Eine Certificate Policy (deutsch: Zertifikatsrichtlinie) ist ein Dokument, das darauf abzielt, die verschiedenen Entitäten einer sog. Public Key-Infrastruktur (PKI), ihre Rollen und ihre Aufgaben abzugeben. Dieses Dokument wird im Perimeter der PKI veröffentlicht. Bei Verwendung mit X.509-Zertifikaten kann ein bestimmtes Feld so eingestellt werden, dass es eine Verknüpfung zu der zugehörigen Certificate Policy (CP) enthält. Während eines Austauschs hat somit jede vertrauende Partei Zugriff auf die mit dem Zertifikat verknüpfte Zuverlässigkeitsstufe und kann entscheiden, auf welcher Vertrauensstufe das Zertifikat abgelegt wird.
Das Dokument sollte die allgemeine Architektur der zugehörigen PKI beschreiben, die verschiedenen Entitäten der PKI und jeden Austausch, der auf Zertifikaten basiert, die von derselben PKI ausgestellt wurden, darstellen.
Ein wichtiger Punkt der Certificate Policy (CP) ist die Beschreibung der genehmigten und der nicht erlaubten Verwendung von Zertifikaten. Wenn ein Zertifikat ausgestellt wird, kann in seinen Attributen angegeben werden, welche Anwendungsfälle es erfüllen soll. Zum Beispiel kann ein Zertifikat für die digitale Signatur von E-Mails (aka S / MIME), Verschlüsselung von Daten, Authentifizierungen (z. B. eines Webservers) oder weitere Ausgabe von Zertifikaten (Delegierung der Autorität) ausgestellt werden. Nicht erlaubte Verwendungen werden auf dieselbe Weise angegeben.
Das Dokument beschreibt auch, wie Zertifikatsnamen zu wählen sind und darüber hinaus die damit verbundenen Erfordernisse zur Identifizierung und Authentifizierung. Wenn ein Zertifizierungsantrag ausgefüllt ist, ist die Zertifizierungsstelle (oder durch Delegierung die Registrierungsstelle) dafür verantwortlich, die vom Antragsteller bereitgestellten Informationen zu überprüfen, beispielsweise seine Identität. Dadurch wird sichergestellt, dass die Zertifizierungsstelle nicht an einem Identitätsdiebstahl beteiligt ist.
Die Generierung der Schlüssel wird auch in einer Certificate Policy (CP) erwähnt. Benutzer können berechtigt sein, ihre eigenen Schlüssel zu generieren und sie zur Generierung eines zugehörigen Zertifikats an die Zertifizierungsstelle zu senden. Die PKI kann sich auch dafür entscheiden, benutzergenerierte Schlüssel zu verbieten und eine getrennte und wahrscheinlich sicherere Methode zum Generieren der Schlüssel bereitstellen (z.B. durch Verwendung eines Hardware-Sicherheitsmoduls).
Die verschiedenen Verfahren für die Antragstellung, Ausstellung, Annahme, Erneuerung, Umschlüsselung, Änderung und Widerrufung von Zertifikaten sind ein großer Teil des Dokuments. Diese Verfahren beschreiben, wie jeder Akteur der PKI handeln muss, damit die gesamte Sicherheitsstufe akzeptiert wird.
Kontrollen in einer CERT Policy
Anschließend wird ein Kapitel zu den physischen und verfahrenstechnischen Kontrollen, Prüf- und Protokollierungsverfahren der PKI zur Gewährleistung der Datenintegrität, Datenverfügbarkeit und Datenvertraulichkeit gefunden.
In diesem Abschnitt werden die technischen Anforderungen in Bezug auf die Schlüsselgrößen, den Schutz privater Schlüssel (durch die Verwendung von Schlüssel-Escrow) und verschiedene Arten von Steuerungen in Beug auf die technische Umgebung (Computer, Netzwerk) beschrieben.
Zertifikatssperrlisten sind ein wesentlicher Bestandteil jeder Public Key Infrastruktur. Daher wird ein spezielles Kapitel der Beschreibung der Verwaltung dieser Listen gewidmet, um die Konsistenz zwischen dem Zertifikatsstatus und dem Inhalt der Liste sicherzustellen.
Audit und Bewertungen
Die Public Key Infrastruktur muss überprüft werden, um sicherzustellen, dass sie die in ihren Dokumenten angegebenen Regeln enthält, wie z. B. die Certificate Policy (CP). Die Verfahren zur Beurteilung dieser Konformität werden hier beschrieben und dokumentiert.
In Kapitel “Andere” werden alle verbleibenden Punkte behandelt, z. B. alle mit der PKI verbundenen rechtlichen Angelegenheiten.
