第六章 電子認(rèn)證法律制度

第六章電子認(rèn)證法律制度掌握電子認(rèn)證的概念了解電子認(rèn)證的原理掌握電子認(rèn)證法律關(guān)系6.1電子認(rèn)證概述6.1.1產(chǎn)生背景認(rèn)證是指權(quán)威的、中立的、沒有直接利害關(guān)系的第三人或機構(gòu)，對當(dāng)事人提出的包括文件、身份、物品及其產(chǎn)地、品質(zhì)等，具有法律意義的事實與資格，經(jīng)審查屬實后作出的證明。6.1.2電子認(rèn)證以特定機構(gòu)對電子簽名及其簽名人的真實性進行驗證的具有法律意義的行為。6.1.3作用電子簽名——技術(shù)手段上的保證電子認(rèn)證則——組織制度上的保證防止欺詐防止否認(rèn)6.2電子認(rèn)證機構(gòu)的設(shè)立與管理6.2.1認(rèn)證機構(gòu)概述認(rèn)證機構(gòu)就是承擔(dān)網(wǎng)上安全電子交易認(rèn)證服務(wù)、能簽發(fā)數(shù)字證書，并能確認(rèn)用戶身份的服務(wù)機構(gòu)。它為電子商務(wù)環(huán)境中各個實體頒發(fā)數(shù)字證書，以證明各實體身份的真實性，并負(fù)責(zé)在交易中檢驗和管理證書；它是電子商務(wù)和網(wǎng)上銀行交易的權(quán)威性、可信賴性及公正性的第三方機構(gòu)。

數(shù)字簽名數(shù)據(jù)加密身份認(rèn)證PKI平臺數(shù)據(jù)保密數(shù)據(jù)完整不可抵賴PKI——PublicKeyInfrastructure（公鑰服務(wù)設(shè)施）6.2.2認(rèn)證機構(gòu)資質(zhì)獨立的法律實體以自己的名義從事數(shù)字證書服務(wù)，以其自有財產(chǎn)提供擔(dān)保，并承擔(dān)一定的責(zé)任。具有中立性與可靠性不代表交易任何一方的利益，僅發(fā)布公正的交易信息促成交易。被交易當(dāng)事人所接受其營業(yè)目的是提供公正的交易環(huán)境

第五條：電子認(rèn)證服務(wù)機構(gòu)應(yīng)當(dāng)具備下列條件：（一）具有獨立的企業(yè)法人資格。（二）具有與提供電子認(rèn)證服務(wù)相適應(yīng)的人員。從事電子認(rèn)證服務(wù)的專業(yè)技術(shù)人員、運營管理人員、安全管理人員和客戶服務(wù)人員不少于三十名，并且應(yīng)當(dāng)符合相應(yīng)崗位技能要求。（三）注冊資本不低于人民幣三千萬元。（四）具有固定的經(jīng)營場所和滿足電子認(rèn)證服務(wù)要求的物理環(huán)境。（五）具有符合國家有關(guān)安全標(biāo)準(zhǔn)的技術(shù)和設(shè)備。（六）具有國家密碼管理機構(gòu)同意使用密碼的證明文件。（七）法律、行政法規(guī)規(guī)定的其他條件。CA行業(yè)典型應(yīng)用--ChinaFinance★舉例：中國金融認(rèn)證中心中國金融認(rèn)證中心(CFCA-CertificateAuthority)作為一個權(quán)威的、可信賴的、公正的第三方信任機構(gòu)，于2000年6月29日正式掛牌成立，是經(jīng)中國人民銀行和國家信息安全管理機構(gòu)批準(zhǔn)成立的國家級權(quán)威的安全認(rèn)證機構(gòu)，是重要的國家金融信息安全基礎(chǔ)設(shè)施之一，也是《中華人民共和國電子簽名法》頒布后，國內(nèi)首批獲得電子認(rèn)證服務(wù)許可的CA之一。專門負(fù)責(zé)為金融業(yè)的各種認(rèn)證需求提供證書服務(wù)，包括電子商務(wù)、網(wǎng)上銀行、支付系統(tǒng)和管理信息系統(tǒng)等，為參與網(wǎng)上交易的各方提供安全的基礎(chǔ)，建立彼此信任的機制。并且在中國電子商務(wù)發(fā)展中，組織并參與有關(guān)網(wǎng)上交易規(guī)則的制定，以及確立相應(yīng)的技術(shù)標(biāo)準(zhǔn)等。

6.2.3認(rèn)證服務(wù)第十七條電子認(rèn)證服務(wù)機構(gòu)應(yīng)當(dāng)保證提供下列服務(wù)：（一）制作、簽發(fā)、管理電子簽名認(rèn)證證書。（二）確認(rèn)簽發(fā)的電子簽名認(rèn)證證書的真實性。（三）提供電子簽名認(rèn)證證書目錄信息查詢服務(wù)。（四）提供電子簽名認(rèn)證證書狀態(tài)信息查詢服務(wù)。

（一）簽發(fā)電子簽名認(rèn)證證書的電子認(rèn)證服務(wù)機構(gòu)名稱；（二）證書持有人名稱；（三）證書序列號；（四）證書有效期；（五）證書持有人的電子簽名驗證數(shù)據(jù)；（六）電子認(rèn)證服務(wù)機構(gòu)的電子簽名；（七）工業(yè)和信息化部規(guī)定的其他內(nèi)容。證書存儲介質(zhì)的安全性比較優(yōu)點缺點計算機硬盤使用方便、成本最低。存放證書的PC機必須受到安全保護，否則一旦被黑客攻擊，證書就有可能被盜用。軟盤成本較低，被竊取的可能性有所降低軟盤容易壞，一旦損壞，證書將無法使用。軟盤容易被復(fù)制、竊取。普通IC卡成本較低、本身不易損壞。普通IC卡本身不能作高強度的加密運算，加密運算只能在PC機中實現(xiàn)，加密時，系統(tǒng)只有將存儲在普通IC卡中的密鑰讀到計算機內(nèi)存中，造成安全隱患。Key/CPU+USBUSBkey或IC卡內(nèi)有智能芯片操作系統(tǒng)及RSA協(xié)處理器，能作高強度的加密運算，所有加密運算都在eKey或PK卡中完成，只將處理結(jié)果傳出，安全級別最高。成本較高社區(qū)認(rèn)證服務(wù)型交易雙方均為某認(rèn)證機構(gòu)的證書用戶。單方證書用戶型一方是證書用戶，一方?jīng)]有任何認(rèn)證憑證。根認(rèn)證對證書真?zhèn)蔚男ｒ?。交叉認(rèn)證6.3電子認(rèn)證法律關(guān)系（《電子認(rèn)證服務(wù)管理辦法》2009.3.31）6.3.1認(rèn)證機構(gòu)的權(quán)利義務(wù)權(quán)利有權(quán)根據(jù)不同的證書用戶的需要，提供不同類型的證書；有權(quán)在一定情況下終止電子認(rèn)證服務(wù)或廢除證書；收取合理費用。

義務(wù)信息披露：（二）保證電子簽名依賴方能夠證實或者了解電子簽名認(rèn)證證書所載內(nèi)容及其他有關(guān)事項。第二十一條電子認(rèn)證服務(wù)機構(gòu)在受理電子簽名認(rèn)證證書申請前，應(yīng)當(dāng)向申請人告知下列事項：（一）電子簽名認(rèn)證證書和電子簽名的使用條件。（二）服務(wù)收費的項目和標(biāo)準(zhǔn)。（三）保存和使用證書持有人信息的權(quán)限和責(zé)任。（四）電子認(rèn)證服務(wù)機構(gòu)的責(zé)任范圍。（五）證書持有人的責(zé)任范圍。（六）其他需要事先告知的事項。審核申請人身份第三十條有下列情況之一的，電子認(rèn)證服務(wù)機構(gòu)應(yīng)當(dāng)對申請人提供的證明身份的有關(guān)材料進行查驗，并對有關(guān)材料進行審查：（一）申請人申請電子簽名認(rèn)證證書。（二）證書持有人申請更新證書。（三）證書持有人申請撤銷證書。

保守信息秘密：

電子認(rèn)證服務(wù)機構(gòu)對電子簽名人和電子簽名依賴方的資料，負(fù)有保密的義務(wù)。

保證認(rèn)證機構(gòu)和用戶秘鑰安全各種管理義務(wù)：（一）保證電子簽名認(rèn)證證書內(nèi)容在有效期內(nèi)完整、準(zhǔn)確。（三）妥善保存與電子認(rèn)證服務(wù)相關(guān)的信息。

簽發(fā)、中止或注銷證書第二十九條有下列情況之一的，電子認(rèn)證服務(wù)機構(gòu)可以撤銷其簽發(fā)的電子簽名認(rèn)證證書：（一）證書持有人申請撤銷證書。（二）證書持有人提供的信息不真實。（三）證書持有人沒有履行雙方合同規(guī)定的義務(wù)。（四）證書的安全性不能得到保證。（五）法律、行政法規(guī)規(guī)定的其他情況。目錄服務(wù)CA中心證書發(fā)放流程5.公開發(fā)行證書4.CA生成公密鑰對(若為加密證書)并制證，通知RA6.通知LRA證書請求結(jié)果3.請求CA制證2.提交證書請求到上級RA注冊機構(gòu)(RA)當(dāng)?shù)匕l(fā)證窗口(LRA)1.提交請求，驗明身份7.通知用戶下載證書或?qū)⒋鎯λ借€和證書的載體發(fā)給用戶證書和CRL查詢新用戶6.3.2證書持有人的權(quán)利義務(wù)權(quán)