POLITICA DE CERTIFICADO SERVIDOR SEGURO (SSL/TLS) Junio 2016 Versión 1.0 IZENPE Este documento es propiedad de IZENPE, únicamente puede ser reproducido en su totalidad.
ÍNDICE 1 INTRODUCCIÓN... 3 1.1 DESCRIPCIÓN DE LOS CERTIFICADOS... 3 1.2 IDENTIFICACIÓN... 5 1.3 COMUNIDAD Y ÁMBITO DE USO... 5 1.4 DISPOSICIONES GENERALES... 5 2 REQUISITOS OPERATIVOS... 6 2.1 LISTADO DE DOCUMENTACIÓN REQUERIDA... 6 2.2 PROCEDIMIENTO DE SOLICITUD... 6 2.3 VALIDACIÓN DE LA DOCUMENTACIÓN... 7 2.4 EMISIÓN Y ENTREGA DEL CERTIFICADO... 8 2.5 IMPORTE... 8 2.6 VERIFICACIÓN DEL CERTIFICADO... 8 2.7 REVOCACIÓN DE CERTIFICADOS... 9 2.8 RENOVACIÓN DEL CERTIFICADO... 10 2.9 AUDITORIAS E INCIDENTES... 10 3 GESTIÓN DEL CAMBIO... 11 4 CONTROL DE CAMBIOS... 12 4.1 DE LA VERSIÓN 0 A LA 1.0... 12 Requerimientos adicionales... 12 Requerimientos actualizados... 12 Aclaraciones... 12 Editorial... 12 Requerimientos eliminados... 12 Junio 2016 2 / 12 Versión 1.0
1 INTRODUCCIÓN El presente documento recoge la Política correspondiente a los certificados emitidos por Ziurtapen eta Zerbitzu Enpresa - Empresa de Certificación y Servicios, Izenpe, S.A. (en adelante, Izenpe) para asegurar sitios web mediante el protocolo SSL/TLS, en sus diferentes versiones. Su finalidad es detallar y completar para este tipo de certificados lo definido de forma genérica en la Declaración de Prácticas de Certificación de Izenpe. La legislación y normativa en la que se basa Izenpe para emitir estos certificados es la siguiente: CA/Browser Forum Baseline Requirements Certificate Policy for the Issuance and Management of Publicly-Trusted Certificates CA/Browser Forum Guidelines For The Issuance And Management Of Extended Validation Certificates ETSI EN 319 411-1 (Policy and security requirements for Trust Service Providers issuing certificates; Part 1: General requirements) ETSI EN 319 411-2 (Policy and security requirements for Trust Service Providers issuing certificates; Part 2: Requirements for trust service providers issuing EU qualified certificates) ETSI EN 319 412-4 (Certificate profile for web site certificates) Perfil de certificado de sede electrónica definido por el Ministerio de Hacienda y Administraciones Públicas Reglamento (UE) Nº 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE. En adelante eidas. Así, Izenpe sigue las siguientes políticas de certificación: DVCP (Domain Validation Certificates Policy): en los certificados IZ-DV OVCP (Organizational Validation Certificates Policy): en los certificados IZ-OV EVCP (Extended Validation Certificates Policy): en los certificados de Sede y IZ-EV QCPW (Policy for EU Qualified Website Certificate): para los certificados IZ-Cualificados En el ámbito del proyecto de Google Certificate Transparency (CT), los certificados basados en la política EVCP y QCPW serán publicados en diferentes operadores de CT Log, para cumplir con la política definida por Google. Izenpe podrá publicar en cualquier caso certificados de otras políticas. 1.1 Descripción de los certificados Izenpe emite estos certificados con la finalidad de permitir a sus suscriptores ofrecer una seguridad adicional en sus servicios web. Estos certificados permiten la identificación fiable de sitios web, y el cifrado de comunicaciones entre el usuario y el sitio web, facilitando el intercambio de información a través de Internet. Según la validación realizada el certificado podrá ser, IZ-DV e IZ-DV Wildcard Este certificado, con la consideración de no cualificado según eidas, será utilizado para la identificación de la titularidad del dominio que alberga el sitio web, proporcionando una garantía razonable al usuario de un navegador de Internet. El IZ-DV Wildcard contiene un comodín en el nombre de host (ej: *.miweb.com). Se emiten según la política DVCP de ETSI EN 319 411-1. Junio 2016 3 / 12 Versión 1.0
La validez de estos certificados puede ser de 1, 2 o 3 años. IZ-OV e IZ-OV Wildcard Este certificado, con la consideración de no cualificado según eidas, será utilizado para la identificación de la titularidad del dominio y acreditación de la organización, proporcionando una garantía razonable al usuario de un navegador de Internet de que el sitio web al que accede es titularidad de la organización identificada en el certificado. El IZ-OV Wildcard contiene un comodín en el nombre de host (ej: *.miweb.com). Se emiten según la política OVCP de ETSI EN 319 411-1. La validez de estos certificados puede ser de 1, 2 o 3 años. IZ-EV Este certificado, con la consideración de no cualificado según eidas, será utilizado para la identificación de la titularidad del dominio y acreditación de la organización, proporcionando una garantía robusta al usuario de un navegador de Internet de que el sitio web al que accede es titularidad de la organización identificada en el certificado. Se emiten según la política EVCP de ETSI EN 319 411-1. La validez de estos certificados puede ser de 1 o 2 años.sede Electrónica En el ámbito de la Ley 40-2015 Régimen Jurídico Sector Público, Izenpe emite certificados del tipo sede electrónica. Se emiten según la política QCPW de ETSI EN 319 411-2 y el perfil de certificado de sede definido por el Ministerio de Hacienda y Administraciones Públicas. Se trata de un certificado con la consideración de cualificado según eidas en el que se identifica a la Administración Pública, órgano o entidad administrativa titular de la sede. La validez de estos certificados es de 2 años. IZ-Cualificado Certificado cualificado de sitio web según eidas que cumple con los requerimientos de la política QCPW de ETSI EN 319 411-2, y el anexo IV de eidas. La validez de estos certificados puede ser de 1 o 2 años. Junio 2016 4 / 12 Versión 1.0
1.2 Identificación Con el objeto de identificar los certificados, Izenpe les ha asignado los siguientes identificadores de objeto (OID). CERTIFICADO OID IZ-DV 1.3.6.1.4.1.14777.1.2.4 IZ-OV 1.3.6.1.4.1.14777.1.2.1 IZ-EV 1.3.6.1.4.1.14777.6.1.1 Sede 1.3.6.1.4.1.14777.6.1.4 IZ cualificado 1.3.6.1.4.1.14777.6.1.3 1.3 Comunidad y ámbito de uso Se definen los siguientes participantes, Solicitante del certificado, entidad que solicita el certificado. Una vez emitido el certificado el solicitante pasa a denominarse suscriptor. Suscriptor de certificado, organización para la cual se emite el certificado, y que acepta el contrato suscriptor o condiciones de uso. Sujeto, el dispositivo, sistema o entidad identificada en el certificado. Ámbito de uso. Los certificados serán utilizados en el ámbito de las competencias propias de la organización, Administración Pública, órgano o entidad administrativa titular del certificado. 1.4 Disposiciones generales Obligaciones de identificación Izenpe comprueba, por si misma o por medio de aquellas entidades con las que suscriba el correspondiente instrumento legal, la identidad y cualesquiera otras circunstancias de los solicitantes y suscriptores de los certificados. El instrumento legal existente entre las partes incluirá la exigencia de cumplimiento de lo indicado en los requisitos de ETSI y CABForum. Obligaciones del suscriptor del certificado Son obligaciones del suscriptor las recogidas en la Declaración de Prácticas de Certificación, apartado 9.6.9 Obligaciones del suscriptor del certificado. Junio 2016 5 / 12 Versión 1.0
2 REQUISITOS OPERATIVOS 2.1 Listado de documentación requerida Solicitud de emisión debidamente cumplimentada a través de: o Papel con firma manuscrita o Electrónicamente con firma electrónica: con un certificado reconocido de Izenpe o DNI que identifique al solicitante o Aplicación de solicitud de certificados de servidor seguro de Izenpe El solicitante aceptará así las Condiciones de Uso y el Contrato de Suscriptor que resulten de aplicación en la fecha de firma de la Solicitud, publicados en www.izenpe.com. Además excepto en el caso de IZ-DV, es necesario presentar: Para acreditar la identidad y vigencia de la entidad solicitante o Si entidad pública: Nombre: obtenido de Boletín Oficial, certificado del secretario o Registro Mercantil CIF: obtenido de Agencia de Protección de Datos, Boletín Oficial o Registro Mercantil o Si entidad privada: Nombre: mediante certificación original del registro correspondiente o nota simple informativa CIF: obtenido de Agencia de Protección de Datos, certificación original del registro correspondiente o nota simple informativa Para acreditar la competencia del solicitante para usar el nombre de la entidad o Si entidad pública: mediante certificación expedida por el Secretario/Letrado, nota simple informativa o referencia en Boletín Oficial en los 13 meses anteriores a la solicitud de emisión o Si entidad privada: mediante certificación original del registro correspondiente o nota simple informativa No es necesario acreditar la identidad ni competencia del solicitante en caso de existir un certificado vigente del tipo corporativo reconocido, representante, sello, IZ-OV o IZ-EV emitido por Izenpe al solicitante, siempre que el certificado haya sido emitido en los últimos 39 meses (13 meses en el caso de EVs e IZ cualificado). 2.2 Procedimiento de Solicitud El SOLICITANTE remitirá la Solicitud de emisión y la documentación requerida a, o La dirección IZENPE, S.A., C/ BEATO TOMAS DE ZUMARRAGA 71-1ª PLANTA 01008 VITORIA-GASTEIZ. o Por vía telemática a la dirección de correo electrónico certservidor@izenpe.net. o O bien a través de la aplicación dispuesta para ello en la web de Izenpe. Con la firma de la Solicitud de Emisión, el solicitante acepta las Condiciones de Uso y el Contrato de Suscriptor. Junio 2016 6 / 12 Versión 1.0
2.3 Validación de la documentación Izenpe realizará las siguientes validaciones, en función del tipo de certificado solicitado: Aplica a IZ-DV IZ-OV IZ-EV Sede Iz cualificado Comprobación El titular (registrant) deberá coincidir con la organización solicitante. En caso contrario, el solicitante deberá acreditar el derecho de uso por parte del suscriptor. Comprobación de que el solicitante tiene el derecho de uso del dominio o subdominio: Dominios.es: www.nic.es Dominios.eu: www.eurid.eu Dominio.eus: whois.nic.eus Resto dominios: whois.icann.org Comprobación del CAA en caso de que estén registrados y en cualquier caso siguiendo las directrices de la RFC 6844. IZ-OV IZ-EV Sede Iz cualificado En el caso de certificados SSL DV y SSL OV se permitirán los wildcard en subdominios o nombres de host, pero no en dominios de nivel superior (TLD) o en el nombre de dominio. La entidad solicitante deberá poder demostrar su legítimo control del dominio completo, en caso contrario se rechazará la solicitud. Por ejemplo, no se pueden emitir *.co.uk, *.local o ejemplo.*, pero si *.ejemplo.com a la empresa Ejemplo S.A. Verificación de la identidad y vigencia de la entidad solicitante Comprobación de la competencia del Solicitante para usar el nombre de la entidad Comprobación por email de que el solicitante tiene conocimiento de la tramitación del certificado. Verificación de la dirección postal en: Agencias de Protección de Datos. Páginas de operadores telefónicos. Eudel para municipios de Euskadi. Registro Mercantil En el caso de discrepancia entre la documentación aportada y la comprobada, Izenpe verificará que la dirección que consta en la Solicitud corresponde a una ubicación en la que la Organización solicitante opera de manera estable. Verificación del país en: AGPD Eudel Páginas amarillas Registro Mercantil Comprobación de lista de denegados en bases de datos interna de Izenpe. Comprobación de peticiones de alto riesgo en Mcafee TrustedSource IZ-EV Sede Comprobación de pertenencia del número de teléfono fijo (no móvil) a la entidad solicitante en: Junio 2016 7 / 12 Versión 1.0
Iz cualificado Páginas de operadores telefónicos, Agencias de Protección de Datos o Eudel, para municipios de Euskadi. Mediante llamada directa Comprobación de la existencia operativa. Las entidades privadas deberán acreditar que realizan movimientos bancarios con una institución financiera regulada. Izenpe realiza una comprobación dual, interviniendo el Área Técnica y la Asesoría Jurídica. Además en los mismos casos todas las validaciones son revisadas por el Responsable del Área Técnica Izenpe podrá realizar comprobaciones adicionales como pueden ser: confirmación de petición por la organización o autorización al solicitante para tramitar el certificado en nombre de la organización y la revisión anual de su cumplimiento mediante auditoría externa. En los casos en los que no se pueda realizar la validación según lo determinado, se justificará en el documento de comprobación de la documentación. Una vez comprobada la documentación, Izenpe dejará constancia de las comprobaciones realizadas a través del documento de comprobación de la documentación. Únicamente en los certificados EV la validación es dual, es decir hecha por dos personas diferentes que se validan mutuamente las comprobaciones realizadas. No será necesario realizar las comprobaciones anteriores, si la información ya ha sido validada en el plazo máximo de 13 meses para IZ-EV, sede e IZ cualificado, y 39 meses el resto. Izenpe NO contempla emisiones a direcciones IP (ej: 1.2.3.4). Izenpe NO contempla emisiones a personas físicas. En el caso de entidades cuya sede esté fuera del ámbito nacional deberán utilizar fuentes oficiales de su respectivo país para obtener la documentación exigida por Izenpe. 2.4 Emisión y entrega del certificado Izenpe se pondrá en contacto con el técnico indicado en la Solicitud de Emisión para que genere la petición técnica y la remita a Izenpe por email o a través de la aplicación de solicitud, en el caso de haberse utilizado este canal. Izenpe enviará el certificado al técnico vía email o a través de la aplicación. 2.5 Importe Emitido el certificado, se abonará el importe según la tarifa aplicable. Anualmente Izenpe publica en su web www.izenpe.com las tarifas aplicables e igualmente en la aplicación dispuesta a tal efecto 2.6 Verificación del certificado El Solicitante dispondrá de 15 días hábiles desde la emisión del certificado para verificar su correcto funcionamiento y, en caso de que fuera necesario comunicar a Izenpe los defectos de funcionamiento. Únicamente si los defectos de funcionamiento se debieran a causas técnicas a errores en los datos contenidos en el certificado aplicables a Izenpe, Izenpe revocará el certificado y procederá a emitir uno nuevo asumiendo los costes derivados. Junio 2016 8 / 12 Versión 1.0
2.7 Revocación de certificados Solicitud de revocación Podrán solicitar la revocación del certificado, - El suscriptor. Se entiende que están autorizados para solicitar la revocación del certificado: el Representante Legal de la entidad suscriptora, el Responsable de Personal o tercero autorizado por cualquiera de los anteriores. - El solicitante. - Izenpe está autorizados para solicitar la revocación de certificados de suscriptor de entidad final, en los casos contemplados en la DPC. Procedimiento El solicitante de la revocación tramitará ante Izenpe la Solicitud de Revocación. Izenpe revocará el certificado en el momento en el que reciba la solicitud de revocación. El solicitante podrá revocar el certificado a través de los siguientes canales, - Presencialmente ante, o Izenpe solicitando cita previa a través de www.izenpe.com o O ante la organización suscriptora con la que Izenpe haya suscrito el instrumento legal pertinente. - Telefónicamente, llamando al número de teléfono 902 542 542. Se requerirá para la identificación: o DNI solicitante o DNI contacto técnico o Email solicitante o Nombre completo del sitio (FQDN) - Online, en la dirección www.izenpe.com Se requerirá para la identificación: o DNI solicitante o DNI contacto técnico o Email solicitante o Nombre completo del sitio (FQDN) - O vía postal, remitiendo solicitud de revocación del certificado firmada y legitimada en presencia notarial. Causas de revocación Pueden consultarse en la Declaración de Prácticas de Certificación www.izenpe.com Además, en el caso de los certificados regulados en esta Política, Izenpe: 1. Presentará al suscriptor, a terceras partes y a los navegadores de Internet, instrucciones claras para la presentación de denuncias o sospechas de compromiso de la clave privada, de mal uso de certificados o de otros tipos de fraude, compromiso, mal uso, o conducta impropia en relación con los certificados. 2. Investigará los informes de problemas dentro de las veinticuatro horas siguientes a su recepción y decidirá sobre la revocación, atendiendo a los siguientes criterios: - La naturaleza del supuesto problema; - El número de informes recibidos de problemas de un certificado o página web. - La identidad de los denunciantes. - La legislación vigente. Junio 2016 9 / 12 Versión 1.0
2.8 Renovación del certificado Para renovar un certificado, el solicitante deberá seguir el proceso de emisión de certificados establecido, teniendo en cuenta que las comprobaciones son válidas durante 13 meses para los certificados tipo IZ-EV, sede e IZ cualificado, y 39 meses el resto. 2.9 Auditorias e incidentes Criterios referentes a auditorías y análisis de incidentes, Vías a través de las cuales presentar quejas o sugerencias, - Telefónica: 902 542 542 - Mail: info@izenpe.com - Cumplimentación del formulario de quejas y sugerencias disponible en la dirección www.izenpe.com - Cumplimentación de los formularios de quejas o reclamaciones disponibles en los puestos de registro. Registro interno de incidentes producidos. Los incidentes de seguridad son gestionados por el Comité de Seguridad de Izenpe. La planificación anual de auditorías se realiza según los criterios establecidos por ETSI y CABForum. Izenpe reporta aquellos casos que considere como incidentes (casos de fraude, phising, etc.) en el sitio web del Anti-PhisingWorkGroup (www.apwg.org) y verifica de forma previa a la emisión que el solicitante o representantes no constan en la base de datos interna de incidentes de seguridad de Izenpe. En todo caso se reserva el derecho de emitir certificados ante situaciones sospechosas. Junio 2016 10 / 12 Versión 1.0
3 GESTIÓN DEL CAMBIO Las modificaciones de este documento serán aprobadas por del Comité de Seguridad de Izenpe. Estas modificaciones estarán recogidas en el apartado 4. Control de Cambios del presente documento de Política, cuyo mantenimiento está garantizado por Izenpe. Las versiones actualizadas del documento de Política de Certificado de Servidor Seguro podrán ser consultadas en la dirección www.izenpe.com. Junio 2016 11 / 12 Versión 1.0
4 CONTROL DE CAMBIOS 4.1 De la versión 0 a la 1.0 Requerimientos adicionales Añadidos requisitos de eidas Añadida posibilidad usar aplicación SSL Añadido requisito que no se emite a personas físicas Requerimientos actualizados Revisado el procedimiento de validación Aclaraciones No hay Editorial No hay Requerimientos eliminados Eliminado requisito hoja de entrega Junio 2016 12 / 12 Versión 1.0