第六章 電子認證法律制度

第六章電子認證法律制度掌握電子認證的概念了解電子認證的原理掌握電子認證法律關系6.1電子認證概述6.1.1產(chǎn)生背景認證是指權威的、中立的、沒有直接利害關系的第三人或機構，對當事人提出的包括文件、身份、物品及其產(chǎn)地、品質等，具有法律意義的事實與資格，經(jīng)審查屬實后作出的證明。6.1.2電子認證以特定機構對電子簽名及其簽名人的真實性進行驗證的具有法律意義的行為。6.1.3作用電子簽名——技術手段上的保證電子認證則——組織制度上的保證防止欺詐防止否認6.2電子認證機構的設立與管理6.2.1認證機構概述認證機構就是承擔網(wǎng)上安全電子交易認證服務、能簽發(fā)數(shù)字證書，并能確認用戶身份的服務機構。它為電子商務環(huán)境中各個實體頒發(fā)數(shù)字證書，以證明各實體身份的真實性，并負責在交易中檢驗和管理證書；它是電子商務和網(wǎng)上銀行交易的權威性、可信賴性及公正性的第三方機構。

數(shù)字簽名數(shù)據(jù)加密身份認證PKI平臺數(shù)據(jù)保密數(shù)據(jù)完整不可抵賴PKI——PublicKeyInfrastructure（公鑰服務設施）6.2.2認證機構資質獨立的法律實體以自己的名義從事數(shù)字證書服務，以其自有財產(chǎn)提供擔保，并承擔一定的責任。具有中立性與可靠性不代表交易任何一方的利益，僅發(fā)布公正的交易信息促成交易。被交易當事人所接受其營業(yè)目的是提供公正的交易環(huán)境

第五條：電子認證服務機構應當具備下列條件：（一）具有獨立的企業(yè)法人資格。（二）具有與提供電子認證服務相適應的人員。從事電子認證服務的專業(yè)技術人員、運營管理人員、安全管理人員和客戶服務人員不少于三十名，并且應當符合相應崗位技能要求。（三）注冊資本不低于人民幣三千萬元。（四）具有固定的經(jīng)營場所和滿足電子認證服務要求的物理環(huán)境。（五）具有符合國家有關安全標準的技術和設備。（六）具有國家密碼管理機構同意使用密碼的證明文件。（七）法律、行政法規(guī)規(guī)定的其他條件。CA行業(yè)典型應用--ChinaFinance★舉例：中國金融認證中心中國金融認證中心(CFCA-CertificateAuthority)作為一個權威的、可信賴的、公正的第三方信任機構，于2000年6月29日正式掛牌成立，是經(jīng)中國人民銀行和國家信息安全管理機構批準成立的國家級權威的安全認證機構，是重要的國家金融信息安全基礎設施之一，也是《中華人民共和國電子簽名法》頒布后，國內首批獲得電子認證服務許可的CA之一。專門負責為金融業(yè)的各種認證需求提供證書服務，包括電子商務、網(wǎng)上銀行、支付系統(tǒng)和管理信息系統(tǒng)等，為參與網(wǎng)上交易的各方提供安全的基礎，建立彼此信任的機制。并且在中國電子商務發(fā)展中，組織并參與有關網(wǎng)上交易規(guī)則的制定，以及確立相應的技術標準等。

6.2.3認證服務第十七條電子認證服務機構應當保證提供下列服務：（一）制作、簽發(fā)、管理電子簽名認證證書。（二）確認簽發(fā)的電子簽名認證證書的真實性。（三）提供電子簽名認證證書目錄信息查詢服務。（四）提供電子簽名認證證書狀態(tài)信息查詢服務。

（一）簽發(fā)電子簽名認證證書的電子認證服務機構名稱；（二）證書持有人名稱；（三）證書序列號；（四）證書有效期；（五）證書持有人的電子簽名驗證數(shù)據(jù)；（六）電子認證服務機構的電子簽名；（七）工業(yè)和信息化部規(guī)定的其他內容。證書存儲介質的安全性比較優(yōu)點缺點計算機硬盤使用方便、成本最低。存放證書的PC機必須受到安全保護，否則一旦被黑客攻擊，證書就有可能被盜用。軟盤成本較低，被竊取的可能性有所降低軟盤容易壞，一旦損壞，證書將無法使用。軟盤容易被復制、竊取。普通IC卡成本較低、本身不易損壞。普通IC卡本身不能作高強度的加密運算，加密運算只能在PC機中實現(xiàn)，加密時，系統(tǒng)只有將存儲在普通IC卡中的密鑰讀到計算機內存中，造成安全隱患。Key/CPU+USBUSBkey或IC卡內有智能芯片操作系統(tǒng)及RSA協(xié)處理器，能作高強度的加密運算，所有加密運算都在eKey或PK卡中完成，只將處理結果傳出，安全級別最高。成本較高社區(qū)認證服務型交易雙方均為某認證機構的證書用戶。單方證書用戶型一方是證書用戶，一方?jīng)]有任何認證憑證。根認證對證書真?zhèn)蔚男ｒ?。交叉認證6.3電子認證法律關系（《電子認證服務管理辦法》2009.3.31）6.3.1認證機構的權利義務權利有權根據(jù)不同的證書用戶的需要，提供不同類型的證書；有權在一定情況下終止電子認證服務或廢除證書；收取合理費用。

義務信息披露：（二）保證電子簽名依賴方能夠證實或者了解電子簽名認證證書所載內容及其他有關事項。第二十一條電子認證服務機構在受理電子簽名認證證書申請前，應當向申請人告知下列事項：（一）電子簽名認證證書和電子簽名的使用條件。（二）服務收費的項目和標準。（三）保存和使用證書持有人信息的權限和責任。（四）電子認證服務機構的責任范圍。（五）證書持有人的責任范圍。（六）其他需要事先告知的事項。審核申請人身份第三十條有下列情況之一的，電子認證服務機構應當對申請人提供的證明身份的有關材料進行查驗，并對有關材料進行審查：（一）申請人申請電子簽名認證證書。（二）證書持有人申請更新證書。（三）證書持有人申請撤銷證書。

保守信息秘密：

電子認證服務機構對電子簽名人和電子簽名依賴方的資料，負有保密的義務。

保證認證機構和用戶秘鑰安全各種管理義務：（一）保證電子簽名認證證書內容在有效期內完整、準確。（三）妥善保存與電子認證服務相關的信息。

簽發(fā)、中止或注銷證書第二十九條有下列情況之一的，電子認證服務機構可以撤銷其簽發(fā)的電子簽名認證證書：（一）證書持有人申請撤銷證書。（二）證書持有人提供的信息不真實。（三）證書持有人沒有履行雙方合同規(guī)定的義務。（四）證書的安全性不能得到保證。（五）法律、行政法規(guī)規(guī)定的其他情況。目錄服務CA中心證書發(fā)放流程5.公開發(fā)行證書4.CA生成公密鑰對(若為加密證書)并制證，通知RA6.通知LRA證書請求結果3.請求CA制證2.提交證書請求到上級RA注冊機構(RA)當?shù)匕l(fā)證窗口(LRA)1.提交請求，驗明身份7.通知用戶下載證書或將存儲私鑰和證書的載體發(fā)給用戶證書和CRL查詢新用戶6.3.2證書持有人的權利義務權