20100224-证书主体身份标 识及鉴别控制(征求意见稿)

证书主体身份标识和鉴别控制及证书分发控制规范（征求意见稿）信息安全协调司二零一零年一月第一章总则部分第一条（制定本规范的目的）为了保障电子认证服务的可靠性，规定电子认证服务机构的相关义务，促进电子认证服务业的有序竞争和健康发展，根据《中华人民共和国电子签名法》（以下简称“《电子签名法》”），制定本规范。

第二条（适用范围）本规范适用于中华人民共和国境内获得电子认证服务许可的机构（以下简称“电子认证服务机构”）。

第三条（规范涉及的相关概念）本规范所称的证书主体可定义为证书公钥对应的实体，它可以是个人、机构、设备（如防火墙、路由器、服务器）等，体现在证书主体公钥项1中。

本规范所称的身份标识是指电子认证服务机构对证书主体对应的实体身份和相关属性进行命名和标识的规则。

本规范所称的证书主体身份鉴别控制，是指电子认证服务机构在颁发证书之前如何验证及确定证书主体对应的实体身份的过程。

本规范所称的证书分发控制，是指证书主体对应的实体接受电子认证服务机构颁发数字证书的过程。

第四条（监督管理）中华人民共和国工业和信息化部（以下简称“工业和信息化部”）依法对电子认证服务业务中的证书主体身份标识与鉴别控制及分发1证书主体公钥项的引用自《GB/T20518-2006 》。

控制实施监督管理。

第二章证书类别及证书主体身份标识第五条（证书类别）根据证书主体所标识的身份类别，证书可分为个人证书、机构证书、设备证书与其它类型证书。

个人证书是指以个人名义申请，在证书主体身份标识中含有个人身份信息的数字证书；机构证书是指以机构名义申请，在证书主体身份标识中含有机构身份信息的数字证书；设备证书是指以个人名义或机构名义申请，在证书主体身份标识中含有设备身份信息的数字证书，例如服务器证书、VPN设备证书、网关设备证书等。

其它类型证书是指以个人名义或以机构名义申请，在证书主体身份标识中含有其它相关身份信息的数字证书。

第六条（证书主体身份标识内容总体要求）电子认证服务机构签发的数字证书应当根据证书主体的身份类别，在证书主体公钥项中体现相应的身份标识，以确保电子签名依赖方能够证实或了解数字证书所载内容及其它有关事项。

第七条（个人证书主体身份标识内容）个人证书的证书主体公钥项中应当包含可用于标识个人身份的信息，个人身份信息是指个人实名身份证件上的身份信息，其中个人实名身份证件2包括：（1）居住在境内的中国公民，为居民身份证或者临时居民身份证；（2）居住在境内的16周岁以下的中国公民，为户口簿；（3）中国人民解放军军人，为军人身份证件；中国人民武装警察，为武装警察身份证件；（4）香港、澳门居民，为港澳居民实名身份证件或往来内地通行证；台湾居民，为台湾居民实名身份证件或来往大陆通行证或者其他有效旅行证件；（5）依照有关法律、行政法规和国家有关规定的其它实名身份证件；（6）居住在境外的公民，为符合当地法律、行政法规和该国有关规定的实名身份证件。

第八条（机构证书主体身份标识内容）机构证书的证书主体公钥项中应当包含可用于标识机构身份的信息，机构身份信息是指机构身份证件上的身份信息，其中机构身份证件包括：（1）企业法人营业执照；（2）事业单位法人证书；（3）组织机构代码证；（4）税务登记证；2证件类型参照《个人存款账户实名制规定》，但第4与第6条考虑到了证书办理的特有情况。

（5）依照有关法律、行政法规和国家有关规定的其它机构身份证明；（6）境外机构的身份证件，为符合当地法律、行政法规和该国有关规定的机构身份证件。

第九条（设备证书主体身份标识内容）设备证书的证书主体公钥项中应当包含可用于标识设备身份的信息，设备信息包括：互联网域名、IP地址、或其它可以标识设备的信息。

第十条（其它类型证书主体身份标识内容）电子认证服务机构在签发其它类型的证书时，必须有合理的机制确保证书主体公钥项中的信息与证书主体的真实身份信息相关联：（1）制订相应的证书策略；（2）在证书策略中明确对此类证书中所采用的主体身份标识规则；（3）在证书主体公钥项中标明该类证书所对应的证书策略。

第十一条（证书主体身份证件类型的标识方法）电子认证服务机构应当根据证书信息中的身份证件类型，在证书主体公钥项中对证件类型进行标识。

第十二条（需要附加标识的证书）某些特殊的证书，除了在证书主体公钥项中须含有身份信息之外，还须在证书主题备用名、扩展域或其它域中附加相应的标识信息，如电子邮件证书须附加电子邮件地址信息，代码签名证书须附加该证书为代码签名证书的信息。

第十三条（有特定需求的身份信息标识方法）对于有信息保密需求的特定证书，电子认证服务机构可根据证书策略应用需求，将需要保密的证书主体身份标识信息以适合的编码规则进行编码后体现在证书主体公钥项中，但必须将证书信息与真实的证书主体身份标识信息相关联，且应在证书策略中明确应用的范围与规则。

第三章证书主体身份鉴别要求第十四条（身份鉴别的总体要求）电子认证服务机构应当根据证书策略，为每类证书所对应的证书主体制定相应的身份鉴别机制，明确证书申请人应提供的申请材料，并严格执行对证书申请人身份进行查验的程序。

第十五条（个人证书的鉴别材料要求）电子认证服务机构接受个人证书申请人申请材料时，应根据公布的证书策略及对应的身份鉴别机制，按照如下方式进行：需要个人证书申请人到达证书申请现场时，电子认证服务机构应要求证书申请人出示本规范第七条中所列示的至少一种个人实名身份证件；当证书申请人授权他人代为办理时，电子认证服务机构应要求代理人同时出示代理人与被代理人的身份证件以及授权证明；不需要个人证书申请人到达证书申请现场时，电子认证服务机构应要求证书申请人将个人实名身份证件的影印件以传真或邮寄等方式发送至电子认证服务机构，但材料是否可信还需要通过相应证书策略公布的其他身份鉴别机制进一步确认。

第十六条（机构证书的鉴别材料要求）电子认证服务机构接受机构证书申请人申请材料时，应根据公布的证书策略及对应的身份鉴别机制，按照如下方式进行：需要机构证书的授权申请人到达证书申请现场时，电子认证服务机构应要求授权申请人出示本规范第八条中所列示的至少一种机构身份证件，授权申请人的个人实名身份证件，以及机构授予申请人的授权证明；不需要机构证书的授权申请人到达证书申请现场时，电子认证服务机构应要求授权申请人将第条中所列示的至少一种机构身份证件，授权申请人的个人实名身份证件，以及机构授予申请人的授权证明的影印件以传真或邮寄等方式发送至电子认证服务机构，但材料是否可信还需要通过相应证书策略公布的其他身份鉴别机制进一步确认。

第十七条（设备证书的鉴别材料要求）电子认证服务机构接受设备证书申请人申请材料时，应根据公布的证书策略及对应的身份鉴别机制，按照如下方式进行：若设备证书主体公钥项中对应设备的所有者为个人，电子认证服务机构除应按照本规范第十五条的规定要求设备证书申请人提供相应的申请材料外，还应同时要求证书申请人出示该设备归属于申请人的所有权证明或被授权使用证明，如服务器证书需提供域名、IP地址的相关证明；若设备证书主体公钥项中对应设备的所有者为机构，电子认证服务机构除应按照本规范第九条的规定要求机构证书的授权申请人提供相应的申请材料外，还应同时要求证书申请人出示该设备归属于申请人的所有权证明或被授权使用证明，如服务器证书需提供域名、IP 地址的相关证明。

第十八条（证书鉴别流程中告知要求）电子认证服务机构在受理数字证书申请前，应向申请人告知：1、证书申请人应按照电子认证服务机构公布的证书策略、电子认证业务规则以及相关的协议要求提供真实、完整和准确的身份信息；2、在鉴证流程中双方的责任范围；第十九条（证书鉴别流程中受理申请材料的要求）电子认证服务机构应指定证书申请材料接收人员接收申请材料，进行初步的完整性检查，确保材料符合鉴证要求。

第二十条（证书鉴别流程中鉴证总体要求）电子认证服务机构应指定证书鉴证人员，按照相应证书策略的要求，对不同证书类别的证书申请人身份信息进行鉴别。

第二十一条（证书鉴别流程中个人证书的鉴证要求）个人证书的鉴证应采用查询第三方身份信息数据库的方式，特殊情况下可采用本机构及证书依赖方信任的其它信息渠道，确认个人身份信息的真实性与准确性；第二十二条（证书鉴别流程中机构证书的鉴证要求）机构证书的鉴证应采用查询第三方身份信息数据库的方式，特殊情况下可采用本机构及证书依赖方信任的其它信息渠道，确认机构身份信息与授权申请人身份信息的真实性与准确性，以及授权信息的真实性；第二十三条（证书鉴别流程中设备证书的鉴证要求）个人申请设备证书时，电子认证服务机构除了按照个人证书的鉴别要求进行鉴别之外，还应采用查询第三方身份信息数据库的方式，特殊情况下可采用本机构及证书依赖方信任的其它信息渠道，确认设备归属于证书申请人所有权的真实性或被授权使用证明的真实性；机构申请设备证书时，电子认证服务机构除了按照机构证书的鉴别要求进行鉴别之外，还应采用查询第三方身份信息数据库的方式，特殊情况下可采用本机构及证书依赖方信任的其它信息渠道，确认设备归属于证书申请机构所有权的真实性或被授权使用证明的真实性。

第四章证书的签发与分发控制第二十四条（证书签发流程中录入审核的要求）证书申请材料鉴证人员完成鉴证后，电子认证服务机构应指定录入人员将申请信息录入至证书签发系统中，并经审核人员审核无误后，方可签发证书。

第二十五条（证书签发流程中签发类型的说明）根据各类证书的不同签发要求，证书的分发可分为三种情形；证书申请人向电子认证服务机构提交所需申请材料的同时，提交证书公钥信息；证书申请人只向电子认证服务机构提交所需的申请材料，不提交证书公钥信息；上述两种情形以外的其它情形。

第二十六条（证书签发流程中签发类型一的要求）电子认证服务机构要求证书申请人在提交申请材料的同时，须提交证书公钥信息时，应要求证书申请人按照国际通用的证书申请请求标准生成包含证书公钥信息、证书主体身份信息的证书申请请求电子文件。

电子认证服务机构应对该电子文件中所包含的身份信息进行验证，确保该信息与经鉴证的证书主体身份信息完全匹配。

验证通过后，在签发证书时，电子认证服务机构还应验证证书申请人持有与证书公钥信息所对应的私钥，以上验证均通过后方可签发证书。

第二十七条（证书签发流程中签发类型二的要求）电子认证服务机构不需证书申请人同时提交申请材料与证书公钥信息时，应先将证书下载凭证以安全可靠的方式，如密码信封、挂号信件、安全电子邮件等途径发放给证书申请人，并告知证书申请人证书下载途径。

电子认证服务机构应保证所提供的证书下载途径真实、安全、可靠。

证书申请人通过电子认证服务机构约定途径下载证书前，电子认证服务机构应告知证书申请人证书请求的生成方式、各自的权利和义务，并要求证书申请人接受。