Quy chế chứng thực chữ ký số công cộng FPT-CA

MỤC LỤC
1. GIỚI THIỆU 4
1.1 Tổng quan 4
1.2 Tên và dấu hiệu nhận diện tài liệu 4
1.3 Các thành phần trong hệ thống dịch vụ chứng thực chữ ký số 5
1.3.1 Certification Authority – CA 5
1.3.2 Registration Authority – RA 5
1.3.3 Đối tượng sử dụng hệ thống FPT-CA 6
1.4 Mục đích sử dụng chứng thư số 6
1.5 Quản lý quy chế chứng thực 6
1.5.1 Tổ chức quản lý văn bản 6
1.5.2 Liên hệ 6
1.5.3 Tổ chức xác định CPS phù hợp với chính sách 7
1.5.4 Thủ tục phê chuẩn CPS 7
1.6 Các định nghĩa và từ viết tắt 7
2. TRÁCH NHIỆM CÔNG BỐ VÀ LƯU TRỮ THÔNG TIN 7
2.1 Lưu trữ 7
2.2 Công bố thông tin chứng thư 8
2.3 Thời gian, tần suất công bố thông tin 9
2.4 Kiểm soát truy nhập thông tin 10
3. NHẬN DẠNG VÀ XÁC THỰC YÊU CẦU XIN CẤP CHỨNG THƯ SỐ 10
3.1 Đặt tên trong chứng thư số 10
3.1.1 Quy định các kiểu tên 10
3.1.2 Quy định yêu cầu đối với tên 11
3.1.3 Quy định cú pháp định dạng tên 11
3.1.4 Tính duy nhất của tên thuê bao 11
3.1.5 Nhận dạng, xác thực và vai trò của thương hiệu 11
3.2 Xác minh đề nghị cấp chứng thư số 11
3.2.1 Xác thực danh tính cá nhân 11
3.2.2 Xác thực danh tính tổ chức, doanh nghiệp 12
3.2.3 Chứng minh quyền sở hữu khóa bí mật 12
3.2.4 Những thông tin của thuê bao không được xác thực 12
3.2.5 Các tiêu chí hoạt động 12
3.3 Xác minh đề nghị thay đổi cặp khóa 12
3.3.1 Quy trình nhận diện và xác thực thủ tục cấp lại khoá (Re-key) 13
3.3.2 Nhận diện và xác thực việc cấp lại khoá sau khi đã bị thu hồi (Renewal) 13
3.4 Xác minh đề nghị thu hồi chứng thư số 13
4. CÁC YÊU CẦU ĐỐI VỚI VÒNG ĐỜI HOẠT ĐỘNG CHỨNG THƯ SỐ THEO THUÊ BAO 14
4.1 Yêu cầu cấp chứng thư số 14
4.1.1 Các đối tượng có thể xin cấp chứng thư. 14
4.1.2 Hồ sơ xin cấp mới chứng thư số 14
4.1.3 Tiến trình xử lý và trách nhiệm của thuê bao chứng thư. 15
4.2 Xứ lý yêu cầu cấp chứng thư và đơn xin cấp tài khoản 15
4.2.1 Chức năng nhận biết và xác thực 15
4.2.2 Phê duyệt hoặc từ chối các yêu cầu xin cấp, gia hạn chứng thư và tài khoản 15
4.2.3 Thời gian xử lý các yêu cầu xin cấp chứng thư 15
4.3 Cấp chứng thư số 15
4.3.1 Hoạt động FPT-CA trong suốt quá trình phát hành chứng thư 16
4.3.2 Thông báo của FPT-CA đến thuê bao về việc cấp chứng thư 16
4.4 Xác nhận và công bố công khai chứng thư số 16
4.4.1 Điều kiện chứng minh việc chấp thuận chứng thư 16
4.4.2 Công khai chứng thư của FPT 16
4.4.3 Thông báo sự phát hành chứng thư đến các đối tượng khác 16
4.5 Sử dụng cặp khoá và chứng thư số 16
4.5.1 Cách sử dụng chứng thư và khoá bí mật của thuê bao 16
4.5.2 Cách sử dụng chứng thư và khoá công khai của các đối tác tin cậy 17
4.5.3 Khôi phục chứng thư 17
4.5.4 Trường hợp khi cần khôi phục chứng thư 17
4.5.5 Đối tượng yêu cầu khôi phục chứng thư 18
Quy trình xử lý yêu cầu khôi phục chứng thư 18
Thông báo về việc cấp chứng thư mới tới khách hàng 18
Điền kiện chấp nhận khôi phục chứng thư 18
FPT công bố các chứng thư được khôi phục 18
Thông báo việc cấp chứng thư của FPT đến các đối tượng khác nhau 18
4.6 Gia hạn chứng thư số 18
4.6.1 Điều kiện gia hạn 18
4.6.2 Đối tượng được phép yêu cầu gia hạn 18
4.6.3 Xử lý yêu cầu gia hạn 19
4.6.4 Thông báo cho thuê bao về việc phát hành chứng thư số mới 19
4.6.5 Điều khoản chấp nhận gia hạn chứng thư số 19
4.6.6 Công bố chưng thư số được gia hạn 19
4.6.7 Thông báo đến các đối tượng khác về việc gia hạn chứng thư số 19
4.7 Thay đổi cặp khóa 19
4.7.1 Điều kiện thay đổi 19
4.7.2 Đối tượng được phép yêu cầu thay đổi khóa 19
4.7.3 Xử lý yêu cầu thay đổi khóa 19
4.7.4 Thông báo cho thuê bao về việc thay khóa chứng thư số 20
4.7.5 Điều khoản chấp nhận thay khóa chứng thư số 20
4.7.6 Công bố chứng thư số đã thay khóa 20
4.7.7 Thông báo đến các đối tượng khác về việc thay khóa chứng thư số 20
4.8 Thay đổi thông tin chứng thư số 20
4.8.1 Các trường hợp thay đổi thông tin chứng thư số 20
4.8.2 Đối tượng yêu cầu thay đổi thông tin chứng thư số 20
4.8.3 Quá trình xử lý yêu cầu thay đổi thông tin chứng thư số 20
4.8.4 Thông báo cho thuê bao về việc thay đổi thông tin chứng thư số 20
4.8.5 Điều khoản chấp nhận thay thay đổi thông tin chứng thư số 20
4.8.6 Công bố chứng thư số đã thay khóa 20
4.8.7 Thông báo đến các đối tượng khác về việc thay khóa chứng thư số 20
4.9 Tạm dừng và thu hồi chứng thư số 21
4.9.1 Đối tượng được phép yêu cầu tạm dừng, thu hồi chứng thư số 21
4.9.2 Các trường hợp thu hồi, tạm dừng 21
4.9.3 Quy trình, thủ tục yêu cầu thu hồi, tạm dừng chứng thư 22
4.9.4 Thông báo cho thuê bao về việc thu hồi, tạm dừng chứng thư 22
4.9.5 Công bố chứng thư số đã thu hồi, tạm dừng 22
4.9.6 Công bố việc cập nhật danh sách thu hồi chứng thư số (CRL) 22
4.10 Kiểm tra trạng thái chứng thư số 22
4.10.1 Các hình thức kiểm tra 22
4.10.2 Tính sẵn sàng của dịch vụ 23
4.10.3 Các đặc tính tùy chọn 23
4.11 Chấm dứt dịch vụ của thuê bao 23
4.11.1 Các trường hợp áp dụng 23
4.11.2 Thủ tục chấm dứt dịch vụ 23
4.12 Lưu trữ và phục hồi khóa bí mật 23
4.12.1 Trường hợp khôi phục khoá chứng thư 24
4.12.2 Đối tuợng yêu cầu khôi phục khoá chứng thư 24
4.12.3 Xử lý các yêu cầu khôi phục khoá cho chứng thư 24
4.12.4 Thông báo phát hành chứng thư mới tới thuê bao 24
4.12.5 Thông báo chấp nhận khôi phục khoá chứng thư 24
4.12.6 Việc phát hành chứng thư đã được khôi phục khoá của FPT 24
4.12.7 Thông báo cấp chứng thư của FPT tới các đối tượng khác. 24
5. KIỂM SOÁT, QUẢN LÝ VÀ VẬN HÀNH 24
5.1 Kiểm soát an toàn, an ninh vật lý 24
5.1.1 Quy trình , thủ tục ra vào trụ sở 25
5.1.1.1 Truy cập vật lý 25
5.1.2 Điều kiện không khí, nguồn điện, phòng tránh thảm họa. 26
5.1.3 Thiết bị lưu trữ 26
5.1.4 Hệ thống dự phòng 26
5.1.5 Bảo mật thông tin và tiêu huỷ rác 26
5.2 Quy trình kiểm soát 26
5.2.1 Kiểm soát người có quyền truy nhập, thao tác với hệ thống 26
5.2.2 Nhận dạng và xác thực cho từng thành viên 27
5.2.3 Phân chia nhân sự 27
5.3 Kiểm soát nhân sự 28
5.3.1 Thủ tục kiểm tra lý lịch 28
5.3.2 Yêu cầu về đào tạo 29
5.3.3 Kỷ luật đối với các hoạt động không hợp pháp 29
5.4 Các quy trình ghi nhật ký hệ thống 29
5.4.1 Các loại bản ghi sự kiện 29
5.4.2 Xử lý bản ghi sự kiện 30
5.4.3 Thời gian duy trì lưu trữ cho bản ghi kiểm định 30
5.4.4 Bảo vệ các bản ghi kiểm định 30
5.4.5 Thủ tục sao lưu dự phòng cho các bảng ghi kiểm định 30
5.4.6 Đánh giá điểm yếu 30
5.5 Lưu trữ các bản ghi 31
5.5.1 Những kiểu bản ghi được lưu trữ cho dịch vụ FPT-CA: 31
5.5.2 Thời gian duy trì tài liệu lưu trữ 31
5.5.3 Bảo mật tài liệu lưu trữ 31
5.5.4 Thủ tục sao lưu dự phòng dữ liệu 31
5.5.5 Yêu cầu thời gian cho dữ liệu 31
5.5.6 Hệ thống thu nhập dữ liệu và lưu trữ 31
5.5.7 Thủ tục thu nhập và kiểm tra thông tin lưu trữ 32
5.6 Thay đổi khóa 32
5.7 Xử lý sự cố, thảm họa và phục hồi 32
5.7.1 Các thủ tục xử lý vấn đề lộ khoá và sự cố 32
5.7.2 Hành vi tiêu cực đối với tài nguyên máy tính, phần mềm và dữ liệu 32
5.7.3 Lộ khoá bí mật của CA 32
5.7.4 Khả năng duy trì liên tục trong kinh doanh sau thảm hoạ 32
5.8 Dừng hoạt động 33
6. ĐẢM BẢO AN TOÀN AN NINH VỀ KỸ THUẬT 34
6.1 Tạo và phân phối khóa 34
6.1.1 Cách thực tạo cặp khóa, kích thước cặp khóa 34
6.1.2 Qui trình phân phối cặp khóa 35
6.2 Kiểm soát và bảo vệ khóa bí mật 35
6.2.1 Tiêu chuẩn kỹ thuật đối với thiết bị mật mã 35
6.2.2 Cơ chế kiểm soát, bảo vệ khóa bí mật 35
6.2.2.1 Kiểm soát và chuẩn hoá mô đun mã hoá 35
6.2.2.2 Đa kiểm soát khoá bí mật 36
6.2.2.3 Dự phòng khóa bí mật 36
6.3 Các vấn đề khác liên quan đến quản lý cặp khóa 37
6.3.1 Lưu trữ cặp khóa 37
6.3.2 Thời hạn có hiệu lực của chứng thư số và thời hạn sử dụng cặp khóa 37
6.4 Kích hoạt dữ liệu 37
6.4.1 Khởi tạo cà cài đặt dữ liệu kích hoạt khóa bí mật 37
6.4.2 Bảo vệ dữ liệu kích hoạt 38
6.4.3 Các vấn đề khác của dữ liệu kích hoạt 38
6.4.3.1 Vấn đề chuyển tải dữ liệu kích hoạt 38
6.4.3.2 Huỷ dữ liệu kích hoạt 39
6.5 Kiểm soát an ninh máy tính 39
6.5.1 Các yêu cầu an ninh đối với hệ thống máy tính 39
6.5.2 Định kỳ đánh giá an ninh hệ thống máy tính 39
6.6 Kiểm soát an ninh quy trình sử dụng 39
6.7 Giám sát an ninh hệ thống mạng 40
6.8 Dấu thời gian (Time-Stamping) 41
6.9 Hủy khóa bí mật 41
6.9.1 Xử lý khi lộ khóa bí mật 41
7. ĐỊNH DẠNG CHỨNG THƯ SỐ, CRL, OCSP 42
7.1 Định dạng của chứng thư số 42
7.1.1 Định dạng thông tin cơ bản của chứng thư số 42
7.1.2 Phần mở rộng của chứng thư 43
7.2 Định dạng danh sách thu hồi chứng thư số (CRL) 45
7.3 Định dạng giao thức kiểm tra trạng thái chứng thư số trực tuyến (OCSP) 46
8. KIỂM ĐỊNH TÍNH TUÂN THỦ VÀ CÁC ĐÁNH GIÁ KHÁC 46
8.1 Tần suất và tình huống kiểm tra kỹ thuật 47
8.2 Đơn vị, người thực hiện kiểm tra kỹ thuật 47
8.3 Nội dung kiểm tra kỹ thuật 47
8.4 Xử lý khi phát hiện sai sót 47
8.5 Thông báo kết quả 48
8.6 Tần suất và các trường hợp đánh giá 48
8.7 Danh tính và khả năng của đơn vị, người kiểm tra 48
9. CÁC VẤN ĐỀ THƯƠNG MẠI VÀ PHÁP LÝ KHÁC 48
9.1 Phí/Giá 48
9.1.1 Lệ phí cấp Chứng thư hoặc gia hạn Chứng thư 48
9.1.2 Lệ phí sử dụng Chứng thư 49
9.1.3 Phí truy cập thông tin về trạng thái chứng thư và việc thu hồi chứng thư. 49
9.1.4 Lệ phí sử dụng cho các dịch vụ khác 49
9.1.5 Chính sách hoàn trả phí 49
9.2 Trách nhiệm tài chính 49
9.2.1 Bảo hiểm 49
9.2.2 Các trường hợp FPT-CA tiến hành đề bù bảo hiểm và mức đền bù bảo hiểm 49
9.2.3 Các trường hợp không được hưởng đền bù bảo hiểm 49
9.2.4 Các tài sản khác 50
9.2.5 Thông tin bảo đảm mở rộng. 50
9.3 Bảo mật các thông tin nghiệp vụ 50
9.3.1 Phạm vi của thông tin cần bảo vệ 50
9.3.2 Trách nhiệm bảo vệ thông tin nghiệp vụ 51
9.4 Bảo mật thông tin cá nhân 51
9.4.1 Kế hoạch đảm bảo tính riêng tư 51
9.4.2 Thông tin riêng tư 51
9.4.3 Thông tin không riêng tư 51
9.4.4 Trách nhiệm bảo vệ thông tin riêng tư 51
9.4.5 Thông báo và cho phép sử dụng thông tin mật 51
9.4.6 Cung cấp thông tin 51
9.5 Quyền sở hữu trí tuệ 51
9.6 Tuyên bố và cam kết 52
Đại diện của CA 52
Đại diện của RA 52
Đại diện của khách hàng 52
Đại diện cho các đối tác tin cậy 53
9.7 Từ chối trách nhiệm 53
9.8 Giới hạn trách nhiệm 53
9.9 Bồi thường thiệt hại 53
Vấn đề bồi thường của khách hàng 53
Vấn đề bồi thường của các đối tác tin cậy 54
9.10 Hiệu lực của Quy chế chứng thực 54
9.10.1 Thời hạn 54
9.10.2 Kết thúc 54
9.10.3 Ảnh hưởng của sự kết thúc và những tồn tại 54
9.11 Thông báo và thỏa thuận giữa các bên 54
9.12 Bổ sung và sửa đổi 54
9.12.1 Các thủ tục sửa đổi 54
9.12.2 Các trường hợp cần sửa đổi nhận diện đối tượng (OID) 54
9.12.3 Cách thức và thời hạn thông báo 54
9.12.4 Thời điểm đưa ra sự sửa đổi 55
9.12.5 Cơ chế xử lý các sửa đổi 55
9.13 Thủ tục tranh chấp 55
Thủ tục tranh chấp giữa FPT, cộng tác và thuê bao 55
Thủ tục tranh chấp giữa thuê bao và đối tác tin cậy 55
9.14 Hệ thống pháp lý điều chỉnh 55
9.15 Phù hợp với pháp luật hiện hành 56
9.16 Các điều khoản chung 56
9.16.1 Điều khoản thỏa thuận chung 56
9.16.2 Tính độc lập của các điều khoản 56
9.16.3 Sự thực thi (quyền ủy nhiệm và quyền khước từ) 56
9.16.4 Chính sách bắt buộc thực thi 56
9.17 Các quy định khác 56

 
1. GIỚI THIỆU
1.1 Tổng quan
FPT-CA SHA256 là một cơ sở hạ tầng khóa công khai (PKI) trực thuộc Tổ chức cung cấp dịch vụ chứng thư chữ ký số quốc gia (ROOTCA) của Bộ thông tin và Truyền thông nước Cộng Hòa Xã hội Chủ Nghĩa Việt Nam. Việc lựa chọn xây dựng hệ thống chứng thực chữ ký số công cộng có sự chứng nhận của ROOT CA giúp FPT có đủ thẩm quyền cấp chứng thư số cho các cơ quan nhà nước, tổ chức, doanh nghiệp, cá nhân có yêu cầu xin cấp và sử dụng chứng thư số FPT-CA. FPT-CA là tên gọi của dịch vụ chứng thư chữ ký số công cộng theo chuẩn SHA256 do công ty FPT cung cấp.
FPT-CA là một PKI thực thuộc RootCA của Bộ Thông tin Truyền Thông nước Cộng Hòa Xã hội Chủ Nghĩa Việt Nam do vậy bản CPS này sẽ phải chịu sự quản lý của luật pháp Việt Nam cũng như tuân theo các chính sách, quy chế, văn bản và thủ tục ban hành bởi RootCA Việt Nam và các đơn vị chức năng có liên quan khác.
Bản CPS của dịch vụ FPT-CA SHA256 được xây dựng tuân theo khuyến nghị RFC 3647 (Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework).
Với thế mạnh về hạ tầng công nghệ thông tin của mình, đề án xây dựng hệ thống chứng thực chữ ký số của công ty TNHH Hệ thống Thông tin FPT sẽ hướng tới mục tiêu sau:
- Xây dựng dịch vụ chứng thực chữ ký số tin cậy trên toàn lãnh thổ Việt Nam
- Các dịch vụ thương mại điện tử, giao dịch trực tuyến cũng như chính phủ điện tử.
1.2 Tên và dấu hiệu nhận diện tài liệu
Văn bản này là một bộ quy chế chứng thực (Certificate Practices Statement - CPS) tuyên bố về mặt nguyên tắc các chính sách quản trị của FPT-CA trong quá trình cung cấp dịch vụ chứng thực chữ ký số công cộng.
Các quy định về quy chế chứng thực (CPS) của dịch vụ FPT-CA được trình bày trong tài liệu này, gồm có: phát hành, quản lý, thu hồi và cấp lại chứng thư số cho thuê bao.
Bản CPS này là một chính sách quan trọng trong quá trình cung cấp dịch vụ chứng thực chữ ký số công cộng. CPS cung cấp nội dung các yêu cầu về kinh doanh, luật pháp, kỹ thuật cho quá trình chấp nhận, cấp phát, quản lý, thu hồi và cấp lại chứng thư số. Các yêu cầu của CPS được gọi là các “chuẩn FPT-CA SHA256”, có nhiệm vụ cung cấp tính bảo mật và toàn vẹn cho dịch vụ FPT-CA SHA256, được áp dụng cho tất cả các thành phần tham gia dịch vụ chứng thực chữ ký số FPT-CA SHA256. Các thành phần tham gia dịch vụ FPT-CA phải tuân thủ các yêu cầu được đề ra trong CPS này.

1.3 Các thành phần trong hệ thống dịch vụ chứng thực chữ ký số
1.3.1 Certification Authority – CA
CA là thành phần quan trọng nhất trong hệ thống PKI. CA xác thực tính đúng đắn của những đối tượng quá trình trao đổi thông tin. CA là tập hợp gồm phần cứng, phần mềm, và những quản trị viên nhằm thực hiện các chức năng chính sau:
• Nhận các yêu cầu cấp chứng thư số và phát hành các chứng thư số mới:
o Chấp nhận các yêu cầu cấp chứng thư số từ các đối tượng yêu cầu thông qua các thủ tục đăng ký chứa trong bản chính sách này.
o Xác thực các đối tượng yêu cầu chứng thư số, có thể bởi sự giúp đỡ của các RA được chỉ định.
o Phát hành các chứng thư số dựa trên các yêu cầu đã được xác thực.
o Gửi thông báo về thông điệp phát hành đến đối tượng yêu cầu.
o Đưa các chứng thư số được phát hành có thể sử dụng chung.
• Nhận các yêu cầu thu hồi chứng thư số và tiến hành thu hồi chứng thư số
o Chấp nhận các yêu cầu thu hồi chứng thư số từ các đối tượng có yêu cầu thông qua các thủ tục có trong bản hướng dẫn thi hành các chính sách này.
o Xác thực yêu cầu thu hồi chứng thư số của đối tượng tương ứng.
o Đưa danh sách thu hồi chứng thư số có thể sử dụng chung.
CA có thể thực hiện các chức năng trên một cách trực tiếp hoặc ủy quyền cho đối tượng khác tiến hành.
Quan hệ giữa các CA trong hệ thống PKI có thể tạo nên các mô hình tin cậy (Trust model) gồm: mô hình phân cấp, mô hình cầu và mô hình mạng lưới.
1.3.2 Registration Authority – RA
RA là một đối tượng được CA tin cậy uỷ quyền có trách nhiệm đăng ký và đảm bảo tính đúng đắn nội dung thông tin trong chứng thư số của những thuê bao thuộc hệ thống. RA sẽ thu thập thông tin trên và cung cấp cho CA trực thuộc. RA bao gồm một tập hợp phần cứng máy tính, phần mềm, và những người vận hành trực tiếp thuộc trung tâm FPT-CA. Mỗi RA sẽ thường xuyên vận hành bởi một người, và mỗi CA sẽ quản lý một nhóm RA tin cậy. Do đó điều kiện hoạt động của RA do CA cấp phép và quy định.
Các nhiệm vụ của RA bao gồm:
• Xác thực nhận dạng đối tượng.
• Xác nhận liên kết giữa khóa công khai và đặc điểm nhận dạng của đối tượng yêu cầu gồm phương thức chứng minh sở hữu phù hợp.
1.3.3 Đối tượng sử dụng hệ thống FPT-CA
Các đối tượng sử dụng trong hệ thống FPT-CA là tất cả các tổ chức hay cá nhân sử dụng hệ thống FPT-CA nhưng không phát hành chứng thư số. Những đối tượng này dựa trên các chức năng của hệ thống FPT-CA để nhận được các chứng thư số của mình và xác thực các đối tượng khác trong quá trình trao đổi thông tin.
1.4 Mục đích sử dụng chứng thư số
Mô tả mục đích sử dụng chứng thư số của thuê bao, phạm vi sử dụng chứng thư số, bao gồm:
- Các trường hợp sử dụng chứng thư số hợp lệ:
Các chứng thư được sử dụng trong phạm vi phù hợp với quy định của pháp luật và CPS này.
- Các trường hợp không được sử dụng chứng thư số:
Các chứng thư của FPT-CA không được phép sử dụng như công cụ điều khiển trong các trường hợp nguy hiểm hoặc sử dụng cho các mục đích không an toàn ví dụ như hoạt động của các phương tiện hạt nhân, các hệ thống định vị và thông tin liên lạc máy bay, hệ thống điều khiển giao thông đường không, hay hệ thống điều khiển vũ khí gây tử vong hoặt sát thương con người hoặc phá hủy môi trường.
1.5 Quản lý quy chế chứng thực
1.5.1 Tổ chức quản lý văn bản
Công ty hệ thống thông tin FPT trực thuộc tập đoàn FPT chịu trách nhiệm tổ chức quản lý văn bản quy chế chứng thực này.
1.5.2 Liên hệ
Mọi thông tin liên hệ, phản hồi về bản quy chế chứng thực có thể liên hệ với công ty hệ thống thông tin FPT, tầng 22, tòa nhà Keangnam Landmark 72, Lô E6, Phạm Hùng, Mễ Trì, Nam Từ Liêm, Hà Nội.
Các thông tin cập nhật, bổ sung bản quy chế chứng thực sẽ được thông báo qua trang web: https://dichvudientu.fpt.com.vn.
1.5.3 Tổ chức xác định CPS phù hợp với chính sách
Bộ Thông Tin và Truyền Thông và Công ty FPT xác định sự phù hợp và tính khả dụng CPS này.
1.5.4 Thủ tục phê chuẩn CPS
FPT sẽ phê chuẩn CPS và những thay đổi kế tiếp. Các thay đổi được ghi trong một tài liệu chứa các sửa đổi mẫu (dạng) của CPS hay các thông về quá trình cập nhật.
1.6 Các định nghĩa và từ viết tắt
1 CA Certification Authority
2 IT Information Technology
3 OID Object Identifier
4 TSA Time Stamping Authority
5 TSP Trust Service Provider
6 TSPS Timestamping Policy and Practice Statement
7 TST Times tamp Token
8 TSU Timestamping Unit
9 UTC Coordinated Universal Time

2. TRÁCH NHIỆM CÔNG BỐ VÀ LƯU TRỮ THÔNG TIN
2.1 Lưu trữ
Trung tâm xử lý của dịch vụ FPT-CA có tránh nhiệm duy trì việc phát hành, lưu trữ trực tuyến. Trung tâm xử lý này có trách nhiệm công bố chứng thư và các thông tin về chứng thư trong kho lưu trữ của trung tâm dịch vụ (Service Centers) dựa trên các đơn xin cấp chứng thư đã được trung tâm dịch vụ chấp thuận.
Thông tin về chứng thư số và danh sách chứng thư số bị thu hồi được lưu trữ trên các máy chủ Directory theo chuẩn LDAP X509 v3.
Hệ thống FPT-CA lưu trữ đầy đủ dữ liệu log gồm: logs máy chủ ứng dụng chạy hệ thống CA, logs máy chủ chạy hệ điều hành, logs cơ sở dữ liệu, logs HSM. Các logs này được lưu trữ trên máy chủ và thiết bị được backup thường xuyên sang thiết bị khác. Đảm bảo khi có sự cố xảy ra sẽ lấy được dữ liệu log của từng ứng dụng để xử lý.
- Logs máy chủ ứng dụng chạy hệ thống FPT-CA SHA-256 lưu tại thư mục riêng. Đây là logs toàn bộ hoạt động liên quan tới vận hành hệ thống FPT-CA SHA-256 ghi rõ chi tiết thông tin thời gian (ngày, giờ, phút giây) có hoạt động. Ví dụ như hoạt động đăng nhập, tạo thông tin khách hàng, sửa thông tin khách hàng, tạo khóa khách hàng cũng như các lỗi hệ thống nếu có. Khi cần truy xuất thông tin để kiểm tra, bảo trì hay khắc phụ sự cố liên quan tới vận hành quản trị chỉ cần truy cập thư mục và mở thông tin logs này lên để kiểm tra. Dữ liệu logs này được đồng bộ tức thời sang hệ thống dự phòng với địa chỉ và lưu trữ trong các thư mục tương tự.
- Logs máy chủ chạy hệ điều hành được lưu và truy xuất trực tiếp. Thường thì hệ thống máy chủ của FPT-CA SHA-256 được cài đặt license bản quyền, cài đặt hệ thống theo dõi hoạt động, ngăn ngừa nguy cơ tấn công, truy cập từ mọi phía. Quản trị cũng có thể truy xuất dữ liệu trực tiếp trên các hệ thống này để kiểm tra hoạt động của Windows.
- Logs cơ sở dữ liệu: FPT-CA SHA-256 sử dụng hệ quản trị cơ sở dữ liệu mạnh mẽ nhất. Đây là logs toàn bộ hoạt động liên quan tới dữ liệu hệ thống FPT-CA SHA-256 như việc lớn lên của dữ liệu, đăng nhập, thêm người dùng. Khi cần truy xuất thông tin để kiểm tra, bảo trì hay khắc phụ sự cố liên quan tới vận hành quản trị chỉ cần truy cập thư mục và mở thông tin logs này lên để kiểm tra. Dữ liệu logs này được đồng bộ tức thời sang hệ thống dự phòng với địa chỉ và lưu trữ trong các thư mục tương tự.
- Logs HSM: Do là thiết bị đặc thù nên HSM sử dụng phần mềm riêng để lấy danh sách nhật ký. Đây là phần mềm chạy trên máy chủ ứng dụng để kết nối tới HSM để lấy logs.
Phần mềm có thể chạy trên các nền tảng:
• SUN Solaris 8, 10 (on the SUN/SPARC architecture) with Java 1.4
• SuSE Linux 10.0 with Java 1.4 and 1.5
• SuSE Linux 8.0 with Java 1.4
• Red Hat Linux 9.0 with Java 1.4
• Microsoft Windows

2.2 Công bố thông tin chứng thư
Các thông tin cần được công bố bao gồm:
• CPS trên toàn hệ thống
• Chứng thư của CA và thuê bao được tổ chức phân cấp
• Danh sách chứng thư số bị thu hồi (CRL)
Kho lưu trữ chứng thư của FPT-CA sử dụng giao diện web, cho phép đối tác tin cậy thực hiện các yêu cầu truy vấn trực tuyến về thu hồi chứng thư hay truy vấn thông tin trạng thái các chứng thư. Các trường hợp khác phải có sự phê duyệt của FPT-CA và phải dựa vào tài liệu trong CPS tương ứng. Trong hợp đồng với trung tâm dịch vụ, một trung tâm xử lý sẽ thực hiện việc lưu trữ cho trung tâm dịch vụ. FPT cung cấp cho đối tác tin cậy các thông tin chứng thư và cách thức kiểm tra trạng thái chứng thư, nếu có thể FPT-CA sẽ cung cấp dịch vụ kiểm tra trạng thái chứng thư trực tuyến (OCSP). Trung tâm xử lý công khai danh sách các chứng thư đã được cấp phát. Ngoài ra, trung tâm xử lý còn cung cấp các danh sách chứng thư bị thu hồi (CRL – Certificate Revocation Lists) một cách rõ ràng, thuận tiện cho người tra cứu thông tin. Trung tâm xử lý đồng thời cung cấp dịch vụ OCSP cho các khách hàng sử dụng dịch vụ.
FPT-CA sẽ liên tục phát hành phiên bản cập nhật của:
• Quy chế chứng thực (CPS) của dịch vụ FPT-CA SHA-256.
• Các thỏa thuận với khách hàng.
• Các thỏa thuận với các relying party.
2.3 Thời gian, tần suất công bố thông tin
Để đảm bảo tính an toàn cho hệ thống, bên cạnh việc công bố nhanh chóng chứng thư số đã cấp, cần phải kịp thời công bố những chứng thư số bị hủy, đặc biệt là khi khoá CA, RA bị sự cố (lộ, hỏng, khóa…) và nhanh chóng phục hồi để đáp ứng nhu cầu giao dịch của hệ thống.
• Chứng thư số cho người dùng sẽ được công bố ngay sau khi cấp.
• Danh sách chứng thư số bị hủy của người dùng được công bố ngay sau khi đã kiểm định thông tin yêu cầu hủy.
• Khi thấy có đủ dấu hiệu khóa RA bị sự cố, cần phải nhanh chóng thông báo lên CA để CA kịp thời ngừng các giao dịch liên quan tới RA đó và cấp lại chứng thư số cho RA.
• FPT-CA đưa ra danh sách chứng thư bị thu hồi và đưa ra dịch vụ kiểm tra trạng thái thông chứng thư qua kho lưu trữ của dịch vụ FPT-CA SHA-256. Danh sách thu hồi chứng thư sẽ được cập nhật tối thiểu một lần trong ngày. Nếu một chứng thư nằm trong CRLs, khi hết hạn, chứng thư sẽ được xóa bỏ trong CRLs trong những lần cập nhật tiếp theo.
• Trong một số điều kiện, khi băng thông hạn chế, số lượng truy cập nhiều, người dùng có thể cache lại CRL. Tuy nhiên phải áp dụng giải thuật update phù hợp, tùy vào từng ứng dụng và điều kiện cụ thể, đảm bảo cập nhật kịp thời, không tốn tài nguyên băng thông, không tốn nhiều tài nguyên bộ nhớ nhưng vẫn đảm bảo được tính an toàn, chính xác.
2.4 Kiểm soát truy nhập thông tin
• CP: chỉ root CA mới được quyền thay đổi, cập nhật.
• CPS: chỉ SubCA (nếu có) mới được quyền thay đổi, cập nhật các CPS của riêng nó.
• Các thông tin được quy hoạch, thông tin cho người dùng phải được đặt trên các Directory riêng, CRL được quy hoạch theo cấu trúc của FPT-CA để giảm kích thước CRL phải tải về.
• Đối với thuê bao, FPT-CA không giới hạn truy cập tới CPS, CPS, chứng thư, thông tin chứng thư, hay CRLs. FPT yêu cầu người truy nhập phải tuân theo các thỏa thuận với đối tác tin cậy hoặc thỏa thuận sử dụng CRLs. Thỏa thuận này như điều kiện để truy cập chứng thư, thông tin chứng thư hay CRLs. FPT triển khai các kiểm soát nhằm ngăn chặn việc truy cập bất hợp pháp vào kho lưu trữ nhằm thêm, xóa hay sửa đổi các mục trong kho lưu trữ.
3. NHẬN DẠNG VÀ XÁC THỰC YÊU CẦU XIN CẤP CHỨNG THƯ SỐ
3.1 Đặt tên trong chứng thư số
Tên xuất hiện trong chứng thư số FPT-CA SHA-256 được cấp phát phải được FPT-CA xác thực.
3.1.1 Quy định các kiểu tên
• Tên trong trường Subject name của chứng thư thuê bao cuối được đặt theo chuẩn X.501. Tên của chứng thư thuê bao cuối chứa thành phần tên chung (CN=). Thành phần tên chung có thể là tên miền, địa chỉ thư điện tử của tổ chức, tên hợp pháp của tổ chức hoặc tên đại diện hợp pháp của tổ chức. Thành phần tên chung của chứng thư các nhân đại diện cho cá nhân đó.
• Chứng thư chứa tên với nghĩa dễ hiểu cho phép nhận dạng được cá nhân hay tổ chức sở hữu chứng thư đó.
• Các chứng thư số do hệ thống FPT-CA cấp phát không được phép sử dụng bút danh (đặt theo tên của thuê bao hoặc tổ chức khác).
• Khi có yêu cầu của pháp luật bảo vệ sự nhận dạng của thuê bao, một chứng thư được cấp phát chỉ ra rằng danh tính này đã được xác minh đúng và được bảo vệ.
• Mỗi yêu cầu nặc danh trong chứng thư sẽ được FPT-CA xem xét và đánh giá dựa theo các điều kiện hợp lý.
3.1.2 Quy định yêu cầu đối với tên
Thuê bao không được phép sử dụng tên ẩn danh hoặc bút danh khác với tên thật của mình.
3.1.3 Quy định cú pháp định dạng tên
Không có quy định
3.1.4 Tính duy nhất của tên thuê bao
Tên thuê bao của dịch vụ FPT-CA SHA-256 sẽ là duy nhất với một cấp chứng thư xác định trong miền của dịch vụ FPT-CA SHA-256. Một thuê bao có thể có hai hoặc nhiều chứng thư có cùng tên.
3.1.5 Nhận dạng, xác thực và vai trò của thương hiệu
Người xin cấp chứng thư tuyệt đối không được sửa tên trong những đơn xin cấp chứng thư của người khác đã được bảo hộ quyền sở hữu. Tuy nhiên, FPT-CA không xác định liệu một người xin cấp chứng thư có quyền sở hữu đối với tên xuất hiện trong đơn xin cấp chứng thư hay phân xử bất kỳ một cuộc tranh chấp nào liên quan đến quyền sở hữu một tên miền, tên thương mại, nhãn hiệu, hoặc nhãn hiệu dịch vụ. FPT được phép tạm dừng hoặc từ chối đơn xin cấp chứng thư nếu xảy ra tranh chấp.
3.2 Xác minh đề nghị cấp chứng thư số
3.2.1 Xác thực danh tính cá nhân
Chứng thực của các chứng thư số dựa trên sự có mặt của người xin cấp chứng thư trước khi RA hay một nhà chức trách có thể kiểm định được tính hợp pháp. RA kiểm tra nhận dạng của người xin cấp chứng thư dựa trên thủ tục để nhận dạng của chính phủ, như hộ chiếu, CMND, CCCD…
Trên thực tế, để đảm bảo tính bảo mật và tránh các trường hợp giả mạo, thuê bao cần xuất trình các giấy tờ sau đây khi xin cấp chứng thư số từ FPT-CA:
Đối với cá nhân:
• Đơn xin cấp Chứng thư số FPT-CA SHA-256;
• Ảnh chụp CMND/CCCD hoặc hộ chiếu;
Các thông tin được xác minh như trên đảm bảo xác thực chính xác định danh của thuê bao, địa điểm cư trú để có thể dễ dàng thông báo đến thuê bao trong trường hợp xảy ra sự cố hoặc tranh chấp.
FPT-CA cũng có thể kiểm tra đơn xin cấp chứng thư cho người quản trị của mình, người này phải hoàn toàn được tin cậy trong một tổ chức. Trong trường hợp này, việc chứng thực cho đơn xin cấp chứng thư được nhận dạng qua các mối quan hệ với nhân viên bằng hợp đồng và kiểm tra lai lịch.
3.2.2 Xác thực danh tính tổ chức, doanh nghiệp
Bất kỳ chứng thư nào cũng bao gồm tên của tổ chức, nhân dạng của tổ chức và thông tin được người xin cấp chứng thư cung cấp. Các thông tin này được xác minh theo những thủ tục được ghi trong tài liệu của dịch vụ FPT-CA.
Để đảm bảo quá trình đăng ký, FPT-CA yêu cầu Doanh nghiệp cung cấp các giấy tờ sau để thực hiện việc xác thực danh tính:
• Đơn xin cấp Chứng thư số FPT-CA SHA-256;
• Sao y bản chính Giấy phép Đăng ký kinh doanh (có xác nhận của Doanh nghiệp);
• Sao y bản chính Giấy đăng ký thuế (có xác nhận của Doanh nghiệp);
• Ảnh chụp CMND/CCCD hoặc Hộ chiếu của người đại diện theo pháp lý;
Tối thiểu, dịch vụ FPT-CA sẽ xác minh các thông tin sau:
• Xác định sự tồn tại hợp lệ của một tổ chức bằng cách sử dụng ít nhất một dịch vụ hay cơ sở dữ liệu kiểm lỗi của đối tác thứ ba, hoặc tài liệu xác nhận sự tồn tại của tổ chức được cấp bởi cơ quan hợp pháp của chính phủ hay nhà chức trách. Ví dụ giấy phép đăng ký kinh doanh.
• Xác nhận bằng điện thoại, thư tín… các thông tin của tổ chức mà người xin cấp chứng thư đưa ra, rằng tổ chức đó đã phê duyệt đơn xin cấp chứng thư. Khi một chứng thư bao gồm tên một cá nhân là một đại diện hợp pháp tổ chức, việc cá nhân là đại diện cho một tổ chức cũng phải được xác nhận. Khi tên miền hoặc địa chỉ thư điện tử có trong chứng thư, tổ chức có toàn quyền sử dụng đối với tên miền hay địa chỉ thư điện tử đó.
3.2.3 Chứng minh quyền sở hữu khóa bí mật
Đối tượng sử dụng chứng thư phải chứng minh rằng họ sở hữu hợp pháp khóa bí mật tương ứng với khóa công khai được liệt kê trong chứng thư.
3.2.4 Những thông tin của thuê bao không được xác thực
Thông tin của thuê bao không được xác thực gồm có:
• Đơn vị nhỏ thuộc tổ chức (Organization Unit)
• Bất kì một thông tin nào được coi là không cần xác thực trong chứng thư.
3.2.5 Các tiêu chí hoạt động
Dịch vụ FPT-CA SHA-256 sẽ hoạt động tuân thủ theo CPS như các chính sách cần thiết khác được bổ sung.
3.3 Xác minh đề nghị thay đổi cặp khóa
Đối với hệ thống FPT-CA SHA-256, trước khi chứng thư hết hạn cần phải đăng ký để có được một chứng thư mới nhằm duy trì sự liên tục của việc sử dụng chứng thư. Các RA yêu cầu thuê bao phải xin cấp một cặp khóa mới để thay thế cặp khóa đã hết hạn (gọi là “Rekey”), tuy nhiên trong một trường hợp nào đó (ví dụ như với các chứng thư cho máy chủ web) có thể yêu cầu một chứng thư mới thay thế cho một cặp khóa đã tồn tại (gọi là “Renewal”).
3.3.1 Quy trình nhận diện và xác thực thủ tục cấp lại khoá (Re-key)
Thủ tục Re-key đảm bảo rằng cá nhân hay một tổ chức muốn cấp lại khóa cho chứng thư là chủ thuê bao của chứng thư đó.
Thông thường, khi thuê bao có yêu cầu tiếp tục sử dụng chứng thư số thì chứng thư mới sẽ được tự động cấp phát. Sau khi cấp lại khoá, CA hoặc RA của dịch vụ FPT-CA sẽ xác nhận lại việc định danh của thuê bao sao cho phù hợp với các yêu cầu xác thực và định danh của đơn xin cấp chứng thư ban đầu.
3.3.2 Nhận diện và xác thực việc cấp lại khoá sau khi đã bị thu hồi (Renewal)
Các trường hợp không được cấp lại khoá sau khi bị thu hồi.
• Chứng thư có thể gây hại cho các nhà cung cấp dịch vụ FPT-CA.
• Phát hiện có sự thiếu sót trong việc thẩm định các giấy tờ và bằng chứng khi đăng ký chứng thư số (CMND/CCCD hoặc hộ chiếu giả,….)
• Chứng thư bị thu hồi đã được sử dụng vào các mục đích trái pháp luật…
Quá trình khôi phục chứng thư của một tổ chức là hoàn toàn có thể được phép, miễn là quá trình khôi phục đảm bảo rằng tổ chức yêu cầu khôi phục chứng thư thực sự là khách hàng đã sử dụng chứng thư đó, đồng thời lý do khôi phục chứng thư là hợp lệ. Ví dụ: lộ khóa bí mật, mất thiết bị lưu trữ khóa bí mật, mất thiết bị xác thực ký số, Root CA bị tấn công… Chứng thư của một tổ chức được khôi phục sẽ chứa cùng các thông tin đặc trưng như của chứng thư cũ.
Việc khôi phục chứng thư của một cá nhân bị thu hồi chứng thư cũng cần đảm bảo việc xác minh danh tính người đang yêu cầu được khôi phục chính là khách hàng đang sử dụng chứng thư đó.
3.4 Xác minh đề nghị thu hồi chứng thư số
Trước thời điểm thu hồi một chứng thư, FPT-CA phải kiểm tra và xác thực đúng nếu có yêu cầu sự huỷ bỏ chứng thư từ thuê bao của dịch vụ FPT-CA. Các thủ tục được dùng để nhận biết một thuê bao đã hết hạn gồm:
• Nhận các thông báo từ thuê bao về yêu cầu thu hồi, bao gồm cả việc xác thực chữ ký số có liên quan tới chứng thư bị thu hồi.
• Thông báo tới thuê bao các lý do chắc chắn về cấp chứng thư mà cá nhân hay tổ chức yêu cầu, trên thực tế việc thông tin với các thuê bao phụ thuộc vào nhiều trường hợp khách nhau nhưng có thể là một trong các cách sau: điện thoại, fax, thư điện tử, thư tín hay các dịch vụ đưa tin khác.
Quản trị CA/RA của dịch vụ FPT-CA được phép yêu cầu thu hồi chứng thư thuê bao trong miền con của RA, FPT-CA xác thực việc nhận dạng của người quản trị thông qua điều khiển truy nhập sử dụng TLS và khách hàng xác nhận trước khi cho phép họ thực thi chức năng thu hồi chứng thư hoặc các quy trình khác đã được FPT-CA phê chuẩn.
RA của dịch vụ FPT-CA sử dụng phần mềm quản lý tự động để xác minh yêu cầu thu hồi đối với dịch vụ FPT-CA SHA-256. Các yêu cầu sẽ được xác thực thông qua việc chữ ký số được ký bằng khoá bí mật phần cứng tự động quản lý của RA.
4. CÁC YÊU CẦU ĐỐI VỚI VÒNG ĐỜI HOẠT ĐỘNG CHỨNG THƯ SỐ THEO THUÊ BAO
4.1 Yêu cầu cấp chứng thư số
4.1.1 Các đối tượng có thể xin cấp chứng thư.
Những người sau đây có thể đệ trình đơn xin cấp chứng thư số:
• Các thuê bao có nhu cầu xin chứng thư cho mục đích bảo mật giao dịch.
• Đại diện của các tổ chức, doanh nghiệp, cá nhân.
• Các thành phần của CA hoặc RA trong hệ thống PKI.
4.1.2 Hồ sơ xin cấp mới chứng thư số
Đối với cấp chứng thư số:
Đối với doanh nghiệp:
• Đơn xin cấp Chứng thư số FPT-CA .
• Sao y bản chính Giấy phép Đăng ký kinh doanh (có xác nhận của Doanh nghiệp)
• Sao y bản chính Giấy đăng ký thuế (có xác nhận của Doanh nghiệp)
• Photo CMND/CCCD hoặc Hộ chiếu của người đại diện theo pháp lý
Đối với cá nhân:
• Đơn xin cấp Chứng thư số FPT-CA
• Bảo sao có công chứng CMND/CCCD hoặc hộ chiếu
FPT-CA SHA-256 sẽ rà soát kỹ các hồ sơ trước khi tiến hành cấp chứng thư số cho người dùng. Trong trường hợp phát hiện hồ sơ thiếu hoặc không hợp lệ mà hết thời hạn bổ sung FPT-CA SHA-256 sẽ thực hiện thu hồi chứng thư số theo chỉ đạo của Bộ Thông tin và Truyền thông.

4.1.3 Tiến trình xử lý và trách nhiệm của thuê bao chứng thư.
Thuê bao chứng thư sẽ kê khai vào các phần có liên quan bao gồm cả phần đại diện và phần đảm bảo và chịu trách nhiệm về quá trình xử lý bao gồm:
Hoàn thành bảng kê khai và cung cấp các thông tin đúng, chính xác.
Chứng minh sự tương thích giữa khoá bí mật và khoá công khai cho trung tâm xử lý.
4.2 Xứ lý yêu cầu cấp chứng thư và đơn xin cấp tài khoản
4.2.1 Chức năng nhận biết và xác thực
Một RA sẽ nhận biết và chứng thực các thông tin khách hàng.
4.2.2 Phê duyệt hoặc từ chối các yêu cầu xin cấp, gia hạn chứng thư và tài khoản
RA sẽ phê chuẩn yêu cầu xin cấp một chứng thư khi tuân theo các tiêu chuẩn sau đây:
Nhận biết và xác thực các thông tin về khách hàng..
Phí dịch vụ đã thanh toán.
RA sẽ từ chối yêu cầu xin cấp một chứng thư theo tiêu chí sau đây:
Nhận biết và xác thực các thông tin về thuê bao không thành công.
Thuê bao không cung cấp tài liệu hỗ trợ theo yêu cầu.
Thuê bao không trả lời yêu cầu trong thời gian quy định.
Phí dịch vụ chưa thanh toán.
RA có lý do tin rằng việc cung cấp chứng thư cho thuê bao có thể gây bất lợi cho FPT.
4.2.3 Thời gian xử lý các yêu cầu xin cấp chứng thư
RA có trách nhiệm xử lý các yêu cầu xin cấp, gia hạn chứng trong khoảng thời gian phù hợp. Không quy định thời gian hoàn thành quá trình xử lý một yêu cầu xin cấp, gia hạn chứng thư trừ khi được đưa ra trong hợp đồng với thuê bao, trong CPS hoặc thoả thuận giữa các bên của dịch vụ FPT-CA SHA-256. Thông thường, nếu không có vướng mắc, hệ thống cung cấp dịch vụ FPT-CA có thể khởi tạo một chứng thư hoặc tài khoản mới tối đa trong 05 ngày làm việc, thời gian xử lý gia hạn xong cho thuê bao đã hoàn tất cả thủ tục trong khoảng 1 buổi làm việc.
4.3 Cấp chứng thư số
Sau khi nhận được yêu cầu xin cấp chứng thư số từ phía RA, CA tiến hành tạo chứng thư số dựa trên các thông tin có trong yêu cầu này. Sau đó CA dùng khóa cá nhân ký lên chứng thư số đảm bảo tính toàn vẹn nội dung và khẳng định sự tin cậy của CA đối với chứng thư số vừa tạo.
Chứng thư số sau khi phát hành sẽ chứng thực khóa công khai gửi kèm theo yêu cầu xin cấp chứng thư số là của thuê bao đã gửi yêu cầu lên RA. Nó được công bố rộng rãi cho bất kỳ ai có nhu cầu trao đổi thông tin với chủ thể của chứng thư số đó.
4.3.1 Hoạt động FPT-CA trong suốt quá trình phát hành chứng thư
FPT-CA duy trì hoạt động của mình liên tục 24/7 trong suốt quá trình cấp phát chứng thư số theo hình thức ký số từ xa. Bất cứ sự cố hay việc bảo trì hệ thống đều được thông báo trước đến các thuê bao trong khoảng thời gian hợp lý
4.3.2 Thông báo của FPT-CA đến thuê bao về việc cấp chứng thư
FPT-CA cấp phát các chứng thư trực tiếp tới thuê bao hoặc thông qua RA. FPT-CA thông báo cho thuê bao rằng chứng thư của họ đã được tạo đồng thời cung cấp cho thuê bao quyền truy cập tới chứng thư đó để kiểm tra tính sẵn sàng của chứng thư.

4.4 Xác nhận và công bố công khai chứng thư số
4.4.1 Điều kiện chứng minh việc chấp thuận chứng thư
Khi thuê bao cài đặt chứng thư từ hệ thống của FPT-CA, thuê bao được yêu cầu kiểm tra và xác nhận chứng thư điều này chứng minh việc chấp thuận của thuê bao đó đối với chứng thư của họ
Khi thuê bao không trả lời thông báo của FPT-CA trong khoảng thời gian quy định. Chứng thư coi như được khách hàng chấp thuận.
4.4.2 Công khai chứng thư của FPT
Trung tâm xử lý công bố chứng thư số mà họ đã phát hành đồng thời có trách nhiệm đăng thông tin về chứng thư mới của thuê bao tới kho lưu trữ LDAP.
4.4.3 Thông báo sự phát hành chứng thư đến các đối tượng khác
FPT-CA có trách nhiệm gửi thông báo cho RA về sự phát hành chứng thư.
4.5 Sử dụng cặp khoá và chứng thư số
4.5.1 Cách sử dụng chứng thư và khoá bí mật của thuê bao
Việc sử dụng khoá bí mật tương ứng với khoá công khai trong chứng thư chỉ được cho phép khi thuê bao đồng ý với bản thoả thuận thuê bao và thuê bao chấp nhận chứng thư. Chứng thư sẽ được sử dụng hợp pháp dựa theo bản thoả thuận thuê bao với các điều khoản có trong CP và CPS của nhà cung cấp chứng thư. Chứng thư sử dụng phải khớp với đuôi mở rộng của trường KeyUsage có trong chứng thư (ví dụ: nếu chữ ký số không có hiệu lực thì chứng thư không được sử dụng để ký).
Thuê bao có trách nhiệm bảo vệ việc truy cập khoá bí mật khỏi việc truy cập bất hợp pháp và sẽ không được sử dụng khoá bí mật khi chứng thư hết hạn hay khi bị thu hồi chứng thư
4.5.2 Cách sử dụng chứng thư và khoá công khai của các đối tác tin cậy
Các đối tác tin cậy phải đồng ý với các điều khoản trong bản thoả thuận đối tác tin cậy để tin cậy chứng thư.
Tính tin cậy của chứng thư phải phù hợp với từng hoàn cảnh cụ thể. Nếu hoàn cảnh chỉ ra rằng phải cần thêm sự đảm bảo, thì đối tác tin cậy phải đạt được sự bảo đảm cần thiết.
Trước khi tin cậy, các đối tác tin cậy sẽ đánh giá một cách một cách độc lập:
• Sử dụng chứng thư một cách phù cách phù hợp và xác định rằng chứng thư sẽ được sử dụng cho mục đích mà nó không bị ngăn cấm hoặc bị giới hạn bởi CPS, FPT, RA không có trách nhiệm đánh giá việc sử dụng chứng thư.
• Chứng thư đang sử dụng theo đúng phần mở rộng của trường KeyUsage trong chứng thư ( ví dụ: chữ ký số mà không có hiệu lực thì chứng thư không được tin cậy cho tính xác thực chữ ký thuê bao)
• Trạng thái của chứng thư và tất cả các CA trong mắt xích chịu trách nhiệm phát hành chứng thư. Nếu bất cứ chứng thư nào trong chuỗi chứng thư bị thu hồi, đối tác tin cậy sẽ điều tra xem tính tin cậy của chữ ký số trong chứng thư của thuê bao để việc thu hồi chứng thư là hợp lý.
• Giả thiết rằng việc sử dụng chứng thư là hợp lý, các đối tác tin cậy sẽ sử dụng phần mềm hoặc phần cứng tương ứng thực hiện việc xác thực chữ ký số hoặc các thao tác hoá khác họ mong muốn như một điều kiện để tin cậy. Các thao tác này bao gồm việc định danh một mắt xích chứng thư và xác thực các chữ ký số trên tất cả các chứng thư trong chuỗi chứng thư.
4.5.3 Khôi phục chứng thư
Khôi phục chứng thư là việc cấp phát chứng thư mới tới thuê bao mà không thay đổi khoá công khai hoặc bất kỳ một thông tin nào khác trong chứng thư. Tức là, khi chứng thư số cũ đã hết hạn và đã vào danh sách chứng thư số bị thu hồi, chứng thư số này chứa thông tin khóa công khai được tạo ra cùng với khóa bí mật để ký các giao dịch trước kia. Khi khách hàng muốn giữ lại khóa bí mật này để tiếp tục ký các giao dịch và muốn gia hạn chứng thư số thì FPT-CA sẽ thực hiện việc gia hạn (khôi phục) chứng thư số mới với thông tin khóa công khai như cũ.
4.5.4 Trường hợp khi cần khôi phục chứng thư
Việc khôi phục chứng thư ưu tiên cho chứng thư thuê bao đã hết hạn để duy trì tính liên tục của việc sử dụng chứng thư.
4.5.5 Đối tượng yêu cầu khôi phục chứng thư
Chỉ có thuê bao của chứng thư cá nhân hoặc là người đại diện hợp pháp của một chứng thư thuộc tổ chức mới có thể yêu cầu khôi phục chứng thư.
Quy trình xử lý yêu cầu khôi phục chứng thư
• Các thủ tục khôi phục chứng thư đảm bảo rằng cá nhân hay tổ chức yêu cầu khôi phục chứng thư trên thực tế là chủ của chứng thư đó.
• Một thủ tục hợp thức phải thông qua việc chứng minh quyền sở hữu khoá bí mật. Các thuê bao lựa chọn và đệ trình thông tin đăng ký. Dựa trên việc khôi phục một chứng thư, nếu thuê bao đệ trình đúng các thông tin kê khai, và nếu các thông tin không bị thay đổi , một chứng thư khôi phục sẽ tự động được cấp.
• Sau khi khôi phục chứng thư, và ít nhất sau lần khôi phục tiếp theo, FPT-CA hoặc RA sẽ xác nhận lại danh tính của thuê bao tuân theo các yêu cầu cụ thể trong CPS cho việc xác thực nguồn gốc của đơn xin cấp chứng thư
Thông báo về việc cấp chứng thư mới tới khách hàng
Thông báo việc phát hành khôi phục chứng thư đến thuê bao.
Điền kiện chấp nhận khôi phục chứng thư
Chấp nhận điều kiện khôi phục.
FPT công bố các chứng thư được khôi phục
Việc khôi phục chứng thư được thông báo đến kho truy cập công cộng của trung tâm xử lý.
Thông báo việc cấp chứng thư của FPT đến các đối tượng khác nhau
RA có thể nhận các thông tin phát hành các chứng thư mà họ phê duyệt.
4.6 Gia hạn chứng thư số
4.6.1 Điều kiện gia hạn
- Thuê bao đưa ra yêu cầu gia hạn chứng thư số trong vòng trước 90 ngày trước ngày hết hạn sử dụng của chứng thư đó.
- Chỉ những thuê bao với chứng thư số cá nhân hoặc một đại diện hợp pháp mới có thể yêu cầu gia hạn chứng thư số.
- Hoàn tất chi phí dịch vụ gia hạn chứng thư số.
4.6.2 Đối tượng được phép yêu cầu gia hạn
Chỉ có thuê bao cá nhân hoặc đại diện theo pháp luật của tổ chức đối với thuê bao tổ chức mới được phép yêu cầu gia hạn chứng thư số.
4.6.3 Xử lý yêu cầu gia hạn
Thuê bao cần tiến hành các thủ tục đã đề cập trong phần 4.1.2 và điền đủ thông tin yêu cầu trong Phiếu yêu cầu gia hạn chứng thư số theo mẫu do FPT-CA ban hành. RA tiến hành xác thực thông tin của thuê bao trong Phiếu yêu cầu gia hạn chứng thư số theo phần 3.2. Nếu thông tin xác thực, việc gia hạn được tiến hành. Nếu thông tin sai lệch, yêu cầu bị từ chối
4.6.4 Thông báo cho thuê bao về việc phát hành chứng thư số mới
Việc thông báo cho thuê bao về việc phát hành chứng thư số mới tuân theo quy định ghi tại phần 4.3.2.
4.6.5 Điều khoản chấp nhận gia hạn chứng thư số
Việc thông báo cho thuê bao về việc phát hành chứng thư số mới tuân theo quy định ghi tại phần 4.4.1.
4.6.6 Công bố chưng thư số được gia hạn
FPT-CA có trách nhiệm công bố chứng thư số được gia hạn trên kho lưu trữ công khai theo phần 2.
4.6.7 Thông báo đến các đối tượng khác về việc gia hạn chứng thư số
FPT-CA có trách nhiệm thông báo cho RA về việc gia hạn chứng thư số do họ xác thực định danh.
4.7 Thay đổi cặp khóa
4.7.1 Điều kiện thay đổi
Thuê bao muốn thay đổi cặp khóa phải xuất trình Hợp đồng dịch vụ để chứng minh quyền yêu cầu. Trong trường hợp mất hợp đồng, thuê bao phải cung cấp đầy đủ các thông tin cần thiết đúng với với thông tin đã đăng ký sử dụng chứng thư số gốc theo quy định trong phần 3.2.
4.7.2 Đối tượng được phép yêu cầu thay đổi khóa
Chỉ có thuê bao cá nhân hoặc đại diện theo pháp luật của tổ chức đối với thuê bao tổ chức mới được phép yêu cầu thay đổi khóa chứng thư số.
4.7.3 Xử lý yêu cầu thay đổi khóa
Thuê bao cần tiến hành các thủ tục theo phần 4.1.2 và điền đủ thông tin yêu cầu trong bản Phiếu yêu cầu thay đổi khóa theo mẫu do FPT-CA ban hành. FPT-CA hoặc RA tiến hành xác thực thông tin cung cấp của thuê bao theo phần 3.2. Nếu thông tin xác thực, việc thay khóa được tiến hành. Nếu thông tin sai lệch, yêu cầu bị từ chối.
4.7.4 Thông báo cho thuê bao về việc thay khóa chứng thư số
FPT-CA có trách nhiệm thông báo cho thuê bao về việc gia hạn chứng thư số.
4.7.5 Điều khoản chấp nhận thay khóa chứng thư số
Điều khoản chấp nhận thay khóa chứng thư số theo phần 4.4.1.
4.7.6 Công bố chứng thư số đã thay khóa
FPT-CA có trách nhiệm công bố chứng thư số được thay khóa trên kho lưu trữ công khai theo phần 2.
4.7.7 Thông báo đến các đối tượng khác về việc thay khóa chứng thư số
FPT-CA có trách nhiệm thông báo cho RA về việc gia hạn chứng thư số do họ xác thực định danh.
4.8 Thay đổi thông tin chứng thư số
4.8.1 Các trường hợp thay đổi thông tin chứng thư số
Việc thay đổi thông tin chứng thư số ưu tiên cho những ứng dụng cấp phát chứng thư mới để thay đổi các thông tin trong chứng thư đang tồn tại.
Việc sửa đổi chứng thư tuân theo mục 4.1
4.8.2 Đối tượng yêu cầu thay đổi thông tin chứng thư số
Xem trong mục 4.1.1
4.8.3 Quá trình xử lý yêu cầu thay đổi thông tin chứng thư số
RA sẽ nhận biết và xác thực các thông tin từ thuê bao theo mục 4.2.1
Thông báo phát hành chứng thư mới tới thuê bao
4.8.4 Thông báo cho thuê bao về việc thay đổi thông tin chứng thư số
FPT-CA có trách nhiệm thông báo cho thuê bao về việc thay đổi thông tin chứng thư số.
4.8.5 Điều khoản chấp nhận thay thay đổi thông tin chứng thư số
Điều khoản chấp nhận thay đổi thông tin chứng thư số theo phần 4.4.1.
4.8.6 Công bố chứng thư số đã thay khóa
FPT-CA có trách nhiệm công bố thay đổi thông tin chứng thư số trên kho lưu trữ công khai theo phần 2.
4.8.7 Thông báo đến các đối tượng khác về việc thay khóa chứng thư số
FPT-CA có trách nhiệm thông báo cho RA về việc thay đổi thông tin chứng thư số do họ xác thực định danh.
4.9 Tạm dừng và thu hồi chứng thư số
4.9.1 Đối tượng được phép yêu cầu tạm dừng, thu hồi chứng thư số
Những thuê bao cá nhân có thể yêu cầu thu hồi chứng thư cá nhân của chính họ. Trong trường hợp chứng thư của tổ chức, một đại diện được uỷ quyền hợp pháp của tổ chức được quyền yêu cầu thu hồi chứng thư đã ban hành cho tổ chức. Đại diện được uỷ quyền hợp pháp của FPT-CA hoặc RA sẽ được quyền yêu cầu thu hồi chứng thư quản trị của RA. Đơn vị phê chuẩn đơn xin cấp chứng thư của người đăng ký cũng sẽ được quyền thu hồi hoặc yêu cầu thu hồi chứng nhận của thuê bao.
4.9.2 Các trường hợp thu hồi, tạm dừng
Chỉ trong các tình huống được liệt kê dưới đây, chứng thư thuê bao dùng cuối sẽ bị FPT thu hồi và được công bố trên một CRL. Dựa vào yêu cầu không sử dụng của thuê bao với lý do không nằm trong các lý do liệt kê bên dưới. FPT sẽ đánh dấu chứng thư là không hoạt động trong cơ sở dữ liệu nhưng sẽ không công bố chứng thư trên một CRL.
Một chứng thư sẽ bị thu hồi nếu:
• Trung tâm xử lý, khách hàng hay thuê bao có lý do để tin hoặc nghi ngờ khoá bí mật của thuê bao bị lộ.
• Trung tâm xử lý hoặc khách hàng có lý do để tin rằng thuê bao vi phạm nghĩa vụ, trách nhiệm, hoặc hợp đồng thuê bao.
• Mối quan hệ giữa khách hàng doanh nghiệp với thuê bao kết thúc hoặc chấm dứt theo cách nào đó.
• Trung tâm xử lý hoặc khách hàng có lý do để tin rằng chứng thư được ban hành không phù hợp với quy định được yêu cầu bởi CPS.
• Trung tâm xử lý hoặc khách hàng có lý do để tin rằng các tài liệu trong đơn xin cấp chứng thư là không hợp lệ.
• Trung tâm xử lý hoặc khách hàng xác định được tài liệu đầu tiên để cấp chứng thư không thoả mãn.
• Việc tiếp tục sử dụng chứng thư gây hại cho FPT-CA.
Khi xem xét việc sử dụng chứng thư có hại cho FPT-CA hay không, các RA xem xét các yếu tố sau:
• Nguồn gốc và số lượng của các khiếu nại nhận được.
• Xác nhận người khiếu nại.
• Cưỡng chế theo luật.
• Trả lời cho sử dụng gây hại của thuê bao.
Ngoài ra, khi xem xét việc sử dụng chứng thư Code Signing Certificate là nguy hiểm cho FPT-CA, các RA xem xét thêm các điều sau:
• Tên mã nguồn được ký
• Cách xử lý mã nguồn
• Phương thức phân phối mã nguồn
• Vấn đề để lộ mã nguồn
• Bất kì luận điểm khác về mã nguồn
FPT-CA có thể thu hồi chứng tư quản trị nếu thẩm quyền của người quản trị kết thúc.
Thoả thuận với thuê bao yêu cầu thuê bao thông báo cho FPT-CA ngay lập tức về những thông tin và nghi ngờ về việc lộ khoá bí mật.
Thoả thuận yêu cầu thuê bao ngay lập tức thông báo với trung tâm xử lý khi có nghi ngờ về việc lộ khoá bí mật.
4.9.3 Quy trình, thủ tục yêu cầu thu hồi, tạm dừng chứng thư
Theo trình tự thu hồi chứng thư, CA xác nhận thuê bao yêu cầu thu hồi chứng thư là cá nhân hay tổ chức được chấp nhận đơn xin cấp chứng thư. Trình tự xác nhận yêu cầu thu hồi của thuê bao bao gồm:
• Thuê bao thông báo nội dung yêu cầu chứng thư, chữ ký và chữ ký số liên quan với chứng thư thu hồi
• Thông báo cho các thuê bao các lý do chắc chắn về cấp chứng thư mà cá nhân hay tổ chức yêu cầu. Trên thực tế, việc thông tin với các thuê bao phụ thuộc vào nhiều trường hợp khác nhau nhưng có thể là một trong các cách sau: điện thoại, fax, thư điện tử, thư tín hay các dịch vụ đưa tin khác.
Thuê bao gửi yêu cầu thu hồi tới nhà quản lý FPT-CA hoặc các RA qua các trung tâm của FPT-CA. FPT-CA xác nhận nhận dạng của người quản trị thông qua điều khiển truy cập sử dụng TLS và xác thực khách hàng trước khi cho phép họ thực hiện chức năng thu hồi.
4.9.4 Thông báo cho thuê bao về việc thu hồi, tạm dừng chứng thư
FPT-CA có trách nhiệm thông báo cho thuê bao về việc thu hồi, tạm dừng chứng thư số.
4.9.5 Công bố chứng thư số đã thu hồi, tạm dừng
FPT-CA có trách nhiệm công bố thu hồi, tạm dừng chứng thư trên kho lưu trữ công khai theo phần 2.
4.9.6 Công bố việc cập nhật danh sách thu hồi chứng thư số (CRL)
Những yêu cầu huỷ bỏ sẽ được đệ trình ngay khi có thể với thời gian hợp lý.
4.10 Kiểm tra trạng thái chứng thư số
4.10.1 Các hình thức kiểm tra
Trạng thái chứng thư số được kiểm tra thông qua CRL, OCSP.
4.10.2 Tính sẵn sàng của dịch vụ
Dịch vụ kiểm tra trạng thái chứng thư số luôn sẵn sàng 24/7 và không bị gián đoạn.
4.10.3 Các đặc tính tùy chọn
Không có quy định
4.11 Chấm dứt dịch vụ của thuê bao
4.11.1 Các trường hợp áp dụng
Một thuê bao có thể kết thúc đăng ký sử dụng dịch vụ chứng thư của FPT-CA khi:
• Để chứng thư hết hạn mà không làm mới hay khôi phục chứng thư đó .
• Thu hồi chứng thư trước khi chứng thư hết hạn mà không thay thế bằng một chứng thư khác.
4.11.2 Thủ tục chấm dứt dịch vụ
Thuê bao:
- Gửi đơn yêu cầu chấm dứt dịch vụ tới nhà cung cấp dịch vụ với chữ ký hoặc con dấu hợp pháp của chủ thể.
RA:
- Tiến hành xác minh và xác thực chính xác thông tin yêu cầu chấm dứt dịch vụ từ phía đối tượng gửi đơn.
- Trường hợp thông tin không đủ hợp lệ, RA tự động hủy bỏ yêu cầu đồng thời có trách nhiệm thông báo từ chối tới đối tượng nộp đơn yêu cầu.
- Trường hợp thông tin là hợp lệ, RA gửi báo cáo thông tin xác thực kèm theo đề nghị chấm dứt dịch vụ của thuê bao
FPT-CA:
- FPT-CA xác thực RA và các thông tin RA gửi, nếu hợp lệ, FPT-CA sẽ tiến hành chấm dứt dịch vụ của thuê bao.
- FPT-CA trách nhiệm cập nhật thông tin trên cơ sở dữ liệu về việc chấm dứt hoạt động của thuê bao.
- FPT-CA gửi thông báo về việc chấm dứt dịch vụ trực tiếp cho thuê bao hoặc thông qua RA quản lý trực tiếp.
4.12 Lưu trữ và phục hồi khóa bí mật
Việc khôi phục khoá bí mật cho chứng thư là việc cấp một chứng thư mới với một khoá công khai mới. Việc khôi phục khoá chứng thư được hỗ trợ cho tất cả các cấp chứng thư. Tức là, khi chứng thư số cũ đã hết hạn và đã vào danh sách chứng thư số bị thu hồi, chứng thư số này chứa thông tin khóa công khai được tạo ra cùng với khóa bí mật để ký các giao dịch trước kia. Khi khách hàng muốn cấp mới một khóa bí mật khác để sử dụng ký các giao dịch và muốn gia hạn chứng thư số thì FPT-CA sẽ thực hiện việc gia hạn (khôi phục) khóa bí mật mới và chứng thư số mới cho khách hàng.
4.12.1 Trường hợp khôi phục khoá chứng thư
Việc khôi phục chứng thư ưu tiên cho chứng thư thuê bao đã hết hạn để duy trì tính liên tục của việc sử dụng chứng thư.
4.12.2 Đối tuợng yêu cầu khôi phục khoá chứng thư
Chỉ có thuê bao của chứng thư cá nhân hoặc người đại diện hợp pháp cho một chứng thư của tổ chức mới có thể yêu cầu khôi phục khoá cho chứng thư.
4.12.3 Xử lý các yêu cầu khôi phục khoá cho chứng thư
• Các thủ tục khôi phục chứng thư đảm bảo rằng các nhân hay tổ chức yêu cầu khôi phục chứng thư trên thực tế là chủ của chứng thư đó.
• Các thuê bao lựa chọn và đệ trình thông tin đăng ký. Dựa trên việc khôi phục một chứng thư, nếu thuê bao đệ trình đúng các thông tin kê khai, và nếu các thông tin không bị thay đổi, một chứng thư khôi phục sẽ tự động được cấp.
• Sau khi khôi phục chứng thư, và ít nhất sau lần khôi phục tiếp theo. FPT hoặc RA sẽ xác nhận lại danh tính của thuê bao tuân theo các yêu cầu cụ thể trong CPS cho việc xác thực nguồn thông gốc của đơn xin cấp chứng thư.
4.12.4 Thông báo phát hành chứng thư mới tới thuê bao
Tuân theo Mục 4.5.3
4.12.5 Thông báo chấp nhận khôi phục khoá chứng thư
Tuân theo Mục 4.7.4
4.12.6 Việc phát hành chứng thư đã được khôi phục khoá của FPT
Khôi phục khoá chứng thư được thông báo đến kho truy cập trung của trung tâm xử lý.
4.12.7 Thông báo cấp chứng thư của FPT tới các đối tượng khác.
RA có thể nhận thông tin cấp các chứng thư mà họ phê duyệt.
5. KIỂM SOÁT, QUẢN LÝ VÀ VẬN HÀNH
5.1 Kiểm soát an toàn, an ninh vật lý
FPT-CA có tài liệu chi tiết điều khiển vật lý và có những chính sách đảm bảo an toàn cho các RA và CA. Những chính sách này bao gồm yêu cầu kiểm tra độc lập, được mô tả ở mục VIII. Những tài liệu chứa thông tin nhạy cảm chỉ sẵn sàng khi có sự đồng ý của FPT. Khái quát về yêu cầu mô tả dưới đây.
5.1.1 Quy trình , thủ tục ra vào trụ sở
Môi trường cho các hoạt động của dịch vụ FPT-CA sẽ tuân theo yêu cầu an toàn và các yêu cầu kiểm tra của FPT, nhằm ngăn cản và phát hiện việc truy cập, tiết lộ và sử dụng hệ thống và thông tin nhạy cảm bất hợp pháp.
Các yêu cầu an toàn và yêu cầu kiểm tra của một phần dựa trên sự thiết lập an toàn lớp vật lý. Một lớp như hàng rào, như cửa được khoá nhằm cung cấp sự điều khiển truy nhập uỷ nhiệm cho những cá nhân (cửa hoặc cửa mở khoá hay mở) thực hiện tới vùng tiếp theo. Mỗi lớp cung cấp nhiều sự truy nhập hạn chế hơn và an toàn vật lý chống lại xâm nhập hay được cho phép truy cập. Hơn nữa, mỗi lớp an ninh vật lý đóng gói lớp bên trong tiếp theo, sao cho một lớp bên trong phải hoàn toàn nằm bên trong một lớp bên ngoài.
5.1.1.1 Truy cập vật lý
Truy cập tới mỗi tầng an ninh vật lý có thể kiểm tra và giám sát. Vì vậy mỗi tầng có thể truy nhập bởi cấp phép riêng.
Phòng đặt hệ thống CA, RA của hệ thống chứng thực chữ ký số FPT được đặt trong không gian riêng với hệ thống Camera giám sát an ninh 24/7. Quyền ra vào nơi đặt thiết bị được kiểm soát bởi hệ thống nhận dạng vân tay và nhân viên bảo vệ. Bản thân nhân viên bảo vệ cũng không có quyền truy nhập hệ thống máy chủ CA, RA. Trách nhiệm của những nhân viên này là ngăn chặn các truy cập từ bên ngoài ở mức vật lý. Như vậy thiết kế về mặt kiểm soát vật lý của hệ thống FPT-CA SHA-256 đáp ứng mô hình 4 lớp về bảo mật truy cập vật lý với hệ thống pulic CA.
1. Hệ thống nhân viên an ninh kiểm soát vật lý (TIER 1).
2. Hệ thống truy nhập bằng thẻ từ vào/ ra của hệ thống Public CA, có sự hỗ trợ của Camera giám sát (TIER 2).
3. Hệ thống truy nhập bằng sinh trắc học, Camera giám sát 24/24 tại phòng đặt máy chủ CA/RA (TIER 3). Phía sau lớp 3 sẽ có hai điểm truy cập.
• Hệ thống máy chủ CA hoạt động.
• Hệ thống máy chủ back up (off –line).
4. Để thực hiện các thao tác với hệ thống CA TIER 4 (ký lên chứng thư số, cấu hình hệ thống) đòi hỏi quản trị viên phải dùng hệ thống smart card theo mô hình M/N (Đòi hỏi nhất M quản trị viên trong tổng số N người sử dụng smart card của mình để thực hiện các thao tác quản trị và vận hành hệ thống CA). Truy nhập khu vực này đòi hỏi các kiểm tra bảo mật về sinh trắc học và hệ thống thẻ từ.
5.1.2 Điều kiện không khí, nguồn điện, phòng tránh thảm họa.
Các thiết bị của FPT và RA trong bị với 2 thành phần là chính và dự phòng. Hệ thống nguồn điện cần đảm bảo luôn liên tục, không bị gián đoạn truy cập. Các hệ thống nhiệt độ, thông gió, không khí cũng được trang bị để điều khiển nhiệt độ và độ ẩm
Thiết bị an toàn của FPT-CA và các RA được xây dựng để bổ sung phương án phòng ngừa để ngăn chặn vấn đề nước xâm nhập và hệ thống.
Thiết bị an toàn của FPT-CA và các RA được trang bị, bổ sung án phòng ngừa để ngăn chặn và dập tắt lửa hay các thảm hoạ khác có thể gây cháy hay khói. Hệ thống thiết kế để phù hợp với tiêu chuẩn phòng cháy chữa cháy.
5.1.3 Thiết bị lưu trữ
FPT và các RA được bảo vệ trong các đĩa quang, từ sao lưu dữ liệu hệ thống hay thông tin nhậy cảm khỏi nước, lửa hay môi trường huỷ hoại và bảo vệ tránh sửa dụng truy cập trái phép hay phá huỷ.
5.1.4 Hệ thống dự phòng
FPT và các RA bảo dưỡng sao lưu hệ thống dữ liệu then chốt hay bất kỳ thông tin nhậy cảm bao gồm dữ liệu kiểm định trong dự phòng an toàn.
Hệ thống dự phòng của FPT-CA được đặt tại các trung tâm Data Center khác trong FPT. Hệ thống này duy trì hoạt động thông suốt thông qua việc đồng bộ dữ liệu thường xuyên với hệ thống chính. Hệ thống này hoàn toàn là một bản back up đầy đủ của hệ thống chính. Ngay khi xảy ra sự cố , hệ thống này sẽ được sử dụng để truy trì hoạt động mà không làm ảnh hưởng đến giao dịch.
Việc đồng bộ, sao lưu định kỳ ở hệ thống dự phòng diễn ra hoàn toàn tự động dưới sự kiểm soát chặt chẽ từ các chuyên gia công ty FPT.
5.1.5 Bảo mật thông tin và tiêu huỷ rác
FPT và RA bổ sung quy trình huỷ rác như (tài liệu, giấy, đĩa quang hay bất kỳ loại rác nào) nhằm ngăn chặn sử dụng truy cập trái phép hay bị lộ thông tin bí mật/cá nhân.
5.2 Quy trình kiểm soát
5.2.1 Kiểm soát người có quyền truy nhập, thao tác với hệ thống
Nhân viên, nhà thầu, nhân viên tư vấn đều có thể được xem xét để trở thành người tin cậy. Những người được chọn là người tin cậy làm việc tại vị trí tin cậy đáp ứng yêu cầu của CPS.
Thành viên tin cậy bao gồm tất cả các nhân viên, kỹ sư, tư vấn có sự truy cập tới hay điều khiển quá trình xác thực hoặc mã hóa có thể gây ảnh hưởng lớn tới:
• Quá trình kiểm tra thông tin trong đơn xin cấp chứng thư số.
• Việc chấp nhận, từ chối hay các xử lý khác của đơn xin cấp chứng thư số, yêu cầu thu hồi, yêu cầu cấp mới, hoặc các thông tin đăng ký.
• Ban hành, thu hồi chứng thư của các nhân viên có truy cập tới các thành phần bị hạn chế của hệ thống.
• Những người được tin cậy có thể bao gồm các đối tượng như sau :
• Nhân viên phục vụ khách hàng
• Nhân viên quản trị hệ thống
• Kỹ sư thiết kế
• Bộ phận được giao nhiệm vụ quản lý sự tin cậy về cơ sở hạ tầng.
Số lượng thành viên cho mỗi công việc
FPT-CA và các RA thiết lập, duy trì và có các yêu cầu nghiêm ngặt về thủ tục điều khiển để đảm bảo sự phân công nhiệm vụ dựa trên khả năng làm việc và đảm bảo rằng nhiều người được tin cậy sẽ cùng thực hiện các công việc có tính chất nhạy cảm.
Chính sách và thủ tục được thực hiện để đảm bảo sự phân công nhiệm vụ dựa trên khả năng làm việc. Những công việc mang tính nhạy cảm cao, chẳng hạn truy cập và quản lý hệ thống phần cứng mã hoá (đơn vị mã hoá chữ ký CSU ) và các công việc liên quan đền khoá, yêu cầu nhiều người được tin tưởng tham gia.
Những thủ tục điều khiển ở bên trong được thiết kế để ít nhất hai cá nhân được tin tưởng cùng tham gia truy cập tới mức vật lý hoặc mức logic của thiết bị. Truy cập tới phần cứng mã hoá yêu cầu chặt chẽ phải có nhiều người được tin tưởng cùng tham gia toàn bộ quá trình làm việc, từ việc nhận và kiểm tra cho tới bước cuối cùng là huỷ về logic và/hoặc về vật lý. Mỗi một lần mô đun này được kích hoạt trong các thao tác liên quan đến khoá, các truy cập xa hơn nữa sẽ bị thu hồi để duy trì việc phân cách giữa điều khiển các truy cập vật lý và mức logic tới thiết bị. Những người truy cập vật lý tới các mô đun không giữ “Secret Shares” (những thàng phần riêng biệt có chứa các thành phần riêng biệt của khoá bí mật hoặc dữ liệu kích hoạt và ngược lại.
5.2.2 Nhận dạng và xác thực cho từng thành viên
FPT-CA và các RA xác nhận nhận dạng và quyền cho mọi cá nhân trở thành người tin cậy là:
• Được cấp phép truy cập và cấp truy cập tới các tiện nghi cần thiết.
• Được cấp các tài liệu điện tử để có thể truy cập và thực hiện một số chứng năng trên các hệ thống thông tin và hệ thống FPT hay RA.
Việc xác thực nhận dạng bao gồm hoạt động của các các nhân tin cậy hoặc các chứng năng bảo mật trong tổ chức và kiểm tra thông tin nhận dạng, ví dụ như hộ chiếu, bằng lái xe. Tổ chức có trách nhiệm xác minh tuân theo các thủ tục được đưa ra trong CPS.
5.2.3 Phân chia nhân sự
Những vai trò yêu cầu phân chia trách nhiệm bao gồm (nhưng không giới hạn):
• Xác thực thông tin trong đơn xin cấp chứng thư
• Quá trình chấp nhận, từ chối, hoặc các quá trình khác của đơn xin cấp chứng thư, yêu cầu thu hồi, cấp mới hay các thông tin đăng ký.
• Quá trình ban hành, thu hồi các chứng thư, bao gồm những tác nhân được truy cập tới những phần hạn chế truy cập của kho lưu trữ.
• Quá trình chuyển giao những thông tin thuê bao hay các yêu cầu từ khách hàng.
• Quá trình tạo, ban hành hay tiêu huỷ một chứng thư số.
• Quá trình tải CA.
5.3 Kiểm soát nhân sự
FPT-CA ban hành những tài liệu về kiểm soát nhân sự và chính sách bảo mật cho CA và RA. Việc tuân thủ những chính sách bao gồm các yêu cầu kiểm tra độc lập được mô tả ở mục VIII. Những tài liệu này chứa thông tin bảo mật nhạy cảm và chỉ dành riêng cho bên tham gia dịch vụ FPT-CA dưới sự đồng ý của FPT.
FPT-CA và các RA yêu cầu những nhân viên đang mong muốn được trở thành người được tin cậy chứng minh được lai lịch tốt, có năng lực tốt và kinh nghiệm cần thiết để thực hiện tốt các yêu cầu công việc trong tương lai, cũng như việc được tin tưởng, nếu có, cần thiết để thực hiện các dịch vụ về chứng thư theo hợp đồng quản lý.
5.3.1 Thủ tục kiểm tra lý lịch
FPT-CA và các RA kiểm tra lai lịch các ứng viên trở thành người được tin cậy. Việc kiểm tra lai lịch sẽ được lặp lại tối thiểu 5 năm một lần . Những thủ tục này tuân theo luật địa phương. Việc mở rộng một trong các yêu cầu không được trái luật địa phương.
Những nhân tố phát hiện trong lai lịch là cơ sở để xem xét việc loại trừ những ứng viên khỏi vị trí tin cậy như được đề cập trong bản hướng dẫn về yêu cầu kiểm tra và bảo mật của FPT-CA, bao gồm bố điểm sau:
• Sự xuyên tạc của ứng viên hay người tin cậy.
• Thông tin tham chiếu của ứng viên không đáng tin cậy.
• Kiểm tra tiền án tiền sự.
• Có dấu hiệu không tốt về thông tin tài chính, tín dụng.
Bản báo cáo chứa thông tin đánh giá của bộ phận nhân sự và bộ phận an ninh, bộ phận này sẽ thực hiện các hoạt động kiểm tra khách chưa có trong bản kiểm tra lai lịch. Những điều này là thước đo để từ chối ứng viên cho vị trí tin cậy hay loại bỏ người tin cậy. Cách vận dụng thông tin đánh giá phải tuân theo luật.
Điều tra lai lịch cá nhân của ứng viên người tin cậy bao gồm:
• Sự xác nhận của nhân viên tiền nhiệm.
• Kiểm tra tham khảo đồng nghiệp.
• Kiểm tra trình độ ứng viên.
• Kiểm tra tiền án tiền sự (ở địa phương, thành phố, và quốc gia).
• Kiểm tra thông tin về tài chính, tín dụng.
• Trung tâm xử lý và dịch vụ của FPT-CA cũng tiến hành điều tra thêm:
• Kiểm tra giấy phép lái xe
• Kiểm tra thông tin an ninh xã hội
5.3.2 Yêu cầu về đào tạo
CA và các RA cung cấp cho các cá nhân chương trình đào tạo theo yêu cầu công việc. Những chương trình đào tạo được kiểm tra định kỳ
Chương trình đào tạo gửi những phần liên quan tới cụ thể nhân viên được đào tạo, bao gồm:
• Cơ chế và nguyên tắc bảo mật của FPT.
• Các phiên bản phần cứng và phần mềm đang được sử dụng
• Trách nhiệm cá nhân.
• Báo cáo, chuyển giao các thoả hiệp và các vấn đề liên quan.
• Thủ tục khôi phục sau thảm hoạ và duy trì công việc
CA và các RA thường xuyên đào tạo lại và cập nhật thông tin cho nhân viên của mình với mức độ và tần xuất phù hợp để nhân viên duy trì mức độ tin tưởng và thực hiện tốt công việc của mình.
Cung cấp tài liệu cho nhân viên
FPT cung cấp chương trình đào tạo cho nhân viên của mình khi cần thiết và cung cấp các tài liệu để họ hoàn thành tốt các công việc của mình.

5.3.3 Kỷ luật đối với các hoạt động không hợp pháp
CA và RA thiết lập, duy trì và áp đặt các chính sách đối với hành động bất hợp pháp. Các biện pháp kỷ luật có thể bao gồm đánh giá, và có thể chấm dứt phụ thuộc vào tần suất và mức độ nghiêm trọng của các hành động bất hợp pháp.
5.4 Các quy trình ghi nhật ký hệ thống
5.4.1 Các loại bản ghi sự kiện
Các sự kiện có thể kiểm định phải được ghi lại bởi CA và các RA của FPT-CA. Mọi bản ghi, điện tử hay bằng tay, chứa thời gian của sự kiện, và nhận dạng của đơn vị thực hiện. CA đưa ra các loại bản ghi sự kiện trong CPS
Các dạng sự kiện có thể kiểm định bao gồm:
• Các sự kiện :
1. Tạo khoá CA,
2. Bật tắt các hệ thống và ứng dụng,
3. Thay đổi khoá CA,
4. Sự kiện có liên quan đến quản lý chu kỳ mã hoá,
5. Quá Trình xử lý dữ liệu kích hoạt cho khoá bí mật của CA, các bản ghi truy cập vật lý,
6. Bảo trì và thay đổi cấu hình hệ thống,
7. Bản ghi huỷ bỏ các phương tiện chứa khoá, dữ liệu kích hoạt, hoặc thông tin thuê bao. Các sự kiện về chu kỳ sống của chứng thư (bao gồm phát hành, cấp lại, cấp mới, thu hồi, tạm dừng)
• Sự kiện liên quan tới nhân viên tin cậy (bao gồm (1) hành động truy cập hay thoát ra, (2) tạo và xoá bỏ mật khẩu hay thay đổi đặc quyền của người sử dụng, (3) thay đổi nhân sự).
• Báo cáo về việc truy nhập vào mạng và các hệ thống không được cấp quyền
• Lỗi trong việc đọc và hgi của chứng thư và kho lưu trữ
• Thay đổi chính sách tạo chứng thư, thời gian hợp lệ
5.4.2 Xử lý bản ghi sự kiện
Bản ghi kiểm định được xem lại tương ứng với các cảnh báo không định kỳ và có liên quan trong hệ thống CA/RA. Các trung tâm xử lý so sánh bản ghi với sự hỗ trợ bản ghi bằng tay hay điện tử từ khách hàng của FPT-CA và Trung tâm dịch vụ khi có bất kỳ hoạt động nghi ngờ nào.
Quá trình xử lý bản ghi kiểm định bao gồm quá trình xem xét các bản ghi kiểm định và ghi lại nguyên nhân của tất cả các sự kiện quan trọng trong bản tóm tắt việc xem xét lại bao gồm một quá trình phê chuẩn dữ liệu đó không bị trộn lẫn, sự thanh tra lại tất cả các dữ liệu và quá trình đánh giá của các cảnh báo hay các bản ghi bất thường. Các hành động được thực hiện dựa trên quá trình xem xét các bản ghi kiểm định được ghi lại thành tài liệu.
5.4.3 Thời gian duy trì lưu trữ cho bản ghi kiểm định
Bản ghi kiểm định sẽ được lưu giữ ít nhất hai tháng sau khi đã được xử lý.
5.4.4 Bảo vệ các bản ghi kiểm định
Bản ghi kiểm định sẽ được bảo vệ bằng hệ thống bản ghi kiểm định điện tử bao gồm các cơ chế bảo vệ các bàn ghi log khỏi các truy nhập, sửa đổi, xoá bỏ hoặc can thiệp bất hợp pháp.
5.4.5 Thủ tục sao lưu dự phòng cho các bảng ghi kiểm định
Hàng ngày, các bảng ghi kiểm định sẽ được sao lưu những phần thay đổi, bổ sung, và hàng tuần sẽ được sao lưu dự phòng toàn bộ.
5.4.6 Đánh giá điểm yếu
Các sự kiện trong quá trình kiểm định sẽ được ghi lại kiểm soát các điểm yếu của hệ thống. Sự đánh giá lỗi bảo mật logic (LSVAs) là được thực hiện, xem xét và sửa chữa theo sự kiểm tra các sự kiện được giám sát. LSVAs căn cứ vào các dữ liệu ghi lại tự động theo thời gian thực và được thực hiện hàng ngày, hàng tháng, hàng năm. LSVA hàng năm sẽ trở thành dữ liệu cho việc đánh giá kiểm toán hàng năm.
5.5 Lưu trữ các bản ghi
5.5.1 Những kiểu bản ghi được lưu trữ cho dịch vụ FPT-CA:
• Dữ liệu kiểm toán.
• Thông tin trong quá trình xin cấp chứng thư số.
• Tài liệu hỗ trợ những đơn xin cấp chứng thư.
• Thông tin về chu kỳ làm việc của chứng thư số, ví dụ: các thông tin thu hồi, khôi phục chứng thư

5.5.2 Thời gian duy trì tài liệu lưu trữ
Các dữ liệu sẽ được lưu trong một khoảng thời gian nhất định truớc ngày chứng thư hết hạn hoặc bị huỷ bỏ.
Các thông tin về chứng thư của hệ thống FPT-CA được lưu trữ tối thiểu là 5 năm.
5.5.3 Bảo mật tài liệu lưu trữ
Có một bộ phận sẽ chịu trách nhiệm đảm bảo chỉ có những người tin tưởng có thẩm quyền mới có được truy nhập các dữ liệu lưu trữ. Các dữ liệu lưu trữ được bảo vệ để không bị truy cập bất hợp pháp, xem, thay đổi, xoá, sửa hay phá hoại bên trong hệ thống tin cậy. Phương tiện lưu trữ dữ liệu và các ứng dụng được yêu cầu xử lý dữ liệu sẽ được duy trì nhằm đảm bảo các dữ liệu lưu trữ có thể được truy cập trong khoảng thời gian đã được thiết lập trong CPS.
5.5.4 Thủ tục sao lưu dự phòng dữ liệu
FPT-CA sẽ thực hiện việc sao lưu dự phòng những phần cần thay đổi của dữ liệu điện tử có chứa thông tin về chứng thư được ban hành, và thực hiện việc sao lưu dự phòng toàn bộ hàng tuần. Những bản sao lưu bằng giấy được cất giữ trong phương tiện đựoc đảm bảo an ninh từ xa.
5.5.5 Yêu cầu thời gian cho dữ liệu
Chứng thư, CRLs, và toàn bộ cơ sở dữ liệu về việc thu hồi sẽ chứa thông tin về ngày tháng. Những thông tin này cần ở dạng không mã hoá.
5.5.6 Hệ thống thu nhập dữ liệu và lưu trữ
Hệ thống thu nhập thông tin dữ liệu lưu trữ của một tổ chức là hệ thống nội bộ, ngoại trừ trường hợp các khách hàng là RA. Trung tâm xử lý sẽ giúp đỡ các RA nảy trong việc bảo quản dữ liệu kiển toán. Như vậy hệ thống thu nhập dữ liệu này là ở bên ngoài doanh nghiệp RA. Mặt khác ,tổ chức tham gia dịch vụ FPT-CA SHA-256 sẽ tận dụng hệ thống thu nhập dữ liệu này.
5.5.7 Thủ tục thu nhập và kiểm tra thông tin lưu trữ
Chỉ những cá nhân được tin tưởng và có thẩm quyền mới có quyền truy cập vào các dữ liệu lưu trữ. Tính toàn vẹn của thông tin được kiểm tra khi nó được khôi phục.
5.6 Thay đổi khóa
Một chứng thư số CA có thể được cấp mới nếu thực thể cấp cao của CA (CA’sSE) xác nhận lại nhận dạng của CA đó. Sau khi xác nhận lại, SE sẽ chấp thuận hay từ chối việc xin cấp mới đó.
Nếu chấp thuận với yêu cầu cấp mới, SE sẽ điều khiển một quá trình phát sinh khoá để tạo ra một cấp khoá mới cho CA đó. Trong suốt quá trình phát sinh khoá, SE sẽ ký và cấp phát cho CA đó một chứng thư mới. Như vậy quá trình phát sinh khoá tuân theo những yêu cầu được đề cập tới trong chính sách bảo mật của FPT-CA. Chứng thư CA mới sẽ chứa khoá công khai CA được cấp phát trong quá trình phát sinh khoá sẽ có giá trị đối với đối tác tin cậy.
5.7 Xử lý sự cố, thảm họa và phục hồi
5.7.1 Các thủ tục xử lý vấn đề lộ khoá và sự cố
Các bản sao lưu dự phòng các thông tin của CA đựoc lưu trữ trong phương tiện từ xa và được đảm bảo tính sẵn sàng khi xảy ra thảm họa hay có sự phá hoại: các dữ liệu về đơn xin cấp chứng thư số, dữ liệu kiểm toán, các cơ sở dữ liệu cho các chứng thư đã ban hành. Bản sao lưu dự phòng của các khoá bí mật CA sẽ được tạo ra và duy trì theo mục V.12 có trong CPS. Trung tâm xử lý sẽ duy trì các bản sao lưu dự phòng của các thông tin CA của họ, cũng như các CA của các khách hàng doanh nghiệp nằm trong miền con.
5.7.2 Hành vi tiêu cực đối với tài nguyên máy tính, phần mềm và dữ liệu
Trong trường hợp tài nguyên, phần mềm và các dữ liệu được sử dụng với mục đích nguy hiểm, báo cáo về sự cố và trả lời cho sự cố đó sẽ được CA và RA thực hiện ngay lập tức tuân theo các thủ tục của FPT-CA được nêu trong tài liệu CPS này.
5.7.3 Lộ khoá bí mật của CA
Trong trường hợp lộ khoá bí mật của CA, CA sẽ bị thu hồi chứng thư. Trung tâm xử lý sẽ áp dụng các biện pháp thương mại hợp lý để lưu ý các đối tác tin cậy nếu họ phát hiện ra hoặc có lý do để tin rằng khoá bí mật của CA bị lộ trong miền con của FPT-CA.
5.7.4 Khả năng duy trì liên tục trong kinh doanh sau thảm hoạ
FPT-CA tiến hành bảo mật cho các hoạt động phát triển, kiểm tra, bảo trì của CA và RA. FPT-CA sẽ triển khai kế hoạch khôi phục sau thảm hoạ. Kế hoạch khôi phục sau thảm hoạ. Kế hoạch khôi phục sau thảm hoạ đặt ra tập trung vào việc khôi phục hệ thống thông tin và các chức năng thương mại quan trọng. Khu vực khôi phục sau thảm hoạ sẽ có bảo vệ vật lý được FPT-CA chỉ rõ.
Trung tâm xử lý có khả năng hồi phục hay khôi phục dữ liệu trong khoảng 72 giờ sau khi một thảm hoạ xảy ra. Trung tâm sẽ hỗ trợ tối thiểu các chức năng sau:
• Ban hành chứng thư.
• Thu hồi chứng thư.
• Công khai các thông tin thu hồi.
• Cung cấp các thông tin khôi phục khoá cho khách hàng doanh nghiệp sử dụng hạ tầng quản lý PKI.
Cơ sở dữ liệu khôi phục thảm hoạ của Trung tâm xử lý được đồng bộ hoá thường xuyên với cơ sở dữ liệu sản xuất trong một khoảng thời gian giới hạn theo Chỉ dẫn về yêu cầu an ninh và kiểm toán (Security and Audit Requirements Guide). Các thiết bị để khôi phục sau thảm hoạ của Trung tâm xử lý sẽ được bảo vệ vật lý tương ứng với mức an ninh vật lý được đề cập đến trong chính sách bảo mật của FPT-CA.
Trung tâm dịch vụ có chức năng công bố thảm hoạ tên website của họ bằng ngôn ngữ địa phương và tiếng Anh thông báo trực tiếp tới khách hàng, đối tác tin cậy và những người quan tâm.
Kế hoạch khôi phục sau thảm hoạ của Trung tâm dịch vụ và trung tâm xử lý được thiết kế để tạo ra khả năng khôi phục hoàn toàn trong khoảng một tuần từ khi thảm hoạ xảy ra tại khu vực chính của Trung tâm dịch vụ và Trung tâm xử lý được thiết kế để tạo ra khả năng khôi phục hoàn toàn trong khoảng một tuần từ khi thảm hoạ xảy ra tại khu vực chính của Trung tâm dịch vụ và Trung tâm xử lý. Trung tâm dịch vụ và Trung tâm xử lý cài đặt và kiểm tra các thiết bị của họ tại khu vực chính để hộ trợ chứng năng CA/RA theo mọi tình huống ngoại trừ một thảm hoạ lớn có thểm làm cho toàn bộ hệ thống không thể hoạt động được. Như vậy thiết bị đó phải được dự phòng và có khả năng chịu đựng hỏng hóc.
5.8 Dừng hoạt động
Việc kết thúc các tổ chức tham gia dịch vụ FPT-CA SHA-256 (ngoại trừ CA và RA) này sẽ nằm trong thoả thuận giữa CA và SE. Các bên sử dụng sự tin tưởng và áp dụng các biện pháp thương mại hợp lý để đi đến thoải thuận kế hoạch kế thúc nhằm giải thiểu tối đa tác động tới khách hàng, thuê bao và các đối tác. Kế hoạch kết thúc có thể bao gồm các bước:
• Thông báo đến các bên liên quan tới quá trình chấm dứt hoạt động như thuê bao, các đối tác, khách hàng.
• Xử lý các chi phí cho các thông báo đó.
• SE thu hồi chứng thư đã phát hành tới CA.
• Lưu trữ các dữ liệu của CA trong một khoảng thời gian được đề cập đến trong CPS.
• Tiếp tục hỗ trợ dịch vụ cho các khách hàng và thuê bao.
• Tiếp tục các dịch vụ thu hồi như ban hành CRLs hay duy trì dịch vụ kiểm tra trạng thái chứng thư trực tuyến.
• Thu hồi các chứng thư chưa hết hạn hay chưa bị thu hồi của thuê bao cuối nếu cần.
• Hoàn lại phí (nếu cần) cho nhứng khách hàng có chứng thư chưa bị hết hạn và chưa bị thu hồi vừa bị thu hồi trong quá trình chấm dứt hay cung cấp.
• Sắp xếp khoá bí mật của CA và thẻ phần cứng chứa khoá bí mật.
• Cung cấp các chuyển giao cần thiết của dịch vụ CA tới các CA đang hoạt động.
6. ĐẢM BẢO AN TOÀN AN NINH VỀ KỸ THUẬT
6.1 Tạo và phân phối khóa
6.1.1 Cách thực tạo cặp khóa, kích thước cặp khóa
Để khắc phục các nhược điểm về lưu trữ, bảo mật việc tạo khóa của hệ thống FPT-CA được thực hiện theo quy trình như sau:
• Đối với khóa của nhà cung cấp dịch vụ (FPT-CA), các cặp khóa của các thành phần như CA, RA, TSA sẽ được sinh trực tiếp tại các thiết bị HSM chuyên dụng. Việc bảo vệ khóa bí mật của CA trong các thiết bị phần cứng chuyên dụng sẽ giúp giảm thiểu nguy cơ lộ khóa bí mật (kẻ tấn công có thể sử dụng khóa bí mật của CA để làm giả các chứng thư số trong toàn bộ hệ thống). Hệ thống FPT-CA hoàn toàn tương thích với những nhà cung cấp HSM hàng đầu thế giới hiện tại như AEP, Luna SA, nCipher, Thales…
• Đối với khóa người dùng hệ thống FPT-CA SHA-256, FPT-CA có thể cung cấp phần mềm sinh khóa hoặc thuê bao có thể cung cấp cặp khóa được sinh ra từ trước. Cụ thể, cặp khóa bí mật và công khai sẽ được sinh trực tiếp vào thiết bị USB Token của khách hàng bằng thuật toán mã hóa RSA SHA-256 2048 bits. Cặp khóa này được tạo ra là ngẫu nhiên và duy nhất trên thiết bị USB Token và không còn lưu ở bất kỳ chỗ nào khác. Đương nhiên cặp khóa này phải được sinh theo thuật toán mã hóa RSA, phù hợp với các tiêu chuẩn bảo mật mã hóa về tính duy nhất, độ mật được nêu ra trong thông tư 06/2015/TT-BTTTT
6.1.2 Qui trình phân phối cặp khóa
• Đến ngày hẹn trong giấy hẹn hoặc ngay sau khi cấp, thuê bao sẽ được nhận chứng thư số. Nhân viên trung tâm đăng ký thực hiện việc cấp thiết bị USB PKI token đã ghi chứng thư và khoá bí mật, kèm theo biên bản giao chứng thư (trên đó có in đầy đủ các thông tin về thuê bao, khoá công khai của thuê bao, khoá công khai của hệ thống). Trên biên bản bàn giao chứng thư sẽ có thông tin xác nhận của khách hàng về các thông tin cấp trong chứng thư số của khách hàng là đúng. Sau khi khách hàng xác nhận thông tin của khách hàng, FPT-CA sẽ tiến hành công bố công khai chứng thư số.
• Thiết bị USB Token sẽ được tạo tại các trung tâm sinh khóa của FPT-CA. Nhân viên của FPT-CA sẽ trực tiếp giao thiết bị này cho khách hàng, kèm biên bản bàn giao thiết bị có xác nhận về tính đúng đắn thông tin của khách hàng trên chứng thư số. Sau khi đã giao thiết bị USB PKI token cho thuê bao, nhân viên trung tâm đăng ký thực hiện việc cập nhật chứng thư số của thuê bao lên LDAP server.
Các quá trình trên có thể thực hiện tự động nếu có yêu cầu.
Quy trình phân phối chứng thư số như trên đảm bảo cặp khóa sẽ được chuyển đến tận tay thuê bao, giảm thiểu mọi nguy cơ lộ thông tin về khóa bí mật của thuê bao.
FPT-CA cam kết việc tạo cặp khóa cho người dùng đảm bảo các quy trình an toàn nghiêm ngặt, khóa bí mật được tạo cho khách hàng là duy nhất, quy trình chuyển giao khóa bí mật tới khách hàng được thực hiện một cách an toàn.
6.2 Kiểm soát và bảo vệ khóa bí mật
6.2.1 Tiêu chuẩn kỹ thuật đối với thiết bị mật mã
FPT-CA sử dụng thiết bị mật mã phần cứng để sinh khóa và lưu trữ khóa bí mật gốc của CA. Theo yêu cầu tối thiểu, thiết bị này phải đạt tiêu chuẩn FIPS 140-2 level 2.
6.2.2 Cơ chế kiểm soát, bảo vệ khóa bí mật
6.2.2.1 Kiểm soát và chuẩn hoá mô đun mã hoá
Khóa bí mật nằm trong hệ thống FPT-CA sẽ được bảo vệ bởi hệ thống tin cậy và người nắm giữ khoá bí mật sẽ giữ chức năng phòng ngừa để ngăn chặn sự mất mát, bị tiết lộ, sử đổi và sử dụng bất hợp pháp khoá bí mật phù hợp với CPS này, nghĩa vụ hợp đồng và yêu cầu được cung cấp nằm trong văn kiện bảo mật riêng của FPT-CA. Thuê bao cuối có quyền lựa chọn bảo vệ khoá bí mật của họ bằng thẻ thông minh hoặc thẻ cứng khác.
6.2.2.2 Đa kiểm soát khoá bí mật
Đa kiểm soát được áp dụng để bảo vệ dữ liệu kích hoạt cho khoá bí mật CA được lưu trữ tại trung tâm xử lý tuân theo các chuẩn trong chính sách bảo mật của FPT. Trung tâm xử lý sử dụng “Secret Sharing” để chìa khoá bí mật hoặc dữ liệu kích hoạt cần thiết thành các phần riêng biệt gọi là “Secret Shares”. Các thành phần này được giữ bởi các “Shareholders”. Chỉ có m trong tổng số n “Secret Shares” được yêu cầu để vận hành khoá bí mật.
Trung tâm xử lý sử dụng Secret Sharing để bảo vệ dữ liệu kích hoạt và các CA khác trong các miền con tương ứng tuân theo các chuẩn trong chính sách bảo mật của FPT. Trung tâm xử lý cũng sử dụng Secret Sharing để bảo vệ khoá bí mật tại từng khu vực khôi phục sau thảm hoạ.
Theo đó việc tạo khóa, giữ khóa được thực hiện theo cơ chế m-n. Việc lộ khóa của FPT-CA là hoàn toàn không thể xảy ra, vì FPT-CA sử dụng các cán bộ là những người gắn bó với trung tâm, nếu thiếu một trong số họ khóa cũng có thể khôi phục tuy nhiên cần khôi phục được khóa thì phải cần đầy đủ cơ số người cùng giữ khóa mới có thể khôi phục. Đây là cơ chế giữ khóa bí mật an toàn nhất hiện nay.
6.2.2.3 Dự phòng khóa bí mật
CA tạo các văn bản lưu dự phòng khoá bí mật cho mục đích khôi phục sự cố hay khôi phục sau thảm hoạ phù hợp với chuẩn chính trong chính sách bảo mật của FPT. Các bản sao lưu dự phòng phải phù hợp với các chính sách được nêu trong CP và CPS. Các bản sao lưu dự phòng được tạo ra bằng cách sao chép các khoá bí mật và đưa chúng vào các mô đun mã hoá dự phòng.
Khóa bí mật được dự phòng là để được bảo vệ khỏi các sửa đổi bất hợp pháp hoặc bị tiết lộ thông qua phương tiện mã hoá hoặc phương tiện vật lý. Các bản sao lưu dự phòng được bảo vệ vật lý và mã hoá ngang bằng hoặc tốt hơn so với các mô đun mã hoá nằm trong khu vực CA, như tại khu vực khôi phục sau thảm hoạ hoặc tại khu vực cần bên ngoài khác ví dụ như ngân hàng.
Các khóa bí mật được FPT-CA sao lưu dự phòng gồm: Khóa bí mật của CA được tạo ra để gửi yêu cầu cấp chứng thư số tới Root CA, khóa bí mật của OCSP, khóa bí mật của các quyền truy cập hệ thống CA.
6.3 Các vấn đề khác liên quan đến quản lý cặp khóa
6.3.1 Lưu trữ cặp khóa
Khi một chứng thư của FPT-CA hết hạn, những cặp khóa gắn với chứng thư ấy sẽ đảm bảo được lưu trữ trong khoảng thời gian ít nhất là 5 năm trong các mô đun phần cứng có cơ chế mã hoá đáp ứng được các yêu cầu của CPS. Những cặp khoá CA này sẽ không được sử dụng trong bất kỳ chữ ký nào sau khi hết hạn sử dụng trừ khi các chứng thư CA này được khôi phục trong các trường hợp của CPS.
Các khóa bí mật được FPT-CA lưu trữ gồm: Khóa bí mật của CA được tạo ra để gửi yêu cầu cấp chứng thư số tới Root CA, khóa của hệ thống TSA, khóa bí mật của OCSP, khóa bí mật của quyền truy cập hệ thống CA.
6.3.2 Thời hạn có hiệu lực của chứng thư số và thời hạn sử dụng cặp khóa
Thời gian hoạt động của chứng thư số được bắt đầu từ thời điểm phát hành được ghi trong thuộc tính của chứng thư số và kết thúc tại thời điểm hết hạn có đề cập trong chứng thư số ngoại trừ trường hợp chứng thư số bị thu hồi trước thời hạn. Thời gian hoạt động của cặp khóa bằng thời gian hoạt động của chứng thư số tương ứng, ngoại trừ trường hợp chúng được dùng để giải mã và kiểm tra chữ ký. Thời gian hoạt động của cặp khóa trong chứng thư số FPT-CA tuân theo quy định của Bộ Thông tin và Truyền thông. Thời gian hoạt động của cặp khóa trong chứng thư số thuê bao không được quá 5 năm.
6.4 Kích hoạt dữ liệu
6.4.1 Khởi tạo cà cài đặt dữ liệu kích hoạt khóa bí mật
Thành viên của dịch vụ FPT-CA tạo và cài đặt dữ liệu kích hoạt (Activation Data) cho khoá bí mật sử dụng những phương pháp để bảo vệ dữ liệu kích hoạt đối với các phạm vi cần thiết nhằm tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép, hoặc sử dụng trái phép các khoá bí mật.
Đối với phạm vi mật khẩu được sử dụng cho dữ liệu kích hoạt, những người đăng ký sẽ thiết lập mật khẩu, những mật khẩu này không dễ dàng bị đoán nhận hoặc bị tấn công bởi kiểu tấn công từ điển.
6.4.2 Bảo vệ dữ liệu kích hoạt
Các thành viên trong dịch vụ FPT-CA sẽ bảo vệ dữ liệu kích hoạt cho những khoá bí mật của họ bằng các phương pháp nhằm để tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép, hoặc sử dụng trái phép các khoá bí mật.
Thuê bao đầu cuối sẽ bảo vệ dữ liệu kích hoạt cho những khoá bí mật trong bất cứ trường hợp nào, đối với phạm vi cần thiết để nhằm tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép, hoặc sử dụng trái phép các khoá bí mật.
Trung tâm xử lý sử dụng Secret Sharing tuân theo CPS và những văn kiện chuẩn trong những chính sách bảo mật của dịch vụ FPT-CA SHA-256. Trung tâm sử lý cung cấp các thủ tục và các giá trị cho phép Shareholders có những sự đề phòng cần thiết để tránh sự mất mát, sự ăn cắp, sự cải biến, sự tiết lộ trái phép hoặc sử dụng trái phép Secret Shares, những cái mà họ sở hữu. Shareholders sẽ không làm những việc sau:
• Sao lưu, tiết lộ, hoặc làm cho hãng thứ 3 biết được Secret Share, hoặc sử dụng bất hợp pháp Secret Share đó, hoặc
• Tiết lộ trạng thái cá nhân như là Shareholder đến bên thứ 3.
Secret Share và bất cứ thông tin bị tiết lộ đến Shareholder được gắn liền với trách nhiệm cá nhân như một Shareholder thiết lập các thông tin bí mật hoặc các thông tin riêng.
Trung tâm xử lý có kế hoạch khôi phục thảm hoạ nhằm đảm bảo Secret Share luôn sẵn sàng tại vị trí khôi phục thảm hoạ sau khi thảm họa xảy ra. Mỗi trung tâm xử lý duy trì dấu vết kiểm định của Secret Share và Secrete Holders sẽ tham gia vào quá trình duy trì các kiểm định đó.
6.4.3 Các vấn đề khác của dữ liệu kích hoạt
6.4.3.1 Vấn đề chuyển tải dữ liệu kích hoạt
Để chuyển giao các dữ liệu kích hoạt cho các khoá bí mật, các thành viên thuộc dịch vụ FPT-CA SHA-256 sẽ sử dụng các biện pháp chống lại các nguy cơ mất mát, bị đánh cắp, bị sửa đổi, bị tiết lộ hoặc bị sử dụng trái phép đối với các khóa riêng. Trong phạm vi môi trường Windows và đăng nhập mạng thì sự kết hợp tên sử dụng/mật khẩu (username/password) sẽ được sử dụng như là dữ liệu kích hoạt cho thuê bao cuối, mật khẩu được truyền đi trên mạng sẽ được bảo vệ khỏi sự truy cập của những thuê bao không được phép.
6.4.3.2 Huỷ dữ liệu kích hoạt
Dữ liệu kích hoạt khóa bí mật của CA sẽ bị vô hiệu hoá bằng cách sử dụng biện pháp nhằm chống lại nguy cơ mất mát, bị đánh cắp, bị sửa đổi, bị tiết lộ hoặc bị sử dụng trái phép đối với các khoá bí mật mà dữ liệu kích hoạt đó bảo vệ. Sau khi hết thời gian lưu trữ, dịch vụ FPT-CA SHA-256 sẽ vô hiệu hoá dữ liệu kích hoạt bằng cách ghi đè hoặc tiến hành huỷ vật lý.
6.5 Kiểm soát an ninh máy tính
6.5.1 Các yêu cầu an ninh đối với hệ thống máy tính
Dịch vụ FPT-CA thực hiện tất cả các chức năng của CA và RA trên các hệ thống đáng tin cậy đáp ứng được các yêu cầu về bảo mật của dịch vụ FPT-CA SHA-256. Các thuê bao tổ chức phải sử dụng hệ thống đáng tin cậy.
Trung tâm xử lý sẽ phải đảm bảo chắc chắn rằng các hệ thống chứa phần mềm CA và các tệp dữ liệu phải là hệ thống đáng tin cậy chống lại được các truy cập trái phép, điều này có thể được giải thích theo yêu cầu và tiêu chuẩn kiểm định. Thêm vào đó, trung tâm xử lý cũng giới hạn tối đa các truy cập đến máy chủ chính với những lý do quyền hạn để truy cập. Thuê bao thông thường sẽ không có tài khoản trên máy chủ chính.
Trung tâm xử lý sẽ tạo ra các mạng tách biệt về mặt logic với những mạng khác. Sự tách biệt này nhằm ngăn chặn sự truy cập mạng trái phép ngoại trừ các tiến hành ứng dụng đã được định nghĩa. Trung tâm xử lý sẽ xử dụng tường lửa để bảo vệ hệ thống mạng trước nguy cơ xâm nhậm từ bên trong lẫn bên ngoài. Trung tâm xử lý sẽ yêu cầu sử dụng mật khẩu có đội dài tối thiểu và kết hợp giữa chữ cái với các ký tự đặc biệt, và yêu cầu mật khẩu phải được thay đổi trong một khoảng thời gian nhất định và những khi cần thiết. Việc truy cập trực tiếp dữ liệu của trung tâm xử lý được duy trì trong vùng nhớ của trung tâm xử lý sẽ bị giới hạn đối với những người được tin tưởng trong nhóm hoạt động của trung tâm xử lý có những lý do hợp lệ để truy.
6.5.2 Định kỳ đánh giá an ninh hệ thống máy tính
6.6 Kiểm soát an ninh quy trình sử dụng
Giải pháp An ninh cho FPT-CA được thiết lập dựa trên các thành phần sau:
• Chính sách an ninh mạng được triển khai.
• Kiến trúc Module hóa các thành phần như: Core, Distribution, Edge, Access.
• Tường lửa Firewall: gồm Firewall Internet GW, Campus Firewall, Egde Firewall, Internal FW.
• Hệ thống phát hiện và chống thâm nhập mạng IPS/IPS Network Sensor
• Hệ thống phát hiện và chống thâm nhập các máy chủ ứng dụng IPS Host sensor.
• Hệ thống phòng chống Antivirus nhiều điểm: Internet Gateway, Mail server, spam mail, Client/server, quản lý tập trung.
• Hệ thống cập nhật bản vá cho máy chủ/máy trạm.
• Hệ thống quản trị an ninh : thành phần quản lý và giám sát an ninh tập trung, các thành phần dò tìm các lỗ hổng, thành phần thiết lập chính sách an ninh mạng, thành phần phân tích an ninh và báo cáo, thành phần cập nhật các bản vá cho HĐH mạng, thành phần quản lý và phân tích băng thông của mạng.
FPT có các cơ chế, chính sách để điều khiển và giám sát cấu hình của hệ thống FPT-CA. FPT tạo ra mã hoá đối với tất cả các gói phần mềm và các bản cập nhật của phần mềm dịch vụ FPT-CA. Mã hóa này được sử dụng để kiểm tra tính toàn vẹn của các phần mềm một cách thủ công. Dựa trên quá trình cài đặt và định kỳ sau này, FPT xác nhận tính vẹn toàn của hệ thống FPT-CA.
6.7 Giám sát an ninh hệ thống mạng
Hệ thống tường lửa dành cho FPT-CA (Firewall)
Firewall sử dụng trong hệ thống FPT-CA thực hiện phân đoạn mạng thành các phần khác nhau và áp đặt các chính sách kiểm soát thông tin qua lại giữa các phân đoạn mạng đó.
Firewall cho FPT-CA áp dụng công nghệ Stateful Filtering là kỹ thuật cho phép lọc gói tin theo trạng thái. Khi sử dụng kỹ thuật này, Firewall duy trì một bảng trạng thái các kết nối được thiết lập, mỗi khi có kết nối được thiết lập từ bên ngoài hay bên trong, thông tin về kết nối này được theo dõi và duy trì trong bảng trạng thái,thông tin này gồm có địa chỉ nguồn, địa chỉ đích, số cổng, thứ tự TCP. Các gói tin chỉ được cho phép đi qua Firewall nếu khi đối chiếu vào bảng trạng thái thấy khớp với các giá trị trong bảng này.
Bên cạnh chức năng truyền thống là lọc dữ liệu (với chức năng này Firewall chỉ đọc các header của gói tin, không đọc phần payload), những Firewall thiết kế cho FPT-CA đều có thêm những tính năng chống xâm nhập trên mạng qua những lỗ hổng bảo mật ở mức ứng dụng, nhận dạng tấn công dựa trên cơ sở dữ liệu về tấn công (gọi là signature database) và phản ứng lại các tấn công đó
Hệ thống tường lửa ứng dụng WEB (Web Application Firewall)
Ngoài các hệ thống Firwall để điều khiển truy cập, một trong những xu thế an ninh mạng rất phổ biến trên thế giới tập trung vào tấn công các hệ thống Website của các cơ quan, các tổ chức, các doanh nghiệp và các thiết bị bảo mật thông thường rất khó phát hiện các cuộc tấn công vào cổng dịch vụ TCP 80 này. Chính vì thế giải pháp bảo mật cho hệ thống mạng của FPT-CA SHA-256 sử dụng một loại Firewall đặc chủng, chuyên dụng để bảo vệ các máy chủ Web Server trước những nguy cơ rất lớn từ bên ngoài Internet vào hệ thống Website.
Hệ thống phát hiện và ngăn chặn tấn công (Intrusion Prevention System – IPS)
Song song với hệ thống Firewall là hệ thống dò tìm phát hiện chống xâm nhập bất hợp pháp – IPS (Intrusion Prevention System). Về cơ bản, thực chất IPS là một hệ thống giám sát, phân tích các thông tin và sự kiện trên mạng với tốc độ rất cao và có những cơ chế đặc biệt để nhận dạng các cuộc tấn công, sự lan tràn của virus, phát hiện sự thâm nhập bất hợp pháp thông qua các lỗ hổng bảo mật trong hệ thống... từ đó đưa ra những phản ứng tích cực tới.
6.8 Dấu thời gian (Time-Stamping)
Sử dụng dấu thời gian do FPT-CA cung cấp được Bộ Truyền thông Thông tin cấp phép.
6.9 Hủy khóa bí mật
Khi được yêu cầu, các khoá bí mật của CA sẽ bị huỷ triệt để nhằm đảm bảo rằng các khoá đó sẽ không được khôi phục trong bất kỳ trường hợp nào. Nhân viên trung tâm xử lý sẽ giảm bớt nhiệm vụ trên khoá bí mật của CA bởi hoạt động xoá có sử dụng chức năng của thẻ chứa khoá bí mật của CA đó để ngăn chặn nó được khôi phục sau khi bị xoá trong khi không có ảnh hưởng bất lợi nào tới các khoá bí mật khác được chứa trong thẻ. Quá trình này tuân theo tài liệu chuẩn trong chính sách bảo mật riêng của FPT
6.9.1 Xử lý khi lộ khóa bí mật
Lộ khóa bí mật của FPT-CA SHA-256
Khóa bí mật của FPT-CA SHA-256 được lưu trữ trong thiết bị phần cứng HSM đạt tiêu chuẩn FIPS 140-2 level 3 của chính phủ Mỹ, đây là thiết bị tạo khóa, mã hóa và lưu trữ khóa bí mật đạt tiêu chuẩn bảo mật cao nhất hiện nay, được dùng cho các hệ thống chuyên dùng, hệ thống quân đội. Ngoài ra, thiết bị này được đặt trong hệ thống Data Center đạt chuẩn Tier-3 tuân thủ nghiêm ngặt an ninh, phòng cháy chữa cháy. Thiết bị chỉ kết nối với máy chủ CA qua mạng LAN. Do đó không thể có sự tấn công từ bên ngoài, với các truy cập từ DC phải có quyền. Do đó, tuyệt đối không có sự lộ khóa bí mật của FPT-CA SHA-256
Lộ khóa bí mật của khách hàng
Đối với hệ thống FPT-CA SHA-256
Khóa bí mật của khách hàng có nguy cơ lộ trong các trường hợp khách hàng bị mất, mất cắp thiết bị USB Token và chứa khóa bí mât và chứng thư số của người dùng. Tuy nhiên, muốn dùng thiết bị USB Token này để lấy khóa bí mật ký thì còn phải nhập đúng mật khẩu bảo vệ Token. Quy trình giải quyết lộ khóa trong trường hợp này như sau:
o Khi khách hàng nghi ngờ lộ khóa, mất thiết bị USB Token. Khách hàng cần gọi trực tiếp tới hệ thống hỗ trợ của FPT-CA theo số máy 19006625. Để trình báo thông tin. Cán bộ tổng đài dựa vào các thông tin được cung cấp và so sánh các thông tin khách hàng trên hệ thống, khi các thông tin cần thiết trùng khớp sẽ chấp nhận yêu cầu xử lý sự cố lộ khóa của khách hàng.
o Sau khi nhận được phản hồi của khách hàng, thì ngay tức thì đội ngũ trực tổng đài sẽ báo cáo ngay cho quản trị dịch vụ CA để tiến hành hủy ngay chứng thư số này. Với cách giải quyết này, chứng thư số của người dùng bị lộ khóa sẽ được đưa vào danh sách chứng thư số bị thu hồi. Các hệ thống kiểm tra trạng thái chứng thư số có thể kiểm tra tính hợp lệ của chứng thư số bị lộ này thông qua giao thức OCSP và CRL. Tất nhiên trong trường hợp này chứng thư số của khóa bị lộ không còn hợp lệ trên các hệ thống cần kiểm tra.
7. ĐỊNH DẠNG CHỨNG THƯ SỐ, CRL, OCSP
7.1 Định dạng của chứng thư số
7.1.1 Định dạng thông tin cơ bản của chứng thư số
Các chứng thư FPT-CA tuân theo ITU-T Recommendation x.509 (1997): Information Technology – Open Systems Interconnection-The Directory: Authentication Framework, June 1997 and (b) RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile, May 2008 (“RFC 5280”).
Tối thiểu, các chứng thư X.509 bao gồm các trường cơ bản và các giá trị bắt buộc được chỉ ra hoặc phải tuân theo các ràng buộc trong bảng dưới đây:
Tên trường Giá trị
Serial Number Duy nhất cho một lssuer DN
Signature Algorithm Định danh thuật toán được sử dụng để ký chứng thư
Issuer DN Xem mục VII.1.4
Valid From Thời điểm chứng thư bắt đầu có hiệu lực. Được đồng bộ với Master Clock của U.S Naval Observatory. Được mã hoá theo tiêu chuẩn RFC 5280
Valid To Thời điểm chứng thư hết hiệu lực. Được đồng bộ với Master Clock của U.S Naval Observatory. Được mã hoá theo tiêu chuẩn RFC 5280
Subject DN Xem mục VII.1.4
Subject Public Key Được mã hoá theo tiêu chuẩn RFC 5280
Signature Được sinh và mã hoá phù hợp với tiêu chuẩn RFC 5280

Phiên bản
Các chứng thư FPT-CA là các chứng thư X.509 phiên bản 3 nhưng chứng thư gốc (Root Certificates) có thể là chứng thư X.509 phiên bản 3 nhưng chứng thư gốc (Root Certificates) có thể là chứng thư X.509 phiên bản 1 để hỗ trợ kế thừa của hệ thống. Các chứng thư CA là các chứng thư X.509 phiên bản 1 hoặc phiên bản 3. Các chứng thư cho thuê bao cuối là chứng thư X.509 phiên bản 3.
7.1.2 Phần mở rộng của chứng thư
FPT tạo ra chứng thư X.509 phiên bản 3 với sự mở rộng đựơc yêu cầu trong. Sự mở rộng riêng biệt có thể chấp nhận được, nhưng việc sử dụng các sự mở rộng riêng biệt không được đảm bảo trong CP và CPS trừ khi có các tham chiếu đặc biệt kèm theo.
Sử dụng khoá
Các chứng thư X.509 phiên bản 3 nói chung được phù hợp với RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile, May 2008.
Ghi chú: Mặt dù bit chống từ chối không được thiết lập cho phần mở rộng sử dụng khoá, nhưng FPT vẫn hỗ trợ các tính năng chống từ chối cho các chứng thư này. Bit chống từ chối không được yêu cầu thiết lập trong các chứng thư này bởi vì công nghệ PKI chưa đạt tới sự thống nhất về định nghĩa bit chống từ chối nghĩa. Cho đến khi đạt được sự thống nhất thì bit chống từ chối sẽ không có ý nghĩa đối với các đối tác tin cậy tiềm năng. Hơn thế nữa, các ứng dụng phổ biến nhất không nhận biết được bit chống từ chối.
Phần mở rộng của các chính sách chứng thư
Phần mở rộng của các chính sách chứng thư của X.509 phiên bản 3 được biết đến là việc nhận biết đối tượng của CPS theo mục VII.1.6 và hạn định chính sách tuân theo mục VII.1.8.
Tên thay thế của chủ thể (subjectAltName)
Trường mở rộng subjectAltName của chứng thư FPT-CA SHA-256 X.509 phiên bản 3 tuân theo chuẩn RFC 5280.
Rằng buộc cơ bản (BasicConstraints)
Với chứng thư X.509 phiên bản 3 cho CA, trường mở rộng BasicConstraints có giá trị CA được thiết lập là TRUE. Với chứng thư thuê bao cuối thì trường mở rộng BasicConstraints được thiết lập là một chuỗi rỗng. Trường criticality được thiết lập là TRUE cho chứng thư CA.
Trường “pathLen Constraint” của trường mở rộng BasicConstraints là giá trị lớn nhất của đường dẫn chứng thư. Nếu trường này có giá trị bằng 0 , thì chứng thư chỉ được cấp cho thuê bao thuê bao cuối.
Việc sử dụng khoá mở rộng
Với chứng thư thuê bao cuối X.509 phiên bản 3 của dịch vụ FPT-CA, trường mở rộng ExtendedKeyUsage được cấu hình bao gồm các khoá OID (object identifiers). Mặc định, trường này được đánh dấu là không quan trọng. Các chứng thư của CA trong dịch vụ FPT-CA không chứa trường mở rộng này.
Điểm phân bố CRL
Trong chứng thư FPT-CA X.509 phiên bản 3, trường mở rộng cRLDistributionPoints chứa các URL để đối tác tin cậy có thể lấy được CRL để kiểm tra trạng thái chứng thư.
Định danh khoá cho đơn vị cấp chứng thư.
Trong chứng thư FPT-CA X.509 phiển bản 3, phương pháp nhận dạng khoá dựa vào khoá công khai do CA phát hành tuân theo phương thức được mô tả trong RFC 3208.
Thuật toán nhận biết đối tượng
Dịch vụ FPT-CA sử dụng các thuật toán sau:
• SHA-256
Chữ ký số sử dụng các thuật toán này tuân theo tiêu chuẩn FIPS PUB 180-4. Sử dụng hàm băm SHA-256 có nhiều ưu điểm hơn so với SHA-1. Do thuật toán SHA-1 về lý thuyết có thể bị phá.
Phiên bản hiện tại của trung tâm xử lý sử dụng thuật mã hoá SHA-256 cho chứng thư thuê bao cuối.
Cấu trúc tên
Tên của chứng thư FPT-CA tuân theo mục 3.1.1
Ngoài ra, chứng thư thuê bao cuối còn có trường Organizational Unit chứa các thông báo về giới hạn sử dụng của chứng thư được thiết lập trong URL và URL trỏ đến bản thoả thuận với đối tác tin cậy. Ngoại trừ những nhu cầu nêu trên sẽ được cho phép khi giới hạn không gian định dạng, hoặc giới hạn thao tác bên trong chứng thư giống như không thể có một đơn vị thuộc tổ chức để dùng chung một đơn xin cấp chứng thư mong đợi. Hoặc một pointer có thể dùng được bản thoả thuận với đối tác tin cậy bao gồm các chính sách mở rộng của chứng thư.
Ràng buộc tên
Không có sự ràng buộc nào về tên.
Chính sách nhận biết đối tượng
Việc nhận biết đối tượng cho chính sách chứng thư tương ứng với mỗi cấp được thiết lập trong mục 1.2. Mở rộng chính sách chứng thư trong mỗi chứng thư FPT-CA X.509 phiên bản 3 tuần theo mục 1.2.
Cách dùng của sự mở rộng chính sách ràng buộc
Không có ràng buộc nào.
Chính sách hạn định cấu trúc và ngữ nghĩa
Chứng thư FPT-CA X.509 phiên bản 3 chứa hạn định chính sách trong phần mở rộng chính sách chứng thư. Nói chung, chứng thư bao gồm một CPS pointer qualifier trỏ đến bản thoả thuận với đối tác tin cậy hoặc CPS của FPT. Ngoài ra, một vài chứng thư còn bao gồm một User Qualifier chỉ đến bản thoả thuận với đối tác tin cậy.
7.2 Định dạng danh sách thu hồi chứng thư số (CRL)
Các chứng thư có chứa ngày hết hạn hiệu lực (trong trường thời gian hiệu lực), tuy nhiên đáng tiếc là đôi khi cần thu hồi (ngắt hiệu lực) của một chứng thư trước thời gian vì một vài lý do nào đó. CA cần một phương tiện để cập nhật thông tin trạng thái chứng thư của mọi chứng thư cho người dùng. Một phương tiên hữu hiệu là danh sách thu hồi chứng thư chuẩn X.509 (CRL – Certificate Revocation List).
Danh sách thu hồi chứng thư X.509 được bảo vệ bởi chữ ký số của CA phát hành. Những người dùng sẽ chắc chắn rằng nội dung của CRL không bị thay đổi bằng cách xác thực chữ ký của CA trên CRL đó. Các chứng thư chứa một tập hợp các trường chuẩn và một tập các trường mở rộng tuỳ chọn. Những trường chuẩn bao gồm:
• Version – Phiên bản: Trường này miêu tả cú pháp của CRL (Thông thường trường phiên bản sẽ là 2).
• Signature - Chữ ký: Trường này chứa thông tin về kỹ thuật nhận diện cho chữ ký số mà CA sử dụng để ký vào CRL.
• Issuer – Phát hành: Trường này chứa tên theo chuẩn X.500 của CA phát hành CRL.
• This Update - Cập nhật hiên tại: Trường này chứa thông tin ngày phát hành (cập nhật) CRL.
• Next update - Cập nhật sắp tới: Trường này chứa thông tin ngày sẽ cập nhật tiếp theo gần nhất.
• Revoked certificates – Chứng thư số bị thu hồi: Trường này chứa thông tin về các chứng thư bị thu hồi (bao gồm Serial number, time of revoke certification - Thời gian chứng thư bắt đầu bị thu hồi, và một số thông tin mở rộng khác.) Các thông tin mở rộng khác được sử dụng để cung cấp thông tin bổ sung. Trường này chỉ xuất hiện trong các CRL phiên bản 2.
Những trường mở rộng phổ biến được sử dụng bao gồm:
• CRL number: Số phát hành của CRL.
• Authority key identifier: Chúng ta đã biết mỗi CA có thể có nhiều cặp khóa khác nhau vì vậy trường này giúp người dùng biết cần chọn lựa khoá công khai nào để xác thực chữ ký số của CA đã ký trên CRL để có thể xác định độ tin cậy của CRL.
• Issuer alternative name: Trường Issuer ở trên đã chứa thông tin tên chuẩn X.500 của CA phát hành CRL, tuy nhiên một số ứng dụng đặc biết không thể hiểu chuẩn đặt tên này. Do đó trường Issuer alternative name chứa thông tin về CA phát hành CRL theo một cú pháp thích hợp khác. Ví dụ…dạng DNS hay e-mail chẳng hạn: CA1@xyz.vn.
• Issuing distribution points: Trường này để kết hợp cùng với trường mở rộng CRL distribution point trong chứng thư X.509.
• Reason code: Trường này được dùng để đưa ra lý do vì sao một chứng thư cụ thể bị thu hồi. (Nhằm giúp người dùng xử lý mềm dẻo hơn).
• Certificate issuer: Đôi khi một CA nào đó chuyển chức năng phát hành CRL với các chứng thư mà nó phát hành cho một CA khác. Trường này được dùng để xem thông tin về CA nào phát hành ra các chứng thực xuất hiện trong một CRL.
7.3 Định dạng giao thức kiểm tra trạng thái chứng thư số trực tuyến (OCSP)
Hệ thống FPT-CA SHA-256 sử dụng OCSP Server (Online Certificate Status Protocol) để đáp ứng nhu cầu kiểm tra trạng thái chứng thư số từ phía client.
Đối với hệ thống FPT-CA SHA-256, đường dẫn kiểm tra trạng thái chứng thư số là:
Giao thức CRL : http://crl3.fis.com.vn
Giao thức OCSP : http://ocsp3.fis.com.vn
• Version – Phiên bản: FPT-CA áp dụng theo giao thức RFC 6960.
• Extension – Trường mở rộng: Không quy định.

8. KIỂM ĐỊNH TÍNH TUÂN THỦ VÀ CÁC ĐÁNH GIÁ KHÁC
FPT sẽ tiến hành kiểm toán định kỳ nhằm đảm bảo việc tuân thủ các tiêu chuẩn của dịch vụ FPT-CA SHA-256 sau khi đi vào hoạt động.
Bên cạnh đó, các tiêu chuẩn của dịch vụ FPT-CA SHA-256 sẽ được dùng để tiến hành đánh giá và thanh tra nhằm đảm bảo tính trung thực của FPT-CA, bao gồm những điều sau:
Các tiêu chuẩn của dịch vụ FPT-CA SHA-256 sẽ được dùng để thanh tra hay đánh giá FPT-CA, hay thuê bao là các doanh nghiệp. Trong trường hợp FPT-CA hoặc Superior Entity được kiểm tra và kết quả cho thấy các thực thể không đạt các tiêu chuẩn của dịch vụ FPT-CA, sẽ được tiếp tục hoạt động hoặc không được hoạt động tuỳ thuộc vào mức độ và hậu quả của tổn thất gây ra. Những lỗi hay những tổn thất, cho thấy mối đe doạ tiềm ẩn và thực sự đối với an ninh hay tính toàn vẹn của FPT-CA SHA-256.
Các tiêu chuẩn của dịch vụ FPT-CA sẽ được dùng để tiến hành các đánh giá về quản lý rủi ro bổ sung của chính FPT-CA SHA-256 hay của thuê bao theo những phát hiện về việc không tuân thủ đầy đủ hoặc có những ngoại lệ trong kết quả cuộc kiểm toán quá trình tuân thủ và đó cũng là một phần của quá trình quản lý rủi ro tổng thể.
Các tiêu chuẩn của dịch vụ FPT-CA SHA-256 sẽ được dùng để tiến hành kiểm toán, đánh giá và thanh tra các thực thể hoặc hãng kiểm toán đóng vai trò là bên thứ 3. Các thực thể chịu sự kiểm toán, đánh giá và thanh tra sẽ phải hợp tác với FPT-CA để tiến hành kiểm toán, đánh giá và thanh tra này.
8.1 Tần suất và tình huống kiểm tra kỹ thuật
Các cuộc kiểm soát quá trình tuân thủ được tiến hành ít nhất mỗi năm một lần với chi phí phụ thuộc về thực thể được kiểm toán.
8.2 Đơn vị, người thực hiện kiểm tra kỹ thuật
Hãng kiểm toán đóng vai trò là bên thứ 3 sẽ tiến hành kiểm toán quá trình tuân thủ của FPT-CA.
Việc đánh giá và kiểm toán trên lại được kiểm tra bởi một công ty kế toán nhà nước đã được cấp chứng thư trong sự giám định của an ninh máy tính hoặc bởi các chuyên gia có uy tín về an ninh máy tính do ban cố vấn an ninh chỉ định. Công ty này cũng sẽ phải giám định về an ninh công nghệ thông tin và việc thực hiện PKI.
8.3 Nội dung kiểm tra kỹ thuật
Phạm vi đánh giá bao gồm môi trường hoạt động của FPT-CA, các hoạt động quản lý khóa, các quy trình kiểm soát điều khiển và quản trị FPT-CA, quản lý thời gian sống của các chứng thư số và quá trình thực tế hoạt động kinh doanh. Bao gồm:
- Hạ tầng hệ thống.
- Các quy trình quản lý khóa.
- Quy trình vận hành hệ thống.
- Các nội dung khác theo yêu cầu của đơn vị kiểm tra kỹ thuật.
8.4 Xử lý khi phát hiện sai sót
Sau khi nhận được báo cáo kiểm toán, SE của thực thể được kiểm toán sẽ liên lạc với bên kiểm toán để thảo luận về những trường hợp ngoại lệ và những thiếu sót mà kết quả cuộc kiểm toán chỉ ra. Các tiêu chuẩn của dịch vụ FPT-CA SHA-256 sẽ được sử dụng để thảo luận về những trường hợp ngoại lệ và những thiết sót với bên kiểm toán. Thực thể đuợc kiểm toán và SE sẽ dùng những nỗ lực thương mại để thoả thuận kế hoạch hành động đúng đắn để giải quyết các vấn đề do các trường hợp ngoại lệ và thiếu sót gây ra và để thực hiện kế hoạch đó.
Trong trường hợp bên thực thể được kiểm toán thất bại trong việc đưa ra một kế hoạch hành động hoặc thất bại trong việc thực hiện nó, hoặc nếu bản báo cáo chỉ ra những ngoại lệ và những thiếu sót mà FPT-CA và SE tin rằng chúng là mối đe doạ tức thì tới an ninh và tính thống nhất của FPT-CA:
(a) FPT-CA và SE sẽ khẳng định có cần thiết phải thu hồi hay thoả hiệp báo cáo hay không.
(b) FPT-CA và SE sẽ được phép tạm dừng dịch vụ để tiến hành kiểm toán
(c) Nếu cần thiết, FPT-CA và SE có thể sẽ chấm dứt dịch vụ và những điều khoản trong hợp đồng giữa thực thể được kiểm toán và SE của nó.
8.5 Thông báo kết quả
Theo như bất kì một cuộc kiểm toán nào thì bên thực thể được kiểm toán sẽ cung cấp cho FPT-CA và SE (nếu SE không phải là FPT-CA) bản báo cáo và các chứng nhận hàng năm dựa trên kết quả kiểm toán hoặc tự kiểm toán trong vòng 14 ngày sau khi kết thúc kiểm toán hoặc không quá 44 ngày sau ngày bắt đầu các hoạt động.
8.6 Tần suất và các trường hợp đánh giá
Đánh giá kiểm tra được thực hiện ít nhất định kỳ hàng năm hoặc theo thời hạn chứng chỉ của các thành phần hệ thống bởi đơn vị kiểm định đáp ứng yêu cầu theo quy định của pháp luật và yêu cầu của FPT-CA.
8.7 Danh tính và khả năng của đơn vị, người kiểm tra
Đơn vị kiểm tra FPT-CA phải là đơn vị độc lập có khả năng sau:
- Có năng lực thành thạo về công nghệ hạ tầng khóa công khai, công cụ và kĩ thuật an toàn thông tin.
- Được chứng nhận bởi RootCA.

9. CÁC VẤN ĐỀ THƯƠNG MẠI VÀ PHÁP LÝ KHÁC
9.1 Phí/Giá
9.1.1 Lệ phí cấp Chứng thư hoặc gia hạn Chứng thư
Khách hàng sử dụng dịch vụ FPT-CA SHA-256 phải trả phí khi xin cấp chứng thư, quản lý và tạo mới chứng thư cho nhà cung cấp.
9.1.2 Lệ phí sử dụng Chứng thư
Các thuê bao của dịch vụ FPT-CA SHA-256 và RA không phải trả phí để tạo ra kho chứng thư hay dịch vụ cung cấp thông tin chứng thư trực tuyến cho đối tác tin cậy.
9.1.3 Phí truy cập thông tin về trạng thái chứng thư và việc thu hồi chứng thư.
Các thành phần tham gia dịch vụ FPT-CA SHA-256 không phải trả phí cho việc tạo ra các CRLs. Tuy nhiên CA được trả phí khi cung cấp các dịch vụ CRLs, OCSP hoặc các dịch vụ thu hồi giá trị gia tăng, dịch vụ cung cấp thông tin trạng thái khác.
9.1.4 Lệ phí sử dụng cho các dịch vụ khác
Các thành phần tham gia dịch vụ FPT-CA SHA-256 không phải trả phí khi truy cập CP hoặc CPS. Việc sử dụng văn bản với các mục đích khác như sao chép, phân bổ lại, sửa chữa hoặc tạo mới các công viên phát sinh sẽ phải tuân theo thoả thuận hợp pháp với người đang nắm giữ bản quyền của văn bản này.
9.1.5 Chính sách hoàn trả phí
FPT-CA sẽ đưa ra phạm vi cho việc áp dụng chính sách hoàn trả phí. Chính sách này sẽ được đưa lên website (bao gồm một danh sách các kho dữ liệu), hoặc đưa vào bản thoả thuận với khách hàng hay đưa vào trong bản CPS.
9.2 Trách nhiệm tài chính
9.2.1 Bảo hiểm
FPT-CA sẽ duy trình tính thương mại hợp lý cho các mức bảo hiểm đối với các lỗi hay thiếu sót, hoặc thông qua các chương trình bảo hiểm lỗi hay thiếu sót với các hãng bảo hiểm hoặc tự cam kết bảo hiểm. Các yêu cầu bảo hiểm này không áp dụng với các tổ chức chính trị.
9.2.2 Các trường hợp FPT-CA tiến hành đề bù bảo hiểm và mức đền bù bảo hiểm
FPT-CA tiến hành đền bù bảo hiểm cho các trường hợp sau:
• Lỗi do CA gây ra, bao gồm lỗi kỹ thuật khi phát hành chứng thư theo trách nhiệm của CA.
• FPT-CA đưa ra các mức đền bù bảo hiểm theo các mức bảo hiểm chứng thư khác nhau.
• Việc đề bù bảo hiểm thực hiện theo đúng hợp đồng với thuê bao.
9.2.3 Các trường hợp không được hưởng đền bù bảo hiểm
FPT-CA sẽ không chịu trách nhiệm trong các trường hợp:
• Các trường hợp sử dụng chứng thư không được đề cập đến trong CP, CPS.
• Các trường hợp giả mạo xử lý chứng thư.
• Các trường hợp sử dụng, cấu hình thiết bị không phù hợp, không nằm trong trách nhiệm của CA được sử dụng trong quá trình xử lý chứng thư.
• Khóa bí mật bị mất, bị phá huỷ do khách hàng.
• Khách hàng đánh mất hoặc để lộ lọt thông tin bảo vệ khoá bí mật.
• Lỗi của RA, bao gồm lỗi xác thực việc nhận biết dữ liệu, số chứng thư, giá trị khoá công khai, RA không gửi yêu cầu phù hợp… Khi có lỗi xảy ra, RA sẽ chịu hoàn toàn trách nhiệm với khách hàng.Việc đề bù được thực hiện theo hợp đồng với thuê bao.
9.2.4 Các tài sản khác
FPT-CA có quền tự chủ tài chính để duy trì hoạt động và thực hiện các nhiệm vụ của mình, đồng thời có trách nhiệm pháp lý đối với các rủi ro cho thuê bao và các đối tác tin cậy.
9.2.5 Thông tin bảo đảm mở rộng.
FPT-CA đưa ra chương trình bảo đảm mở rộng cung cấp các TLS và bảo vệ chữ ký số không bị mất hay phá huỷ từ những thiếu sót trong quá trình cấp chứng nhận hoặc từ việc vi phạm hợp đồng. FPT-CA đưa ra các chương trình bảo đảm mở rộng được yêu cầu trong CPS.
9.3 Bảo mật các thông tin nghiệp vụ
9.3.1 Phạm vi của thông tin cần bảo vệ
Những dữ liệu sau của thuê bao, như đề cập đến ở mục 9.3.2 sẽ được đảm bảo tính mật và riêng tư (“thông tin mật/riêng tư”)
• Các dữ liệu CA, đuợc phê chuẩn hoặc không được phê chuẩn
• Các dữ liệu đơn xin cấp chứng thư
• Các khóa bí mật của thuê bao doanh nghiệp sử dụng hệ thống quản lý khoá công khai và các thông tin cần thiết để khôi phục các khoá này.
• Các dữ liệu chuyển đổi (dữ liệu đầy đủ và các dữ liệu kiểm toán của quá trình chuyển đổi).
• Các dữ liệu kiểm toán tạo hoặc lưu giữ bởi FPT-CA hoặc một thuê bao.
• Các báo cáo kiểm toán tạo bởi FPT-CA hay thuê bao (cho việc đánh giá những báo cáo này), hoặc những kiểm toán viên (nội bộ hoặc là bên ngoài).
• Các dự án khôi phục do tại nạn hay khôi phục sau thảm hoạ.
• Quản lý mức độ an ninh trong hoạt động của phần cứng, phần mềm, các quản trị viên của dịch vụ chứng thư và của các dịch vụ khác.
Thông tin không nằm trong phạm vi của quá trình đảm bảo tính mật
Chứng thư, thu hồi chứng thư và các thông tin về trạng thái của chứng thư, nơi lưu giữ của FPT-CA cùng các thông tin chứa bên trong không được coi là các thông tin mật/riêng tư. Các thông tin không được xem là mật/riêng tư trong mục 9.3.1 sẽ không riêng tư hoặc không bí mật. Phần này tuân theo luật riêng tư.
9.3.2 Trách nhiệm bảo vệ thông tin nghiệp vụ
FPT-CA đảm bảo an ninh cho các thông tin riêng tư không bị tiết lộ với bên thứ 3.
9.4 Bảo mật thông tin cá nhân
9.4.1 Kế hoạch đảm bảo tính riêng tư
FPT-CA sẽ tiến hành triển khai chính sách đảm bảo tính riêng , tuân theo luật riêng tư, FPT-CA sẽ không tiết lộ tên hay bất cứ một thông tin nào về các đơn xin cấp chứng thư của thuê bao ra bên ngoài.
9.4.2 Thông tin riêng tư
Tất cả những thông tin về thuê bao không được công bố công khai, bao gồm chứng thư ban hành, danh mục chứng thư và các CRL trực tuyến được coi là thông tin riêng tư.
9.4.3 Thông tin không riêng tư
Tất cả các thông tin được công khai trong chứng thư được coi như không phải là thông tin riêng tư.
9.4.4 Trách nhiệm bảo vệ thông tin riêng tư
Những người tham gia vào dịch vụ FPT-CA SHA-256 nhận các thông tin mật phải đảm bảo tính mật cho những thông tin này không bị tiết lộ với bên thứ 3 và phải tuân theo những luật riêng tư trong phạm vi quyền hạn của mình.
9.4.5 Thông báo và cho phép sử dụng thông tin mật
Theo luật riêng tư hay theo thoả thuận, các thông tin riêng tư sẽ không được sử dụng mà không có sự cho phép của người sở hữu những thông tin này. Phần này tuân theo luật từng riêng tư.
9.4.6 Cung cấp thông tin
FPT-CA sẽ được phép công bố những thông tin mật/riêng tư nếu:
• Quá trình công bố là cần thiết khi có yêu cầu của toà án và tìm kiếm thông tin xác nhận.
• Quá trình công bố là cần thiết đáp ứng yêu cầu của toà án, quá trình quản trị hay các quá trình liên quan đến luật pháp, các hoạt động quản lý như thẩm vấn của toà án, yêu cầu xác nhận, yêu cầu cho quá trình tạo tài liệu.
9.5 Quyền sở hữu trí tuệ
Quyền sở hữu trong chứng thư và thông tin thu hồi chứng thư.
CA có tất cả quyền sở hữu liên quan đến chứng thư và các thông tin thu hồi chứng thư mà họ đã ban hành. FPT-CA và khách hàng cho phép tái tạo và phân phối chứng thư mà không cần trả phí, với điều kiện chúng được tái tạo toàn bộ sử dụng chứng thư tuân theo thoả thuận với đối tác tin cậy. FPT-CA và khách hàng cũng cho phép đối tác tin cậy sử dụng các thông tin thu hồi để thực hiện chức năng của mình tuân theo thoả thuận sử dụng CRL, thoả thuận với đối tác tin cậy hay các thoả thuận thích hợp khác.
Quyền sở hữu trong CPS
Các bên liên quan trong dịch vụ FPT-CA SHA-256 chấp nhận rằng FPT-CA có quyền sở hữu đối với CPS và các điều khoản ghi trong CPS.
Quyền sở hữu tên
Người đăng ký chứng thư có quyền sở hữu đối với thương hiệu, tên dịch vụ trong các đơn xin cấp chứng thư , và với tên phân biệt (distinguished name) trong chứng thư cấp.
Quyền sở hữu khoá và các tài liệu của khoá
Cặp khoá tương ứng với chứng thư của FPT-CA SHA-256 và thuê bao là tài sản của CA và thuê bao và được lưu trữ bảo vệ theo quyền sở hữu trí tuệ.
9.6 Tuyên bố và cam kết
Đại diện của CA
Dịch vụ FPT-CA bảo đảm:
• Không có những thông tin không phù hợp với thực tế trong chứng thư.
• Không có thiếu sót ở các thông tin trong chứng thư.
• Chứng thư của CA phù hợp với yêu cầu trong CP và CPS.
• Dịch vụ thu hồi chứng thư và sử dụng kho lưu trữ phù hợp với tiêu chuẩn trong CP và CPS.
Thoả thuận với khách hàng có thể có thêm các tuyên bố và cam kết khác.
Đại diện của RA
Các RA của dịch vụ FPT-CA bảo đảm:
• Không có những thông tin không phù hợp với thực tế trong chứng thư.
• Không có thiếu sót ở các thông tin trong chứng thư.
• Những chứng thư của RA tuân theo các yêu cầu trong CPS này.
• Dịch vụ thu hồi chứng thư và sử dụng kho lưu trữ phù hợp với tiêu chuẩn trong CPS.
Thoả thuận với khách hàng có thể có thêm các tuyên bố và cam kết khác.
Đại diện của khách hàng
Khách hàng cam kết rằng:
• Mỗi chữ ký số được tạo sử dụng khoá bí mật tương ứng với khoá công khai liệt kê trong chứng thư là chữ ký điện tử của khách hàng. Chứng thư được chấp nhận và hoạt động (khi chưa hết hạn hay bị thu hồi) trong thời gian chữ ký số này được tạo.
• Khoá bí mật được bảo vệ và người không có thẩm quyền không thể truy cập vào khoá này.
• Tất cả các cam kết được đưa ra bởi khách hàng trong đơn xin cấp chứng thư là đúng sự thật.
• Tất cả những thông tin cung cấp bởi khách hàng và chứa bên trong chứng thư là đúng sự thật.
• Chứng thư được sử dụng cho các mục đích hợp pháp và tuân theo những yêu cầu trong CPS.
• Khách hàng là thuê bao cuối và không phải là một CA, không được phép sử dụng khoá bí mật kết hợp với bất kì khoá công khai nào được liệt kê trong chứng thư cho các mục đích ký số, hay đưa ra CRL, như là một CA.
Thoả thuận khách hàng có thể có thêm các tuyên bố và cam kết khác.
Đại diện cho các đối tác tin cậy
Thoả thuận với đối tác tin cậy yêu cầu đối tác tin cậy phải có đủ thông tin để đưa ra một quyết định dựa vào các thông tin trong chứng thư. Họ có trách nhiệm quyết định tin tưởng hay không vào các thông tin trong chứng thư. Relying Parties có trong CPS.
Thoả thuận về bên đối tác có thể bao gồm thêm các tuyên bố và cam kết khác.
Trách nhiệm pháp lý của đối tác tin cậy sẽ được thiết lập trong hợp đồng đối tác tin cậy.
9.7 Từ chối trách nhiệm
Trong giới hạn cho phép của luật pháp, hợp đồng thuê bao và người nhận có thể bị FPT-CA từ chối bảo lãnh.
9.8 Giới hạn trách nhiệm
Trong giới hạn của pháp luật, hợp đồng thuê bao và hợp đồng đối tác tin cậy có thể giới hạn khả năng trách nhiệm pháp lý của FPT. Việc giới hạn trách nhiệm pháp lý bao gồm cả việc loại bỏ các thiệt hại ngẫu nhiên hay gián tiếp, những thiệt hại nặng nề.
9.9 Bồi thường thiệt hại
Vấn đề bồi thường của khách hàng
Khi pháp luật yêu cầu, khách hàng phải bồi thường cho FPT-CA nếu xuất hiện:
• Những thông tin không hợp lệ do khách hàng cung cấp trên đơn xin cấp chứng thư.
• Lỗi của khách hàng để lộ những nhân tố, yếu tố liên quan đến đơn xin cấp chứng thư, sự bỏ sót do sự cẩu thả hay với mục đích lừa đảo.
• Lỗi của khách hàng trong việc bảo vệ khóa bí mật, sử dụng hệ thống tin cậy, hoặc không thực hiện các biện pháp phòng ngừa cần thiết để tránh gây hậu quả.
• Việc sử dụng tên của khách hàng (kể cả việc không giới hạn tên chung, tên miền, hoặc địa chỉ thư điện tử) vi phạm quyền sở hữu trí tuệ của bên thứ 3.
Hợp đồng với khách hàng có thể có những bổ sung phù hợp.
Vấn đề bồi thường của các đối tác tin cậy
Khi được pháp luật cho phép, bản thỏa thuận với đối tác tin cậy sẽ yêu cầu dối tác tin cậy bồi thường cho FPT-CA hay các thành phần tham gia dịch vụ FPT-CA như CA và RA vì:
• Lỗi của đối tác tin cậy trong việc thực thi bổn phận của một bên đối tác
• Sự tin cậy của đối tác về một chứng thư không được đáp ứng trong một số trường hợp.
• Lỗi của đối tác tin cậy trong việc kiểm tra trạng thái của chứng thư để xác dịnh chứng thư đã hết hạn hay bị thu hồi.
Thỏa thuận với đối tác tin cậy sẽ bao gồm thêm một số nghĩa vụ khác.
9.10 Hiệu lực của Quy chế chứng thực
9.10.1 Thời hạn
CPS bắt đầu có hiệu lực khi được công bố từ kho lưu trữ của dịch vụ FPT-CA SHA-256. Các điều sửa đổi bổ sung cho CPS này cũng bắt đầu có hiệu lực khi có sự công bố từ kho lưu trữ của dịch vụ FPT-CA.
9.10.2 Kết thúc
CPS này được bổ sung, sửa đổi sẽ vẫn giữ hiệu lực cho đến khi được thay thế bởi một văn bản mới.
9.10.3 Ảnh hưởng của sự kết thúc và những tồn tại
Khi CPS hết hiệu lực, các thành phần của dịch vụ FPT-CA sẽ không bị giới hạn bởi các điều khoản còn hiệu lực của chứng thư đã được ban hàng.
9.11 Thông báo và thỏa thuận giữa các bên
FPT-CA sẽ sử dụng các biện pháp thương mại để giao thiệp giữa các bên, hoặc sử dụng các thỏa thuận trong hợp đồng ký hết khi một điều khoản nào đó được ghi rõ trong hợp đồng.
9.12 Bổ sung và sửa đổi
9.12.1 Các thủ tục sửa đổi
Những sửa đổi của CPS sẽ được thực hiện bởi Cấp quản lý chính sách có thẩm quyền của FPT-CA. Những điều sửa đổi có thể ở dạng tài liệu chứa tất cả những điều sửa đổi cho CPS hoặc ở dạng cập nhật.
9.12.2 Các trường hợp cần sửa đổi nhận diện đối tượng (OID)
Nếu cần thiết, FPT-CA có thể thay đổi OID cho các chính sách chứng thư tương ứng với từng cấp chứng thư. Nếu không, việc sửa đổi sẽ không bao gồm việc sửa đổi OID.
9.12.3 Cách thức và thời hạn thông báo
FPT-CA có quyền quyết định việc thay đổi là cần thiết hay không cần thiết.
FPT-CA tập hợp những thay đổi về CPS từ các thành phần tham gia vào dịch vụ FPT-CA. Nếu FPT-CA cho rằng một sự thay đổi nào đó nên làm thì sẽ đề xuất thực hiện sự thay đổi đó. FPT-CA sẽ đưa ra thông báo về sự thay đổi đó phù hợp với mục này.
Trái ngược với một số điều trong CPS, nếu FPT-CA cho rằng sự thay đổi CPS là cần thiết để ngăn chặn sự xâm phạm đến an toàn của dịch vụ FPT-CA SHA-256, FPT-CA sẽ có quyền thay đổi CPS. Công bố về sự thay đổi sẽ ngay lập tức có hiệu lực. Sau khi công bố, FPT sẽ thông báo tới các bên liên quan.
9.12.4 Thời điểm đưa ra sự sửa đổi
Thời gian sửa đổi là 15 ngàu kể từ ngày được công bố trên kho lưu trữ của dịch vụ FPT-CA SHA-256. Bất kỳ ai tham gia vào dịch vụ FPT-CA SHA-256 cũng có quyền đề xuất ý kiến tới FPT-CA cho đến lúc hết thời gian sửa đổi.
9.12.5 Cơ chế xử lý các sửa đổi
FPT-CA sẽ xem xét tất cả các đề xuất liên quan đến vấn đề sửa đổi bổ sung. FPT có thể:
(a) Cho phép các đề xuất có hiệu lực mà không cần sửa đổi.
(b) Sửa đổi các đề xuất và tái bản nếu cần.
(c) Hủy bỏ những đề xuất sửa đổi.
FPT-CA có quyền hủy bỏ các đề xuất sửa đổi, và đưa ra ghi chú trong phần tài liệu về “Cập nhật và các ghi chú thực thi” của dịch vụ FPT-CA SHA-256. Những sửa đổi có hiệu lực sau khi hết hạn sửa đổi.
9.13 Thủ tục tranh chấp
Thủ tục tranh chấp giữa FPT, cộng tác và thuê bao
Việc giải quyết tranh chấp giữa FPT-CA, các bên và thuê bao phải tuân thủ theo các điều khoản được ghi trong hợp đồng.
Thủ tục tranh chấp giữa thuê bao và đối tác tin cậy
Những cuộc tranh chấp có liên quan đến dịch vụ FPT-CA SHA-256 yêu cầu thời gian đàm phán là 60 ngày, sau đó có thể được đưa lên toà án có đủ quyền để xử lý.
9.14 Hệ thống pháp lý điều chỉnh
Tuân theo luật của nước CHXHCN Việt Nam và luật Thương mại điện tử của Việt Nam, các đối tượng sẽ bị cưỡng chế thực hiện, xây dựng, giải thích và hợp lệ hóa CPS này, không quan tâm tới sự lựa chọn các văn bản luật khác, và không yêu cầu thiết lập mối quan hệ thương mại ở Việt Nam. Việc lựa chọn luật này nhằm đảm bảo tính thống nhất của các thủ tục và giải thích cho những người tham gia dịch vụ FPT-CA SHA-256, bất kể họ ở đâu.
CPS này tùy thuộc vào hệ thống các điều luật, quy tắc, các điều chỉnh, quy định, các sắc lệnh và mệnh lệnh thuộc phạm vi địa phương, bang, quốc gia, nhưng không giới hạn hay hạn chế trong lĩnh vực xuất khẩu hay nhập khẩu phần mềm, phần cứng và các thông tin kỹ thuật.
9.15 Phù hợp với pháp luật hiện hành
CPS này tùy thuộc vào hệ thống các điều luật, quy tắc, các điều chỉnh, quy định, các sắc lệnh và mệnh lệnh thuộc phạm vi địa phương, bang, quốc gia, nhưng không giới hạn hay hạn chế cho lĩnh vực xuất khẩu phần mềm, phần cứng và các thông tin kỹ thuật.
9.16 Các điều khoản chung
Trong trường hợp điều ước quốc tế mà Việt Nam tham gia hoặc phê chuẩn có quy định khác pháp luật trong nước thì áp điều ước đó.
9.16.1 Điều khoản thỏa thuận chung
Trách nhiệm của các bên được quy định và giới hạn theo hợp đồng đã ký kết.
9.16.2 Tính độc lập của các điều khoản
Trong trường hợp một điều khoản hay sự sửa đổi bổ sung của CPS được giữ lại không thể thi hành được bởi một phiên tòa hay một cuộc xét xử có thẩm quyền, phần còn lại của CPS vẫn có hiệu lực.
9.16.3 Sự thực thi (quyền ủy nhiệm và quyền khước từ)
Bất kỳ một bên nào chiếm ưu thế trong những tranh cãi nảy sinh ngoài hợp đồng đều được quyền ủy nhiệm hoặc quyền khước từ do sự vi phạm một trong các điều khoản trong hợp đồng.
9.16.4 Chính sách bắt buộc thực thi
Trong phạm vi luật pháp cho phép, thỏa thuận của thuê bao và thỏa thuận bên liên quan bắt buộc phải tuân theo các điều khoản bảo vệ dịch vụ FPT-CA SHA-256.
9.17 Các quy định khác
Không có quy định.