《商用密码根证书认证战略》
一、资质审核
1.1 资质要求
申请意昂体育-科技赋能场景,让娱乐更有趣!可信浏览器商用密码根证书认证的CA机构，，，，，，，，至少取得以下资质 。 。。。。。
1.1.1 电子认证效劳使用密码允许证
由国家密码主管机构-国家密码治理局揭晓 。 。。。。。
1.1.2 电子认证效劳允许证
由国家电子认证效劳主管机构-工信部揭晓 。 。。。。。
1.1.3 商用密码软硬件认证证实
由国密商用密码相关认证机构揭晓的，，，，，，，，清静生产所用到的商用密码软硬件认证证实 。 。。。。。
1.2 资质有用性
CA机构必需提交在有用期内的资质证实或续期质料证实 。 。。。。。
二、认证证书种别
必需由通过上述】帐质审核”的合规主体单位签发的商业运行密码证书，，，，，，，，才可以申请意昂体育-科技赋能场景,让娱乐更有趣!可信浏览器商用密码根证书认证 。 。。。。。
三、审计要求（任选其一）
1.WebTrust审计报告提供链接和PDF文档 。 。。。。。
2.审计员（内部审计员或第三方审计机构职员）在证书清静生产要求中出具的审计报告 。 。。。。。有用期起始时间在2021.9.1之后的，，，，，，，，提供录像证实清静天生根证书、中级证书的历程；；；；；；；；有用期起始时间在2021.9.1之前的，，，，，，，，提供录像证实清静天生中级证书的历程；；；；；；；；
四、证书清静生产要求
4.1 操作以及基本要求
给出全程录像，，，，，，，，并标注以下基本主要信息 。 。。。。。
4.1.1 清静生产园地
CA机构必需具备切合国家密码主管机构和电子认证效劳主管机构要求的园地，，，，，，，，密钥和证书的天生历程必需在该园地清静区内实验 。 。。。。。
4.1.2 清静生产职员
密钥和证书的天生整个历程，，，，，，，，至少3人同时在� 。 。。。。。�，，，，且其中至少一名审计职员 。 。。。。。
4.1.3 清静生产历程
密钥和证书的天生整个历程，，，，，，，，必需至少2名操作手艺员，，，，，，，，严酷凭证经由审批可重复操作的剧本举行；；；；；；；；由内部审计职员详细纪录并出具审计报告，，，，，，，，报告中应注明此次生产证书的序列号；；；；；；；；历程录像应包括上述园地情形的实况取景，，，，，，，，操作员和审计员正面画面，，，，，，，，以及天生密钥和证书的全历程，，，，，，，，要有天生证书序列号展示画面 。 。。。。。
五、手艺基线要求
5.1 电子认证运动加入者
5.1.1 电子认证效劳机构CA
CA（Certification Authority）肩负证书签发、更新、吊销、密钥治理、证书盘问、证书黑名单（证书吊销列表或 CRL）宣布、政策制订等事情 。 。。。。。
5.1.2 注册机构RA
RA(Registration Authority)认真订户证书的申请受理、审批和治理，，，，，，，， 直接面向证书订户，，，，，，，，并认真在订户和 CA 之间转达证书治理信息 。 。。。。。（RA可以设置在CA机构内部，，，，，，，，统一由CA肩负RA责任 。 。。。。。）
5.1.3 订户
订户是指向 CA 申请证书的实体，，，，，，，，通常为小我私家或机构，，，，，，，，申请证书为受信托效劳器或清静通讯设施提供身份证实 。 。。。。。
5.1.4 依赖方
依赖方是指接受电子认证效劳机构的依赖协议，，，，，，，，自力地判断该战略证书的清静性是否知足其应用的清静需求，，，，，，，，并验证本战略证书和响应署名的实体 。 。。。。。
5.2 CA清静生产要求
5.2.1 根证书密码算法要求
CA机构必需凭证《SM2密码算法使用规范》要求天生根证书，，，，，，，，且必需使用256Bit及以上 。 。。。。。
5.2.2 中级证书天生情形要求
CA机构必需凭证《信息清静手艺 密码�？？？？？ ？？榍寰惨蟆方ㄉ杳茉恐卫硐低常�，，，，该系统在基于第三方商用密码认证的HSM硬件清静�？？？？？ ？？橹刑焐椭卫砻茉恳约爸な椋�，，，，且认证方为国家密码主管机构 。 。。。。。
5.2.3 根证书系统要求
CA机构提交的证书必需是由国家电子认证根CA签发的证书，，，，，，，，并且能够在国家电子认证根CA官网盘问到 。 。。。。。
5.2.4 证书名堂要求
CA机构必需凭证《信息清静手艺 公钥基础设施数字证书名堂》签发证书 。 。。。。。证书内容包括但不限于准确的主题名称、使用者可选名称、CRL列表或OCSP（1.3.6.1.5.5.7.48.1）地点以及证书揭晓机构揭晓者（1.3.6.1.5.5.7.48.2）证书链接 。 。。。。。
5.2.5 CP/CPS框架要求
CA机构必需遵照《电子认证营业规则规范》编写CP/CPS文档 。 。。。。。
5.2.6 CP/CPS获取
CA机构必需提供线上CP/CPS宣布页面或pdf并实时更新维护 。 。。。。。
5.2.7 订户申请鉴证
CA机构必需在CP或CPS中详细列出关于订户证书申请域名或IP的鉴证要领和详细办法 。 。。。。。
5.2.8 当田主机名和私有IP地点证书
由于5.2.7鉴证无法完成，，，，，，，，不允许CA机构向当田主机名和私有IP地点签发证书 。 。。。。。
5.2.9 私钥治理要求
CA机构必需做到在5.2.2中提及的密钥治理系统中天生的私钥，，，，，，，，举行妥善治理�；；；；；；；；ぃ�，，，，避免泄露 。 。。。。。
5.3 CA运营时效要求
5.3.1 根证书有用期
CA机构的SLL根证书总有用期不宜凌驾30年；；；；；；；；且自入根申请之日起，，，，，，，，剩余有用期需凌驾或即是5年 。 。。。。。
5.3.2 订户证书有用期
CA机构签发的订户证书总有用期不宜凌驾398天 。 。。。。。
5.3.3 CA机构事务响应机制
CA机构必需建设健全重大或紧迫事务报告机制 。 。。。。。
包括但不限于如下事务：
1.私钥泄露
2.过失证书签发
3.设施故障
当有以上或其他重大或者紧迫严重事务爆发时，，，，，，，，CA机构应在24小时内以书面形式通知我司相关职员，，，，，，，，并在72小时内对事务做出完整报告 。 。。。。。
5.3.4 OCSP响应更新机制
CA机构提供的OCSP响应程序在签发或作废订户证书应在7日内更新为宜；；；；；；；； ARL/CRL更新机制
订户证书CRL 在有订户证书被吊销时，，，，，，，，应在7日内更新 。 。。。。。
5.4 CA效劳要求
5.4.1 反响机制
CA机构需要在CP/CPS或其它官方渠道提供针对证书的反响方法，，，，，，，，反响工具可以是电子认证运动的一个或多个加入者 。 。。。。。
5.4.2 生产情形模拟
CA机构可以有选择地对入根证书搭建测试网站，，，，，，，，选择规模包括安排有用的，，，，，，，，逾期的，，，，，，，，吊销的订户证书三类为必� 。 。。。。�；；；；；；；；包括过失主题名称、过失的使用者可选名称、不包括CRL同时无OCSP地点等等扩展字段为可� 。 。。。。。�，，，，供检审核验 。 。。。。。
5.5 建议要求
5.5.1 证书版本
建议证书名堂所有使用X.509 V3名堂 。 。。。。。
5.5.2 根证书系统更新机制
建议签发新CA的7日内更新2.6规范的在线信息库以及pdf版本 。 。。。。。
5.5.3 测试CA分支链
建议签发CA测试分支链，，，，，，，，在订户正式安排线上情形前解决种种规范问题并不会影响线上已有正式CA链证书 。 。。。。。
六、增补说明
1. 本认证战略诠释权归意昂体育-科技赋能场景,让娱乐更有趣!所有，，，，，，，，我司可随时凭证政策、市场或其他内外部缘故原由调解更新本认证战略 。 。。。。。
2. 本认证战略爆发改变时，，，，，，，，我司有权要求CA机构出具新战略所需的对应资料，，，，，，，，并凭证新的认证战略重新审核已通过认证的根证书 。 。。。。。
3. 关于无法通过重新审核的证书，，，，，，，，我司有权从认证根证书列表中移除其证书 。 。。。。。
4. 关于证书运营历程中违反本认证战略的CA机构，，，，，，，，我司有权从认证根证书列表中移除其证书 。 。。。。。
5. 证书面临被移除危害时，，，，，，，，CA机构应起劲与我司相同协商，，，，，，，，对其已签发的证书举行妥善处置惩罚 。 。。。。。