东方中讯数字证书认证有限公司

预制证书策略(CP)

（版本：V1.2）

版权归属东方中讯数字证书认证有限公司

（任何单位和个人不得擅自翻印）

2024年12月30日

目录

1概括性描述................................................................................................................................ 5

1.1概述................................................................................................................................. 5

1.2 文档名称与标识............................................................................................................... 6

1.3电子认证活动参与者......................................................................................................... 6

1.3.1 电子认证服务机构.................................................................................................. 6

1.3.3 证书种类与订户..................................................................................................... 7

1.4证书应用.......................................................................................................................... 7

1.4.1 适合的证书应用..................................................................................................... 7

1.4.2限制的证书应用...................................................................................................... 7

1.5 策略管理......................................................................................................................... 8

1.5.1策略文档管理机构................................................................................................... 8

1.5.2联系方式................................................................................................................. 8

1.5.3 决定CP符合策略的机构......................................................................................... 8

1.5.4 CP 批准程序........................................................................................................... 8

2信息发布与信息管理................................................................................................................. 10

2.1信息库............................................................................................................................ 10

2.2认证信息的发布.............................................................................................................. 10

2.3发布的时间或频率........................................................................................................... 10

2.4信息库访问控制.............................................................................................................. 10

3身份识别与鉴别........................................................................................................................ 11

3.1命名................................................................................................................................ 11

3.1.1名称类型............................................................................................................... 11

3.1.2对名称意义化的要求............................................................................................. 11

3.1.3 订户的匿名或伪名................................................................................................ 11

3.1.4 解释不同名称形式的规则...................................................................................... 11

3.1.5名称的唯一性........................................................................................................ 11

3.1.6 商标的识别、鉴别和角色...................................................................................... 11

3.2初始身份确认.................................................................................................................. 12

3.2.1证明拥有私钥的方法............................................................................................. 12

3.2.2 组织机构身份的鉴别............................................................................................. 12

3.2.3 没有验证的订户信息............................................................................................. 12

3.2.4授权确认............................................................................................................... 12

3.2.5互操作准则........................................................................................................... 12

3.3密钥更新请求的标识与鉴别............................................................................................. 13

3.3.1常规密钥更新的标识与鉴别................................................................................... 13

3.3.2撤销后密钥更新的标识与鉴别............................................................................... 13

3.4撤销请求的标识与鉴别.................................................................................................... 13

4证书生命周期操作要求............................................................................................................. 13

4.1证书申领......................................................................................................................... 13

4.1.1 证书申领实体....................................................................................................... 13

4.1.2注册过程与责任.................................................................................................... 14

4.2证书申领处理.................................................................................................................. 14

4.2.1执行识别与鉴别功能............................................................................................. 14

4.2.2证书申领批准和拒绝............................................................................................. 14

4.2.3处理证书申领的时间............................................................................................. 14

4.3证书签发......................................................................................................................... 15

4.3.1证书签发中发证机构和电子认证服务机构的行为................................................... 15

4.3.2电子认证服务机构和发证机构对订户的通告.......................................................... 15

4.4证书接受......................................................................................................................... 15

4.4.1构成接受证书的行为............................................................................................. 15

4.4.2电子认证服务机构对证书的发布............................................................................ 16

4.4.3电子认证服务机构对其他实体的通告..................................................................... 16

4.5密钥对和证书的使用....................................................................................................... 16

4.5.1订户私钥和证书的使用.......................................................................................... 16

4.5.2依赖方公钥和证书的使用...................................................................................... 16

4.6证书更新......................................................................................................................... 17

4.6.1证书更新请求的处理............................................................................................. 17

4.6.3构成接受更新证书的行为...................................................................................... 17

4.6.4电子认证服务机构对更新证书的发布..................................................................... 18

4.6.5电子认证服务机构对其他实体的通告..................................................................... 18

4.7证书密钥更新.................................................................................................................. 18

4.8证书变更......................................................................................................................... 18

4.9证书撤销和挂起.............................................................................................................. 18

4.9.1 证书撤销的情形.................................................................................................... 18

4.9.2 请求证书撤销的实体............................................................................................. 19

4.9.3请求撤销的流程.................................................................................................... 19

4.9.5电子认证服务机构处理撤销请求的时限................................................................. 19

4.9.6依赖方检查证书撤销的要求................................................................................... 20

4.9.7 CRL 发布频率........................................................................................................ 20

4.9.8 CRL 发布的最大滞后时间....................................................................................... 20

4.9.9 在线的撤销/状态查询的可用性............................................................................. 20

4.9.11撤销信息的其他发布形式..................................................................................... 20

4.9.12对密钥遭受安全威胁的特别处理要求................................................................... 20

4.9.13证书挂起............................................................................................................. 20

4.10证书状态服务................................................................................................................ 21

4.10.1操作特征............................................................................................................. 21

4.10.2服务可用性.......................................................................................................... 21

4.12密钥生成、备份与恢复........................................................................................... 21

5认证机构设施、管理和操作控制............................................................................................... 21

6认证系统技术安全控制............................................................................................................. 22

7证书、证书撤销列表和在线证书状态协议................................................................................. 22

7.1证书................................................................................................................................ 22

7.1.1 版本号.................................................................................................................. 22

7.1.2 证书扩展项........................................................................................................... 22

7.1.3算法对象标识符.................................................................................................... 23

7.1.4名称形式............................................................................................................... 23

7.1.5名称限制............................................................................................................... 23

7.1.6证书策略对象标识符............................................................................................. 24

7.1.7策略限制扩展项的用法.......................................................................................... 24

7.1.8策略限定符的语法和语义...................................................................................... 24

7.1.9关键证书策略扩展项的处理规则............................................................................ 24

7.2CRL.................................................................................................................................. 24

7.3在线证书状态协议........................................................................................................... 24

8认证机构审计和其它评估.......................................................................................................... 24

9法律责任和其他业务条款.......................................................................................................... 24

9.1费用................................................................................................................................ 24

9.2财务责任......................................................................................................................... 25

9.3业务信息保密.................................................................................................................. 25

9.4个人信息私密性.............................................................................................................. 25

9.5知识产权......................................................................................................................... 25

9.6陈述与担保..................................................................................................................... 25

9.7免责条款......................................................................................................................... 28

9.8有限责任......................................................................................................................... 29

9.9EZCA承担的赔偿责任的限制............................................................................................ 29

9.10有效期限与终止............................................................................................................ 29

9.11对参与者的个别通告与沟通........................................................................................... 30

9.12修订.............................................................................................................................. 30

9.13争议处理....................................................................................................................... 30

9.14管辖法律....................................................................................................................... 31

9.15与适用法律的符合性..................................................................................................... 31

9.16一般条款......................................................................................... .............................................31

1概括性描述

1.1概述

东方中讯CA中心，即东方中讯数字证书认证有限公司（英文简称EZCA），成立于2001年4月12日，注册资本3000万元。主要从事数字证书认证、信息安全技术服务等业务，是经国家密码管理局、工业和信息化部批准的权威的、合法的、公正的第三方电子认证服务机构，是可以信赖的、专业的信息安全服务机构。

证书策略（CP，Certification Policy）是关于认证机构（CA,Certification Authority）制订的一组规则，表明证书对特定群体的适用范围，或对不同安全需求类型的适用规则。

本证书策略的适用范围为：EZCA发放的预制证书，此处的预制证书是指由EZCA按照本CP7.1.4的规则定义证书DN后，订户申领安全的存储介质（如USBKey）时，发证机构须对订户的身份进行审核，订户自助提交相关信息生成数字证书，将证书的DN信息与订户的身份信息绑定。订户使用自己存储介质内的私钥对自助提交信息进行数字签名，在发证机构对签名数据进行验证成功后，将用户的数字证书与应用系统进行关联，完成激活操作。当预制证书与订户身份信息绑定后，该预制证书方可生效。

此处的绑定是指将证书的DN信息与订户的身份信息（包括但不限于企业名称、组织机构编码、安全的存储介质编号）在数据库中建立对应的关系，以便使该证书对应确定的实体。

此处的关联是指将证书的DN信息与应用系统的信息（包括但不限于发证机构名称、应用系统类型等）在数据库中建立对应的关系，以便使该证书用于特定的应用当中。

此处的激活是指订户接受证书后，对订户自助提交身份信息进行数字签名，发证机构对订户提交的信息进行审核验证操作。

1.2 文档名称与标识

本文档的名称为《EZCA预制证书策略（CP）》（“CP”），已注册的对象标识符（OID）为2.5.29.32.0。

1.3电子认证活动参与者

本文中所包含的电子认证活动参与者有：电子认证服务机构、发证机构、订户、依赖方以及其它参与者，下面将分别进行描述。

1.3.1 电子认证服务机构

在预制证书业务中，制证系统设在EZCA处，EZCA按照本CP7.1.4的规则定义证书DN后，预先在安全的存储介质（如USBKey）中生成并植入证书，且承担证书查询、证书黑名单（又称证书撤销列表或CRL）发布、政策制定等工作。

1.3.2发证机构

在预制证书业务中，预制后的证书发放给订户的工作由发证机构承担。发证机构须对订户提交的资料进行审核，以决定是否为该订户发放证书；并须将证书DN信息与订户的身份信息进行绑定，并与应用系统进行关联后，该证书方可被有效使用。

在成为EZCA预制证书的发证机构之前，发证机构须与EZCA签署《预制证书合作协议》，承担相应的权利和义务。

1.3.3 证书种类与订户

本证书策略的适用范围为EZCA发放的预制证书。

订户是指向CA机构申请证书的实体。在电子签名应用中，订户即为电子签名人。

1.3.4 依赖方

依赖方是指为某应用而依赖于证书真实性的实体。在电子签名应用中，即为电子签名依赖方。依赖方可以是也可以不是一个订户。

1.3.5 其它参与者

在预制证书业务中除了电子认证服务机构（EZCA）、发证机构、订户和依赖方以外的参与者称为其它参与者。

1.4证书应用

1.4.1 适合的证书应用

在证书的DN信息与订户的身份信息绑定、并与应用系统关联后，预制证书方能根据应用系统的要求用于不同的应用领域。

EZCA预制证书的订户仅包括企业，用于实现企业在网上信息传递过程中安全级别较高的身份验证、信息加密和数字签名等功能。

1.4.2限制的证书应用

在证书的DN信息与订户的身份信息绑定、并与应用系统关联前，预制证书不能被有效使用。

此外，EZCA的数字证书不能在如下方面使用：

1、任何与国家或地方法律、法规规定相违背的应用系统；

2、EZCA不认可的证书应用系统；

3、订户在接受证书后未成功激活之前。

1.5 策略管理

1.5.1策略文档管理机构

本CP的制定与修订由东方中讯CA安全策略管理委员会负责。

1.5.2联系方式

如对本CP有任何疑问，请联系：

联系人：安全策略管理委员会童佳

电话：400-023-5888 023-67030177 微信公众号：EZCA东方中讯

地址：重庆市南岸区复兴街9号中讯时代大厦6楼

1.5.3 决定CP符合策略的机构

总经理审批同意后，方可对外发布CP。发布形式应符合行业主管部门等相关主管部门的要求。

1.5.4 CP 批准程序

安全策略管理委员会组织成立“CP编写组”负责起草或修订CP形成讨论稿（或CP修订内容），并征求公司领导和各部门负责人意见，经讨论、修改达成一致意见后形成送审稿。

CP编写组”负责将CP送审稿提交公司法律顾问审阅。在取得法律顾问的意见书后，“CP 编写组”将经法律顾问审阅过的CP送审稿连同法律顾问的意见书提交安全策略管理委员会，由安全策略管理委员会确定CP文本格式和版本号，形成定稿。

CP 定稿经安全策略管理委员会主任审阅后，报总经理审批。总经理审批同意后方可对外发布。发布形式应符合行业主管部门等相关主管部门要求，包括但不限于网站公布和向客户或合作对象书面提交。发布工作由安全策略管理委员会协调相关部门完成，并将CP电子版及法律顾问的意见书交行政人事部存档。

CP 的网上发布遵照《网站管理办法》执行。自CP发布之日起，所有以各种形式对外提供的CP须与网站公布的CP保持一致。

2信息发布与信息管理

2.1信息库

EZCA信息库是一个对外公开的信息库，它能够保存、取回证书及与证书有关的信息。EZCA预制证书信息库包括但不限于以下内容：证书、CRL、OCSP、预制证书管理平台、CPS、CP、预制证书服务协议、技术支持手册、EZCA网站信息以及EZCA不定期发布的信息。EZCA信息库不会对从EZCA发出的任何证书和证书撤销信息进行修改，而只会准确地描述上述内容。

2.2认证信息的发布

证书状态可以通过预制证书管理平台，OCSP、CRL获得。

CPS、CP、预制证书服务协议、技术支持手册等信息可从EZCA网站（https://www.ezca.org）上获得。

2.3发布的时间或频率

CPS、CP以及相关业务规则在完成1.5.4所述的批准流程后的 15 个工作日内发布到EZCA网站上；预制证书状态信息实时发布到 OCSP 中；预制证书的撤销信息将在证书撤销后 24 小时内更新信息库，根据需要，也可以人工方式实时发布最新 CRL。

2.4信息库访问控制

EZCA的安全访问控制机制确保只有经过授权的人员才能编写和修改信息库中的信息，但不限制对这些信息的阅读权。

3身份识别与鉴别

3.1命名

3.1.1名称类型

EZCA的预制证书采用 X.500 定义的甄别名称（DN）标准来唯一标识一个安全的存储介质（如 USBKey），DN 的详细规则定义见本CP的 7.1.4。

3.1.2对名称意义化的要求

DN（Distinguished Name）：唯一甄别名，在数字证书的主体名称域中，用来唯一标识一个安全的存储介质（如 USBKey）。

DN 的定义有特定的规则，并具有特定的意义，见本CP 7.1.4。

3.1.3 订户的匿名或伪名

无

3.1.4 解释不同名称形式的规则

DN 的命名规则由EZCA定义，详见本CP7.1.4的说明。

3.1.5名称的唯一性

EZCA保证其签发的证书，其主题甄别名，在EZCA的信任域内是唯一的。

3.1.6 商标的识别、鉴别和角色

无

3.2初始身份确认

3.2.1证明拥有私钥的方法

在预制证书业务中，EZCA制订了严格的管理流程，从技术与制度上保证了在生成证书时，与此张证书相对应的私钥只留存在安全的存储介质中，不会留存任何备份。当订户申领证书时，发证机构须对其身份进行审核，并将证书的DN信息与订户的身份信息进行绑定，并与应用系统进行关联后，此证书才能被订户有效使用。此时，订户是其签名私钥的唯一持有者。EZCA要求订户妥善保管自己的签名私钥。

3.2.2 组织机构身份的鉴别

组织机构订户在申领证书前或在其它发证机构绑定新的应用前应指定并授权证书的申领代表，接受证书申领的有关条款，承担相应的责任。鉴别组织机构的身份时，指定证书申领者须向发证机构审核人员提供有效证明文件。EZCA授权的发证机构将复核并验证申领文件的真实性，并进行批准申领或拒绝申领的操作。

3.2.3 没有验证的订户信息

无

3.2.4授权确认

当申请者代表个人或组织机构申请证书时，需要出示足够的证明信息以证明个人或组织机构是否真实存在，申请者是否已获得个人或组织机构的授权。EZCA或发证机构有责任确认该授权信息，并将授权信息妥善保存。

3.2.5互操作准则

订户在某个发证机构申领了EZCA签发的预制证书后，也可至EZCA授权的其它发证机构进行新的注册过程，将原有的证书与新的应用系统进行关联后，可实现一张证书在不同发证机构应用系统中的应用。

3.3密钥更新请求的标识与鉴别

订户证书到期后，订户需对原有证书进行更新。在更新时产生一个新的密钥对代替过期的密钥对，称作“密钥更新”。在密钥更新时，证书的DN未改变。

若为一个现存的加密密钥对申请一个新证书，则称为“证书更新”。

3.3.1常规密钥更新的标识与鉴别

常规密钥更新的流程详见本CP的4.7。

3.3.2撤销后密钥更新的标识与鉴别

证书撤销后的密钥更新等同于订户重新申请证书，订户证书撤销后的密钥更新处理流程见本CP的4.2。

3.4撤销请求的标识与鉴别

证书撤销请求的标识与鉴别流程见本CP的4.9.3。

4证书生命周期操作要求

4.1证书申领

任何具有独立法人资格的企事业单位、社会团体等各类组织机构需要在应用中进行基于数字证书的身份鉴别、需要采用数字签名及实现信息加密时，可向EZCA或其授权的发证机构提出证书申请。

4.1.2注册过程与责任

1、最终订户

最终订户须明确表示其愿意接受订户协议中所规定的相关责任与义务（订户协议公布在EZCA网站上），并需要提供真实、准确的申请信息；

2、发证机构

发证机构须与EZCA签订《东方中讯数字证书服务协议》。在预制证书业务中，发证机构须对订户提交的资料进行审核，以决定是否为该订户发放证书；并须将证书的DN信息与订户的身份信息进行绑定、与应用系统进行关联后，此证书方可被有效使用。

4.2证书申领处理

4.2.1执行识别与鉴别功能

证书申领者向发证机构提交初始的证书申领请求，以及申请将证书关联新的应用时，发证机构须按照以下规定对订户的申领材料进行审查；

机构订户：参照 3.2.2 节的规定。

4.2.2证书申领批准和拒绝

发证机构对证书申领者提交的申领信息及身份信息进行鉴别，鉴别其是否完整、真实、有效。经鉴别符合要求后，将批准申领。如果申领者未能通过审核，发证机构将拒绝申领者的申领，并通知申领者。

4.2.3处理证书申领的时间

EZCA及发证机构将在合理的时间内完成证书申领处理。在申领者提交的资料齐全且符合要求的情况下，处理证书申领的时间不超过 5 个工作日。

4.3证书签发

4.3.1证书签发中发证机构和电子认证服务机构的行为

EZCA制订了严格的管理流程，从技术与制度上保证了在生成证书时，与此证书相对应的私钥只留存在安全的存储介质中，EZCA不会留存任何备份。

当订户申领证书时，发证机构需对订户的身份进行审核，审核通过后将订户的身份信息与证书的DN信息进行绑定、与应用系统进行关联后，并对绑定和关联后的信息进行数字签名后通过安全的通道传送至EZCA，EZCA校验安全接入签名，记录用户信息和关联信息，并对安全接入签名信息和时间信息进行数字签名后保存。

4.3.2电子认证服务机构和发证机构对订户的通告

EZCA签发证书后，由于该证书尚未进行激活，还无法进行应用，因此EZCA对于其签发的证书不会对订户进行通告。

发证机构在审核订户身份后，无论是拒绝还是批准订户的证书申请，发证机构有义务告知订户申请结果。

4.4证书接受

4.4.1构成接受证书的行为

当订户填写证书申请表，并提供真实、准确的身份信息经发证机构审核通过，并同意《预制证书服务协议》的约定，申领到预制证书后即视为订户已经接受此证书。

4.4.2电子认证服务机构对证书的发布

EZCA在签发预制证书的同时会将该证书发布到公开的信息库和指定的数据库中。在绑定身份、关联应用后会将该信息记录在指定的数据库中，并通过安全的机制向依赖方提供查询服务。

4.4.3电子认证服务机构对其他实体的通告

证书与证书状态信息向其它实体进行通告。证书关联的应用信息与绑定的身份信息不对其它实体进行通告。

4.5密钥对和证书的使用

4.5.1订户私钥和证书的使用

订户在使用私钥和证书时须遵循以下约定：

1、订户只能在规定的范围内（在本CP.4 中定义）使用私钥和证书，并对使用行为承担责任；

2、订户在使用证书时必须遵守《预制证书服务协议》及EZCA CPS和本CP的要求；

3、订户应当妥善保存其私钥和证书，避免他人未经本人授权而使用本人证书情形的发生。

4.5.2依赖方公钥和证书的使用

在依赖方接受数字签名信息后需要：

1、获得数字签名对应的证书及信任链；

2、确认该签名对应的证书是依赖方信任的证书；

3、证书的用途适用于对应的签名；

4、使用证书上的公钥验证签名；

5、确认数字签名对应的证书状态正常，没有进入CRL列表。依赖方需要采用合适的软（硬）件进行数字签名的验证工作，包括验证证书链及链中所有证书的数字签名。

4.6证书更新

证书更新指订户证书到期后颁发新证书的操作。

4.6.1证书更新请求的处理

(一)在证书到期之前，订户既可以自行登录EZCA提供的预制证书管理平台进行密钥更新，也可以向发证机构提交密钥更新申请。

订户自行登录EZCA提供的预制证书管理平台进行密钥更新时，须利用原始证书登录该平台，通过验证后方可进行密钥更新。

订户向发证机构提交密钥更新申请时，发证机构对以下申请材料进行审查: 机构订户：参照 3.2.2 节的规定。

（二）在证书到期之后，订户只能向发证机构提交密钥更新申请进行密钥更新，密钥更新请求的处理同上。

4.6.2颁发更新证书时对订户的通告

订户通过预制证书管理平台更新证书时，订户更新后即可使用新证书，无须EZCA对订户进行通告。

订户向发证机构提出更新申请时，发证机构在审核订户身份后，无论是拒绝还是批准订户的更新申请，均有义务告知订户申请结果。

4.6.3构成接受更新证书的行为

当订户使用原有的证书登录预制证书管理平台，通过验证并完成更新后即构成接受更新的行为；或当订户向发证机构提出证书更新请求，并提供真实、准确的身份信息经发证机构审核通过，发证机构将更新后的证书交还给订户，亦视为订户接受更新证书的行为。

4.6.4电子认证服务机构对更新证书的发布

更新后的证书会在更新的同时被CA机构发布到公开的信息库和指定的数据库中。

4.6.5电子认证服务机构对其他实体的通告

更新后的证书会在更新的同时被CA机构发布到公开的信息库和指定的数据库中，订户和依赖方可以在信息库上自行查询。

此外，EZCA也会将更新后的证书状态信息向订户进行过新应用绑定的其它发证机构进行通告。

4.7证书密钥更新

无

4.8证书变更

无

4.9证书撤销和挂起

4.9.1 证书撤销的情形

如有下列情况中的任何一种情况发生，则订户的证书将被撤销：

1)订户申领预制证书时，提供的资料不真实；

2)订户未履行证书服务协议约定的义务；

3)订户书面申请撤销数字证书；

4)证书的安全性不能得到保证，如相信或怀疑密钥泄漏或遭受攻击，忘记或泄漏了证书使用口令，存放证书的介质损坏或被锁定等；

5)法律、行政法规规定的其他情况。撤销分为主动撤销和被动撤销。主动撤销是指由订户提出撤销申请，由发证机构审核通过后撤销证书的情形；被动撤销是指当发证机构或CA确认订户违反证书应用规定、约定或订户主体已经消亡等情况发生时，采取撤销证书的手段以停止对该证书的证明。当出现上述提到的第 1、2 种情况时，适用于被动撤销，第 3 种情况适用于主动撤销，第 4、5 种情况则既可能出现被动撤销，也可能出现主动撤销。

4.9.2 请求证书撤销的实体

在符合本CP4.9.1所述的情形下，请求证书撤销的实体与本CP4.1.1证书申请实体相同。另外，发证机构或EZCA也可以在本CP4.9.1 所述的情形下主动撤销订户的证书。

4.9.3请求撤销的流程

最终订户撤销证书时可按以下流程进行：

1) 订户（或其授权委托人）填写书面申请表并签名或盖章，同时提交相应的证明材料，向发证机构提出撤销证书请求。

2) 接到撤销申请的发证机构，验证申请者身份及撤销理由的正当性，并对审核资料进行归档保存。

3) 发证机构在验证撤销申请后撤销证书。

4)EZCA及时将证书撤销信息发布到EZCA信息库中，并且撤销信息会及时通知关联过应用的发证机构。

4.9.4撤销请求宽限期

订户一旦发现需要撤销证书，应及时向发放该证书的发证机构或关联过新应用的发证机构提出撤销请求。

4.9.5电子认证服务机构处理撤销请求的时限

EZCA或其授权的证书发证机构从收到撤销请求并审核完成后，会立即将证书撤销。说明：订户在正式提出证书撤销申请后不得在交易中继续使用此证书，否则由此产生的后果，由订户自行承担。

4.9.6依赖方检查证书撤销的要求

依赖方应当检查他们所信任的证书是否被撤销，检查方式是通过查询EZCA 发布的 CRL 完成。

4.9.7 CRL 发布频率

CRL 发布频率为 24 小时一次，在发布的同时对原有内容进行更新。

4.9.8 CRL 发布的最大滞后时间

EZCA在生成 CRL 的 24 小时后会更新信息库。

4.9.9 在线的撤销/状态查询的可用性

EZCA提供在线的撤销/状态查询，该服务7*24小时可用。

4.9.10 在线的撤销查询要求

依赖方在信赖一张证书前须确定证书的状态，查询方式为检查 CRL 或 OCSP，EZCA没有设置任何读取权限。

4.9.11撤销信息的其他发布形式

除 CRL 与 OCSP 之外，尚无其它发布形式。

4.9.12对密钥遭受安全威胁的特别处理要求

当订户发现、或有充足的理由发现其密钥遭受安全威胁时，应及时地提出证书撤销请求。

4.9.13证书挂起

EZCA对于预制证书目前无此业务。

4.10证书状态服务

4.10.1操作特征

证书状态可以通过预制证书管理平台，OCSP、LDAP 的目录查询服务获得。

4.10.2服务可用性

EZCA提供 7*24 小时不间断证书状态查询服务。

4.11订购结束

以下三种情形将被视为订购结束：

1、证书到期后即视为订购结束。

2、在证书有效期内，订户主动提出对证书进行撤销视为订购结束，EZCA 将按照“证书撤销流程”处理订户申请。

3、被动撤销视为订购结束。

4.12密钥生成、备份与恢复

在预制证书业务中，EZCA制订了严格的管理流程，从技术与制度上保证了在生成证书时，与此张证书相对应的私钥在存储介质中生成且只留存在存储介质中，不会留存任何备份。

5认证机构设施、管理和操作控制

证书签发在EZCA机房中的CA区域中，具有物理三层保护。对于物理访问控制，EZCA通过门禁磁卡、指纹识别鉴别不同人员，并确定相应的权限。所有访问均有日志记录，并做到全程可审计。

其余要求均与CPS 相同。

6认证系统技术安全控制

本章规定参见CPS。

7证书、证书撤销列表和在线证书状态协议

7.1证书

7.1.1 版本号

EZCA签发的证书格式符合 X.509 V3 标准，这一版本信息包含在证书版本属性内。

7.1.2 证书扩展项

X.509 V3 证书的扩充部分主要包括:

7.1.2.1 颁发机构密钥标识符

EZCA最终订户证书及中级 CA 证书中包含签发CA密钥标识符扩展项，当证书签发者包含主题密钥标识扩展项时，签发CA密钥标识符由160位的签发证书的 CA 进行SHA-1散列运算后的值构成；否则，它将包含签发CA的主题和序列号。该扩展项的criticality域设置为FALSE。

7.1.2.2 主题密钥标识符

当证书包含主题密钥标识符扩展项时，该值由证书主题的公钥产生。使用该扩展项时，其扩展域的criticality域设为FALSE。

7.1.2.3 密钥用法

密钥用法指明已认证的公开密钥用于何种用途，该项定义遵照 RFC3280 之规定。

7.1.2.4 Basic constraints:基本限制

基本限制项用来标识证书的主体是否是一个CA，通过该CA可能存在的认证路径有多长，该项定义遵照 RFC3280 之规定。

7.1.2.5 CRL 分布点

系统签发的证书包含CRL的分发点扩展项，依赖方可根据该扩展项提供的地址和协议下载 CRL。该扩展项的criticality项设为FALSE。

7.1.3算法对象标识符

EZCA签发的证书符合RFC 3280标准，采用SHA-1 RSA算法签名。

7.1.4名称形式

EZCA签发的证书采用X.500定义的甄别名称（DN）标准来唯一标识一张证书使用者的身份信息。DN必须包括以下五部分：

（1） CN

CN 部分包括 13 个字符，由数字和字母组为订户使用存储介质编号该编号在发证机构内唯一。

示例：CN=6000000000166, CN=6000000000194

（2） OU

OU部分用来表示订户组织机构编码。

示例：OU=1234567890

（3） O

O部分用来表示订户名称信息。

示例： O=东方中讯数字数字认证有限公司

（4） C

C 部分用来表示中国的英文简称，全部大写。

示例：C=CN

7.1.5名称限制

EZCA签发的预制证书，其名称须严格按照 7.1.4 的规则来定义。

7.1.6证书策略对象标识符

证书使用对象标识符（OID）为2.5.29.32.0

7.1.7策略限制扩展项的用法

未使用本扩展域

7.1.8策略限定符的语法和语义

未使用本扩展域

7.1.9关键证书策略扩展项的处理规则

未使用本扩展域

7.2CRL

同CPS

7.3在线证书状态协议

同CPS

8认证机构审计和其它评估

同CPS

9法律责任和其他业务条款

9.1费用

同CPS

9.2财务责任

同CPS

9.3业务信息保密

同CPS

9.4个人信息私密性

同CPS

9.5知识产权

同CPS

9.6陈述与担保

9.6.1电子认证服务机构的陈述与担保

1、EZCA确保预制证书私钥是唯一的。

2、当预制证书与订户身份信息的绑定经发证机构和EZCA数字签名确认后，该预制证书即可生效。

3、EZCA向发证机构提供预制证书绑定信息的查询。

4、EZCA依法制定和修订《电子认证业务规则》（简称CPS）、《预制证书策略》（简称CP）, 并公布于EZCA网站（www.ezca.org），明确EZCA预制证书的功能、使用证书、各方的权利、义务以及EZCA的责任范围, 前述CPS及本CP自通过EZCA网站（www.ezca.org）公布之日起对发证机构、订户及依赖方具有法律约束力，但本CP第9.12.2款除外。

5、EZCA为订户提供7*24小时热线支持服务（4000235888），5*8 小时服务监督电话（023-81153203），EZCA将在 1 个工作日内对订户的意见和建议做出响应。

6、在订户通过数字证书对交易信息进行加密和签名的条件下，EZCA保证交易信息的保密性和完整性。如果发生纠纷，EZCA将依据不同情况承担下述义务：

同CPS

7、对于下列情况之一，EZCA有权撤销所签发的数字证书：

1) 订户申领预制证书时，提供的资料不真实；

2) 订户未履行本CP约定的义务或者订户违反本CP中所做的陈述和/或保证的；

3) 订户书面申请撤销数字证书；

4) 证书的安全性不能得到保证；

5) 法律、行政法规及规章等规范性法律文件规定的其他情况。

8、EZCA不保证订户与依赖方所从事的具体民事活动的真实性、合法性，也不保证相关协议能否履行或能否实现有关方的交易目的。

9.6.2发证机构的陈述与担保及义务

1、根据EZCA制订的策略和运行管理规则，对订户的证书申请材料进行审核，通过审查确保预制证书与确定的实体进行绑定，并将与预制证书绑定的用户身份信息进行数字签名后传送至EZCA；

2、发证机构应制订合理的业务流程，确保将预制证书发放给订户之前，对预制证书进行妥善保管，并确保在未与订户身份信息进行绑定之前不会被订户使用；

3、如发证机构对订户的证书申请材料审查没有通过，发证机构有向订户进行告知的义务；

4、发证机构应在合理的时间内完成证书申请处理。在申请者提交资料齐全且符合要求的情况下，处理证书申请的时间不超过 5 个工作日；

5、发证机构须对订户的信息及与认证相关的信息妥善保存，保存期限为数字证书失效后五年；

6、发证机构应使订户明确地知道关于使用第三方数字证书的意义、数字证书的功能、使用范围、使用方式、密钥管理以及丢失数字证书的后果和处理措施、法律责任限制；

7、发证机构有义务通知订户阅读EZCA发布的CP、CPS和《预制证书服务协议》以及其它相关规定，在订户完全知晓并同意CP、CPS和《预制证书服务协议》内容的前提下，为订户办理数字证书。

9.6.3订户的陈述与担保及义务

1、订户应遵循诚实、信用原则，申领预制证书时，应当提供真实、完整和准确的信息和资料，并在这些信息、资料发生改变时及时通知发证机构。如因订户故意或过失提供的资料不真实或资料改变后未及时通知，造成的损失由订户自己承担。

2、订户须使用经合法途径获得的相关软件。

3、订户应合法使用EZCA数字证书，并对使用数字证书的行为负责。

4、订户应当妥善保管含有预制证书的USBKey。如因故意或过失导致他人盗用、冒用预制证书时，订户应承担由此产生的责任。

5、如订户使用的预制证书的USBKey丢失或密码泄漏，或者订户不希望继续使用数字证书，或者订户主体不存在，订户或法定权利人应当立即申请撤销该数字证书。

6、订户应在发证机构或指定网站进行证书更换或展期。

7、订户通过本CP进行的任何行为（“该行为”）应当符合法律及任何行政法律和规章等规范性法律文件的规定，EZCA对该行为不承担任何法律责任。

9.6.4 依赖方的陈述与担保及义务

依赖方声明和承诺：

1、使用适当的软件和/或硬件进行数字签名的验证或其它操作；

2、确信在交易前检查CRL获知证书状态和验证签名；

3、只在符合相关策略和EZCA的CPS及本CP规定的证书应用范围内信任该证书；

4、确认证书链的合法性；

5、同意CPS、本CP中关于EZCA责任限制的规定；

6、依赖方依赖本CP进行的任何行为（“该行为”）应当符合法律及任何行政法律和规章等规范性法律文件的规定，EZCA对该行为不承担任何法律责任。

9.6.5其它参与者的陈述与担保

其他参与者应遵循本CP的规定。

9.7免责条款

1、证书申请人或订户故意提供或未按照要求提供不准确和/或不真实和/或不完整的信息而获得EZCA签发的预制证书，订户在使用该证书时引起的责任，EZCA不予承担任何法律责任。

2、由于非EZCA原因造成的设备故障、网络中断导致证书报错、交易中断或其他事故造成的损失，EZCA不向任何方承担赔偿和/或补偿责任。

3、EZCA对各类证书的适用范围作了规定，若证书被超范围使用或被用于其他不被EZCA允许的用途，EZCA不承担任何法律责任。

4、EZCA在法律许可的范围内，根据有关法律法规的要求，如实提供电子交易和网络交易中产生的数字签名的验证信息（“验证服务”），对非因该验证服务而导致的任何后果EZCA不承担任何法律责任。

5、对于明显由于EZCA的合作方或代理方的越权行为或其他过错行为所引发的违反约定义务而对订户造成的损失，EZCA不承担赔偿和/或补偿责任。

6、由于不可抗力因素导致EZCA暂停、终止部分或全部数字证书服务，EZCA不承担赔偿和/或补偿责任。

9.8有限责任

EZCA依据本CP承担的赔偿责任是有限的。

9.9EZCA承担的赔偿责任的限制

同CPS

9.10有效期限与终止

9.10.1生效及有效期限

本CP自EZCA在其官方网站公布之日起生效，除非EZCA特别声明CP提前终止。

9.10.2终止

EZCA有权终止本CP（包括其修订版本），本CP（包括其修订版本）自EZCA在其官方网站公布终止声明的 30 日后终止。

9.10.3效力的终止与保留

CP 中涉及的审计、保密信息、隐私保护、知识产权等方面，以及涉及赔偿的责任限制条款，在本CP终止后继续有效。

9.11对参与者的个别通告与沟通

参与者如需要进一步了解任何本CP中提及的服务、规范、操作等信息，可以通过电话联系EZCA，联系电话：023-67030177、023-67030166。

9.12修订

EZCA有权修订本CP，并将修订版本在网站上公布（www.ezca.org）。

9.12.1修订程序

修订程序与本CP.5.4“CP批准程序”相同。

9.12.2通知机制和期限

EZCA有权修订本CP中的任何术语、条款，事前无需通知订户，但在修订之后会及时公布在EZCA网站上。如在修订发布后 7 个工作日内，订户没有申请对其证书进行撤销，将被视为同意该修改。

9.12.3 必须修改业务规则的情形

当本CP描述的规则、流程和相关技术已经不能满足EZCA电子认证业务要求或本CP依据的法律法规和部门规章变更时，EZCA将依照有关规定修改本CP的相关内容。

9.13争议处理

同CPS

9.14管辖法律

本CP的制定遵守《中华人民共和国合同法》和《中华人民共和国电子签名法》及相关法律规定。如CP中某项条款与上述法律条款或其可执行性发生抵触，EZCA将会对此条款进行修改，使之符合相关法律规定。

9.15与适用法律的符合性

EZCA的各项策略均遵守并符合中华人民共和国各项法律法规和国家信息安全主管部门要求。若本CP的某一条款被主管部门宣布为非法、不可执行或无效时，EZCA将对该不符合性条款进行修改，直至该条款合法和可执行为止。本CP某一个条款的不可执行性不会导致其它条款的不可执行性。

9.16 一般条款

9.16.1 本CP的完整性

本CP将替代所有以前的或同时期的、与预制证书相关的书面或口头解释。CPS、CP、订户协议及依赖方协议及其补充协议构成各参与者之间的完整协议。

9.16.2转让

无

9.16.3分割性

无

9.16.4强制执行

无

9.16.5不可抗力

不可抗力是指不能预见、不能避免并不能克服的的客观情况。构成不可抗力的事件包括战争、恐怖行动、罢工、自然灾害、传染性疾病、互联网或其它基础设施无法使用等。但各方都有义务尽合理的努力建立灾难恢复和业务连续性机制。

9.17 其它条款

无

工业互联网专项工作组2022年工作计划