SwissSign Liechtenstein Platinum CP/CPS- Dokument

SwissSign Liechtenstein Platinum CP/CPS-Dokument

Klassifizierung: C1 Anwendungsbereich: Global Ausgabedatum: 25.08.2016 1/61 Version: 1.0.2 Speicherung: de_swisssign-li-platinum-cp-cps-v1.0.2.docx


Zertifizierungspolitik (Certificate Policy) und Aussage über die Zertifizierungspraxen (Certification Practice Statement) der SwissSign Platinum CA und ihrer untergeordneten ausstellenden Zertifizierungsstellen (Certification Authorities (CAs)).

Dokumentart: Certificate Policy und Certification Practice Statement OID: 2.16.756.1.89.1.1.7.1.1 Verfasser: Cornelia Enke Klassifizierung: C1 (öffentlich) Anwendungsbereich: Global Verantwortliche Person: CEO Ausgabedatum: 25.08.2016 Version: 1.0.2 Obsolete Versionen: 1.0.1 Speicherung: SwissSign Document Repository Verteiler: Global Status: Freigegeben Überprüfung: Dieses Dokument wird regelmässig mindestens einmal pro Kalenderjahr überprüft. Der CSO ist

für diese Überprüfung verantwortlich. Compliance: Die SwissSign Platinum CA und die untergeordnete SwissSign Qualified Platinum CA, die

gemäss diesem CP/CPS-Dokument Zertifikate ausstellen, befolgen sämtliche Regeln und Vorschriften des SigG, SigVZertES, der VZertES und sämtlicher darin niedergelegten Bestimmungen.



Versionskontrolle

Datum Version Anmerkung Verfasser

30. Mai 2016 0.1.0 Diese CP/CPS wurde auf der Basis der SwissSign Platinum erstellt.

Cornelia Enke

13. Juni 2016 0.1.0 Review und Ergänzungen Reinhard Dietrich

22. Juni 2016 0.2.0 Einarbeitung Rückmeldung Rechtsdienst Reinhard Dietrich

28. Juni 2016 1.0.0 Finalisierung und Formatierung Isabelle Steffen /Cornelia Enke

11. August 2016 1.0.1 Korrektur Kapitel 6.3.2 Lebensdauer von Endanwenderzertifikaten und Kapitelüberschrift 9

Cornelia Enke

25.08.2016 1.0.2 Korrektur Kapitelüberschrift 9.3 Cornelia Enke

Autorisierung

Datum Genehmigt durch Genehmigt durch Version

29.06.2016 Reinhard Dietrich Urs Fischer 1.0.0 / OID=1



Digitale Signatur Digitale Signatur



Inhaltsverzeichnis 1 Einleitung............................................................................................................................................................ 5

1.1 Überblick ......................................................................................................................................................... 6 1.2 Dokumentbezeichnung und Identifikationsnummer ......................................................................................... 7 1.3 PKI-Beteiligte ................................................................................................................................................... 8 1.4 Anwendbarkeit der Zertifikate (Certificate Usage) ......................................................................................... 10 1.5 Verwaltung der Zertifizierungspolitik .............................................................................................................. 11 1.6 Definitionen und Akronyme ........................................................................................................................... 12

2 Verantwortlichkeiten in Bezug auf Veröffentlichungen und Repositorien .................................................. 17 2.1 Dokumentenverzeichnis ................................................................................................................................ 17 2.2 Veröffentlichung von Zertifizierungsinformationen ......................................................................................... 17 2.3 Zeitpunkt und Häufigkeit der Veröffentlichung ............................................................................................... 18 2.4 Zugriffskontrolle für Dokumentverzeichnisse ................................................................................................. 18

3 Identifizierung und Authentifizierung ............................................................................................................ 19 3.1 Namen ........................................................................................................................................................... 19 3.2 Identitätsüberprüfung bei Neuantrag ............................................................................................................. 20 3.3 Identifizierung und Authentifizierung für Anträge auf Zertifikatserneuerung (Re-Key) ................................... 21 3.4 Identifizierung und Authentifizierung für Anträge auf Revozierung ................................................................ 22

4 Betriebsanforderungen für den Zertifikatslebenszyklus .............................................................................. 23 4.1 Zertifikatsantrag ............................................................................................................................................. 23 4.2 Bearbeitung von Zertifikatsanträgen .............................................................................................................. 23 4.3 Zertifikatsausstellung ..................................................................................................................................... 24 4.4 Zertifikatsannahme ........................................................................................................................................ 24 4.5 Verwendung des Schlüsselpaars und des Zertifikats .................................................................................... 24 4.6 Zertifikatserneuerung (Certificate Renewal) .................................................................................................. 25 4.7 Zertifikatserneuerung (Re-Key) ..................................................................................................................... 26 4.8 Zertifikatsänderung ........................................................................................................................................ 27 4.9 Revozierung und Suspendierung von Zertifikaten ......................................................................................... 28 4.10 Statusabfragedienste in Bezug auf Zertifikate ............................................................................................... 30 4.11 Beendigung des Vertragsverhältnisses ......................................................................................................... 30 4.12 Schlüsselhinterlegung und Schlüsselwiederherstellung ................................................................................ 31 4.13 Nachsignieren................................................................................................................................................ 31

5 Sicherheitsmassnahmen in Bezug auf Infrastruktur, Verwaltung und Betrieb .......................................... 32 5.1 Physische Kontrollen ..................................................................................................................................... 32 5.2 Verfahrenskontrollen ..................................................................................................................................... 33 5.3 Personalbezogene Kontrollen ....................................................................................................................... 34 5.4 Audit-Logging-Verfahren ............................................................................................................................... 35 5.5 Archivierung .................................................................................................................................................. 37 5.6 Schlüsselwechsel .......................................................................................................................................... 38 5.7 Kompromittierung und Notfallwiederherstellung ............................................................................................ 38 5.8 Einstellung der CA oder RA ........................................................................................................................... 39

6 Technische Sicherheitsmassnahmen ............................................................................................................ 40 6.1 Erzeugung und Installation von Schlüsselpaaren .......................................................................................... 40 6.2 Schutz privater Schlüssel und technische Sicherheitsmassnahmen für das kryptografische Modul ............. 41 6.3 Sonstige Aspekte der Schlüsselpaarverwaltung ............................................................................................ 44 6.4 Aktivierungsdaten .......................................................................................................................................... 45 6.5 Sicherheitsmassnahmen für Computer ......................................................................................................... 45 6.6 Lebenszyklus der technischen Sicherheitsmassnahmen .............................................................................. 46 6.7 Sicherheitsmassnahmen für Netzwerke ........................................................................................................ 46 6.8 Zeitstempel .................................................................................................................................................... 46

7 Profile für Zertifikat, Sperrlisten (CRL) und Online-Statusabfragen ............................................................ 47 7.1 Zertifikatprofil ................................................................................................................................................. 47 7.2 CRL-Profil ...................................................................................................................................................... 53 7.3 OCSP-Profil ................................................................................................................................................... 54

8 Compliance Audit und andere Prüfungen ..................................................................................................... 55



8.1 Überprüfungsumstände bzw. -anlässe .......................................................................................................... 55 8.2 Identität/Qualifikationen des Prüfers .............................................................................................................. 55 8.3 Verhältnis des Prüfers zur überprüften Rechtsperson ................................................................................... 55 8.4 Überprüfungsgegenstände ............................................................................................................................ 55 8.5 Massnahmen zur Behebung von Missständen .............................................................................................. 55 8.6 Mitteilung der Ergebnisse .............................................................................................................................. 55

9 Sonstige Angelegenheiten und Rechtsangelegenheiten ............................................................................. 56 9.1 Gebühren ...................................................................................................................................................... 56 9.2 Finanzielle Verantwortung ............................................................................................................................. 56 9.3 Geheimhaltung von Geschäftsinformationen ................................................................................................. 57 9.4 Schutz personenbezogener Angaben ........................................................................................................... 57 9.5 Immaterialgüterrechte .................................................................................................................................... 58 9.6 Erklärungen und Gewährleistungen .............................................................................................................. 58 9.7 Gewährleistungsausschlüsse ........................................................................................................................ 58 9.8 Haftung .......................................................................................................................................................... 59 9.9 Entschädigungspflichten ................................................................................................................................ 59 9.10 Laufzeit und Ausserkrafttreten ....................................................................................................................... 59 9.11 Einzelne Erklärungen und Kommunikationen gegenüber Teilnehmern/Beteiligten ....................................... 59 9.12 Änderungen ................................................................................................................................................... 59 9.13 Streitbeilegungsregeln ................................................................................................................................... 60 9.14 Anwendbares Recht und gerichtliche Zuständigkeit ...................................................................................... 60 9.15 Einhaltung des anwendbaren Rechts ............................................................................................................ 60 9.16 Schlussbestimmungen .................................................................................................................................. 60 9.17 Sonstige Bestimmungen ................................................................................................................................ 61



1 Einleitung

Die „SwissSign Platinum CA“ ist eine von der SwissSign AG betriebene Wurzelzertifizierungsstelle (Root-CA).

Die „SwissSign Platinum CA“ stellt lediglich Zertifikate für ihre untergeordneten ausstellenden Zertifizierungsstellen (Certificate Authorities (CAs) aus.

Die „SwissSign Platinum CA“ hat mehrere untergeordnete CAs. In dieser CP/CPS wird nur die „SwissSign LI Qualified Platinum CA und G2 und G3“ behandelt. Diese CA’s stellen Zertifikate aus, die den Anforderungen des liechtensteinischen Gesetzes über elektronische Signaturen genügen. Die Anforderungen an die anderen CAs werden im Dokument SwissSign Platinum CP/CPS –behandelt. Bei Wiedersprüchen zwischen dieser CP/CPS und der „SwissSign Platinum CP/CPS“ gilt für Sub CA „SwissSign LI Qualified Platinum CA und G2 und G3“ diese CP/CPS.

Aufgrund dieses CP/CPS-Dokuments unterstützt SwissSign zurzeit zwei Generationen von CA-Hierarchien. Die CA-Hierarchie der 2. Generation (G2) wird durch eine Wurzelzertifizierungsstelle (Root-CA) ausgestellt und mittels eines SHA-1 Hash-Algorithmus signiert wurde. Die CA-Hierarchie der 3. Generation (G3) wird durch eine Wurzelzertifizierungsstelle (Root-CA) ausgestellt und mittels eines SHA-2 Hash-Algorithmus signiert wurde. Soweit nicht ausdrücklich etwas angegeben ist, gelten alle Angaben in diesem CP/CPS-Dokument für beide Generationen.

Die „SwissSign Platinum CA“ und ihre untergeordnete „SwissSign Qualified Platinum CA“ stehen mit den schweizerischen Gesetzen über die elektronische Signatur und dem liechtensteinischem Gesetz über elektronische Signaturen in Einklang:

• ZertES: Bundesgesetz über Zertifizierungsdienste im Bereich der elektronischen Signatur (SR 943.03) • VZertES: Verordnung über Zertifizierungsdienste im Bereich der elektronischen Signatur (SR 943.032) • SigG: Gesetz vom 18. September 2003 über elektronische Signaturen (Signaturgesetz; SigG) • SigV: Verordnung vom 1. Juni 2004 über elektronische Signaturen (Signaturverordnung; SigV)

Die „SwissSign LI Platinum CA 2016 – G22“ und „SwissSign LI Platinum CA 2016 G3“ ist eine ausstellende Zertifizierungsstelle für Zertifikate, die den Bestimmungen der europäischen technischen Spezifikation ETSI TS 102 042 für normalisierte Zertifizierungsrichtlinien („Normalized“ Certificate Policy (NCP)) genügt.

Das liechtensteinische Gesetz über die elektronische Signatur nimmt auf die nachstehenden Normen Bezug und erklärt diese zur Voraussetzung für die Ausstellung qualifizierter Zertifikate:

• ETSI TS 101 456 v1.4.3: Electronic Signatures and Infrastructures (ESI) – Certificate Policy and Certification Practices Framework • ETSI TS 101 861 v1.3.1: Time Stamping Profile • ETSI TS 101 862 v1.3.3: Qualified Certificate Profile • IETF RFC 3647 (2003): Internet X.509 Public Key Infrastructure – Certificate Policy and Certification Practices Framework • IETF RFC 5280 (Mai 2008): Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile

Soweit nichts anderes angegeben ist, bezieht sich „diese CA“ in diesem CP/CPS-Dokument auf die „SwissSign Platinum CA“ und alle ihre untergeordneten ausstellenden CAs.

Der Betrieb der CA’s ist an die SwissSign AG, Glattbrugg ausgelagert



1.1 Überblick

Die nachstehende Abbildung zeigt den Hierarchiebaum der SwissSign Platinum CA für die Generation G22:

Abbildung 1: Hierarchie G22 für Platinum CA

Die nachstehende Abbildung zeigt den Hierarchiebaum der SwissSign Platinum CA für die Generation G3:

Abbildung 2: Hierarchie G3 für Platinum CA



Das CP/CPS-Dokument der SwissSign AG, welches die Zertifizierungspolitik (Certificate Policy) und die Aussage über die Zertifizierungspraxen (Certification Practice Statement) für die „SwissSign Platinum CA“ und ihre untergeordneten ausstellenden CAs enthält, beschreibt:

• die Zertifizierungs- und Registrierungspolitik dieser CA; • die Praktiken und Verfahren dieser CA; • die Praktiken und Verfahren der Registrierungsstellen für diese CA; • die AGB, gemäss denen diese CA zur Verfügung gestellt wird.

Dieses CP/CPS-Dokument gilt für alle PKI-Teilnehmer, einschliesslich – wobei dies keine abschliessende Aufzählung ist – aller Antragsteller, Zertifikatsinhaber, Zertifikaten vertrauenden Parteien, Registrierungsstellen und jeglicher sonstigen Personen, die hinsichtlich der durch diese CA ausgestellten Zertifikate in einem Verhältnis zur SwissSign AG stehen. Dieses CP/CPS-Dokument enthält Angaben zu den Rechten und Pflichten der SwissSign AG, der autorisierten Registrierungsstellen, der Antragsteller, der Zertifikatsinhaber, der Zertifikaten vertrauenden Parteien, der Reseller, der Mitvermarkter und der sonstigen natürlichen oder juristischen Personen, die durch diese CA ausgestellte Zertifikate verwenden oder nutzen.

Auf ihrer Website swisssign.com gibt die SwissSign AG einen detaillierten Produktüberblick für Platinum Zertifikate und andere Services.

1.2 Dokumentbezeichnung und Identifikationsnummer Dieses Dokument trägt die Bezeichnung „SwissSign Platinum CP/CPS-Dokument – Zertifizierungspolitik (Certificate Policy) und Aussage über die Zertifizierungspraxen (Certification Practice Statement) der SwissSign Platinum CA und ihrer untergeordneten ausstellenden Zertifizierungsstellen”, so wie dies auf dem Deckblatt dieses Dokuments angegeben ist.

Der Objektbezeichner (Objekt-Identifikationsnummer (OID)) für dieses Dokument lautet:

OID 2.16.756.1.89.1.1.7.1.1

Es ist zu beachten, dass die obige OID ausschliesslich der Identifikation dieses Dokuments dient.

Die OID der SwissSign AG basiert auf dem vom schweizerischen Bundesamt für Kommunikation (BAKOM) zugeteilten RDN-Namen und ist wie folgt strukturiert:

Position 1 Position 2 Position 3 Position 4 Position 5 Bedeutung

2 Joint ISO-CCITT Tree

16 Country

756 Switzerland

1 RDN-Name

89 SwissSign

Die Positionen 6 bis 9 der SwissSign OID Nummer stehen für das Dokument und Position 10 steht für die Dokumentversion, welche nur in Zertifikatsinhaberzertifikaten angegeben ist (vgl. Kapitel 7).

http://www.swisssign.com/



1.3 PKI-Beteiligte

1.3.1 Zertifizierungsstellen (Certification Authorities) Die SwissSign AG betreibt eine Public-Key-Infrastruktur (PKI), welche aus einer „SwissSign Platinum CA“ und ihren untergeordneten ausstellenden CAs besteht. Die „SwissSign Platinum CA“ und ihre untergeordneten ausstellenden CAs sind die einzigen von der SwissSign AG betriebenen CAs, die auf Grundlage dieses CP/CPS-Dokuments Zertifikate ausstellen.

1.3.2 Registrierungsstellen – Registration Authorities (RA) Die SwissSign AG betreibt eine Registrierungsstelle unter dem Namen „SwissSign Liechtenstein RA“, Die Regsistrierung der Zertifikatsinhaber dieser CA erfolgt durch die SwissSign Liechtensstein RA.

Die SwissSign AG betreibt eine Registrierungsstelle unter dem Namen „RA Post“, die unter der Marke „Die Schweizerische Post“ betrieben wird und bei der Zertifikatsinhaber von durch diese CA ausgestellten Zertifikaten registriert werden.

Dritte können ihre eigenen Registrierungsstellenservices betreiben, sofern sie sämtliche Regeln und Vorschriften dieses CP/CPS-Dokuments, des schweizerischen Rechts und die Bestimmungen der einschlägigen Standards einhalten (vgl. Kapitel 1).

Jede aufgrund dieses CP/CPS-Dokuments betriebene Registrierungsstelle muss die folgenden Regeln einhalten:

• Die RA muss eine vertragliche Vereinbarung mit der SwissSign AG geschlossen haben, durch welche sie für ihre Rolle als RA autorisiert wird und in der die einzuhaltenden Mindestanforderungen, Prozesse und Haftpflichten im Detail klar angegeben sind.

• Der Registrierungsprozess muss den Bestimmungen des liechtensteinischem Gesetzes über elektronische Signaturen genügen. Er ist zu dokumentieren, zu veröffentlichen und allen am RA-Prozess mitwirkenden Parteien zuzuleiten.

• Die RA muss gemäss dem liechtensteinischem Gesetz über elektronische Signaturen zertifiziert sein und eine jährliche Überprüfung bestehen. Alle Kosten für diese Überprüfung sind vom Betreiber der RA zu zahlen. Wird die jährliche Überprüfung nicht bestanden, so kann das die Revozierung der RA-Privilegien nach sich ziehen.

1.3.3 Zertifikatsinhaber (Subscriber) Im Zusammenhang mit diesem CP/CPS-Dokument umfasst der Begriff „Zertifikatsinhaber“ alle Endbenutzer von Zertifikaten, die durch diese CA ausgestellt wurden:

• Antragsteller (Requester) sind natürliche oder juristische Personen, die ein Zertifikat beantragt (aber noch nicht erhalten) haben. • Zertifikatsinhaber (Subscriber) sind natürliche oder juristische Personen, die ein Zertifikat erhalten haben.

Es liegt in der Verantwortung der Zertifikatsinhaber und Antragsteller:

• dass sie über ein Grundverständnis der ordnungsgemässen Benutzung von öffentlichen kryptografischen Schlüsseln und Zertifikaten verfügen;

• dass sie nur zutreffende Angaben machen, ohne jegliche Fehler, Auslassungen oder irreführenden Angaben; • dass sie die Angaben in einem ordnungsgemäss ausgefüllten und rechtswirksam unterzeichneten Registrierungsformular

machen; • dass sie die betreffenden Angaben durch einen Identitätsnachweis und die Mitteilung der in Kapitel 3.1 und 3.2 aufgeführten

Angaben belegen; • dass sie ein sicheres und kryptografisch einwandfreies Schlüsselpaar auf einer von der Registrierungsstelle zur Verfügung

gestellten oder genehmigten kryptografischen Ausrüstung verwenden; • dass sie die kryptografische Ausrüstung in unverändertem und funktionstüchtigem Zustand halten; • dass sie den Inhalt jedes neu ausgestellten Zertifikats vor der erstmaligen Benutzung überprüfen und nicht benutzen, wenn es

irreführende oder unzutreffende Angaben enthält; • dass sie alle Bedingungen dieses CP/CPS-Dokuments und sonstiger relevanter Vorschriften und Vereinbarungen lesen und

annehmen; • dass sie ihre Zertifikate unter Benutzung der von der Registrierungsstelle zur Verfügung gestellten Tools pflegen; • dass sie bei der Zertifikaterzeugung entscheiden, ob das betreffende Zertifikat im öffentlichen Verzeichnis directory.swisssign.net

veröffentlicht werden soll; • dass sie die SwissSign Zertifikate ausschliesslich zu rechtmässigen und zulässigen Zwecken verwenden; • dass sie sicherstellen, dass SwissSign Zertifikate ausschliesslich im Auftrag derjenigen natürlichen oder juristischen Person

verwendet werden, die als Inhaber (Subject) des Zertifikats angegeben ist; • dass sie den privaten Schlüssel vor unbefugtem Zugriff schützen;



• dass sie den privaten Schlüssel ausschliesslich in sicheren Datenverarbeitungsumgebungen verwenden, welche von vertrauenswürdigen Quellen zur Verfügung gestellt und durch dem Stand der Technik entsprechende Sicherheitsmassnahmen geschützt sind;

• dass sie sicherstellen, dass sie die vollständige Kontrolle über die sichere Signaturerstellungseinheit (Secure Signature Creation Device) und die persönliche Identifikations-Nummer (PIN) zum Aktivieren des Signaturschlüssels haben, indem sie die Aufbewahrung der betreffenden Einheit (Device) und Daten keiner anderen Person anvertrauen;

• indem sie jede Änderung im Zertifikat enthaltener Angaben bzw. jede Änderung von Umständen, durch welche die Angaben im Zertifikat irreführend oder unzutreffend würden, der Registrierungsstelle mitteilen;

• dass sie sofort die Ungültigerklärung des Zertifikats beantragen, wenn Angaben im Zertifikat irreführend oder unzutreffend sind oder infolge der Änderung von Umständen irreführend oder unzutreffend werden;

• dass sie der Registrierungsstelle sofort jede vermutliche oder tatsächliche Kompromittierung des privaten Schlüssels mitteilen und die Revozierung (Aufhebung) des Zertifikats beantragen;

• dass sie bei (a) Ablauf oder Revozierung des betreffenden Zertifikats oder (b) vermutlicher oder tatsächlicher Beschädigung/Verfälschung oder (c) vermutlicher oder tatsächlicher Kompromittierung des mit dem öffentlichen Schlüssel im betreffenden Zertifikat verknüpften privaten Schlüssels die Benutzung des Zertifikats sofort einstellen und das betreffende Zertifikat sofort von den Devices bzw. aus der Software entfernen, auf bzw. in welchen es installiert wurde;

• dass sie den privaten Schlüssel, der zum öffentlichen Schlüssel im Zertifikat gehört, nicht dazu verwenden, andere Zertifikate zu signieren;

• dass sie in jedem Falle nach eigenem Urteilsvermögen entscheiden, ob im Hinblick auf den Grad der Sicherheit und des Vertrauens, den ein durch diese CA ausgestelltes Zertifikat gewährt, die weitere Benutzung eines solchen Zertifikats angemessen ist;

• dass sie das Zertifikat mit der gebotenen Sorgfalt und mit angemessenem Urteilsvermögen verwenden; • dass sie alle Gesetze und Vorschriften einhalten, die das Recht des Zertifikatsinhabers betreffen, ein durch diese CA

ausgestelltes Zertifikat bzw. damit verbundene Informationen zu exportieren, zu importieren bzw. zu verwenden. Die Verantwortung für die Einholung aller Lizenzen und Erlaubnisse für den Export, den Import bzw. die Verwendung eines durch diese CA ausgestellten Zertifikats bzw. damit verbundener Informationen liegt bei dem Zertifikatsinhaber.

Darüber hinaus können alle Antragsteller von der „SwissSign Qualified Platinum CA“ ausgegebener Zertifikate bei den qcStatements ihres Zertifikats einen Grenzwert für Transaktionen hinzufügen. Ein solcher Zusatz ist:

• optional für den Antragsteller; • optional für die Registrierungsstelle; • und liegt in der alleinigen Verantwortung des Antragstellers. Der Antragsteller muss alle möglichen monetären Konsequenzen

bedenken, zum Beispiel – wobei dies keine abschliessende Aufzählung ist – alle Arten von Schadensersatz- und sonstigen Verpflichtungen, die sich aus der Verwendung des qualifizierten Zertifikats ergeben.

1.3.4 Zertifikaten vertrauende Parteien (Relying Parties) Zertifikaten vertrauende Parteien sind natürliche oder juristische Personen, die Zertifikate dieser CA zur Signaturvalidierung und Identitätsüberprüfung von Zertifikatsinhabern bzw. zur Sicherung der Kommunikation mit diesen Zertifikatsinhabern verwenden. Zertifikaten vertrauende Parteien dürfen die betreffenden Zertifikate ausschliesslich gemäss den in diesem CP/CPS-Dokument niedergelegten Bestimmungen verwenden. Es liegt in ihrer alleinigen Verantwortung, die rechtliche Gültigkeit, die Grenzwerte für Transaktionen und die Einhaltung sonstiger einschlägiger Regeln zu überprüfen.

Die auf Zertifikate vertrauenden Parteien verpflichten sich zur Einhaltung der folgenden Bedingungen:

• Platinum Zertifikate dürfen ausschliesslich gemäss den in der „Zertifizierungspolitik (Certificate Policy) und Zertifizierungspraxis (Certification Practice Statement) der SwissSign Platinum“ niedergelegten Regeln verwendet werden.

• Die einem Zertifikat vertrauende Partei muss ein angemessenes Verständnis der ordnungsgemässen Verwendung öffentlicher kryptografischer Schlüssel haben und die damit verbundenen Risiken verstehen.

• SwissSign Zertifikate dürfen ausschliesslich gemäss den einschlägigen Gesetzen, Regeln und Vorschriften und nur zu zulässigen vorgesehenen Zwecken verwendet werden.

• Es liegt in der alleinigen Verantwortung der einem Zertifikat vertrauenden Partei, das Zertifikat stets mit der gebotenen Sorgfalt und mit angemessenem Urteilsvermögen zu verwenden.

• Es liegt in der alleinigen Verantwortung der einem Zertifikat vertrauenden Partei, den Revozierungsstatus, die rechtliche Gültigkeit, die Grenzwerte für Transaktionen und die Einhaltung sonstiger einschlägiger Regeln zu überprüfen.

• Der Revozierungsstatus kann via OCSP oder CRL (Liste der für ungültig erklärten Zertifikate (Certificate Revocation List)) abgefragt werden. Die einem Zertifikat vertrauende Partei muss sich bewusst sein, dass die CRLs jeweils 10 Tage gültig sind, jedoch jeden Tag aktualisiert werden. Die einem Zertifikat vertrauende Partei muss deshalb stets die neuste erhältliche CRL abfragen, um vollständige, dem aktuellen Stand entsprechende Angaben über den Revozierungsstatus zu erhalten.



• Für den Fall, dass es aus technischen Gründen keine aktualisierte CRL gibt, so liegt die Verantwortung für die Entscheidung, wie lange sie für die Abfrage von Revozierungen einer CRL vertraut, allein bei der dem Zertifikat vertrauenden Partei. Für diese Entscheidung mag relevant sein, welche Art Transaktion autorisiert wird und wie hoch das Schadenpotenzial ist. Auf keinen Fall sollte jedoch auf eine CRL vertraut werden, deren Gültigkeitszeitraum bereits abgelaufen ist.

Bei Zertifikaten vertrauenden Parteien kann es sich auch um Zertifikatsinhaber im Rahmen dieser CA handeln.

1.3.5 Weitere Teilnehmer Weitere Teilnehmer sind natürliche oder juristische Personen, die auf das Zertifikat eines Zertifikatsinhabers vertrauen oder in sonstiger Weise in den Zertifizierungsprozess eingebunden sind, unabhängig davon, ob diese die Identität von Zertifikatsinhabern zu überprüfen bzw. die Kommunikation mit dem betreffenden Zertifikatsinhabern zu sichern wünschen oder nicht.

Die folgenden Teilnehmer haben bezüglich dieser CA sehr spezifische Rollen:

Schweiz: Am 1.Januar 2005 ist das schweizerische Gesetz über die elektronische Signatur (ZertES) offiziell in Kraft getreten.

Fürstentum Liechtenstein Gesetz vom 18. September 2003 über elektronische Signaturen (Signaturgesetz; SigG) Amt für Kommunikation Aufsichtsstelle ist das Amt für Kommunikation. Ihr obliegt die laufende Aufsicht über die Einhaltung der

Bestimmungen dieses Gesetzes und der zu seiner Durchführung erlassenen Verordnungen. KPMG: Die KPMG ist die akkreditierte Anerkennungsstelle für schweizerische CSPs, welche die gemäss dem

schweizerischen Gesetz über die elektronische Signatur vorgeschriebenen Audits durchführt. TÜVIT Der TÜV IT ist die externe Auditor und Conformity assessment body

Andere Teilnehmer können auch Zertifikatsinhaber im Rahmen dieser CA sein.

1.4 Anwendbarkeit der Zertifikate (Certificate Usage)

1.4.1 Freigegebene Zertifikatsverwendungen [PA] Authentifizierungszertifikat für natürliche Person:

Ein Zertifikat für Authentifizierung und digitales Signieren, das von der „SwissSign Personal Platinum CA“, „SwissSign SuisseID Platinum CA“ oder „Swiss Post Platinum CA“ ausgestellt wird. Vgl. dazu Kapitel 6.1.7 und 7.1. Der damit verknüpfte private Schlüssel muss auf einer sicheren Signaturerstellungseinheit (SSCD) erzeugt worden sein und darf nur einmal vorkommen.

[PE] Verschlüsselungszertifikat für natürliche Person: Ein zu Verschlüsselungszwecken von der „SwissSign Personal Platinum CA“ oder der „Swiss Post Platinum CA“ ausgestelltes Zertifikat. Vgl. dazu Kapitel 6.1.7 und 7.1. Es darf zusätzliche Kopien des damit verknüpften privaten Schlüssels geben. Wahlweise kann eine sichere Signaturerstellungseinheit (SSCD) verwendet werden.

[OA] Authentifizierungszertifikat für juristische Person: Ein Zertifikat für Authentifizierung und digitales Signieren, das von der „SwissSign Personal Platinum CA“ oder der „Swiss Post Platinum CA“ ausgestellt wird. Vgl. dazu Kapitel 6.1.7 und 7.1. Der damit verknüpfte private Schlüssel muss auf einer sicheren Signaturerstellungseinheit (SSCD) erzeugt sein, darf allerdings geklont werden. Das [OA] kann für Authentifizierung und digitales Signieren gemäss den schweizerischen Mehrwertsteuergesetzen (SR 641.201.1) verwendet werden.

[OE] Verschlüsselungszertifikat für juristische Person: Ein zu Verschlüsselungszwecken von der „SwissSign Personal Platinum CA“ oder der „Swiss Post Platinum CA“ ausgestelltes Zertifikat. Vgl. dazu Kapitel 6.1.7 und 7.1. Es darf zusätzliche Kopien des damit verknüpften privaten Schlüssels geben. Wahlweise kann eine sichere Signaturerstellungseinheit (SSCD) verwendet werden.

[QC] Qualifiziertes Zertifikat: Ein qualifiziertes Zertifikat, das von der „SwissSign Qualified Platinum CA“ für qualifiziertes digitales Signieren ausgestellt wird. Vgl. dazu Kapitel 6.1.7 und 7.1. Der damit verknüpfte private Schlüssel muss auf einer sicheren Signaturerstellungseinheit (SSCD) erzeugt worden sein und darf nur einmal vorkommen. Das [QC] kann auch für elektronische Signaturen im Sinne von Artikel 14 Abs. 2bis OR (Schweizer Obligationenrecht) verwendet werden. ….



1.4.2 Untersagte Zertifikatsverwendungen Jegliche andere Verwendung als die in Kapitel 1.4.1 definierten Verwendungen ist untersagt.

Dies betrifft insbesondere das Verbot, mit dieser CA verkettete untergeordnete CAs für MITM oder „Verkehrsmanagement“ von Domainnamen oder IPs zu verwenden, die dem Zertifikatsinhaber weder gehören noch seiner rechtmässigen Kontrolle unterliegen, und zwar unabhängig davon, ob es sich um eine geschlossene und kontrollierte Umgebung handelt oder nicht.

1.5 Verwaltung der Zertifizierungspolitik

1.5.1 Für die Dokumentenverwaltung zuständige Organisation Das SwissSign Platinum CP/CPS-Dokument wird von der SwissSign AG verfasst und aktualisiert.

SwissSign AG Sägereistrasse 25 Postfach 8152 Glattbrugg Schweiz Tel.: +41 (44) 838 36 00 E-Mail: [email protected] Website: http://swisssign.com

Die aktuellen Fassungen der Dokumente können auf der SwissSign Website heruntergeladen werden:

• http://repository.swisssign.com

Die aktuelle Version dieses CP/CPS-Dokuments, die von zwei Zeichnungsbevollmächtigten der SwissSign AG digital signiert sein muss, ist die einzige zuverlässige Quelle für das SwissSign Platinum CP/CPS-Dokument.

1.5.2 Kontakt Für alle das SwissSign Platinum CP/CPS-Dokument betreffenden Fragen oder Vorschläge gibt es die folgende Kontaktmöglichkeiten:

• Homepage: www.swisssign.li • Informationshotline des Call Centers, Die Telefonnummer ist auf der Homepage publiziert. • über die eMail Adresse: [email protected] • schriftliche Anfrage Als Geschäftszeiten gelten Werkstags (ohne allgemeine Feiertage) 08:00 bis 12:00, 13:00 bis 17:00.Zuständige Person für die Feststellung der Angemessenheit der Aussage über die Zertifizierungspraxen (CPS) für die Zertifizierungspolitik

Für die Feststellung der Angemessenheit und Anwendbarkeit dieses CP/CPS-Dokuments ist der Verwaltungsrat der SwissSign AG zuständig.

Änderungen oder Aktualisierungen relevanter Dokumente sind gemäss den Bestimmungen des liechtensteinischen Gesetze über die elektronische Signatur und den Bestimmungen in diesem CP/CPS-Dokument vorzunehmen und bedürfen daher unter Umständen der Genehmigung der dafür gesetzlich vorgesehenen Stelle:

Amt für Kommunikation Fürstentum Liechtenstein Gerberweg 5 Postfach 684 9490 Vaduz Liechtenstein

http://repository.swisssign.com/SwissSign-Platinum-CP-CPS-R3.pdf


http://www.swisssign.li/



1.5.3 Genehmigungsverfahren für das CP/CPS-Dokument Dieses CP/CPS-Dokument und die dazugehörige Dokumentation wird regelmässig durch den Verwaltungsrat der SwissSign AG daraufhin überprüft, dass es mit dem einschlägigen Recht in Einklang steht, so wie dies in Kapitel 1 dieses CP/CPS-Dokuments geregelt ist.

1.6 Definitionen und Akronyme Begriff Abk. Erklärung

Zertifikatsinhaber Zertifikatsinhaber (Subscriber) sind natürliche Personen, die ein Zertifikat erhalten haben.

Algorithmus Ein Prozess zur Ausführung einer Aufgabe. Ein Verschlüsselungsalgorithmus ist lediglich der Prozess (in der Regel ein mathematischer Prozess) für die Ver- und Entschlüsselung von Mitteilungen.

Antragsteller Antragsteller sind natürliche oder juristische Personen, die ein Zertifikat beantragt, aber noch nicht erhalten haben.

Attribut An eine Rechtsperson gebundene Informationen, die eine Eigenschaft der betreffenden Rechtsperson bezeichnet, zum Beispiel eine Konzernmitgliedschaft oder Rolle oder sonstige die Rechtsperson betreffende Angaben.

Aussage über die Zertifizierungspraxen

CPS Dokument, in dem die Rechte und Verantwortlichkeiten aller beteiligten Parteien (RA, CA, Verzeichnisdienst (Directory Service), Endanwender (End Entity) und Zertifikaten vertrauende Parteien) geregelt sind.

Authentifizierung Der Prozess der Identifizierung eines Verwenders. Die am häufigsten verwendeten Authentifizierungsmethoden sind Benutzernamen und Passwörter.

Berechtigungsnachweis Nachweise oder Bestätigungen, die das Zugriffsrecht des Benutzers für gewisse Systeme regeln (z. B. Benutzername, Passwort usw.).

CA-Betreiber CAO Eine Person, die für den CA-Betrieb verantwortlich ist, wozu auch die Festlegung der Zertifikatsparameter für RA und RAO gemäss der Zertifizierungspolitik gehört.

Definierter Name DN -> Inhaber

DES Data Encryption Standard. Eine Chiffre, die in den 1970er Jahren von den USA als offizieller Verschlüsselungsalgorithmus der USA entwickelt wurde.

digitale Signatur Eine digitale Signatur, die ausschliesslich dem Inhaber zugeordnet werden kann und seine Identifizierung ermöglicht. Sie wird mit Mitteln erzeugt, die allein vom Inhaber kontrolliert werden und jede nachträgliche Veränderung der Daten unmittelbar erkennbar machen.

Digitale Signatur Ein System, das natürlichen und juristischen Personen gestattet, bestimmte Merkmale (zum Beispiel ihre Identität oder die Echtheit eines elektronischen Dokuments) elektronisch zu bestätigen.

DNS Domain Name System. Das für das Internet geltende System, das aus einem Verzeichnis von Personennamen besteht. Die Domain ist der Teil der E-Mail-Adresse, der rechts neben dem „@“ steht, z. B. „anytown.ac.uk“.

Einem Zertifikat vertrauende Partei

Empfänger eines Zertifikats (Relying Party), der in Vertrauen auf das Zertifikat handelt bzw. digitale Signaturen anhand des Zertifikats verifiziert.

Elektronische Signatur -> Digitale Signatur

Endanwender Oberbegriff zur Bezeichnung aller Endanwender (End Entity) von Zertifikaten, d. h. der Zertifikatsinhaber und der Zertifikaten vertrauenden Parteien.

Endbenutzer-Vertrag EUA Die vertragliche Vereinbarung zwischen dem Verkäufer von Zertifikaten und dem Zertifikatsinhaber.

Entropie Eine numerische Kennzahl für die Ungewissheit eines Ausgangs. Die Entropie eines Systems bezieht sich auf die Menge der Informationen, die es enthält. In PKI und in der Mathematik enthält ein kryptografischer Schlüssel eine gewisse Menge Informationen, wobei in der Regel bei jeder mathematischen Berechnung eine kleine Menge an Informationen durch Entropie verloren geht. Deshalb sollte ein Schlüssel nicht zu häufig bzw. nicht über einen zu langen Zeitraum verwendet werden.



Begriff Abk. Erklärung

Entschlüsselung Der Prozess der Umwandlung eines verschlüsselten Texts in lesbaren Klartext.

Erweiterung -> Zertifikatserweiterung / Zertifikatsattribute

Elektronische Signatur Elektronische Daten, die anderen elektronischen Daten beigefügt oder mit diesen logische verknüpft werden und die der Authentifizierung, also der Feststellung der Identitäten Signatur dienen.

FIPS 140 FIPS 140 (Federal Information Processing Standards Publication 140) ist ein US-Bundesstandard, der Sicherheitsanforderungen für kryptografische Module regelt.

FQDN FQDN Vollqualifizierter Domainname.

Grenzwert für Transaktionen

Der Grenzwert für Transaktionen beschreibt die für die SwissSign AG, den Zertifikatsinhaber und die Zertifikaten vertrauenden Parteien geltenden Haftungsgrenzen. Dieser Grenzwert wird im jeweiligen Zertifikat veröffentlicht.

Hardware-Sicherheitsmodul

HSM Ein Hardware-Sicherheitsmodul ist ein Gerät, das Schlüsselmaterial physisch vor Unbefugten schützt.

Hash-Algorithmus Ein zur Ver- und Entschlüsselung von Dateien und Mitteilungen verwendeter kryptografischer Algorithmus.

HTTP HTTP Das im Internet verwendete Übertragungsprotokoll „Hyper-Text Transfer Protocol”. Das HTTP definiert, wie Daten über das Internet empfangen oder übermittelt werden und wie Webserver und Browser zu reagieren haben.

HTTPS HTTPS Das Protokoll „Secure Hyper-Text Transfer Protocol” (sicheres HTTP), das von TLS/SSL verwendet wird.

Inhaber DN Das Feld des Zertifikats, in dem der Inhaber (Subject) des Zertifikats angegeben ist. Dies wird auch als definierter Name (Distinguished Name (DN)) bezeichnet. Beispiele: /CN=John Doe /[email protected] /CN=pseudo: Marketing /O=SwissSign AG /C=CH /[email protected] /CN=John Doe /O=SwissSign AG /OU=DEMO/C=CH /[email protected] /CN=swiss.signdemo.com /O=SwissSign AG /OU=DEMO /C=CH /[email protected] Pflichtfelder im Gegenstand: Allgemeiner Name --- /CN Optionale Felder im Gegenstand: E-Mail-Adresse --- /Email Organisation --- /O Organisationseinheit --- /OU Domainbestandteil --- /DC Ländername --- /C Ortschaftsname --- /L Strassenname --- /STREET Vorname --- /G Nachname --- /S Initialen --- /I Eindeutige Kennung --- /UID Seriennummer --- /SN Titel --- /T Beschreibung --- /D

Klartext Die ursprüngliche Mitteilung oder Datei.

Koordinierte Weltzeit UTC UTC(k)

Die mittlere Sonnenzeit am Nullmeridian (0°). Die Zeitskala basiert auf Sekunden, so wie dies in ETSI TS 102.023 v1.2.1 definiert ist. Die durch das Labor „k“ realisierte Zeitskala, die in enger Abstimmung an die UTC gehalten wird, mit dem Ziel, ±100 ns zu erreichen.

LDAP Secure LDAPS Mit TLS/SSL gesichertes LDAP.

Lightweight Directory Access Protocol

LDAP Das Zugriffsprotokoll LDAP dient dazu, Daten aus einem öffentlichen Verzeichnis abzurufen.

Liste der für ungültig erklärten Zertifikate

CRL Liste der für ungültig erklärten Zertifikate (Sperrliste). Anhand dieser in regelmässigen Abständen von der CA herausgegebenen Liste überprüfen Applikationen die Gültigkeit eines Zertifikats.




Man-in-the-Middle MITM Auch als Mittelmannangriff oder Janusangriff bezeichnete Angriffsform, bei der der Angreifer/Dritte den Datenverkehr zwischen Sender und Empfänger abhört, vermittelt bzw. kontrolliert.

Öffentlicher Schlüssel Einer von zwei in der öffentlichen Schlüsselkryptografie verwendeten Schlüssel. Der öffentliche Schlüssel, der allgemein bekannt sein darf, wird dazu verwendet, Signaturen zu verifizieren oder Mitteilungen zu verschlüsseln. In einem Public-Private-Key-Kryptografiesystem wird der öffentliche Schlüssel dazu verwendet, die „Signaturen“ eingehender Mitteilungen zu verifizieren bzw. Dateien oder Mitteilungen zu verschlüsseln, sodass die Datei oder Mitteilung nur vom Inhaber des privaten Schlüssels entschlüsselt werden kann.

Online Certificate Status Protocol

OCSP Methode für die Online-Validierung von Zertifikaten in Echtzeit.

PKCS PKCS bezeichnet von RSA Laboratories definierte und veröffentlichte Public Key Cryptography Standards.

Privater Schlüssel Einer von zwei in der öffentlichen Schlüsselkryptografie verwendeten Schlüssel. Der private Schlüssel, der nur dem Inhaber bekannt ist, wird dazu verwendet, Mitteilungen an andere zu signieren oder eingehende Mitteilungen zu entschlüsseln.

Profil Ein Benutzerprofil ist ein persönlicher Bereich, in dem Endanwender direkt auf der SwissSign Webseite auf ihre digitalen Identitäten und Anträge zugreifen und sie verwalten können. Der Zugang zu diesem Profil kann mittels Benutzernamen und Passwort gewährt werden.

Public-Key-Infrastruktur PKI Prozesse und Technologien, die dazu verwendet werden, digitale Identitäten auszustellen und zu verwalten, die von Dritten zur Authentifizierung natürlicher oder juristischer Personen verwendet werden können.

Qualifizierte digitale Signatur

Fortgeschrittene elektronische Signatur, welche auf einem qualifizierten Zertifikat beruht und durch eine sichere Signaturerstellungseinheit im Sinne von Artikel 5.1 der Richtlinie 1999/93/EG erzeugt wird. Gemäss Art. 14 Abs. 2bis OR (Schweizer Obligationenrecht; SR 220) ist eine qualifizierte digitale Signatur, die auf einem qualifizierten Zertifikat einer anerkannten Anbieterin von Zertifizierungsdiensten (CSP) beruht, einer eigenhändigen Unterschrift gleichgestellt.

Qualifiziertes Zertifikat QC Ein Zertifikat, das die in Artikel 7 SigG niedergelegten Anforderungen erfüllt.

RA-Betreiber RAO Die Person, die dafür verantwortlich ist, den Antragsteller zu identifizieren, die Identitätsnachweise zu erfassen, den Zertifizierungsantrag (CSR) zu genehmigen und den genehmigten CSR an die CA weiterzuleiten.

Revozierung Der Prozess, durch den ein Zertifikat für ungültig erklärt wird. Jede CA gibt regelmässig eine als CRL bezeichnete Sperrliste der für ungültig erklärten Zertifikate heraus. Alle Applikationen, die Zertifikate der betreffenden CA verwenden, sollten diese Liste überprüfen, bevor sie auf ein Zertifikat vertrauen.

Richtlinie 1999/93/EG Die EU-Richtlinie zur digitalen Signatur: Richtlinie 1999/93/EG des Europäischen Parlaments und des Rates vom 13. Dezember 1999 über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen. Die Einhaltung dieser Richtlinie impliziert die Einhaltung der folgenden Standards: ETSI TS 101 456 v1.4.1, ETSI TS 101 861 v1.3.1 und ETSI TS 101 862 v1.3.3

Rollover Rollover bedeutet in Bezug auf ein Zertifikat, dass ein neues Zertifikat ausgestellt wird, während das alte noch gilt und verwendet werden kann. Durch Rollover kann ein neues CA-Zertifikat ausgestellt werden, während das alte sowie alle damit ausgestellten Zertifikate gültig bleiben.

RSA Ein nach seinen Gründern Rivest-Shamir-Adleman benannter Verschlüsselungsalgorithmus für öffentliche Schlüssel.

S/MIME Secure / Multipurpose Internet Mail Extensions ist ein Standard für die Verschlüsselung öffentlicher Schlüssel und das Signieren von E-Mails.

Schlüssel Der geheime Input für kryptografische Algorithmen zur Umwandlung von Mitteilungen. -> Vgl. privater Schlüssel, öffentlicher Schlüssel

Schlüssellänge Länge des privaten bzw. öffentlichen Schlüssels. Die üblichen Schlüssellängen sind 512, 768, 1024, 2048 und 4096 Bit. Die heutzutage vom NIST (National Institute of Standards and Technology) empfohlene Schlüssellänge ist 2048 Bit.




Schlüssel-Passwort Zur Verschlüsselung des privaten Schlüssels verwendetes Passwort.

Schlüsselverwendung Der Zweck, für den der Schlüssel vorgesehen ist. Diese Information wird im eigentlichen Zertifikat gespeichert, damit eine Applikation überprüfen kann, dass der Schlüssel für den angegebenen Zweck verwendet wird.

Sichere Signatur-erstellungseinheit

SSCD Eine sichere Signaturerstellungseinheit, die den in Anhang III der Richtlinie 1999/93/EG niedergelegten Anforderungen genügt.

Signatur Ein kryptografisches Element, anhand dessen der Ersteller eines Dokuments identifiziert und die Integrität des Dokuments verifiziert werden kann.

Signaturerstellungsdaten Eindeutige Daten (zum Beispiel Parameter wie elektronische Signaturalgorithmen oder private kryptografische Schlüssel), die der Unterzeichnende für die Erzeugung einer elektronischen Signatur verwendet.

Signaturerstellungseinheit Zur Implementierung der Signaturerstellungsdaten verwendete konfigurierte Soft- oder Hardware.

Signaturverifizierungs-daten

Daten (zum Beispiel Parameter wie Signaturalgorithmen oder öffentliche kryptografische Schlüssel), die für die Verifizierung einer elektronischen Signatur verwendet werden.

Signator Art. 2 lit b) SigG

Smart-Card Kreditkarten- oder SIM-förmiger Träger eines sicheren Kryptoprozessors mit manipulationssicheren Eigenschaften für die sichere Speicherung und Anwendung privater Schlüssel.

SSL/TLS Secure Sockets Layer. Ein von Netscape entwickeltes Protokoll, das die sichere Transaktionsausführung im Internet ermöglicht. URLs, die eine SSL/TLS-Verbindung für HTTP brauchen, beginnen nicht mit http:, sondern mit https:.

SSO Einmaliges Anmelden (Single Sign On): Der Endanwender braucht sich nur einmal anzumelden, um auf verschiedene Dienste zuzugreifen.

Teilnehmer/Beteiligte Rechtspersonen wie CAs, RAs und Repositorien. Dabei kann es sich um verschiedene Rechtspersonen handeln.

Triple DES Eine Methode zur Stärkung des DES Algorithmus, bei der dieser dreimal hintereinander mit verschiedenen Schlüsseln angewendet wird.

TSA Disclosure Statement

Erklärung der TSA über die Politiken und Praxen einer TSA, welche gegenüber Zertifikatsinhaber und Zertifikaten vertrauenden Parteien hervorzuheben oder offenzulegen sind, zum Beispiel zur Einhaltung regulatorischer Anforderungen.

TSA Practice Statement TPS Aussage über die Praxen, die eine TSA zur Ausstellung von Zeitstempel-Tokens befolgt.

TSA-System Gesamtheit der IT-Produkte und Komponenten zur Unterstützung der Erbringung der Zeitstempel-Dienste.

Uniform Resource Locator URL Der einheitliche Ressourcenanzeiger ist die globale Adresse von Dokumenten und anderen Ressourcen im WWW, zum Beispiel http://swisssign.net. Der erste Teil gibt das zu verwendende Protokoll (http) an, der zweite Teil zeigt die Domain, in der sich das Dokument befindet.

USB-Reader ist ein Gerät, zum Lesen und Beschreiben der Smart-Card.

Verkehrsmanagement Verwaltung und Überwachung des Netzwerkverkehrs mit Domainnamen oder IPs, die Dritten gehören oder der Kontrolle Dritter unterliegen.

Verschlüsselter Text Verschlüsselte Daten. Verschlüsselter Text ist nur lesbar, wenn er mithilfe eines Schlüssels in Klartext umgewandelt (entschlüsselt) wird.

Verschlüsselung Die Verschlüsselung ist der Prozess, in dem eine Formel (der sogenannte Verschlüsselungsalgorithmus) dazu verwendet wird, Klartext zum Zwecke der Übermittlung in einen unlesbaren verschlüsselten Text zu verwandeln.

Vertraulichkeitsstufe Anhand der Vertraulichkeitsstufe wird bestimmt, wie im Verzeichnis auf das Zertifikat zugegriffen werden kann. Die angebotenen Datenfreigabestufen sind „Private“, „Public Lookup“ und „Public Download“.




VZertES Schweizerische Verordnung über die elektronische Signatur, vom 3. Dezember 2004. SR 943.032.

Zeitstempel-Dienststelle TSA Die Zeitstempel-Dienststelle (Time Stamping Authority) ist die Stelle, die Zeitstempel-Token ausgibt.

Zeitstempel-Einheit Als Einheit verwaltete Hard- und Software (Time-Stamping Unit), die für einen gegebenen Zeitpunkt ein einziges Zeitstempel-Token als Signierschlüssel bereitstellt.

Zeitstempel-Politik TP Benannter Regelsatz (Time-Stamp Policy), der die Anwendbarkeit eines Zeitstempel-Token für eine bestimmte Community bzw. Klasse von Applikationen mit gemeinsamen Sicherheitsanforderungen angibt.

Zeitstempel-Token TST Datenobjekt (Time-Stamp Token), das eine Repräsentation eines Faktums an eine bestimmte Uhrzeit bindet und somit den Nachweis ermöglicht, dass es das Faktum vor dem betreffenden Zeitpunkt gab.

ZertES Schweizerisches Bundesgesetz über die elektronische Signatur. Verkündet am 19. Dezember 2003. SR 943.03. Die Einhaltung dieses Gesetzes impliziert stets die Einhaltung von VZertES und TAV-BAKOM.

Zertifikat Von einer vertrauenswürdigen Drittpartei ausgestellte Informationen, häufig in einem öffentlich zugänglichen Verzeichnis veröffentlicht. Das Zertifikat enthält mindestens einen Inhaber (Subject), eine eindeutige Seriennummer (Unique Serial Number), einen Aussteller (Issuer) und einen Gültigkeitszeitraum (Validity Period).

Zertifikatserweiterung Optionale Felder in einem Zertifikat

Zertifizierungsdienste-anbieter

CSP Natürliche oder juristische Person, die Zertifikate für Dritte (natürliche oder juristische Personen) ausstellt.

Zertifizierungspolitik CP Regeln, denen ein Antrag genügen muss, damit die RA den Antrag genehmigen bzw. die CA das Zertifikat ausstellen kann.

Zertifizierungspolitik für qualifizierte Zertifikate

QCP Zertifizierungspolitik, welche den in Anhang I und Anhang II zur Richtlinie 1999/93/EG niedergelegten Anforderungen genügt.

Zertifizierungsstelle CA Interne Stelle oder vertrauenswürdige Dritter, die digitale Zertifikate ausstellen, signieren, revozieren und verwalten.

Zwei-Faktor-Authentifizierung

Eine Zwei-Faktor-Authentifizierung ist jedes Authentifizierungsprotokoll, das erfordert, dass Identität und Rechte auf zwei voneinander unabhängige Arten bestätigt werden.



2 Verantwortlichkeiten in Bezug auf Veröffentlichungen und Repositorien

Die SwissSign AG wird ihr(e) Zertifikat(e), CP/CPS-Dokumente, CRLs und diese CA betreffenden Dokumente auf den Websites swisssign.com oder swisssign.net veröffentlichen. Zur Sicherstellung der Integrität und Authentizität müssen alle Dokumente digital signiert werden. Zur Dokumentation des Gültigkeitszeitraums wird eine Versionshistorie beigefügt.

2.1 Dokumentenverzeichnis Die SwissSign AG pflegt sämtliche ihre CAs betreffenden Dokumentationen auf den Websites swisssign.com und swisssign.net. Die Websites sind untereinander durch Links verknüpft, um das reibungslose navigieren zu ermöglichen.

Die SwissSign AG unterhält zwei Websites:

swisssign.net: Diese Website wird für alle Funktionen im Zusammenhang mit Zertifikaten (CRL, LDAP, …) und der Zertifikatsverwaltung verwendet (Antrag, Erneuerung, Revozierung, Download …). Der Zugriff auf diese Website ist reglementiert (rollenbezogene Zugriffskontrolle) und die Kodierung ist so sicher wie möglich.

swisssign.com: Diese Website dient der Informationsverbreitung. Produkt- und Unternehmensinformationen sind hier zu finden. Der Zugriff auf diese Website ist öffentlich.

http://www.llv.li/#/1823/elektronische-signatur Dieser Link verweist zur offiziellen Website des Amts für Kommunikation und elektronische Signaturen

https://www.gesetze.li/konso/2003.215 Gesetz vom 18. September 2003 über elektronische Signaturen (Signaturgesetz; SigG)

https://www.gesetze.li/konso/2004.130 Verordnung vom 1. Juni 2004 über elektronische Signaturen (Signaturverordnung; SigV)

http://pda.etsi.org/pda/queryform.asp Das ETSI hat einen Download-Bereich, in dem Standards wie ETSI 101.456, ETSI, 101.861 und ETSI 101.862 zu finden sind.

2.2 Veröffentlichung von Zertifizierungsinformationen Die SwissSign AG veröffentlicht alle diese CA betreffenden gültigen Dokumentationsfassungen auf der Website swisssign.com bzw. swisssign.net. Diese Website ist die einzige Quelle für die aktuellen Dokumentationsfassungen, und die SwissSign-AG behält sich das Recht vor, unangekündigt neuere Fassungen der Dokumentation zu veröffentlichen.

Für diese CA wird die SwissSign AG eine genehmigte, aktuelle und digital signierte Fassung der folgenden Dokumente veröffentlichen:

• die Zertifizierungspolitik und Aussage über die Zertifizierungspraxen (CP/CPS-Dokument) • den Endbenutzer-Vertrag und die Unterrichtungsunterlagen (AGB) für Zertifikatsinhaber • den Endbenutzer-Vertrag (AGB) für Zertifikaten vertrauende Parteien • Preisangaben

Die SwissSign AG veröffentlicht Informationen, die die durch diese CA ausgestellten Zertifikate betreffen, auf der Website swisssign.net. Die Website swisssign.net und das LDAP-Verzeichnis directory.swisssign.net sind die einzigen autoritativen Quellen für:

• Alle durch diese CA ausgestellten Zertifikate, die öffentlich zugänglich sind. • Die Liste der für ungültig erklärten Zertifikate (CRL) für diese CA. Die CRL kann von der Website swisssign.net heruntergeladen

werden. Die exakte URL ist in jedem durch diese CA und ihre untergeordneten ausstellenden CAs ausgestellten Zertifikate dokumentiert, und zwar im Feld: „CRL Distribution Point“. Genauere Angaben dazu sind Kapitel 7 zu entnehmen.

Die Datenformate, die auf der Website swisssign.net für die von dieser CA ausgestellten Zertifikate und für Revozierungslisten verwendet werden, entsprechen den dazugehörigen Schemadefinitionen, so wie diese in den Empfehlungen entsprechend X.500 definiert sind.

Die Zertifikatsverbreitungsdienste stehen 24 Stunden täglich, 7 Tage die Woche zur Verfügung.

http://en.wikipedia.org/wiki/Authentication



2.3 Zeitpunkt und Häufigkeit der Veröffentlichung Die SwissSign AG wird die jeweils aktuelle Fassung sowie alle obsoleten Fassungen der folgenden Veröffentlichungen auf ihrer Website veröffentlichen:

• SwissSign Platinum CP/CPS-Dokument: Dieses Dokument wird mindestens einmal jährlich überprüft. Ist keine Aktualisierung erforderlich, so wird keine neue Fassung veröffentlicht.

SwissSign veröffentlicht folgende Informationen regelmässig:

• Die Listen der für ungültig erklärten Zertifikate (CRLs) für die „SwissSign Qualified Platinum CA“ werden gemäss dem in Kapitel 4.9.7 angegebenen Plan veröffentlicht.

• OCSP-Informationen: Echtzeit. Der OCSP-Responder wird jedes revozierte / gesperrte Zertifikat sofort melden. Vgl. dazu auch Kapitel 4.9.9.

2.4 Zugriffskontrolle für Dokumentverzeichnisse Die LDAP-, CRL- und OCSP-Informationen werden in einem Datenbanksystem verwaltet. Alle Zugriffe auf Daten in diesem Datenbanksystem werden durch die Schnittstelle auf swisssign.net verwaltet und sind nur mit entsprechender Autorisierung zulässig. Welche Art Autorisierung erforderlich ist, hängt davon ab, wie der Prozess ausgeführt wird. Der Verwaltungszugriff erfordert stets eine zertifikatsbasierte Zwei-Faktor-Authentifizierung.

Dieses CP/CPS-Dokument ist allgemein zugänglich auf der Website swisssign.com veröffentlicht. Öffentliche Dokumente sind nur gültig, wenn sie als PDF veröffentlicht und mit den digitalen Signaturen von Zeichnungsbevollmächtigten der SwissSign AG unterzeichnet sind.



3 Identifizierung und Authentifizierung

3.1 Namen

3.1.1 Namensformen Der definierte Name (Distinguished Name (DN)) in einem durch diese CA ausgestellten Zertifikat genügt dem X.500 Standard und dem RFC 5280.

Für den definierten Namen ist mindestens ein Feld erforderlich. Dieses Feld muss /CN= sein.

Für den allgemeinen Namen (Common Name (CN)) lässt SwissSign zwei Namensformen zu:

• Echte Namen

Echte Namen werden als /CN='Vorname' optional 'Mittlere Namen' 'Nachname' angegeben

• Vorname, mittlerer Name und Nachname im CN müssen absolut identisch sein mit der Angabe der Namen in den zum Identitätsnachweis vorgelegten Dokumenten. Sonderzeichen sind gemäss Kapitel 3.1.4 zu behandeln. Abkürzungen oder Spitznamen sind verboten. Aus mehreren Wörtern bestehende Namen sind zulässig.

• Die Schreibweise des Namens einer juristischen Person in /CN bzw. in /O muss mit der Angabe des Namens in den gemäss Kapitel 3.2.2 zur Verfügung gestellten Unterlagen absolut identisch sein.

• Handelt es sich bei /CN um den Namen einer juristischen Person, so muss es auch das Feld /O geben und dieses muss mit dem Feld /CN identisch sein.

• Ist ein Feld /O vorhanden, so muss es auch das Feld /C geben.

Die Verwendung von Namen in den Feldern /CN und /O muss autorisiert sein. Das bedeutet:

• Die Verwendung eines echten Namens und seiner Identifikationsinformationen muss gemäss Kapitel 3.2.3 authentifiziert und autorisiert sein.

SubjectAltName ist ein optionales Feld für mit echten Namen ausgestellte Zertifikate. Ist es präsent, so enthält es zumindest eine E-Mail-Adresse.

3.1.2 Erfordernis aussagekräftiger Namen Der im Zertifikat angegebenen Inhaber- und Ausstellernamen MÜSSEN aussagekräftig sein, d. h., der Registrierungsstelle muss ein ordnungsgemässer Nachweis für die bestehende Verbindung zwischen diesen Namen oder Pseudonymen und den dazugehörigen Rechtspersonen vorliegen. Dazu ist es erforderlich, dass die Verwendung eines Namens durch den rechtmässigen Inhaber oder einen gesetzlichen Vertreter des rechtmässigen Inhabers autorisiert ist.

3.1.3 Anonymität oder Pseudonymität von Zertifikatsinhabern Anonymität und Pseudonymität von Zertifikatsinhabern wird nicht unterstützt.

3.1.4 Regeln zur Interpretation verschiedener Namensformen Alle Attribute im definierten Namen, die als UTF8string definiert sind, werden UTF8 kodiert.

In vielen Sprachen gibt es Sonderzeichen, die nicht durch den ASCII-Zeichensatz unterstützt werden, der im Zertifikat zur Angabe des Inhabers verwendet wird. Zur Problemvermeidung können lokale Substitutionsregeln verwendet werden:

• Im Allgemeinen werden nationale Sonderzeichen durch ihr ASCII-Äquivalent dargestellt, d. h. é, è, à, ç zum Beispiel durch e, e, a, c.

• Die deutschen „Umlaut“-Zeichen können anders gehandhabt werden: ä, ö, ü können als ae, oe, ue oder als a, o, u dargestellt werden.

3.1.5 Eindeutigkeit von Namen Im Rahmen der SwissSign Platinum CA – G2 setzen alle CAs die Eindeutigkeit der Inhaberfelder in Zertifikaten durch; das bedeutet, dass alle Zertifikate mit identischen Inhaberfeldern derselben natürlichen oder juristischen Person gehören müssen. Es werden die folgenden Regeln durchgesetzt:



• Alle für natürliche Personen ausgestellten Zertifikate mit identischen Inhabern müssen derselben natürlichen Person gehören. Dies gilt ausdrücklich auch für das Halten revozierter oder abgelaufener Zertifikate.

• Alle für juristische Personen ausgestellten Zertifikate mit identischen Inhabern müssen derselben juristischen Person gehören.

Vgl. dazu auch Kapitel „1.4.1. Freigegebene Zertifikatsverwendungen“.

3.1.6 Erkennung, Authentifizierung und Funktion von Marken SwissSign und ihre Registrierungsstellen behalten sich das Recht vor, Zertifikatsanträge abzulehnen oder Zertifikate zu revozieren, wenn sie beleidigende oder irreführende Informationen oder gesetzlich geschützte Namen enthalten, die möglicherweise die Rechte Dritter verletzen. Die SwissSign AG ist nicht verpflichtet zu überprüfen, dass Namen rechtmässig verwendet werden. Der Abonnent trägt die alleinige Verantwortung dafür, die rechtmässige Verwendung gewählter Namen sicherzustellen.

Die SwissSign AG wird allen nach liechtensteinischem und schweizerischem Recht ergangenen Gerichtsentscheidungen, die sich auf die Verletzung fremder Rechte durch aufgrund dieser CPS ausgestellten Zertifikate beziehen, schnellstmöglich Folge leisten.

3.2 Identitätsüberprüfung bei Neuantrag Die Identitätsüberprüfung bei Neuantrag ist Teil des in Kapitel 4.1 beschriebenen Prozesses der Zertifikatsbeantragung.

3.2.1 Verfahren zur Überprüfung des Besitzes privater Schlüssel Die Registrierungsstellen sind für ihren auf diesem CP/CPS-Dokument beruhenden Betrieb zur Einhaltung der Bestimmungen des schweizerischen Gesetzes über die elektronische Signatur oder dem liechtensteinischem Gesetz über elektronischen Signaturen verpflichtet und müssen den Besitz privater Schlüssel sicherstellen:

SwissSign RA: Der RA-Betreiber und der Antragsteller bezeugen die Erzeugung des Schlüsselpaars persönlich. RA Liechtenstein: Der RA-Betreiber und der Antragsteller bezeugen die Erzeugung des Schlüsselpaars persönlich.

3.2.2 Authentifizierung juristischer Personen Natürliche Personen können den Namen einer juristischen Person verwenden, wenn die juristische Person dies entsprechend autorisiert.

Der definierte Name (DN) eines durch diese CA ausgestellten Zertifikats kann eine Instanz des Organisationsfelds enthalten. Sollte der Antragsteller sich dafür entscheiden, dass das Organisationsfeld Teil des DN sein soll, so sind die folgenden Regeln einzuhalten:

• Die Verwendung des Organisationsfelds bedeutet, dass das Land-Feld ein Pflichtfeld ist. • Der Registrierungsprozess einer aufgrund dieses CP/CPS-Dokuments tätigen Registrierungsstelle muss Bestimmungen zur

Feststellung der Identität einer juristischen Person und zur Autorisierung der Verwendung ihres Namens vorsehen. • Zur Validierung des Namens einer juristischen Person muss der Antragsteller amtliche Unterlagen bezüglich der juristischen

Person vorlegen.

3.2.3 Authentifizierung natürlicher Personen Unter Umständen muss die Verwendung von Namen in verschiedenen Teilen des definierten Namens (DN) durch verschiedene natürliche Personen autorisiert werden. Der Registrierungsprozess einer aufgrund dieses CP/CPS-Dokuments tätigen Registrierungsstelle muss Bestimmungen zur Feststellung der Identitäten der betreffenden natürlichen Personen vorsehen. Dazu ist es erforderlich, dass die Identität aller natürlichen Personen gemäss dem liechtensteinischem Gesetz über elektronische Signaturen (SigG) festgestellt wird. Die in den Registrierungsformularen definierten Regeln lassen sich wie folgt zusammenfassen:

• Das Registrierungsformular muss die persönlichen handschriftlichen Originalunterschriften enthalten oder unter Verwendung qualifizierter Zertifikate gemäss SigG elektronisch signiert sein.

• Die Angaben auf dem Identitätsausweis müssen mit dem Namen und der Unterschrift auf dem Registrierungsformular übereinstimmen.

• Der Wortlaut im Antrag muss bezüglich des/der Vornamen(s) und Nachnamens mit den Identitätsausweisen identisch sein.

Darüber hinaus ist die Identität des Antragstellers (und zwar ausschliesslich des Antragstellers) gemäss diesen zusätzlichen Regeln festzustellen:

• Der Registrierungsprozess muss einen Identifizierungsschritt vorsehen, bei welchem der Antragsteller persönlich anwesend ist. Dieser Schritt kann durchgeführt werden durch: • die den Zertifikatsantrag bearbeitende Registrierungsstelle;



• Die natürliche Person muss einen amtlichen mit einem Foto versehenen Identitätsausweis vorlegen. Der Identifizierungsmitarbeiter fertigt eine hochwertige Kopie oder einen hochwertigen Scan des Ausweispapiers an und bestätigt schriftlich die ordnungsgemässe Durchführung der Identifikation.

• Das Foto im Identitätsausweis wird mit der erschienenen Person verglichen (Gesichtszüge, Alter, Geschlecht und Grösse). • Im Registrierungsprozess ist das /Email= Feld zu überprüfen. Der Antragsteller muss nachweisen, dass er Zugang zum E-Mail-

Konto hat und dort E-Mails empfangen kann.

3.2.4 Nicht überprüfte Zertifikatsinhaberinformationen Alle Informationen über den Zertifikatsinhaber, die gemäss dem liechtensteinischen Gesetz über elektronische Signaturen erforderlich sind, sind ordnungsgemäss zu überprüfen. Angaben, die der Antragsteller darüber hinaus macht, dürfen ignoriert werden.

3.2.5 Überprüfung der Vertretungsvollmacht Der Antragsteller muss aktuelle und gültige Dokumente für den ins Zertifikat aufzunehmenden Namen der Organisation bzw. des Unternehmens vorlegen, vgl. dazu Kapitel 3.2.2. Der Wortlaut des ins Zertifikat aufzunehmenden Namens der Organisation bzw. des Unternehmens muss exakt mit dem Wortlaut in den vorgelegten Dokumenten übereinstimmen.

Gemäss dem liechtensteinischen Gesetz über elektronische Signaturenbedarf die Verwendung des Namens der juristischen Person der Autorisierung durch höchstrangige Vertreter der juristischen Person.

• Die Verwendung des Organisationsnamens einer im Handelsregister eingetragenen juristischen Person bedarf der Autorisierung durch einen oder die Zeichnungsberechtigten, die im Handelsregister eingetragen sind.

• Die Verwendung des Organisationsnamens eines Einzelunternehmers muss durch den in der aktuellen Mehrwertsteuerabrechnung angegebenen Inhaber autorisiert sein.

• Die Verwendung des Organisationsnamens einer Gesellschaft mit Gesellschaftsstatuten muss durch einen in den Gesellschaftsstatuten benannten Gesellschafter autorisiert sein.

• Die Verwendung des Organisationsnamens einer Gemeinde muss durch das zuständige Organ der Gemeinde autorisiert sein, wobei der betreffende Beschluss in Kopie vorzulegen ist.

Die Identifikation dieser natürlichen Personen ist gemäss den in Kapitel 3.2.3 niedergelegten Bestimmungen vorzunehmen.

3.2.6 Kriterien für die Interoperabilität Die wechselseitige Zertifizierung (Cross-Certification) wird nicht durch SwissSign unterstützt.

3.3 Identifizierung und Authentifizierung für Anträge auf Zertifikatserneuerung (Re-Key)

3.3.1 Identifizierung und Authentifizierung für Anträge auf routinemässige Zertifikatserneuerung Gemäss dem liechtensteinischen Gesetz über elektronische Signaturen ist zur Zertifikationserneuerung (Re-Keying) ein Antrag auf Zertifikationserneuerung zu stellen, der mit dem qualifizierten Zertifikat, dessen Erneuerung beantragt wird, digital signiert sein muss.

3.3.2 Identifizierung und Authentifizierung für Anträge auf Zertifikatserneuerung nach Revozierung

Eine Zertifikatserneuerung nach Revozierung ist unzulässig.



3.4 Identifizierung und Authentifizierung für Anträge auf Revozierung Die Revozierung/Sperrung eines von dieser CA ausgestellten Zertifikats setzt voraus, dass der Abonnent auf eine der folgenden Weise authentifiziert wird:

• Erfolgreiches Login zum Benutzerprofil. • Nachweis des Besitzes des privaten Schlüssels auf der Website der Registrierungsstelle. • Persönliche Unterschrift auf einem Revozierungsformular. • Persönliches Erscheinen in der Registrierungsstelle; • Angabe eines einmaligen Revozierungsschlüssels auf der Website der Registrierungsstelle.

Nicht alle Registrierungsstellen unterstützen alle Revozierungsmethoden.

Das Verfahren für die Beantragung der Revozierung ist in Kapitel 4.9.3 beschrieben.



4 Betriebsanforderungen für den Zertifikatslebenszyklus

4.1 Zertifikatsantrag

4.1.1 Antragsberechtigte für ein Zertifikat Anträge können von jedem gestellt werden, der die im Registrierungsformular, CP/CPS-Dokument und relevanten Endbenutzer-Vertrag niedergelegten Regeln einhält.

4.1.2 Registrierungsprozess und Verantwortlichkeiten Die Registrierungsstelle muss einen Registrierungsprozess einrichten, der den Anforderungen des Bundesgesetzes über die elektronische Signatur genügt, was jeweils durch jährliche Audits überprüft wird. Im Einzelnen muss sie:

• die Identität des Antragstellers und sämtlicher Personen, die den Zertifikatsantrag autorisieren, gemäss Kapitel 3 feststellen; • sich alle gemäss Kapitel 3 erforderlichen Dokumente vorlegen lassen und überprüfen; • eine personalisierte sichere Signaturerstellungseinheit (SSCD) erstellen und auf sichere Weise dem Antragsteller zuleiten sowie

sicherstellen, dass nur der Antragsteller die Aktivierungsdaten kennt.

4.2 Bearbeitung von Zertifikatsanträgen

4.2.1 Durchführung der Identifizierungs- und Authentifizierungsfunktionen Die Registrierungsstelle stellt die Identität des Antragstellers auf Grundlage der vom Antragsteller vorgelegten Identitätsausweise fest, so wie dies in Kapitel 3.2 dieses Dokuments geregelt ist.

4.2.2 Annahme oder Ablehnung von Zertifikatsanträgen Die Registrierungsstelle genehmigt einen Zertifikatsantrag, sofern sämtliche der folgenden Voraussetzungen erfüllt sind:

• Der Antragsteller hat die Identitätsausweise gemäss Kapitel 3.2.3 vorgelegt; • alle Unterlagen wurden vorgelegt und für echt befunden; • alle Autorisierungen wurden vorgelegt und für echt befunden; • die im Registrierungsformular gemachten Angaben werden für angemessen und vollständig gehalten; • bei der gemäss Kapitel 3.1.5 vorgenommenen Überprüfung der Namenseindeutigkeit wurden keine Widersprüche festgestellt.

Sollte der Antragsteller eine der vorgenannten Voraussetzungen nicht erfüllen oder in sonstiger Weise gegen die Bestimmungen dieses Dokuments verstossen, so muss die SwissSign RA den Antrag auf Zertifikatsignierung ablehnen.

SwissSign behält sich das Recht vor, Zertifikatsanträge ohne Angabe von Gründen abzulehnen.

4.2.3 Bearbeitungsdauer für Zertifikatsanträge Registrierungsstellen müssen ihre Prozesse so gestalten, dass die Bearbeitung eines gewöhnlichen Zertifikatsantrags, dem sämtliche Unterlagen beigefügt sind, nicht länger als zwei Werktage dauert.

Dieser Zeitraum kann sich infolge von Umständen, über welche die Registrierungsstelle keine volle Kontrolle hat, verlängern, zum Beispiel durch:

• Postlaufzeiten • Unvollständige oder falsche Unterlagen • Validierung von Informationen durch externe Stellen



4.3 Zertifikatsausstellung

4.3.1 Von der CA im Rahmen der Zertifikatsausstellung vorzunehmende Handlungen Bei Eingang eines genehmigten Antrags auf Zertifikatsignierung überprüft die SwissSign CA

• die Integrität des Antrags; • die Authentizität und Autorisierung des RA-Betreibers; • den Inhalt der Zertifikatsanträge im Hinblick auf die Einhaltung der technischen Spezifikation gemäss Kapitel 7.1.2.

Ergibt die Überprüfung, dass alle Voraussetzungen erfüllt sind, so stellt die SwissSign CA das beantragte Zertifikat aus.

4.3.2 Mitteilung der Zertifikatsausstellung durch die CA an den Zertifikatsinhaber Die CA kann den Antragsteller auf verschiedene Weisen benachrichtigen:

• Wird das Zertifikat dem Zertifikatsinhaber sofort präsentiert, so ist unter Umständen keine besondere Benachrichtigung erforderlich.

• Die CA kann: • das Zertifikat dem Zertifikatsinhaber per E-Mail zusenden; • das Zertifikat der anfordernden RA per E-Mail zusenden; • per E-Mail Informationen zusenden, die dem Zertifikatsinhaber das Herunterladen des Zertifikats auf einer Website oder in

einem Repositorium ermöglichen; • per E-Mail Informationen zusenden, die der RA das Herunterladen des Zertifikats auf einer Website oder in einem

Repositorium ermöglichen.

4.4 Zertifikatsannahme

4.4.1 Konkludente Zertifikatsannahme Die Zertifikatsinhaber brauchen die Annahme des Zertifikats nicht zu bestätigen.

Die Registrierungsstelle stellt sicher, dass die Zertifikatsausstellung nur erfolgt, wenn der Abonnent bereit ist, das Zertifikat herunterzuladen und zu installieren. Dieser Schritt wird als ausreichend angesehen; eine weitere Bestätigung ist nicht erforderlich.

4.4.2 Zertifikatsveröffentlichung durch die CA Der Antragsteller ist damit einverstanden, dass die SwissSign AG gemäss den einschlägigen Vorschriften Informationen über den Zertifikatsstatus veröffentlicht. Der Antragsteller entscheidet im Zuge des Registrierungsprozesses, ob das Zertifikat in einem öffentlichen Verzeichnisdienst veröffentlicht wird oder nicht.

4.4.3 Mitteilung der Zertifikatsausstellung durch die CA an andere Rechtspersonen Die CA wird keine anderen Rechtspersonen von der Zertifikatsausstellung in Kenntnis setzen.

4.5 Verwendung des Schlüsselpaars und des Zertifikats

4.5.1 Verwendung des privaten Schlüssels und des Zertifikats durch den Zertifikatsinhaber Die Verwendung der Zertifikate durch Zertifikatsinhaber muss den in Kapitel 1.3.3 niedergelegten Verpflichtungen genügen, die nachstehend wie folgt zusammengefasst sind:

• Von der „SwissSign LI Platinum Qualified CA“ ausgestellte qualifizierte Zertifikate können auch für qualifizierte elektronische Signaturen im Sinne von Artikel4 Abs. 1 SigG verwendet werden.

• Zertifikatsinhaber dürfen SwissSign Zertifikate ausschliesslich im Auftrag derjenigen natürlichen oder juristischen Person verwenden, die als Inhaber (Subject) des Zertifikats angegeben ist.



4.5.2 Verwendung des öffentlichen Schlüssels und des Zertifikats durch die dem Zertifikat vertrauende Partei

Die den Zertifikaten vertrauenden Parteien (Dritte)sind dafür verantwortlich, dass sie Folgendes verstehen:

• die ordnungsgemässe Benutzung von öffentlichen kryptografischen Schlüsseln und Zertifikaten; • die damit verbundenen Risiken; • sind verpflichtet, alle Bedingungen dieses CP/CPS-Dokuments und des Endbenutzer-Vertrags für Zertifikaten vertrauende

Parteien zu lesen und anzunehmen; • sind verpflichtet, die durch diese CA ausgestellte Zertifikate, auch die Verwendung von Revozierungsinformationen, gemäss dem

Validierungsverfahren für den Zertifizierungspfad unter Berücksichtigung aller kritischen Zertifikatserweiterungen zu überprüfen; • sind verpflichtet, nach ihrem besten Urteilsvermögen zu entscheiden, ob sie auf ein von dieser CA ausgestelltes Zertifikat

vertrauen, und zu beurteilen, ob solches Vertrauen angesichts der Umstände angemessen ist; • sind verpflichtet, eine Entscheidung darüber zu treffen, ob solches Vertrauen angesichts des Masses der Sicherheit und der

Vertrauenswürdigkeit, die das von dieser CA ausgestellte Zertifikat bietet, angemessen ist; • sind verpflichtet, den im vorgenannten Zertifikat angegebenen Grenzwert für Transaktionen zu überprüfen; • sind verpflichtet, alle Gesetze und Vorschriften einzuhalten, die das Recht der einem Zertifikat vertrauenden Partei betreffen, um

ein durch diese CA ausgestelltes Zertifikat bzw. damit verbundene Informationen zu exportieren, zu importieren bzw. zu verwenden. Die Verantwortung für die Einholung aller Lizenzen und Erlaubnisse für den Export, den Import bzw. die Verwendung eines durch diese CA ausgestellten Zertifikats bzw. damit verbundener Informationen liegt bei den Zertifikaten vertrauenden Parteien .

4.6 Zertifikatserneuerung (Certificate Renewal) Die Zertifikatserneuerung ist ein Prozess, bei dem dem Zertifikatsinhaber ein neues Zertifikat ausgestellt wird. Das Zertifikat enthält neue Gültigkeitsdaten, Inhaber- und Schlüsselinformationen bleiben jedoch gleich.

Sind die rechtlichen und aufsichtsrechtlichen Anforderungen, denen das Zertifikat unterliegt, und die Bestimmungen dieses CP/CPS-Dokuments erfüllt, so haben die Registrierungsstellen die Wahl:

• einen Registrierungsprozess für die Erneuerung von Zertifikaten dieser CA zu implementieren; • Änderungen der darin enthaltenen Informationen zuzulassen, sofern alle Änderungen validiert und autorisiert sind.

4.6.1 Voraussetzungen für die Zertifikatserneuerung (Certificate Renewal) Der Abonnent kann sich für die Zertifikatserneuerung entscheiden, wenn die folgenden Voraussetzungen erfüllt sind:

• Der Abonnent besitzt ein gültiges, von dieser CA ausgestelltes Zertifikat. • Alle Informationen im Zertifikat treffen weiterhin zu. Änderungen bezüglich des Zertifikatsinhabers sind validiert und

ordnungsgemäss autorisiert. • Die Identitätsüberprüfung liegt weiterhin innerhalb des Zeitrahmens, der gemäss den rechtlichen und aufsichtsrechtlichen

Anforderungen für die betreffende Art von Zertifikat gilt.

4.6.2 Antragsberechtigte für die Zertifikatserneuerung Die Erneuerung kann nur vom Zertifikatsinhaber beantragt werden. Zur Erneuerung eines Zertifikats der Art [QC] ist es rechtlich erforderlich, dass der Abonnent den Erneuerungsantrag mit diesem Zertifikat digital signiert.

4.6.3 Bearbeitung von Anträgen auf Zertifikatserneuerung Der Prozess für die Bearbeitung von Neuanträgen wird wie folgt geändert:

• Die Identifizierung des Antragstellers wird durch die Verifizierung der digitalen Signatur auf dem Antragsformular ersetzt. • Die Validierungsergebnisse früherer Anträge wird als gültig erachtet, wenn sich die validierten Informationen nicht geändert

haben. • Sämtliche Daten, die sich geändert haben, müssen genauso validiert werden, wie es bei einem Neuantrag erforderlich wäre.

4.6.4 Mitteilung der Ausstellung eines neuen Zertifikats an den Zertifikatsinhaber Die Registrierungsstellen müssen dieselben Mitteilungsprozesse befolgen wie bei einem neu beantragten Zertifikat.



4.6.5 Konkludente Annahme eines Erneuerungszertifikats Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.

4.6.6 Veröffentlichung eines Erneuerungszertifikats durch die CA Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.

4.6.7 Mitteilung der Zertifikatsausstellung durch die CA an andere Rechtspersonen Die Registrierungsstellen müssen dieselben Mitteilungsprozesse befolgen wie bei einem neu beantragten Zertifikat.

4.7 Zertifikatserneuerung (Re-Key) Die Re-Key-Zertifikatserneuerung ist ein Prozess, bei dem ein Abonnent automatisch ein neues Zertifikat erhält, wenn der Besitz des Schlüssels für das alte Zertifikat nachgewiesen werden kann. Das sich daraus ergebende Zertifikat enthält neue Gültigkeitsdaten und ein neues Schlüsselpaar, die Inhaberinformationen bleiben jedoch gleich.

Sind die rechtlichen und aufsichtsrechtlichen Anforderungen, denen das Zertifikat unterliegt, und die Bestimmungen dieses CP/CPS-Dokuments erfüllt, so haben die Registrierungsstellen die Wahl:

• einen Registrierungsprozess für die Re-Key-Erneuerung von Zertifikaten dieser CA zu implementieren; • Änderungen der darin enthaltenen Informationen zuzulassen, sofern alle Änderungen validiert und autorisiert sind.

4.7.1 Voraussetzungen für die Zertifikatserneuerung (Certificate Re-Key) Der Abonnent kann sich für die Re-Key-Zertifikatserneuerung entscheiden, wenn die folgenden Voraussetzungen erfüllt sind:

• Der Abonnent besitzt ein gültiges, von dieser CA ausgestelltes Zertifikat. • Alle Informationen im Zertifikat treffen weiterhin zu. Änderungen bezüglich des Zertifikatsinhabers sind validiert und

ordnungsgemäss autorisiert. • Die Identitätsüberprüfung liegt weiterhin innerhalb des Zeitrahmens, der gemäss den rechtlichen und aufsichtsrechtlichen

Anforderungen für die betreffende Art von Zertifikat gilt.

4.7.2 Antragsberechtigte für die Zertifizierung eines neuen öffentlichen Schlüssels Die Re-Key-Erneuerung kann nur vom Zertifikatsinhaber beantragt werden. Zur Erneuerung eines Zertifikats der Art [QC] ist es rechtlich erforderlich, dass der Abonnent den Erneuerungsantrag mit diesem Zertifikat digital signiert.

4.7.3 Bearbeitung von Anträgen auf Re-Key-Zertifikatserneuerung Der Prozess für die Bearbeitung von Neuanträgen wird wie folgt geändert:

• Die Identifizierung des Antragstellers wird durch die Verifizierung der digitalen Signatur auf dem Antragsformular ersetzt. • Die Validierungsergebnisse früherer Anträge wird als gültig erachtet, wenn sich die validierten Informationen nicht geändert

haben. • Sämtliche Daten, die sich geändert haben, müssen genauso validiert werden, wie es bei einem Neuantrag erforderlich wäre.


4.7.5 Konkludente Annahme eines Re-Key-Erneuerungszertifikats Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.

4.7.6 Veröffentlichung des Re-Key-Zertifikats durch die CA Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.




4.8 Zertifikatsänderung Die Zertifikatsänderung ist der Prozess, durch den ein Abonnent ein Zertifikat mit geänderten Inhaberinformationen beantragt. Die Annahme von Anträgen auf Zertifikatsänderungen steht im Ermessen der Registrierungsstellen.

4.8.1 Voraussetzungen für die Zertifikatsänderung Der Abonnent kann sich für die Zertifikatsänderung entscheiden, wenn die folgenden Voraussetzungen erfüllt sind:

• Der Abonnent besitzt ein gültiges, von der „SwissSign Qualified Platinum CA“ ausgestelltes Zertifikat. • Alle personenbezogenen Informationen im Zertifikat treffen weiterhin zu. • Die Identitätsüberprüfung liegt noch in dem Zeitrahmen, der durch die zum liechtensteinischem Gesetz über elektronische

Signaturen ergangenen Verordnung vorgegebenen ist. • Sämtliche Informationen im Zertifikat sind genauso zu authentifizieren und zu autorisieren wie beim ursprünglichen Antrag. Dazu

gehört auch, dass alle für den ursprünglichen Antrag vorgelegten Unterlagen erneut vorzulegen sind.

4.8.2 Antragsberechtigte für die Zertifikatsänderung Änderungen dürfen nur vom Zertifikatsinhaber beantragt werden und der Antrag muss mit der qualifizierten Signatur des Zertifikats, dessen Änderung betragt wird, digital signiert sein.

4.8.3 Bearbeitung von Anträgen auf Zertifikatsänderung Der Prozess für die Bearbeitung von Neuanträgen wird wie folgt geändert:

• Die Identifizierung des Antragstellers wird durch die Verifizierung der digitalen Signatur auf dem Antragsformular ersetzt. • Alle sonstigen Prozessschritte sind in unveränderter Weise durchzuführen.


4.8.5 Konkludente Annahme eines geänderten Zertifikats Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.

4.8.6 Veröffentlichung des geänderten Zertifikats durch die CA Die Registrierungsstellen müssen dieselben Prozesse wie bei einem neu beantragten Zertifikat befolgen.




4.9 Revozierung und Suspendierung von Zertifikaten

4.9.1 Voraussetzungen für die Revozierung/Sperrung Zertifikatsinhaber können ihre Zertifikat nach Belieben revozieren.

Die Registrierungsstellen müssen das Zertifikat eines Zertifikatsinhaber revozieren, wenn eine der folgenden Voraussetzungen erfüllt ist:

• wenn der private Schlüssel der ausstellenden CA oder einer ihrer übergeordneten CAs kompromittiert wurde; • wenn der Privatschlüsselspeicher (= kryptografischer Token) des Zertifikatsinhaber verloren wurde; • bei jeder Änderung hinsichtlich des Zertifikatsinhabers; • wenn das /O= Feld des Zertifikats nicht mehr gültig ist (zum Beispiel im Konkursfall); • wenn das /CN= Feld des Zertifikat nicht mehr gültig ist (zum Beispiel bei Namensänderung wegen Eheschliessung oder Aufgabe

der Domainregistrierung); • wenn das ausgestellte Zertifikat nicht den Bestimmungen in diesem CP/CPS-Dokument genügt; • wenn der Abonnent den vereinbarten Bedingungen bzw. sonstigen einschlägigen Gesetzen, Regeln und Vorschriften

zuwiderhandelt. Ausserdem kann die SwissSign AG jegliche solchen Vorfällen untersuchen und erforderlichenfalls rechtliche Schritte ergreifen.

4.9.2 Antragsberechtigte für die Zertifikatsrevozierung Anträge auf die Revozierung von Zertifikaten nimmt diese CA von folgenden Stellen an:

• vom Inhaber des Profils, mit dem der erste Registrierungsantrag gestellt wurde, • vom Inhaber des privaten Schlüssels, • vom autorisierten Vertreter der juristischen Person, von der der Inhalt des /O= Felds im Zertifikat genehmigt wurde, • von einer ordnungsgemäss autorisierten RAO, • von einer ordnungsgemäss autorisierten CAO, • von einem liechtensteinischen Gericht.

4.9.3 Verfahren für Revozierungsanträge Jedes dieser Verfahren kann zur Revozierung eines Zertifikat verwendet werden:

• Der Zertifikatsinhaber kann die ID-Managementfunktionen in dem Profil benutzen, mit dem der ursprüngliche Registrierungsantrag erstellt wurde.

• Der Inhaber eines privaten Schlüssels kann dieses Zertifikat durch eine SSL-Sitzung mit starker Authentifizierung online revozieren.

• Der Zertifikatsinhaber kann das vorausgefüllte Formular, das zum Ende des Registrierungsprozesses ausgehändigt wurde, dazu benutzen, die Revozierung offline schriftlich zu beantragen. Ein solcher Antrag ist nur dann autorisiert, wenn er mit der persönlichen Unterschrift des Zertifikatsinhabers der den Antrag gestellt hat versehen ist, ein Identitätsnachweis beigefügt ist (wie in Kapitel 3.2.3 beschrieben) und die Zusendung per Einschreiben erfolgt.

• Der Zertifikatsinhaber kann die Geschäftsstelle der RA persönlich aufsuchen und dort offline die Revozierung des Zertifikats beantragen. Der Abonnent muss dafür ein gültigen Identifikationsdokument vorlegen.

Die Offline-Verfahren zur Revozierung dauern in der Regel einige Tage länger als Online-Revozierungen. Der Abonnent trägt die volle Verantwortung für sämtliche Verzögerungen, die sich durch das von ihm gewählte Revozierungsverfahren ergeben.

4.9.4 Bearbeitungszeit für Revozierungsanträge Wenn die in den Kapiteln 4.9.1 und 4.9.2 genannten förmlichen Voraussetzungen erfüllt sind, wird die Registrierungsstelle die Revozierungsanträge sobald wie praktisch möglich und ohne unnötige Verzögerung bearbeiten.



4.9.5 Erledigungsfrist für die Bearbeitung des Revozierungsantrags durch die CA Der Zeitraum, innerhalb dessen die CA den Revozierungsantrag bearbeiten muss, ist im CP/CPS-Dokument der Root-CA („SwissSign Platinum CP/CPS-Dokument“) angegeben.

Sollten keine Online-Revozierungsmethoden zur Verfügung stehen, so muss der Abonnent die Offline-Methode verwenden. Jede Registrierungsstelle garantiert, dass Offline-Revozierungsanträge, sofern sie gemäss dem in 4.9.3 beschriebenen Verfahren eingereicht werden, ohne unnötige Verzögerung bearbeitet werden.

4.9.6 Pflicht der Zertifikaten vertrauenden Parteien zur Überprüfung der Revozierung Zertifikaten vertrauende Parteien, die mit durch diese CA ausgestellten Zertifikaten arbeiten, müssen diese Zertifikate stets überprüfen. Dazu gehört der Abgleich mit CRLs gemäss dem in RFC 5280 angegebenen Validierungsverfahren für den Zertifizierungspfad. Ausserdem sind, soweit angemessen, sämtliche kritischen Erweiterungen, die Schlüsselverwendung und die genehmigten technischen Berichtigungen (technical corrigenda) zu berücksichtigen.

4.9.7 Veröffentlichungsabstände für CRLs (soweit erforderlich)

CA Information Veröffentlichungsabstand

SwissSign Platinum CA (Root-CA) CRL Mindestens alle 365 Tage und binnen 24 Stunden nach jeder Revozierung. Zwischen der Revozierung eines Zertifikats und der Meldung an die CRL dürfen höchstens 24 Stunden vergehen.

Untergeordnete ausstellende CAs CRL Mindestens einmal alle 24 Stunden. Zwischen der Revozierung eines Zertifikats und der Meldung der Revozierung an die CRL dürfen höchstens 3 Stunden vergehen CRLs werden mit einer Gültigkeitsdauer von wenigstens 10 Tagen herausgegeben.

OCSP-Information Echtzeit. Der OCSP-Responder wird jede Zertifikatsrevozierung sofort nach Vornahme der Revozierung melden.

4.9.8 Maximale Latenzzeit für CRLs (soweit erforderlich) Die CRL dieser CA und aller ihrer untergeordneten ausstellenden CAs wird gemäss Kapitel 4.9.7 herausgegeben und unverzüglich veröffentlicht.

4.9.9 Verfügbarkeit der Online-Überprüfung der Revozierung/des Status Diese CA und alle ihre untergeordneten ausstellenden CAs unterstützen das OCSP-Protokoll für die Online-Revozierungsüberprüfung. Die URL des OCSP-Responders ist in jedem Zertifikat gespeichert (Feld „Authority Info Access“), das von einer der untergeordneten ausstellenden CAs der „SwissSign Platinum CA“ ausgestellt wurde.

4.9.10 Anforderungen an die Online-Überprüfung der Revozierung Die Details sind im CP/CPS-Dokument der jeweiligen ausstellenden CA angegeben.

4.9.11 Sonstige Formen der Revozierungsbekanntmachung Zurzeit gibt es keine sonstigen Formen der Revozierungsbekanntmachung.



4.9.12 Besondere Anforderungen bei Schlüsselkompromittierung Ein Abonnent, der weiss oder vermutet, dass die Integrität des privaten Schlüssels für sein Zertifikat kompromittiert wurde, muss:

• die Verwendung des Zertifikats sofort einstellen, • die Revozierung des Zertifikats sofort einleiten, • das Zertifikat auf allen Geräten und Systemen löschen, • alle Zertifikaten vertrauenden Parteien, die sich unter Umständen auf dieses Zertifikat stützen, in Kenntnis setzen.

Die Kompromittierung des privaten Schlüssels kann Auswirkungen auf die mit diesem Schlüssel geschützten Informationen haben. Der Abonnent muss entscheiden, wie mit den betroffenen Informationen zu verfahren ist, bevor der kompromittierte Schlüssel gelöscht wird.

4.9.13 Suspendierungsgründe SwissSign AG unterstützt die Suspendierung von Zertifikaten nicht.

4.9.14 Antragsberechtigte für die Zertifikatssuspendierung SwissSign AG unterstützt die Suspendierung von Zertifikaten nicht.

4.9.15 Verfahren für Suspendierungsanträge SwissSign AG unterstützt die Suspendierung von Zertifikaten nicht.

4.9.16 Beschränkungen der Suspendierungsfrist SwissSign AG unterstützt die Suspendierung von Zertifikaten nicht.

4.10 Statusabfragedienste in Bezug auf Zertifikate

4.10.1 Betriebliche Angaben Die von SwissSign angebotenen Dienste zur Abfrage des Zertifikatsstatus sind CRL und OCSP. Der Zugriff auf diese Dienste erfolgt durch die Website „swisssign.net“ und das Online-LDAP-Verzeichnis „directory.swisssign.net“. Die Abfragedienste bezüglich des Zertifikatsstatus liefern Informationen über den Status gültiger Zertifikate. Die Integrität und Authentizität der Statusinformationen sind durch eine digitale Signatur der betreffenden CA geschützt.

4.10.2 Dienstverfügbarkeit Die Zertifikatsstatusdienste stehen 24 Stunden täglich, 7 Tage die Woche zur Verfügung.

4.10.3 Optionale Features Zusätzliche Features sind weder in den von SwissSign angebotenen Zertifikatsstatusdiensten enthalten, noch für diese erforderlich.

4.11 Beendigung des Vertragsverhältnisses Die Beendigung des Vertragsverhältnisses erfolgt:

• durch Revozierung des letzten Zertifikats des betreffenden Zertifikatsinhaber, • durch Ablauf des letzten Zertifikats des betreffenden Zertifikatsinhaber.

Aus rechtlichen Gründen sind die SwissSign CA und alle Registrierungsstellen verpflichtet, sämtliche Zertifikatsinhaberdaten und Unterlagen für einen Zeitraum von mindestens 33 Jahren nach Beendigung eines Abonnements aufzubewahren.



4.12 Schlüsselhinterlegung und Schlüsselwiederherstellung

4.12.1 Politik und Praxen der Schlüsselhinterlegung und Schlüsselwiederherstellung [QC]: Die Schlüsselhinterlegung (Key Escrow) bei qualifizierten Zertifikaten nicht zulässig. [PA], [OA]: Aufgrund dieses CP/CPS-Dokuments betriebene Registrierungsstellen dürfen keine

Schlüsselhinterlegung anbieten. [PE], [OE]: Aufgrund dieses CP/CPS-Dokuments betriebene Registrierungsstellen dürfen Schlüsselhinterlegung

anbieten.

4.12.2 Politik und Praxen für Schutz und Wiederherstellung von Sitzungsschlüsseln Der Schutz von Sitzungsschlüsseln wird von dieser CA nicht unterstützt.

4.13 Nachsignieren Nachdem sich der Sicherheitswert des eingesetzten Signaturverfahren verringert hat, kann der Signator mit einem neuen Verfahren und Komponenten nachsignieren. Dabei ist das Anbringen eines sicheren Zeitstempel zwingend. Der Zeitpunkt der Nachsignatur darf nicht später sein, als der im ETSI Algorithmenpapier genannter Zeitpunkt.



5 Sicherheitsmassnahmen in Bezug auf Infrastruktur, Verwaltung und Betrieb

5.1 Physische Kontrollen • Zwei identische Klone der SwissSign Platinum CA Schlüssel werden offline in schweizerischen Bankschliessfächern aufbewahrt. • Die SwissSign CA Server befinden sich in einem kommerziellen Datenzentrum, das höchsten Sicherheitsanforderungen genügt. • Das Datenzentrum genügt den von der Eidgenössischen Bankenkommission aufgestellten Anforderungen für das Outsourcing

von IT-Security (99/2). • Das Datenzentrum wie auch dessen Betrieb werden jährlich durch die KPMG überprüft.

5.1.1 Lage und Bau Schweizerische Bank: Die schweizerischen Bankschliessfächer bestehen bei verschiedenen Banken. Eine befindet sich in

Zürich, die andere in Bern. Datenzentrum: Das elektronische Datenverarbeitungszentrum von SwissSign befindet sich in einem Datenzentrum im

Grossraum Zürich in der Schweiz.

5.1.2 Physischer Zutritt Schweizerische Bank: Der physische Zutritt wird nur einer Gruppe von drei Personen gestattet, von denen eine

Verwaltungsratsmitglied und eine Mitglied der Geschäftsführung von SwissSign sein muss. Die Ausweispapiere (Reisepass, Identitätskarte) und die persönliche Unterschrift jedes Mitarbeitenden werden durch das Personal der schweizerischen Bank überprüft. Das Personal der schweizerischen Bank hat keinen Zutritt zum Schliessfach.

Datenzentrum: Der physische Zutritt ist auf die Systemadministratoren und das autorisierte Datenzentrumspersonal beschränkt. Der Zutritt zur Einrichtung ist nur nach biometrischer und elektronischer Badge-Identifizierung möglich; innerhalb der Einrichtung werden alle Bewegungen durch Video und Zutrittskontrollpunkte aufgezeichnet.

5.1.3 Stromversorgung und Klimatisierung Schweizerische Bank: Erforderlichenfalls steht ein Arbeitsraum mit Stromversorgung zur Verfügung. Datenzentrum: Das Datenzentrum ist so klimatisiert, dass es eine den allgemein anerkannten besten Praktiken

entsprechende optimale Umgebung für das System bietet. Die Stromversorgung erfolgt durch zwei unabhängige lokale Stromversorger sowie durch Diesel-Notgeneratoren und Notbatterien.

5.1.4 Gefährdung durch Wasser Schweizerische Bank: Die beiden schweizerischen Banken befinden sich nicht im selben Gefährdungsbereich. Datenzentrum: Das Datenzentrum hat in allen Doppelböden Wassersensoren. Ein angemessenes Warnsystem ist

gewährleistet. Das Datenzentrum befindet sich in einem Bereich, der keine besondere Gefährdung aufweist.

5.1.5 Brandprävention und Brandschutz Schweizerische Bank: In beiden schweizerischen Banken gibt es Brandprävention und Brandschutz. Datenzentrum: Das Brandpräventionssystem ist ein fortschrittliches VESDA Rauch- und Gasfrühwarnsystem. Das

Datenzentrum hat ein auf Energen basierendes Feuerlöschsystem.



5.1.6 Datenträger Alle Daten, die für die offline bzw. online angebotenen CA-Dienste relevant sind, werden verschlüsselt und gespeichert.

Die Entsorgung von Speichermedien ist an ein externes Spezialunternehmen für die Löschung von Daten auf Speichermedien ausgelagert.

5.1.7 Abfallentsorgung Beim gewöhnlichen Betrieb der CA-Dienste entstehen im Datenzentrum keine Abfälle, die einer besonderen Entsorgung bedürfen.

5.1.8 Externes Backup Das System erzeugt in regelmässigen Abständen ein Backup sämtlicher digitalen Informationen (Daten, Code, Konfiguration usw.). Das Backup enthält alle für den CA-Dienst relevanten Informationen in verschlüsselter Form. Es wird eine CD oder DVD erstellt, die ausserhalb des Betriebsgeländes in einem Bankschliessfach aufbewahrt wird.

Dieser Prozess garantiert, dass sämtliche ausserhalb des Betriebsgeländes gespeicherten Daten aus der PKI-Umgebung voll verschlüsselt sind.

5.2 Verfahrenskontrollen

5.2.1 Sicherheitsrelevante Rollen Zur Gewährleistung der Aufgabentrennung werden die Rollen innerhalb der SwissSign CA Software durch drei getrennte Autorisierungsgruppen betrieben: Zugang, Betrieb und Audit. Jede Person kann nur Mitglied einer dieser drei Autorisierungsgruppen sein. Innerhalb dieser Autorisierungsgruppen gibt es verschiedene definierte Rollen (vgl. nachstehende Abbildung). Jemand, der einer der Gruppen zugewiesen ist, kann eine oder mehrere Rollen innerhalb derselben Autorisierungsgruppe innehaben.

Abbildung 3: Aufgabentrennung

5.2.1.1 Zugang (AXS & CAM) Die Netzwerkadministratoren (NA) haben volle Kontrolle über den Netzwerkzugang zu allen Systemen, die zusammen die SwissSign PKI definieren. NA haben keinen Zugang zur Applikationssoftware. Mit anderen Worten: Ein NA kann weder die CA Software noch die in dieser Software definierte CA oder die Daten in der CA „sehen“.

Der CA-Manager (CAM) definiert, schafft, ändert und löscht eine oder mehrere der eigentlichen CA- und RA-Systeme und hat somit die volle Kontrolle darüber. Der CAM verwendet die von der SA gestellte Hardware und Software.



5.2.1.2 Betrieb (OPS & RAO/CAO) Die Systemadministratoren (SA) haben volle Kontrolle über die Hardware, das Betriebssystem und die Applikationssoftware (zum Beispiel den CA-Server), jedoch nicht über die kryptografisch relevanten Informationen wie zum Beispiel den privaten Schlüssel der CA oder die CA selbst. Der SA ist autorisiert, die sicherheitsrelevanten Systeme der CA für Registrierung, Zertifikatserzeugung, Lieferung des Subject Device und Revozierungsverwaltung zu installieren, zu konfigurieren und zu pflegen.

Certification Authority Operators (CAO) können alle Zertifikate, Anträge und Profile wie auch eine Untermenge von Zertifizierungsstellen verwalten, so wie dies in den Regeln für den Operator-Zugang beschrieben ist. Der CAO arbeitet mit der CA in der vom CAM definierten Weise zusammen und kann die Definition der CA nicht ändern. Der CAO ist dafür verantwortlich, die sicherheitsrelevanten Systeme der CA im Alltagsbetrieb zu betreiben; er ist auch zu System-Backups und zur Systemwiederherstellung befugt.

Registration Authority Operators (RAO) können eine Untermenge von Zertifikaten und Anträgen verwalten, so wie dies in den RA Politiken und den Regeln für den Operator-Zugang beschrieben ist. Der RAO arbeitet mit der RA in der vom CAM definierten Weise zusammen und kann die Definition der RA nicht ändern. Der RAO ist dafür verantwortlich, die sicherheitsrelevanten Systeme der RA im Alltagsbetrieb zu betreiben; er ist auch zu System-Backups und zur Systemwiederherstellung befugt.

5.2.1.3 Audit Die Auditoren haben eine Leseberechtigung für alle Komponenten der SwissSign CA, um überprüfen zu können, dass der Betrieb dieser Komponenten den in diesem CP/CPS-Dokument niedergelegten Regeln und Vorschriften genügt. Alle Probleme werden dem Auditor automatisch durch das SwissSign PKI System gemeldet. Der Auditor ist autorisiert, Archive und Audit-Logs sämtlicher sicherheitsrelevanten Systeme der CA anzusehen und zu pflegen. Der Auditor hat keine direkten operativen Fähigkeiten, muss jedoch die Geschäftsführung von SwissSign über alle bei den Prozessen festgestellten Unregelmässigkeiten informieren.

5.2.2 Anzahl der für jede Aufgabe erforderlichen Personen Der Betrieb der „SwissSign Platinum CA“ und ihrer untergeordneten ausstellenden Zertifizierungsstellen (CAs) ist völlig rollenbezogen; die Mindestanforderungen an die Mitarbeiterzahl sind daher:

• Zugang: 2 Mitarbeitende für die Konfiguration des Netzwerkzugangs und Aufgaben im Bereich der Pflege / Verwaltung der CA • Betrieb: 2 Mitarbeitende für die Systemadministration, RA und den CA-Betrieb • Audit: 1 Auditor

Der Zugang zum Certificate Store und allen kryptografisch relevanten Aspekten sämtlicher CAs (Signing Operations) ist nach dem Vier-Augen-Prinzip nur zwei gemeinsam handelnden Personen möglich.

5.2.3 Identifizierung und Authentifizierung für jede Rolle Innerhalb der CA Software erfolgt die Identifizierung und Authentifizierung für sämtliche Rollen mittels SwissSign Zertifikaten.

5.2.4 Aufgabentrennung erfordernde Rollen Zur Gewährleistung der in Abschnitt 5.2.1 beschriebenen strikten Aufgabentrennung müssen Rollen, die sich auf Zugang, Betrieb bzw. Audit beziehen, von verschiedenen natürlichen Personen ausgeübt werden.

5.3 Personalbezogene Kontrollen

5.3.1 Anforderungen in Bezug auf Qualifikationen, Erfahrung und Sicherheitsüberprüfung Die SwissSign AG stellt sehr hohe Anforderungen an die Fähigkeiten ihrer Mitarbeitenden.

Eine Tätigkeit in einer den „Zugang“ betreffenden Rolle kommt nur für Mitarbeitende infrage, die Expertenwissen zu TCP/IP-Netzwerken, Unix-Betriebssystemen und PKI-Technologie, Konzepten und Applikationen nachweisen können.

Eine Tätigkeit in einer den „Betrieb“ betreffenden Rolle kommt nur für Mitarbeitende infrage, die Expertenwissen zu PKI-Technologie und PKI verwendenden Applikationen nachweisen können. Ausserdem müssen diese Mitarbeitenden über eine hohe Sozialkompetenz und ein gutes Verständnis von PKI-Prozessen verfügen.

Eine Tätigkeit in einer das „Audit“ betreffenden Rolle kommt nur für Mitarbeitende infrage, die Expertenwissen zu TCP/IP-Netzwerken, Unix-Betriebssystemen, PKI-Technologie und PKI verwendenden Applikationen sowie ein gutes Verständnis von PKI-Prozessen und eine hohe Sozialkompetenz nachweisen können.



Die Zuordnung der Rolle „RAO“ kommt nur für Mitarbeitende infrage, die aufgrund ihrer Ausbildung über ein gutes Verständnis allgemeiner Sicherheitsbelange und der für diese Rolle relevanten PKI-Prozesse verfügen.

Alle Mitarbeitenden von SwissSign müssen ein gutes Verständnis allgemeiner Sicherheitsbelange sowie Expertenwissen insbesondere im Hinblick auf IT-Sicherheit nachweisen. In sicherheitsrelevanten Rollen tätiges Personal von SwissSign wird förmlich durch für die Sicherheit verantwortliche Führungskräfte bestellt.

Neue Mitarbeitende müssen vor der Arbeitsaufnahme bei der SwissSign AG Geheimhaltungserklärungen (NDA) abgeben sowie schriftlich ihre Unabhängigkeit versichern.

5.3.2 Verfahren für Hintergrund-Überprüfungen Hinsichtlich dieser CA überprüft die SwissSign AG den Hintergrund ihrer Mitarbeitenden, um sicherzustellen, dass die Mitarbeitenden nicht vorbestraft sind.

Hinsichtlich dieser CA wird die SwissSign niemanden anstellen, der wegen eines Verbrechens oder einer sonstigen Straftat verurteilt wurde, die seine Eignung für die betreffende Stelle beeinträchtigen könnte. Die Mitarbeitenden haben erst dann Zugang zu den sicherheitsrelevanten Funktionen, wenn alle erforderlichen Überprüfungen vorgenommen wurden. Die SwissSign AG wird jeden Bewerber auffordern, die betreffenden Informationen beizubringen; Bewerber, die diese Informationen verweigern, werden abgelehnt.

5.3.3 Anforderungen an die Schulung Die Mitarbeitenden der SwissSign AG müssen nachweisen, dass sie die für ihre Position erforderlichen Fähigkeiten erworben haben. Soweit ihnen Fähigkeiten fehlen, wird dem durch geeignete Schulungsmassnahmen abgeholfen.

Im Laufe des Jahres gibt es mindestens ein Treffen des Chief Security Officer, des Human Resource Officer und der Mitarbeitenden. Der Ablauf des Treffens ist demjenigen am ersten Arbeitstag ähnlich. Die Themen, um die es geht, sind die Informationssicherheit betreffende Fragen und die Rolle der Mitarbeitenden.

5.3.4 Weiterbildung – Häufigkeit und Anforderungen Die Weiterbildung der Mitarbeitenden erfolgt nach Bedarf, abhängig von den Bedürfnissen der Organisation bzw. der einzelnen Mitarbeitenden.

5.3.5 Häufigkeit und Sequenz der Job Rotation Die Job Rotation von Mitarbeitenden erfolgt nach Bedarf, abhängig von den Bedürfnissen der Organisation oder auf Antrag einzelner Mitarbeitender.

5.3.6 Sanktionen für unautorisierte Handlungen Die SwissSign AG behält sich das Recht vor, unautorisierte Handlungen im vollsten nach schweizerischem Recht zulässigen Umfang strafrechtlich zu verfolgen.

5.3.7 Anforderungen an unabhängige Vertragspartner Bewerber für Rollen in den Bereichen Zugang, Betrieb oder Audit müssen über die üblichen Unterlagen hinaus: • ihre Qualifikationen auf dieselbe Weise nachweisen wie internes Personal (vgl. Kapitel 5.3.1), • zusätzlich zur Geheimhaltungsvereinbarung in Bezug auf Vertragsverhältnisse mit externen Vertragspartnern in einer

gesonderten Geheimhaltungserklärung (NDA) einen Strafregisterauszug ohne Eintragungen vorlegen.

5.3.8 Dokumente für das Personal Am ersten Arbeitstag erhalten alle Mitarbeitenden von SwissSign ein Mitarbeiterhandbuch und Zugang zu den Sicherheitsgrundsätzen, dem Sicherheitskonzept, den Regeln für die persönliche Sicherheit am Arbeitsplatz und den Risikomanagementunterlagen von SwissSign. Es wird erwartet, dass jeder Mitarbeitende alle diese Dokumente in der ersten Woche seines Beschäftigungsverhältnisses mit der SwissSign AG liest und versteht.

5.4 Audit-Logging-Verfahren Die SwissSign CA Software ist so gebaut, dass alle Ereignisse in der SwissSign Platinum CA erfasst werden. Das Journal ist in der SwissSign CA Datenbank gespeichert und der Zugriff darauf erfolgt durch die SwissSign CA Internetschnittstelle.



5.4.1 Art der erfassten Ereignisse Die folgenden Ereignisse werden im CA-Log erfasst:

• Neuanträge auf Zertifikate • Abgelehnte Zertifikatsanträge • Kontoverstösse • Zertifikatssignierung • Zertifikatsrevozierung • Anmeldung zu Benutzerkonten • CRL-Signierung • CA-Rollover • Zertifikatsablauf • Download/Installation von Zertifikaten

Die obige Liste ist keine abschliessende Aufzählung, sondern auf Ereignisse beschränkt, die sich direkt auf das Zertifikatsmanagement oder sicherheitsrelevante Funktionen beziehen. Nicht darin aufgeführt sind insbesondere technische Ereignisse, die anderswo erfasst werden.

5.4.2 Frequenz der Log-Analyse Log-Dateien werden kontinuierlich verarbeitet und monatlich durch den Chief Security Officer (CSO) überprüft. Der Audit-Bericht umfasst die folgenden Aspekte:

• Liste der durchgeführten Audits mit Angabe der Ergebnisse der Überprüfung für jeden einzelnen Punkt, • Liste der nach dem Audit noch offenen Punkte, mit Angaben zu Status, Eskalation, Erledigungsfrist, verantwortlicher

Person/Organisation, • Prioritätenliste der zu ergreifenden Massnahmen.

5.4.3 Aufbewahrungszeitraum für Audit-Logs Die Journalinformationen in der „SwissSign Platinum CA“ Datenbank werden niemals gelöscht.

5.4.4 Schutz des Audit-Log Mitarbeitenden, die zur Erledigung ihrer Aufgaben Zugriff auf die Journalinformationen benötigen, erhalten eine Leseberechtigung. Dieser Zugriff kann den folgenden Rollen gewährt werden:

• Auditor • RAO • CAO • CAM

Das Journal wird in der Datenbank gespeichert und der Zugriff auf die Datenbank ist durch die CA Applikation sowie durch spezielle Sicherheitsmassnahmen auf Betriebssystemebene vor unbefugten Zugriffen geschützt.

5.4.5 Backup des Audit-Log Als integraler Bestandteil der SwissSign CA Datenbank ist das Journal Teil des täglichen Backup. Die gesamte Datenbank ist sowohl auf der Festplatte als auch auf den Backup-Datenträgern verschlüsselt. Nur Mitarbeitende in der Rolle eines OPS haben Zugriff auf die Backup-Datenträger.



5.4.6 Überwachungsprotokollsystem (intern / extern) Das Audit-Log bzw. Journal ist integraler Bestandteil der SwissSign CA Software.

5.4.7 Benachrichtigung bei schwerwiegenden Ereignissen Die SwissSign AG behält sich das Recht vor, je nach der Schwere eines Protokolleintrags den Zertifikatsinhaber bzw. verantwortlichen RA über das Ereignis, den Protokolleintrag bzw. die Folgen des Ereignisses zu benachrichtigen.

5.4.8 Schwachstellenuntersuchungen Diese CA und alle ihre untergeordneten ausstellenden CAs werden ständig (24x7) überwacht, und alle Versuche, sich unbefugten Zugang zu jeglichen Diensten zu verschaffen, werden protokolliert und analysiert. Die SwissSign AG behält sich das Recht vor, solche erfolgreichen oder gescheiterten Versuche den schweizerischen Behörden zu melden.

5.5 Archivierung

5.5.1 Art der archivierten Aufzeichnungen Die folgenden Aufzeichnungen werden archiviert:

• Tägliches Backup aller Informationen, die diese CA und ihre untergeordneten ausstellenden CAs erstellen • Journal • Registrierungsinformationen von Endanwendern

5.5.2 Aufbewahrungszeitraum für archivierte Informationen Archivierte Informationen werden gemäss Kapitel 4.11 mindestens 11 Jahre über das Ende des Abonnement hinaus aufbewahrt.

5.5.3 Schutz des Archivs Das Archiv wird wie folgt geschützt:

• Der Zugriff auf archivierte Informationen ist nur den Mitarbeitenden gestattet, die gemäss dem in 5.2 dargestellten Rollenmodell befugt sind.

• Schutz vor Veränderungen: Archive digitaler Daten sind digital signiert, um unbemerkte Veränderungen zu verhindern. • Schutz vor Datenverlust: Die RA muss sicherstellen, dass stets mindestens zwei Kopien der archivierten Daten zur Verfügung

stehen. Die Speicherorte müssen für diesen Zweck geeignet sein und physischen Schutz und Zugangskontrollen vorsehen. • Schutz vor Verschlechterung der Datenträger, auf denen das Archiv gespeichert ist. Digitale Daten sind in regelmässigen

Abständen auf neue Datenträger zu übertragen. • Schutz vor dem Veralten von Hardware, Betriebssystemen und anderer Software. Im Rahmen des Archivs werden die Hardware

(soweit erforderlich), die Betriebssysteme bzw. sonstige Software archiviert, um jederzeit den Zugriff darauf sowie die Nutzung der archivierten Aufzeichnungen zu gestatten.

5.5.4 Sicherungsverfahren für Archivdaten Archivierte Daten werden extern an einem sicheren und für Archivierungszwecke geeigneten Ort gespeichert.

5.5.5 Anforderung an Zeitstempel für Aufzeichnungen Alle Aufzeichnungen in der Datenbank und in Log-Dateien werden mit einem Zeitstempel versehen, für welchen auf die Systemzeit bei Aufzeichnung des Ereignisses abgestellt wird.

Die Systemzeit ist auf allen Servern mit der Zeitquelle der SwissSign Zeitstempel-Dienststelle oder einer anderen amtlichen Zeitquelle synchronisiert.

Für alle Aufzeichnungen, die manuell durch Scanning von Dokumenten erstellt werden, wird der Zeitstempel mit dem SwissSign TSA Service erstellt.



5.5.6 Archivierungssystem (intern oder extern) Diese CA und alle ihre untergeordneten ausstellenden CAs verwenden SwissSigns internes Archivierungssystem.

5.5.7 Verfahren für Abrufung und Überprüfung archivierter Daten Auf gerichtliche Anordnung hin wird eine hochwertige Kopie der archivierten Informationen angefertigt und das Original vorübergehend dem Gericht überlassen. Nach Rückgabe der Originaldaten wird die hochwertige Kopie vernichtet. Dieser Prozess wird protokolliert und durch Audit überprüft.

5.6 Schlüsselwechsel Die SwissSign AG wird alle Schlüssel untergeordneter ausstellender CAs in regelmässigen Abständen auswechseln. Alle Zertifikate solcher untergeordneten ausstellenden CAs können auf der Website swisssign.net sowie im öffentlichen Verzeichnis directory.swisssign.net heruntergeladen werden. Diese CA-Zertifikate werden direkt durch die langlebigen Vertrauensanker (Root-CA) der SwissSign PKI signiert.

5.7 Kompromittierung und Notfallwiederherstellung

5.7.1 Verfahren bei Vorfällen und Kompromittierung SwissSign hat für das Managen aller betrieblichen Prozesse das ITIL Best Practices Modell übernommen:

• Alle eingehenden Anforderungen von Serviceeinsätzen gehen beim Service Desk ein, wo ihr Schweregrad beurteilt wird. • Ziel des Vorfallmanagements ist es, den Normalbetrieb baldmöglichst wieder herzustellen. • Wiederholt eintretende Vorfälle oder schwerwiegende Vorfälle werden in den Problemmanagementprozess eingegeben. Ziel ist

es, die eigentliche Ursache des Problems zu finden und weiteren Problemen vorzubeugen.

SwissSign hat einen Geschäftskontinuitätsplan (Business Continuity Management Plan) für das Krisen- bzw. Katastrophenmanagement. Wenn dieser Plan in Aktion tritt, werden die SwissSign-Managementaufgaben durch die Task Force Business Continuity (TFBC) übernommen, bis die Krise bewältigt und die TFBC aufgelöst ist.

Die TFBC hat Handlungspläne für die folgenden Ereignisse:

• Verlust einer Rechenanlage • Kompromittierung eines Systems oder Servers • Kompromittierung eines CA-Schlüssels • Kompromittierung eines Algorithmus

Wird eine Krise oder Katastrophe erklärt, so wird SwissSign dies dem Verwaltungsrat, den liechtensteinischen Behörden sowie der Aufsichtstelle melden.

5.7.2 Beschädigung von Rechenanlagen, Software bzw. Daten Diese CA und alle ihre untergeordneten ausstellenden CAs implementieren voll redundante Serversysteme. Hardwaredefekte werden nur jeweils ein solches System betreffen, so dass ein redundantes System dessen Aufgaben übernehmen und volle Funktionalität bieten kann.

Der Masterserver dieser CA und ihrer untergeordneten ausstellenden CAs ist Teil eines täglichen Backup-Prozesses.

5.7.3 Verfahren bei Kompromittierung des privaten Schlüssels einer juristischen Person Besteht der Verdacht, dass der private Schlüssel dieser CA oder einer ihrer untergeordneten ausstellenden CAs kompromittiert wurde, ist die Geschäftsführung der SwissSign AG sofort zu verständigen. Die folgende Massnahmen werden ergriffen:

• Das CA-Zertifikat wird revoziert. • Die SwissSign AG setzt die Aufsichtsstellen von jeglicher Kompromittierung von Vertrauensankern in Kenntnis. • Alle Zertifikatsinhaber mit Zertifikaten, die von einer revozierten CA oder einer ihrer untergeordneten CAs ausgestellt wurden,

werden baldmöglichst per E-Mail informiert. • Alle Zertifikatsinhaberzertifikate werden revoziert und es werden neue Listen der für ungültig erklärten Zertifikate (CRLs)

ausgegeben.



• Die Ursache der Schlüsselkompromittierung wird festgestellt und behoben. • Die revozierte CA erzeugt ein neues Schlüsselpaar und der sich daraus ergebende Zertifikatsantrag wird durch die übergeordnete

CA signiert. • Das neue CA-Zertifikat wird auf swisssign.com oder swisssign.net veröffentlicht. • Es werden neue CRLs ausgegeben.

Besteht der Verdacht, dass der private Schlüssel einer „SwissSign Zeitstempel-Einheit“ kompromittiert wurde, ist die Geschäftsführung der SwissSign AG sofort zu verständigen. Die folgende Massnahmen werden ergriffen:

• Das Zertifikat der TSA-Einheit wird revoziert. • Alle registrierten TSA-Zertifikatsinhaber werden baldmöglichst per E-Mail verständigt. • Es werden neue CRLs ausgegeben. • Die Ursache der Schlüsselkompromittierung wird festgestellt und behoben. • Es wird ein neues Schlüsselpaar erzeugt und der entsprechende Zertifikatsantrag wird durch die SwissSign Platinum CA signiert. • Das neue Zertifikat wird auf swisssign.com oder swisssign.net veröffentlicht.

5.7.4 Aufrechterhaltung des Systembetriebs nach einer Katastrophe Im Katastrophenfall nehmen Geschäftsführung und Verwaltungsrat der SwissSign AG eine Einschätzung der Situation vor und treffen alle Entscheidungen, die für die Einrichtung eines neuen, voll redundanten Serverstandort für SwissSign CA Server erforderlich sind.

Die Auswahl des neuen Serverstandorts erfolgt auf der Grundlage, dass dieser in der Lage ist, die Sicherheitsanforderungen von SwissSign im Hinblick auf die in diesem Dokument niedergelegten Anforderungen zu erfüllen. Für die Wiederherstellung der CA, ihrer Daten und Prozesse werden Offsite-Backups verwendet.

5.8 Einstellung der CA oder RA Bevor der SwissSign Platinum Certificate Service Provider (CSP) seine Dienste einstellt, sind die folgenden Massnahmen auszuführen:

• Die SwissSign AG wird die Einstellung ihrer Tätigkeit unverzüglich der Aufsichtstelle anzeigen • Wird die Einstellung der Zertifizierungsdienste beschlossen, so wird die SwissSign AG unverzüglich alle ihre Zertifikatsinhaber,

auf Zertifikate vertrauenden Parteien und ggf. sonstige Registrierungsstellen und CAs, mit denen Vereinbarungen oder jegliche sonstigen Geschäftsbeziehungen bestehen, in Kenntnis setzen. Die SwissSign AG ist bestrebt, die Revozierung von Zertifikaten mindestens 30 Tage im Voraus anzukündigen.

• Die SwissSign AG wird alle Registrierungsdienste sofort einstellen und ggf. durchsetzen, dass alle anderen Registrierungsstellen diese Dienste einstellen.

• Die SwissSign AG wird alle bestehenden gültigen Verträge sofort kündigen. Die Kündigung wird wirksam, sobald der gesamte Prozess der Geschäftseinstellung abgeschlossen ist. Die SwissSign AG wird ausserdem alle Rechte der Vertragsparteien, für die SwissSign AG zu handeln, sofort widerrufen.

Nach Ablauf einer Wartefrist von mindestens 30 Tagen werden die folgenden Handlungen ausgeführt:

• Die SwissSign AG wird alle Zertifikatsinhaberzertifikate revozieren. Die SwissSign AG wird eine Liste der für ungültig erklärten Zertifikate (CRLs) herausgeben. Die SwissSign AG wird alle Wurzelzertifikate (Root Certificates) revozieren.

• Die SwissSign AG wird die Verpflichtungen für die Pflege der Registrierungsinformationen, Zertifikatsstatus-Informationen und Event-Log-Archive für den betreffenden Zeitraum an die geeignete Organisation übertragen.

• Die SwissSign AG wird alle Sicherungskopien und hinterlegten Kopien der privaten Signierschlüssel der SwissSign Platinum CA vernichten, und zwar so, dass die privaten Schlüssel nicht wiedererlangt, zurückbehalten oder wieder benutzbar gemacht werden können.

• Alle Kopien von Dokumenten, die gemäss den Bestimmungen einschlägiger Rechtsvorschriften gespeichert werden müssen, sind gemäss den in diesem CP/CPS-Dokument geregelten Bedingungen und Fristen aufzubewahren.

Die Einstellung der Registrierungsstelle (RA) steht unter dem Vorbehalt der Verhandlungen mit anderen gleichwertigen RAs. Eine andere RA kann anbieten, die RA-Funktion für die Zertifikatsinhaber der den Betrieb einstellenden RA zu übernehmen. Unabhängig davon, ob eine RA die Rolle einer den Betrieb einstellenden RA übernimmt, wird die SwissSign AG die in diesem Dokument vorgeschriebene sichere Aufbewahrung von RA-Dokumenten garantieren.



6 Technische Sicherheitsmassnahmen

6.1 Erzeugung und Installation von Schlüsselpaaren

6.1.1 Schlüsselpaarerzeugung Das Schlüsselpaar für die „SwissSign Platinum CA“ (Root-CA-Schlüssel) ist in einer Offline-SSCD erzeugt worden, die zumindest den Anforderungen von FIPS 140-2 Level 3 genügt.

Die Schlüsselpaare für die untergeordneten ausstellenden CAs der SwissSign Platinum CA (Issuing-CA-Schlüssel) sind in einer Offline-SSCD erzeugt worden, die mindestens den Anforderungen von FIPS 140-2 Level 3 genügt. Danach sind die Schlüssel der ausstellenden CA (Issuing CA Keys) in eine Online-SSCD geklont worden, die mindestens den Anforderungen von FIPS 140-2 Level 3 genügt.

TSA-Schlüsselpaare werden in derselben sicheren Signaturerstellungseinheit (SSCD) erzeugt und verwaltet wie die Issuing-CA-Schlüssel. Es gelten dieselben Regeln.

Die Schlüsselpaare der Zertifikatsinhaber für qualifizierte und Signierzertifikate werden auf von SwissSign genehmigten kryptografischen Ausrüstungen (zum Beispiel Smart Card, USB-Reader) erzeugt.

6.1.2 Übermittlung privater Schlüssel an Zertifikatsinhaber Für private Schlüssel, die auf einer von SwissSign genehmigten sicheren kryptografischen Ausrüstung erzeugt werden, ist keine Übermittlung erforderlich.

6.1.3 Übermittlung öffentlicher Schlüssel an Zertifikatsaussteller Der Antragsteller leitet den öffentlichen Schlüssel als einen gemäss PKCS#10 formatierten Zertifikatsignierantrag der signierenden CA zu; dies geschieht auf einem sicheren SSL-verschlüsselten Kommunikationskanal.

6.1.4 Übermittlung des öffentlichen CA-Schlüssels an auf Zertifikate vertrauende Parteien Auf Zertifikate vertrauende Parteien können das Zertifikat der ausstellenden CA von der SwissSign Website herunterladen; dazu ist das Format PKCS#7 zu verwenden.

Das beim Zertifikatsinhaber eingehende Zertifikat enthält den öffentlichen Schlüssel der ausstellenden CA. Ausserdem enthält es die vollständige Kette der Zertifikate der hierarchischen SwissSign PKI mit allen öffentlichen Schlüsseln, die Teil der Vertrauenskette sind.

6.1.5 Schlüssellängen SwissSign befolgt die Empfehlungen zu Algorithmen und Schlüssellängen, die von den folgenden Institutionen herausgegeben werden:

NIST: SP 800-57 http://csrc.nist.gov

Bundesnetzagentur: Übersicht über geeignete Algorithmen http://www.bundesnetzagentur.de

Die „SwissSign Platinum CA“ verwendet einen 4096 Bit RSA-Schlüssel.

Die untergeordneten CAs verwenden einen 2048 Bit RSA-Schlüssel.

Alle ausstellenden CAs gestatten den Zertifikatsinhaber die Verwendung von RSA-Schlüsseln mit einer Länge von mindestens 1976 Bits, wenn die Empfehlungen 2048 Bit RSA-Schlüssel vorsehen.

6.1.6 Erzeugung öffentlicher Schlüssel und Qualitätssicherung Die Schlüsselpaare werden auf von SwissSign genehmigten sicheren kryptografischen Ausrüstungen erzeugt, wobei Parameter spezifiziert werden, damit sie alle Zertifizierungs- und Sicherheitsanforderungen erfüllen.

6.1.7 Verwendungszweck der Schlüssel (gemäss X.509 v3 Feld „keyUsage“) Der Signierschlüssel dieser CA und ihrer untergeordneten ausstellenden CAs sind die einzigen für die Signierung von Zertifikaten und CRLs zulässigen Schlüssel; die Bits für den Verwendungszweck der Schlüssel (keyCertSign und cRLSign) sind gesetzt.

mailto:[email protected]




Zertifikatsinhaber können sich von dieser CA-Zertifikate mit den folgenden Bits für den Verwendungszweck ausstellen lassen:

[QC]: nonRepudiation (qualifiziertes Zertifikat) [PA], [OA]: digitalSignature

Für Zertifikate, die nicht gemäss den SuisseID-Vorschriften ausgestellt werden, können die folgenden Schlüsselverwendungen hinzugefügt werden: nonRepudiation, keyAgreement

[PE], [OE]: keyEncipherment, dataEncipherment

Zertifikatsinhaber können sich von dieser CA-Zertifikate mit den folgenden erweiterten Schlüsselverwendungszwecken ausstellen lassen:

• Zeitstempel

6.2 Schutz privater Schlüssel und technische Sicherheitsmassnahmen für das kryptografische Modul

6.2.1 Standards und Sicherheitsmassnahmen für das kryptografische Modul In den folgenden Liste ist angegeben, wie die Anforderungen für die verschiedenen Benutzer der sicheren Signaturerstellungseinheit (SSCD) implementiert sind:

Root-CA-Schlüssel Die für CA-Schlüssel verwendete SSCD wird stets offline gehalten und genügt mindestens den Anforderungen von FIPS 140-2 Level 3.

Issuing-CA-Schlüssel Die für CA-Schlüssel verwendete SSCD genügt mindestens den Anforderungen von FIPS 140-2 Level 3. Diese Schlüssel sind online, wobei der Zugriff einer strengen Kontrolle gemäss dem Vier-Augen-Prinzip unterliegt.

TSA-Schlüssel Die für TSA-Schlüssel verwendete SSCD genügt mindestens den Anforderungen von FIPS 140-2 Level 3. Diese Schlüssel sind online, wobei der Zugriff einer strengen Kontrolle gemäss dem Vier-Augen-Prinzip unterliegt.

[QC] Zertifikatsinhaberschlüssel für von der „SwissSign Qualified Platinum CA“ ausgestellte Zertifikate müssen auf einer sicheren Signaturerstellungseinheit (SSCD) erzeugt und gespeichert sein, die der EAL 4+ Zertifizierung gemäss dem liechtensteinische Gesetz über elektronische Signaturen genügt.

[PA], [OA]: Zertifikatsinhaberschlüssel für Authentifizierungszwecke, die von der „SwissSign Personal Platinum CA“ oder der „Swiss Post Platinum CA“ ausgestellt werden, müssen auf einer Signaturerstellungseinheit (SSCD) erzeugt und gespeichert sein, die der EAL 4+ Zertifizierung genügt. Wird die SSCD in einer sicheren Datenverarbeitungsumgebung betrieben, so ist es zulässig, eine SSCD zu verwenden, die den Anforderungen von FIPS-140-2 Level 3 genügt.

[PE], [OE]: Zertifikatsinhaberschlüssel für Verschlüsselungszwecke können auf derselben SSCD oder in Software erzeugt werden.

6.2.2 Kontrolle des privaten Schlüssels durch mehrere Personen (n von m) In der folgenden Liste ist dargestellt, wie die Implementierung bei Kontrolle durch mehrere Personen erfolgt: Root-CA-Schlüssel Der physische und logische Zugriff auf Root-CA-Schlüssel ist nur möglich bei Einhaltung der ‚3 von 5‘-

Regel, d. h., dass mindestens 3 von 5 Personen anwesend sein müssen. Issuing-CA-Schlüssel Der Verwaltungszugriff auf diese Schlüssel ist nur gemäss dem Vier-Augen-Prinzip (2 von m) möglich.

Sobald die ausstellende CA (Issuing CA) einsatzfähig ist, kann der Signierbetrieb durch einen einzigen RA-Betreiber autorisiert werden.

TSA-Schlüssel Der Verwaltungszugriff auf diese Schlüssel ist nur gemäss dem Vier-Augen-Prinzip (2 von m) möglich. Sobald die TSA (Time Stamping Authority) einsatzfähig ist, ist der gesamte Signierbetrieb vollautomatisch.

[QC], [PA], [OA]: Der Registrierungsprozess stellt sicher, dass der Abonnent die einzige Person mit Zugriff auf die Schlüssel auf der Zertifikatsinhaber-SSCD ist.

[PE], [OE]: Der Registrierungsprozess stellt sicher, dass der Abonnent die einzige Person mit Zugriff auf die Schlüssel ist. Werden die Schlüssel durch Software erzeugt, so ist der Abonnent dafür verantwortlich, den Schutz der Schlüssel sicherzustellen.

6.2.3 Hinterlegung privater Schlüssel In der folgenden Liste ist dargestellt, wie die Hinterlegung privater Schlüssel implementiert wird:

Root-CA-Schlüssel Bei Root-CA-Schlüsseln gibt es keine Hinterlegung.



Issuing-CA-Schlüssel Bei Issuing-CA-Schlüsseln gibt es keine Hinterlegung. TSA-Schlüssel Bei TSA-Schlüsseln gibt es keine Hinterlegung. [QC], [PA], [OA]: Für Zertifikate, die diese CA zu Authentifizierungszwecken ausstellt, kann keine Hinterlegung privater

Schlüssel angeboten werden. [PE], [OE]: Für Zertifikate, die diese CA zu Verschlüsselungszwecken ausstellt, kann keine Hinterlegung privater

Schlüssel angeboten werden.

6.2.4 Backup privater Schlüssel In der folgenden Liste ist dargestellt, wie das Backup privater Schlüssel implementiert wird:

Root-CA-Schlüssel Für Root-CA-Schlüssel gibt es Sicherungskopien auf einer sicheren Signaturerstellungseinheit (SSCD), so dass diese wiederhergestellt werden können, falls der im Einsatz befindliche Schlüsselsatz durch eine schwere Katastrophe zerstört wird. Zur Wiederherstellung ist die Anwesenheit von 3 von 5 Personen erforderlich, damit diese physischen und logischen Zugang erhalten. Mindestens eine dieser Personen muss Mitglied des Verwaltungsrats der SwissSign AG sein.

Issuing-CA-Schlüssel Für Issuing-CA-Schlüssel wurden in einer sicheren Signaturerstellungseinheit (SSCD) Backups gemacht, so dass diese wiederhergestellt werden können, falls der im Einsatz befindliche Schlüsselsatz durch eine schwere Katastrophe zerstört wird. Zur Wiederherstellung ist die Anwesenheit von 3 von 5 Personen erforderlich, damit diese physischen und logischen Zugang erhalten.

TSA-Schlüssel Für TSA-Schlüssel gibt es keine Backups. [QC], [PA], [OA]: Alle Schlüssel werden auf der sicheren Signaturerstellungseinheit (SSCD) erzeugt und können nicht in

einem Backup gesichert werden. [PE], [OE]: Diese Schlüssel können ausserhalb einer sicheren Signaturerstellungseinheit (SSCD) erzeugt und

verwendet werden. Es wird dringend empfohlen, von privaten Schlüsseln für Verschlüsselungszwecken dienende Zertifikate Backups anzufertigen, um sich gegen Datenverlust zu schützen. Die SwissSign RA bietet Backups für private Schlüssel an. Das Schlüsselpaar wird in der Datenbank gespeichert und durch ein vom Zertifikatsinhaber gewähltes Passwort geschützt. Diese Schlüsselpaare werden auch in der SwissSign Datenbank gespeichert, die in Backups und Archiven gesichert wird.

6.2.5 Archivierung privater Schlüssel In der folgenden Liste ist dargestellt, wie die Archivierung privater Schlüssel implementiert wird:

Root-CA-Schlüssel Bei Root-CA-Schlüsseln gibt es keine Archivierung. Issuing-CA-Schlüssel Bei Issuing-CA-Schlüsseln gibt es keine Archivierung. TSA-Schlüssel Bei TSA-Schlüsseln gibt es keine Archivierung. [QC], [PA], [OA]: Alle Schlüssel werden auf der sicheren Signaturerstellungseinheit (SSCD) erzeugt und können nicht

extrahiert werden. [PE], [OE]: Diese Schlüssel können ausserhalb einer sicheren Signaturerstellungseinheit (SSCD) erzeugt und

verwendet werden. Es wird empfohlen, private Schlüssel für Verschlüsselungszwecken dienende Zertifikate zu archivieren, um sich gegen Datenverlust zu schützen. Die SwissSign RA bietet Zertifikatsinhaber die Möglichkeit, ihre privaten Schlüssel in Form einer PKCS#12 Datei herunterzuladen. Diese Datei können die Zertifikatsinhaber archivieren. Diese Schlüsselpaare werden auch in der SwissSign Datenbank gespeichert, die in Backups und Archiven gesichert wird.

6.2.6 Übermittlung privater Schlüssel in bzw. aus kryptografische(n) Module(n) In der folgenden Liste ist dargestellt, wie die Übermittlung privater Schlüssel implementiert wird:

Root-CA-Schlüssel Die Root-CA-Schlüssel können von der Master-SSCD auf andere SSCDs geklont werden. Dies geschieht in einem Kloning-Verfahren (Cloning Ceremony). Um den privaten Schlüssel auf dem Transport zu schützen, liefert die Ziel-SSCD den öffentlichen Schlüssel eines von ihr erzeugten Schlüsselpaars. Die Master-SSCD verschlüsselt den zu klonenden Schlüssel mit diesem öffentlichen Schlüssel. Somit ist nur die Ziel-SSCD in der Lage, das Schlüsselpaar von der Master-SSCD zu entschlüsseln.

Issuing-CA-Schlüssel Die Issuing-CA-Schlüssel werden auf dieselbe Weise geklont wie Root-Schlüssel. TSA-Schlüssel TSA-Schlüssel werden in der sicheren Signaturerstellungseinheit (SSCD) erzeugt und verwaltet. Sie

werden nicht übermittelt. [QC] Zertifikatsinhaberschlüssel, die auf der sicheren Signaturerstellungseinheit (SSCD) erzeugt wurden,

können nicht geklont werden. [PA], [OA]: Zertifikatsinhaberschlüssel, die auf einer sicheren Signaturerstellungseinheit (SSCD) erzeugt wurden, die

das Klonen von Schlüsseln unterstützt, können geklont werden. Der Kloning-Mechanismus muss die



erforderlichen Zertifizierungen erfüllen und garantieren, dass der private Schlüssel niemals ausserhalb der sicheren Signaturerstellungseinheit (SSCD) in Klartextform existiert.

[PE], [OE]: Die Zertifikatsinhaberschlüssel für Verschlüsselungszwecken dienende Zertifikate können an eine sichere Signaturerstellungseinheit übermittelt werden.

6.2.7 Speicherung privater Schlüssel in einem kryptografischen Modul In der folgenden Liste ist dargestellt, wie die private Schlüssel auf kryptografischen Modulen gespeichert werden:

Root-CA-Schlüssel Root-CA-Schlüssel werden in kryptografischen Modulen so gespeichert, dass sie nur bei ordnungsgemässer Aktivierung verwendet werden können.

Issuing-CA-Schlüssel Issuing-CA-Schlüssel werden in kryptografischen Modulen so gespeichert, dass sie nur bei ordnungsgemässer Aktivierung verwendet werden können.

TSA-Schlüssel TSA-Schlüssel werden in kryptografischen Modulen so gespeichert, dass sie nur bei ordnungsgemässer Aktivierung verwendet werden können.

[QC], [PA], [OA]: Zertifikatsinhaberschlüssel werden in kryptografischen Modulen so gespeichert, dass sie nur bei ordnungsgemässer Aktivierung verwendet werden können.

[PE], [OE]: Zertifikatsinhaberschlüssel für Verschlüsselungszwecken dienende Zertifikate können in einem kryptografischen Modul gespeichert werden oder auch nicht.

6.2.8 Aktivierung privater Schlüssel In der folgenden Liste ist dargestellt, wie private Schlüssel aktiviert werden:

Root-CA-Schlüssel Root-CA-Schlüssel werden mittels eines Benutzerschlüssels (physisch), einer Benutzer-PIN (Wissen) und dreier Authentifizierungsschlüssel (physisch) aktiviert.

Issuing-CA-Schlüssel Issuing-CA-Schlüssel werden mit rollenbezogener Zugriffskontrolle, für welche mindestens zwei Personen und eine SSCD-PIN erforderlich sind, aktiviert.

TSA-Schlüssel TSA-Schlüssel werden mit rollenbezogener Zugriffskontrolle, für welche mindestens zwei Personen und eine SSCD-PIN erforderlich sind, aktiviert.

[QC] Zertifikatsinhaberschlüssel werden mit einer Token-PIN und, im Falle des anerkannten qualifizierten Zertifikats, mit einer zweiten Authentifizierungs-PIN für den EAL 4 Certified Key Store aktiviert.

[PA], [OA]: Zertifikatsinhaberschlüssel werden mit einer Token-PIN aktiviert. [PE], [OE]: Zertifikatsinhaberschlüssel für Verschlüsselungszwecken dienende Zertifikate können in Software

Certificate Stores gespeichert und gemäss den Regeln und der Konfiguration, die für den jeweiligen Store gelten, aktiviert werden.

6.2.9 Deaktivierung privater Schlüssel In der folgenden Liste ist dargestellt, wie private Schlüssel deaktiviert werden:

Root-CA-Schlüssel Root-CA-Schlüssel können entweder durch Ausloggen aus der SSCD, durch Beenden der SSCD-Session, durch Entfernung des CA-Tokens aus dem Computer oder durch Herunterfahren des Systems deaktiviert werden.

Issuing-CA-Schlüssel Issuing-CA-Schlüssel können durch Beenden des Schlüssel-Daemon-Prozesses, durch Herunterfahren des CA-Serverprozesses oder durch Herunterfahren des Servers deaktiviert werden.

TSA-Schlüssel TSA-Schlüssel können durch Beenden des Schlüssel-Daemon-Prozesses, durch Herunterfahren des CA-Serverprozesses oder durch Herunterfahren des Servers deaktiviert werden.

[QC] Zertifikatsinhaberschlüssel werden deaktiviert, indem man die sichere Signaturerstellungseinheit (SSCD) aus dem Computer entfernt oder die Applikation, die Zugang zum SSCD hatte, beendet. Im Falle des anerkannten qualifizierten Zertifikats wird der Schlüssel nach jeder Benutzung automatisch deaktiviert.

[PA], [OA]: Zertifikatsinhaberschlüssel werden deaktiviert, indem man die sichere Signaturerstellungseinheit (SSCD) aus dem Computer entfernt oder die Applikation, die Zugang zum SSCD hatte, beendet.

[PE], [OE]: Zertifikatsinhaberschlüssel für Verschlüsselungszwecken dienende Zertifikate können in Software Certificate Stores gespeichert und gemäss den Regeln und der Konfiguration, die für den jeweiligen Store gelten, deaktiviert werden.

6.2.10 Vernichtung privater Schlüssel In der folgenden Liste ist dargestellt, wie private Schlüssel vernichtet werden:

Root-CA-Schlüssel Root-CA-Schlüssel werden durch Initialisierung der SSCD vernichtet.



Issuing-CA-Schlüssel Issuing-CA-Schlüssel werden durch Initialisierung der SSCD vernichtet. TSA-Schlüssel TSA-Schlüssel werden durch Initialisierung der SSCD vernichtet. [QC] Zertifikatsinhaberschlüssel können nur durch Vernichtung der SSCD vernichtet werden. [PA], [OA]: Zertifikatsinhaberschlüssel können nur durch Vernichtung der SSCD oder, wenn die SSCD diesen

Vorgang unterstützt, durch erneute Initialisierung des Key Store und aller Klon-Kopien im betreffenden Store vernichtet werden.

[PE], [OE]: Zertifikatsinhaberschlüssel für Verschlüsselungszwecken dienende Zertifikate können nur vernichtet werden, wenn sie wie Zertifikatsinhaberschlüssel für Authentifizierungszwecken dienende Zertifikate erzeugt und verwaltet wurden.

6.2.11 Güte von kryptografischen Modulen Die Mindestanforderungen an kryptografische Module sind in Kapitel 6.2.1 angegeben.

6.3 Sonstige Aspekte der Schlüsselpaarverwaltung

6.3.1 Archivierung öffentlicher Schlüssel Alle Zertifikate – und somit auch die öffentlichen Schlüssel aller Zertifikatsinhaber und aller CAs – werden online in einer Datenbank gespeichert. Diese Datenbank wird auf allen Servern im CA-Cluster repliziert. Diese Datenbank ist auch Teil des täglichen Backups. Zum Schutz der Daten in der Datenbank wird die Datenbank mit einem speziellen Backup-Schlüssel verschlüsselt, bevor sie im Backup gesichert wird.

Das verschlüsselte tägliche Backup wird auf einen Backup-Server kopiert, wo ein Jahr lang online darauf zugegriffen werden kann.

Die wöchentliche volle Sicherungskopie wird auf einen nicht überschreibbaren Datenträger kopiert und zu Archivierungszwecken in einem Bankschliessfach aufbewahrt. Archivierte Datenträger werden niemals vernichtet.

6.3.2 Gültigkeitsdauer von Zertifikaten und Benutzungszeiträume für Schlüsselpaare Für die von dieser CA ausgestellten Zertifikate gelten die folgenden Benutzungszeiträume:

• Die „SwissSign Platinum CA“ wie auch die Vertrauensanker-Zertifikate gelten 30 Jahre. Der Schlüsselwechsel erfolgt alle 15 Jahre.

• Zertifikate von ausstellenden CAs werden mit einer Höchstgültigkeitsdauer von 15 Jahren ausgestellt. • Der Rollover von CA-Zertifikaten erfolgt manuell und frühestens nach mindestens zwei Dritteln der Lebensdauer des jüngsten CA-

Zertifikats. • Die Lebensdauer von Endanwender-Zertifikaten kann gemäss Art. 12 Abs. 3 SigV eine maximale Gültigkeitsdauer von fünf

Jahren aufweisen. Ausserdem gilt für die PKI das die Lebensdauer des Endanwender-Zertifikaten das der ausstellenden CA 10 Tage unterschreiten muss.



6.4 Aktivierungsdaten

6.4.1 Erzeugung und Installation von Aktivierungsdaten Die Aktivierungsdaten der Root-CA-Schlüssel und der Issuing-CA-Schlüssel werden im Rahmen des Verfahrens für Vertrauensanker-Schlüssel (Trust Anchor Key Ceremony) erzeugt.

Aktivierungsdaten, die zum Schutz privater Schlüssel innerhalb von SwissSign genehmigter kryptografischer Ausrüstungen verwendet werden, werden gemäss den in diesem CP/CPS-Dokument niedergelegten Anforderungen erzeugt. Sie:

• müssen vom Zertifikatsinhaber erzeugt werden und dürfen nur ihm bekannt sein; • müssen aus mindestens sechs Zeichen bestehen, • dürfen nicht leicht zu erraten sein.

6.4.2 Schutz der Aktivierungsdaten Root-CA-Schlüssel Die Aktivierungsdaten sind über mehrere physische Schlüssel verteilt. Wer Inhaber eines Teils ist, muss

diesen Teil in einem privaten Schliessfach einer schweizerischen Bank aufbewahren. Issuing-CA-Schlüssel Die Aktivierungsdaten sind vertrauenswürdigen natürlichen Personen der SwissSign AG bekannt. Eine

Kopie ist in einem Schliessfach mit doppelter Zugangskontrolle hinterlegt. TSA-Schlüssel Die TSA-Schlüssel werden in derselben sicheren Signaturerstellungseinheit (SSCD) wie die Schlüssel der

ausstellenden CA erzeugt und verwaltet. Es gelten dieselben Regeln. QC, PA, OA, PE, OE: Die Zertifikatsinhaber sind verpflichtet, die Aktivierungsdaten zu allen Zeiten geheim zu halten.

6.4.3 Sonstige Aspekte der Aktivierungsdaten Die von SwissSign genehmigten kryptografischen Ausrüstungen und ihre Produktspezifikationen sind unter http://swisssign.com aufgeführt.

6.5 Sicherheitsmassnahmen für Computer Die CA-Server sind durch externe Firewalls geschützt, die allen unerwünschten Verkehr abweisen. Darüber hinaus sind die CA-Systeme gehärtet und mit einem Hochsicherheitsbetriebssystem ausgerüstet. Der SA-Zugang zum System wird nur über sichere und zugangsbeschränkte Protokolle mit Authentifizierung mittels starker öffentlicher Schlüssel gewährt.

6.5.1 Computerspezifische technische Anforderungen SwissSign hat einen mehrschichtigen Sicherheitsansatz, um die Sicherheit und Integrität der Computer, auf denen die SwissSign CA Software läuft, sicherzustellen. Die folgenden Kontrollen stellen die Sicherheit der von SwissSign betriebenen Computersysteme sicher:

• Sicheres („gehärtetes“) Betriebssystem • Softwarepakete werden nur installiert, wenn sie aus einem vertrauenswürdigen Software-Repositorium stammen • Minimale Netzwerkkonnektivität • Authentifizierung und Autorisierung für alle Funktionen erforderlich • Starke Authentifizierung und rollenbezogene Zugangskontrolle für alle wichtigen Funktionen • Festplatten- und Dateiverschlüsselung für alle relevanten Daten • Proaktives Patch-Management • Überwachung und Überprüfung aller Aktivitäten



6.5.2 Güte der Computersicherheit Die SwissSign AG hat ein Sicherheitsrahmenwerk geschaffen, welches die technischen Aspekte der Computersicherheit betrifft und regelt.

Die Systeme selbst und die auf diesen Systemen laufenden Dienste unterliegen gründlichen Überprüfungen und Tests (einschliesslich Penetrationstests).

Damit die Sicherheit ihrer Umgebung noch sicherer wird und auf dem Stand der Technik bleibt, betreibt die SwissSign AG einen Schwachstellenmanagementprozess (Vulnerability Management Process), der auch die Überwachung im Hinblick auf Sicherheitswarnungen von Lieferanten beinhaltet.

Die technischen Aspekte der Computersicherheit unterliegen regelmässigen Audits unter Aufsicht des Chief Security Officer (CSO).

6.6 Lebenszyklus der technischen Sicherheitsmassnahmen

6.6.1 Systementwicklungskontrollen Um die Qualität und Verfügbarkeit der SwissSign AG Software sicherzustellen, implementiert SwissSign das ITIL Modell und das Entwicklungsteam befolgt die folgenden Grundsätze:

• Alle Software wird im Source Code Control System gespeichert, das der Versionsverwaltung von Softwareversionen dient. • Es gibt eine regelmässiges Backup des Softwarearchivs, wobei eine Kopie extern gespeichert wird. • Es gibt eine Software-Lebenszykluskontrolle, die auf getrennten Umgebungen für Entwicklung, Test und Produktion basiert. Diese

Software-Lebenszykluskontrolle stellt die Einhaltung der Kontrollen und Checkpoints innerhalb der Organisation sicher. • In den internen Grundsätzen für die Softwareentwicklung sind die Standards und Prinzipien für die Softwareentwicklung und die

damit verbundenen Aufgaben niedergelegt.

6.6.2 Kontrollen in Bezug auf das Sicherheitsmanagement Systeme und Netzwerke werden kontinuierlich überwacht, um sicherzustellen, dass sie gemäss den angegebenen Sicherheitsgrundsätzen betrieben werden. Alle Prozesse werden gemäss dem einschlägigen Recht und den gesetzlichen Anforderungen protokolliert und überprüft.

6.6.3 Sicherheitsmassnahmen in Bezug auf den Lebenszyklus Bei der Entwicklung von Softwaresystemen werden die in den internen Grundsätzen für die Softwareentwicklung niedergelegten Prinzipien eingehalten. Diese Grundsätze sind Teil eines Sicherheitsmanagementprozesses, der die den Lebenszyklus betreffenden Aspekte der Sicherheitsmassnahmen betrifft.

6.7 Sicherheitsmassnahmen für Netzwerke Die Netzwerksicherheit basiert auf einem mehrschichtigen Zonenkonzept und die Firewall-Infrastruktur basiert auf einer Dual Vendor Strategie.

6.8 Zeitstempel Die SwissSign AG Liechtenstein bietet keinen Zeitstempeldienst an.



7 Profile für Zertifikat, Sperrlisten (CRL) und Online-Statusabfragen

Dieser Abschnitt enthält die Regeln und Richtlinien, die diese CA beim Ausfüllen/Aktualisieren von X.509 Zertifikaten und CRL-Erweiterungen befolgt.

7.1 Zertifikatprofil Diese CA stellt X.509 Version 3 Zertifikate gemäss PKIX aus. Die solches Zertifikat ist wie folgt strukturiert:

Zertifikatfeld Wert Anmerkung

Version X.509 Version 3 Vgl. Kapitel 7.1.1

Seriennummer Eindeutige Nummer Wird in der Liste der für ungültig erklärten Zertifikate (CRL) verwendet

Signaturalgorithmus-bezeichner

OID Vgl. Kapitel 7.1.3

Gültigkeitszeitraum Anfangsdatum, Enddatum

Informationen zum Inhaber des öffentlichen Schlüssels

Public-Key-Algorithmus, Inhaber des öffentlichen Schlüssels

Vgl. Kapitel 7.1.3

Erweiterungen X509V3 Erweiterungen Vgl. Kapitel 7.1.2

Signatur Zertifikatssignatur Vgl. Kapitel 7.1.3

7.1.1 Versionsnummer(n) Version der X.509 Zertifikate: Version 3.

7.1.2 Zertifikatserweiterungen Die Erweiterung „Authority Information Access“ ist optional; sie wird wie folgt von der ausstellenden CA abgeleitet:

• CA Aussteller – URL:http://swisssign.net/cgi-bin/authority/download/’<keyid of the issuing CA) • OCSP – URL:http://<ocsp server>/’keyid

Die Serveradresse ist von der ausstellenden CA abhängig; die folgenden OCSP-Responder-Adressen werden unterstützt:

• ocsp.swisssign.net • platinum- g2.ocsp.swisssign.net • platinum- g3.ocsp.swisssign.net

Die Erweiterung „Subject Alternative Name“ ist optional. Sie wird gemäss RFC 5280 hinzugefügt, wobei der Inhalt von den vom Zertifikatsinhaber mitgeteilten Angaben abhängig ist.

7.1.3 SwissSign Platinum CA Zertifikate für Generation 22 (G22) Die SwissSign Zertifikate der 2. Generation (G2) haben ein mit einem SHA-1 Hash-Algorithmus selbst signiertes Wurzelzertifikat.



7.1.3.1 Gegenstand der SwissSign Platinum CA Zertifikate für Generation 22

CA Type Subject Issuer

Root CA /CN=SwissSign Platinum CA – G2

/O=SwissSign AG

/C=CH

/CN=SwissSign Platinum CA – G2

/O=SwissSign AG

/C=CH

Issuing CA /CN=SwissSign LI Platinum CA 2016 – G22

/O=SwissSign AG

/C=LI


/O=SwissSign AG

/C=CH

7.1.3.2 Allgemeine Erweiterungen der SwissSign LI Platinum qualified CA Zertifikate für Generation 22

Extension Root CA Issuing CA Critical

basic Constraints CA: TRUE CA:TRUE, pathlen: 0 Y

key Usage Certificate Sign, CRL Sign Certificate Sign, CRL Sign Y

Subject Key Identifier

50:AF:00:CC:07:87:15:47:6F:38:C5:B4:65:D1:DE:95:AA:E9:DF:9C:CC

F0:22:25:E8:52:97:60:24:3E:6E:63:7E:5C:61:F2:1C:81:BF:C7:9E

Authority Key Identifier



Certificate Policies Policy: 2.16.756.1.89.1.1.1.1 CPS: http://repository.swisssign.com/

Policy: 2.16.756.1.89.1.1.7.1. CPS: http://repository.swisssign.com/SwissSign-LI-Platinum-CP-CPS.pdf

CRL Distribution Points

not included in Root CA certificate http://crl.swisssign.net/F02225E8529760243E6E637E5C61F21C81BFC79E

7.1.3.3 Erweiterungen der ausstellenden CA: SwissSign LI Platinum qualified CA Zertifikate 2016 –G22

Extension Attribute Values Comment

Certificate Policies Policy: : 2.16.756.1.89.1.1.1.1.7

CPS: http://repository.swisssign.com/SwissSign--Platinum-CP-CPS-R3.pdf

qcStatements OID: 0.4.0.1862.1.1 (QcCompliance) Dieses Zertifikat wird als qualifiziertes Zertifikat ausgestellt.

OID: 0.4.0.1862.1.4 (QcSSCD) Angabe, dass sich der private Schlüssel für den zertifizierten öffentlichen Schlüssel in einer sicheren Signaturerstellungseinheit (SSCD) befindet

http://repository.swisssign.com/SwissSign--Platinum-CP-CPS-R3.pdf

http://repository.swisssign.com/SwissSign--Platinum-CP-CPS-R3.pdf



7.1.3.4 SwissSign Platinum Endanwender-Zertifikate für die SwissSign LI Qualified Platinum CA 2016 – G22

Extension Attribute Values Anmerkung

Subject Data of Subscriber Vgl. Definitionen in Kapitel 1.6

Issuer Name /CN=SwissSign LI Qualified Platinum CA 2016 – G22

/O=SwissSign AG

/C=LI


F0:22:25:E8:52:97:60:24:3E:6E:63:7E:5C:61:F2:1C:81:BF:C7:9E

Vgl. Kapitel 7.1.3


http://crl.swisssign.net/<keyid> URLs der CRL-Verteilungspunkte (LDAP bzw. http)

Certificate Policies Policy: 2.16.756.1.89.1.1.7.1.1

CPS: http://repository.swisssign.com/SwissSign-LI-Platinum-CP-CPS.pdf

Der Benutzerhinweis kann produktspezifisch sein, muss aber mindestens einmal erscheinen.

Authority Information Access

http://platinum-g2-ocsp.swisssign.net/ F02225E8529760243E6E637E5C61F21C81BFC79E

URI zu OCSP-Responder und optionale URI zu CA-Ausstellerzertifikat


OID: 0.4.0.1862.1.2 (QcLimitValue) Grenzwert für Transaktionen in CHF („benutzerdefiniert“ und optional)


Subject Alternative Name

Alternativer Name des Zertifikatsinhaber: E-Mail-Adresse

Key Usage Non Repudiation Kritische Erweiterung

subjectDirectoryAttributes

Data of Subscriber Optional

7.1.4

http://repository.swisssign.com/SwissSign-LI-Platinum-CP-CPS.pdf




7.1.5 SwissSign Platinum CA Zertifikate für Generation 3 (G3) Die SwissSign Zertifikate der 3. Generation (G3) haben ein selbst signiertes Wurzelzertifikat mit SHA-2 Hash-Algorithmus.

7.1.5.1 Inhaber der SwissSign Platinum CA Zertifikate für Generation 3

CA Type Subject Issuer

Root CA /CN=SwissSign Platinum Root CA – G3

/O=SwissSign AG

/C=CH

/CN=SwissSign Platinum Root CA – G3

/O=SwissSign AG

/C=CH

Issuing CA /CN= SwissSign LI Qualified Platinum CA 2016 – G3

/O=SwissSign AG

/C=LI


/O=SwissSign AG

/C=CH

7.1.5.2 Allgemeine Erweiterungen der SwissSign Platinum CA Zertifikate für Generation 3

Extension Root CA Issuing CA Critical

basic Constraints CA: TRUE CA:TRUE, pathlen: 0 Y

key Usage Certificate Sign, CRL Sign Certificate Sign, CRL Sign Y

Subject Key Identifier

56:2A:3F:90:58:F4:17:5A:14:B2:D7:08:1B:85:5B:54:6A:54:1A:28

F0:0E:F5:B6:EA:FB:20:1A:7B:39:19:5B:27:AA:B3:84:B7:28:CC:37


56:2A:3F:90:58:F4:17:5A:14:B2:D7:08:1B:85:5B:54:6A:54:1A:28

56:2A:3F:90:58:F4:17:5A:14:B2:D7:08:1B:85:5B:54:6A:54:1A:28




not included in Root CA certificate http://crl.swisssign.net/ F00EF5B6EAFB201A7B39195B27AAB384B728CC37

7.1.5.3 Erweiterung des Wurzelzertifikats: SwissSign Platinum Root CA – G3 keine Ausnahmen





7.1.5.4 Erweiterungen der ausstellenden CA: SwissSign LI Platinum Qualified CA 2016 – G3

Extension Attribute Values Anmerkung



Benutzerhinweis: Ausdrücklicher Hinweis: Dies ist eine Zertifizierungsstelle, die qualifizierte Zertifikate gemäss dem liechtensteinischem Gesetz über elektronische Signaturen ausstellt.



7.1.5.5 SwissSign Platinum Endanwender-Zertifikate für SwissSign Qualified Platinum CA 2010 – G3

Inhaber Data of Subscriber Vgl. Definitionen in Kapitel 1.6

Issuer Name /CN=SwissSign LI Qualified Platinum CA 2016 – G3

/O=SwissSign AG

/C=LI


F00EF5B6EAFB201A7B39195B27AAB384B728CC37

Vgl. Kapitel 7.1.3


http://crl.swisssign.net/ F00EF5B6EAFB201A7B39195B27AAB384B728CC37

URLs der CRL-Verteilungspunkte (LDAP bzw. http)


CPS: http://repository.swisssign.com/SwissSign-LI-Platinum-CP-CPS.pdf Benutzerhinweis: Ausdrücklicher Hinweis: Dies ist ein qualifiziertes Zertifikat gemäss dem Gesetz über elektronische Signaturen.

Der Benutzerhinweis kann produktspezifisch sein, muss aber mindestens einmal erscheinen.

Authority Information Access

http://platinum-g3.ocsp.swisssign.net URI zu OCSP-Responder und optionale URI zu CA-Ausstellerzertifikat



Subject Alternative Name

Alternativer Name des Zertifikatsinhaber: E-Mail-Adresse







Key Usage Kein Widerruf (Non Repudiation) Kritische Erweiterung

subjectDirectoryAttributes

Daten des Zertifikatsinhaber Optional



7.1.6 Object Identifier für Algorithmen Die Algorithmen mit Object Identifier (OIDs), die durch diese CA und ihre untergeordneten ausstellenden CAs unterstützt werden, sind:

Algorithmus Object Identifier

Sha1WithRSAEncryption 1.2.840.113549.1.1.5

SHA2withRSAEncryption 1.2.840.113549.1.1.13

rsaEncryption 1.2.840.113549.1.1.4

7.1.7 Namensformen Die durch die untergeordneten ausstellenden Zertifizierungsstellen (CAs) dieser CA ausgestellten Zertifikate enthalten in den Feldern für Ausstellernamen und Inhabernamen den vollen X.500 definierten Namen des Zertifikatsausstellers und den Zertifikatsinhaber. Definierte Namen haben die Form eines X.501 druckbaren Strings.

7.1.8 Namenseinschränkungen Nicht implementiert.

7.1.9 Objektbezeichner (OID) für die Zertifizierungspolitik Jedes Zertifikat muss eine Policy OID referenzieren; es kann auch mehrere enthalten, solange dies nicht gegen die Policy-Einschränkungen verstösst.

Nähere Informationen dazu sind Kapitel 7.1.2 dieses Dokuments zu entnehmen.

7.1.10 Erweiterung „Usage of Policy Constraints“ Nicht implementiert.

7.1.11 Policy Qualifier Syntax und Semantik Der Policy Qualifier ist ein OID, der dieses Dokument bezeichnet, und eine URL, die auf dieses Dokument verweist.

7.1.12 Verarbeitungssemantik für die kritische Erweiterung Zertifizierungspolitik (Certificate Policy)

PKI-Client-Anwendungen müssen als kritisch markierte Erweiterungen verarbeiten.

7.2 CRL-Profil Diese CA und ihre untergeordneten ausstellenden CAs stellen X.509 Version 2 CRLs gemäss IETF PKIX RFC 5280 aus.

7.2.1 Versionsnummer(n) Die CRL-Version ist v2.

7.2.2 Erweiterungen „CRL“ und „CRL Entry“ Version 2 CRL und CRL-Erweiterungen und deren aktueller Status sind nachstehend angegeben:

• cRLNumber: Wird durch die CA-Applikation ausgefüllt



• reasonCode: nicht ausgefüllt • authorityKeyIdentifier: Wird durch die CA-Applikation ausgefüllt, enthält Schlüssel-ID (SHA1) des öffentlichen Schlüssels des

Ausstellers (Issuer Public Key)

7.3 OCSP-Profil Die SwissSign OCSP-Funktionalität ist gemäss RFC 2560 gebaut.

7.3.1 Versionsnummer(n) Die OCSP-Version ist auf v1 gesetzt.

7.3.2 OCSP-Erweiterungen Die verwendeten OCSP-Erweiterungen sind nachstehend angegeben:

• Nonce • ServiceLocator



8 Compliance Audit und andere Prüfungen

Gemäss den Bestimmungen dieses CP/CPS-Dokuments, des liechtensteinischen Gesetzes über elektronische Signaturen und aller dazu ergangenen Regeln und Vorschriften werden Compliance-Audits durchgeführt in Bezug auf:

• die “SwissSign LI Qualified Platinum CA 2016 G22” und “SwissSign LI Platinum Qualified CA 2016 G3” • alle Registrierungsstellen, die Anträge auf die Ausstellung der unter dieser CP/CPS stehenden „CAs bearbeiten.

8.1 Überprüfungsumstände bzw. -anlässe Das Compliance-Audit erfolgt jährlich gemäss den Vorgaben im liechtensteinischen Gesetz über elektronische Signaturen.

Es kann auch mehr als ein Compliance-Audit jährlich durchgeführt werden, wenn die überprüfte Partei dies wünscht oder wenn bei einem vorherigen Audit Missstände festgestellt wurden.

8.2 Identität/Qualifikationen des Prüfers Der TÜV IT ist einer vom Amt für Kommunikation respektive von deren Beauftragten zugelassener Auditor. Die Audits (Umfang, Berichterstattung) genügen in vollem Umfang dem SigG.

8.3 Verhältnis des Prüfers zur überprüften Rechtsperson Der Prüfer ist ein unabhängiger Auditor, der die Compliance-Audits gemäss den Vorgaben im SigG durchführt.

Der Prüferwird eine Erstbeurteilung der SwissSign AG vornehmen. Nachdem die SwissSign AG die Zertifizierung erlangt hat, wird eine jährliche Überprüfungen durchgeführt.

Der Prüfer ist berechtigt, die Zertifizierung der SwissSign AG zu widerrufen, falls ein Compliance-Audit gravierende Missstände im Betrieb der SwissSign AG feststellt.

Durch das interne Audit werden objektive Beweise erzeugt, die dem Prüfer zur jährlichen Überprüfung vorgelegt werden.

8.4 Überprüfungsgegenstände Der Prüferwird die Kontrollziele auswählen, die gemäss SigG überprüft werden sollen.

Gegenstand der jährlichen Überprüfung durch den Prüfer sind durch das interne Audit erzeugte objektive Beweise.

8.5 Massnahmen zur Behebung von Missständen Die SwissSign AG implementiert das ITIL Best Practices Modell, und hinsichtlich der Ergebnisse der Compliance-Audits wird im Rahmen dieses Regelwerks verfahren. Alle Missstände werden unter Berücksichtigung von Schweregrad und Dringlichkeit entweder als Vorfälle oder als Probleme in das ITIL System eingegeben; die Erledigung der Abhilfemassnahmen wird erfasst.

Indem die SwissSign AG ein Support-Tool einsetzt, stellt sie sicher, dass alle Missstände erfasst und zeitnah abgestellt werden. Teil des Systems sind Managementberichterstattung und Eskalation.

8.6 Mitteilung der Ergebnisse Die Ergebnisse des Compliance-Audits sind der Geschäftsführung von SwissSign zeitnah mitzuteilen.

Die Behebung von Missständen und Abweichungen wird in einem Plan festgelegt, der mit dem Prüfer und bei Bedarf mit der Anerkennungsstelle abgestimmt wurde.



9 Sonstige Angelegenheiten und Rechtsangelegenheiten

9.1 Gebühren Die SwissSign AG muss auf ihrer Website swisssign.com eine Preisliste für die Zertifizierungs- und Registrierungsdienste angeben.

9.1.1 Gebühren für Zertifikatsausstellung oder -erneuerung Die SwissSign AG kann für die Ausstellung von Zertifikaten Gebühren erheben, und zwar gemäss der Preisliste, die auf ihrer Website veröffentlicht ist oder auf Anfrage mitgeteilt wird.

9.1.2 Gebühren für Zertifikatszugriff Die SwissSign AG kann dafür gemäss ihrer Preispolitik eine Gebühr erheben.

9.1.3 Gebühren für den Zugriff auf Revozierungs- oder Statusinformationen Für die Zertifikatsrevozierung und die Mitteilung von Informationen über den Zertifikatsstatus wird keine Gebühr erhoben.

9.1.4 Gebühren für andere Dienste Die SwissSign AG behält sich das Recht vor, zusätzlich zu den vorgenannten Gebühren – je nach Art der geleisteten Dienste – einen Stundensatz oder eine Gebühr zu erheben.

9.1.5 Erstattungsgrundsätze Die SwissSign AG kann Erstattungsgrundsätze erlassen.

9.2 Finanzielle Verantwortung

9.2.1 Versicherungsschutz SwissSign AG

Die SwissSign AG, Liechtenstein ist im Eigentum der SwissSign AG Schweiz stehende Gesellschaft nach Liechtensteinischem Recht. Hinsichtlich der gemäss diesem CP/CPS-Dokument ausgestellten qualifizierten Zertifikate nach SigG wurde für Haftpflichtansprüche gegen die SwissSign AG, Liechtenstein eine entsprechende Versicherung abgeschlossen.

9.2.2 Sonstige Vermögensgegenstände Nicht zutreffend.

9.2.3 Versicherung oder Gewährleistung für Endanwender Es liegt in der alleinigen Verantwortung der Zertifikatsinhaber und Zertifikaten vertrauenden Parteien, dass sie angemessenen Versicherungsschutz sicherstellen, welcher die mit der Verwendung des Zertifikats oder mit der Erbringung der jeweiligen Dienstleistungen verbundenen Risiken decken.



9.3 Geheimhaltung von Geschäftsinformationen

9.3.1 Umfang der vertraulichen Informationen Abgesehen von den in Kapitel 9.3.2 definierten Informationen gelten alle Informationen oder Daten, die die SwissSign AG im Zuge geschäftlicher Transaktionen erlangt, als vertraulich. Dazu zählen – wobei dies keine abschliessende Aufzählung ist – Geschäftspläne, Umsatzzahlen, Geschäftsgeheimnisse, Namen von Organisationen, Registrierungsinformationen und Zertifikatsinhaberdaten. Soweit die SwissSign AG vertrauliche Informationen innerhalb des Konzerns der Schweizerischen Post offenlegt, gilt dies nicht als Verletzung der Geheimhaltungspflicht.

9.3.2 Nicht als vertrauliche Informationen anzusehende Informationen Nicht als vertrauliche Informationen anzusehen sind alle Informationen, die bereits öffentlich zugänglich oder in Zertifikaten enthalten sind, wie auch alle Informationen, die die SwissSign AG ausdrücklich offenzulegen befugt ist (z. B. aufgrund schriftlicher Zustimmung einer beteiligten Partei, aufgrund Gesetzes oder infolge öffentlicher Zugänglichkeit der Zertifikatsinformationen).

9.3.3 Verantwortung für den Schutz vertraulicher Informationen Die SwissSign AG ist dafür verantwortlich, sämtliche zur Einhaltung des Datenschutzrechts erforderlichen Massnahmen zu ergreifen.

9.4 Schutz personenbezogener Angaben Die SwissSign AG hält das Datenschutzrecht in vollem Umfang ein. Informationen und Daten können erforderlichenfalls für die professionelle Erbringung der hierin geregelten Daten verwendet werden. Soweit die SwissSign AG vertrauliche Informationen innerhalb des Konzerns der Schweizerischen Post offenlegt, gilt dies nicht als Verletzung der Geheimhaltungspflicht. Zertifikatsinhaber und andere Dritte müssen die Datenschutzstandards der SwissSign AG einhalten.

9.4.1 Datenschutzplan Die Bestimmungen in Kapitel 9.3 und 9.4 finden Anwendung.

9.4.2 Als privat anzusehende Informationen Alle Informationen über Zertifikatsinhaber und Antragsteller, die nicht allgemein zugänglich oder in den durch diese CA ausgestellten Zertifikaten, in der CRL oder im Inhalt des LDAP-Verzeichnisses enthalten sind, sind als private Informationen anzusehen.

9.4.3 Nicht als privat anzusehende Informationen Alle Informationen, die bereits allgemein zugänglich oder in einem durch diese CA ausgestellten Zertifikat, in der CRL oder im Inhalt des LDAP-Verzeichnisses enthalten sind, sind nicht als vertraulich anzusehen.

9.4.4 Verantwortung für den Schutz privater Informationen Teilnehmer, die private Informationen erhalten, müssen diese vor Kompromittierung schützen und dürfen sie nicht im Verhältnis zu Dritten verwenden oder offenlegen.

9.4.5 Hinweis und Zustimmung in Bezug auf die Verwendung privater Informationen Die SwissSign AG wird private Informationen nur nutzen, wenn ein Abonnent oder Vertretungsbevollmächtigter im Zuge des Registrierungsprozesses die volle Zustimmung dazu erteilt hat.

9.4.6 Offenlegung in Gerichts- oder Verwaltungsverfahren Auf gerichtliche oder behördliche Anordnung hin wird die SwissSign AG private Informationen freigeben oder offenlegen.



9.4.7 Sonstige Anlässe zur Informationsoffenlegung Die SwissSign AG wird durch das Datenschutzrecht geschützte Informationen nur mit vorheriger Zustimmung oder auf gerichtliche oder behördliche Anordnung hin offenlegen.

9.5 Immaterialgüterrechte Die SwissSign AG bleibt Alleininhaberin aller Immaterialgüterrechte der SwissSign AG einschliesslich aller Marken und aller Urheberrechte.

Gewisse Software von Drittparteien wird von der SwissSign AG gemäss den einschlägigen Lizenzbestimmungen verwendet.

9.6 Erklärungen und Gewährleistungen

9.6.1 Erklärungen und Gewährleistungen der CA Die SwissSign AG gibt Gewähr für die volle Einhaltung sämtlicher Regelungen, die in diesem CP/CPS-Dokument, im liechtensteinischen Gesetz über elektronische Signaturen und in den dazu ergangenen Regeln und Vorschriften enthalten sind.

9.6.2 Erklärungen und Gewährleistungen der RA Alle Registrierungsstellen geben Gewähr für die volle Einhaltung sämtlicher Regelungen, die in diesem CP/CPS-Dokument, in darauf beruhenden Verträgen, im liechtensteinischem Gesetz über elektronische Signaturen (soweit dieses qualifizierte Zertifikate betrifft) und in den dazu ergangenen Regeln und Vorschriften enthalten sind.

9.6.3 Erklärungen und Gewährleistungen des Zertifikatsinhaber Alle Zertifikatsinhaber geben Gewähr für die volle Einhaltung sämtlicher Regelungen, die in diesem CP/CPS-Dokument, sonstigen darauf beruhenden Verträgen, im liechtensteinischen Gesetz über elektronische Signaturen und in den dazu ergangenen Regeln und Vorschriften enthalten sind.

9.6.4 Erklärungen und Gewährleistungen der auf Zertifikate vertrauenden Parteien Alle Zertifikaten vertrauenden Parteien geben Gewähr für die volle Einhaltung sämtlicher Regelungen, die in diesem CP/CPS-Dokument, darauf beruhenden Verträgen, im liechtensteinischen Gesetz über elektronische Signaturen und in den dazu ergangenen Regeln und Vorschriften enthalten sind.

9.6.5 Erklärungen und Gewährleistungen sonstiger Teilnehmer/Beteiligter Alle Teilnehmer/Beteiligten geben Gewähr für die volle Einhaltung sämtlicher Regelungen, die in diesem CP/CPS-Dokument, darauf beruhenden Verträgen, im liechtensteinischen Gesetz über elektronische Signaturen und in den dazu ergangenen Regeln und Vorschriften enthalten sind.

9.7 Gewährleistungsausschlüsse Abgesehen von den hierin niedergelegten Gewährleistungen (einschliesslich der darauf beruhenden Verträge) und soweit dies nach einschlägigem Recht zulässig ist, schliesst die SwissSign AG jegliche und sämtliche sonstigen möglichen Gewährleistungen, Bedingungen oder (ausdrücklichen, impliziten, mündlichen oder schriftlichen) Erklärungen (einschliesslich Zusicherungen der Marktgängigkeit oder der Eignung für einen bestimmten Zweck) aus.



9.8 Haftung

9.8.1 Haftung der SwissSign AG Hinsichtlich qualifizierter Zertifikate haftet die SwissSign AG für Schäden, die auf die Nichteinhaltung des liechtensteinischen Rechts für elektronische Unterschriften (, Artikel 23 SigG) zurückzuführen sind.

Soweit dies nach einschlägigem Recht zulässig ist, haftet die SwissSign AG auf keinen Fall für entgangene Gewinne, mittelbare oder Folgeschäden oder Datenverlust. Die SwissSign AG haftet nicht für Schäden, die sich dadurch ergeben, dass der Zertifikatsinhaber oder die einem Zertifikat vertrauende Partei die einschlägigen Bestimmungen und Bedingungen verletzen, wozu auch das Überschreiten des Grenzwerts für Transaktionen gehört.

Die SwissSign AG haftet auf keinen Fall für Schäden, die durch höhere Gewalt entstehen. Die SwissSign AG ergreift wirtschaftlich angemessene Massnahmen, die Auswirkungen höherer Gewalt in angemessener Frist zu mindern. Die SwissSign AG ersetzt keine Schäden, die auf durch höhere Gewalt verursachtem Verzug beruhen.

9.8.2 Haftung des Zertifikatsinhabers Der Zertifikatsinhaber haftet der SwissSign AG und den Zertifikaten vertrauenden Parteien für alle Schäden, die sich durch missbräuchliche Verwendung, absichtliches Fehlverhalten, Nichteinhaltung regulatorischer Verpflichtungen oder Nichteinhaltung sonstiger die Verwendung des Zertifikats betreffender Bestimmungen ergeben.

9.9 Entschädigungspflichten Entschädigungspflichten sind bereits in den Bestimmungen in diesem CP/CPS-Dokument und anderen damit zusammenhängenden Dokumenten definiert.

9.10 Laufzeit und Ausserkrafttreten

9.10.1 Laufzeit Diese Zertifizierungspolitik (CP) und Aussage über die Zertifizierungspraxen (CPS) und jegliche Änderungen derselben werden mit ihrer Veröffentlichung auf der SwissSign Website „http://repository.swisssign.com“ wirksam.

9.10.2 Ausserkrafttreten Dieses CP/CPS-Dokument tritt mit der Veröffentlichung einer neuen Version auf der SwissSign Website ausser Kraft.

9.10.3 Wirkung des Ausserkrafttretens und Fortgeltung Alle Bestimmungen bezüglich der Geheimhaltung persönlicher und anderer Daten gelten auch nach dem Ausserkrafttreten uneingeschränkt fort. Das Ausserkrafttreten lässt auch die Klagerechte oder Rechtsbehelfe unberührt, die bis einschliesslich zum Datum des Ausserkrafttretens entstanden sein mögen.

9.11 Einzelne Erklärungen und Kommunikationen gegenüber Teilnehmern/Beteiligten Die SwissSign AG kann Erklärungen per E-Mail, Post, Fax oder auf Webseiten abgeben, es sei denn, sie trifft in diesem CP/CPS-Dokument eine abweichende Regelung.

9.12 Änderungen

9.12.1 Änderungsverfahren Die SwissSign AG wird Änderungen dieses CP/CPS-Dokuments, die geringe oder gar keine Auswirkungen auf Zertifikatsinhaber und Zertifikaten vertrauende Parteien haben, nach Genehmigung durch den Verwaltungsrat der SwissSign AG umsetzen.

Änderungen mit wesentlichen Auswirkungen werden zunächst zur Einholung ihrer Genehmigung der Aufsichtsstelle vorgelegt.



Ein aktualisiertes CP/CPS-Dokument wird mit seiner Veröffentlichung auf der SwissSign Website endgültig und wirksam, und es ersetzt dann alle früheren Versionen dieses CP/CPS-Dokuments.

9.12.2 Mitteilungsmechanismus und Ankündigungsfrist Im Falle von Änderungen, die nicht wesentlich sind (d. h., die gar keine oder geringe Auswirkungen haben), kann der Verwaltungsrat der SwissSign AG Änderungen dieses CP/CPS-Dokuments beschliessen, ohne die Änderungen ankündigen zu müssen.

Die Entscheidung, ob Änderungen Auswirkungen auf den Zertifikatsinhaber bzw. Zertifikaten vertrauende Parteien haben, steht im alleinigen Ermessen des Verwaltungsrats der SwissSign AG.

Alle Änderungen des CP/CPS-Dokuments werden gemäss Kapitel 2. dieses CP/CPS-Dokuments veröffentlicht. Für den Zertifikatsinhaber wesentliche Änderungen sind den betreffenden Parteien, sofern deren E-Mail-Adressen bekannt sind, 30 Tage vor Inkrafttreten der Änderungen per E-Mail zuzusenden.

9.12.3 Anlässe für die Änderung des Objektbezeichners (OID) Bei Änderungen dieses CP/CPS-Dokuments, die Zertifikatsinhaber bzw. Zertifikaten vertrauende Parteien betreffen, muss der Objektbezeichner für dieses CP/CPS-Dokument aktualisiert werden.

9.13 Streitbeilegungsregeln Im Falle von Streitigkeiten oder Meinungsverschiedenheiten im Zusammenhang mit der Erfüllung, Durchsetzung oder Auslegung dieser Vereinbarung werden sich die Parteien um das Erzielen einer gütlichen Einigung bemühen.

9.14 Anwendbares Recht und gerichtliche Zuständigkeit Die Gültigkeit, Auslegung und Durchsetzung dieses Vertrags unterliegt schweizerischem Recht, jedoch nicht seinem Kollisionsrecht. Die Anwendung des UN-Übereinkommens über Verträge über den internationalen Warenkauf ist ausgeschlossen. Der ausschliessliche Gerichtsstand ist das Handelsgericht Zürich (Schweiz).

9.15 Einhaltung des anwendbaren Rechts Dieses CP/CPS-Dokument und die damit verbundenen Rechte oder Verpflichtungen unterliegen schweizerischem Recht.

9.16 Schlussbestimmungen

9.16.1 Gesamte Vereinbarung Dieses CP/CPS-Dokument und der Endbenutzer-Vertrag der SwissSign AG enthalten die zwischen der SwissSign AG und dem Zertifikatsinhaber bestehende Vereinbarung.

9.16.2 Übertragung Dem Zertifikatsinhaber ist nicht gestattet, diese Vereinbarung oder seine sich hieraus ergebenden Rechte oder Verpflichtungen ganz oder zum Teil zu übertragen.

Die SwissSign AG kann diese Vereinbarung bzw. ihre sich hieraus ergebenden Rechte oder Verpflichtungen ganz oder zum Teil übertragen.

9.16.3 Teilbarkeit Die Ungültigkeit oder Nichtdurchsetzbarkeit einer oder mehrerer Buchstaben dieser Vereinbarung und der dazugehörigen Dokumente lässt alle sonstigen Bestimmungen dieser Vereinbarung unberührt; dies gilt jedoch mit der Massgabe, dass nur nicht-wesentliche Bestimmungen teilbar sind.



9.16.4 Durchsetzung (Rechtsanwaltsgebühren und Rechtsverzicht) Nicht zutreffend.

9.16.5 Höhere Gewalt Die SwissSign AG gerät nicht in Verzug – und der Kunde kann die SwissSign AG nicht für Schäden zur Verantwortung ziehen bzw. haftbar machen, wenn Leistungsstörungen auf Ereignissen folgender Art beruht (wobei dies keine abschliessende Aufzählung ist): Verzug, Gewährleistungsverletzung oder Einstellung der Erfüllung, welche durch Naturkatastrophen, Strom- oder Telekommunikationsausfälle, Brand, nicht verhinderbare Interaktionen Dritter, zum Beispiel Viren oder Hacker-Attacke, staatliche Massnahmen oder Streik von Arbeitskräften verursacht sind.

Die SwissSign AG ergreift wirtschaftlich angemessene Massnahmen, die Auswirkungen höherer Gewalt in angemessener Frist zu mindern.

9.17 Sonstige Bestimmungen

9.17.1 Sprache Wird dieses CP/CPS-Dokument zusätzlich zur deutschen Fassung in weiteren Sprachfassungen zur Verfügung gestellt, so geniesst die deutsche Sprachfassung Vorrang.

SwissSign Liechtenstein Platinum CP/CPS- Dokument

Documents

Transcript of SwissSign Liechtenstein Platinum CP/CPS- Dokument