2. Proceso de inscripción y responsabilidades

4.1.2.1. Suscriptores usuarios finales de certificados

Todos los suscriptores usuarios finales de certificados deben manifestar su asentimiento con el Acuerdo de

suscriptores pertinente que contiene las declaraciones y garantías descritas en la Sección 9.6.3 y someterse a un

proceso de inscripción que consta de las siguientes partes:

Completar una solicitud de certificado y proporcionar información verdadera y correcta.

Generar o haber solicitado la generación de un par de claves.

Entregar su clave pública, en forma directa o a través de una AR, a CERTISIGN AC PARCERIA.

Demostrar la posesión o el control exclusivo de la clave privada correspondiente a la clave pública

entregada a CERTISIGN AC PARCERIA.

Solicitud y certificación La solicitud del certificado debe contener una solicitud del solicitante, o debe ser en su nombre, para la emisión de un certificado, y una certificación por parte del solicitante, o en nombre de él, de que toda la información que esta contiene es correcta. Requisitos de información La solicitud del certificado puede incluir toda la información fáctica sobre el solicitante que debe incluirse en el certificado, y aquella información adicional que la AC necesite obtener del solicitante a fin de cumplir con estos requisitos y con la política de certificados o la declaración de prácticas de certificación de la AC. En el caso de que la solicitud de certificado no contenga toda la información necesaria sobre el solicitante, la AC de Certisign debe obtener la información restante del solicitante o, si la obtuvo de otra fuente de datos confiable e independiente, debe confirmarla con el solicitante. La información del solicitante debe incluir, entre otros, un nombre de dominio totalmente calificado o una dirección IP que se incluya en la extensión SubjectAltName del certificado. Clave privada de suscriptores Nadie más que el suscriptor debe archivar la clave privada del suscriptor. Si la AC o cualquiera de sus AR designadas generaron claves privadas en nombre del suscriptor, la AC debe cifrar la clave privada para enviarla al suscriptor. Si la AC o una de sus AR designadas descubren que la clave privada de un suscriptor se ha transmitido a una persona no autorizada o a una organización no afiliada con el suscriptor, la AC debe revocar todos los certificados que incluyan la clave pública correspondiente a la clave privada transmitida. Suscriptor y acuerdo Antes de emitir un certificado, la AC debe obtener, para el beneficio expreso de la AC y los beneficiarios del certificado, el consentimiento del solicitante respecto del Acuerdo de suscriptores con la AC. La AC debe implementar un proceso para garantizar que cada Acuerdo de suscriptores se ejecute legalmente contra el solicitante. De cualquier manera, el Acuerdo debe aplicarse al certificado que se emitirá en virtud de la solicitud de certificado. La AC utiliza un Acuerdo electrónico o "mediante clic"; y dichos acuerdos son legalmente exigibles. Se puede utilizar

un Acuerdo por separado para cada solicitud de certificado, o un único Acuerdo para abarcar varias solicitudes de

certificado futuras y los certificados que se obtengan, siempre que cada certificado que emita la AC al solicitante

quede claramente cubierto en el Acuerdo de suscriptores.

4.1.2.2. Requisitos de CABF para la solicitud de certificados No corresponde.


20

4.1.2.2.1 Requisitos de CABF para la solicitud de certificados para la EV

No corresponde.

4.2. Procesamiento de solicitudes de certificados

4.2.1. Desempeño de las funciones de identificación y autenticación

Una AR debe llevar a cabo la identificación y la autenticación de toda la información requerida del suscriptor

conforme a la Sección 3.2.

4.2.2. Aprobación o rechazo de las solicitudes de certificado

Una AR aprobará una solicitud de certificado si se cumplen los siguientes criterios:

La identificación y autenticación correcta de toda la información requerida del suscriptor conforme a la Sección 3.2.

La recepción del pago (si corresponde). Una AR rechazará una solicitud de certificado en los siguientes casos:

La identificación y autenticación de toda la información requerida del suscriptor conforme a la Sección

3.2 no puede completarse.

El suscriptor no proporciona la documentación de respaldo cuando se solicita.

El suscriptor no responde las notificaciones dentro de un periodo determinado.

No se ha recibido el pago (si corresponde).

La AR considera que emitir un certificado al suscriptor puede traer desprestigio a CERTISIGN AC

PARCERIA.

4.2.3. Tiempo de procesamiento de las solicitudes de certificado CERTISIGN y las AR comienzan a procesar las solicitudes de certificado dentro de un periodo razonable a partir de

su recepción. No existe un tiempo estipulado para completar el procesamiento de una solicitud, salvo que se

indique lo contrario en el Acuerdo de suscriptores pertinente, la CPS u otro acuerdo entre los participantes de

CERTISIGN AC PARCERIA.

Una solicitud de certificado permanece activa hasta que se rechaza.

4.2.4. Autorización de la Autoridad certificadora (CAA)

No corresponde.

4.3. Emisión de certificados

4.3.1. Medidas de la AC durante la emisión de certificados

Un certificado se crea y emite una vez que CERTISIGN aprueba una solicitud de certificado o después de que se

recibe la solicitud de una AR de emitir el certificado. CERTISIGN crea y emite un certificado basándose en la

información de la solicitud de certificado luego de su aprobación.

4.3.2. Notificaciones al suscriptor por parte de la AC sobre la emisión de certificados CERTISIGN debe, ya sea de forma directa o a través de una AR, notificar a los suscriptores que ya crearon dichos

certificados y brindarles acceso a ellos informándoles que ya se encuentran disponibles y el medio a través del cual

pueden obtenerlos. Los certificados deben ponerse a disposición de los suscriptores usuarios finales, ya sea al

permitirles que los descarguen de un sitio web o a través de un mensaje enviado al suscriptor con el certificado

incluido.

4.3.3. Requisitos de CABF para la emisión de certificados por parte de una AC raíz No corresponde.

4.4. Aceptación de certificados


21

4.4.1. Comportamiento que constituye la aceptación de certificados El siguiente comportamiento constituye la aceptación de certificados:

Descargar un certificado o instalar un certificado desde un mensaje al que se encuentra adjunto

constituye la aceptación del certificado por parte del suscriptor.

La falta de objeción por parte del suscriptor con respecto al certificado o su contenido constituye la aceptación del certificado.

4.4.2. Publicación de certificados por parte de la AC CERTISIGN AC PARCERIA publica los certificados que emite en un repositorio de acceso público.

4.4.3. Notificación de la emisión de certificados por parte de la AC a otras entidades

Las AR pueden recibir una notificación de la emisión de los certificados que aprueban.

4.5. Uso de certificados y par de claves

4.5.1. Uso de certificados y clave privada del suscriptor

El uso de la clave privada correspondiente a la clave pública del certificado solo debe permitirse una vez que el

suscriptor haya aceptado el Acuerdo de suscriptores y el certificado. El certificado debe utilizarse de forma legítima

conforme al Acuerdo de suscriptores de CERTISIGN, las disposiciones de esta CPS y la CP de CERTISIGN AC

PARCERIA. El uso del certificado debe ser coherente con las extensiones del campo KeyUsage incluidas en el

certificado.

Los suscriptores deben proteger sus claves privadas de cualquier uso no autorizado y deben suspender el uso de la

clave privada luego de la caducidad o revocación del certificado. Nadie más que el suscriptor debe archivar la clave

privada del suscriptor, a excepción de lo establecido en la Sección 4.12.

4.5.2. Uso de certificados y clave pública de partes confiadas

Toda parte confiada debe manifestar su asentimiento con las disposiciones del Acuerdo de partes confiadas vigente

como condición de la confianza en el certificado.

La confianza en un certificado debe ser razonable según las circunstancias. Si las circunstancias indican una

necesidad de más garantías, la parte confiada debe obtener esas garantías para que dicha confianza se considere

razonable.

Antes de cualquier acto de confianza, las partes confiadas deben evaluar de forma independiente:

La adecuación del uso de un certificado para un fin dado y determinar si el certificado efectivamente se

utilizará para un fin adecuado que no esté prohibido ni restringido por la CPS de CERTISIGN AC

PARCERIA. CERTISIGN no es responsable de evaluar la adecuación del uso de un certificado.

Que el certificado se esté utilizando de acuerdo con las extensiones del campo KeyUsage incluidas en el

certificado.

El estado del certificado y todas las AC que intervinieron en la cadena que emitió el certificado. Si se

revocó alguno de los certificados en la cadena de certificados, la parte confiada es la única responsable de

investigar si es razonable confiar en una firma digital realizada en un certificado de suscriptor usuario

final, antes de la revocación de un certificado en la cadena de certificados. Dicha confianza queda bajo la

exclusiva responsabilidad de la parte confiada.

En el supuesto de que el uso del certificado sea correcto, las partes confiadas deben utilizar el software o hardware

adecuados para realizar la verificación de la firma digital u otras operaciones criptográficas que deseen realizar,

como condición de confianza en los certificados relacionados con cada una de esas operaciones. Dichas

operaciones incluyen identificar una cadena de certificados y verificar las firmas digitales en todos los certificados

de la cadena de certificados.

4.6. Renovación de certificados La renovación de certificados es la emisión de un nuevo certificado para el suscriptor sin cambiar la clave

pública ni ninguna otra información en el certificado.


22

CERTISIGN AC PARCERIA no permite la renovación de certificados.

4.6.1. Circunstancias para la renovación de certificados No corresponde.

4.6.2. Quiénes pueden solicitar la renovación

No corresponde.

4.6.3. Procesamiento de las solicitudes de renovación de certificados No corresponde.

4.6.4. Notificación al suscriptor sobre la emisión de un nuevo certificado

No corresponde.

4.6.5. Comportamiento que constituye la aceptación de un certificado de renovación

No corresponde.

4.6.6. Publicación del certificado de renovación por parte de la AC No corresponde.


No corresponde.

4.7. Regeneración de claves de certificados La regeneración de claves es la solicitud para la emisión de un nuevo certificado que certifica la nueva clave pública.

CERTISIGN AC PARCERIA no permite la regeneración de claves de certificados.

4.7.1. Circunstancias para la regeneración de claves de certificados

No corresponde.

4.7.2. Quiénes pueden solicitar la certificación de una nueva clave pública No corresponde.

4.7.3. Procesamiento de las solicitudes de regeneración de claves de certificados No corresponde.


No corresponde.

4.7.5. Comportamiento que constituye la aceptación de un certificado con clave regenerada

No corresponde.

4.7.6. Publicación del certificado con clave regenerada por parte de la AC

No corresponde.


No corresponde.

4.8. Modificación de certificados

4.8.1. Circunstancias para la modificación de certificados

La modificación de certificados hace referencia a la solicitud de emisión de un nuevo certificado debido a los cambios

realizados en la información de un certificado existente (excepto la clave pública del suscriptor).

La modificación de certificados se considera una solicitud de certificados conforme a la Sección 4.1.


23

4.8.2. Quiénes pueden solicitar la modificación de certificados

Ver Sección 4.1.1

4.8.3. Procesamiento de las solicitudes de modificación de certificados Una AR debe llevar a cabo la identificación y la autenticación de toda la información requerida del suscriptor

conforme a la Sección 3.2.


Ver Sección 4.3.2

4.8.5. Comportamiento que constituye la aceptación de un certificado modificado Ver Sección 4.4.1

4.8.6. Publicación del certificado modificado por parte de la AC

Ver Sección 4.4.2


Ver Sección 4.4.3

4.9. Revocación y suspensión de certificados

4.9.1. Circunstancias de revocación Solo en las circunstancias indicadas a continuación, CERTISIGN AC PARCERIA revocará un certificado de

suscriptor usuario final (en nombre del suscriptor) y se publicará en una LCR.

Un certificado de suscriptor usuario final se puede revocar en los siguientes casos:

CERTISIGN AC PARCERIA, una AR, un cliente o un suscriptor tiene motivos para creer o tiene fuertes

sospechas de que ha existido un riesgo con la clave privada de un suscriptor.

CERTISIGN AC PARCERIA, una AR o un cliente tiene motivos para creer que el suscriptor ha cometido un

incumplimiento grave con una obligación, declaración o garantía importante conforme al Acuerdo de

suscriptores vigente.

El Acuerdo de suscriptores celebrado con el suscriptor se extinguió.

La afiliación entre un cliente empresarial y un suscriptor se extinguió o finalizó de algún otro modo.

CERTISIGN AC PARCERIA, una AR o un cliente tiene motivos para creer que el certificado no se emitió de

acuerdo con los procedimientos requeridos por la CPS vigente, el certificado se emitió a una persona que

no era la que estaba designada como el sujeto del certificado, o el certificado se emitió sin la autorización

de la persona designada como el sujeto de ese certificado.

CERTISIGN AC PARCERIA, una AR o un cliente tiene motivos para creer que un hecho importante en la

solicitud de certificado es falso.

CERTISIGN AC PARCERIA, una AR o un cliente determina que un prerrequisito importante para la

emisión del certificado no se cumplió ni estaba anulado.

La información dentro del certificado, excepto la información del suscriptor no verificada, es incorrecta o

ha cambiado.

La identidad del suscriptor no se ha verificado correctamente de acuerdo con la Sección 6.3.2.

El suscriptor no efectuó el pago en el plazo correspondiente.

La continuación del uso de ese certificado es perjudicial para CERTISIGN AC PARCERIA. Al momento de considerar si el uso de un certificado es perjudicial para CERTISIGN AC PARCERIA, CERTISIGN o

una AR analiza, entre otros aspectos, los siguientes:

La naturaleza y la cantidad de quejas recibidas.

La identidad de quienes presentaron las quejas.

La legislación pertinente vigente.

Las respuestas al supuesto uso perjudicial del suscriptor.


24

Al momento de considerar si el uso de un certificado de firma de código es perjudicial para CERTISIGN AC

PARCERIA, CERTISIGN o una AR también analiza, entre otros aspectos, los siguientes:

El nombre del código que se firma.

El funcionamiento del código.

Los métodos de distribución del código.

Las divulgaciones realizadas a los receptores del código. Cualquier otra argumentación realizada acerca del código.

Los Acuerdos de suscriptores de CERTISIGN exigen que los suscriptores usuarios finales notifiquen de inmediato a

CERTISIGN cualquier sospecha o conocimiento de riesgo de su clave privada.

CERTISIGN AC PARCERIA o una AR también puede revocar un certificado de administrador si la autoridad del

administrador para actuar como tal se ha extinguido o ha finalizado de algún otro modo.

Los Acuerdos de suscriptores exigen que los suscriptores usuarios finales notifiquen de inmediato a CERTISIGN AC

PARCERIA cualquier sospecha o conocimiento de riesgo de su clave privada.

4.9.1.1 Requisitos de CABF para los motivos de revocación

No corresponde.

4.9.1.1.1 Requisitos de CABF para los motivos de revocación para la EV No corresponde.

4.9.2. Quiénes pueden solicitar la revocación

Los suscriptores individuales pueden solicitar la revocación de sus propios certificados para individuos a través de

un representante autorizado de CERTISIGN o una AR. En el caso de los certificados para organizaciones, un

representante debidamente autorizado de la organización tiene derecho a solicitar la revocación de los certificados

emitidos a la organización. Un representante debidamente autorizado de CERTISIGN o una AR tiene derecho a

solicitar la revocación de un certificado del administrador de una AR. La entidad que aprobó una solicitud de

certificado de un suscriptor también tiene derecho a revocar o solicitar la revocación del certificado del suscriptor.

Únicamente CERTISIGN tiene derecho a solicitar o iniciar la revocación de los certificados emitidos a sus propias

AC. Las AR tienen derecho, mediante sus representantes debidamente autorizados, a solicitar la revocación de sus

propios certificados, y sus entidades superiores deben tener derecho a solicitar o iniciar la revocación de los

certificados.

4.9.3. Procedimiento para la solicitud de revocación

4.9.3.1. Procedimiento para solicitar la revocación de un certificado de suscriptor usuario final

Antes de la revocación de un certificado, CERTISIGN verifica que la revocación la haya solicitado el suscriptor del

certificado o la entidad que aprobó la solicitud de certificado. Los procedimientos aceptables para autenticar las

solicitudes de revocación de un suscriptor incluyen los siguientes:

El suscriptor para ciertos tipos de certificado debe brindar la frase de comprobación (o su equivalente) y

se debe revocar el certificado automáticamente si coincide con la frase de comprobación (o su

equivalente) registrada.

Recibir un mensaje que pretende ser del suscriptor, el cual solicita la revocación y contiene una firma

digital verificable con referencia al certificado que debe revocarse.

Comunicarse con el suscriptor para obtener garantías razonables de que la persona o la organización que

solicita la revocación es efectivamente el suscriptor. Según las circunstancias, dicha comunicación puede

incluir una o más de las siguientes opciones: teléfono, facsímil, correo electrónico, correo postal o servicio

de mensajería.

CERTISIGN AC o los administradores de AR tienen derecho a solicitar la revocación de certificados de

suscriptores usuarios finales dentro del subdominio de CERTISIGN. CERTISIGN debe autenticar la identidad de

los administradores a través del control de acceso con SSL y la autenticación de clientes antes de permitirles

realizar funciones de revocación.


25

4.9.3.2. Requisitos de CABF para el proceso de revocación de certificados No corresponde.

4.9.3.2.1 Requisitos de CABF para el proceso de revocación de certificados para la EV

No corresponde.

4.9.3.3 Procedimiento para solicitar la revocación de un certificado de AC

Una AC que solicita la revocación de su certificado debe informar a CERTISIGN sobre la solicitud. Luego CERTISIGN

revocará el certificado. CERTISIGN también puede iniciar la revocación del certificado de la AC.

4.9.4. Periodo de gracia de la solicitud de revocación Las solicitudes de revocación deben presentarse lo antes posible dentro de un plazo comercialmente razonable.

4.9.5. Tiempo de procesamiento de la solicitud de revocación por parte de la AC

Se toman medidas comercialmente razonables para procesar las solicitudes de revocación sin demora.

4.9.6. Requisitos de verificación de revocación para partes confiables

Las partes confiadas deben verificar el estado de los certificados en los que desean confiar. Un método mediante el

cual la parte confiada puede verificar el estado del certificado es consultando la LCR más reciente de la AC que

emitió el certificado en el que desea confiar. Como alternativa, la parte confiada puede cumplir con este requisito

verificando el estado del certificado a través del repositorio en Internet correspondiente o mediante el OCSP (si

está disponible). Las AC deben brindar a las partes confiadas información acerca de cómo encontrar la LCR

adecuada, el repositorio en Internet o el respondedor OCSP (cuando esté disponible) para verificar el estado de

revocación.

En el repositorio de CERTISIGN, se publica un “Cuadro de referencia de LCR” con el fin de permitir a las partes

confiadas determinar la ubicación de la LCR para la AC pertinente.

4.9.7. Frecuencia de emisión de las LCR Las LCR para certificados de suscriptores usuarios finales se emiten al menos una vez por día. Las LCR para

certificados de AC deben emitirse al menos una vez al año, pero también cada vez que se revoque un certificado de

AC.

Si un certificado mencionado en una LCR caduca, este puede eliminarse de las LCR posteriormente emitidas luego de la caducidad del certificado. Cualquier desviación de esta política general debe contar con la aprobación del PMD y publicarse en la CPS correspondiente.

4.9.7.1 Requisitos de CABF para la emisión de LCR

No corresponde. Requisitos de estado del certificado de suscriptor Si la AC publica una LCR, la AC debe actualizar y reemitir las LCR al menos una vez cada siete (7) días, y el valor del campo nextUpdate no debe superar diez (10) días por encima del valor del campo thisUpdate. Requisitos de estado del certificado de AC subordinada La AC debe actualizar y reemitir las LCR al menos (i) una vez cada doce (12) meses y (ii) dentro de las 24 horas después de revocar el certificado de una AC subordinada, y el valor del campo nextUpdate no debe superar los doce (12) meses por encima del valor del campo thisUpdate.

4.9.8. Latencia máxima para LCR

Las LCR se publican en el repositorio de CERTISIGN dentro de un plazo comercialmente razonable después que se

generan. Esto por lo general se realiza de forma automática dentro de segundos tras haberse generado.


26

4.9.9. Disponibilidad de verificación de estado o revocación en línea La información de revocación en línea y otra información de estado de certificado se encuentran disponibles mediante OCSP.

4.9.9.1 Requisitos de CABF para disponibilidad de OCSP

No corresponde. Estado de certificado para certificados de suscriptor La AC debe actualizar la información que se proporciona a través del Protocolo de estado de certificado en línea al menos cada cuatro (4) días. Las respuestas de OCSP de este servicio deben tener un tiempo máximo de caducidad de diez (10) días. Estado de certificado para certificados de AC subordinada No corresponde.

4.9.10. Requisitos de verificación de revocación en línea

La parte confiada debe verificar el estado del certificado en el que desea confiar. Si la parte confiada no verifica el

estado de un certificado en el que desea confiar al consultar la LCR adecuada más reciente, debe verificar el estado

del certificado consultando el repositorio correspondiente o solicitando el estado del certificado a través del

respondedor OCSP (cuando haya servicios de OCSP disponibles).

4.9.11. Otras formas de avisos de revocación disponibles

No corresponde.

4.9.12. Requisitos especiales respecto del riesgo de clave CERTISIGN debe tomar medidas comercialmente razonables para notificar a las posibles partes confiadas si

descubre, o tiene motivos para creer, que ha existido un riesgo relacionado con la clave privada de una de sus

propias AC o una de las AC dentro de su subdominio.

4.9.13. Circunstancias para la suspensión

No corresponde.

4.9.14. Quiénes pueden solicitar la suspensión

No corresponde.

4.9.15. Procedimiento para la solicitud de suspensión

No corresponde.

4.9.16. Límites del periodo de suspensión

No corresponde.

4.10. Servicios de estado del certificado 4.10.1. Características operativas

El estado de los certificados públicos se encuentra disponible a través de las LCR en el sitio web de CERTISIGN AC

PARCERIA (en una URL especificada en la CPS de CERTISIGN AC PARCERIA) y por medio de un respondedor OCSP

(cuando esté disponible).

4.10.2. Disponibilidad del servicio Los servicios de estado de certificados deben estar disponibles durante las 24 horas, los 7 días de la semana sin interrupciones programadas. Para los certificados SSL validados por organizaciones y validados por dominio, la capacidad de OCSP y LCR debe

proporcionar un tiempo de respuesta de diez (10) segundos o menos en condiciones operativas normales.

4.10.3. Funciones opcionales


27

El OCSP es una función opcional de servicio de estado que no se encuentra disponible para todos los productos y

debe estar específicamente activada para otros productos.

4.11. Fin de la suscripción Un suscriptor puede finalizar la suscripción de un certificado de CERTISIGN AC PARCERIA de la siguiente manera:

El estado de los certificados públicos se encuentra disponible a través de las LCR en el sitio web de CERTISIGN y

por medio de un respondedor OCSP (cuando esté disponible).

4.10.2 Disponibilidad del servicio Los servicios de estado de certificados están disponibles durante las 24 horas, los 7 días de la semana sin interrupciones programadas. Los servicios de estado de certificados para certificados SSL de EV, los certificados de firma de código de EV y los

certificados SSL validados por organizaciones y validados por dominio cumplen con los requisitos del foro del

buscador o la AC.

4.10.3Funciones opcionales El OCSP es una función opcional de servicio de estado que no se encuentra disponible para todos los productos y

debe estar específicamente activada para otros productos.

4.11 Fin de la suscripción Un suscriptor puede finalizar la suscripción de un certificado de CERTISIGN de la siguiente manera:

Al dejar que caduque el certificado sin realizar la renovación ni la regeneración de claves de ese certificado.

Al revocar el certificado antes de la fecha de caducidad sin reemplazarlo.

4.12 Recuperación y custodia de claves Ningún participante de CERTISIGN AC PARCERIA puede custodiar las claves privadas de AC, AR o suscriptores usuarios finales.

4.12.1. Política y prácticas de recuperación y custodia de claves

No corresponde.

4.12.2. Política y prácticas de recuperación y encapsulación de claves de sesión No corresponde.

5. Controles operativos, de administración e instalación

5.1. Controles físicos CERTISIGN ha implementado la política de seguridad física de CERTISIGN, la que respalda los requisitos de

seguridad de esta CPS. El cumplimiento de estas políticas se incluye en los requisitos de auditoría independiente

de CERTISIGN descritos en la Sección 8. La política de seguridad física de CERTISIGN contiene información de

seguridad confidencial y solo se encuentra disponible mediante un acuerdo con CERTISIGN. En las subsecciones a

continuación se describe la información general de los requisitos.

5.1.1. Construcción y ubicación del sitio

Las operaciones de la AC de CERTISIGN AC PARCERIA se llevan a cabo dentro de un entorno físicamente protegido

que impide, evita y detecta el uso o la divulgación no autorizados de sistemas e información confidencial, o el

acceso no autorizado a tales, ya sea de manera encubierta o pública.

CERTISIGN también cuenta con instalaciones de recuperación ante desastres para las operaciones de la AC. Las

instalaciones de recuperación ante desastres de CERTISIGN están protegidas con múltiples niveles de seguridad

física, comparados con aquellos de la instalación principal de CERTISIGN.

5.1.2. Acceso físico


28

Los sistemas de la AC de CERTISIGN AC PARCERIA están protegidos con un mínimo de cuatro niveles de seguridad

física, y es obligatorio el acceso al nivel inferior antes de acceder al nivel superior.

El acceso físico progresivamente restrictivo favorece el control de acceso a cada nivel.

5.1.2.1. Actividad operativa confidencial de AC

Las actividades relacionadas con el ciclo de vida del proceso de certificación se dan dentro de niveles físicos muy

restrictivos. Para acceder a cada nivel es necesario utilizar una credencial de empleado con tarjeta de proximidad.

El acceso físico se registra automáticamente y se graba en video. Los niveles adicionales refuerzan el control de

acceso individual a través del uso de autenticación en dos fases, incluida la biometría. El personal sin compañía,

incluidos los visitantes o empleados que no sean de confianza, no puede ingresar en esas áreas protegidas.

El sistema de seguridad física incluye niveles adicionales para la seguridad de la administración de claves, la cual

funciona para proteger el almacenamiento en línea y sin conexión del hardware criptográfico de la AC de

CERTISIGN AC PARCERIA y cualquier material de generación de claves. Las áreas utilizadas para crear y

almacenar material criptográfico imponen control doble, cada una con autenticación en dos fases, incluida la

biometría. Los hardware criptográficos de la AC en línea y sin conexión están protegidos a través de contenedores,

gabinetes y cajas de seguridad cerrados.

Se restringe el acceso a los hardware criptográficos y al material de generación de claves de la AC de conformidad

con los requisitos de división de responsabilidades de CERTISIGN. Para los fines de auditoría, se registra toda

apertura y cierre de gabinetes o contenedores en estos niveles.

5.1.3. Energía y aire acondicionado

Las instalaciones seguras de CERTISIGN están equipadas con los siguientes sistemas principales y de respaldo:

Sistemas de energía para garantizar el acceso continuo ininterrumpido a la alimentación eléctrica.

Sistemas de calefacción, ventilación o aire acondicionado para controlar la temperatura y la humedad relativa.

5.1.4. Exposición al agua La instalación segura de CERTISIGN minimiza el impacto de la exposición al agua de los sistemas de CERTISIGN.

5.1.5. Protección y prevención de incendios

CERTISIGN ha tomado medidas de precaución razonables para prevenir y extinguir incendios u otra exposición

perjudicial a llamas o humo. Las medidas de protección y prevención de incendios de CERTISIGN se han diseñado

de manera que cumplan con las reglamentaciones locales de seguridad ante incendios.

5.1.6. Almacenamiento de medios Todos los medios que contengan software de producción e información de auditorías, archivos, copias de

seguridad o datos se almacenan dentro de las instalaciones de CERTISIGN o en una instalación de almacenamiento

segura fuera del sitio con controles de acceso lógico y físico diseñados para limitar el acceso a personal no

autorizado y proteger dichos medios de daños y perjuicios accidentales (p. ej. agua, incendios, daños

electromagnéticos).

5.1.7. Eliminación de residuos Los materiales y los documentos confidenciales se destruyen antes de su eliminación. Los medios utilizados para

recopilar o transmitir información confidencial quedan ilegibles antes de la eliminación. Los dispositivos

criptográficos se destruyen físicamente o quedan en blanco de conformidad con las pautas de los fabricantes antes

de la eliminación.

Los demás residuos se eliminan de conformidad con los requisitos de eliminación de residuos normales de CERTISIGN.

5.1.8. Copias de seguridad fuera del sitio CERTISIGN realiza copias de seguridad de rutina de los datos de sistema críticos, los datos de registros de

auditorías y demás información confidencial. Los medios para copias de seguridad fuera del sitio se almacenan de


29

una manera físicamente segura en una instalación de almacenamiento de un tercero y en la instalación de

recuperación ante desastres de CERTISIGN.

5.2. Controles procedimentales

5.2.1. Puestos de confianza Entre las personas de confianza se incluyen todos los empleados, contratistas y consultores que tienen acceso a las

operaciones criptográficas y de autenticación, o que las controlan, que pueden afectar sustancialmente lo

siguiente:

La validación de la información en las solicitudes de certificados.

La aceptación, el rechazo u otro procesamiento de solicitudes de certificados, solicitudes de

revocación, solicitudes de renovación o información de inscripción.

La emisión o revocación de certificados, incluido el personal que tenga acceso a las partes

restringidas de su repositorio.

La manipulación de solicitudes o información de suscriptores. Entre las personas de confianza se incluyen, entre otras, las siguientes:

Personal de operaciones criptográficas. Personal de seguridad.

Personal de administración de sistemas.

Personal de ingeniería designado.

Ejecutivos que se designan para administrar la integridad de la infraestructura. CERTISIGN considera que las categorías de personal identificadas en esta sección son personas de confianza que

tienen un puesto de confianza. Las personas que desean ser personas de confianza y obtener un puesto de

confianza deben cumplir de manera satisfactoria los requisitos de selección que se establecen en esta CPS.

5.2.2. Cantidad de personas necesarias por tarea

CERTISIGN ha establecido, mantiene y exige procedimientos de control rigurosos para garantizar la división de

responsabilidades en función de las obligaciones laborares y para asegurarse de que se requieran varias personas

de confianza para realizar las tareas confidenciales.

Los procedimientos de control y la política se encuentran vigentes para garantizar la división de responsabilidades

en función de las obligaciones laborales. Las tareas más confidenciales, como el acceso al hardware criptográfico

de la AC y al material de claves asociado, y su administración, requieren de varias personas de confianza.

Estos procedimientos de control interno se diseñan para garantizar que, como mínimo, se requieran dos personas

de confianza para acceder lógica o físicamente al dispositivo. Se exige de manera estricta el acceso al hardware

criptográfico de la AC por parte de varias personas de confianza a lo largo del ciclo de vida, desde la recepción e

inspección de entrada hasta la destrucción física o lógica final. Una vez que se activa un módulo con claves

operativas, se invoca que los demás controles de acceso conserven el control dividido sobre el acceso lógico y físico

al dispositivo. Las personas con acceso físico a los módulos no poseen “partes de secretos” y viceversa.

Otras operaciones manuales requieren de la participación de al menos dos (2) personas de confianza, o una

combinación de una persona de confianza y un proceso de emisión y validación automatizada como mínimo. Como

opción, las operaciones manuales para la recuperación de claves pueden requerir la validación de dos (2)

administradores autorizados,

5.2.3. Identificación y autenticación para cada puesto Para todo el personal que desea ser una persona de confianza, se realiza la verificación de identidad con la

presencia física de dicho personal ante las personas de confianza que se desempeñan en RR. HH. de CERTISIGN o

en funciones de seguridad y un control de formas de identificación reconocidas. Luego, la identidad se confirma a

través de los procedimientos de verificación de antecedentes en la CPS § 5.3.1.

CERTISIGN garantiza que el personal ha obtenido el estado de confianza y que se ha otorgado la aprobación del

departamento antes de que dicho personal reciba lo siguiente:


30

Dispositivos de acceso y acceso a las instalaciones requeridas.

Credenciales electrónicas para tener acceso y realizar funciones específicas en los sistemas de AR, AC de

CERTISIGN AC PARCERIA u otros sistemas de TI.

5.2.4. Puestos que exigen la división de responsabilidades

Entre los puestos que requieren división de responsabilidades se encuentran, entre otros, los siguientes:

La validación de la información en las solicitudes de certificados.

La aceptación, el rechazo u otro procesamiento de solicitudes de certificados, solicitudes de revocación,

solicitudes de recuperación de claves o solicitudes de renovación, o información de inscripción.

La emisión o revocación de certificados, incluido el personal que tenga acceso a las partes restringidas

del repositorio.

La manipulación de solicitudes o información de suscriptores.

La generación, emisión o destrucción de certificados de una AC.

La carga de una AC a un entorno de producción.

5.3. Controles de personal El personal que desee ser una personal de confianza debe presentar evidencia de los antecedentes, las

calificaciones y la experiencia requeridos que se necesitan para desempeñar sus responsabilidades laborales

posibles de manera competente y satisfactoria. Los controles de antecedentes se repiten cada cinco años para el

personal con puestos de confianza.

5.3.1. Requisitos de autorización, experiencia y calificaciones

CERTISIGN exige que el personal que desee ser una personal de confianza presente evidencia de los antecedentes,

las calificaciones y la experiencia requeridos que se necesitan para desempeñar sus responsabilidades laborales

posibles de manera competente y satisfactoria.

5.3.2. Procedimientos de control de antecedentes

Antes de comenzar a trabajar en un puesto de confianza, CERTISIGN realiza controles de antecedentes, que

incluyen lo siguiente:

Confirmación de empleo anterior.

Verificación de referencias profesionales.

Confirmación del título profesional más alto o más relevante que se obtuvo.

Búsqueda de antecedentes penales.

Verificación de registros financieros o crediticios. El Departamento de Recursos Humanos y el personal de seguridad evalúan los informes que contienen

información sobre los factores revelados en un control de antecedentes y determinan el procedimiento a seguir

adecuado teniendo en cuenta el tipo, la magnitud y la frecuencia del comportamiento descubierto en el control de

antecedentes. Dicho procedimiento puede incluir diversas medidas, hasta la cancelación de las ofertas de empleo

realizadas a los candidatos para puestos de confianza, o bien el despido de las personas de confianza existentes.

5.3.3. Requisitos de capacitación CERTISIGN brinda a su personal capacitación al momento de la contratación y durante el trabajo que es necesaria

para que cumplan con sus responsabilidades laborales de manera competente y satisfactoria.

CERTISIGN conserva registros de dicha capacitación. CERTISIGN revisa y mejora diariamente sus

programas de capacitación, según sea necesario.

Los programas de capacitación de CERTISIGN están personalizados en virtud de las responsabilidades del

individuo e incluyen lo siguiente según corresponda:

Conceptos de ICP básicos.

Responsabilidades laborales.

Políticas y procedimientos operativos y de seguridad de CERTISIGN.

Uso y funcionamiento de hardware y software implementado.

Control e informe de incidentes y riesgos.


31

Procedimientos de recuperación ante desastres y continuidad de negocio.

5.3.3.1 Requisitos de CABF para capacitaciones y nivel de especialización

No corresponde.

5.3.3.1.1 Requisitos de CABF para capacitaciones y nivel de especialización para la EV No corresponde.

5.3.4. Requisitos y frecuencia de cursos de perfeccionamiento CERTISIGN brinda capacitaciones de repaso y actualizaciones a su personal en la medida y frecuencia que se

requiera a fin de garantizar que dicho personal conserva el nivel exigido de aptitud para cumplir con sus

responsabilidades laborales de manera competente y satisfactoria.

5.3.5. Secuencia y frecuencia de rotación laboral

No corresponde.

5.3.6. Sanciones por acciones no autorizadas Se toman las medidas disciplinarias adecuadas en el caso de que ocurran acciones no autorizadas u otras

violaciones de las políticas y los procedimientos de CERTISIGN. Las medidas disciplinarias pueden incluir hasta el

despedido y son proporcionales a la frecuencia y la gravedad de las acciones no autorizadas.

5.3.7. Requisitos para contratistas independientes

En limitadas circunstancias, consultores o contratistas independientes también pueden ocupar puestos de

confianza. Dicho consultor o contratista debe cumplir con los mismos criterios funcionales y de seguridad que se

aplican a los empleados de CERTISIGN en un puesto similar.

Los consultores y contratistas independientes que no hayan completado o aprobado los procedimientos de control

de antecedentes especificados en la CPS § 5.3.2 reciben permiso para acceder a las instalaciones seguras de

CERTISIGN únicamente en la medida que alguna persona de confianza los acompañe y supervise directamente en

todo momento.

5.3.8. Documentación suministrada al personal CERTISIGN brinda a sus empleados la capacitación y demás documentación requerida que sea necesaria para

cumplir con sus responsabilidades laborales de manera competente y satisfactoria.

5.4. Procedimientos de registro de auditorías

5.4.1. Tipos de eventos registrados

CERTISIGN registra de manera manual o automática los siguientes eventos importantes:

Eventos de administración de ciclos de vida de las claves de la AC, entre ellos:

o Generación copias de seguridad, almacenamiento, recuperación, archivo y destrucción de claves.

o Eventos de administración de ciclo de vida de dispositivos criptográficos.

Eventos de administración de ciclos de vida de los certificados de suscriptores y de la AC, entre ellos:

o Regeneración de claves, solicitud, renovación y revocación de certificados.

o Procesamiento correcto o incorrecto de solicitudes.

o Generación y emisión de certificados y LCR.

Eventos relacionados con la seguridad, entre ellos:

o Intentos satisfactorios o insatisfactorios de acceso al sistema de ICP.

o Medidas de sistemas de seguridad e ICP que lleve a cabo el personal de CERTISIGN.

o Archivos o registros de seguridad confidenciales leídos, escritos o eliminados.

o Cambios en el perfil de seguridad.

o Bloqueos del sistema, error de hardware y otras anomalías.

o Actividad de enrutador y cortafuego.

o Entrada o salida de un visitante en la instalación de la AC.


32

Las entradas de registro incluyen los siguientes elementos:

Fecha y hora de la entrada.

Número de secuencia y serie de la entrada, para entradas de diario automáticas.

Identidad de la entidad que realiza la entrada de diario.

Descripción o tipo de entrada. La información de solicitud de certificados de registro de los administradores de empresas, AR y CERTISIGN, incluido lo siguiente:

Tipo de documentos de identificación que presentó el solicitante de certificados.

Registro de datos o números de identificación únicos, o una combinación correspondiente de

documentos de identificación, si está disponible.

Ubicación de almacenamiento de copias de solicitudes y documentos de identificación.

Identidad de la entidad que acepta la solicitud.

Método utilizado para validar los documentos de identificación, si hubieran.

Nombre de la AC receptora o la AR que realiza el envío, si corresponde.

5.4.2. Frecuencia de procesamiento de registros

El sistema de AC se supervisa de manera continua a fin de proporcionar alertas en tiempo real de eventos

operativos y de seguridad importantes para que el personal de seguridad de sistemas designado los revise. Las

revisiones mensuales de los registros de auditoría incluyen verificar que los registros no se hayan alterado e

investigar minuciosamente todas las alertas o irregularidades detectadas en los registros.

También se documentan las medidas tomadas en función de las revisiones de los registros de auditoría.

5.4.3. Período de retención para registros de auditorías Los registros de auditoría se deben conservar en el sitio durante al menos dos (2) meses después del

procesamiento y, a partir de ahí, se deben archivar de conformidad con la Sección 5.5.2.

5.4.4. Protección de registros de auditorías

Los registros de auditoría están protegidos con un sistema de registros de auditoría electrónico que incluye

mecanismos para proteger los archivos de registros contra la visualización, modificación, eliminación u otra

alteración no autorizadas.

5.4.5. Procedimientos de copias de seguridad de registros de auditorías

Las copias de seguridad progresivas de los registros de auditoría se crean diariamente, y las copias de seguridad completas se realizan por mes.

5.4.6. Sistema de recopilación de auditorías (interno frente a externo)

Los datos de auditoría automatizados se generan y registran en el sistema operativo, la red y la solicitud. El

personal de CERTISIGN registra los datos de auditoría generados manualmente.

5.4.7. Notificación a sujetos que provocan eventos

Cuando el sistema de recopilación de auditoría registra un evento, no es obligatorio enviar una notificación

al individuo, organización, dispositivo o solicitud que lo provocó.

5.4.8. Evaluación de vulnerabilidades

En parte, los eventos en el proceso de auditoría se registran para supervisar las vulnerabilidades del sistema. Las

evaluaciones de vulnerabilidades de seguridad lógica (“LSVA”) se llevan a cabo, se comprueban y se revisan luego

de examinar esos eventos supervisados. Las LSVA se basan en datos de registros automatizados en tiempo real y se

realizan de forma diaria, semanal, mensual y anual. Una LSVA anual será una entrada en la auditoría de

conformidad anual de la entidad.

5.5. Archivo de registros

5.5.1. Tipos de registros archivados

CERTISIGN archiva lo siguiente:


33

Todos los datos de auditoría se recopilan conforme a la Sección 5.4.

Información de solicitudes de certificados.

Documentación que respalda las solicitudes de certificados.

Información del ciclo de vida de certificados, p. ej., información de solicitudes de revocación, renovación y regeneración de claves.

5.5.2. Período de retención para archivos

Los registros deben conservarse durante al menos 6 años como se establece a continuación luego de la fecha de

caducidad o revocación del certificado.

5.5.3. Protección de archivos CERTISIGN protege el archivo para que solo las personas de confianza autorizadas puedan tener acceso a él. El

archivo está protegido contra la visualización, modificación, eliminación u otra alteración no autorizadas a través de

su almacenamiento dentro de un sistema confiable. Los medios que conservan los datos del archivo y las solicitudes

requeridas para procesar los datos del archivo deben mantenerse a fin de garantizar que se pueda acceder a los

datos del archivo durante el período de tiempo establecido en esta CPS.

5.5.4. Procedimientos de copias de seguridad de archivos CERTISIGN realiza copias de seguridad, de manera incremental, de los archivos electrónicos de su información de

certificados emitidos diariamente y lleva a cabo copias de seguridad completas todos los meses. Las copias de los

registros en papel deben conservarse en una instalación segura fuera del sitio.

5.5.5. Requisitos para el sellado de tiempo de los registros Los certificados, las LCR y otras entradas de bases de datos de revocación deben contener información sobre el tiempo y la fecha.

Es necesario que dicha información de tiempo no esté basada en criptografía.

5.5.6. Sistema de recopilación de archivos (interno o externo)

Los sistemas de recopilación de archivos de CERTISIGN son internos, salvo para los clientes de AR

empresariales. CERTISIGN ayuda a que sus AR empresariales conserven una traza de auditoría. Por lo tanto,

dicho sistema de recopilación de archivos es externo para esa AR empresarial.

5.5.7. Procedimientos para obtener y verificar información de archivos

Solo el personal de confianza autorizado puede acceder al archivo. La integridad de la información se verifica

cuando se restaura.

5.6. Cambio de claves Los pares de claves de la AC de CERTISIGN AC PARCERIA se dan de baja del servicio al finalizar su vigencia máxima

respectiva, según se define en esta CPS.

5.7. Recuperación ante desastres y riesgos

5.7.1. Procedimientos para control de incidentes y riesgos

Las copias de seguridad de la siguiente información de la AC deben almacenarse fuera del sitio y ponerse a

disposición en caso de desastres o riesgos:

Datos de solicitud de certificados.

Datos de auditoría.

Registros de bases de datos para todos los certificados emitidos.

Las copias de seguridad de las claves privadas de AC deben generarse y conservarse de conformidad con CP § 6.2.4.

CERTISIGN conserva copias de seguridad de la información de AC anterior para sus propias AC, así como también

las AC de clientes empresariales dentro de sus subdominios.

5.7.2. Recursos informáticos, software o datos dañados


34

En el caso de daños en los recursos informáticos, software o datos, dichos daños deben informarse a la seguridad

de CERTISIGN y se deben adoptar los procedimientos de control de incidentes de CERTISIGN. Dichos

procedimientos requieren de la correspondiente remisión a una instancia superior, investigación del incidente y

respuesta ante este. Si fuera necesario, se adoptarán los procedimientos de recuperación ante desastres o riesgos

de claves de CERTISIGN.

5.7.3. Procedimientos ante riesgos de las claves privadas de entidades Ante el riesgo conocido o supuesto de una AC de CERTISIGN AC PARCERIA, una infraestructura de CERTISIGN o

una clave privada de AC de un cliente, el equipo de respuesta ante incidentes de seguridad de CERTISIGN debe

adoptar los procedimientos de respuesta ante riesgos de claves de CERTISIGN. Este equipo, formado por personal

de servicios de producción, operaciones comerciales criptográficas y seguridad, y otros representantes de

administración de CERTISIGN, evalúa la situación, desarrolla un plan de acción y lo implementa con la aprobación

de la dirección general de CERTISIGN.

Si se requiere de la revocación de certificados de AC, se llevan a cabo los siguientes procedimientos:

El estado revocado del certificado se informa a las partes confiadas a través del repositorio de CERTISIGN

de conformidad con CPS § 4.9.7.

Se tomarán medidas comercialmente razonables para proporcionar notificación adicional de la

revocación a todos los participantes afectados de CERTISIGN AC PARCERIA.

La AC generará un nuevo par de claves de conformidad con CPS § 5.6, salvo cuando la AC se

extinga de conformidad con CPS § 5.8.

5.7.4. Capacidad para continuar con el negocio luego de un desastre

CERTISIGN ha creado y mantiene planes de continuidad de negocio para que, en caso de desorganización, se

puedan reanudar las funciones comerciales críticas. CERTISIGN conserva una instalación de recuperación ante

desastres (DRF) ubicada en una instalación geográficamente separada de la instalación de producción principal.

La DRF está equipada de manera que cumple con los estándares de seguridad de CERTISIGN. En el caso de un desastre natural o provocado por el ser humano que requiera el cese permanente de las

operaciones en la instalación principal de CERTISIGN, el equipo de continuidad de negocio de CERTISIGN

corporativo y el equipo de administración de incidentes de operaciones de autenticación de CERTISIGN

coordinarán con los equipos de administración funcional cruzada para tomar la decisión de declarar formalmente

una situación de desastre y manejar el incidente. Cuando se declare la situación de desastre, se iniciará la

restauración de la funcionalidad de los servicios de producción de CERTISIGN en la DRF.

CERTISIGN ha desarrollado un plan de recuperación ante desastres (DRP) para sus servicios de PKI administrada,

incluido el servicio de PKI de CERTISIGN AC PARCERIA. En el DRP se identifican las condiciones para activar el

plan y lo que constituye una interrupción aceptable de los sistemas y un tiempo de recuperación. En el DRP se

definen los procedimientos para que los equipos reconstituyan las operaciones de CERTISIGN AC PARCERIA con

los datos de copias de seguridad y las copias de seguridad de las claves de CERTISIGN AC PARCERIA.

5.7.4.1 Requisitos de CABF para la capacidad para continuar con el negocio luego de un desastre No corresponde.

5.7.4.1.1 Requisitos de CABF para la capacidad para continuar con el negocio luego de un desastre para EV No corresponde.

5.8. Terminación de AC o AR En el caso de que sea necesario que una AC de CERTISIGN AC PARCERIA, o una AC de un cliente empresarial, cese

las operaciones, CERTISIGN toma todas las medidas comercialmente razonables para notificar a los suscriptores,

las partes confiadas y demás entidades afectadas de dicha extinción antes de que la AC se extinga. Cuando se

requiera la extinción de la AC, CERTISIGN y, si es una AC de un cliente, el cliente correspondiente, desarrollará un

plan de terminación para minimizar la desorganización entre clientes, suscriptores y partes confiadas. Dichos


35

planes de terminación pueden abordar lo siguiente, según corresponda:

Disposición de notificación a las partes afectadas por la extinción, como suscriptores, partes

confiadas y clientes, en la que se informe el estado de la AC.

Tratar el costo de dicha notificación.

La revocación del certificado emitido a la AC por parte de CERTISIGN.

La conservación de los archivos y registros de la AC durante el período de tiempo requerido en esta CPS.

La continuación de los servicios de soporte a los clientes y suscriptores.

La continuación de los servicios de revocación, como la emisión de LCR o el mantenimiento de los

servicios de verificación de estado en línea.

La revocación de certificados no revocados no caducados de los suscriptores usuarios finales y las

AC subordinadas, si fuera necesario.

El reembolso (si fuera necesario) a los suscriptores cuyos certificados no revocados no caducados queden

revocados en virtud del plan o de la disposición de terminación, o de manera alternativa, la emisión de

certificados de reemplazo por parte de una AC sucesora.

Disposición de la clave privada de la AC y de token de hardware que contengan dicha clave privada.

Disposiciones necesarias para la transición de los servicios de la AC a una AC sucesora.

5.9. Seguridad de los datos

5.9.1. Objetivos Certisign desarrolla, implementa y conserva un programa de seguridad integral para lo siguiente:

1. Proteger la confidencialidad, integridad y disponibilidad (CIA) de los procesos de administración de certificados y datos de certificados.

2. Proteger la confidencialidad, integridad y disponibilidad (CIA) de los procesos de administración de certificados y datos de certificados contra amenazas o peligros previstos.

3. Proteger los procesos de administración de certificados y datos de certificados contra todo acceso, uso, divulgación, alteración o destrucción ilegales o no autorizados.

4. Proteger los procesos de administración de certificados y datos de certificados contra toda pérdida, destrucción o daño accidental.

5. Cumplir con todos los demás requisitos de seguridad vigentes para la AC por ley.

5.9.2. Evaluación de riesgos

Certisign lleva a cabo una evaluación de riesgos anual que: 1. Identifica las amenazas internas y externas predecibles que pueden provocar la divulgación, el uso incorrecto, la alteración o la destrucción no autorizados de cualquier dato de certificados o proceso de administración de certificados, o el acceso no autorizado a ellos.

2. Evalúa la probabilidad y los daños y perjuicios posibles de estas amenazas, teniendo en cuenta la confidencialidad de los datos de certificados y los procesos de administración de certificados.

3. Evalúa la capacidad de las políticas, los procedimientos, los sistemas de información, la tecnología y demás disposiciones que la AC tiene vigente para contraatacar esas amenazas.

5.9.3. Plan de seguridad

En función de los resultados de la evaluación de riesgos anual, Certisign desarrolla, implementa y conserva un plan de seguridad que consta de productos, medidas y procedimientos de seguridad diseñados para alcanzar los objetivos establecidos anteriormente y para manejar y controlar los riesgos identificados durante la evaluación de riesgos, proporcionales a la confidencialidad de los procesos de administración de certificados y los datos de certificados. El plan de seguridad incluye medidas de seguridad físicas, técnicas, organizativas y administrativas adecuadas a la confidencialidad de los procesos de administración de certificados y los datos de certificados. En el plan de seguridad se tiene en cuenta la tecnología disponible en el momento y el costo de implementación de las medidas específicas, y se implementa un nivel razonable de seguridad adecuada al daño que podría ocurrir debido a la violación de seguridad y la naturaleza de los datos que se deben proteger.

5.9.4. Seguridad de los datos para la EV


36

No corresponde.

6. Controles de seguridad técnicos 6.1. Instalación y generación de par de claves 6.1.1. Generación de par de claves

La generación de pares de claves de la AC la realizan individuos de confianza, capacitados y preseleccionados a

través de sistemas confiables y procesos que mantienen la seguridad y la fortaleza criptográfica requerida para las

claves generadas. Para la AUTORIDAD CERTIFICADORA RAÍZ DE CERTISIGN y las AC raíz emisoras, los módulos

criptográficos utilizados para la generación de claves cumplen con los requisitos de FIPS 140-1, nivel 3 u otro

estándar similar usado en Brasil.

Todos los pares de claves de AC se generan en ceremonias de generación de claves preplanificadas de conformidad

con los requisitos internos de CERTISIGN. Todos los individuos que participan registran con fecha y firma todas las

actividades realizadas en cada ceremonia de generación de claves. Estos registros se conservan para los fines de

seguimiento y auditoría durante el tiempo que la Gerencia de CERTISIGN considere adecuado.

Los clientes empresariales generan el par de claves utilizado por sus servidores de administración automatizada. CERTISIGN recomienda que la generación de pares de claves para servidores de administración automatizada se

realice con un módulo criptográfico certificado con FIPS 140-1, nivel 2 u otro estándar similar usado en Brasil.

Por lo general, el suscriptor genera los pares de claves de suscriptores usuarios finales. Normalmente, el suscriptor

utiliza un módulo criptográfico certificado con FIPS 140-1, nivel 1 que viene con su software de navegadores para

la generación de claves. En el caso de certificados de servidores, usualmente el suscriptor usa la utilidad de

generación de claves que viene con el software de servidores web.

6.1.2. Entrega de clave privada al suscriptor Cuando un suscriptor usuario final genera los pares de claves de suscriptores usuarios finales, no se aplica la

entrega de claves privadas al suscriptor.

6.1.3. Entrega de clave pública al emisor de certificados Los suscriptores usuarios finales envían su clave pública a CERTISIGN para que se certifique de manera electrónica

a través del paquete PKCS n.° 10 de solicitud de firma de certificados (CSR) u otro paquete firmado digitalmente en

una sesión protegida por una capa de sockets seguros (SSL). Cuando CERTISIGN genera los pares de claves de

suscriptores usuarios finales, AC o AR, no se aplica este requisito.

6.1.4. Entrega de clave pública de la AC a las partes confiadas

CERTISIGN proporciona la cadena de certificados completa (incluida la AC emisora y las AC en la cadena) al suscriptor usuario final luego de la emisión del certificado. Los certificados de la AC de CERTISIGN AC PARCERIA

también pueden descargarse de http://iofe.certisign.com.br/repository/chain/AC_Certisign_Parceria.p7c

6.1.5. Tamaños de las claves

Los pares de claves deben tener el largo suficiente para evitar que otros determinen la clave privada del par a

través de un criptoanálisis durante el período de utilización prevista de dichos pares de claves.

El estándar de CERTISIGN AC PARCERIA es el siguiente:

- tamaños de pares para usuarios finales: 2048 bit, RSA

- Algoritmo hash de firma digital: SHA-1

6.1.5.1 Requisitos de CABF para tamaños de claves

No corresponde.

6.1.5.1.1 Requisitos de CABF para tamaños de claves para la EV

No corresponde.

http://iofe.certisign.com.br/repository/chain/AC_Certisign_Parceria.p7c


37

6.1.6. Generación y verificación de calidad de los parámetros de las claves públicas

No corresponde.

6.1.7. Fines de uso de las claves (según el campo Key Usage de X.509 v3) Consultar la Sección 7.1.2.1.

6.2. Controles de ingeniería de módulo criptográfico y protección de clave privada CERTISIGN ha implementado una combinación de controles procedimentales, lógicos y físicos para garantizar la

seguridad de las claves privadas de la AC de clientes empresariales y de CERTISIGN. Los suscriptores deben, por

contrato, tomar todas las medidas de precaución necesarias para evitar toda pérdida, divulgación, modificación o

uso no autorizado de las claves privadas.

6.2.1. Controles y estándares de módulo criptográfico Para la generación de pares de claves de la AUTORIDAD CERTIFICADORA RAÍZ DE CERTISIGN y la AC raíz emisora

y el almacenamiento de claves privadas de AC, CERTISIGN utiliza módulos criptográficos de hardware que están

certificados con FIPS 140-1, nivel 3, o que cumplen con sus requisitos, u otro estándar similar usado en Brasil.

6.2.2. Control multipersonal de clave privada (m de n) CERTISIGN ha implementado mecanismos procedimentales y técnicos que requieren de la participación de varios

individuos de confianza para llevar a cabo las operaciones criptográficas confidenciales de la AC. CERTISIGN

utiliza la “compartición de secretos” para dividir los datos de activación necesarios para utilizar la clave privada

de una AC en varias partes separadas llamadas “partes de secretos”, las cuales las conservan individuos

capacitados y de confianza denominados “titulares de partes de secretos”. Se necesita un número máximo de

partes de secretos (m) de un número total de partes de secretos creados y distribuidos para un módulo

criptográfico de hardware particular (n) para activar la clave privada de una AC almacenada en el módulo.

El número máximo de partes necesarias para firmar un certificado de AC es tres (3). Debe tenerse en cuenta que el

número de partes distribuidas para token de recuperación ante desastres puede ser menor que el número

distribuido para token operativos, mientras que el número máximo de partes requeridas siempre es el mismo. Las

partes de secretos están protegidas de conformidad con esta CPS.

6.2.3. Custodia de clave privada Las claves privadas de la AC no están bajo custodia. La custodia para claves privadas de suscriptores usuarios

finales se explica en más detalle en la Sección 4.12.

6.2.4. Copia de seguridad de clave privada

CERTISIGN crea copias de seguridad de las claves privadas de una AC para los fines de recuperación de rutina y

recuperación ante desastres. Dichas claves se almacenan cifradas dentro de módulos criptográficos de hardware y

dispositivos de almacenamiento de claves asociados. Los módulos criptográficos utilizados para almacenar las

claves privadas de AC cumplen con los requisitos de esta CPS. Las claves privadas de AC se copian en módulos

criptográficos de hardware para copias de seguridad de conformidad con esta CPS.

Los módulos que contienen copias de seguridad en el sitio de las claves privadas de AC están sujetos a los

requisitos de esta CPS. Los módulos que contienen copias de recuperación ante desastres de las claves privadas de

AC están sujetos a los requisitos de esta CPS.

CERTISIGN no almacena copias de otras claves privadas.

6.2.5. Archivo de clave privada

Luego de que el certificado de una AC de CERTISIGN AC PARCERIA caduque, el par de claves asociado con el

certificado se conservará de manera segura durante un período de 5 años como mínimo a través de módulos

criptográficos de hardware que cumplan con los requisitos de esta CPS. Estos pares de claves de la AC no deben

utilizarse para ningún evento de firma luego de la fecha de caducidad del certificado correspondiente de la AC,

salvo que el certificado de la AC se haya renovado en virtud de esta CPS.


38

CERTISIGN no archiva copias de claves privadas de suscriptores.

6.2.6. Transferencia de clave privada del módulo criptográfico o hacia él

CERTISIGN genera los pares de claves de AC en los módulos criptográficos de hardware en los que se utilizarán las

claves. Asimismo, CERTISIGN realiza copias de dichos pares de claves de AC para los fines de recuperación de

rutina y recuperación ante desastres. Cuando los pares de claves de AC se guardan como copia de seguridad en

otro módulo criptográfico de hardware, dichos pares de claves se transportan entre los módulos de forma cifrada.

6.2.7. Almacenamiento de clave privada en módulo criptográfico Las claves privadas de AC que se conserven en módulos criptográficos de hardware deben almacenarse cifradas.

6.2.8. Método de activación de clave privada Todos los participantes de subdominios de CERTISIGN deben proteger los datos de activación de sus claves

privadas para evitar todo robo, pérdida, modificación, o divulgación o uso no autorizados.

6.2.8 Método de activación de clave privada

Todos los participantes de CERTISIGN AC PARCERIA deben proteger los datos de activación de sus claves privadas

para evitar todo robo, pérdida, modificación, o divulgación o uso no autorizados.

La protección de clave privada estándar de CERTISIGN AC PARCERIA sirve para que los suscriptores realicen lo siguiente: . Usar una contraseña de conformidad con la Sección 6.4.1 o una seguridad de fortaleza equivalente para

autenticar al suscriptor antes de activar la clave privada, lo que incluye, por ejemplo, una contraseña para utilizar

la clave privada, o bien una contraseña de protector de pantalla o de inicio de sesión de Windows.

. Tomar las medidas comercialmente razonables para proteger físicamente la estación de trabajo del suscriptor y

así evitar el uso de la estación de trabajo y su clave privada asociada sin la autorización de este.

Una vez desactivadas, las claves privadas deben conservarse cifradas únicamente.

6.2.9. Método de desactivación de clave privada

Las claves privadas de la AC de CERTISIGN AC PARCERIA se desactivan luego de quitarlas del lector de token. Las claves privadas del suscriptor usuario final pueden desactivarse luego de cada operación, después de cerrar

sesión en el sistema, o bien una vez que se quite la tarjeta inteligente del lector de tarjetas, según el mecanismo de

autenticación que utilice el usuario. En todos los casos, los suscriptores usuarios finales tienen la obligación de

proteger correctamente sus claves privadas de conformidad con esta CPS.

6.2.10. Método de destrucción de clave privada

Cuando es necesario, CERTISIGN destruye las claves privadas de la AC de manera que se garantice

razonablemente que no quedan restos de la clave que puedan provocar su reconstrucción.

CERTISIGN utiliza la función de borrado a cero de sus módulos criptográficos de hardware y otros medios

correctos para garantizar la destrucción total de las claves privadas de AC. Cuando se llevan a cabo, las actividades

de destrucción de claves de AC se registran.

6.2.11. Clasificación del módulo criptográfico

Ver Sección 6.2.1

6.3. Otros aspectos de la administración de par de claves

6.3.1. Archivo de clave pública

Los certificados de suscriptores usuarios finales y de AC de CERTISIGN AC PARCERIA se guardan con copias de

seguridad y se archivan como parte de los procedimientos de copias de seguridad de rutina de CERTISIGN.

6.3.2. Períodos operativos de certificados y períodos de uso de par de claves


39

El período operativo para los certificados debe determinarse de conformidad con los límites de tiempo

establecidos en la Tabla 3 a continuación. Los certificados de suscriptores usuarios finales que sean renovaciones

de certificados existentes pueden tener períodos de validez más extensos (hasta 3 meses).

El período de uso de los pares de claves de suscriptores usuarios finales es el mismo que el período operativo para

sus certificados, salvo que las claves privadas continúen en uso luego del período operativo para el cifrado y la

verificación de firma. El período operativo de un certificado finaliza al momento de su caducidad o revocación. Una

AC no debe emitir certificados si los períodos operativos se extendieran más allá del período de uso del par de

claves de la AC. Por consiguiente, el período de uso del par de claves de la AC es necesariamente más corto que el

período operativo del certificado de la AC. Específicamente, el período de uso es el período operativo de un

certificado de la AC menos el período operativo de los certificados que emite la AC. Cuando finaliza el período de

uso de un par de claves de la AC o de un suscriptor, la AC o el suscriptor deben dejar de utilizar el par de claves

desde ese momento, salvo que una AC necesite firmar la información de revocación hasta finalizar el período

operativo del último certificado que emitió.

Certificado emitido por Período de validez AC raíz, autofirmado (2048 bit RSA) Hasta 50 años AC raíz, autofirmado (256 bit ECC) Hasta 30 años AC raíz, autofirmado (384 bit ECC) Hasta 30 años AC raíz a AC intermediaria fuera de línea Generalmente 10 años, pero hasta 15 años después de

renovación AC raíz a AC en línea Generalmente 5 años, pero hasta 10 años después de renovación AC intermediaria fuera de línea a AC en línea Generalmente 5 años, pero hasta 10 años después de renovación AC en línea a suscriptor individual usuario final Normalmente hasta 3 años, pero bajo las condiciones descritas a continuación, hasta 6 años bajo las condiciones descritas a continuación sin opción de renovación o regeneración de clave. Luego de 6 años, se requiere una nueva inscripción. AC en línea a suscriptor empresarial

entidad final Normalmente hasta 6 años, 30 bajo las condiciones descritas a continuación sin opción de renovación o regeneración de clave. Luego de 6 años, se requiere una nueva inscripción. 1 – Períodos operativos de certificados

Salvo que se indique en esta sección, los participantes de CERTISIGN AC PARCERIA deben dejar de utilizar los

pares de claves pasados sus períodos de uso.

Es posible que los certificados emitidos por las AC a los suscriptores usuarios finales tengan períodos operativos

de más de tres años, hasta seis años, si se cumplen los siguientes requisitos:

Protección de los pares de claves de suscriptores en relación con su entorno operativo en el caso de

certificados para organizaciones, operación con la protección mejorada de un centro de datos y en el

caso de certificados para individuos, los pares de claves de suscriptores permanecen en un token de

hardware, como una tarjeta inteligente.

Los suscriptores deben someterse a procedimientos de reautenticación al menos cada 3 años según la

Sección 3.2.3.

Si un suscriptor no puede completar los procedimientos de reautenticación conforme a la Sección

3.2.3 de manera satisfactoria, o si no logra demostrar que posee dicha clave privada cuando se le

exige según lo anterior, la AC debe revocar automáticamente el certificado del suscriptor.

Cualquier excepción a este procedimiento requiere la aprobación del PMD y debe documentarse en la CPS correspondiente.

6.3.2.1 Requisitos del período de validez de CABF No corresponde.

6.3.2.1.1 Requisitos del período de validez de CABF para la EV

No corresponde.

6.4. Datos de activación


40

6.4.1. Instalación y generación de datos de activación

Los datos de activación (partes de secretos) utilizados para proteger los token que contienen las claves privadas

de AC de CERTISIGN AC PARCERIA se generan de conformidad con los requisitos de CPS § 6.2.2. Se registra la

creación y distribución de partes de secretos.

Las pautas de selección de contraseñas de CERTISIGN exigen que las contraseñas tengan las siguientes características:

Las genere el usuario.

Tengan quince caracteres como mínimo.

Tengan un carácter alfabético y uno alfanumérico como mínimo.

Tengan una letra minúscula como mínimo.

No se repitan mucho los mismos caracteres.

No sea igual al nombre de perfil del operador.

No contenga una subcadena larga del nombre de perfil del usuario.

CERTISIGN recomienda encarecidamente que todos los suscriptores elijan contraseñas que cumplan con estos requisitos. CERTISIGN también recomienda que se usen dos mecanismos de autenticación de factores (p. ej., token y frase de

contraseña, biométrica y token, o biométrica y frase de contraseña) para la activación de claves privadas.

6.4.2. Protección de datos de activación

Los titulares de partes de secretos de CERTISIGN deben proteger sus partes de secretos y firmar un acuerdo en el

que reconozcan sus responsabilidades como titulares de partes de secretos.

CERTISIGN recomienda encarecidamente que todos los suscriptores almacenen sus claves privadas de forma

cifrada y que las protejan a través de un token de hardware o una frase de contraseña segura. Se recomienda que

se usen dos mecanismos de autenticación de factores (p. ej., token y frase de contraseña, biométrica y token, o

biométrica y frase de contraseña).

6.4.3. Otros aspectos de los datos de activación

6.4.3.1 Transmisión de datos de activación Cuando se transmitan datos de activación para sus claves privadas, los participantes de CERTISIGN AC PARCERIA

deben proteger la transmisión con métodos que eviten todo robo, pérdida, modificación, o divulgación o uso no

autorizados de dichas claves privadas.

6.4.3.2 Destrucción de datos de activación

Los datos de activación para claves privadas de AC deben retirarse con métodos que eviten todo robo, pérdida,

modificación, o divulgación o uso no autorizados de las claves privadas protegidas por dichos datos de activación.

Luego de que los períodos de retención de registros en la Sección 5.5.2 caducan, CERTISIGN AC PARCERIA retira

los datos de activación sobrescribiéndolos o destruyéndolos físicamente.

6.5. Controles de seguridad informática CERTISIGN lleva a cabo todas las funciones AC y AR con sistemas confiables que cumplen con los requisitos

internos de CERTISIGN. Los clientes empresariales deben usar sistemas confiables.

6.5.1. Requisitos técnicos de seguridad informática específicos

CERTISIGN garantiza que los sistemas que contienen los archivos de datos y el software de AC son sistemas

confiables protegidos del acceso no autorizado. Asimismo, CERTISIGN limita el acceso a servidores de producción

a aquellos individuos que tienen un motivo comercial válido para acceder. Los usuarios de solicitudes generales no

tienen cuentas en los servidores de producción.

La red de producción de CERTISIGN está lógicamente separada de otros componentes. Esta separación evita el


41

acceso a la red, salvo a través de procesos de solicitudes definidos. CERTISIGN utiliza cortafuegos para proteger la

red de producción de la intrusión interna y externa, y limita la naturaleza y la fuente de actividades en la red que

puedan acceder a los sistemas de producción.

CERTISIGN exige que se utilicen contraseñas con un mínimo de caracteres y una combinación de caracteres

especiales y alfanuméricos. CERTISIGN exige que estas se cambien periódicamente.

El acceso directo a las bases de datos de CERTISIGN en las que se respaldan las operaciones de la AC de

CERTISIGN está limitado a personas de confianza en el grupo de actividades de producción de CERTISIGN que

tengan motivos comerciales válidos para acceder.

6.5.1.1 Requisitos de CABF para la seguridad de sistemas

No corresponde.

6.5.1.1.1 Requisitos de CABF para la seguridad de sistemas para la EV

No corresponde.

6.5.2. Clasificación de seguridad informática


6.6 Controles técnicos del ciclo de vida

6.6.1 Controles de desarrollo de sistemas

CERTISIGN desarrolla e implementa aplicaciones de conformidad con los estándares de administración de

cambios y desarrollo de sistemas de CERTISIGN. CERTISIGN también proporciona software a sus clientes

empresariales para llevar a cabo funciones AR y ciertas funciones AC. Dicho software se desarrolla de

conformidad con los estándares de desarrollo de sistemas de CERTISIGN.

La primera vez que se carga, el software desarrollado por CERTISIGN proporciona un método para verificar que

el software en el sistema originado por CERTISIGN no se haya modificado antes de la instalación y que sea la

versión prevista para su uso.

6.6.2 Controles de administración de seguridad

CERTISIGN tiene mecanismos o políticas vigentes para controlar y supervisar la configuración de los sistemas de

su AC. CERTISIGN crea un hash de todos los paquetes de software y las actualizaciones de software de

CERTISIGN. Este hash se utiliza para verificar la integridad de dicho software de manera manual. Luego de la

instalación y a partir de ahí de manera periódica, CERTISIGN valida la integridad de los sistemas de su AC.

6.6.3 Controles de seguridad del ciclo de vida


6.7. Controles de seguridad de la red CERTISIGN lleva a cabo todas las funciones AC y AR con redes protegidas de conformidad con los requisitos

internos de CERTISIGN para evitar el acceso no autorizado y demás actividades maliciosas. CERTISIGN protege la

comunicación de información confidencial a través de cifrado y firmas digitales.

6.8. Sellado de tiempo Los certificados, las LCR y otras entradas de bases de datos de revocación deben contener información sobre el

tiempo y la fecha. Es necesario que dicha información de tiempo no esté basada en criptografía.

7. Perfiles de certificados, LCR y OCSP

7.1 Perfil de certificados Los certificados de CERTISIGN AC PARCERIA por lo general cumplen con lo siguiente:


42

(a) ITU-T Recommendation X.509 (1997): Information Technology - Open Systems Interconnection -

The Directory: Authentication Framework, junio de 1997 y

(b) RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile, abril de 2002 (“RFC 5280”).

Según corresponde al tipo de certificado, los certificados de CERTISIGN cumplen con la versión actual de los

requisitos estándares del foro del buscador o AC para la emisión y administración de certificados de confianza

pública.

Como mínimo, los certificados X.509 de CERTISIGN deben contener los campos básicos y los valores

preestablecidos o las restricciones de valores indicados en la Tabla 4 a continuación:

Campo Valor o restricción de valor

Número de serie Valor único por DN del emisor que muestra al menos 20 bits de entropía.

Algoritmo de firma Identificador de objetos del algoritmo utilizado para firmar el certificado (ver CP § 7.1.3)

DN del emisor Ver Sección 7.1.4 Válido desde Base sobre la hora universal coordinada. Sincronizado con

el reloj patrón del Observatorio de Brasil. Cifrado de conformidad con RFC 5280. Válido hasta

DN del sujeto Ver CP § 7.1.4 Clave pública del sujeto Cifrada de conformidad con RFC 5280 Firma Generada y cifrada de conformidad con RFC 5280

2 - Campos básicos del perfil de certificados

7.1.1 Números de versiones

Los certificados de CERTISIGN son certificados X.509, versión 3 aunque ciertos certificados raíz pueden ser

certificados X.509, versión 1 para respaldar los sistemas antiguos. Los certificados de la AC deben ser certificados

AC X.509, versión 1 o versión 3. Los certificados de suscriptores usuarios finales deben ser X.509, versión 3.

7.1.2 Extensiones de certificados CERTISIGN debe rellenar los certificados de CERTISIGN AC PARCERIA X.509, versión 3 con extensiones que se

exigen en las Secciones 7.1.2.1 a 7.1.2.8. Se permiten extensiones privadas, pero su uso no se encuentra

amparado en virtud de esta CP y las CPS vigentes a menos que se incluya específicamente mediante referencia.

7.1.2.1 Key Usage Por lo general, los certificados X.509, versión 3 se rellenan de conformidad con RFC 5280: Internet X.509 Public

Key Infrastructure Certificate and CRL Profile, abril de 2002. El campo de importancia de la extensión KeyUsage

se configura como VERDADERO o FALSO para los certificados de suscriptor entidad final, pero como

VERDADERO para los certificados de la AC.

7.1.2.2 Extensión Certificate Policies

La extensión CertificatePolicies de los certificados X.509, versión 3 se rellena con el identificador de objetos de la

CP de CERTISIGN AC PARCERIA de conformidad con la CP, Sección 7.1.6 y con los calificadores de la política

establecidos en la CP, Sección 7.1.8. El campo de importancia de esta extensión debe configurarse como FALSO.

7.1.2.2.1 Requisitos de CABF para la extensión Certificate Policies para la EV

No corresponde.

7.1.2.3 Subject Alternative Names La extensión subjectAltName de los certificados X.509, versión 3 se rellena de conformidad con RFC 5280, salvo

en aquellos que se emitieron bajo cuentas Public Lite que pueden excluir de manera opcional la dirección de

correo electrónico en SubjectAltName. El campo de importancia de esta extensión debe configurarse como

FALSO.


43

7.1.2.4 Basic Constraints

La extensión BasicConstraints de los certificados AC X.509, versión 3 de CERTISIGN debe tener configurado el

campo AC como VERDADERO. La extensión BasicConstraints de los certificados de suscriptor usuario final debe

tener configurado el campo AC como FALSO. El campo de importancia de esta extensión debe configurarse como

VERDADERO para los certificados de la AC, pero como VERDADERO o FALSO para los certificados de suscriptor

usuario final.

Los certificados AC X.509, versión 3 de CERTISIGN deben tener el campo “pathLenConstraint” de la extensión

BasicConstraints configurado con el máximo número de certificados de AC que puedan aparecer después de este

certificado en una ruta de certificación. Los certificados de AC emitidos para un cliente empresarial en línea que

emite certificados de suscriptor usuario final deben tener el campo “pathLenConstraint” configurado con el valor

“0”, lo que indica que solo un certificado de suscriptor usuario final puede aparecer después en la ruta de

certificación.

7.1.2.5 Extended Key Usage De manera predeterminada, ExtendedKeyUsage se configura como extensión no crítica. Los certificados de AC de

CERTISIGN AC PARCERIA no incluyen la extensión ExtendedKeyUsage.

7.1.2.6 CRL Distribution Points La mayoría de los certificados X.509, versión 3 de CERTISIGN para suscriptores usuarios finales y AC

intermediarias incluyen la extensión cRLDistributionPoints que contiene la URL de la ubicación donde la parte

confiada puede obtener una LCR para verificar el estado del certificado de la AC. El campo de importancia de esta

extensión se configura como FALSO.

7.1.2.7 Authority Key Identifier Por lo general, CERTISIGN rellena la extensión Authority Key Identifier de los certificados X.509, versión 3 de

suscriptores usuarios finales y de AC intermediarias. Cuando el certificado del emisor contiene la extensión

Subject Key Identifier, la extensión Authority Key Identifier está compuesta por el hash 160-bit SHA-1 de la clave

pública de la AC que emite el certificado. De lo contrario, la extensión Authority Key Identifier incluye el número

de serie y el nombre distinguido del sujeto de la AC emisora. El campo de importancia de esta extensión se

configura como FALSO.

7.1.2.8 Subject Key Identifier

Cuando CERTISIGN rellena los certificados X.509, versión 3 de CERTISIGN AC PARCERIA con la extensión

subjectKeyIdentifier, se genera la keyIdentifier en función de la clave pública del sujeto del certificado de

conformidad con uno de los métodos descritos en RFC 5280. Cuando se utiliza esta extensión, el campo de

importancia de esta extensión se configura como FALSO.

7.1.3. Identificadores de objetos de algoritmos Los certificados de CERTISIGN se firman con uno de los siguientes algoritmos:

sha256withRSAEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549)

pkcs(1) pkcs-1(1) 11}

ecdsa-with-Sha256 OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) ansi-X9-62(10045)

signatures(4) ecdsa-with-SHA2 (3) 2}

ecdsa-with-Sha384 OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) ansi-X9-62(10045)

signatures(4) ecdsa-with-SHA2 (3) 3}

sha-1WithRSAEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549)

pkcs(1) pkcs-1(1) 5}

md5WithRSAEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549)

pkcs(1) pkcs-1(1) 4}

Las firmas de los certificados producidas con estos algoritmos deben cumplir con RFC 3279.

Ya sea sha-1WithRSAEncryption o sha256WithRSAEncryption se utilizarán en preferencia a md5WithRSAEncryption.


44

7.1.4. Formas de nombres

CERTISIGN rellena los certificados de CERTISIGN AC PARCERIA con un nombre de emisor y un nombre distinguido

de sujeto de conformidad con la Sección 3.1.1. El nombre de emisor debe rellenarse en cada certificado emitido que

contenga el país, el nombre de la organización y el nombre común de la AC emisora.

Asimismo, CERTISIGN puede incluir dentro de los certificados de suscriptor usuario final un campo Organizational

Unit adicional que contiene un aviso en el que se indica que los términos de uso del certificado se establecen en

una URL y que la URL es un indicador hacia el Acuerdo de partes confiadas. Esta OU debe aparecer si no está

incluido un indicador al Acuerdo de partes confiadas en la extensión de política del certificado.

7.1.5. Restricciones de los nombres


7.1.6. Identificador de objetos de la política de certificados

Cuando se utiliza la extensión Certificate Policies, los certificados contienen el identificador de objetos para la

política de certificados correspondiente al tipo adecuado de certificado, según se establece en la CP, Sección 1.2 de

CERTISIGN AC PARCERIA. En el caso de certificados antiguos emitidos antes de la publicación de la CP de

CERTISIGN AC PARCERIA, que incluye la extensión Certificate Policies, los certificados se refieren a la CPS de

CERTISIGN AC PARCERIA.

7.1.6.1 Requisitos de CABF para el identificador de objetos de la política de certificados

No corresponde.

7.1.7. Extensión Usage of Policy Constraints


7.1.8. Semántica y sintaxis de los calificadores de la política Por lo general, CERTISIGN rellena los certificados X.509, versión 3 de CERTISIGN AC PARCERIA con un calificador

de la política dentro de la extensión Certificate Policies. Por lo general, dichos certificados contienen un calificador

de indicador de CPS que señala el Acuerdo de partes confiadas vigente o la CPS de CERTISIGN AC PARCERIA.

Asimismo, algunos certificados contienen un calificador de notificación para usuarios que señala el Acuerdo de

partes confiadas vigente.

7.1.9. Procesamiento de la semántica para la extensión Critical Certificate Policies No hay estipulaciones.

7.2 Perfil de LCR Según corresponde al tipo de certificado, las LCR adecuadas cumplen con la versión actual de los requisitos

estándares del foro del buscador o AC para la emisión y administración de certificados de confianza pública.

Las LCR, versión 2 cumplen con RFC 5280 y contienen los contenidos y campos básicos especificados en la Tabla 5 a continuación:

Campo Valor o restricción de valor Versión Ver Sección 7.2.1 Algoritmo de firma Algoritmo utilizado para firmar la LCR de conformidad con RFC 3279.

(Ver CP § 7.1.3) Emisor Entidad que ha firmado y emitido la LCR Fecha de vigencia Fecha de emisión de la LCR

Las LCR entran en vigencia al momento de la emisión. Próxima actualización Fecha en la que la próxima LCR se emitirá. La frecuencia de emisión de

la LCR cumple con los requisitos de la Sección 4.9.7. Certificados revocados Lista de certificados revocados, incluido el número de serie de los

certificados revocados y la fecha de revocación. 3 - Campos básicos del perfil de LCR


45

7.2.1. Número de versión CERTISIGN es compatible con LCR X.509, versión 1 y versión 2. Las LCR, versión 2 cumplen con los requisitos de

RFC 5280.

7.2.2. Extensiones de LCR y entradas de LCR No hay estipulaciones.

7.3. Perfil de OCSP El OCSP (protocolo de estado de certificado en línea) es una manera de obtener información oportuna sobre el

estado de revocación de un certificado particular.

7.3.1. Número de versión La versión 1 de la especificación de OCSP, según se define en RFC2560, y la versión 1 de la especificación de OCSP,

según se define en RFC 5019, son compatibles.

7.3.2. Extensiones de OCSP

El servicio de CERTISIGN utiliza un sellado de tiempo seguro y un período de validez para determinar la

actualización actual de cada respuesta de OCSP. CERTISIGN no utiliza un nonce para determinar la actualización

actual de cada respuesta de OCSP y los clientes no deben esperar un nonce en respuesta a una solicitud que

contiene un nonce. Por el contrario, los clientes deben utilizar el reloj local para verificar la actualización de la

respuesta.

7.3.3. Requisito de CABF para la firma de OCSP para la EV

No corresponde.

8. Auditoría de conformidad y otras evaluaciones Se realiza un examen anual del programa WebTrust para autoridades certificadoras v2.0 o posterior respecto de

las operaciones de centros de datos y las operaciones de administración de claves de CERTISIGN que respaldan

los servicios de AC de PKI administrada y pública, entre ellas la AC raíz de CERTISIGN AC PARCERIA y sus AC

subordinadas especificadas en la Sección 1.3.1.

Además de las auditorías de conformidad, CERTISIGN tiene derecho a realizar otras revisiones e investigaciones

para garantizar la integridad del subdominio de CERTISIGN de CERTISIGN AC PARCERIA, que incluyen, entre

otras, lo siguiente:

CERTISIGN tiene derecho, a su entera y exclusiva discreción, a realizar una “Investigación o auditoría

exigente” en cualquier momento sobre un cliente en caso de que CERTISIGN tenga motivos para creer

que la entidad auditada no ha cumplido con los estándares de CERTISIGN AC PARCERIA, ha sufrido un

incidente o un riesgo, o ha actuado o no ha cumplido en actuar, de modo tal que el incumplimiento, el

incidente o el riesgo de la entidad auditada, o el actuar o la falta de actuación representan una amenaza

real o posible para la seguridad o la integridad de CERTISIGN AC PARCERIA.

CERTISIGN tiene derecho a realizar “Revisiones complementarias de la administración de riesgos” sobre

un cliente luego de obtener hallazgos incompletos o excepcionales en una auditoría de conformidad o

como parte del proceso general de administración de riesgos en el desarrollo normal de las actividades

comerciales.

CERTISIGN tiene derecho a delegar la realización de estas auditorías, revisiones e investigaciones a una empresa

auditora externa. Las entidades sujetas a auditoría, revisión o investigación deben cooperar razonablemente con

CERTISIGN y el personal que realice la auditoría, revisión o investigación.

Requisito de CABF para autoauditorías

No corresponde.


46

Requisito de CABF para autoauditorías para la EV

No corresponde.

8.1. Frecuencia y circunstancias de evaluación Las auditorías de conformidad se llevan a cabo como mínimo una vez al año y la entidad auditada correrá con

todos los gastos relacionados. Las auditorías deben realizarse en secuencias ininterrumpidas de los períodos de

auditorías y ningún período debe superar la duración de un año.

8.2. Identidad o calificaciones del asesor Las auditorías de conformidad de CERTISIGN las realiza un estudio contable público que:

Demuestre competencia en llevar a cabo el programa WebTrust para autoridades certificadoras v2.0 o posterior.

Demuestre competencia en el uso de tecnología de infraestructura de claves públicas, herramientas y

técnicas de seguridad de la información, auditorías de seguridad y en la función de certificación de

terceros.

Esté acreditado por el Instituto Americano de Contadores Públicos Certificados (AICPA), el cual exige

determinadas habilidades, medidas de aseguramiento de la calidad, como revisión de pares, evaluación

de competencia, estándares con respecto a la asignación adecuada de personal para compromisos, y

requisitos para la educación profesional continua.

Esté obligado por ley, reglamentaciones gubernamentales o códigos de ética profesionales.

Conserve un seguro de responsabilidad profesional (por errores y omisiones) con límites de póliza de al

menos un millón de dólares estadounidenses como cobertura.

8.3. Relación del asesor con la entidad evaluada Las auditorías de conformidad de las operaciones de CERTISIGN se realizan en un estudio contable público

independiente de CERTISIGN.

8.4. Temas que abarca la evaluación El alcance de la auditoría anual WebTrust para autoridades certificadoras (o equivalente) de CERTISIGN incluye

controles ambientales de AC, controles de AC administrativa o infraestructura y operaciones de administración de

claves, administración del ciclo de vida de certificados y divulgación de prácticas comerciales de AC.

8.4 Temas que abarca la evaluación Los temas de la auditoría para cada categoría de entidad se establecen a continuación. La entidad auditada puede

hacer que la auditoría de conformidad sea un módulo, es decir una parte de una auditoría anual general de los

sistemas de información de la entidad.

Auditorías de AR:

Se recomienda que los clientes empresariales que autoricen la emisión de certificados SSL se sometan a una

auditoría de conformidad anual de sus obligaciones en virtud de CERTISIGN AC PARCERIA. A petición de

CERTISIGN o de una entidad superior (si esta no fuera CERTISIGN), los clientes empresariales deben someterse a

una auditoría a fin de determinar las excepciones o irregularidades de las políticas de CERTISIGN AC PARCERIA y

las medidas tomadas para reparar dichas irregularidades.

Auditoría de CERTISIGN o una filial:

CERTISIGN y cada filial deben ser auditadas de conformidad con las pautas proporcionadas en la declaración del

Instituto Americano de Contadores Públicos Certificados que se encuentra en los informes de control de

organizaciones de servicios (SOC) sobre los riesgos asociados a las organizaciones de servicios. Sus auditorías de

conformidad deben realizarse de acuerdo con el criterio WebTrust para autoridades certificadoras o con un

estándar de auditoría equivalente aprobado por CERTISIGN, por ejemplo: un informe de políticas y

procedimientos en vigencia y una prueba de efectividad operativa.


47

8.5. Medidas que se tomaron como resultado de insuficiencia Luego de recibir el informe de la auditoría de conformidad, la entidad superior de la entidad auditada debe

comunicarse con la parte auditada para analizar toda excepción o insuficiencia que muestre la auditoría de

conformidad. CERTISIGN también tiene derecho a analizar dichas excepciones o insuficiencia con la parte

auditada. La parte auditada y la entidad superior deben, de buena fe, tomar todas las medidas comercialmente

razonables para diseñar un plan de acción correctiva a fin de resolver los problemas que provocaron las

excepciones o insuficiencia y deben implementar dicho plan.

En el caso en que la entidad auditada no pueda desarrollar dicho plan de acción correctiva, o bien implementarlo,

o si el informe muestra excepciones o insuficiencia que CERTISIGN y la entidad superior de la entidad auditada

creen razonablemente que representan una amenaza inmediata para la seguridad e integridad de CERTISIGN AC

PARCERIA, entonces:

(a) CERTISIGN debe determinar si son necesarios la revocación y el informe de riesgos.

(b) CERTISIGN tiene derecho a suspender los servicios de la entidad auditada.

(c) Si fuera necesario, CERTISIGN puede finalizar dichos servicios sujetos a esta CP y a los términos del contrato

de la entidad auditada.

8.6. Informe de resultados Luego de una auditoría de conformidad, la entidad auditada debe proporcionar a CERTISIGN y a su entidad

superior (si esta no fuera CERTISIGN) el informe anual y las certificaciones en función de su auditoría o

autoauditoría dentro de los 14 días posteriores a la finalización de la auditoría y a más tardar 45 días después de

la fecha de aniversario del inicio de las operaciones.

Las AC deben poner a disposición del público su informe de auditoría anual a más tardar tres (3) meses después

de finalizar el período de auditoría. En el caso en que se demore más de tres meses, la AC debe proporcionar una

carta explicativa firmada por el auditor calificado.

9. Otros asuntos legales y comerciales

9.1. Aranceles 9.1.1. Aranceles de emisión o renovación de certificados

CERTISIGN tiene derecho a cobrar a los suscriptores usuarios finales para emitir, administrar y renovar los certificados.

9.1.2. Aranceles de acceso de certificados

CERTISIGN no cobra un arancel como condición para poner a disposición un certificado en un repositorio, o bien

para poner certificados a disposición de las partes confiadas.

9.1.3. Aranceles de acceso a la información de estado o revocación

CERTISIGN no cobra un arancel como condición para poner a disposición las LCR que requiere la CP en un

repositorio, o bien para las partes confiadas. No obstante, CERTISIGN tiene derecho a cobrar un arancel para

proporcionar LCR personalizadas, servicios de OCSP u otros servicios de información de estado y revocación con

valor agregado. CERTISIGN no permite el acceso a la información de revocación, la información de estado del

certificado ni el sellado de tiempo en sus repositorios por parte de terceros que brinden productos o servicios que

utilicen dicha información de estado del certificado sin el consentimiento expreso previo por escrito de CERTISIGN.

9.1.4. Aranceles para otros servicios CERTISIGN no cobra arancel por acceder a esta CPS. Todo uso que implique otros fines que no sean simplemente

ver el documento, ya sea reproducción, redistribución, modificación o creación de trabajos derivados, quedará

sujeto a un acuerdo de licencia con la entidad que posea los derechos de autor del documento.


48

9.1.5. Política de reembolso

Dentro del subdominio de CERTISIGN, la siguiente política de reembolso (que se reproduce en

https://www.certisign.com.br/certisign/politicas/garantia-de-certificados-ssl) se encuentra vigente:

CERTISIGN cumple con las políticas y las prácticas rigurosas, y las apoya, al llevar a cabo operaciones de

certificación y emisión de certificados. No obstante, si por algún motivo, un suscriptor no está totalmente

satisfecho con el certificado que se le emitió, puede solicitar a CERTISIGN que revoque el certificado dentro de los

treinta (30) días de emisión y que se le brinde un reembolso. Luego del período de treinta (30) días inicial, un

suscriptor puede solicitar a CERTISIGN que revoque el certificado y le brinde un reembolso en el caso que

CERTISIGN no haya cumplido con una garantía u otra obligación importante en virtud de esta CPS que se relacione

con el suscriptor o con su certificado. Una vez que CERTISIGN revoque el certificado del suscriptor, CERTISIGN le

pagará al suscriptor de inmediato. Para solicitar un reembolso, llame al Servicio de Atención al Cliente en

https://www.certisign.com.br/atendimento-suporte/contato/fale- certisign. Esta política de reembolso no es

un recurso exclusivo y no limita a que otros recursos estén disponibles para los suscriptores.

9.2. Responsabilidad financiera

9.2.1. Cobertura de seguros Se recomienda a los clientes empresariales que conserven un nivel razonablemente comercial de cobertura de

seguros en caso de errores y omisiones, ya sea mediante un programa de seguro contra errores y omisiones con

una aseguradora, o bien una retención autoasegurada. CERTISIGN conserva dicha cobertura de seguros en caso de

errores y omisiones.

9.2.2. Otros activos Los clientes empresariales deben contar con los recursos financieros suficientes para mantener las operaciones y

realizar las tareas, y deben ser razonablemente capaces de asumir el riesgo de responsabilidad frente a suscriptores

y partes confiadas.

9.2.3. Cobertura de garantía extendida No corresponde.

9.3. Confidencialidad de la información comercial

9.3.1. Alcance de la información confidencial En virtud de la Sección 9.3.2, los siguientes registros de los suscriptores deben mantenerse privados y confidenciales

(“Información privada o confidencial”):

Registros de solicitud de la AC, ya sean aprobados o desaprobados.

Registros de solicitud de certificados.

Claves privadas que posean los clientes empresariales con gestor de claves ICP administrada e

información necesaria para recuperar dichas claves privadas.

Registros de transacciones (registros completos y la traza de auditoría de las transacciones).

Registros de traza de auditoría creados o conservador por CERTISIGN o un cliente.

Informes de auditoría creados por CERTISIGN o un cliente (en la medida que dichos informes se

conserven), o sus respectivos auditores (internos o públicos).

Planos de contingencia y de recuperación ante desastres.

Medidas de seguridad que controlen las operaciones de hardware y software de CERTISIGN y la

administración de servicios de certificados y servicios de inscripción designados.

9.3.2. Información fuera del alcance de la información confidencial La información sobre certificados, revocación de certificados y demás información de estado, repositorios de

CERTISIGN y la información que allí se encuentra no se considera Información privada o confidencial.

La información que no se considere expresamente Información privada o confidencial en virtud de la Sección 9.3.1 no

http://www.certisign.com.br/certisign/politicas/garantia-de-certificados-ssl)

http://www.certisign.com.br/atendimento-suporte/contato/fale-


49

debe considerarse ni privada ni confidencial. Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.3.3. Responsabilidad para proteger la información confidencial

CERTISIGN protege la información privada de todo riesgo y divulgación a terceros.

9.4. Privacidad de la información personal 9.4.1. Plan de privacidad CERTISIGN ha implementado una Política de privacidad, que se ubica en:

https://www.certisign.com.br/certisign/politicas/privacidade, de conformidad con CP § 9.4.1.

9.4.2. Información de carácter privado

Toda información sobre los suscriptores que no esté públicamente disponible a través del contenido del certificado

emitido, del directorio de certificados y de las LCR en línea debe considerarse privada.

9.4.3. Información que no se considera privada

Toda información que se ponga a disposición del público en un certificado se considera no privada, sujeta a las leyes locales.

9.4.4. Responsabilidad para proteger la información privada

Los participantes de CERTISIGN AC PARCERIA que reciban información privada deben protegerla de todo riesgo y

divulgación a terceros, y deben cumplir con todas las leyes de privacidad locales en sus jurisdicciones.

9.4.5. Notificación y consentimiento para utilizar la información privada Salvo que se establezca lo contrario en esta CPS, en la Política de privacidad vigente o por acuerdo, la información

privada no se debe utilizar sin el consentimiento de la parte a quien esa información se aplica.

Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.4.6. Divulgación conforme al proceso judicial o administrativo

CERTISIGN tiene el derecho a divulgar la información privada o confidencial si, de buena fe, cree lo siguiente:

La divulgación es necesaria en respuesta a citaciones y órdenes de registro.

La divulgación es necesaria en respuesta a procesos judiciales, administrativos u otros procesos legales

durante el proceso preliminar en una acción civil o administrativa, como citaciones, interrogatorios,

solicitudes de admisión y solicitudes de producción de documentos.

Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.4.7. Otras circunstancias de divulgación de la información


9.5. Derechos de propiedad intelectual La asignación de derechos de propiedad intelectual entre los participantes del subdominio de CERTISIGN que no

sean suscriptores ni partes confiadas se rige por los acuerdos vigentes entre dichos participantes del subdominio

de CERTISIGN. Las siguientes subsecciones de la Sección 9.5 se aplican a los Derechos de propiedad intelectual

relacionados con los suscriptores y las partes confiadas.

9.5.1. Derechos de propiedad en certificados e información de revocación

Las AC conservan todos los Derechos de propiedad intelectual sobre los certificados y la información de

revocación, y en relación con ellos, que emiten. CERTISIGN y los clientes otorgan permiso para reproducir y

distribuir certificados sin exclusividad y exentos de regalías, siempre que se reproduzcan de manera completa y

que el uso de tales certificados esté sujeto al Acuerdo de partes confiadas que se menciona en el certificado.

CERTISIGN y los clientes deben otorgar permiso para usar la información de revocación con el fin de desempeñar

las funciones de la parte confiada sujeto al Acuerdo de uso de LCR vigente, al Acuerdo de partes confiadas o

http://www.certisign.com.br/certisign/politicas/privacidade


50

cualquier otro acuerdo vigente.

9.5.2. Derechos de propiedad en la CPS

Los participantes de CERTISIGN AC PARCERIA reconocen que CERTISIGN conserva todos los derechos de

propiedad intelectual sobre esta CPS y en relación con ella.

9.5.3. Derechos de propiedad en nombres

Un solicitante de certificado conserva todos los derechos que tiene (si corresponde) sobre las marcas comerciales,

marcas de servicio o nombre comercial que aparezcan en una solicitud de certificado y nombre distinguido dentro

de cualquier certificado emitido para dicho solicitante.

9.5.4. Derechos de propiedad en claves y material de claves

Los pares de clave que correspondan a los certificados de las AC y a los suscriptores usuarios finales son

propiedad de las AC y los suscriptores usuarios finales que sean los sujetos respectivos de estos certificados, sujeto

a los derechos de clientes empresariales con gestor de claves ICP administrada, independientemente del medio

físico dentro del cual estén almacenados y protegidos. Asimismo, dichas personas conservan todos los derechos de

propiedad intelectual sobre estos pares de claves y en relación con ellos. Sin limitar la generalidad de lo anterior,

las claves públicas raíz de CERTISIGN y los certificados raíz que las contienen, incluidas todas las claves públicas y

los certificados autofirmados de la AUTORIDAD CERTIFICADORA RAÍZ DE CERTISIGN, son propiedad de

CERTISIGN. CERTISIGN autoriza a fabricantes de software y hardware a que reproduzcan dichos certificados raíz

para colocar copias en software y dispositivos hardware confiables. Finalmente, las partes de secretos de una clave

privada de una AC son propiedad de la AC, y la AC conserva todos los derechos de propiedad intelectual sobre

dichas partes de secretos, y en relación con ellas, aun cuando no puedan obtener de CERTISIGN la posesión física

de esas partes de secretos de la AC.

9.6. Representaciones y garantías

9.6.1. Representaciones y garantías de AC CERTISIGN garantiza lo siguiente:

No hay declaraciones falsas de hecho concretas en el certificado conocido por las entidades, o que se

origina de tales, que aprueban la solicitud de certificado o que emiten el certificado.

La información del certificado no contiene errores que hayan cometido las entidades que aprueban la

solicitud de certificado o que emiten el certificado que surjan de la falta de precaución razonable al

administrar la solicitud de certificado o al crear el certificado.

Sus certificados cumplen con todos los requisitos fundamentales de esta CPS.

Los servicios de revocación y el uso de un repositorio cumplen con la CPS vigente en todos los aspectos pertinentes.

Es posible que los Acuerdos de suscriptores incluyan representaciones y garantías adicionales.

9.6.1.1 Garantías y obligaciones de CABF

No corresponde.

9.6.1.1.1 Garantías y obligaciones de CABF para la EV No corresponde.

9.6.2. Representaciones y garantías de AR

Las AR garantizan lo siguiente:

No hay declaraciones falsas de hecho concretas en el certificado conocido por las entidades, o que se

origina de tales, que aprueban la solicitud de certificado o que emiten el certificado.

La información del certificado no contiene errores que hayan cometido las entidades que aprueban la

solicitud de certificado que surjan de la falta de precaución razonable al administrar la solicitud de

certificado.

Los servicios de revocación (cuando corresponda) y el uso de un repositorio cumplen con la CPS vigente

en todos los aspectos pertinentes.


51


9.6.3. Representaciones y garantías de suscriptores Los suscriptores garantizan lo siguiente:

Cada firma digital creada con una clave privada que corresponda a la clave pública mencionada en el

certificado es la firma digital del suscriptor, y el certificado queda aceptado y en funcionamiento (no

caducado ni revocado) en el momento en que se crea la firma digital.

Su clave privada está protegida y ninguna persona no autorizada ha tenido acceso a la clave privada del

suscriptor.

Todas las representaciones que realizó el suscriptor en la solicitud de certificado que envió son

verdaderas.

Toda la información que proporcionó el suscriptor y que contiene el certificado es verdadera.

El certificado se utiliza exclusivamente para fines legales y autorizados, coherentes con esta CPS.

El suscriptor es un suscriptor usuario final y no una AC, y no utiliza la clave privada que corresponde a

una clave pública mencionada en el certificado para los fines de firmar digitalmente un certificado (o

cualquier otro formato de clave pública certificada) o LCR, como AC, o por cualquier otra circunstancia.


9.6.4. Representaciones y garantías de la parte confiada Los Acuerdos de partes confiadas exigen que las partes confiadas reconozcan que tienen información suficiente

para tomar una decisión con conocimiento de causa en la medida en que elijan confiar en la información del

certificado, que son exclusivamente responsables de decidir confiar o no en dicha información, y que deben asumir

las consecuencias legales de no llevar a cabo sus obligaciones como parte confiada en términos de esta CPS.

Es posible que los Acuerdos de partes confiadas incluyan representaciones y garantías adicionales.

9.6.5. Representaciones y garantías de otros participantes


9.7. Exclusión de garantías En la medida en que lo permita la ley vigente, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben excluir las posibles garantías de CERTISIGN, incluidas las garantías de comerciabilidad y adecuación a un

uso particular, fuera del contexto de la CPS de CERTISIGN AC PARCERIA.

9.8. Limitaciones de responsabilidad En la medida en que CERTISIGN haya emitido y administrado los certificados en cuestión de conformidad con su

Política de certificados y su Declaración de prácticas de certificación, CERTISIGN no debe tener responsabilidad

ante el suscriptor ni la parte confiada ni ningún otro tercero por daños o pérdidas que surjan como resultado del

uso de dichos certificados, o la confianza en ellos. Las limitaciones de responsabilidad incluyen una exclusión de

daños y perjuicios directos e indirectos. También deben cumplir con el máximo de responsabilidad de cien dólares

estadounidenses (USD 100,00) que limita los daños y perjuicios de CERTISIGN y su filial.

La responsabilidad (o la limitación correspondiente) de los suscriptores debe establecerse en los Acuerdos de

suscriptores vigentes.

La responsabilidad (o la limitación correspondiente) de las AR empresariales y la AC vigente debe establecerse en

el acuerdo entre ellas.

La responsabilidad (o la limitación correspondiente) de las partes confiadas debe establecerse en los Acuerdos de

partes confiadas vigentes.

9.8.1 Limitaciones de responsabilidad para la EV

No corresponde.


52

9.9. Indemnizaciones

9.9.1. Indemnización por parte de suscriptores

En la medida en que lo permita la ley vigente, los suscriptores deben indemnizar a CERTISIGN en los siguientes casos:

Deshonestidad o declaraciones falsas de hecho por parte del suscriptor en su solicitud de certificado.

Cuando el suscriptor no divulgue un hecho material en la solicitud de certificado si la declaración falsa o

la omisión se realizaron de manera negligente o con la intención de engañar a una de las partes.

Cuando el suscriptor no proteja su clave privada, no utilice un sistema confiable o cuando de otra

manera no tome las medidas de precaución necesarias para evitar el riesgo, la pérdida, la divulgación, la

modificación o el uso no autorizado de su clave privada.

Cuando el suscriptor use un nombre (incluido, entre otros, dentro de un nombre común, nombre de

dominio o dirección de correo electrónico) que infrinja los Derechos de propiedad intelectual de un

tercero.

Es posible que el Acuerdo de suscriptores vigente incluya obligaciones de indemnización adicionales.

9.9.2. Indemnización por parte de partes confiadas

En la medida en que lo permita la ley vigente, los Acuerdos de partes confiadas deben exigir a las partes confiadas

indemnizar a CERTISIGN en los siguientes casos:

Cuando la parte confiada no cumpla con sus obligaciones.

Cuando la parte confiada confíe en un certificado que no es razonable según las circunstancias.

Cuando la parte confiada no verifique el estado de dicho certificado para determinar si ha caducado o

está revocado.

Es posible que el Acuerdo de partes confiadas vigente incluya obligaciones de indemnización adicionales.

9.9.3. Indemnización de proveedores de software de aplicación Salvo limitaciones en contrario sobre su responsabilidad hacia suscriptores y partes confiadas, la AC comprende y

reconoce que los proveedores de software de aplicación que tienen un Acuerdo de distribución de certificados raíz

vigente con la AC raíz de CERTISIGN no asumen ninguna obligación o posible responsabilidad de la AC en virtud de

estos requisitos, o que puedan existir de otra manera, debido a la emisión o al mantenimiento de certificados, o la

confianza a partir de allí, de las partes confiadas u otras partes.

Por lo tanto, la AC debe defender, indemnizar y eximir a cada proveedor de software de aplicación de toda

responsabilidad y de todas y cada una de las reclamaciones, los daños y las pérdidas que este sufra en relación con

un certificado emitido por la AC, independientemente del motivo de la teoría jurídica o acción implicada. No

obstante, esto no se aplica a las reclamaciones, los daños o las pérdidas que dicho proveedor de software de

aplicación sufra en relación con un certificado emitido por la AC, en tanto dicha reclamación, daño o pérdida sea

producto directo del software de este, ya que muestra como no confiable un certificado que aún es válido, o bien

que muestra como válido lo siguiente: (1) un certificado que ya caducó, o (2) un certificado que se revocó (pero

solo en los casos en que el estado de revocación esté actualmente disponible de la AC en línea, y que el software de

aplicación no haya podido verificar dicho estado o haya ignorado una indicación de estado revocado).

9.10. Vigencia y finalización

9.10.1. Vigencia

La CPS entra en vigencia a partir de la publicación en el Repositorio de CERTISIGN. Las enmiendas de esta CPS

entran en vigencia a partir de la publicación en el Repositorio de CERTISIGN.

9.10.2. Finalización

Esta CPS según se enmiende de manera ocasional permanece en vigencia hasta que la nueva versión la reemplace.

9.10.3. Efecto de la finalización y la supervivencia

Luego de la finalización de esta CPS, los participantes del subdominio de CERTISIGN quedan igualmente obligados

por sus términos para todos los certificados emitidos durante el resto de los períodos de validez de dichos


53

certificados.

9.11. Notificaciones y comunicaciones individuales con participantes A menos que el acuerdo entre las partes especifique lo contrario, los participantes del subdominio de CERTISIGN

deben utilizar métodos comercialmente razonables para comunicarse entre sí, considerando la importancia y el

asunto de la comunicación.

9.12. Enmiendas

9.12.1. Procedimiento para enmiendas Las enmiendas a esta CPS puede realizarlas el Departamento de administración de políticas (PMD) de CERTISIGN. Las enmiendas deben ser en forma de un documento con un formulario de enmienda de la CPS o bien una actualización. Las actualizaciones o versiones enmendadas deben estar vinculadas a la sección Notificaciones y actualizaciones de prácticas del Repositorio de CERTISIGN ubicado en http://iofe.certisign.com.br/repository. Las actualizaciones substituyen toda disposición designada o en conflicto de la versión referida de la CPS. El PMD debe determinar si los cambios de la CPS exigen un cambio en los OID de las políticas de certificados que corresponden a cada tipo de certificado.

9.12.2. Período y mecanismo de notificación CERTISIGN y el PMD se reservan el derecho de enmendar la CPS sin notificación de las enmiendas que no sean

fundamentales, incluidas, entre otras, las correcciones de errores tipográficos, los cambios de URL y los cambios de

la información de contacto. La decisión por parte del PMD de designar enmiendas como fundamentales o no debe

ser a su entera discreción.

Las enmiendas a la CPS propuestas deben aparecer en la sección Notificaciones y actualizaciones de prácticas del Repositorio de CERTISIGN ubicado en http://iofe.certisign.com.br/repository . El PMD solicita las enmiendas a la CPS propuestas de otros participantes del subdominio de CERTISIGN. Si el PMD

considera que se necesita una enmienda y propone su implementación, debe enviar notificación de tal de

conformidad con esta sección.

Salvo disposición de la CPS en contrario, si el PMD cree que se necesitan enmiendas fundamentales e inmediatas

de la CPS para detener o evitar la violación de la seguridad de CERTISIGN AC PARCERIA o de alguna parte de tal,

CERTISIGN y el PMD tienen la autorización para realizar dichas enmiendas mediante publicación en el Repositorio

de CERTISIGN. Tales enmiendan entran en vigencia de manera inmediata luego de la publicación.

Dentro de un tiempo razonable a partir de la publicación, CERTISIGN debe enviar una notificación a las filiales sobre dichas enmiendas.

9.12.2.1. Período de comentarios públicos No corresponde.

9.12.2.2. Mecanismo de manipulación de comentarios

El PMD debe considerar todos los comentarios sobre las enmiendas propuestas. El PMD debe (a) Permitir que las enmiendas propuestas entren en vigencia sin enmienda. (b) Enmendar las enmiendas propuestas y republicarlas como una nueva enmienda cuando se requiera. (c) Retirar las enmiendas propuestas. El PMD tiene derecho de retirar las enmiendas propuestas mediante notificación a las filiales y aviso en la sección

Notificaciones y actualizaciones de prácticas del repositorio de CERTISIGN. A menos que las enmiendas

propuestas se enmienden o se retiren, estas deben entrar en vigencia a partir de la caducidad del período de

comentarios públicos.

9.12.3. Circunstancias en las que el OID debe cambiarse Si el ADP determina que se necesita un cambio en el identificador de objetos que corresponde a una política de

http://iofe.certisign.com.br/repository

http://iofe.certisign.com.br/repository


54

certificados, la enmienda debe contener los nuevos identificadores de objetos para las políticas de certificados que

corresponden a cada tipo de certificado. De lo contrario, las enmiendas no requieren un cambio en el identificador

de objetos de la política de certificados.

9.13. Disposiciones sobre la resolución de disputas

9.13.1. Disputas entre CERTISIGN, sus filiales y clientes Las disputas entre los participantes del subdominio de CERTISIGN deben resolverse de conformidad con las

disposiciones en los acuerdos vigentes entre las partes.

9.13.2. Disputas con suscriptores usuarios finales o partes confiadas En la medida en que la ley vigente lo permita, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben contener una cláusula de resolución de disputas. Las disputas que impliquen a CERTISIGN requieren de un

período de negociación inicial de sesenta (60) días y luego una litigación en el tribunal municipal de São Paulo,

Brasil.

9.14. Ley vigente Sujetas a los límites que aparezcan en la ley vigente, las leyes de Brasil deben regir la exigibilidad,

interpretación y validez de esta CPS independientemente del contrato o de otra elección de derecho.

Esta elección de derecho se realiza a fin de garantizar la uniformidad de procedimientos e interpretación para

todos los participantes de CERTISIGN AC PARCERIA, sin importa su ubicación.

Esta disposición de ley vigente se aplica solo a esta CPS. Los acuerdos que incorporen la CPS por referencia pueden

tener sus propias disposiciones de ley vigente, siempre que esta Sección 9.14 rija la exigibilidad, interpretación y

validez de los términos de la CPS independiente y además de las disposiciones restantes de cualquier dicho

acuerdo, estén sujetos a las limitaciones que aparezcan en la ley vigente.

Esta CPS está sujeta a las leyes, reglas, reglamentaciones, ordenanzas, decretos y mandatos locales, estatales,

nacionales y extranjeros, incluidas, entre otras, las restricciones sobre la exportación e importación de software,

hardware o información técnica.

9.15. Cumplimiento de la ley vigente Esta CPS está sujeta a las leyes, reglas, reglamentaciones, ordenanzas, decretos y mandatos locales, estatales,

nacionales y extranjeros, incluidas, entre otras, las restricciones sobre la exportación e importación de software,

hardware o información técnica. CERTISIGN autoriza a sus AC en cada jurisdicción en la que se desempeñan donde

la ley de dicha jurisdicción exija tal autorización para la emisión de certificados.

9.15.1 Cumplimiento con el CABFORUM

No corresponde.

9.16. Disposiciones varias

9.16.1. Acuerdo completo

No corresponde.

9.16.2. Asignación

No corresponde.

9.16.3. Divisibilidad

En el caso en que un tribunal de justicia u otro tribunal que tenga autoridad no puedan exigir el cumplimiento de

una cláusula o disposición de esta CPS, el resto de la CPS sigue siendo válida.

9.16.4. Exigibilidad (honorarios de abogados y renuncia de derechos)

No corresponde.


55

9.16.5. Fuerza mayor

En la medida en que la ley vigente lo permita, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben incluir una cláusula de fuerza mayor que proteja a CERTISIGN.

9.17. Otras disposiciones No corresponde.


56

Apéndice A: Lista de acrónimos y definiciones Término Definición ACS Firma de contenido autenticado Filial Una empresa que trabaja en virtud de la CP y la CPS de CERTISIGN AC PARCERIA Administrador Una persona de confianza dentro de la organización de CERTISIGN AC PARCERIA o una

AR que desempeña las funciones de validación y otras funciones AC o AR Certificado del administrador

Un certificado emitido a un administrador que solo puede utilizarse para desempeñar las funciones AC o AR

Filial Un tercero de confianza que ha celebrado un acuerdo con CERTISIGN para ser un canal de servicios y distribución de CERTISIGN AC PARCERIA dentro de un territorio específico

Individuos afiliados

Una persona física que se relaciona con un cliente PKI administrada, un cliente PKI Lite administrada o una entidad de cliente Gateway (i) como un directivo, director, empleado, socio, contratista, pasante u otra persona dentro de la entidad, (ii) como miembro de una comunidad de interés registrada de CERTISIGN, o (iii) como una persona que mantenga una relación con la entidad y que esta tenga registros comerciales u otros registros que proporcionen la seguridad adecuada de la identidad de dicha persona

AICPA Instituto Americano de Contadores Públicos Certificados ANSI Instituto Americano de Normas Nacionales Solicitante La persona física o entidad jurídica que solicita un certificado (o su renovación). Una

vez que se emite el certificado, el solicitante se denomina suscriptor. En el caso de certificados emitidos para dispositivos, el solicitante es la entidad que controla u opera el dispositivo mencionado en el certificado, aun cuando el dispositivo envíe la verdadera solicitud de certificado

Representante de solicitante

Una persona física o patrocinador humano que sea el solicitante, contratado por el solicitante, o un agente autorizado que tiene la autoridad expresa para representar al solicitante: (i) Quien firma y envía o aprueba una solicitud de certificado en nombre del solicitante, (ii) quien firma y envía un Acuerdo de suscriptores en nombre del solicitante, o (iii) quien reconoce y acepta los términos de uso del certificado en nombre del solicitante cuando este sea una filial de la AC.

Proveedor de software de aplicación

Un proveedor de software de navegadores de Internet u otro software de aplicación de la parte confiada que muestra o utiliza certificados e incorpora certificados raíz

Carta de certificación

Una carta en la que se certifica que la información del sujeto es correcta y está escrita por un contador, abogado, funcionario gubernamental o un tercero de confianza al que normalmente se le confía esa información

Informe de auditoría

Un informe de un auditor calificado en el que se indica la opinión del auditor calificado sobre si los controles y procesos de la entidad cumplen con las disposiciones obligatorias de estos Requisitos

Administración automatizada

Un procedimiento por el cual las solicitudes de certificados se aprueban de manera automática si la información de inscripción concuerda con la información que aparece en la base de datos

Módulo de software de administración automatizada

Un software proporcionado por CERTISIGN que realiza la administración automatizada

AC Autoridad certificadora Certificado Un mensaje en el que, como mínimo, se menciona un nombre o se identifica a la AC, se

identifica al suscriptor, contiene la clave pública del suscriptor, se identifica el período operativo del certificado, contiene un número de serie del certificado y está digitalmente firmado por la AC


57

Solicitante de certificado

Un individuo u organización que solicita al emisión de un certificado a la AC

Solicitud de certificado

Una solicitud de un solicitante de certificado (o agente autorizado del solicitante de certificado) a una AC para la emisión de un certificado

Cadena de certificados

Una lista ordenada de certificados que contienen un certificado del suscriptor usuario final y certificados de la AC, que finaliza en un certificado raíz

Datos de certificado

Solicitudes de certificado y datos relacionados con tal (ya sea que se obtengan del solicitante o de alguna otra manera) en posesión y control de la AC o a los cuales la AC tenga acceso

Objetivos de control

Criterios que una entidad debe cumplir para satisfacer una auditoría de conformidad

de administración de certificados

Proceso de administración de certificados

Procesos, prácticas y procedimientos asociados con el uso de claves, software y hardware por los cuales la AC verifica los datos de certificado, emite certificados, conserva un repositorio y revoca certificados

Políticas de certificados (CP)

Este documento, que se titula “Políticas de certificados de red confiable de CERTISIGN” y es la principal declaración de políticas que rige CERTISIGN AC PARCERIA

Informe de problemas con certificados

Quejas de supuesto riesgo de clave, uso incorrecto de certificados u otros tipos de fraude, riesgo, uso incorrecto o comportamiento inadecuado en relación con los certificados

Lista de certificados revocados (LCR)

Una lista emitida de manera periódica (o exigente), firmada digitalmente por una AC, de certificados identificados que se han revocado antes de sus fechas de caducidad de conformidad con la CP § 3.4. Por lo general, la lista indica el nombre del emisor de la LCR, la fecha de emisión, la fecha de la próxima emisión de LCR programada, los números de serie de los certificados revocados y los motivos y momentos específicos para la revocación

Solicitud de firma de certificados (CSR)

Un mensaje que expresa una solicitud para que se emita un certificado

Autoridad certificadora (AC)

Una entidad autorizada para emitir, administrar, revocar y renovar certificados en CERTISIGN AC PARCERIA

Autorización de la Autoridad certificadora

La autorización de la Autoridad certificadora (CAA) de DNS, definida en el borrador RFC 6844 del IETF, está diseñada para permitir que el titular de un nombre de dominio DNS (el propietario de un sitio web) especifique el certificado firmando los certificados autorizados para emitir certificados para ese dominio o sitio web.

Declaración de prácticas de certificación (CPS)

Una declaración de las prácticas que CERTISIGN o una Filial emplean para aprobar o rechazar solicitudes de certificados y emitir, administrar y revocar certificados, y exige a sus clientes PKI administrada y clientes Gateway que la usen

CERTISIGN Hace referencia, con respecto a cada parte pertinente de esta CPS, a CERTISIGN Certificadora Digital S.A. o a cualquier subsidiaria propiedad absoluta de CERTISIGN para las operaciones específicas en cuestión

Servicio de legalización notarial de CERTISIGN

Un servicio ofrecido a los clientes PKI administrada que proporciona una aserción firmada digitalmente (un recibo digital) de que existe un conjunto de datos o un documento particular en un momento específico

Repositorio de CERTISIGN

La base de datos de certificados de CERTISIGN y otra información de red confiable pertinente de CERTISIGN accesible en línea


58

Autoridad certificadora raíz de Certisign

Una AC que actúa como AC raíz y emite certificados a las AC subordinadas

Red confiable de CERTISIGN (CERTISIGN AC PARCERIA)

La infraestructura de claves públicas basada en certificados regida por las políticas de certificados de red confiable de CERTISIGN, que permite la implementación y el uso global de certificados por parte de CERTISIGN y sus filiales, y sus respectivos clientes, suscriptores y partes confiadas

Frase de comprobación

Una frase de comprobación que elige un solicitante de certificado durante la inscripción para recibir un certificado. Cuando se emite un certificado, el solicitante certificado se convierte en suscriptor y una AC o AR pueden utilizar la frase de comprobación para autenticar al suscriptor cuando este necesite revocar o renovar el certificado

Auditoría de conformidad

Una auditoría periódica a la que se somete una AC, AR, cliente PKI administrada o cliente Gateway para determinar su cumplimiento con los estándares de CERTISIGN AC PARCERIA que se le aplican

Riesgo Una violación (o supuesta violación) de una política de seguridad, en la que puede haber ocurrido la divulgación no autorizada de información confidencial, o pérdida de control de esta. Con respecto a las claves privadas, un riesgo es una pérdida, robo, divulgación, modificación, uso no autorizado u otro riesgo de la seguridad de dicha clave privada

Información privada/confidencial

Información que debe mantenerse confidencial y privada en virtud de la CP § 2.8.1

CP Política de certificados

CPS Declaración de prácticas de certificación LCR Lista de certificados revocados Acuerdo de uso de la LCR

Un acuerdo en el que se establecen los términos y las condiciones en virtud de los cuales se puede utilizar una LCR o la información que esta contiene

Certificado cruzado Un certificado que se emite a fin de establecer una relación de confianza entre dos AC raíz

CERTISIGN AC PARCERIA

Red confiable de CERTISIGN

Participante de CERTISIGN AC PARCERIA

Un individuo u organización que es uno o más de los siguientes dentro de CERTISIGN AC PARCERIA: CERTISIGN, una filial, un cliente, un revendedor, un suscriptor o una parte confiada

Estándares de CERTISIGN AC PARCERIA

Los requisitos comerciales, legales y técnicos para emitir, administrar, revocar, renovar y utilizar los certificados dentro de CERTISIGN AC PARCERIA

Cliente Una organización que sea cliente PKI administrada o cliente Gateway

Deprecated (obsoleto)

Campo del certificado que el CABFORUM no recomienda, pero que no está prohibido

Tercero delegado

Una persona física o entidad jurídica que no sea AC, pero esté autorizada por la AC para ayudar en el proceso de administración de certificados mediante el cumplimiento de uno o más de los requisitos de la AC que se mencionan en el presente

DNS Sistema de nombre de dominio Autorización de dominio

Correspondencia u otra documentación que proporciona un inscrito de nombre de dominio en la que se certifica la autoridad de un solicitante para solicitar un certificado para un espacio de nombres de dominio específico

Nombre de dominio La etiqueta que se asigna a un nodo en el sistema de nombre de dominio

Inscrito de nombres de dominio

A veces llamado “propietario” de un nombre de dominio, pero más adecuado, la persona o entidad registrada con un registrador de nombres de dominio que tiene derecho de controlar cómo se utiliza el nombre de dominio, como una persona física o entidad

jurídica que se mencione como “Inscrito” en el protocolo WHOIS o por el registrador de nombres de dominio


59

Registrador de nombres de dominio

Una persona o entidad que registra nombres de dominio con el auspicio de las siguientes partes, o por acuerdo con ellas: (i) la Corporación de Internet para la Asignación de Nombres y Números (ICANN), (ii) un registro o una autoridad de nombre de dominio nacional, o (iii) un Centro de información de redes (incluidos sus filiales, contratistas, delegados, sucesores o derechohabientes)

Espacio de nombres de dominio

El conjunto de todos los nombres de dominio posibles que se subordinan a un solo nodo en el Sistema de nombres de dominio

AR empresarial Un empleado o un agente de una organización no afiliada con la AC que autoriza la emisión de certificados a esa organización

Fecha de entrada La fecha de “Hasta” en un certificado que define la finalización del período de validez del certificado

EV Validación extendida Certificado de EV Un certificado digital que contiene información especificada en las Pautas de EV y que

se ha validado de conformidad con las Pautas

Investigación o auditoría exigente

Una investigación o auditoría de CERTISIGN en la que CERTISIGN tiene motivos para creer que una entidad no ha cumplido con los estándares de CERTISIGN AC PARCERIA, que ha ocurrido un incidente o hay un riesgo relacionado con la entidad, o que esta entidad representa una amenaza real o posible a la seguridad de CERTISIGN AC PARCERIA

Validación extendida Procedimientos de validación definidos en las Pautas para los certificados de validación extendida publicadas en un foro compuesto por los proveedores de navegadores y las autoridades certificadoras más importantes

FIPS Estándares federales de procesamiento de la información FQDN Nombre de dominio totalmente calificado Nombre de dominio totalmente calificado

Un nombre de dominio que incluye las etiquetas de todos los nodos superiores en el Sistema de nombres de dominio de Internet

Entidad gubernamental

Agencia, departamento, ministerio, sucursal, entidad jurídica operada por el gobierno, o elemento similar de un gobierno de un país, o subdivisión política dentro de dicho país (como estado, provincia, ciudad, país [sic], etc.)

IANA Autoridad de números asignados en Internet ICANN Corporación de Internet para la Asignación de Nombres y Números

Derechos de propiedad intelectual

Derechos en virtud de uno o más de los siguientes: todo derecho de autor, patente, secreto comercial, marca comercial y cualquier otro derecho de propiedad intelectual

Autoridad certificadora intermediaria (AC intermediaria)

Una Autoridad certificadora cuyo certificado se ubica dentro de una cadena de certificados entre el certificado de la AC raíz y el certificado de una Autoridad certificadora que emitió el certificado del suscriptor usuario final

Nombre del servidor Un nombre de servidor (que puede o no incluir un nombre de dominio sin registrar) que no

interno se puede resolver con el DNS público ISO Organización Internacional de Estandarización AC emisora En relación con un certificado particular, la AC que emitió el certificado. Puede ser

una AC raíz o una AC subordinada Riesgo de clave Se dice que una clave privada está en riesgo cuando su valor se ha divulgado a una

persona no autorizada, una persona no autorizada ha tenido acceso a ella, o bien cuando existe una técnica práctica por la que una persona no autorizada puede descubrir su valor

Ceremonia de generación de claves

Procedimiento por el que se genera un par de claves de la AC, su clave privada se transfiere a un módulo criptográfico, se realiza una copia de seguridad de la clave privada o esta se certifica Script de generación

de claves Un plan documentado de procedimientos para generar un par de claves de la AC


60

Administrador del gestor de claves

Un administrador que desempeña las funciones de generación y recuperación de claves para un cliente PKI administrada con el gestor de claves de PKI administrada

Par de claves La clave privada y su clave pública asociada Bloque de recuperación de claves (KRB)

Una estructura de datos que contiene la clave privada del suscriptor cifrada con clave de cifrado. Los KRB se generan con el software de gestor de claves PKI administrada

Servicio de recuperación de claves

Un servicio de CERTISIGN que brinda claves de cifrado necesarias para recuperar un Bloque de recuperación de claves como parte del uso por parte de un cliente PKI administrada del gestor de claves de PKI administrada para recuperar la clave privada de un suscriptor

KRB Bloque de recuperación de claves Entidad jurídica Una asociación, corporación, sociedad, empresa unipersonal, fideicomiso, entidad

gubernamental u otra entidad con legitimación en el sistema jurídico de un país

LSVA Evaluación de vulnerabilidades en la seguridad lógica PKI administrada Servicio de PKI administrada totalmente integrado de CERTISIGN que permite a los

clientes empresariales de CERTISIGN y sus filiales distribuir certificados a individuos, como empleados, socios, proveedores y clientes, y también dispositivos, como servidores, enrutadores y cortafuegos. PKI administrada permite a las empresas asegurar las aplicaciones de comercio electrónico, mensajería, intranet28, extranet y red privada virtual

Administrador de PKI administrada

Un administrador que desempeña la función de validación u otras funciones AR para un cliente PKI administrada

Centro de control de PKI administrada

Una interfaz en Internet que permite a los administradores de PKI administrada realizar autenticaciones manuales de las solicitudes de certificado

Gestor de claves de PKI administrada

Una solución de recuperación de claves para aquellos clientes PKI administrada que deciden implementar la recuperación de claves en virtud de un Acuerdo de PKI administrada especial Autenticación

manual Un procedimiento por el que un administrador revisa y aprueba las solicitudes de certificados de manera manual, una por una, con una interfaz en la web

NIST Instituto Nacional de Estándares y Tecnología No rechazo Un atributo de una comunicación que proporciona protección frente a una parte en una

comunicación que deniega falsamente su origen, que deniega que se envió o que se entregó. La denegación de origen incluye la denegación de que una comunicación se originó a partir de la misma fuente como consecuencia de uno o más mensajes anteriores, aun cuando se desconozca la identidad asociada con el remitente. Nota: Solo una adjudicación de una corte, de un panel de arbitraje o de otro tribunal puede evitar finalmente el rechazo. Por ejemplo, una firma digital verificada con referencia a un certificado de CERTISIGN AC PARCERIA puede ser evidencia en respaldo de una determinación de no rechazo por parte de un tribunal, pero en sí no constituye un no rechazo

Información del suscriptor no verificada

La información que envía un solicitante de certificado a una AC o AR, y que se incluye dentro de un certificado, que no haya confirmado la AC o AR y para la cual la AC y AR vigentes no brindan garantías que no sean que la información la envió el solicitante de certificado

Identificador de objetos

Un identificador alfanumérico o numérico único registrado bajo el estándar vigente de la Organización Internacional de Estandarización para un objetivo o clase de objeto específico

OCSP Protocolo de estado de certificado en línea OCSP (Protocolo de estado de certificado en línea)

Un protocolo de verificación de certificados en línea que proporciona información sobre el estado del certificado en tiempo real a las partes confiadas

Respondedor OCSP Un servidor en línea operado bajo la autoridad de una AC y conectado a su Repositorio

para el procesamiento de solicitudes de estado de certificado. Consulte también el Protocolo de estado de certificado en línea


61

AC fuera de línea AUTORIDADES CERTIFICADORAS RAÍZ DE CERTISIGN AC PARCERIA, AC raíz emisoras y otras AC intermediarias designadas que se mantienen fuera de línea por motivos de seguridad a fin de protegerse de posibles ataques por parte de intrusos a través de la red. Estas AC no firman directamente certificados de suscriptores usuarios finales

OID Identificador de objetos AC en línea Las AC que firman certificados de suscriptores usuarios finales se mantienen en línea

para brindar servicios de firma continuos Período operativo El período que comienza con la fecha y hora en que se emite un certificado (o una fecha y

hora posterior determinadas si se menciona en el certificado) y finaliza con la fecha y hora en que caduca el certificado o se revoca con anterioridad

PIN Número de identificación personal PKCS Estándar de criptografía de claves públicas PKCS n.° 10 Estándar de criptografía de claves públicas n.° 10 desarrollado por RSA Security Inc., que

define una estructura para una solicitud de firma de certificado

PKCS n.° 12 Estándar de criptografía de claves públicas n.° 12 desarrollado por RSA Security Inc., que define un medio seguro para transferir claves privadas

ICP Infraestructura de claves públicas PMD Departamento de Administración de Políticas

Autoridad de Administración de Políticas (PMD)

La organización dentro de CERTISIGN que se encarga de promulgar esta política en todo CERTISIGN AC PARCERIA

Clave privada La clave de un par de claves cuyo titular mantiene en secreto y que se utiliza para crear firmas digitales o descifrar archivos o registros electrónicos que se cifraron con la correspondiente clave pública

Clave pública La clave de un par de claves cuyo titular de la correspondiente clave privada puede divulgar públicamente y que la parte confiada utiliza para verificar las firmas digitales creadas con la correspondiente clave privada del titular o para cifrar mensajes y que solo se puedan descifrar a través de la correspondiente clave privada del titular

Infraestructura de claves públicas (ICP)

La arquitectura, la organización, las técnicas, las prácticas y los procedimientos que respaldan en conjunto la implementación y el funcionamiento de un sistema criptográfico de claves públicas basado en certificados. La ICP de CERTISIGN AC PARCERIA consta de sistemas que colaboran para proporcionar e implementar CERTISIGN AC PARCERIA

Certificado de confianza pública

Un certificado de confianza en virtud del hecho de que su certificado raíz correspondiente se distribuye como anclaje de veracidad en el software de aplicación disponible para todo el público

Auditor calificado Una persona física o entidad jurídica que cumple con los requisitos de la Sección 17.6 (Calificaciones del auditor)

AR Autoridad de registro Nombre de dominio registrado

Un nombre de dominio que se registró ante el registrador de nombres de dominio

Autoridad de registro (AR)

Una entidad jurídica responsable de identificar y autenticar sujetos de certificados, pero que no es una AC y, por lo tanto, no firma ni emite certificados. Una AR puede ayudar en el proceso de solicitud de certificados o en el proceso de revocación, o bien en ambos.

Cuando se utiliza “AR” como adjetivo para describir una función o un puesto, no necesariamente implica una entidad separada, sino que puede ser parte de la AC.

Método confiable de comunicación

Un método de comunicación, como la dirección de entrega de mensajería o del correo, el número de teléfono o la dirección de correo electrónico, que se verificó con una fuente que no sea el representante del solicitante

Parte confiada Un individuo o una organización que actúa con confianza en un certificado o firma digital

Acuerdo de partes confiadas

Un acuerdo utilizado por una AC que establece los términos y las condiciones en virtud de los cuales un individuo o una organización actúan como parte confiada


62

Repositorio Una base de datos en línea que contiene documentos del gobierno sobre ICP divulgados públicamente (como políticas de certificados y declaraciones de prácticas de certificación) e información sobre el estado de certificados, ya sea en la forma de una LCR o una respuesta de OCSP

Certificado comercial

Un certificado emitido por CERTISIGN o una filial, que actúa como AC, para individuos u organizaciones que realizan la solicitud uno por uno a CERTISIGN o una filial en su sitio web.

RFC Solicitud de comentarios AC raíz La Autoridad certificadora de primer nivel cuyo certificado raíz se distribuye mediante

proveedores de software de aplicación y que emite certificados de AC subordinadas

Certificado raíz El certificado autofirmado emitido por la AC raíz para identificarse a sí misma y para facilitar la verificación de certificados emitidos a sus AC subordinadas

RSA Un sistema criptográfico de claves públicas inventado por Rivest, Shamir y Adelman S/MIME Extensiones de correo de Internet seguro/multifunción SAR Requisitos de auditoría de seguridad Parte de secreto Una porción de una clave privada de AC o una porción de los datos de activación

necesarios para operar una clave privada de AC en virtud de la disposición de compartición de secretos

Compartición de secretos

La práctica de dividir una clave privada de AC o los datos de activación para operar una clave privada de AC a fin de ejercer control multipersonal sobre las actividades de la clave privada de AC en virtud de la CP § 6.2.2

Capa de sockets seguros (SSL)

El método estándar del sector para proteger las comunicaciones web desarrollado por Netscape Communications Corporation. El protocolo de seguridad SSL brinda cifrado de datos, autenticación de servidores, integridad de mensajes y autenticación opcional de clientes para una conexión de protocolo de Internet/protocolo de control de transmisión

Revisión de prácticas y seguridad

Una revisión de una filial llevada a cabo por CERTISIGN antes de que se le permita a la filial entrar en servicio

SOC Estándar del control de organizaciones de servicios SSL Capa de sockets seguros Subdominio La parte de CERTISIGN AC PARCERIA bajo el control de una entidad y todas las entidades

subordinadas a ella dentro de la jerarquía de CERTISIGN AC PARCERIA

Sujeto Persona física, dispositivo, sistema, unidad o entidad jurídica identificada en un certificado como el sujeto y titular de una clave privada que corresponde a una clave pública. El sujeto es el suscriptor o un dispositivo bajo el control y funcionamiento del

suscriptor. En el caso de un certificado para organizaciones, el término “sujeto” puede referirse al equipo o dispositivo que contiene la clave privada. Al sujeto se le asigna un nombre ambiguo, que se vincula a la clave pública que aparece en el certificado del sujeto.

Información de identidad del sujeto

Información que identifica al sujeto del certificado. La información de identidad del sujeto no incluye un nombre de dominio mencionado en la extensión subjectAltName o en el campo commonName del sujeto

AC subordinada Una Autoridad certificadora cuyo certificado está firmado por la AC raíz u otra AC subordinada

Suscriptor En el caso de un certificado para individuos, una persona que es el sujeto de un certificado y a quien se le ha emitido uno. En el caso de un certificado para organizaciones, una organización que posee el equipo o dispositivo sujeto de un certificado y al cual se le ha emitido uno. El suscriptor es capaz de utilizar la clave privada, y está autorizado a hacerlo, que corresponde a la clave pública mencionada en el certificado

Acuerdo de suscriptores

Un acuerdo utilizado por una AC o AR que establece los términos y las condiciones en virtud de los cuales un individuo o una organización actúan como suscriptor

Entidad superior Una entidad por encima de una entidad determinada dentro de una jerarquía de CERTISIGN AC PARCERIA Revisión

complementaria de la administración de riesgos

Una revisión de una entidad por parte de CERTISIGN luego de obtener hallazgos incompletos o excepcionales en una auditoría de conformidad de la entidad o como parte del proceso general de administración de riesgos en el desarrollo normal de las actividades comerciales


63

Términos de uso Disposiciones sobre la custodia y el uso aceptable de un certificado emitido de conformidad con estos requisitos cuando el solicitante o suscriptor es una filial de la AC

TLS Seguridad de la capa de transporte Persona de confianza

Un empleado, contratista o consultor de una entidad dentro de CERTISIGN AC PARCERIA responsable de administrar la integridad de la infraestructura de la entidad, sus productos, servicios, instalaciones o prácticas según se define en la CP § 5.2.1

Puesto de confianza Los puestos dentro de una entidad de CERTISIGN AC PARCERIA que debe desempeñar la persona de confianza.

Sistema confiable Hardware, software y procedimientos informáticos que estén razonablemente asegurados contra la intrusión y el uso incorrecto, que brinden un nivel razonable de disponibilidad, confiabilidad y funcionamiento correcto, que sean razonablemente adecuados para desempeñar sus funciones previstas, y que exijan el cumplimiento de la

política de seguridad vigente. Un sistema confiable no necesariamente es un “sistema de

confianza” según como se reconoce en la nomenclatura gubernamental clasificada

No registrado Un nombre de dominio que no es un nombre de dominio registrado Nombre de dominio Certificado válido Un certificado que cumple con el procedimiento de validación especificado en RFC

5280

Especialistas de validación

Una persona que realiza las tareas de verificación de la información especificadas en estos requisitos

Período de validez El período de tiempo calculado a partir de la fecha en que se emite el certificado hasta la fecha de caducidad

VOID Voz sobre protocolo de Internet Certificado de carácter comodín

Un certificado que contiene un asterisco (*) en la parte extrema izquierda de cualquiera de los nombres de dominio totalmente calificados del sujeto que aparecen en el certificado

declaraciÓn de prÁcticas de certificaciÓn de certisign...

Documents