polÍtica de certificados de certisign ac parceria

POLÍTICA DE CERTIFICADOS

DE CERTISIGN AC PARCERIA

VERSIÓN 1.0

26 DE OCTUBRE DE 2015

POLÍTICA DE CERTIFICADOS DE CERTISIGN AC PARCERIA

1

Índice 1. INTRODUCCIÓN ................................................................................................................................................9

1.1 Información general ..................................................................................................................................9

1.2 Nombre e identificación del documento ...................................................................................................9

1.2.1 Identificadores de la Política de CABF ...............................................................................................9

1.3 Participantes de ICP ...................................................................................................................................9

1.3.1 Autoridades certificadoras ................................................................................................................9

1.3.2 Autoridades de registro .................................................................................................................. 10

1.3.3 Suscriptores .................................................................................................................................... 10

1.3.4 Partes confiadas ............................................................................................................................. 10

1.3.5 Otros participantes ......................................................................................................................... 10

1.4 Uso de certificados ................................................................................................................................. 10

1.4.1 Usos correspondientes de certificados .......................................................................................... 10

1.4.2 Usos prohibidos de certificados ..................................................................................................... 11

1.5 Administración de la política .................................................................................................................. 11

1.5.1 Organización que administra el documento .................................................................................. 11

1.5.2 Persona de contacto ....................................................................................................................... 11

1.5.3 Persona que determina la idoneidad de la CP de la política .......................................................... 11

1.5.4 Procedimiento de aprobación de la CP .......................................................................................... 11

1.6 Definiciones y acrónimos ........................................................................................................................ 11

2. Responsabilidades de repositorios y publicaciones ...................................................................................... 12

2.1 Repositorios ............................................................................................................................................ 12

2.2 Publicación de la información de certificados ........................................................................................ 12

2.3 Tiempo o frecuencia de publicación ....................................................................................................... 12

2.4 Controles de acceso a los repositorios ................................................................................................... 12

3. Identificación y autenticación ....................................................................................................................... 12

3.1 Definición de nombre ............................................................................................................................. 12

3.1.1 Tipos de nombres ........................................................................................................................... 12

3.1.2 Importancia de los nombres .......................................................................................................... 13

3.1.3 Anonimidad o seudonimidad de los suscriptores .......................................................................... 13

3.1.4 Reglas para interpretar varias formas de nombres ........................................................................ 13

3.1.5 Unicidad de los nombres ................................................................................................................ 13

3.1.6 Reconocimiento, autenticación y funciones de marcas comerciales ............................................. 13

3.2 Validación de identidad inicial ................................................................................................................ 13


2

3.2.1 Método de comprobación de propiedad de claves privadas ......................................................... 13

3.2.2 Autenticación de la identidad de la organización .......................................................................... 13

3.2.3 Autenticación de la identidad individual ........................................................................................ 14

3.2.4 Información de suscriptor no verificada ........................................................................................ 14

3.2.5 Validación de la autoridad .............................................................................................................. 14

3.2.6 Criterios de interoperación ............................................................................................................ 15

3.3 Identificación y autenticación para solicitudes de regeneración de claves ........................................... 15

3.3.1 Identificación y autenticación para regeneración de claves de rutina .......................................... 15

3.3.2 Identificación y autenticación para regeneración de claves luego de la revocación ..................... 15

3.4 Identificación y autenticación para solicitud de revocación .................................................................. 16

4. Requisitos operativos del ciclo de vida de certificados ................................................................................. 16

4.1 Solicitud de certificados ......................................................................................................................... 16

4.1.1 ¿Quién puede presentar una solicitud de certificado? .................................................................. 16

4.1.2 Proceso de inscripción y responsabilidades ................................................................................... 16

4.2 Procesamiento de solicitud de certificados ............................................................................................ 17

4.2.1 Desempeño de las funciones de identificación y autenticación .................................................... 17

4.2.2 Aprobación o rechazo de las solicitudes de certificados ................................................................ 17

4.2.3 Tiempo de procesamiento de las solicitudes de certificados ........................................................ 17

4.2.4 Autorización de la autoridad certificadora (CAA)........................................................................... 17

4.3 Emisión de certificados ........................................................................................................................... 17

4.3.1 Medidas de la AC durante la emisión de certificados .................................................................... 17

4.3.2 Notificaciones al suscriptor por parte de la AC sobre la emisión de certificados .......................... 17

4.3.3 Requisitos de CABF para la emisión de certificados por parte de una AC raíz............................... 17

4.4 Aceptación de certificados ..................................................................................................................... 17

4.4.1 Comportamiento que constituye la aceptación de certificados .................................................... 17

4.4.2 Publicación de certificados por parte de la AC ............................................................................... 18

4.4.3 Notificación de emisión de certificados por parte de la AC a otras entidades .............................. 18

4.5 Uso de certificados y par de claves......................................................................................................... 18

4.5.1 Uso de certificados y clave privada del suscriptor ......................................................................... 18

4.5.2 Uso de certificados y clave pública de partes confiadas ................................................................ 18

4.6 Renovación de certificados..................................................................................................................... 18

4.6.1 Circunstancias para la renovación de certificados ......................................................................... 19

4.6.2 Quiénes pueden solicitar la renovación ......................................................................................... 19

4.6.3 Procesamiento de las solicitudes de renovación de certificados ................................................... 19


3

4.6.4 Notificación al suscriptor sobre la emisión de un nuevo certificado ............................................. 19

4.6.5 Comportamiento que constituye la aceptación de un certificado de renovación ......................... 19

4.6.6 Publicación de certificados de renovación por parte de la AC ....................................................... 19

4.6.7 Notificación de la emisión de certificados por parte de la AC a otras entidades ........................... 19

4.7 Regeneración de claves de certificados ................................................................................................. 19

4.7.1 Circunstancias de regeneración de claves de certificados ............................................................. 19

4.7.2 Quiénes pueden solicitar la certificación de una nueva clave pública ........................................... 19

4.7.3 Procesamiento de las solicitudes de regeneración de claves de certificados ................................ 19


4.7.5 Comportamiento que constituye la aceptación de un certificado con clave regenerada ............. 19

4.7.6 Publicación de certificados con clave regenerada por parte de la AC ........................................... 19


4.8 Modificación de certificados .................................................................................................................. 19

4.8.1 Circunstancias de modificación de certificados ............................................................................. 19

4.8.2 Quiénes pueden solicitar la modificación de certificados .............................................................. 20

4.8.3 Procesamiento de las solicitudes de modificación de certificados ................................................ 20


4.8.5 Comportamiento que otorga la aceptación de un certificado modificado .................................... 20

4.8.6 Publicación de certificados modificados por parte de la AC .......................................................... 20


4.9 Revocación y suspensión de certificados ............................................................................................... 20

4.9.1 Circunstancias de revocación ......................................................................................................... 20

4.9.2 Quiénes pueden solicitar la revocación ......................................................................................... 21

4.9.3 Procedimiento para la solicitud de revocación .............................................................................. 21

4.9.4 Período de gracia de la solicitud de revocación ............................................................................. 21

4.9.5 Tiempo de procesamiento de la solicitud de revocación por parte de la AC ................................. 22

4.9.6 Requisitos de verificación de revocación para partes confiadas.................................................... 22

4.9.7 Frecuencia de emisión de las LCR ................................................................................................... 22

4.9.8 Latencia máxima para LCR .............................................................................................................. 22

4.9.9 Disponibilidad de verificación de estado o revocación en línea .................................................... 22

4.9.10 Requisitos de verificación de revocación en línea ....................................................................... 22

4.9.11 Otras formas de avisos de revocación disponibles ...................................................................... 22

4.9.12 Requisitos especiales respecto del riesgo de claves .................................................................... 22

4.9.13 Circunstancias para la suspensión ................................................................................................ 22


4

4.9.14 Quiénes pueden solicitar la suspensión ....................................................................................... 22

4.9.15 Procedimiento para la solicitud de suspensión ............................................................................ 22

4.9.16 Límites del período de suspensión ............................................................................................... 23

4.10 Servicios de estado de certificados ...................................................................................................... 23

4.10.1 Características operativas ............................................................................................................ 23

4.10.2 Disponibilidad del servicio ............................................................................................................ 23

4.10.3 Funciones opcionales ................................................................................................................... 23

4.11 Fin de la suscripción .............................................................................................................................. 23

4.12 Recuperación y custodia de claves ....................................................................................................... 23

4.12.1 Política y prácticas de recuperación y custodia de claves ............................................................ 23

4.12.2 Política y prácticas de recuperación y encapsulación de claves de sesión .................................. 23

5. Controles operativos, de administración e instalación ................................................................................. 23

5.1 Controles físicos ...................................................................................................................................... 23

5.2 Controles procedimentales .................................................................................................................... 23

5.3 Controles de personal............................................................................................................................. 23

5.4 Procedimientos de registro de auditorías .............................................................................................. 23

5.4.1 Tipos de eventos registrados.......................................................................................................... 23

5.4.2 Frecuencia de procesamiento de registros .................................................................................... 24

5.4.3 Período de retención para registros de auditorías ......................................................................... 24

5.4.4 Protección de registros de auditorías ............................................................................................ 24

5.4.5 Procedimientos de copias de seguridad de registros de auditorías .............................................. 24

5.4.6 Sistema de recopilación de auditorías (interno frente a externo) ................................................. 24

5.4.7 Notificación a sujetos que provocan eventos ................................................................................ 24

5.4.8 Evaluación de vulnerabilidades ...................................................................................................... 24

5.5 Archivo de registros ................................................................................................................................ 25

5.5.1 Tipos de registros archivados ......................................................................................................... 25

5.5.2 Período de retención para archivos ............................................................................................... 25

5.5.3 Protección de archivos ................................................................................................................... 25

5.5.4 Procedimientos de copias de seguridad de archivos ..................................................................... 25

5.5.5 Requisitos para el sellado de tiempo de los registros .................................................................... 25

5.5.6 Sistema de recopilación de archivos (interno o externo)............................................................... 25

5.5.7 Procedimientos para obtener y verificar información de archivos ................................................ 25

5.6 Cambio de claves .................................................................................................................................... 25

5.7 Recuperación ante desastres y riesgos .................................................................................................. 25


5

5.7.1 Procedimientos para control de incidentes y riesgos .................................................................... 25

5.7.2 Recursos informáticos, software o datos dañados ........................................................................ 25

5.7.3 Procedimientos ante riesgos de las claves privadas de entidades ................................................. 25

5.7.4 Capacidad para continuar con el negocio luego de un desastre .................................................... 25

5.8 Terminación de AC o AR ........................................................................................................................ 26

5.9 Seguridad de los datos ............................................................................................................................ 27

6. Controles de seguridad técnicos ................................................................................................................... 27

6.1 Instalación y generación de par de claves .............................................................................................. 27

6.1.1 Generación de par de claves .......................................................................................................... 27

6.1.2 Entrega de clave privada al suscriptor ........................................................................................... 27

6.1.3 Entrega de clave pública al emisor de certificados ........................................................................ 27

6.1.4 Entrega de clave pública de la AC a las partes confiadas ............................................................... 27

6.1.5 Tamaños de las claves .................................................................................................................... 27

6.1.6 Generación y verificación de calidad de los parámetros de las claves públicas ............................ 28

6.1.7 Fines de uso de las claves (según el campo Key Usage de X.509 v3) ............................................. 28

6.2 Controles de ingeniería de módulo criptográfico y protección de clave privada ................................... 28

6.2.1 Controles y estándares del módulo criptográfico .......................................................................... 28

6.2.2 Control multipersonal de clave privada (m de n) ........................................................................... 28

6.2.3 Custodia de clave privada ............................................................................................................... 28

6.2.4 Copia de seguridad de clave privada .............................................................................................. 28

6.2.5 Archivo de clave privada ................................................................................................................ 29

6.2.6 Transferencia de clave privada del módulo criptográfico o hacia él .............................................. 29

6.2.7 Almacenamiento de clave privada en módulo criptográfico ......................................................... 29

6.2.8 Método de activación de clave privada .......................................................................................... 29

6.2.9 Método de desactivación de clave privada .................................................................................... 29

6.2.10 Método de destrucción de clave privada ..................................................................................... 29

6.2.11 Clasificación del módulo criptográfico ......................................................................................... 30

6.3 Otros aspectos de la administración de par de claves ........................................................................... 30

6.3.1 Archivo de clave pública ................................................................................................................. 30

6.3.2 Períodos operativos de certificados y períodos de uso de par de claves ...................................... 30

6.4 Datos de activación................................................................................................................................. 31

6.4.1 Instalación y generación de datos de activación ............................................................................ 31

6.4.2 Protección de datos de activación ................................................................................................. 31

6.4.3 Otros aspectos de los datos de activación ..................................................................................... 31


6

6.5 Controles de seguridad informática ....................................................................................................... 32

6.5.1 Requisitos técnicos de seguridad informática específicos ............................................................. 32

6.5.2 Clasificación de seguridad informática ........................................................................................... 32

6.6 Controles técnicos del ciclo de vida ....................................................................................................... 33

6.6.1 Controles de desarrollo de sistemas .............................................................................................. 33

6.6.2 Controles de administración de seguridad..................................................................................... 33

6.6.3 Controles de seguridad del ciclo de vida ........................................................................................ 33

6.7 Controles de seguridad de la red ............................................................................................................ 33

6.8 Sellado de tiempo ................................................................................................................................... 33

7. Perfiles de certificados, LCR y OCSP .............................................................................................................. 33

7.1 Perfil de certificados ............................................................................................................................... 33

7.1.1 Números de versiones .................................................................................................................... 34

7.1.2 Extensiones de certificados ............................................................................................................ 34

7.1.3 Identificadores de objetos de algoritmos ...................................................................................... 35

7.1.4 Formas de los nombres .................................................................................................................. 35

7.1.5 Restricciones de los nombres ......................................................................................................... 35

7.1.6 Identificador de objetos de la Política de certificados ................................................................... 35

7.1.7 Uso de la extensión de restricciones de la política ........................................................................ 35

7.1.8 Semántica y sintaxis de los calificadores de la política .................................................................. 36

7.1.9 Procesamiento de la semántica para la extensión Critical Certificate Policies .............................. 36

7.2 Perfil de LCR ............................................................................................................................................ 36


7.2.2 Extensiones de LCR y entradas de LCR ........................................................................................... 36

7.3 Perfil de OCSP ......................................................................................................................................... 36


7.3.2 Extensiones de OCSP ...................................................................................................................... 36

8. Auditoría de conformidad y otras evaluaciones ........................................................................................... 37

Requisito de auditoría de CABF para la EV ................................................................................................ 37

8.1 Frecuencia y circunstancias de evaluación ............................................................................................. 37

8.2 Identidad o calificaciones del asesor ...................................................................................................... 37

8.3 Relación del asesor con la entidad evaluada .................................................................................... 37

8.4 Temas que abarca la evaluación ............................................................................................................. 38

Auditorías de AR ........................................................................................................................................ 38

Auditoría de CERTISIGN o una filial ........................................................................................................... 38


7

8.5 Medidas que se tomaron como resultado de insuficiencia .................................................................... 38

8.6 Informe de resultados ............................................................................................................................ 38

9. Otros asuntos legales y comerciales ............................................................................................................. 38

9.1 Aranceles ................................................................................................................................................ 38

9.1.1 Aranceles de emisión o renovación de certificados ....................................................................... 38

9.1.2 Aranceles de acceso de certificados ............................................................................................... 39

9.1.3 Aranceles de acceso a la información de estado o revocación ...................................................... 39

9.1.4 Aranceles por otros servicios ......................................................................................................... 39

9.1.5 Política de reembolso ..................................................................................................................... 39

9.2 Responsabilidad financiera ..................................................................................................................... 39

9.2.1 Cobertura de seguros ..................................................................................................................... 39

9.2.2 Otros activos ................................................................................................................................... 39

9.2.3 Cobertura de garantía extendida ................................................................................................... 39

9.3 Confidencialidad de la información comercial ....................................................................................... 39

9.3.1 Alcance de la información confidencial .......................................................................................... 39

9.3.2 Información fuera del alcance de la información confidencial ...................................................... 40

9.3.3 Responsabilidad para proteger la información confidencial ......................................................... 40

9.4 Privacidad de la información personal ................................................................................................... 40

9.4.1 Plan de privacidad .......................................................................................................................... 40

9.4.2 Información de carácter privado .................................................................................................... 40

9.4.3 Información que no se considera privada ...................................................................................... 40

9.4.4 Responsabilidad para proteger la información privada ................................................................. 40

9.4.5 Notificación y consentimiento para utilizar la información privada .............................................. 40

9.4.6 Divulgación conforme al proceso judicial o administrativo ........................................................... 40

9.4.7 Otras circunstancias de divulgación de la información .................................................................. 41

9.5 Derechos de propiedad intelectual ........................................................................................................ 41

9.5.1 Derechos de propiedad en certificados e información de revocación........................................... 41

9.5.2 Derechos de propiedad en la CP .................................................................................................... 41

9.5.3 Derechos de propiedad en nombres .............................................................................................. 41

9.5.4 Derechos de propiedad en claves y material de claves ................................................................. 41

9.6 Representaciones y garantías ................................................................................................................. 41

9.6.1 Representaciones y garantías de AC .............................................................................................. 41

9.6.2 Representaciones y garantías de AR .............................................................................................. 42

9.6.3 Representaciones y garantías de suscriptores ............................................................................... 42


8

9.6.4 Representaciones y garantías de partes confiadas ........................................................................ 42

9.6.5 Representaciones y garantías de otros participantes .................................................................... 42

9.7 Exclusión de garantías ............................................................................................................................ 42

9.8 Limitaciones de responsabilidad ............................................................................................................ 43

9.8.1 Limitaciones de responsabilidad para la EV ................................................................................... 43

9.9 Indemnizaciones ..................................................................................................................................... 43

9.9.1 Indemnización por parte de suscriptores ....................................................................................... 43

9.9.2 Indemnización por parte de las partes confiadas .......................................................................... 43

9.9.3 Indemnización de proveedores de software de aplicación ............................................................ 43

9.10 Vigencia y finalización ........................................................................................................................... 43

9.10.1 Vigencia ........................................................................................................................................ 43

9.10.2 Finalización ................................................................................................................................... 44

9.10.3 Efecto de la finalización y la supervivencia .................................................................................. 44

9.11 Notificaciones y comunicaciones individuales con participantes......................................................... 44

9.12 Enmiendas ............................................................................................................................................ 44

9.12.1 Procedimiento para enmiendas ................................................................................................... 44

9.12.2 Período y mecanismo de notificación .......................................................................................... 44

9.12.3 Circunstancias en las que el OID debe cambiarse ........................................................................ 45

9.13 Disposiciones sobre la resolución de disputas ..................................................................................... 45

9.13.1 Disputas entre CERTISIGN, sus filiales y clientes .......................................................................... 45

9.13.2 Disputas con suscriptores usuarios finales o partes confiadas .................................................... 45

9.14 Ley vigente ............................................................................................................................................ 45

9.15 Cumplimiento de la ley vigente ............................................................................................................ 45

9.16 Disposiciones varias .............................................................................................................................. 45

9.16.1 Acuerdo completo ........................................................................................................................ 45

9.16.2 Asignación .................................................................................................................................... 45

9.16.3 Divisibilidad .................................................................................................................................. 45

9.16.4 Exigibilidad (honorarios de abogados y renuncia de derechos) ................................................... 46

9.16.5 Fuerza mayor ................................................................................................................................ 46

9.17 Otras disposiciones ............................................................................................................................... 46

Apéndice A: Lista de acrónimos y definiciones ................................................................................................. 47


9

1. INTRODUCCIÓN Este documento, “Políticas de certificados (CP) de CERTISIGN AC PARCERIA” es la principal declaración de

políticas que rige CERTISIGN AC PARCERIA. La CP establece los requisitos comerciales, legales y técnicos para la

aprobación, la emisión, la administración, el uso, la revocación y la renovación de certificados digitales de

CERTISIGN AC PARCERIA, así como también para la prestación de servicios de confianza relacionados para todos

los participantes de CERTISIGN AC PARCERIA. Estos requisitos protegen la seguridad y la integridad de

CERTISIGN AC PARCERIA y comprenden un único conjunto de normas que se aplican de forma generalizada, por

lo tanto brindan garantía de confiabilidad uniforme a lo largo de CERTISIGN AC PARCERIA. La CP no es un

acuerdo legal entre CERTISIGN y los participantes; más bien, las obligaciones contractuales entre CERTISIGN y

los participantes están establecidas mediante acuerdos con tales participantes.

Este documento está previsto para los siguientes destinatarios:

Los proveedores de servicios de ICP de CERTISIGN AC PARCERIA que deben operar conforme a su propia

Declaración de prácticas de certificación (CPS), la cual cumple con los requisitos determinados en la CP.

Los suscriptores de certificados de CERTISIGN AC PARCERIA que deben conocer cómo se autentican y cuáles

son sus obligaciones como suscriptores de CERTISIGN AC PARCERIA, y de qué manera están protegidos por

CERTISIGN AC PARCERIA.

Las partes confiadas que deben conocer cuánto pueden confiar en un certificado de CERTISIGN AC

PARCERIA o en una firma digital usando ese certificado.

Esta CP cumple con la RFC 3647 de Internet Engineering Task Force (IETF) para la creación de Políticas de

certificados y Declaraciones de prácticas de certificación.

1.1. Información general CERTISIGN AC PARCERIA es una AC de firma propia, sin ninguna AC subordinada.

CERTISIGN opera como AC conforme a la CP de CERTISIGN AC PARCERIA y emite certificados de suscriptores

usuarios finales.

Las autoridades de registro (AR) son entidades que autentican las solicitudes de certificados de CERTISIGN AC

PARCERIA.

CERTISIGN y sus filiales se desempeñan como AR de los certificados que emiten. CERTISIGN y sus filiales también

celebran relaciones contractuales con empresas que desean administrar sus propias solicitudes de certificados.

Estos clientes empresariales se desempeñan como AR y autentican solicitudes de certificados para ellos mismos y

sus individuos afiliados. CERTISIGN o la filial luego emitirán estas solicitudes de certificados autenticados.

Según el tipo de certificado, es posible que los suscriptores utilicen los certificados digitales para asegurar sitios

web y firmar digitalmente códigos u otro contenido, además de documentos o correos electrónicos. La persona

que recibe finalmente una comunicación o un documento firmado, o accede a un sitio web seguro se denomina la

parte confiada, es decir, la persona confía en el certificado y debe tomar la decisión de confiar o no en este.

La parte confiada debe confiar en el certificado conforme al Acuerdo de partes confiadas pertinente, publicado en el

sitio web de CERTISIGN AC PARCERIA.

1.2. Nombre e identificación del documento Este documento es la Política de certificados (CP) de CERTISIGN AC PARCERIA.

1.2.1. Identificadores de la Política de CABF

No corresponde.

1.3. Participantes de PKI

1.3.1. Autoridades certificadoras El término Autoridad certificadora (AC) en esta CP hace referencia a CERTISIGN AC PARCERIA.


10

1.3.2. Autoridades de registro Una autoridad de registro es una entidad que realiza la identificación y autenticación de solicitantes de

certificados para certificados de usuarios finales, que inicia o transmite solicitudes de revocación de certificados

de usuarios finales y que aprueba solicitudes de renovación o regeneración de claves de certificados en nombre de

una AC de CERTISIGN AC PARCERIA. CERTISIGN puede desempeñarse como AR de los certificados que emite.

Cualquier tercero, que celebra una relación contractual con CERTISIGN, puede operar su propia AR y autorizar la

emisión de certificados por parte de la AC de CERTISIGN AC PARCERIA. Las AR de terceros deben respetar todos

los requisitos de la CP de CERTISIGN AC PARCERIA, la CPS de CERTISIGN AC PARCERIA y los términos de su

acuerdo de servicios empresariales con CERTISIGN. No obstante, las AR pueden implementar más prácticas

restrictivas basadas en sus requisitos internos.

1.3.3. Suscriptores Los suscriptores de CERTISIGN AC PARCERIA incluyen todos los usuarios finales (incluidas las entidades) de

certificados emitidos por la AC de CERTISIGN AC PARCERIA. Un suscriptor es la entidad denominada como el

suscriptor usuario final de un certificado. Los suscriptores usuarios finales pueden ser individuos,

organizaciones o componentes de infraestructura como cortafuegos, enrutadores, servidores de confianza u

otros dispositivos utilizados para asegurar las comunicaciones dentro de una organización.

En algunos casos, los certificados se emiten directamente a los individuos o las entidades para su propio uso. Sin

embargo, comúnmente existen otras situaciones donde la parte que requiere un certificado no es el mismo

sujeto al que corresponde la credencial. Por ejemplo, una organización puede requerir certificados para sus

empleados a fin de permitirles que representen a la organización en negociaciones o transacciones electrónicas.

En estas situaciones, la entidad que suscribe la emisión de los certificados (es decir, que los paga mediante la

suscripción a un servicio específico, o como el emisor en sí) es distinta a la entidad que es el sujeto del

certificado (por lo general, el titular de la credencial). Se utilizan dos términos diferentes en esta CP para

distinguir estas dos funciones: el “suscriptor” es la entidad que celebra un contrato con CERTISIGN para la

emisión de las credenciales y el “sujeto” es la persona a la que está vinculada la credencial. El suscriptor es el

responsable principal del uso de la credencial, pero el sujeto es el individuo que se autentica cuando se presenta

la credencial.

Cuando se utiliza el término “sujeto”, se realiza para marcar una diferenciación del suscriptor. Cuando se emplea

“suscriptor”, puede referirse simplemente al suscriptor como una entidad distinta, pero también puede usarse

para abarcar ambos términos. El contexto de su uso en esta CP invocará la comprensión correcta.

1.3.4. Partes confiadas Una parte confiada es un individuo o una entidad que actúa sobre la base de la confianza de una firma digital

o un certificado emitido por CERTISIGN AC PARCERIA. Una parte confiada puede ser también o no un

suscriptor dentro de CERTISIGN AC PARCERIA.

1.3.5. Otros participantes No corresponde.

1.4. Uso de certificados

1.4.1. Usos correspondientes de certificados

1.4.1.1. Certificados emitidos a individuos

Los certificados para individuos son normalmente utilizados por las personas para firmar y cifrar correos

electrónicos y realizar autenticaciones en aplicaciones (autenticación de cliente).

1.4.1.2. Certificados emitidos a organizaciones Los certificados para organizaciones son emitidos a organizaciones una vez que se autentica que la organización

existe legalmente y que otros atributos de la organización incluidos en el certificado (excepto la información del


11

suscriptor no verificada) estén autenticados, por ej., la propiedad de un dominio de correo electrónico o Internet.

1.4.1.3. Niveles de seguridad No corresponde.

1.4.2 Usos prohibidos de certificados

Los certificados solo deben utilizarse en la medida que el uso esté de acuerdo con la legislación vigente y, en

particular, solo deben utilizarse en la medida que esté permitido conforme a las leyes de importación o

exportación correspondientes.

Los certificados de AC no pueden utilizarse para otras funciones, salvo para las funciones AC. Además,

los certificados de suscriptores usuarios finales no deben utilizarse como certificados de AC.

1.5. Administración de la política

1.5.1. Organización que administra el documento

Certisign Certificadora Digital S.A.

Rua Bela Cintra, 904 – 16. Andar – São Paulo

Brasil

1.5.2. Persona de contacto

Normas e Gestão de PKI

Certisign Certificadora Digital S.A.

Rua Bela Cintra, 904 – 16. Andar – São Paulo

Brasil

(55 11 4501-2417)

[email protected]

1.5.3. Persona que determina la idoneidad de la CP de la política

El Departamento de administración de políticas (PMD) de CERTISIGN AC PARCERIA, denominado “Normas e

Gestão de PKI” determina la idoneidad y aplicabilidad de esta CP.

1.5.4. Procedimiento de aprobación de la CP

El PMD estará a cargo de la aprobación de esta CP y de sus posteriores enmiendas. Las enmiendas deben ser en forma de un documento con un formulario de enmienda de la CP o bien una notificación de actualización. Las actualizaciones o versiones enmendadas deben estar vinculadas a la sección Notificaciones y actualizaciones de prácticas del Repositorio de CERTISIGN ubicado en:

http://iofe.certisign.com.br/repository/cps/Certisign_AC_Peru_CPS.pdf.

Las actualizaciones substituyen toda disposición designada o en conflicto de la versión referida de la CP.

1.6. Definiciones y acrónimos Consulte el Apéndice A para ver el cuadro de acrónimos y definiciones.

mailto:[email protected]

http://iofe.certisign.com.br/repository/cps/Certisign_AC_Peru_CPS.pdf


12

2. Responsabilidades de repositorios y publicaciones

2.1. Repositorios CERTISIGN y sus filiales son responsables del mantenimiento de un repositorio en línea de acceso público,

así como también de la información de revocación relacionada con los certificados que emiten.

2.2. Publicación de la información de certificados CERTISIGN y sus filiales mantienen un repositorio en Internet que permite a las partes confiadas realizar

consultas en línea con respecto a la información de revocación y otra información de estado del certificado.

Cualquier excepción será aprobada por el PMD de forma individual y debe documentarse en la CPS

correspondiente. CERTISIGN y sus filiales brindan a las partes confiadas información sobre cómo encontrar el

repositorio adecuado para consultar el estado del certificado y, si se encuentra disponible el Protocolo de estado

de certificado en línea (OCSP), cómo encontrar el respondedor OCSP correcto.

CERTISIGN publicará en todo momento una versión actualizada de los siguientes documentos en sus repositorios:

Esta CP de CERTISIGN AC PARCERIA.

La CPS de CERTISIGN AC PARCERIA.

Los Acuerdos de suscripción.

Los Acuerdos de partes confiadas.

2.3. Tiempo o frecuencia de publicación La información de la AC se publica inmediatamente después de que se encuentre disponible para la AC.

CERTISIGN AC PARCERIA ofrece LCR que muestran la revocación de los certificados de CERTISIGN AC

PARCERIA y brinda servicios de consulta de estado a través del repositorio de CERTISIGN y los repositorios de

las filiales. Las LCR para certificados de suscriptores usuarios finales deben emitirse al menos una vez por día.

2.4. Controles de acceso a los repositorios CERTISIGN y sus filiales no utilizarán de forma intencional medios técnicos para limitar el acceso a esta CP, su

CPS, sus certificados, la información de estado de certificados o las LCR. CERTISIGN y sus filiales, no obstante,

exigen que las personas acepten el Acuerdo de partes confiadas o el Acuerdo de uso de LCR como condición para

acceder a los certificados, la información de estado de certificados o las LCR. CERTISIGN y sus filiales deben

implementar controles para evitar que personas no autorizadas agreguen, eliminen o modifiquen entradas del

repositorio.

3. Identificación y autenticación

3.1. Definición de nombre Salvo que se indique lo contrario en esta CP, la CPS pertinente o el contenido del certificado digital, los nombres

que figuran en los certificados emitidos por CERTISIGN AC PARCERIA se autentican.

3.1.1. Tipos de nombres Los certificados de suscriptores usuarios finales contienen un nombre distinguido (DN) X.501 en el campo

Nombre de sujeto y en el campo Nombre de emisor.

El DN del sujeto de certificados de suscriptores usuarios finales incluye un componente de nombre común (CN).

El valor nombre común autenticado incluido en el DN de sujeto de certificados para organizaciones debe ser un

nombre de dominio, la dirección de correo electrónico de la organización, el nombre legal de la organización

dentro de la organización o el nombre del representante autorizado de la empresa para usar la llave privada de

la organización. El componente organización (O) debe ser el nombre legal de la organización.


13

El valor nombre común incluido en el DN de sujeto de certificados para individuos debe representar el

nombre personal generalmente aceptado del individuo. Los certificados de CERTISIGN AC PARCERIA

también pueden contener una referencia al Acuerdo de partes confiadas correspondiente en sus DN.

3.1.1.1 Requisitos de definición de nombres de CABF

No corresponde.

3.1.2. Importancia de los nombres Los certificados de suscriptores usuarios finales deben contener nombres con una semántica que sea fácil de

comprender y que permita determinar la identidad del individuo o la organización que es el sujeto del certificado.

3.1.3. Anonimidad o seudonimidad de los suscriptores

Cuando se exija por ley o una autoridad estatal o gubernamental exija proteger la identidad de determinados

suscriptores usuarios finales (por ej., menores o información confidencial de un empleado del gobierno), se

puede emitir un certificado que indique que se ha autenticado la identidad, pero está protegida. Cada solicitud de

anonimidad en un certificado será evaluada por el PMD en función de su merecimiento.

3.1.4. Reglas para interpretar varias formas de nombres

No hay estipulaciones.

3.1.5. Unicidad de los nombres Los nombres de los suscriptores de CERTISIGN AC PARCERIA deben ser únicos dentro del subdominio de una

filial y un cliente para un tipo específico de certificado. El suscriptor puede tener dos o más certificados con el

mismo nombre distinguido (DN) de sujeto.

3.1.6. Reconocimiento, autenticación y funciones de marcas comerciales Los solicitantes de certificados no deben usar nombres en sus solicitudes que infrinjan los derechos de

propiedad intelectual de otras personas. Ni CERTISIGN ni ninguna de sus filiales debe determinar si un

solicitante de certificado tiene derechos de propiedad intelectual sobre el nombre que figura en la solicitud de

certificado, ni debe arbitrar, mediar o resolver cualquier disputa relacionada con la propiedad de cualquier

nombre de dominio, nombre comercial, marca comercial o marca de servicio. CERTISIGN y sus filiales tienen

derecho, sin responsabilidad alguna por ningún solicitante de certificado, a rechazar o suspender cualquier

solicitud de certificado debido a una disputa.

3.2. Validación de identidad inicial

3.2.1. Método de comprobación de propiedad de claves privadas

El solicitante de certificado debe demostrar que posee legítimamente la clave privada correspondiente a la clave

pública que debe indicarse en el certificado.

El método para comprobar la posesión de una clave privada debe ser mediante el PKCS n.° 10, otra

demostración de criptografía equivalente u otro método aprobado por CERTISIGN. Este requisito no

corresponde cuando una AC genera un par de claves en nombre de un suscriptor1.

3.2.1.1. Requisitos de verificación de CABF para la EV No corresponde.

3.2.2. Autenticación de la identidad de la organización Siempre que un certificado contenga el nombre de una organización, se confirma la identidad de la

organización, además de otra información de inscripción provista por los solicitantes de certificados (excepto la

información del suscriptor no verificada), de acuerdo con los procedimientos establecidos en los

procedimientos de validación documentados de CERTISIGN.

1por ejemplo, cuando se colocan claves generadas previamente en tarjetas inteligentes.


14

Como mínimo, CERTISIGN o una filial deben realizar lo siguiente:

Determinar que la organización existe utilizando al menos una base de datos o un servicio de

verificación de identidad externo, o como alternativa, una documentación de la organización

emitida o archivada en el organismo gubernamental pertinente o una autoridad reconocida que

confirme la existencia de la organización.

Confirmar al solicitante del certificado, por teléfono, correo postal de confirmación u otro

procedimiento semejante, cierta información acerca de la organización, que la organización ha

autorizado al solicitante del certificado y que la persona que presenta la solicitud de certificado en

nombre del solicitante está autorizada para hacerlo.

Cuando un certificado incluye el nombre de un individuo como representante autorizado de la

organización, también debe confirmarse el empleo de ese individuo y su facultad para actuar en nombre

de la organización.

Cuando se incluye un nombre de dominio o una dirección de correo electrónico en el certificado,

CERTISIGN o una filial autentica el derecho de la organización a usar ese nombre de dominio como

nombre de dominio o dominio de correo electrónico totalmente habilitado.

3.2.2.1. Requisitos de verificación de CABF para solicitantes de organizaciones

No corresponde.

3.2.2.2. Requisitos de verificación de Mozilla para solicitantes de organizaciones

Los procedimientos de validación para emitir certificados que contienen nombres de dominio

internacionalizados (IDN) deben documentarse en la CPS del participante de CERTISIGN AC PARCERIA. Los

procedimientos que validan la propiedad de un dominio deben prevenir la falsificación homógrafa de los IDN

y deben cumplir en su totalidad con los requisitos del foro del buscador o la AC para los certificados de IDN.

3.2.3. Autenticación de la identidad del individuo La autenticación de los certificados individuales se basa en la presencia física del solicitante del certificado ante

un agente de la AC o la AR, o ante un escribano público u otro funcionario con una autoridad semejante dentro

de la jurisdicción del solicitante del certificado. El agente, escribano u otro funcionario debe verificar la

identidad del solicitante del certificado mediante una forma reconocida de identificación con fotografía emitida

por el gobierno, como el pasaporte o la licencia de conducir y otra credencial de identificación más.

3.2.4. Información del suscriptor no verificada

La información del suscriptor no verificada incluye lo siguiente:

La unidad organizativa (OU) con ciertas excepciones2.

Cualquier otra información designada como no verificada en su CPS.

3.2.5. Validación de la autoridad Siempre que el nombre de un individuo esté asociado con el nombre de una organización en un certificado, de

manera tal que indique la afiliación del individuo o la autorización para actuar en nombre de la organización, la

AR realiza lo siguiente:

Determina que la organización existe utilizando al menos una base de datos o un servicio de verificación

de identidad externo, o como alternativa, una documentación de la organización emitida o archivada en

el organismo gubernamental pertinente o una autoridad reconocida que confirme la existencia de la

organización.

Usa la información contenida en los registros comerciales o las bases de datos de información comercial

(directorios de empleados o clientes) de una AR que aprueba los certificados a sus propios individuos

afiliados o confirma a la organización, por teléfono, correo postal de confirmación u otro procedimiento

semejante, el empleo dentro dela organización del individuo que presenta la solicitud de certificado y,

cuando corresponda, su capacidad para actuar en nombre de la organización.

2

Los certificados validados por dominios y los certificados validados por organizaciones pueden contener valores de unidad organizativa que se validan.


15

3.2.6. Criterios de interoperación

CERTISIGN puede brindar servicios de interoperación que permiten que cualquier AC pueda interoperar con

CERTISIGN AC PARCERIA al certificar de forma unilateral esa AC. Las AC habilitadas para operar de esta forma

cumplirán con la CP de CERTISIGN AC PARCERIA conforme a su complementación con otras políticas cuando sea

requerido.

CERTISIGN solo debe permitir la interoperación de cualquier AC con CERTISIGN AC PARCERIA en

circunstancias donde la AC debe como mínimo:

Celebrar un acuerdo contractual con CERTISIGN o una filial.

Operar conforme a una CPS que cumpla con los requisitos de CERTISIGN AC PARCERIA para los tipos

de certificados que emitirá.

Aprobar una evaluación de cumplimiento para poder estar habilitado para interoperar.

Aprobar una evaluación de cumplimiento anual para conservar la elegibilidad para interoperar.

3.3. Identificación y autenticación para solicitudes de regeneración de claves

Antes de la caducidad del certificado actual de un suscriptor, es necesario que el suscriptor obtenga un nuevo

certificado para mantener la continuidad del uso del certificado. Las AC y las AR, por lo general, exigen que el

suscriptor genere un nuevo par de claves para reemplazar el par de claves vencido (técnicamente definido como

“regeneración de claves”). Sin embargo, en ciertos casos (es decir, para los certificados de servidores web) los

suscriptores pueden solicitar un certificado nuevo para un par de claves existente (técnicamente definido como

“renovación”).

En términos generales, tanto la “regeneración de claves” como la “renovación” se describe normalmente como

“renovación de certificado” y se centra en el hecho de que el certificado antiguo se reemplaza por el certificado

nuevo y no se enfatiza si se genera o no un par de claves nuevo. Cuando exista una distinción entre la

“regeneración de claves” y la “renovación”, se señalará.

3.3.1. Identificación y autenticación para regeneración de claves de rutina La entidad que aprueba una solicitud de certificado para el suscriptor de un certificado de suscriptor usuario final

deber ser la responsable de autenticar una solicitud de regeneración de claves o renovación. Los procedimientos

de regeneración de claves aseguran que la persona o la organización que solicita renovar o regenerar las claves de

un certificado de suscriptor usuario final sea efectivamente el suscriptor del certificado.

Un procedimiento aceptable es a través del uso de una frase de comprobación (o su equivalente) o una

constancia de la posesión de la clave privada. Los suscriptores eligen y brindan con su información de

inscripción una frase de comprobación. Al renovar un certificado, si un suscriptor brinda correctamente su frase

de comprobación (o su equivalente) con su información de la nueva inscripción, y la información de inscripción

(incluida la información de contacto3) no ha cambiado, se emite automáticamente la renovación del certificado.

Luego de la renovación o la regeneración de claves de este modo, y al menos en otras instancias de renovación o

regeneración de claves posteriores, la AC o la AR vuelve a confirmar la identidad del suscriptor de acuerdo con

los requisitos de identificación y autenticación de una solicitud de certificado original.

3.3.2. Identificación y autenticación para la regeneración de claves después de la revocación

No se permite la regeneración de claves o la renovación después de la revocación si esta sucedió por lo siguiente:

El certificado se emitió a una persona que no era la que estaba designada como el sujeto del certificado.

El certificado se emitió sin la autorización de la persona o la entidad designada como el sujeto de ese

certificado.

La entidad que aprueba la solicitud de certificado del suscriptor descubre o tiene motivos para creer

que un hecho importante en la solicitud de certificado es falso.

El certificado se consideró perjudicial para CERTISIGN AC PARCERIA.

Según el párrafo precedente, se permite la renovación de un certificado para organizaciones o AC luego de la

revocación del certificado, siempre que los procedimientos de renovación aseguren que la organización o la AC

que solicita la renovación sea efectivamente el suscriptor del certificado.

3Si la información de contacto se modificó mediante un procedimiento formal aprobado de cambio de contacto, el certificado

aun así debe reunir los requisitos para la renovación automática.


16

Los certificados para organizaciones renovados deben contener el mismo DN de sujeto que el del certificado para

organizaciones que se está renovando.

La renovación de un certificado para individuos luego de la revocación debe asegurar que la persona que solicita

la renovación sea efectivamente el suscriptor. Un procedimiento aceptable es el uso de una frase de

comprobación (o su equivalente). Aparte de este procedimiento u otro procedimiento aprobado por CERTISIGN,

para renovar un certificado luego de la revocación deben utilizarse los requisitos para la identificación y

autenticación de una solicitud de certificado original.

3.4. Identificación y autenticación para solicitudes de revocación

Los procedimientos de revocación aseguran, antes de la revocación de cualquier certificado, que esta

efectivamente la haya solicitado el suscriptor del certificado, la entidad que aprobó la solicitud de certificado o la

AC correspondiente.

Los procedimientos aceptables para autenticar las solicitudes de revocación de un suscriptor incluyen los siguientes:

El suscriptor para ciertos tipos de certificado debe brindar la frase de comprobación (o su equivalente)

y se debe revocar el certificado automáticamente si coincide con la frase de comprobación (o su

equivalente) registrada. (Tenga en cuenta que esta opción puede no estar disponible para todos los

clientes).

Recibir un mensaje del suscriptor que solicita la revocación, el cual contiene una firma digital

verificable con referencia al certificado que se revoca.

Comunicarse con el suscriptor para obtener garantías razonables de que la persona o la organización

que solicita la revocación es efectivamente el suscriptor. Dicha comunicación, según las circunstancias,

puede incluir una o más de las siguientes opciones: teléfono, facsímil, correo electrónico, correo postal

o servicio de mensajería.

Los administradores de AC o AR tienen derecho a solicitar la revocación de certificados de suscriptores

usuarios finales dentro del subdominio de la AC o la AR. CERTISIGN y sus filiales autentican la identidad de

los administradores mediante la autenticación de clientes antes de permitirles realizar funciones de

revocación u otro procedimiento aprobado por CERTISIGN AC PARCERIA.

4. Requisitos operativos del ciclo de vida de certificados

4.1. Solicitud de certificado

4.1.1. ¿Quién puede presentar una solicitud de certificado?

A continuación, se presenta una lista de las personas que pueden presentar solicitudes de certificados:

Todo individuo que sea el sujeto del certificado.

Todo representante autorizado de una organización o entidad.

Todo representante autorizado de una AC.

Todo representante autorizado de una AR.

4.1.2. Proceso de inscripción y responsabilidades

4.1.2.1. Suscriptores usuarios finales de certificados

Todos los suscriptores usuarios finales de certificados deben manifestar su asentimiento con el Acuerdo de

suscriptores pertinente que contiene las declaraciones y garantías descritas en la Sección 9.6.3 y someterse a

un proceso de inscripción que consta de las siguientes partes:

Completar una solicitud de certificado y proporcionar información verdadera y correcta.

Generar o haber solicitado la generación de un par de claves.

Entregar su clave pública, en forma directa o a través de una AR, a la AC.

Demostrar la posesión o el control exclusivo de la clave privada correspondiente a la clave pública entregada a la AC.

4.1.2.2. Requisitos de CABF para la solicitud de certificados

No corresponde.


17

4.2. Procesamiento de solicitudes de certificados

4.2.1. Desempeño de las funciones de identificación y autenticación

Una AR debe llevar a cabo la identificación y la autenticación de toda la información requerida del suscriptor

conforme a la Sección 3.2.

4.2.2. Aprobación o rechazo de las solicitudes de certificados

Una AR aprobará una solicitud de certificado si se cumplen los siguientes criterios:

La identificación y autenticación correcta de toda la información requerida del suscriptor conforme a la Sección 3.2.

La recepción del pago (si corresponde).

Una AR rechazará una solicitud de certificado en los siguientes casos:

La identificación y autenticación de toda la información requerida del suscriptor conforme a la Sección

3.2 no puede completarse.

El suscriptor no proporciona la documentación de respaldo cuando se solicita.

El suscriptor no responde las notificaciones dentro de un periodo determinado.

No se ha recibido el pago (si corresponde).

La AR considera que emitir un certificado al suscriptor puede traer desprestigio a CERTISIGN AC

PARCERIA.

4.2.3. Tiempo de procesamiento de las solicitudes de certificados

Las AC y las AR comienzan a procesar las solicitudes de certificado dentro de un periodo razonable a partir

de su recepción. No existe un tiempo estipulado para completar el procesamiento de una solicitud, salvo que

se indique lo contrario en el Acuerdo de suscriptores pertinente, la CPS u otro acuerdo entre los participantes

de CERTISIGN AC PARCERIA.

Una solicitud de certificado permanece activa hasta que se rechaza.

4.2.4. Autorización de la Autoridad certificadora (CAA)

No corresponde.

4.3. Emisión de certificados

4.3.1. Medidas de la AC durante la emisión de certificados Un certificado se crea y emite una vez que una AC aprueba una solicitud de certificado o después de que se

recibe la solicitud de una AR de emitir el certificado. La AC crea y emite un certificado basándose en la

información de la solicitud de certificado luego de su aprobación.

4.3.2. Notificaciones al suscriptor por parte de la AC sobre la emisión de certificados Las AC que emiten certificados a suscriptores usuarios finales deben, ya sea de forma directa o a través de una

AR, notificar a los suscriptores que ya crearon dichos certificados y brindarles acceso a ellos informándoles que

ya se encuentran disponibles y el medio a través del cual pueden obtenerlos. Los certificados deben ponerse a

disposición de los suscriptores usuarios finales, ya sea al permitirles que los descarguen de un sitio web o a

través de un mensaje enviado al suscriptor con el certificado incluido.

4.3.3. Requisitos de CABF para la emisión de certificados por parte de una AC raíz No corresponde.

4.4. Aceptación de certificados

4.4.1. Comportamiento que constituye la aceptación de certificados

El siguiente comportamiento constituye la aceptación de certificados:


18

Descargar un certificado o instalar un certificado desde un mensaje al que se encuentra

adjunto constituye la aceptación del certificado por parte del suscriptor.

La falta de objeción por parte del suscriptor con respecto al certificado o su contenido constituye la aceptación del certificado.

4.4.2. Publicación de certificados por parte de la AC Las AC publican los certificados que emiten en un repositorio de acceso público.

4.4.3. Notificación de la emisión de certificados por parte de la AC a otras entidades Las AR pueden recibir una notificación de la emisión de los certificados que aprueban.

4.5. Uso de certificados y par de claves

4.5.1. Uso de certificados y clave privada del suscriptor

El uso de la clave privada correspondiente a la clave pública del certificado solo debe permitirse una vez que

el suscriptor haya aceptado el Acuerdo de suscriptores y el certificado. El certificado debe utilizarse de

forma legítima conforme al Acuerdo de suscriptores de CERTISIGN, las disposiciones de esta CP y la CPS

correspondiente. El uso del certificado debe ser coherente con las extensiones del campo KeyUsage

incluidas en el certificado.

Los suscriptores deben proteger sus claves privadas de cualquier uso no autorizado y deben suspender el uso

de la clave privada luego de la caducidad o revocación del certificado. Nadie más que el suscriptor debe

archivar la clave privada del suscriptor, a excepción de lo establecido en la Sección 4.12.

4.5.2. Uso de certificados y clave pública de partes confiadas

Toda parte confiada debe manifestar su asentimiento con las disposiciones del Acuerdo de partes confiadas

vigente como condición de la confianza en el certificado.

La confianza en un certificado debe ser razonable según las circunstancias. Si las circunstancias indican una

necesidad de más garantías, la parte confiada debe obtener esas garantías para que dicha confianza se considere

razonable.

Antes de cualquier acto de confianza, las partes confiadas deben evaluar de forma independiente:

La adecuación del uso de un certificado para un fin dado y determinar si el certificado efectivamente se

utilizará para un fin adecuado que no esté prohibido ni restringido por esta CP. CERTISIGN, las AC y las

AR no son responsables de evaluar la adecuación del uso de un certificado.

Que el certificado se esté utilizando de acuerdo con las extensiones del campo KeyUsage

incluidas en el certificado.

El estado del certificado y todas las AC que intervinieron en la cadena que emitió el certificado. Si se

revocó alguno de los certificados en la cadena de certificados, la parte confiada es la única responsable de

investigar si es razonable confiar en una firma digital realizada en un certificado de suscriptor usuario

final, antes de la revocación de un certificado en la cadena de certificados. Dicha confianza queda bajo la

exclusiva responsabilidad de la parte confiada.

En el supuesto de que el uso del certificado sea correcto, las partes confiadas deben utilizar el software o

hardware adecuados para realizar la verificación de la firma digital u otras operaciones criptográficas que

deseen realizar, como condición de confianza en los certificados relacionados con cada una de esas operaciones.

Dichas operaciones incluyen identificar una cadena de certificados y verificar las firmas digitales en todos los

certificados de la cadena de certificados.

4.6. Renovación de certificados La renovación de certificados es la emisión de un nuevo certificado para el suscriptor sin cambiar la clave

pública ni ninguna otra información en el certificado.

CERTISIGN AC PARCERIA no permite la renovación de certificados.


19

4.6.1. Circunstancias para la renovación de certificados

No corresponde.

4.6.2. Quiénes pueden solicitar la renovación

No corresponde.

4.6.3. Procesamiento de las solicitudes de renovación de certificados No corresponde.

4.6.4. Notificación al suscriptor sobre la emisión de un nuevo certificado

No corresponde.

4.6.5. Comportamiento que constituye la aceptación de un certificado de renovación No corresponde.

4.6.6. Publicación del certificado de renovación por parte de la AC

No corresponde.

4.6.7. Notificación de la emisión de certificados por parte de la AC a otras entidades No corresponde.

4.7. Regeneración de claves de certificados La regeneración de claves es la solicitud para la emisión de un nuevo certificado que certifica la nueva

clave pública. CERTISIGN AC PARCERIA no permite la regeneración de claves de certificados.

4.7.1. Circunstancias para la regeneración de claves de certificados

No corresponde.

4.7.2. Quiénes pueden solicitar la certificación de una nueva clave pública No corresponde.

4.7.3. Procesamiento de las solicitudes de regeneración de claves de certificados

No corresponde.

4.7.4. Notificación al suscriptor sobre la emisión de un nuevo certificado

No corresponde.

4.7.5. Comportamiento que constituye la aceptación de un certificado con clave regenerada

No corresponde.

4.7.6. Publicación del certificado con clave regenerada por parte de la AC No corresponde.

4.7.7. Notificación de la emisión de certificados por parte de la AC a otras entidades No corresponde.

4.8. Modificación de certificados

4.8.1. Circunstancias para la modificación de certificados

La modificación de certificados hace referencia a la solicitud de emisión de un nuevo certificado debido a

los cambios realizados en la información de un certificado existente (excepto la clave pública del

suscriptor).

La modificación de certificados se considera una solicitud de certificados conforme a la Sección 4.1.


20

4.8.2. Quiénes pueden solicitar la modificación de certificados

Ver Sección 4.1.1

4.8.3. Procesamiento de las solicitudes de modificación de certificados

Una AR debe llevar a cabo la identificación y la autenticación de toda la información requerida del suscriptor

conforme a la Sección 3.2.

4.8.4. Notificación al suscriptor sobre la emisión de un nuevo certificado Ver Sección 4.3.2

4.8.5. Comportamiento que constituye la aceptación de un certificado modificado Ver Sección 4.4.1

4.8.6. Publicación del certificado modificado por parte de la AC

Ver Sección 4.4.2

4.8.7. Notificación de la emisión de certificados por parte de la AC a otras entidades Ver Sección 4.4.3

4.9. Revocación y suspensión de certificados No corresponde.

4.9.1. Circunstancias de revocación Solo en las circunstancias indicadas a continuación, la AC revocará un certificado de suscriptor usuario final (en

nombre del suscriptor) y se publicará en una LCR. Ante la solicitud de un suscriptor que ya no puede usar (o ya

no desea usar) un certificado por algún otro motivo que no esté mencionado a continuación, CERTISIGN indicará

el certificado como inactivo en su base de datos, pero no publicará el certificado en una LCR.

Un certificado de suscriptor usuario final se puede revocar en los siguientes casos:

Una AC, una AR, un cliente o un suscriptor tiene motivos para creer o tiene fuertes sospechas de que

ha existido un riesgo con la clave privada de un suscriptor.

Una AC, una AR o un cliente tiene motivos para creer que el suscriptor ha cometido un

incumplimiento grave con una obligación, declaración o garantía importante conforme al Acuerdo de

suscriptores vigente.

El Acuerdo de suscriptores celebrado con el suscriptor se extinguió.

La afiliación entre un cliente empresarial y un suscriptor se extinguió o finalizó de algún otro modo.

Una AC, una AR o un cliente tiene motivos para creer que el certificado no se emitió de acuerdo con los

procedimientos requeridos por la CPS vigente, el certificado se emitió a una persona que no era la que

estaba designada como el sujeto del certificado, o el certificado se emitió sin la autorización de la

persona designada como el sujeto de ese certificado.

Una AC, una AR o un cliente tiene motivos para creer que un hecho importante dentro de la solicitud de certificado es falso.

Una AC, una AR o un cliente determina que un prerrequisito importante para la emisión del

certificado no se cumplió ni estaba anulado.

La información dentro del certificado, excepto la información del suscriptor no verificada, es incorrecta o

ha cambiado.

La identidad del suscriptor no se ha verificado correctamente de acuerdo con la Sección 6.3.2.

El suscriptor no efectuó el pago en el plazo correspondiente.

La continuación del uso de ese certificado es perjudicial para CERTISIGN AC PARCERIA.

Al momento de considerar si el uso de un certificado es perjudicial para CERTISIGN AC PARCERIA, una AC o

una AR analiza, entre otros aspectos, los siguientes:

La naturaleza y la cantidad de quejas recibidas.

La identidad de quienes presentaron las quejas.


21

La legislación pertinente vigente.

Las respuestas al supuesto uso perjudicial del suscriptor.

Al momento de considerar si el uso de un certificado de firma de código es perjudicial para CERTISIGN AC

PARCERIA, una AC o una AR también analiza, entre otros aspectos, los siguientes:

El nombre del código que se firma.

El funcionamiento del código.

Los métodos de distribución del código.

Las divulgaciones realizadas a los receptores del código.

Cualquier otra argumentación realizada acerca del código.

Los Acuerdos de suscriptores de CERTISIGN exigen que los suscriptores usuarios finales notifiquen de inmediato

a CERTISIGN cualquier sospecha o conocimiento de riesgo de su clave privada.

Una AC o una AR también puede revocar un certificado de administrador si la autoridad del administrador para

actuar como tal se ha extinguido o ha finalizado de algún otro modo.

Los Acuerdos de suscriptores exigen que los suscriptores usuarios finales notifiquen de inmediato a una

AR cualquier sospecha o conocimiento de riesgo de su clave privada.

4.9.2. Quiénes pueden solicitar la revocación

Los suscriptores individuales pueden solicitar la revocación de sus propios certificados para individuos a través

de un representante autorizado de CERTISIGN o una AR. En el caso de los certificados para organizaciones, un

representante debidamente autorizado de la organización tiene derecho a solicitar la revocación de los

certificados emitidos a la organización. Un representante debidamente autorizado de CERTISIGN, una filial o una

AR tiene derecho a solicitar la revocación de un certificado del administrador de una AR. La entidad que aprobó

una solicitud de certificado de un suscriptor también tiene derecho a revocar o solicitar la revocación del

certificado del suscriptor.

Únicamente CERTISIGN tiene derecho a solicitar o iniciar la revocación de los certificados emitidos a sus propias AC.

4.9.3. Procedimiento para la solicitud de revocación

4.9.3.1. Procedimiento para solicitar la revocación de un certificado de suscriptor usuario final Antes de la revocación de un certificado, la AC verifica que la revocación la haya solicitado el suscriptor del

certificado o la entidad que aprobó la solicitud de certificado. Los procedimientos aceptables para autenticar las

solicitudes de revocación de un suscriptor incluyen los siguientes:

El suscriptor para ciertos tipos de certificado debe brindar la frase de comprobación (o su

equivalente) y se debe revocar el certificado automáticamente si coincide con la frase de

comprobación (o su equivalente) registrada.

Recibir un mensaje que pretende ser del suscriptor, el cual solicita la revocación y contiene una firma

digital verificable con referencia al certificado que debe revocarse.

Comunicarse con el suscriptor para obtener garantías razonables de que la persona o la

organización que solicita la revocación es efectivamente el suscriptor. Según las circunstancias, dicha

comunicación puede incluir una o más de las siguientes opciones: teléfono, facsímil, correo

electrónico, correo postal o servicio de mensajería.

Los administradores de AC o AR tienen derecho a solicitar la revocación de certificados de suscriptores

usuarios finales dentro del subdominio de la AC o la AR. CERTISIGN y sus filiales deben autenticar la

identidad de los administradores a través del control de acceso con SSL y la autenticación de clientes antes

de permitirles realizar funciones de revocación.

4.9.4. Periodo de gracia de la solicitud de revocación

Las solicitudes de revocación deben presentarse lo antes posible dentro de un plazo comercialmente razonable.


22

4.9.5. Tiempo de procesamiento de la solicitud de revocación por parte de la AC

Se toman medidas comercialmente razonables para procesar las solicitudes de revocación sin demora.

4.9.6. Requisitos de verificación de revocación para partes confiables

Las partes confiadas deben verificar el estado de los certificados en los que desean confiar. Un método mediante el

cual la parte confiada puede verificar el estado del certificado es consultando la LCR más reciente de la AC que

emitió el certificado en el que desea confiar. Como alternativa, la parte confiada puede cumplir con este requisito

verificando el estado del certificado a través del repositorio en Internet correspondiente o mediante el OCSP (si

está disponible). Las AC deben brindar a las partes confiadas información acerca de cómo encontrar la LCR

adecuada, el repositorio en Internet o el respondedor OCSP (cuando esté disponible) para verificar el estado de

revocación.

En el repositorio de CERTISIGN, se publica un “Cuadro de referencia de LCR” con el fin de permitir a las partes

confiadas determinar la ubicación de la LCR para la AC pertinente.

4.9.7. Frecuencia de emisión de las LCR

Las LCR para certificados de suscriptores usuarios finales se emiten al menos una vez por día. Las LCR para

certificados de AC deben emitirse al menos una vez al año, pero también cada vez que se revoque un certificado

de AC.

Cualquier desviación de esta política general debe contar con la aprobación del PMD y publicarse en la CPS correspondiente.

4.9.8. Latencia máxima para LCR

Las LCR se publican en el repositorio de CERTISIGN dentro de un plazo comercialmente razonable después

que se generan. Esto por lo general se realiza de forma automática dentro de segundos tras haberse

generado.

4.9.9. Disponibilidad de verificación de estado o revocación en línea

La información de revocación y otra información de estado del certificado en línea se encuentra disponible a

través del repositorio en Internet y, si se ofrece, el OCSP. La AC debe contar con un repositorio en Internet que

permita a las partes confiadas realizar consultas en línea con respecto a la información de revocación y otra

información de estado de certificados.

4.9.10. Requisitos de verificación de revocación en línea

La parte confiada debe verificar el estado del certificado en el que desea confiar. Si la parte confiada no verifica el

estado de un certificado en el que desea confiar al consultar la LCR adecuada más reciente, debe verificar el

estado del certificado consultando el repositorio correspondiente o solicitando el estado del certificado a través

del respondedor OCSP (cuando haya servicios de OCSP disponibles).

4.9.11. Otras formas de avisos de revocación disponibles No corresponde.

4.9.12. Requisitos especiales respecto del riesgo de clave Se debe notificar a los participantes de CERTISIGN AC PARCERIA todo riesgo real o sospecha de riesgo sobre

una clave privada de una AC tomando medidas comercialmente razonables. CERTISIGN AC PARCERIA debe

tomar medidas comercialmente razonables para notificar a las posibles partes confiadas si descubren, o tienen

motivos para creer, que ha existido un riesgo relacionado con la clave privada de una de sus propias AC o una

de las AC dentro de su subdominio.

4.9.13. Circunstancias para la suspensión No corresponde.

4.9.14. Quiénes pueden solicitar la suspensión

No corresponde.

4.9.15. Procedimiento para la solicitud de suspensión No corresponde.


23

4.9.16. Límites del periodo de suspensión

No corresponde.

4.10. Servicios de estado del certificado

4.10.1. Características operativas

El estado de los certificados públicos se encuentra disponible a través de las LCR en el sitio web de una AC (en

una URL especificada en la CPS de la AC) y por medio de un respondedor OCSP (cuando esté disponible).

4.10.2. Disponibilidad del servicio

Los servicios de estado de certificados deben estar disponibles durante las 24 horas, los 7 días de la semana sin interrupciones programadas.

4.10.3. Funciones opcionales El OCSP es una función opcional de servicio de estado que no se encuentra disponible para todos los productos y

debe estar específicamente activada para otros productos.

4.11. Fin de la suscripción Un suscriptor puede finalizar la suscripción de un certificado de CERTISIGN AC PARCERIA de la siguiente manera:

Al dejar que caduque el certificado sin realizar la renovación ni la regeneración de claves de ese certificado.

Al revocar el certificado antes de la fecha de caducidad sin reemplazarlo.

4.12. Recuperación y custodia de claves Ningún participante de CERTISIGN AC PARCERIA puede custodiar las claves privadas de AC, AR o suscriptores usuarios finales.

4.12.1. Política y prácticas de recuperación y custodia de claves

No corresponde.

4.12.2. Política y prácticas de recuperación y encapsulación de claves de sesión

No corresponde.

5. Controles operativos, de administración e instalación

5.1. Controles físicos En la CPS de CERTISIGN AC PARCERIA se han documentado las políticas de seguridad y control físico detalladas

para que cumplan las AC y AR.

5.2. Controles procedimentales En la CPS de CERTISIGN AC PARCERIA se ha documentado el control procedimental detallado para que cumplan las AC y AR.

5.3. Controles de personal En la CPS de CERTISIGN AC PARCERIA se han documentado las políticas de seguridad y control de personal

detalladas para que cumplan las AC y AR.

5.4. Procedimientos de registro de auditorías

5.4.1. Tipos de eventos registrados

A continuación se establecen los tipos de eventos que las AC y AR deben auditar.

Todos los registros, ya sean manuales o electrónicos, deben contener la fecha y la hora del evento, y la identidad

de la entidad que provocó el evento.


24

Las AC deben indicar en sus CPS los registros y tipos de eventos que registran.

Entre los tipos de eventos que deben auditarse se encuentran los siguientes:

Eventos operativos:

o La generación de las claves propias de una AC y las claves de las AC subordinadas.

o Encendido y apagado de sistemas y aplicaciones.

o Cambios de los detalles o las claves de AC.

o Eventos relacionados con la administración del ciclo de vida de módulos criptográficos.

o Posesión de datos de activación para actividades de claves privadas de AC.

o Registros de accesos físicos, cambios y mantenimiento de configuraciones de sistemas.

Registros de la destrucción de medios que contienen material de claves, datos de activación o

información personal del suscriptor.

Eventos del ciclo de vida de certificados (incluidas, entre otras la emisión inicial, regeneración de

claves, renovación, revocación, suspensión).

Eventos de empleados de confianza:

o Intentos de inicio y cierre de sesión.

o Intentos de crear, eliminar, configurar contraseñas o cambiar los privilegios del sistema de

los usuarios privilegiados.

o Cambios del personal.

Informes de riesgos y discrepancias:

o Intentos de inicio de sesión no autorizado en redes y sistemas.

Error en las actividades de lectura y escritura en el certificado y repositorio

Cambios en las políticas de creación de certificados

5.4.2. Frecuencia de procesamiento de registros

Los registros de auditoría deben revisarse en respuesta a las alertas en función de los incidentes y las

irregularidades dentro de sus sistemas de AC o AR. Las AC deben comparar sus registros de auditoría con

los registros electrónicos y manuales de respaldo de sus clientes de AR cuando una acción se considere

sospechosa.

El procesamiento de los registros de auditoría debe constar de una revisión mensual de los registros y se debe

documentar el motivo de todos los eventos importantes en un resumen de registros de auditoría. Las revisiones

de los registros de auditoría deben incluir una verificación de que el registro no se ha alterado, una inspección de

todas las entradas de los registros y una investigación de cualquier alerta o irregularidad en los registros.

Se deben documentar las medidas tomadas en función de las revisiones de los registros de auditoría.

5.4.3. Período de retención para registros de auditorías

Según se describe en la CPS de CERTISIGN.

5.4.4. Protección de registros de auditorías


5.4.5. Procedimientos de copias de seguridad de registros de auditorías Según se describe en la CPS de CERTISIGN.

5.4.6. Sistema de recopilación de auditorías (interno frente a externo)


5.4.7. Notificación a sujetos que provocan eventos


5.4.8. Evaluación de vulnerabilidades



25

5.5. Archivo de registros

5.5.1. Tipos de registros archivados


5.5.2. Período de retención para archivos Según se describe en la CPS de CERTISIGN.

5.5.3. Protección de archivos

Una entidad que conserva un archivo de registros debe proteger el archivo para que solo las personas de

confianza autorizadas de la entidad puedan tener acceso a él. El archivo está protegido contra la visualización,

modificación, eliminación u otra alteración no autorizadas a través de su almacenamiento dentro de un sistema

confiable. Los medios que conservan los datos del archivo y las solicitudes requeridas para procesar los datos del

archivo deben mantenerse a fin de garantizar que se pueda acceder a los datos del archivo durante el período de

tiempo establecido en esta CP.

5.5.4. Procedimientos de copias de seguridad de archivos Las entidades que recopilen información electrónica deben realizar, de manera incremental, copias de

seguridad de los archivos del sistema de dicha información diariamente y llevar a cabo copias de seguridad

completas todas las semanas. Las copias de los registros en papel deben conservarse en una instalación segura

fuera del sitio.

5.5.5. Requisitos para el sellado de tiempo de los registros Según se describe en la CPS de CERTISIGN.

5.5.6. Sistema de recopilación de archivos (interno o externo) Los sistemas de recopilación de archivos para entidades dentro de CERTISIGN AC PARCERIA deben ser internos,

salvo para los clientes de AR empresariales. Por lo tanto, dicho sistema de recopilación de archivos es externo

para esa AR empresarial. De lo contrario, las entidades dentro de CERTISIGN AC PARCERIA deben utilizar

sistemas de recopilación de archivos internos.

5.5.7. Procedimientos para obtener y verificar información de archivos


5.6. Cambio de claves Según se describe en la CPS de CERTISIGN.

5.7. Recuperación ante desastres y riesgos

5.7.1. Procedimientos para control de incidentes y riesgos Según se describe en la CPS de CERTISIGN.

5.7.2. Recursos informáticos, software o datos dañados Luego de los daños en recursos informáticos, software o datos, la AC o AR afectada debe realizar de inmediato un

informe del incidente y de la respuesta ante el evento de conformidad con los procedimientos de control e informe

de incidentes y riesgos de CERTISIGN documentados en la CPS vigente y en las políticas de seguridad

confidenciales documentadas de CERTISIGN AC PARCERIA.

5.7.3. Procedimientos ante riesgos de las claves privadas de entidades En el caso en que una clave privada de AC esté en riesgo, se revocará esa AC. CERTISIGN AC PARCERIA toma

medidas comercialmente razonables para notificar a las posibles partes confiadas si descubren, o tienen motivos

para creer, que ha existido un riesgo relacionado con la clave privada de CERTISIGN AC PARCERIA.

5.7.4. Capacidad para continuar con el negocio luego de un desastre Las entidades de CERTISIGN AC PARCERIA que operan instalaciones seguras para las actividades de AC y AR

desarrollan, evalúan, mantienen y, si es necesario, implementan un plan de recuperación ante desastres (DRP)

diseñado para mitigar los efectos de todo tipo de desastre natural o provocado por el ser humano.


26

En el DRP se deben identificar las condiciones para activar el plan y lo que constituye una interrupción

aceptable de los sistemas y un tiempo de recuperación para la restauración de los servicios de sistemas de

información y las funciones comerciales de las claves dentro de un objetivo de tiempo de recuperación (RTO)

definido.

Asimismo, el DRP incluye lo siguiente:

Frecuencia para realizar copias de seguridad de la información comercial fundamental y del software.

Requisito para almacenar materiales criptográficos críticos (es decir, materiales de activación y

dispositivos criptográficos seguros) en una ubicación alternativa.

Distancia de separación desde el sitio de recuperación ante desastres hasta el sitio principal de la AC.

Procedimientos para proteger la instalación ante desastres durante el período de tiempo posterior al

desastre y antes de restaurar un entorno seguro, ya sea en el sitio original o en uno remoto.

El DRP debe incluir requisitos administrativos, entre ellos:

Programa de mantenimiento del plan.

Requisitos de educación y reconocimiento.

Responsabilidades de los individuos.

Pruebas de rutina de los planes de contingencia.

Los sitios de recuperación ante desastres cuentan con las mismas protecciones de seguridad física que especifica CERTISIGN AC PARCERIA.

CERTISIGN AC PARCERIA tiene la capacidad de restaurar o recuperar actividades fundamentales dentro de

las 48 horas posteriores a un desastre con respaldo de las siguientes funciones como mínimo:

Emisión de certificados.

Revocación de certificados.

Publicación de la información de revocación.

Suministro de información de recuperación de claves para clientes empresariales con gestor de claves de

PKI administrada.

La base de datos de recuperación ante desastres de CERTISIGN AC PARCERIA debe sincronizarse con la base de

datos de producción dentro de los límites de tiempo establecidos en la Guía de requisitos de auditoría y

seguridad. El equipo de recuperación ante desastres de CERTISIGN AC PARCERIA debe contar con las

protecciones de seguridad física documentadas en las políticas de seguridad confidenciales de CERTISIGN AC

PARCERIA, lo que incluye la exigibilidad de niveles de seguridad física.

5.8. Terminación de AC o AR La terminación de una filial de CERTISIGN AC PARCERIA debe estar sujeta al acuerdo celebrado entre la filial en

cuestión y su entidad superior. Ambas partes deben, de buena fe, realizar todos los esfuerzos comercialmente

razonables para diseñar un plan de terminación que minimice la desorganización entre clientes, suscriptores y

partes confiadas.

El plan de terminación puede abarcar los siguientes asuntos:

Enviar notificación a las partes afectadas por la terminación, como suscriptores, partes confiadas y clientes.

Tratar el costo de dicha notificación.

La revocación del certificado emitido a la AC por parte de la entidad superior.

La conservación de los archivos y registros de la AC durante el período de tiempo requerido en esta CP.

La continuación de los servicios de soporte a los clientes y suscriptores.

La continuación de los servicios de revocación, como la emisión de LCR o el mantenimiento de los servicios de

verificación de estado en línea.

La revocación de certificados no revocados no caducados de los suscriptores usuarios finales y las AC

subordinadas, si fuera necesario.

El reembolso (si fuera necesario) a los suscriptores cuyos certificados no revocados no caducados queden

revocados en virtud del plan o de la disposición de terminación, para la emisión de certificados sustitutos por parte

de una AC sucesora.

Disposición de la clave privada de la AC y del token de hardware que contenga dicha clave privada.

Disposiciones necesarias para la transición de los servicios de la AC a una AC sucesora.


27

5.9. Seguridad de los datos No corresponde.

6. Controles de seguridad técnicos

6.1. Instalación y generación de par de claves

6.1.1. Generación de par de claves

La generación de par de claves debe llevarse a cabo mediante sistemas confiables y procesos que brinden la

fortaleza criptográfica requerida de las claves generadas y que eviten la pérdida, la divulgación, la modificación

o el uso no autorizado de las claves privadas. Este requisito se aplica a suscriptores usuarios finales, clientes

empresariales que usen el gestor de claves de PKI administrada y AC que generen con anterioridad pares de

claves en token de hardware de los suscriptores usuarios finales.

Las claves de AC se generan en una ceremonia de generación de claves. Todas las ceremonias de

generación de claves cumplen con los requisitos documentados en las políticas de seguridad

confidenciales de CERTISIGN.

6.1.2. Entrega de clave privada al suscriptor Por lo general, las claves privadas de los suscriptores usuarios finales las generan ellos mismos, y, por lo tanto, no

es necesaria su entrega. Las claves privadas deben entregarse a suscriptores usuarios finales únicamente en los

siguientes casos:

Sus solicitudes de certificados las aprueba un cliente empresarial que usa el gestor de claves de PKI

administrada.

Sus pares de claves se generan previamente a través de token de hardware, que se distribuyen a los

solicitantes de certificados en relación con el proceso de inscripción.

Los clientes empresariales que usen el gestor de claves de PKI administrada (o un servicio equivalente aprobado

por CERTISIGN) deben utilizar el software del gestor de claves de PKI administrada (o un software equivalente

aprobado por CERTISIGN) y sistemas confiables para entregar las claves privadas a los suscriptores y deben

proteger dicha entrega a través de un paquete PKCS n.° 12 u otro medio similar (p. ej., cifrado) a fin de evitar la

pérdida, la divulgación, la modificación o el uso no autorizado de dichas claves privadas. Cuando los pares de

claves se pregeneren en token de hardware, las entidades que distribuyan dichos token deben tomar las medidas

comercialmente razonables para proporcionar seguridad física a los token a fin de evitar la pérdida, la

divulgación, la modificación o el uso no autorizado de las claves privadas que se encuentran allí.

6.1.3. Entrega de clave pública al emisor de certificados

Cuando se transfiere una clave pública a la AC emisora para que la certifique, debe entregarse a través de un

mecanismo que garantice que esta no se alteró durante la transferencia y que el solicitante del certificado

posee la clave privada correspondiente a la clave pública transferida. El mecanismo aceptable dentro de

CERTISIGN AC PARCERIA para la entrega de claves públicas es el paquete PKCS n.° 10 de solicitud de firma de

certificados o un método equivalente que garantice lo siguiente:

La clave pública no se alteró durante la transferencia.

El solicitante del certificado posee la clave privada correspondiente a la clave pública transferida.

6.1.4. Entrega de clave pública de la AC a las partes confiadas Además del certificado de suscriptores, los suscriptores reciben los certificados (y por lo tanto, las claves

públicas) de CERTISIGN AC PARCERIA.

6.1.5. Tamaños de las claves Los pares de claves deben tener el largo suficiente para evitar que otros determinen la clave privada del

par a través de un criptoanálisis durante el período de utilización prevista de dichos pares de claves.

El estándar de CERTISIGN AC PARCERIA es el siguiente:


28

- tamaños de pares para AC: 2048 bit, RSA;

- Algoritmo hash de firma digital: SHA-1.

6.1.5.1 Requisitos de CABF para tamaños de claves No corresponde.

6.1.6. Generación y verificación de calidad de los parámetros de las claves públicas

Los participantes de CERTISIGN AC PARCERIA deben generar los parámetros de claves requeridos de

conformidad con un estándar equivalente aprobado por el PMD.

Los mismos estándares se utilizan para verificar la calidad de los parámetros de claves generados.

6.1.7. Fines de uso de las claves (según el campo Key Usage de X.509 v3) Ver Sección 7.1.2.1.

6.2. Controles de ingeniería de módulo criptográfico y protección de clave privada

6.2.1. Controles y estándares de módulo criptográfico Las claves privadas dentro de CERTISIGN AC PARCERIA deben protegerse con un sistema confiable, y los titulares

de claves privadas deben tomar las medidas de precaución necesarias para evitar toda pérdida, divulgación,

modificación o uso no autorizado de dichas claves privadas de conformidad con esta CP, las obligaciones

contractuales y los requisitos documentados en las políticas de seguridad confidenciales de CERTISIGN AC

PARCERIA. Los suscriptores usuarios finales tienen la opción de proteger sus claves privadas en una tarjeta

inteligente o en otro token de hardware. CERTISIGN y los clientes de AR empresariales deben proteger los

segmentos de claves privadas en sus servidores con un sistema confiable.

CERTISIGN AC PARCERIA lleva a cabo todas las operaciones criptográficas de AC en módulos criptográficos con

clasificación mínima de FIPS 140-1, nivel 3.

CERTISIGN recomienda que los clientes de AR empresariales lleven a cabo todas las operaciones criptográficas

de AR de administración automatizada en un módulo criptográfico con clasificación mínima de FIPS 140-1,

nivel 2.

6.2.2. Control multipersonal de clave privada (m de n) El control multipersonal se exige para proteger los datos de activación necesarios para activar las claves

privadas de CERTISIGN AC PARCERIA de conformidad con los estándares documentados en las políticas de

seguridad confidenciales de CERTISIGN AC PARCERIA.

El número máximo de partes necesarias para firmar un certificado de AC es 3. Debe tenerse en cuenta que el

número de partes distribuidas para token de recuperación ante desastres puede ser menor que el número

distribuido para token operativos, mientras que el número máximo de partes requeridas siempre es el mismo.

6.2.3. Custodia de clave privada

Las claves privadas de la AC no están bajo custodia. La custodia para claves privadas de suscriptores usuarios

finales se explica en más detalle en la Sección 4.12.

6.2.4. Copia de seguridad de clave privada

Las AC deben realizar copias de seguridad de sus propias claves privadas para poder recuperarlas en casos de

desastres y mal funcionamiento de los equipos de conformidad con los estándares documentados en las políticas

de seguridad confidenciales de CERTISIGN AC PARCERIA.

Las claves privadas que se guarden con copia de seguridad deben protegerse de la modificación o divulgación

no autorizadas a través de medios físicos y criptográficos. Las copias de seguridad se protegen con un nivel de

protección físico y criptográfico igual o superior a aquellos para los módulos criptográficos dentro del sitio de

la AC, como un sitio de recuperación ante desastres o en otra instalación segura fuera del sitio, como una caja

fuerte en un banco.


29

La copia de seguridad de las claves privadas de suscriptores usuarios finales sujeta al servicio del gestor de claves

de PKI administrada se rige por la Sección 4.12. CERTISIGN recomienda que los clientes empresariales que tengan

un token de administración automatizada y que no estén sujetos al servicio del gestor de claves de PKI

administrada realicen la copia de seguridad de sus claves privadas y las protejan de la modificación o divulgación

no autorizadas a través de medios físicos o criptográficos.

6.2.5. Archivo de clave privada Luego de que el certificado de AC de CERTISIGN AC PARCERIA caduque, el par de claves asociado con el

certificado se conservará de manera segura durante un período de 5 años como mínimo a través de módulos

criptográficos de hardware que cumplan con los requisitos de esta CPS. Estos pares de claves de la AC no deben

utilizarse para ningún evento de firma luego de la fecha de caducidad del certificado correspondiente de la AC,

salvo que el certificado de la AC se haya renovado en virtud de esta CP.

6.2.6. Transferencia de clave privada del módulo criptográfico o hacia él

Para ingresar una clave privada en el módulo criptográfico se deben utilizar mecanismos a fin de evitar todo

robo, pérdida, modificación, o divulgación o uso no autorizados de dicha clave privada.

Los participantes de CERTISIGN AC PARCERIA que pregeneren claves privadas y las transfieran a un token de

hardware, como por ejemplo transferir las claves privadas de suscriptores usuarios finales generadas a una

tarjeta inteligente, deben transferir dichas claves privadas al token de manera segura en la medida en que sea

necesario para evitar todo robo, pérdida, modificación, o divulgación o uso no autorizados de dichas claves

privadas.

6.2.7. Almacenamiento de clave privada en módulo criptográfico Las claves privadas de AC o AR que se conserven en módulos criptográficos de hardware se almacenan cifradas.

6.2.8. Método de activación de clave privada CERTISIGN AC PARCERIA protege los datos de activación de sus claves privadas para evitar todo robo,

pérdida, modificación, o divulgación o uso no autorizados.

El estándar de CERTISIGN AC PARCERIA para la protección de claves privadas de suscriptores es el siguiente:

. Usar una contraseña de conformidad con la Sección 6.4.1 o una seguridad de fortaleza equivalente para

autenticar al suscriptor antes de activar la clave privada, lo que incluye, por ejemplo, una contraseña para utilizar

la clave privada, o bien una contraseña de protector de pantalla o de inicio de sesión de Windows.

. Tomar las medidas comercialmente razonables para proteger físicamente la estación de trabajo del suscriptor

y así evitar el uso de la estación de trabajo y su clave privada asociada sin la autorización de este.

Una vez desactivadas, las claves privadas deben conservarse cifradas únicamente.

6.2.9. Método de desactivación de clave privada

Los suscriptores usuarios finales deben proteger sus claves privadas. Dicha obligación se extiende a la protección

de la clave privada luego de realizar una operación con la clave privada. La clave privada puede desactivarse luego

de cada operación, después de cerrar sesión en el sistema, o bien una vez que se quite la tarjeta inteligente del

lector de tarjetas, según el mecanismo de autenticación que utilice el usuario.

Cuando CERTISIGN AC PARCERIA se utiliza sin conexión, el personal de CERTISIGN AC PARCERIA debe

quitar del lector el token que contiene la clave privada de la AC para desactivarla.

6.2.10. Método de destrucción de clave privada

Cuando es necesario, las claves privadas de la AC se destruyen de manera que se garantice razonablemente que

no quedan restos de la clave que puedan provocar su reconstrucción. El personal de CERTISIGN AC PARCERIA

retira la clave privada de la AC eliminándola mediante la funcionalidad del token que contiene dicha clave

privada de la AC a fin de evitar su recuperación después de ser eliminada, y de manera que las claves privadas de

otras AC que contiene ese token no se vean perjudicadas. Este proceso debe atestiguarse de conformidad con los

estándares documentados en las políticas de seguridad confidenciales de CERTISIGN AC PARCERIA.


30

6.2.11. Clasificación del módulo criptográfico

Ver Sección 6.2.1

6.3. Otros aspectos de la administración de par de claves

6.3.1. Archivo de clave pública

Las AC deben archivar sus propias claves públicas, como así también las claves públicas de todas las AC

dentro de sus subdominios, de conformidad con la Sección 5.5.

6.3.2. Períodos operativos de certificados y períodos de uso de par de claves

El período operativo para los certificados debe determinarse de conformidad con los límites de tiempo

establecidos en la Tabla 5 a continuación. Los certificados de suscriptores usuarios finales que sean renovaciones

de certificados existentes pueden tener períodos de validez más extensos (hasta 3 meses).

El período de uso de los pares de claves de suscriptores usuarios finales es el mismo que el período operativo

para sus certificados, salvo que las claves privadas continúen en uso luego del período operativo para el cifrado y

la verificación de firma. El período operativo de un certificado finaliza al momento de su caducidad o revocación.

Una AC no debe emitir certificados si los períodos operativos se extendieran más allá del período de uso del par

de claves de la AC. Por consiguiente, el período de uso del par de claves de la AC es necesariamente más corto que

el período operativo del certificado de la AC. Específicamente, el período de uso es el período operativo de un

certificado de la AC menos el período operativo de los certificados que emite la AC. Cuando finaliza el período de

uso de un par de claves de la AC o de un suscriptor, la AC o el suscriptor deben dejar de utilizar el par de claves

desde ese momento, salvo que una AC necesite firmar la información de revocación hasta finalizar el período

operativo del último certificado que emitió.

Certificado emitido por Período de validez AC raíz, autofirmado (2048 bit RSA) Hasta 50 años AC raíz, autofirmado (256 bit ECC) Hasta 30 años AC raíz, autofirmado (384 bit ECC) Hasta 30 años AC raíz a AC intermediaria fuera de línea Generalmente 10 años, pero hasta 15 años después de

renovación AC raíz a AC en línea Generalmente 5 años, pero hasta 10 años después de renovación AC intermediaria fuera de línea a AC en línea Generalmente 5 años, pero hasta 10 años después de renovación AC en línea a suscriptor individual usuario final Normalmente hasta 3 años, pero bajo las condiciones descritas a continuación, hasta 6 años bajo las condiciones descritas a continuación sin opción de renovación o regeneración de clave. Luego de 6 años, se requiere una nueva inscripción. AC en línea a suscriptor empresarial

entidad final Normalmente hasta 6 años, 30 bajo las condiciones descritas a continuación sin opción de renovación o regeneración de clave. Luego de 6 años, se requiere una nueva inscripción. 4 – Períodos operativos de certificados

Salvo que se indique en esta sección, los participantes de CERTISIGN AC PARCERIA deben dejar de utilizar los

pares de claves pasados sus períodos de uso.

Es posible que los certificados emitidos por las AC a los suscriptores usuarios finales tengan períodos operativos

de más de tres años, hasta seis años, si se cumplen los siguientes requisitos:

Protección de los pares de claves de suscriptores en relación con su entorno operativo en el caso de

certificados para organizaciones, operación con la protección mejorada de un centro de datos y en el

caso de certificados para individuos, los pares de claves de suscriptores permanecen en un token de

hardware, como una tarjeta inteligente.

Los suscriptores deben someterse a procedimientos de reautenticación al menos cada 3 años según la

Sección 3.2.3.

Si un suscriptor no puede completar los procedimientos de reautenticación conforme a la Sección 3.2.3 de

manera satisfactoria, o si no logra demostrar que posee dicha clave privada cuando se le exige según lo

anterior, la AC debe revocar automáticamente el certificado del suscriptor.


31

Cualquier excepción a este procedimiento requiere la aprobación del PMD y debe documentarse en la CPS correspondiente.

6.3.2.1 Requisitos del período de validez de CABF

No corresponde.

6.3.2.1.1 Requisitos del período de validez de CABF para la EV No corresponde.

6.4. Datos de activación

6.4.1. Instalación y generación de datos de activación

Los participantes de CERTISIGN AC PARCERIA que generen e instalen datos de activación para sus claves

privadas deben utilizar métodos que protejan esos datos en la medida en que sea necesario para evitar todo

robo, pérdida, modificación, o divulgación o uso no autorizados de dichas claves privadas.

En la medida en que se utilicen contraseñas como datos de activación, los suscriptores deben generar

contraseñas que no puedan adivinarse o penetrarse fácilmente a través de ataques por diccionario.

CERTISIGN AC PARCERIA genera datos de activación para sus propias claves privadas de AC.

6.4.2. Protección de datos de activación

Los participantes de CERTISIGN AC PARCERIA deben proteger los datos de activación para sus claves privadas

con métodos que eviten todo robo, pérdida, modificación, o divulgación o uso no autorizados de dichas claves

privadas.

Los suscriptores usuarios finales deben proteger los datos de activación para sus claves privadas, si tuvieran, en la

medida en que sea necesario para evitar todo robo, pérdida, modificación, o divulgación o uso no autorizados de

dichas claves privadas.

CERTISIGN AC PARCERIA utiliza la compartición de secretos de conformidad con esta CP y con los estándares

documentados en las políticas de seguridad confidenciales de CERTISIGN AC PARCERIA. CERTISIGN AC PARCERIA

proporciona los procedimientos y los medios para permitir que los titulares de partes de secretos tomen las

medidas de precaución necesarias para evitar todo robo, pérdida, modificación, o divulgación o uso no autorizados

de las partes de secretos que poseen. Los titulares de partes de secretos no deben realizar lo siguiente:

Copiar, divulgar o proporcionar la parte de secretos a un tercero, ni de ninguna manera utilizarla sin

autorización.

Divulgar a un tercero que él u otra persona son titulares de partes de secretos.

Las partes de secretos y toda información que se divulgue al titular de partes de secretos en relación con sus

tareas como titular constituyen información privada o confidencial.

CERTISIGN AC PARCERIA incluye en sus planes de recuperación ante desastres disposiciones para que los

titulares proporcionen sus partes de secretos en un sitio de recuperación ante desastres luego de que ocurra un

desastre.

6.4.3. Otros aspectos de los datos de activación

6.4.3.1 Transmisión de datos de activación En la medida en que se transmitan datos de activación para sus claves privadas, los participantes de CERTISIGN

AC PARCERIA deben proteger la transmisión con métodos que eviten todo robo, pérdida, modificación, o

divulgación o uso no autorizados de dichas claves privadas. En la medida que se utilice una combinación de

nombre de usuario/contraseña de inicio de sesión de red o de Windows como datos de activación para un

suscriptor usuario final, las contraseñas transferidas a través de una red deben protegerse contra el acceso de

usuarios no autorizados.

6.4.3.2 Destrucción de datos de activación

Los datos de activación para claves privadas de AC deben retirarse con métodos que eviten todo robo, pérdida,

modificación, o divulgación o uso no autorizados de las claves privadas protegidas por dichos datos de

activación.


32

Luego de que los períodos de retención de registros en la Sección 5.5.2 caduquen, CERTISIGN AC PARCERIA debe

retirar los datos de activación sobrescribiéndolos o destruyéndolos físicamente.

6.5. Controles de seguridad informática Las funciones AC y AR se desarrollan en sistemas confiables de conformidad con los estándares

documentados en las políticas de seguridad confidenciales de CERTISIGN AC PARCERIA (en el caso de

CERTISIGN y filiales).

6.5.1. Requisitos técnicos de seguridad informática específicos

CERTISIGN AC PARCERIA garantiza que los sistemas que mantienen el software y los archivos de datos de la AC

son sistemas confiables protegidos del acceso no autorizado, lo que se puede demostrar mediante el

cumplimiento de los criterios de auditoría vigentes en virtud de la Sección 5.4.1. Asimismo, CERTISIGN AC

PARCERIA limita el acceso a servidores de producción a aquellos individuos que tienen un motivo comercial

válido para acceder. Los usuarios de solicitudes generales no deben tener cuentas en los servidores de

producción.

CERTISIGN AC PARCERIA tiene redes de producción lógicamente separadas de otros componentes. Esta

separación evita el acceso a la red, salvo a través de procesos de solicitudes definidos. CERTISIGN AC PARCERIA

debe utilizar cortafuegos para proteger la red de producción de la intrusión interna y externa, y debe limitar la

naturaleza y la fuente de actividades en la red que puedan acceder a los sistemas de producción.

CERTISIGN AC PARCERIA exige que se utilicen contraseñas con un mínimo de caracteres y una combinación de

caracteres especiales y alfanuméricos, y debe exigir que estas se cambien periódicamente y cuando sea necesario.

El acceso directo a la base de datos de CERTISIGN AC PARCERIA en la que se conserva el repositorio del centro de

datos está limitado a personas de confianza en el grupo de actividades de CERTISIGN AC PARCERIA que tengan

motivos comerciales válidos para acceder.

Los servidores Gateway deben incluir la siguiente funcionalidad: control de acceso a los servicios de la AC,

identificación y autenticación para lanzar servicios de AC, reutilización de objetos para la memoria de acceso

aleatoria de AC, uso de criptografía para la seguridad de bases de datos y comunicación de sesiones, archivo de

los datos de auditoría e historial del suscriptor usuario final y de la AC, auditoría de los eventos relacionados con

la seguridad, autoevaluación de los servicios relacionados con la seguridad, y ruta de confianza para la

identificación de funciones de ICP e identidades asociadas.

Las AR deben garantizar que los sistemas que mantienen el software y los archivos de datos de la AR son sistemas

confiables protegidos del acceso no autorizado, lo que se puede demostrar mediante el cumplimiento de los

criterios de auditoría vigentes en virtud de la Sección 5.4.1.

Las AR deben separar lógicamente el acceso a estos sistemas y a esta información de otros componentes. Esta

separación evita el acceso, salvo a través de procesos definidos. Las AR deben utilizar cortafuegos para proteger la

red de la intrusión interna y externa, y deben limitar la naturaleza y la fuente de actividades que puedan acceder a

dichos sistemas e información. Las AR deben exigir que se utilicen contraseñas con un mínimo de caracteres y una

combinación de caracteres especiales y alfanuméricos, y deben exigir que estas se cambien periódicamente y

cuando sea necesario. El acceso directo a la base de datos de las AR en la que se conserva la información del

suscriptor está limitado a personas de confianza en el grupo de actividades de las AR que tengan motivos

comerciales válidos para acceder.

6.5.1.1 Requisitos de CABF para la seguridad de sistemas

No corresponde.

6.5.2. Clasificación de seguridad informática No hay estipulaciones.


33

6.6. Controles técnicos del ciclo de vida

6.6.1. Controles de desarrollo de sistemas

CERTISIGN brinda a las AR un software para las funciones AR. Dicho software debe desarrollarse dentro de un

entorno de desarrollo de sistemas que cumpla con los requisitos de garantía de desarrollo de CERTISIGN.

CERTISIGN debe utilizar un proceso de desarrollo y diseño que exija la garantía de calidad y la exactitud del

proceso.

6.6.2. Controles de administración de seguridad

El software para las funciones AC y AR debe estar sujeto a controles para verificar su integridad. CERTISIGN

proporciona un hash de todos los paquetes de software o actualizaciones de software que brinda. Este hash puede

utilizarse para verificar la integridad de dicho software de manera manual.

6.6.3. Controles de seguridad del ciclo de vida No hay estipulaciones.

6.7. Controles de seguridad de la red Las funciones AC y AR se desarrollan con redes protegidas de conformidad con los estándares documentados en

las políticas de seguridad confidenciales de CERTISIGN AC PARCERIA (en el caso de CERTISIGN y filiales) a fin

de evitar el acceso no autorizado, la alteración y los ataques por denegación de servicio. Las comunicaciones de

información confidencial deben protegerse con cifrado punto a punto para conservar la confidencialidad y las

firmas digitales para su autenticación y no rechazo.

6.8. Sellado de tiempo Los certificados, las LCR y otras entradas de bases de datos de revocación deben contener información

sobre el tiempo y la fecha. Es necesario que dicha información de tiempo no esté basada en criptografía.

7. Perfiles de certificados, LCR y OCSP

7.1 Perfil de certificados Los certificados de CERTISIGN AC PARCERIA por lo general cumplen con lo siguiente:

(a) ITU-T Recommendation X.509 (1997): Information Technology - Open Systems Interconnection - The

Directory: Authentication Framework, junio de 1997 y

(b) RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile, abril de 2002 (“RFC 5280”).

Según corresponde al tipo de certificado, los certificados de CERTISIGN AC PARCERIA cumplen con la versión

actual de los requisitos estándares del foro del buscador o AC para la emisión y administración de certificados

de confianza pública.

Como mínimo, los certificados X.509 de CERTISIGN AC PARCERIA deben contener los campos básicos y los

valores preestablecidos o las restricciones de valores indicados en la Tabla 4 a continuación:

Campo Valor o restricción de valor

Número de serie Valor único por DN del emisor que muestra al menos 20 bits de entropía.

Algoritmo de firma Identificador de objetos del algoritmo utilizado para firmar el certificado (ver CP § 7.1.3)

DN del emisor Ver Sección 7.1.4 Válido desde Base sobre la hora universal coordinada. Sincronizado con el reloj patrón

del Observatorio de Brasil. Cifrado de conformidad con RFC 5280. Válido hasta DN del sujeto Ver CP § 7.1.4


34

Clave pública del sujeto

Cifrada de conformidad con RFC 5280 Firma Generada y cifrada de conformidad con RFC 5280

1 - Campos básicos del perfil de certificados

7.1.1. Número de versión Los certificados de CERTISIGN AC PARCERIA son certificados X.509, versión 3. Los certificados de la AC son

certificados AC X.509, versión 1 o versión 3. Los certificados de suscriptores usuarios finales son X.509,

versión 3.

7.1.2. Extensiones de certificados CERTISIGN AC PARCERIA rellena los certificados de CERTISIGN AC PARCERIA X.509, versión 3 con extensiones que

se exigen en las Secciones 7.1.2.1 a 7.1.2.8. Se permiten extensiones privadas, pero su uso no se encuentra

amparado en virtud de esta CP y las CPS vigentes a menos que se incluya específicamente mediante referencia.

7.1.2.1 Key Usage

Por lo general, los certificados X.509, versión 3 se rellenan de conformidad con RFC 5280: Internet X.509 Public

Key Infrastructure Certificate and CRL Profile, abril de 2002. El campo de importancia de la extensión KeyUsage

se configura como FALSO para los certificados de suscriptor entidad final, pero como VERDADERO para los

certificados de la AC.

7.1.2.2 Extensión Certificate Policies

La extensión CertificatePolicies de los certificados X.509, versión 3 se rellena con el identificador de objetos de

esta CP de conformidad con la Sección 7.1.6 y con los calificadores de la política establecidos en la Sección 7.1.8.

El campo de importancia de esta extensión debe configurarse como FALSO.

7.1.2.2.1 Requisitos de CABF para la extensión Certificate Policies

No corresponde.

7.1.2.3 Subject Alternative Names

La extensión subjectAltName de los certificados X.509, versión 3 se rellena de conformidad con RFC 5280, salvo en

aquellos que se emitieron bajo cuentas Public Lite que pueden excluir de manera opcional la dirección de correo

electrónico en SubjectAltName. El campo de importancia de esta extensión debe configurarse como FALSO.

7.1.2.4 Basic Constraints La extensión BasicConstraints de los certificados AC X.509, versión 3 debe tener configurado el campo AC como

VERDADERO. La extensión BasicConstraints de los certificados de suscriptor usuario final debe tener

configurado el campo AC como FALSO. El campo de importancia de esta extensión debe configurarse como

VERDADERO para los certificados de la AC, pero como VERDADERO o FALSO para los certificados de suscriptor

usuario final.

Los certificados AC X.509, versión 3 deben tener el campo “pathLenConstraint” de la extensión BasicConstraints

configurado con el máximo número de certificados de AC que puedan aparecer después de este certificado en una

ruta de certificación. Los certificados de AC emitidos para un cliente empresarial en línea que emite certificados de

suscriptor usuario final deben tener el campo “pathLenConstraint” configurado con el valor “0”, lo que indica que

solo un certificado de suscriptor usuario final puede aparecer después en la ruta de certificación.

7.1.2.5 Extended Key Usage De manera predeterminada, ExtendedKeyUsage se configura como extensión no crítica. Los certificados de AC

de CERTISIGN AC PARCERIA no incluyen la extensión ExtendedKeyUsage.

7.1.2.6 CRL Distribution Points

Los certificados X.509, versión 3 de CERTISIGN AC PARCERIA se rellenan con la extensión cRLDistributionPoints

que contiene la URL de la ubicación donde la parte confiada puede obtener una LCR para verificar el estado del

certificado. El campo de importancia de esta extensión debe configurarse como FALSO.

7.1.2.7 Authority Key Identifier

Por lo general, los certificados X.509, versión 3 de CERTISIGN AC PARCERIA se rellenan con una extensión

authorityKeyIdentifier. El método para generar la keyIdentifier en función de la clave pública de la AC que

emite el certificado


35

Debe calcularse de conformidad con uno de los métodos descritos en RFC 5280. El campo de importancia

de esta extensión debe configurarse como FALSO.

7.1.2.8 Subject Key Identifier

Si se encuentra presente en los certificados X.509, versión 3 de CERTISIGN AC PARCERIA, el campo de

importancia debe configurarse como FALSO y el método para generar la keyIdentifier en función de la clave

pública del sujeto del certificado debe calcularse de conformidad con uno de los métodos descritos en RFC

5280.

7.1.3. Identificadores de objetos de algoritmos

Los certificados de CERTISIGN AC PARCERIA se firman con uno de los siguientes algoritmos.

sha256withRSAEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549)

pkcs(1) pkcs-1(1) 11}

ecdsa-with-Sha256 OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) ansi-X9-62(10045)

signatures(4) ecdsa-with-SHA2 (3) 2}

ecdsa-with-Sha384 OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) ansi-X9-62(10045)

signatures(4) ecdsa-with-SHA2 (3) 3}

sha-1WithRSAEncryption OBJECT IDENTIFIER ::= {iso(1) member-body(2) us(840) rsadsi(113549)

pkcs(1) pkcs-1(1) 5}

Las firmas de los certificados producidas con estos algoritmos deben cumplir con RFC 3279.

7.1.4. Formas de nombres Los certificados de CERTISIGN AC PARCERIA se rellenan con el nombre de emisor y el nombre distinguido

de sujeto requeridos en virtud de la Sección 3.1.1. El nombre de emisor debe rellenarse en cada certificado

emitido que contenga el país, el nombre de la organización y el nombre común de la AC emisora.

Asimismo, los certificados de suscriptor usuario final incluyen generalmente un campo Organizational Unit

adicional que contiene un aviso en el que se indica que los términos de uso del certificado se establecen en una

URL y que la URL debe ser un indicador hacia el Acuerdo de partes confiadas. Se permiten excepciones al requisito

anterior cuando las limitaciones de espacio, formato o interoperabilidad dentro de los certificados hagan que sea

imposible el uso de dicho campo junto con la solicitud para la cual se prevén los certificados, o bien si el indicador

hacia el Acuerdo de partes confiadas se incluye en la extensión de política del certificado.

7.1.5. Restricciones de los nombres No hay estipulaciones.

7.1.6. Identificador de objetos de la política de certificados

El identificador de objetos para la política de certificados correspondiente a cada AC se establece en la

Sección 1.2. La extensión CertificatePolicies en cada certificado X.509, versión 3 de CERTISIGN AC

PARCERIA se rellena de conformidad con la Sección 1.2.26.

7.1.6.1 Requisitos de CABF para el identificador de objetos de la política de certificados

7.1.6.1.1 Requisitos de CABF para el identificador de objetos de la política de certificados para la EV No corresponde.

7.1.7. Extensión Usage of Policy Constraints



36

7.1.8. Semántica y sintaxis de los calificadores de la política

Los certificados X.509, versión 3 de CERTISIGN AC PARCERIA contienen un calificador de la política dentro de la

extensión Certificate Policies. Por lo general, dichos certificados contienen un calificador de indicador de CPS que

señala el Acuerdo de partes confiadas o la CPS vigentes. Asimismo, algunos certificados contienen un calificador

de notificación para usuarios que señala el Acuerdo de partes confiadas vigente.

7.1.9. Procesamiento de la semántica para la extensión Critical Certificate Policies


7.2. Perfil de LCR Según corresponde al tipo de certificado, las LCR adecuadas cumplen con la versión actual de los requisitos

estándares del foro del buscador o AC para la emisión y administración de certificados de confianza pública.

Las LCR, versión 2 cumplen con RFC 5280 y contienen los contenidos y campos básicos especificados en la Tabla 5 a continuación:

Campo Valor o restricción de valor Versión Ver Sección 7.2.1 Algoritmo de firma Algoritmo utilizado para firmar la LCR de conformidad con RFC 3279.

(Ver CP § 7.1.3) Emisor Entidad que ha firmado y emitido la LCR Fecha de vigencia Fecha de emisión de la LCR

Las LCR entran en vigencia al momento de la emisión. Próxima actualización

Fecha en la que la próxima LCR se emitirá. La frecuencia de emisión de la LCR cumple con los requisitos de la Sección 4.9.7.

Certificados revocados

Lista de certificados revocados, incluido el número de serie de los certificados revocados y la fecha de revocación.

2 - Campos básicos del perfil de LCR

7.2.1. Número de versión

CERTISIGN AC PARCERIA es compatible con LCR X.509, versión 1 y versión 2.

7.2.2. Extensiones de LCR y entradas de LCR


7.3. Perfil de OCSP El OCSP (protocolo de estado de certificado en línea) es una manera de obtener información oportuna sobre el

estado de revocación de un certificado particular.

Los certificados SSL validados por organizaciones y validados por dominio cumplen con los requisitos estándares del foro del buscador o AC.

Las respuestas de OCSP deben cumplir con RFC5019 y deben firmarse de la siguiente manera: Mediante la AC que emitió los certificados cuyo estado de revocación está en proceso de verificación.

Mediante un respondedor OCSP cuyo certificado firma la AC que emitió el certificado cuyo estado de revocación está en proceso de verificación. Dicho respondedor OCSP que firma el certificado debe contener la extensión id-pkix-ocsp-nocheck según se define en RFC2560.

7.3.1. Número de versión La versión 1 de la especificación de OCSP, según se define en RFC2560, y la versión 1 de la especificación de

OCSP, según se define en RFC 5019, son compatibles.

7.3.2. Extensiones de OCSP

El servicio de CERTISIGN utiliza un sellado de tiempo seguro y un período de validez para determinar la

actualización actual de cada respuesta de OCSP. CERTISIGN no utiliza un nonce para determinar la actualización

actual de cada respuesta de OCSP y los clientes no deben esperar un nonce en respuesta a una solicitud que

contiene un nonce. Por el contrario, los clientes deben utilizar el reloj local para verificar la actualización de la

respuesta.


37

8. Auditoría de conformidad y otras evaluaciones CERTISIGN y las filiales se someten a una auditoría de conformidad periódica (“Auditoría de conformidad”)

para garantizar el cumplimiento de los estándares de CERTISIGN AC PARCERIA luego de entrar en servicio.

Además de estas auditorías de conformidad, CERTISIGN y las filiales tienen derecho a realizar otras revisiones

e investigaciones para garantizar la integridad de CERTISIGN AC PARCERIA, que incluyen, entre otras, lo

siguiente:

Una “Revisión de prácticas y seguridad” de una filial antes de que pueda entrar en servicio.

Una revisión de prácticas y seguridad consiste en revisar la instalación segura de una filiar, los

documentos de seguridad, la CPS, los acuerdos relacionados con CERTISIGN AC PARCERIA, la política de

privacidad y los planes de validación para garantizar que la filial cumple con los estándares de

CERTISIGN AC PARCERIA.

CERTISIGN tiene derecho, a su entera y exclusiva discreción, a realizar una “Investigación o auditoría

exigente” en cualquier momento sobre sí misma, una filial o un cliente empresarial en caso de que

CERTISIGN o la entidad superior de la entidad que se audite tengan motivos para creer que la entidad

auditada no ha cumplido con los estándares de CERTISIGN AC PARCERIA, ha sufrido un incidente o

riesgo, o ha actuado o no ha cumplido en actuar, de modo tal que el incumplimiento, el incidente o el

riesgo de la entidad auditada, o el actuar o la falta de actuación representan una amenaza real o posible

para la seguridad o la integridad de CERTISIGN AC PARCERIA.

CERTISIGN tiene derecho a realizar “Revisiones complementarias de la administración de riesgos” sobre

sí misma, una filial o un cliente luego de obtener hallazgos incompletos o excepcionales en una auditoría

de conformidad o como parte del proceso general de administración de riesgos en el desarrollo normal de

las actividades comerciales.

CERTISIGN tiene derecho a delegar la realización de estas auditorías, revisiones e investigaciones a la entidad

superior de la entidad que se audite, revise o investigue, o bien a otra empresa auditora. Las entidades sujetas a

auditoría, revisión o investigación deben cooperar razonablemente con CERTISIGN y el personal que realice la

auditoría, revisión o investigación.

Requisito de auditoría de CABF para la EV

No corresponde.

8.1. Frecuencia y circunstancias de evaluación Las auditorías de conformidad se llevan a cabo como mínimo una vez al año y la entidad auditada correrá con

todos los gastos relacionados. Las auditorías deben realizarse en secuencias ininterrumpidas de los períodos de

auditorías y ningún período debe superar la duración de un año.

8.2. Identidad o calificaciones del asesor Una empresa auditora externa debe llevar a cabo las auditorías de conformidad de CERTISIGN y las filiales.

Las revisiones y auditorías realizadas por una empresa auditora independiente deben llevarse a cabo a través de

un estudio contable público certificado con experiencia comprobable en el sector de seguridad informática, o bien

por profesionales de seguridad informática acreditados contratados mediante una consultoría de seguridad

informática. Dicha empresa también debe contar con experiencia comprobable en el desarrollo de auditorías de

conformidad de ICP y seguridad TI, y en el esquema de auditoría seleccionado.

El auditor calificado debe estar obligado por ley, reglamentación gubernamental o código de ética profesional.

8.3. Relación del asesor con la entidad evaluada Las auditorías de conformidad realizadas por empresas auditoras externas deben llevarse a cabo a través de

empresas independientes a la entidad auditada. Dichas empresas no deben tener conflicto de intereses que

dificulten su capacidad para prestar servicios de auditoría.


38

8.4. Temas que abarca la evaluación Los temas de la auditoría para cada categoría de entidad se establecen a continuación. La entidad auditada

puede hacer que la auditoría de conformidad sea un módulo, es decir una parte de una auditoría anual general

de los sistemas de información de la entidad.

Auditorías de AR: Se recomienda que los clientes empresariales que autoricen la emisión de certificados SSL se sometan a una

auditoría de cumplimiento anual de sus obligaciones en virtud de CERTISIGN AC PARCERIA. A petición de

CERTISIGN o de una entidad superior (si esta no fuera CERTISIGN), los clientes empresariales deben someterse a

una auditoría a fin de determinar las excepciones o irregularidades de las políticas de CERTISIGN AC PARCERIA y

las medidas tomadas para reparar dichas irregularidades.

Auditoría de CERTISIGN o una filial:

CERTISIGN y cada filial deben ser auditadas de conformidad con las pautas proporcionadas en la declaración

del Instituto Americano de Contadores Públicos Certificados que se encuentra en los informes de control de

organizaciones de servicios (SOC) sobre los riesgos asociados a las organizaciones de servicios. Sus auditorías

de conformidad deben realizarse de acuerdo con el criterio WebTrust para autoridades certificadoras o con

un estándar de auditoría equivalente aprobado por CERTISIGN, por ejemplo: un informe de políticas y

procedimientos en vigencia y una prueba de efectividad operativa.

8.5. Medidas que se tomaron como resultado de insuficiencia Luego de recibir el informe de la auditoría de conformidad, la entidad superior de la entidad auditada debe

comunicarse con la parte auditada para analizar toda excepción o insuficiencia que muestre la auditoría de

conformidad. CERTISIGN también tiene derecho a analizar dichas excepciones o insuficiencia con la parte

auditada. La parte auditada y la entidad superior deben, de buena fe, tomar todas las medidas comercialmente

razonables para diseñar un plan de acción correctiva a fin de resolver los problemas que provocaron las

excepciones o insuficiencia y deben implementar dicho plan.

En el caso en que la entidad auditada no pueda desarrollar dicho plan de acción correctiva, o bien implementarlo,

o si el informe muestra excepciones o insuficiencia que CERTISIGN y la entidad superior de la entidad auditada

creen razonablemente representar una amenaza inmediata para la seguridad e integridad de CERTISIGN AC

PARCERIA, entonces:

(a) CERTISIGN o la entidad superior deben determinar si es necesario informar la revocación y el riesgo.

(b) CERTISIGN y la entidad superior tienen derecho a suspender los servicios a la entidad auditada. (c) Si fuera necesario, CERTISIGN y la entidad superior pueden finalizar dichos servicios sujetos a esta CP y a los

términos del contrato de la entidad auditada con su entidad superior.

8.6. Informe de resultados Luego de una auditoría de conformidad, la entidad auditada debe proporcionar a CERTISIGN y a su entidad

superior (si esta no fuera CERTISIGN) el informe anual y las certificaciones en función de su auditoría o

autoauditoría dentro de los 14 días posteriores a la finalización de la auditoría y a más tardar 45 días después

de la fecha de aniversario del inicio de las operaciones.

Las AC deben poner a disposición del público su informe de auditoría anual a más tardar tres (3) meses después

de finalizar el período de auditoría. En el caso en que se demore más de tres meses, la AC debe proporcionar una

carta explicativa firmada por el auditor calificado.

9. Otros asuntos legales y comerciales

9.1. Aranceles

9.1.1. Aranceles de emisión o renovación de certificados CERTISIGN, sus filiales y los clientes AR están autorizados a cobrar a los suscriptores usuarios finales para emitir,

administrar y renovar los certificados.


39

9.1.2. Aranceles de acceso de certificados

CERTISIGN, sus filiales y los clientes AR no deben cobrar un arancel como condición para poner a disposición un

certificado en un repositorio, o bien para poner certificados a disposición de las partes confiadas.

9.1.3. Aranceles de acceso a la información de estado o revocación CERTISIGN y sus filiales no deben cobrar un arancel como condición para poner a disposición las LCR que

requiere esta CP en un repositorio, o bien para las partes confiadas. No obstante, deben tener autorización para

cobrar un arancel para proporcionar LCR personalizadas, servicios de OCSP u otros servicios de información de

estado y revocación con valor agregado. CERTISIGN y sus filiales no deben permitir el acceso a la información de

revocación, la información de estado del certificado ni el sellado de tiempo en sus repositorios por parte de

terceros que brinden productos o servicios que utilicen dicha información de estado del certificado sin el

consentimiento expreso previo por escrito de CERTISIGN.

9.1.4. Aranceles para otros servicios CERTISIGN y sus filiales no cobran arancel por acceder a esta CP o a sus respectivas CPS. Todo uso que implique

otros fines que no sean simplemente ver el documento, ya sea reproducción, redistribución, modificación o

creación de trabajos derivados, quedará sujeto a un acuerdo de licencia con la entidad que posea los derechos de

autor del documento.

9.1.5. Política de reembolso En la medida en que lo permita la ley aplicable, CERTISIGN, sus filiales y revendedores deben implementar una

política de reembolso. Deben publicar las políticas de reembolso en sus sitios web (incluida una lista en sus

repositorios), en los Acuerdos de suscripción y, en el caso de CERTISIGN y sus filiales, en las CPS.

9.2. Responsabilidad financiera

9.2.1. Cobertura de seguros CERTISIGN, sus filiales y clientes empresariales (cuando se requiera) deben conservar un nivel razonablemente

comercial de cobertura de seguros en caso de errores y omisiones, ya sea mediante un programa de seguro

contra errores y omisiones con una aseguradora, o bien una retención autoasegurada. Este requisito de seguro

no se aplica a entidades gubernamentales.

9.2.2. Otros activos

CERTISIGN, sus filiales y clientes empresariales deben contar con los recursos financieros suficientes para

mantener las operaciones y realizar las tareas, y deben ser razonablemente capaces de asumir el riesgo de

responsabilidad frente a suscriptores y partes confiadas.

9.2.3. Cobertura de garantía extendida Algunos participantes de CERTISIGN AC PARCERIA ofrecen programas de garantía extendida que brindan a los

suscriptores de certificados de firma de códigos y SSL protección contra pérdida o daño provocados por un

defecto en la emisión del certificado del participante u otra malversación causada por la negligencia o el

incumplimiento por parte del participante de sus obligaciones contractuales, siempre que el suscriptor del

certificado haya cumplido con las obligaciones en virtud del Acuerdo de servicios aplicable. Los participantes de

CERTISIGN AC PARCERIA que ofrecen programas de garantía extendida deben incluir información sobre el

programa en sus CPS.

9.3. Confidencialidad de la información comercial

9.3.1. Alcance de la información confidencial

En virtud de la Sección 9.3.2, los siguientes registros de los suscriptores deben mantenerse

privados y confidenciales (“Información privada o confidencial”):

Registros de solicitud de la AC, ya sean aprobados o desaprobados.

Registros de solicitud de certificados.

Claves privadas que posean los clientes empresariales con gestor de claves ICP administrada e

información necesaria para recuperar dichas claves privadas.


40

Registros de transacciones (registros completos y la traza de auditoría de las transacciones).

Los registros de auditoría de CERTISIGN AC PARCERIA creados o retenidos por CERTISIGN, una

filial o un cliente.

Los registros de auditoría de CERTISIGN AC PARCERIA creados por CERTISIGN, una filial o un cliente

(en la medida en que dichos informes se conserven), o sus respectivos auditores (ya sean internos o

públicos).

Planos de contingencia y de recuperación ante desastres.

Medidas de seguridad que controlen las operaciones de hardware y software de CERTISIGN o sus

filiales y la administración de servicios de certificados y servicios de inscripción designados.

9.3.2. Información fuera del alcance de la información confidencial

Los participantes de CERTISIGN AC PARCERIA reconocen que la información sobre certificados, revocación de

certificados y demás información de estado, repositorios de los participantes de CERTISIGN AC PARCERIA y la

información que allí se encuentra no se considera Información privada o confidencial. La información que no

se considere expresamente Información privada o confidencial en virtud de la Sección 9.3.1 no debe

considerarse ni privada ni confidencial. Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.3.3. Responsabilidad para proteger la información confidencial

Los participantes de CERTISIGN AC PARCERIA que reciban información privada deben protegerla de todo

riesgo y divulgación a terceros.

9.4. Privacidad de la información personal

9.4.1. Plan de privacidad

CERTISIGN y sus filiales deben implementar una política de privacidad de conformidad con los requisitos internos

de CERTISIGN. Dichas políticas de privacidad deben cumplir con todas las leyes de privacidad locales vigentes.

CERTISIGN y sus filiales no deben divulgar ni vender los nombres de los solicitantes de certificados ni ninguna

información de identificación sobre ellos, sujetos a la Sección 9.3.2 y al derecho de un AC que finaliza su mandato

de transferir dicha información a un AC sucesor en virtud de la Sección 5.8.

9.4.2. Información de carácter privado Toda información sobre los suscriptores que no esté públicamente disponible a través del contenido del certificado

emitido, del directorio de certificados y de las LCR en línea debe considerarse privada.

9.4.3. Información que no se considera privada

Toda información que se ponga a disposición del público en un certificado se considera no privada, sujeta a las leyes locales.

9.4.4. Responsabilidad para proteger la información privada

Los participantes de CERTISIGN AC PARCERIA que reciban información privada deben protegerla de todo

riesgo y divulgación a terceros, y deben cumplir con todas las leyes de privacidad locales en sus

jurisdicciones.

9.4.5. Notificación y consentimiento para utilizar la información privada

Salvo que se establezca lo contrario en esta CP, en la Política de privacidad vigente o por acuerdo, la información

privada no se debe utilizar sin el consentimiento de la parte a quien esa información se aplica.

Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.4.6. Divulgación conforme al proceso judicial o administrativo

Los participantes de CERTISIGN AC PARCERIA reconocen que CERTISIGN y su filial tienen el derecho de divulgar

la Información privada o confidencial si, de buena fe, CERTISIGN o su filial creen lo siguiente:

La divulgación es necesaria en respuesta a citaciones y órdenes de registro.

La divulgación es necesaria en respuesta a procesos judiciales, administrativos u otros procesos legales

durante el proceso preliminar en una acción civil o administrativa, como citaciones, interrogatorios,

solicitudes de admisión y solicitudes de producción de documentos.


41

Esta sección se encuentra sujeta a las leyes de privacidad aplicables.

9.4.7. Otras circunstancias de divulgación de la información

Las políticas de privacidad deben contener disposiciones que se relacionen con la divulgación de

Información privada o confidencial a la persona que la divulga a CERTISIGN o su filial. Esta sección se

encuentra sujeta a las leyes de privacidad aplicables.

9.5. Derechos de propiedad intelectual La asignación de Derechos de propiedad intelectual entre los participantes de CERTISIGN AC PARCERIA que

no sean suscriptores o partes confiadas debe regirse por los acuerdos vigentes entre dichos participantes de

CERTISIGN AC PARCERIA. Las siguientes subsecciones de la Sección 9.5 se aplican a los Derechos de

propiedad intelectual relacionados con los suscriptores y las partes confiadas.

9.5.1. Derechos de propiedad en certificados e información de revocación

Las AC conservan todos los Derechos de propiedad intelectual sobre los certificados y la información de

revocación, y en relación con ellos, que emiten. CERTISIGN, sus filiales y clientes deben otorgar permiso para

reproducir y distribuir certificados sin exclusividad y exentos de regalías, siempre que se reproduzcan de

manera completa y que el uso de tales certificados esté sujeto al Acuerdo de partes confiadas que se menciona en

el certificado. CERTISIGN, sus filiales y clientes deben otorgar permiso para usar la información de revocación

con el fin de desempeñar las funciones de la parte confiada sujeto al Acuerdo de uso de LCR vigente, al Acuerdo

de partes confiadas o cualquier otro acuerdo vigente.

9.5.2. Derechos de propiedad en la CP Los participantes de CERTISIGN AC PARCERIA reconocen que CERTISIGN conserva todos los derechos de

propiedad intelectual sobre esta CP y en relación con ella.

9.5.3. Derechos de propiedad en nombres Un solicitante de certificado conserva todos los derechos que tiene (si corresponde) sobre las marcas

comerciales, marcas de servicio o nombre comercial que aparezcan en una solicitud de certificado y nombre

distinguido dentro de cualquier certificado emitido para dicho solicitante.

9.5.4. Derechos de propiedad en claves y material de claves

Los pares de clave que correspondan a los certificados de las AC y a los suscriptores usuarios finales son

propiedad de las AC y los suscriptores usuarios finales que sean los sujetos respectivos de estos certificados,

sujeto a los derechos de clientes empresariales con gestor de claves ICP administrada, independientemente del

medio físico dentro del cual estén almacenados y protegidos. Asimismo, dichas personas conservan todos los

Derechos de propiedad intelectual sobre estos pares de claves y en relación con ellos.

Los certificados autofirmados y las claves públicas de CERTISIGN AC PARCERIA son propiedad de CERTISIGN.

Finalmente, las partes de secretos de una clave privada de una AC son propiedad de la AC, y la AC conserva

todos los derechos de propiedad intelectual sobre dichas partes de secretos, y en relación con ellas, aun cuando

no pueda obtener de CERTISIGN la posesión física de esas partes de secretos o de AC.

9.6. Representaciones y garantías

9.6.1. Representaciones y garantías de AC

Las AC de CERTISIGN AC PARCERIA garantizan lo siguiente:

No hay declaraciones falsas de hecho concretas en el certificado conocido por las entidades, o que

se origina de tales, que aprueban la solicitud de certificado o que emiten el certificado.

La información del certificado no contiene errores que hayan cometido las entidades que aprueban la

solicitud de certificado o que emiten el certificado que surjan de la falta de precaución razonable al

administrar la solicitud de certificado o al crear el certificado.

Sus certificados cumplen con todos los requisitos materiales de esta CP y la CPS vigente.

Los servicios de revocación y el uso de un repositorio cumplen con todos los requisitos materiales

de esta CP y la CPS vigente en todos los aspectos pertinentes.


42

Es posible que los Acuerdos de suscriptores incluyan representaciones y garantías adicionales.

9.6.1.1 Garantías y obligaciones de CABF

No corresponde.

9.6.2. Representaciones y garantías de AR Las AR de CERTISIGN AC PARCERIA garantizan lo siguiente:

No hay declaraciones falsas de hecho concretas en el certificado conocido por las entidades, o que

se origina de tales, que aprueban la solicitud de certificado o que emiten el certificado.

La información del certificado no contiene errores que hayan cometido las entidades que aprueban la

solicitud de certificado o que emiten el certificado que surjan de la falta de precaución razonable al

administrar la solicitud de certificado o al crear el certificado.

Sus certificados cumplen con todos los requisitos materiales de esta CP y la CPS vigente. Los servicios de

revocación (cuando corresponda) y el uso de un repositorio cumplen con todos los requisitos materiales

de esta CP y la CPS vigente en todos los aspectos pertinentes.


9.6.3. Representaciones y garantías de suscriptores

Los suscriptores garantizan lo siguiente:

Cada firma digital creada con una clave privada que corresponda a la clave pública mencionada

en el certificado es la firma digital del suscriptor, y el certificado queda aceptado y en

funcionamiento (no caducado ni revocado) en el momento en que se crea la firma digital.

Su clave privada está protegida y ninguna persona no autorizada ha tenido acceso a la clave privada

del suscriptor.

Todas las representaciones que realizó el suscriptor en la solicitud de certificado que envió son

verdaderas.

Toda la información que proporcionó el suscriptor y que contiene el certificado es verdadera.

El certificado se utiliza exclusivamente para fines legales y autorizados, coherentes con todos los

requisitos pertinentes de esta CP y la CPS vigente.

El suscriptor es un suscriptor usuario final y no una AC, y no utiliza la clave privada que corresponde a

una clave pública mencionada en el certificado para los fines de firmar digitalmente un certificado (o

cualquier otro formato de clave pública certificada) o LCR, como AC, o por cualquier otra circunstancia.


9.6.4. Representaciones y garantías de la parte confiada Los Acuerdos de partes confiadas exigen que las partes confiadas reconozcan que tienen información suficiente

para tomar una decisión con conocimiento de causa en la medida en que elijan confiar en la información del

certificado, que son exclusivamente responsables de decidir confiar o no en dicha información, y que deben

asumir las consecuencias legales de no llevar a cabo sus obligaciones como Parte confiada en términos de esta CP.

Es posible que los Acuerdos de partes confiadas incluyan representaciones y garantías adicionales.

9.6.5. Representaciones y garantías de otros participantes


9.7. Exclusión de garantías En la medida en que lo permita la ley vigente, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben excluir las posibles garantías de CERTISIGN y de la filial correspondiente.


43

9.8. Limitaciones de responsabilidad En la medida en que CERTISIGN haya emitido y administrado los certificados en cuestión de conformidad con su

Política de certificados y su Declaración de prácticas de certificación, CERTISIGN no debe tener responsabilidad

ante el suscriptor ni la parte confiada ni ningún otro tercero por daños o pérdidas que surjan como resultado del

uso de dichos certificados, o la confianza en ellos. Las limitaciones de responsabilidad incluyen una exclusión de

daños y perjuicios directos e indirectos. También deben cumplir con el máximo de responsabilidad de cien dólares

estadounidenses (USD 100,00) que limita los daños y perjuicios de CERTISIGN y su filial.

La responsabilidad (o la limitación correspondiente) de los suscriptores debe establecerse en los

Acuerdos de suscriptores vigentes.

La responsabilidad (o la limitación correspondiente) de las AR empresariales y la AC vigente debe

establecerse en el acuerdo entre ellas.

La responsabilidad (o la limitación correspondiente) de las partes confiadas debe establecerse en los

Acuerdos de partes confiadas vigentes.

9.8.1 Limitaciones de responsabilidad para la EV

No corresponde.

9.9. Indemnizaciones

9.9.1. Indemnización por parte de suscriptores

En la medida en que lo permita la ley vigente, los suscriptores deben indemnizar a CERTISIGN en los siguientes casos:

Deshonestidad o declaraciones falsas de hecho por parte del suscriptor en su solicitud de certificado.

Cuando el suscriptor no divulgue un hecho material en la solicitud de certificado si la

declaración falsa o la omisión se realizaron de manera negligente o con la intención de

engañar a una de las partes.

Cuando el suscriptor no proteja su clave privada, no utilice un sistema confiable o cuando de otra

manera no tome las medidas de precaución necesarias para evitar el riesgo, la pérdida, la divulgación,

la modificación o el uso no autorizado de su clave privada.

Cuando el suscriptor use un nombre (incluido, entre otros, dentro de un nombre común, nombre de

dominio o dirección de correo electrónico) que infrinja los Derechos de propiedad intelectual de un

tercero.

Es posible que el Acuerdo de suscriptores vigente incluya obligaciones de indemnización adicionales.

9.9.2. Indemnización por parte de partes confiadas

En la medida en que lo permita la ley vigente, los Acuerdos de partes confiadas deben exigir a las partes

confiadas indemnizar a CERTISIGN en los siguientes casos:

Cuando la parte confiada no cumpla con sus obligaciones.

Cuando la parte confiada confíe en un certificado que no es razonable según las circunstancias.

Cuando la parte confiada no verifique el estado de dicho certificado para determinar si ha caducado o

está revocado.

Es posible que el Acuerdo de partes confiadas vigente incluya obligaciones de indemnización adicionales.

9.9.3. Indemnización de proveedores de software de aplicación

No corresponde.

9.10. Vigencia y finalización

9.10.1. Vigencia

La CP entra en vigencia a partir de la publicación en el Repositorio de CERTISIGN. Las enmiendas de esta CP

entran en vigencia a partir de la publicación en el Repositorio de CERTISIGN.


44

9.10.2. Finalización

Esta CP según se enmiende de manera ocasional permanece en vigencia hasta que la nueva versión la reemplace.

9.10.3. Efecto de la finalización y la supervivencia

Luego de la finalización de esta CP, los participantes de CERTISIGN AC PARCERIA quedan igualmente

obligados por sus términos para todos los certificados emitidos durante el resto de los períodos de validez de

dichos certificados.

9.11. Notificaciones y comunicaciones individuales con participantes A menos que el acuerdo entre las partes especifique lo contrario, los participantes de CERTISIGN AC PARCERIA

deben utilizar métodos comercialmente razonables para comunicarse entre sí, considerando la importancia y el

asunto de la comunicación.

9.12. Enmiendas

9.12.1. Procedimiento para enmiendas

Las enmiendas a esta CP puede realizarlas la Autoridad de administración de políticas de redes confiables de CERTISIGN. Las enmiendas deben ser en forma de un documento con un formulario de enmienda de la CP o bien una actualización. Las actualizaciones o versiones enmendadas deben estar vinculadas a la sección Notificaciones

y actualizaciones de prácticas del Repositorio de CERTISIGN ubicado en http://iofe.certisign.com.br/repository. Las actualizaciones substituyen toda disposición designada o en conflicto de la versión referida de la CP. El PMD (Departamento de administración de políticas) debe determinar si los cambios de la CP exigen un cambio en los OID de las políticas de certificados que corresponden a cada tipo de certificado.

9.12.2. Período y mecanismo de notificación

CERTISIGN y el PMD se reservan el derecho de enmendar la CP sin notificación de las enmiendas que no sean

fundamentales, incluidas, entre otras, las correcciones de errores tipográficos, los cambios de URL y los cambios

de la información de contacto. La decisión por parte del PMD de designar enmiendas como fundamentales o no

debe ser a su entera discreción.

El PMD debe enviar a las filiales una notificación de las enmiendas fundamentales a la CP propuestas por el PMD. La notificación debe contener el texto de las enmiendas propuestas y el período de comentarios públicos. Las enmiendas a la CP propuestas también deben aparecer en la sección Notificaciones y actualizaciones de prácticas

del Repositorio de CERTISIGN ubicado en http://iofe.certisign.com.br/repository. Las filiales deben publicar las

enmiendas propuestas, o brindar un vínculo a ellas, en sus propios repositorios en Internet dentro de un tiempo razonable luego de recibir notificación de dichas enmiendas. El PMD solicita las enmiendas a la CP propuestas de otros participantes de CERTISIGN AC PARCERIA. Si el PMD

considera que se necesita una enmienda y propone su implementación, debe enviar notificación de tal de

conformidad con esta sección.

Salvo disposición de la CP en contrario, si el PMD cree que se necesitan enmiendas fundamentales e inmediatas

de la CP para detener o evitar la violación de la seguridad de CERTISIGN AC PARCERIA o de alguna parte de tal,

CERTISIGN y el PMD tiene la autorización para realizar dichas enmiendas mediante publicación en el Repositorio

de CERTISIGN. Tales enmiendan entran en vigencia de manera inmediata luego de la publicación. Dentro de un

tiempo razonable a partir de la publicación, CERTISIGN debe enviar una notificación a las filiales sobre dichas

enmiendas.

9.12.2.1. Período de comentarios públicos

Salvo que se establezca lo contrario, el período de comentarios públicos para toda enmienda fundamental a la

CP debe ser de 15 días a partir de la fecha en que se publican en el Repositorio de CERTISIGN. Todo participante

de CERTISIGN AC PARCERIA tiene derecho a presentar comentarios ante el PMD hasta finalizar el período de

comentarios públicos.

9.12.2.2. Mecanismo de manipulación de comentarios

El PMD debe considerar todos los comentarios sobre las enmiendas propuestas. El PMD debe (a) permitir que las

http://iofe.certisign.com.br/repository




45

enmiendas propuestas entren en vigencia sin enmienda, (b) enmendar las enmiendas propuestas y republicarlas

como una nueva enmienda cuando se requiera o (c) retirar las enmiendas propuestas. El PMD tiene derecho de

retirar las enmiendas propuestas mediante notificación a las filiales y aviso en la sección Notificaciones y

actualizaciones de prácticas del Repositorio de CERTISIGN. A menos que las enmiendas propuestas se enmienden

o se retiren, estas deben entrar en vigencia a partir de la caducidad del período de comentarios públicos.

9.12.3. Circunstancias en las que el OID debe cambiarse

Si el ADP determina que se necesita un cambio en el identificador de objetos que corresponde a una política de

certificados, la enmienda debe contener los nuevos identificadores de objetos para las políticas de certificados

que corresponden a cada tipo de certificado. De lo contrario, las enmiendas no requieren un cambio en el

identificador de objetos de la política de certificados.

9.13. Disposiciones sobre la resolución de disputas

9.13.1. Disputas entre CERTISIGN, sus filiales y clientes Las disputas entre una o más partes, ya sea CERTISIGN, filiales o clientes, deben resolverse de conformidad

con las disposiciones en los acuerdos vigentes entre las partes.

9.13.2. Disputas con suscriptores usuarios finales o partes confiadas En la medida en que la ley vigente lo permita, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben contener una cláusula de resolución de disputas. Las disputas que impliquen a CERTISIGN requieren de

un período de negociación inicial de sesenta (60) días y luego una litigación en el tribunal municipal de São

Paulo, Brasil.

9.14. Ley vigente Sujetas a los límites que aparezcan en la ley vigente, las leyes de Brasil deben regir la exigibilidad, interpretación y

validez de esta CP independientemente del contrato o de otra elección de derecho. Esta elección de derecho se

realiza a fin de garantizar la uniformidad de procedimientos e interpretación para todos los participantes de

CERTISIGN AC PARCERIA, sin importa su ubicación.

Esta disposición de ley vigente se aplica solo a esta CPS. Los acuerdos que incorporen la CP por referencia pueden

tener sus propias disposiciones de ley vigente, siempre que esta Sección 9.14 rija la exigibilidad, interpretación y

validez de los términos de la CP independiente y además de las disposiciones restantes de cualquier dicho

acuerdo, estén sujetos a las limitaciones que aparezcan en la ley vigente.

Esta CP está sujeta a las leyes, reglas, reglamentaciones, ordenanzas, decretos y mandatos locales, estatales,

nacionales y extranjeros, incluidas, entre otras, las restricciones sobre la exportación e importación de software,

hardware o información técnica.

9.15. Cumplimiento de la ley vigente Esta CP está sujeta a las leyes, reglas, reglamentaciones, ordenanzas, decretos y mandatos locales, estatales,

nacionales y extranjeros, incluidas, entre otras, las restricciones sobre la exportación e importación de software,

hardware o información técnica. Las AC deben contar con autorización en cada jurisdicción donde se

desempeñen donde la ley de dicha jurisdicción exija tal autorización para la emisión de certificados.

9.16. Disposiciones varias

9.16.1. Acuerdo completo

No corresponde.

9.16.2. Asignación

No corresponde.

9.16.3. Divisibilidad

En el caso en que un tribunal de justicia u otro tribunal que tenga autoridad no puedan exigir el cumplimiento

de una cláusula o disposición de esta CP, el resto de la CP sigue siendo válida.


46

9.16.4. Exigibilidad (honorarios de abogados y renuncia de derechos)

No corresponde.

9.16.5. Fuerza mayor

En la medida en que la ley vigente lo permita, los Acuerdos de suscriptores y los Acuerdos de partes confiadas

deben incluir una cláusula de fuerza mayor que proteja a CERTISIGN y a la filial correspondiente.

9.17. Otras disposiciones No corresponde.


47

Apéndice A: Lista de acrónimos y definiciones Término Definición ACS Firma de contenido autenticado Administrador Una persona de confianza dentro de la organización de una AC o AR que desempeña las

funciones de validación y otras funciones AC o AR Certificado del administrador

Un certificado emitido a un administrador que solo puede utilizarse para desempeñar las funciones AC o AR

Filial Un tercero de confianza que ha celebrado un acuerdo con CERTISIGN para ser un canal de servicios y distribución de CERTISIGN AC PARCERIA dentro de un territorio específico.

Individuos afiliados Una persona física que se relaciona con un cliente PKI administrada, un cliente PKI Lite administrada o una entidad de cliente Gateway (i) como un directivo, director, empleado, socio, contratista, pasante u otra persona dentro de la entidad, (ii) como miembro de una comunidad de interés registrada de CERTISIGN, o (iii) como una persona que mantenga una relación con la entidad y que esta tenga registros comerciales u otros registros que proporcionen la seguridad adecuada de la identidad de dicha persona

AICPA Instituto Americano de Contadores Públicos Certificados ANSI Instituto Americano de Normas Nacionales Solicitante La persona física o entidad jurídica que solicita un certificado (o su renovación). Una vez

que se emite el certificado, el solicitante se denomina suscriptor. En el caso de certificados emitidos para dispositivos, el solicitante es la entidad que controla u opera el dispositivo mencionado en el certificado, aun cuando el dispositivo envíe la verdadera solicitud de certificado

Representante de solicitante

Una persona física o patrocinador humano que sea el solicitante, contratado por el solicitante, o un agente autorizado que tiene la autoridad expresa para representar al solicitante: (i) Quien firma y envía o aprueba una solicitud de certificado en nombre del solicitante, (ii) quien firma y envía un Acuerdo de suscriptores en nombre del solicitante, o (iii) quien reconoce y acepta los términos de uso del certificado en nombre del solicitante cuando este sea una filial de la AC.

Proveedor de software de aplicación

Un proveedor de software de navegadores de Internet u otro software de aplicación de la parte confiada que muestra o utiliza certificados e incorpora certificados raíz

Carta de certificación

Una carta en la que se certifica que la información del sujeto es correcta y está escrita por un contador, abogado, funcionario gubernamental o un tercero de confianza al que normalmente se le confía esa información

Informe de auditoría Un informe de un auditor calificado en el que se indica la opinión del auditor calificado sobre si los controles y procesos de la entidad cumplen con las disposiciones obligatorias de estos Requisitos

Administración automatizada

Un procedimiento por el cual las solicitudes de certificados se aprueban de manera automática si la información de inscripción concuerda con la información que aparece en la base de datos

Módulo de software de administración automatizada

Un software proporcionado por CERTISIGN que realiza la administración automatizada

AC Autoridad certificadora Certificado Un mensaje en el que, como mínimo, se menciona un nombre o se identifica a la AC,

se identifica al suscriptor, contiene la clave pública del suscriptor, se identifica el período operativo del certificado, contiene un número de serie del certificado y está digitalmente firmado por la AC

Solicitante de certificado

Un individuo u organización que solicita al emisión de un certificado a la AC Solicitud de certificado

Una solicitud de un solicitante de certificado (o agente autorizado del solicitante de certificado) a una AC para la emisión de un certificado

Cadena de certificados

Una lista ordenada de certificados que contienen un certificado del suscriptor usuario final y certificados de la AC, que finaliza en un certificado raíz

Datos de certificado Solicitudes de certificado y datos relacionados con tal (ya sea que se obtengan del solicitante o de alguna otra manera) en posesión y control de la AC o a los cuales la AC tenga acceso


48

Objetivos de control de la administración de certificados

Criterios que una entidad debe cumplir para satisfacer una auditoría de conformidad

Proceso de administración de certificados

Procesos, prácticas y procedimientos asociados con el uso de claves, software y hardware por los cuales la AC verifica los datos de certificado, emite certificados, conserva un repositorio y revoca certificados

Políticas de certificados (CP)

Este documento, que se titula “Políticas de certificados de CERTISIGN AC PARCERIA” y es la principal declaración de políticas que rige CERTISIGN AC PARCERIA

Informe de problemas con certificados

Quejas de supuesto riesgo de clave, uso incorrecto de certificados u otros tipos de fraude, riesgo, uso incorrecto o comportamiento inadecuado en relación con los certificados Lista de

certificados revocados (LCR)

Una lista emitida de manera periódica (o exigente), firmada digitalmente por una AC, de certificados identificados que se han revocado antes de sus fechas de caducidad de conformidad con la CP § 3.4. Por lo general, la lista indica el nombre del emisor de la LCR, la fecha de emisión, la fecha de la próxima emisión de LCR programada, los números de serie de los certificados revocados y los motivos y momentos específicos para la revocación Solicitud de firma de

certificados (CSR) Un mensaje que expresa una solicitud para que se emita un certificado

Autoridad certificadora (AC)

Una entidad autorizada para emitir, administrar, revocar y renovar certificados en CERTISIGN AC PARCERIA

Autorización de la Autoridad certificadora

La autorización de la Autoridad certificadora (CAA) de DNS, definida en el borrador RFC 6844 del IETF, está diseñada para permitir que el titular de un nombre de dominio DNS (el propietario de un sitio web) especifique el certificado firmando los certificados autorizados para emitir certificados para ese dominio o sitio web. Declaración de

prácticas de certificación (CPS)

Una declaración de las prácticas que CERTISIGN o una Filial emplean para aprobar o rechazar solicitudes de certificados y emitir, administrar y revocar certificados, y exige a sus clientes PKI administrada y clientes Gateway que la usen

CERTISIGN Hace referencia, con respecto a cada parte pertinente de esta CPS, a CERTISIGN Certificadora Digital S.A. o a cualquier subsidiaria propiedad absoluta de CERTISIGN para las operaciones específicas en cuestión Servicio de

legalización notarial de CERTISIGN

Un servicio ofrecido a los clientes PKI administrada que proporciona una aserción firmada digitalmente (un recibo digital) de que existe un conjunto de datos o un documento particular en un momento específico

Repositorio de CERTISIGN

La base de datos de certificados de CERTISIGN y otra información de red confiable pertinente de CERTISIGN accesible en línea

Autoridad certificadora raíz de Certisign

Una AC que actúa como AC raíz y emite certificados a las AC subordinadas

Red confiable de CERTISIGN (CERTISIGN AC PARCERIA)

La infraestructura de claves públicas basada en certificados regida por las políticas de certificados de CERTISIGN AC PARCERIA, que permite la implementación y el uso global de certificados por parte de CERTISIGN y sus Filiales, y sus respectivos clientes, suscriptores y partes confiadas

Frase de comprobación

Una frase de comprobación que elige un solicitante de certificado durante la inscripción para recibir un certificado. Cuando se emite un certificado, el solicitante certificado se convierte en suscriptor y una AC o AR pueden utilizar la frase de comprobación para autenticar al suscriptor cuando este necesite revocar o renovar el certificado

Auditoría de conformidad

Una auditoría periódica que realiza la AC o AR para determinar su cumplimiento con los estándares de CERTISIGN AC PARCERIA que se le aplican

Riesgo Una violación (o supuesta violación) de una política de seguridad, en la que puede haber ocurrido la divulgación no autorizada de información confidencial, o pérdida de control de esta. Con respecto a las claves privadas, un riesgo es una pérdida, robo, divulgación, modificación, uso no autorizado u otro riesgo de la seguridad de dicha clave privada Información

privada/confidencial

Información que debe mantenerse confidencial y privada en virtud de la CP § 2.8.1

CP Política de certificados

CPS Declaración de prácticas de certificación LCR Lista de certificados revocados


49

Acuerdo de uso de la LCR

Un acuerdo en el que se establecen los términos y las condiciones en virtud de los cuales se puede utilizar una LCR o la información que esta contiene

Certificado cruzado Un certificado que se emite a fin de establecer una relación de confianza entre dos AC raíz CERTISIGN AC PARCERIA

Red confiable de CERTISIGN

Participante de CERTISIGN AC PARCERIA

Un individuo u organización que es uno o más de los siguientes dentro de CERTISIGN AC PARCERIA: CERTISIGN, una filial, un cliente, un revendedor, un suscriptor o una parte confiada

Estándares de CERTISIGN AC PARCERIA

Los requisitos comerciales, legales y técnicos para emitir, administrar, revocar, renovar y utilizar los certificados dentro de CERTISIGN AC PARCERIA

Cliente Una organización que sea cliente PKI administrada o cliente Gateway Tercero delegado

Una persona física o entidad jurídica que no sea AC, pero esté autorizada por la AC para ayudar en el proceso de administración de certificados mediante el cumplimiento de uno o más de los requisitos de la AC que se mencionan en el presente

DNS Sistema de nombre de dominio Autorización de dominio

Correspondencia u otra documentación que proporciona un inscrito de nombre de dominio en la que se certifica la autoridad de un solicitante para solicitar un certificado para un espacio de nombres de dominio específico Nombre de dominio La etiqueta que se asigna a un nodo en el sistema de nombre de dominio

Inscrito de nombres de dominio

A veces llamado “propietario” de un nombre de dominio, pero más adecuado, la persona o entidad registrada con un registrador de nombres de dominio que tiene derecho de controlar cómo se utiliza el nombre de dominio, como una persona física o entidad jurídica que se mencione como “Inscrito” en el protocolo WHOIS o por el registrador de nombres de dominio Registrador

de nombres de dominio

Una persona o entidad que registra nombres de dominio con el auspicio de las siguientes partes, o por acuerdo con ellas: (i) la Corporación de Internet para la Asignación de Nombres y Números (ICANN), (ii) un registro o una autoridad de nombre de dominio nacional, o (iii) un Centro de información de redes (incluidos sus filiales, contratistas, delegados, sucesores o derechohabientes) Espacio de nombres

de dominio El conjunto de todos los nombres de dominio posibles que se subordinan a un solo nodo en el Sistema de nombres de dominio

AR empresarial Un empleado o un agente de una organización no afiliada con la AC que autoriza la emisión de certificados a esa organización

Fecha de entrada La fecha de “Hasta” en un certificado que define la finalización del período de validez del certificado EV Validación extendida

Certificado de EV Un certificado digital que contiene información especificada en las Pautas de EV y que se ha validado de conformidad con las Pautas

Investigación o auditoría exigente

Una investigación o auditoría de CERTISIGN en la que CERTISIGN tiene motivos para creer que una entidad no ha cumplido con los estándares de CERTISIGN AC PARCERIA, que ha ocurrido un incidente o hay un riesgo relacionado con la entidad, o que esta entidad representa una amenaza real o posible a la seguridad de CERTISIGN AC PARCERIA Validación extendida Procedimientos de validación definidos en las Pautas para los certificados de validación extendida publicadas en un foro compuesto por los proveedores de navegadores y las autoridades certificadoras más importantes FIPS Estándares federales de procesamiento de la información

FQDN Nombre de dominio totalmente calificado Nombre de dominio totalmente calificado

Un nombre de dominio que incluye las etiquetas de todos los nodos superiores en el Sistema de nombres de dominio de Internet

Entidad gubernamental

Agencia, departamento, ministerio, sucursal, entidad jurídica operada por el gobierno, o elemento similar de un gobierno de un país, o subdivisión política dentro de dicho país (como estado, provincia, ciudad, país [sic], etc.)

IANA Autoridad de números asignados en Internet ICANN Corporación de Internet para la Asignación de Nombres y Números Derechos de propiedad intelectual

Derechos en virtud de uno o más de los siguientes: todo derecho de autor, patente, secreto comercial, marca comercial y cualquier otro derecho de propiedad intelectual

Autoridad certificadora intermediaria (AC intermediaria)

Una Autoridad certificadora cuyo certificado se ubica dentro de una cadena de certificados entre el certificado de la AC raíz y el certificado de una Autoridad certificadora que emitió el certificado del suscriptor usuario final


50

Nombre del servidor interno

Un nombre de servidor (que puede o no incluir un nombre de dominio sin registrar) que no se puede resolver con el DNS público

ISO Organización Internacional de Estandarización

AC emisora En relación con un certificado particular, la AC que emitió el certificado. Puede ser una AC raíz o una AC subordinada

Riesgo de clave Se dice que una clave privada está en riesgo cuando su valor se ha divulgado a una persona no autorizada, una persona no autorizada ha tenido acceso a ella, o bien cuando existe una técnica práctica por la que una persona no autorizada puede descubrir su valor

Ceremonia de generación de claves

Procedimiento por el que se genera un par de claves de la AC o la AR, su clave privada se transfiere a un módulo criptográfico, se realiza una copia de seguridad de la clave privada o esta se certifica Script de generación

de claves Un plan documentado de procedimientos para generar un par de claves de la AC

Administrador del gestor de claves

Un administrador que desempeña las funciones de generación y recuperación de claves para un cliente PKI administrada con el gestor de claves de PKI administrada

Par de claves La clave privada y su clave pública asociada Bloque de recuperación de claves (KRB)

Una estructura de datos que contiene la clave privada del suscriptor cifrada con clave de cifrado. Los KRB se generan con el software de gestor de claves PKI administrada Servicio de

recuperación de claves

Un servicio de CERTISIGN que brinda claves de cifrado necesarias para recuperar un Bloque de recuperación de claves como parte del uso por parte de un cliente PKI administrada del gestor de claves de PKI administrada para recuperar la clave privada de un suscriptor KRB Bloque de recuperación de claves

Entidad jurídica Una asociación, corporación, sociedad, empresa unipersonal, fideicomiso, entidad gubernamental u otra entidad con legitimación en el sistema jurídico de un país

LSVA Evaluación de vulnerabilidades en la seguridad lógica PKI administrada Servicio de PKI administrada totalmente integrado de CERTISIGN que permite a los

clientes empresariales de CERTISIGN y sus filiales distribuir certificados a individuos, como empleados, socios, proveedores y clientes, y también dispositivos, como servidores, enrutadores y cortafuegos. PKI administrada permite a las empresas asegurar las aplicaciones de comercio electrónico, mensajería, intranet28, extranet y red privada virtual Administrador de

PKI administrada Un administrador que desempeña la función de validación u otras funciones AR para un cliente PKI administrada

Centro de control de PKI administrada

Una interfaz en Internet que permite a los administradores de PKI administrada realizar autenticaciones manuales de las solicitudes de certificado

Gestor de claves de PKI administrada

Una solución de recuperación de claves para aquellos clientes PKI administrada que deciden implementar la recuperación de claves en virtud de un Acuerdo de PKI administrada especial Autenticación

manual Un procedimiento por el que un administrador revisa y aprueba las solicitudes de certificados de manera manual, una por una, con una interfaz en la web

NIST Instituto Nacional de Estándares y Tecnología No rechazo Un atributo de una comunicación que proporciona protección frente a una parte en una

comunicación que deniega falsamente su origen, que deniega que se envió o que se entregó. La denegación de origen incluye la denegación de que una comunicación se originó a partir de la misma fuente como consecuencia de uno o más mensajes anteriores, aun cuando se desconozca la identidad asociada con el remitente. Nota: Solo una adjudicación de una corte, de un panel de arbitraje o de otro tribunal puede evitar finalmente el rechazo. Por ejemplo, una firma digital verificada con referencia a un certificado de CERTISIGN AC PARCERIA puede ser evidencia en respaldo de una determinación de no rechazo por parte de un tribunal, pero en sí no constituye un no rechazo

Información del suscriptor no verificada

La información que envía un solicitante de certificado a una AC o AR, y que se incluye dentro de un certificado, que no haya confirmado la AC o AR y para la cual la AC y AR vigentes no brindan garantías que no sean que la información la envió el solicitante de certificado

Identificador de objetos

Un identificador alfanumérico o numérico único registrado bajo el estándar vigente de la Organización Internacional de Estandarización para un objetivo o clase de objeto específico OCSP Protocolo de estado de certificado en línea

OCSP (Protocolo de estado de certificado en línea)

Un protocolo de verificación de certificados en línea que proporciona información sobre el estado del certificado en tiempo real a las partes confiadas


51

Respondedor OCSP Un servidor en línea operado bajo la autoridad de una AC y conectado a su Repositorio para el procesamiento de solicitudes de estado de certificado. Consulte también el Protocolo de estado de certificado en línea AC fuera de línea AUTORIDADES CERTIFICADORAS RAÍZ DE CERTISIGN AC PARCERIA, AC raíz emisoras y otras AC intermediarias designadas que se mantienen fuera de línea por motivos de seguridad a fin de protegerse de posibles ataques por parte de intrusos a través de la red. Estas AC no firman directamente certificados de suscriptores usuarios finales

OID Identificador de objetos AC en línea Las AC que firman certificados de suscriptores usuarios finales se mantienen en

línea para brindar servicios de firma continuos Período operativo El período que comienza con la fecha y hora en que se emite un certificado (o una fecha

y hora posterior determinadas si se menciona en el certificado) y finaliza con la fecha y hora en que caduca el certificado o se revoca con anterioridad

PIN Número de identificación personal PKCS Estándar de criptografía de claves públicas PKCS n.° 10 Estándar de criptografía de claves públicas n.° 10 desarrollado por RSA Security Inc., que

define una estructura para una solicitud de firma de certificado PKCS n.° 12 Estándar de criptografía de claves públicas n.° 12 desarrollado por RSA Security Inc., que

define un medio seguro para transferir claves privadas ICP Infraestructura de claves públicas PMD Departamento de Administración de Políticas Autoridad de Administración de Políticas (PMD)

La organización dentro de CERTISIGN que se encarga de promulgar esta política en todo CERTISIGN AC PARCERIA

Clave privada La clave de un par de claves cuyo titular mantiene en secreto y que se utiliza para crear firmas digitales o descifrar archivos o registros electrónicos que se cifraron con la correspondiente clave pública

Clave pública La clave de un par de claves cuyo titular de la correspondiente clave privada puede divulgar públicamente y que la parte confiada utiliza para verificar las firmas digitales creadas con la correspondiente clave privada del titular o para cifrar mensajes y que solo se puedan descifrar a través de la correspondiente clave privada del titular

Infraestructura de claves públicas (ICP)

La arquitectura, la organización, las técnicas, las prácticas y los procedimientos que respaldan en conjunto la implementación y el funcionamiento de un sistema criptográfico de claves públicas basado en certificados. La ICP de CERTISIGN AC PARCERIA consta de sistemas que colaboran para proporcionar e implementar CERTISIGN AC PARCERIA

Certificado de confianza pública

Un certificado de confianza en virtud del hecho de que su certificado raíz correspondiente se distribuye como anclaje de veracidad en el software de aplicación disponible para todo el público Auditor calificado Una persona física o entidad jurídica que cumple con los requisitos de la Sección 17.6 (Calificaciones del auditor)

AR Autoridad de registro Nombre de dominio registrado

Un nombre de dominio que se registró ante el registrador de nombres de dominio

Autoridad de registro (AR)

Una entidad jurídica responsable de identificar y autenticar sujetos de certificados, pero que no es una AC y, por lo tanto, no firma ni emite certificados. Una AR puede ayudar en el proceso de solicitud de certificados o en el proceso de revocación, o bien en ambos. Cuando se utiliza “AR” como adjetivo para describir una función o un rol, no necesariamente implica una entidad separada, sino que puede ser parte de la AC.

Método confiable de comunicación

Un método de comunicación, como la dirección de entrega de mensajería o del correo, el número de teléfono o la dirección de correo electrónico, que se verificó con una fuente que no sea el representante del solicitante

Parte confiada Un individuo o una organización que actúa con confianza en un certificado o firma digital

Acuerdo de partes confiadas

Un acuerdo utilizado por una AC que establece los términos y las condiciones en virtud de los cuales un individuo o una organización actúan como parte confiada

Repositorio Una base de datos en línea que contiene documentos del gobierno sobre ICP divulgados públicamente (como políticas de certificados y declaraciones de prácticas de certificación) e información sobre el estado de certificados, ya sea en la forma de una LCR o una respuesta de OCSP Certificado

comercial Un certificado emitido por CERTISIGN o una filial, que actúa como AC, para individuos u organizaciones que realizan la solicitud uno por uno a CERTISIGN o una filial en su sitio web. RFC Solicitud de comentarios


52

AC raíz La Autoridad certificadora de primer nivel cuyo certificado raíz se distribuye mediante proveedores de software de aplicación y que emite certificados de AC subordinadas

Certificado raíz El certificado autofirmado emitido por la AC raíz para identificar a sí misma y para facilitar la verificación de certificados emitidos a sus AC subordinadas

RSA Un sistema criptográfico de claves públicas inventado por Rivest, Shamir y Adelman S/MIME Extensiones de correo de Internet seguro/multifunción SAR Requisitos de auditoría de seguridad Parte de secreto Una porción de una clave privada de AC o una porción de los datos de activación

necesarios para operar una clave privada de AC en virtud de la disposición de compartición de secretos Compartición de

secretos La práctica de dividir una clave privada de AC o los datos de activación para operar una clave privada de AC a fin de ejercer control multipersonal sobre las actividades de la clave privada de AC en virtud de la CP § 6.2.2 Capa de sockets

seguros (SSL) El método estándar del sector para proteger las comunicaciones web desarrollado por Netscape Communications Corporation. El protocolo de seguridad SSL brinda cifrado de datos, autenticación de servidores, integridad de mensajes y autenticación opcional de clientes para una conexión de protocolo de Internet/protocolo de control de transmisión Revisión de

prácticas y seguridad

Una revisión de una filial llevada a cabo por CERTISIGN antes de que se le permita a la filial entrar en servicio

SOC Estándar del control de organizaciones de servicios SSL Capa de sockets seguros Subdominio La parte de CERTISIGN AC PARCERIA bajo el control de una entidad y todas las

entidades subordinadas a ella dentro de la jerarquía de CERTISIGN AC PARCERIA Sujeto Persona física, dispositivo, sistema, unidad o entidad jurídica identificada en un

certificado como el sujeto y titular de una clave privada que corresponde a una clave pública. El sujeto es el suscriptor o un dispositivo bajo el control y funcionamiento del suscriptor. En el caso de un certificado para organizaciones, el término “sujeto” puede referirse al equipo o dispositivo que contiene la clave privada. Al sujeto se le asigna un nombre ambiguo, que se vincula a la clave pública que aparece en el certificado del sujeto.

Información de identidad del sujeto

Información que identifica al sujeto del certificado. La información de identidad del sujeto no incluye un nombre de dominio mencionado en la extensión subjectAltName o en el campo commonName del sujeto

AC subordinada Una Autoridad certificadora cuyo certificado está firmado por la AC raíz u otra AC subordinada

Suscriptor En el caso de un certificado para individuos, una persona que es el sujeto de un certificado y a quien se le ha emitido uno. En el caso de un certificado para organizaciones, una organización que posee el equipo o dispositivo sujeto de un certificado y al cual se le ha emitido uno. El suscriptor es capaz de utilizar la clave privada, y está autorizado a hacerlo, que corresponde a la clave pública mencionada en el certificado

Acuerdo de suscriptores

Un acuerdo utilizado por una AC o AR que establece los términos y las condiciones en virtud de los cuales un individuo o una organización actúan como suscriptor

Entidad superior Una entidad por encima de una entidad determinada dentro de una jerarquía de CERTISIGN AC PARCERIA Revisión

complementaria de la administración de riesgos

Una revisión de una entidad por parte de CERTISIGN luego de obtener hallazgos incompletos o excepcionales en una auditoría de conformidad de la entidad o como parte del proceso general de administración de riesgos en el desarrollo normal de las actividades comerciales Términos de uso Disposiciones sobre la custodia y el uso aceptable de un certificado emitido de conformidad con estos requisitos cuando el solicitante o suscriptor es una filial de la AC

TLS Seguridad de la capa de transporte Persona de confianza

Un empleado, contratista o consultor de una entidad dentro de CERTISIGN AC PARCERIA responsable de administrar la integridad de la infraestructura de la entidad, sus productos, servicios, instalaciones o prácticas según se define en la CP § 5.2.1 Puesto de confianza Los puestos dentro de una entidad de CERTISIGN AC PARCERIA que debe desempeñar la persona de confianza.

Sistema confiable Hardware, software y procedimientos informáticos que estén razonablemente asegurados contra la intrusión y el uso incorrecto, que brinden un nivel razonable de disponibilidad, confiabilidad y funcionamiento correcto, que sean razonablemente adecuados para desempeñar sus funciones previstas, y que exijan el cumplimiento de la política de seguridad vigente. Un sistema confiable no necesariamente es un “sistema de confianza” según como se reconoce en la nomenclatura gubernamental clasificada


53

Nombre de dominio no registrado

Un nombre de dominio que no es un nombre de dominio registrado

Certificado válido Un certificado que cumple con el procedimiento de validación especificado en RFC 5280

Especialistas de validación

Una persona que realiza las tareas de verificación de la información especificadas en estos requisitos

Período de validez El período de tiempo calculado a partir de la fecha en que se emite el certificado hasta la fecha de caducidad

VOID Voz sobre protocolo de Internet

Certificado de carácter comodín

Un certificado que contiene un asterisco (*) en la parte extrema izquierda de cualquiera de los nombres de dominio totalmente calificados del sujeto que aparecen en el certificado.

polÍtica de certificados de certisign ac parceria

Documents