CERTIFICADOS PARA SERVIDOR SEGURO CAMERFIRMA PRÁCTICAS DE CERTIFICACIÓN VERSIÓN 1.3 FECHA DE PUBLICACIÓN: NOVIEMBRE DE 2001
CRÉDITOS ÈUHD/HJDO Raúl Rubio Velázquez,QJHQLHUtD\7HFQRORJtD Ramiro Muñoz Muñoz 'LUHFFLyQ\&RQVXOWRUtD Jordi Masías $XGLWRUtD Ernst & Young &RPHQWDULRV\6XJHUHQFLDV Invitamos a la comunidad de usuarios de Internet a realizar comentarios y sugerencias de cara a futuras revisiones de este documento. Pueden ponerse en contacto a través de la siguiente dirección: juridico@camerfirma.com o Camerfirma, c/ Velázquez 157. Tel:914119661 Fax:915610769 Certificados Servidor Seguro p. II
35$&7,&$6'(&(57,),&$&,Ï13$5$/26&(57,),&$'26'( 6(59,'256(*852'(&$0(5),50$ 2000, AC CAMERFIRMA EL PRESENTE DOCUMENTO NO PUEDE SER REPRODUCIDO, DISTRIBUIDO, COMUNICADO PÚBLICAMENTE, ARCHIVADO O INTRODUCIDO EN UN SISTEMA DE RECUPERACIÓN DE INFORMACIÓN, O TRANSMITIDO, EN CUALQUIER FORMA Y POR CUALQUIER MEDIO (ELECTRÓNICO, MECÁNICO, FOTOGRÁFICO, GRABACIÓN O CUALQUIER OTRO), TOTAL O PARCIALMENTE, SIN EL PREVIO CONSENTIMIENTO POR ESCRITO DE CAMERFIRMA. Certificados Servidor Seguro p. III
35$&7,&$6'(&(57,),&$&,Ï13$5$/26&(57,),&$'26'(6(59,'256(*852'( &$0(5),50$ 1. IDENTIFICACIÓN DE LAS PRÁCTICAS DE CERTIFICACIÓN... 1 2. COMUNIDAD DE USUARIOS Y APLICABILIDAD... 1 &RPXQLGDGGHXVXDULRV $SOLFDELOLGDG 8VRVQRDXWRUL]DGRV 3. RECOMENDACIONES TÉCNICAS... 1 4. PROCEDIMIENTO... 2 6ROLFLWXGGHOFHUWLILFDGR 4.1.1. Registro inicial... 2 4.1.2. Requisitos de identificación y autenticación... 2 4.1.3. Comprobación de las solicitudes de Certificados... 3 $FHSWDFLyQGHODVROLFLWXG 5HFKD]RGHODVROLFLWXG (PLVLyQGH&HUWLILFDGRV $FHSWDFLyQGHO&HUWLILFDGRSRUSDUWHGHO6XVFULSWRU 3XEOLFDFLyQGHO&HUWLILFDGR &RQWHQLGRGHOFHUWLILFDGR 5. JERARQUÍA DE NORMAS... 5 Certificados Servidor Seguro p. IV
,'(17,),&$&,Ï1'(/$635È&7,&$6'(&(57,),&$&,Ï1 Las presentes Prácticas de Certificación se identifican a través del siguiente código (Digital Object Identifier): 1.3.6.1.4.1.4308.10.3 Estas Prácticas de Certificación pueden localizarse en la siguiente dirección de Internet: http://www.camerfirma.com. &2081,'$''(868$5,26<$3/,&$%,/,'$' &RPXQLGDGGHXVXDULRV En el ámbito de estas Prácticas de Certificación, se entenderá por: a) Suscriptor: a la entidad mercantil o empresario individual a nombre de la cual se emite el Certificado. b) Solicitante: a la persona física distinta del Suscriptor, que solicite el Certificado en nombre y representación del Suscriptor. $SOLFDELOLGDG Los Certificados de Servidor Seguro permiten confirmar que una determinada dirección URL pertenece a una determinada entidad mercantil. Los Certificados de Servidor Seguro no son Certificados de firma. 8VRVQRDXWRUL]DGRV No se autoriza la realización de transacciones pecuniarias a través los certificados regulados en las presentes PRÁCTICAS DE CERTIFICACIÓN, los cuales tienen únicamente la finalidad de permitir la confirmación por parte de terceros de que una determinada dirección URL pertenece a una concreta entidad mercantil. Estos certificados no son válidos para asumir responsabilidades económicas ni compromisos en nombre de la entidad que figure en el Certificado. No se permite un uso del Certificado contrario a: La normativa española, comunitaria, a los convenios internacionales ratificados por el estado español y a todas aquellas circunstancias que se indican de forma enunciativa y no exhaustiva en la dirección de Internet: https://uso.camerfirma.com Lo establecido en la CPS, en las prácticas de certificación y en los contratos que se firmen entre la AC / AR y el Suscriptor. Los certificados Camerfirma no podrán ser alterados, deberán utilizarse tal y como son suministrados por la AR. 5(&20(1'$&,21(67e&1,&$6 1999-2000 AC Camerfirma Prácticas de Certificación de Camerfirma Certificados Servidor Seguro p. 1 v1.3 Noviembre 2001
Se recomienda el uso de navegadores de última generación compatibles con los protocolos, S MIME y HTTPS con SSL (v2 y v3). No se garantiza el correcto funcionamiento del Certificado en combinación con aplicaciones que no hayan sido previamente validadas por Camerfirma. 352&(',0,(172 6ROLFLWXGGHOFHUWLILFDGR 5HJLVWURLQLFLDO El Solicitante deberá rellenar y enviar el formulario de solicitud del Certificado de Servidor Seguro que estará a su disposición en la dirección de Internet: http://www.camerfirma.com. El envío de los datos solicitados en este formulario y el abono de las tasas de registro supondrá su consentimiento para ser registrado como Solicitante de un Certificado Camerfirma. La solicitud de este certificado no implicará en ningún caso su obtención si no se llegan a cumplir por parte del solicitante los requisitos establecidos en la CPS, en las Prácticas de Certificación para los Certificados de Servidor Seguro, en el Contrato del Suscriptor con la AC y en el Contrato del Suscriptor con la AR. A través del software existente en el mercado para tal fin, el Solicitante generará, él mismo, el par de claves asimétricas que deberán incluirse en el Certificado, introduciendo el código de petición del Certificado (CSR) en el campo del formulario destinado al efecto. Los datos de este formulario serán enviados a una de las AR en función del código postal que se haya introducido en el formulario. Una vez recibidos estos datos por la AR, ésta realizará una serie de comprobaciones con el objeto de verificar, de forma preliminar, la certeza y validez de los datos remitidos (fase de verificación preliminar). Si, a juicio de la AR, esta primera fase se supera satisfactoriamente, la misma enviará a la AC una solicitud de emisión del Certificado y se pondrá en contacto con el Solicitante (fase de verificación definitiva), para realizar definitivamente el cotejo de la identidad y de los atributos del Certificado, solicitando la exhibición de cuantos documentos originales considere necesarios. La AC por su parte, ante la petición de la AR, generará el Certificado en base a la clave pública suministrada por el Solicitante y lo introducirá en un disquete, enviándolo a la AR para su entrega al Solicitante. La grabación del certificado en disquete permitirá al Solicitante instalarlo él mismo en el ordenador desde el que se vaya a administrar la URL de la entidad. 5HTXLVLWRVGHLGHQWLILFDFLyQ\DXWHQWLFDFLyQ Para acreditar las circunstancias que garantizará el Certificado, en la fase definitiva, se requerirá la presentación ante la AR de original y copia para su compulsa, de los siguientes documentos: - Documento público o privado que acredite la personalidad jurídica de la entidad o la condición de empresario individual conforme a Derecho. - En su caso, documento que acredite formalmente los más amplios poderes de representación de la entidad. - Cuando la solicitud se presente a través de persona autorizada distinta del representante legal de la entidad o el propio empresario individual, será necesaria la Certificados Servidor Seguro p. 2
presentación de un documento firmado por el representante legal o el empresario individual autorizando al Solicitante para actuar en su nombre ante la AR. - Documento firmado por el representante legal de la persona jurídica o el empresario individual declarando que el Suscriptor es el titular exclusivo del nombre de Dominio correspondiente a la URL que vaya a ser certificada. - Fotocopia del DNI o del Pasaporte del representante legal del Suscriptor o del empresario individual. Si el representante de la entidad o el empresario individual fuera Suscriptor de un Certificado de Empresa Vinculante, únicamente será necesario el envío por parte de éste, de un formulario electrónico, firmado con su Certificado, donde se contengan las autorizaciones y/o declaraciones requeridas. Para la recogida del Certificado de Servidor Seguro se requerirá la presencia física del Solicitante ante la AR, el cual deberá acreditar su identidad mediante la exhibición de su DNI o Pasaporte. &RPSUREDFLyQGHODVVROLFLWXGHVGH&HUWLILFDGRV Una vez recibida la solicitud, la AR debe proceder a la aprobación de la misma, previo proceso de verificación de la información proporcionada. En concreto, la AR confirmará: a) La correcta cumplimentación de todos los campos del formulario. b) Que se haya entregado toda la documentación requerida y que esta sea correcta. c) La autenticación del Suscriptor y la verificación de la sucesión de poderes que conectan al Suscriptor con la persona física que actúa en su nombre ante la AR. d) Cualquier otra información que se incluye en el Certificado, a no ser que en éste se indique expresamente la ausencia de la verificación correspondiente. $FHSWDFLyQGHODVROLFLWXG Una vez superado el proceso de comprobación de solicitud de forma satisfactoria, siempre y cuando no existan circunstancias que de alguna manera afecten a la seguridad del servicio de certificación cameral, la AR procederá a la aprobación de la solicitud. 5HFKD]RGHODVROLFLWXG Si la AR decidiese rechazar la solicitud del Certificado, comunicará por escrito al Solicitante dicha decisión, con indicación de los motivos que la provocaron. En caso de que los defectos encontrados sean subsanables, se le otorgará al Solicitante del Certificado un plazo de quince días para llevar a cabo la subsanación, transcurrido el cual la AR procederá a confirmar o a revocar por escrito su decisión de manera definitiva. El rechazo de la solicitud de manera definitiva obligará a la AR a devolver a la AC devolver el disquete conteniendo en Certificado para proceder a su destrucción controlada. Certificados Servidor Seguro p. 3
(PLVLyQGH&HUWLILFDGRV Una vez aceptada provisionalmente por la AR la solicitud del Certificado, la AC grabará un disquete conteniendo el Certificado. El Certificado es propiedad de la AC y se emitirá con carácter personal e intransferible a nombre del Suscriptor. El Suscriptor se obliga a: a) Conservar y utilizar correctamente el Certificado que se le entrega en concepto de depósito. b) No revelar la clave privada del Certificado ni el código de activación. c) Custodiar el Certificado, de forma diligente, tomando las precauciones razonables para evitar su pérdida, revelación, modificación o uso no autorizado y garantizar su seguridad así como la del procedimiento para el cual se emiten. d) Notificar de inmediato la pérdida, robo o falsificación del Certificado, así como el conocimiento por otras personas, contra su voluntad, del código de activación o de las claves privadas solicitando la revocación del Certificado de conformidad con el procedimiento que se establece en la CPS. e) Solicitar la suspensión / revocación del Certificado cuando se cumpla alguno de los supuestos previstos en el epígrafe titulado SUSPENSIÓN Y REVOCACIÓN DE CERTIFICADOS de la CPS. La AC se reserva el derecho a negarse a emitir Certificados, a su propia discreción, por lo que no podrá exigírsele responsabilidad alguna por este motivo. $FHSWDFLyQGHO&HUWLILFDGRSRUSDUWHGHO6XVFULSWRU La entrega del Certificado y la firma del contrato de adhesión al sistema de Certificación implicará la aceptación del Certificado por parte del Suscriptor. El solicitante emitirá esta aceptación en representación del Suscriptor. La aceptación del Certificado deberá realizarse de forma expresa, por escrito y ante la AR. No obstante, a partir de la entrega del Certificado al Solicitante, el Suscriptor dispondrá de un periodo de siete días naturales para revisar el mismo, determinar si es adecuado y si los datos se corresponden con la realidad. En caso de que existiera alguna diferencia entre los datos suministrados a la AC y el contenido del Certificado, ello deberá ser comunicado de inmediato a la AC para que proceda a su revocación y a la emisión de un nuevo Certificado sin coste para el Suscriptor. Transcurrido dicho periodo sin que haya existido comunicación, se entenderá que el Suscriptor ha confirmado la aceptación del Certificado y de todo su contenido. Aceptando el Certificado, el Suscriptor confirma y asume la exactitud del contenido del mismo, con las consiguientes obligaciones que de ello se deriven frente a la AR, la AC o cualquier tercero que de buena fe confíe en el contenido del Certificado. 3XEOLFDFLyQGHO&HUWLILFDGR Una vez aceptado el Certificado por parte del Suscriptor, la AC procederá a la publicación, en el Repositorio de Certificados Camerales (LDAP)de los datos del Certificado. Certificados Servidor Seguro p. 4
La publicación de los datos del Certificado en el repositorio de Certificados Camerales significa para los terceros usuarios de buena fe que confíen en el Certificado que el Certificado ha sido aceptado. &RQWHQLGRGHOFHUWLILFDGR Emisor del Certificado: CN=CamerFirma Autoridad de Certificación OU=CamerFirma O =CSC C =ES Sujeto del Certificado: )RUPXODULRGH3HWLFLyQ Suscriptor DNI Cargo en la empresa Departamento Nombre de la Empresa CIF URL del Servidor CN IP DNS Primario IP DNS secundario Tipo de servidor CSR (Clave pública y Peticion de certificado) Calle Provincia Código Postal Municipio Email Teléfono Nombre del Administrador Nombre del ISP CIF del ISP Email del Administrador &HUWLILFDGR;Y T (DN) OU (DN) CN(DN) ST (DN) OU (DN) Cámara de Comercio L (DN) EA (DN) C=ES -(5$548Ë$'(1250$6 En todo lo no expresamente previsto por las presentes Prácticas de Certificación será de aplicación lo señalado en la CPS de Camerfirma. ------------------------- Certificados Servidor Seguro p. 5