Qualifizierte Signaturzertifikate für natürliche Personen
Hier finden Sie Informationen zum qualifizierten Signaturzertifikat für natürliche Personen - Digitale rechtsverbindliche Signatur gemäss ZertES.
Allgemeine Informationen
Die Zertifikate der Klasse A sind qualifizierte Signaturzertifikate gemäss ZertES (Bundesgesetz über die elektronische Signatur) und werden für die rechtsverbindliche Signatur von elektronischen Dokumenten eingesetzt. Zertifikate der Klasse A können nur in Verbindung mit einer qualifizierten und autorisierten Signaturanwendung verwendet werden.
Der private Schlüssel des qualifizierten Zertifikats wird auf einem Server der Swiss Government PKI, einem Hardware Security Modul (HSM) gespeichert.
Der Zertifikatsinhaber ist die Person, für die ein qualifiziertes Zertifikat ausgestellt worden ist. Sie handelt im Auftrag einer Organisation (Bundesverwaltung, Kantone) und benötigt aufgrund ihrer Tätigkeit ein nach ZertES (Bundesgesetz über die elektronische Signatur) ausgestelltes Zertifikat der Swiss Government PKI.
Inhalt des Zertifikats
Das von der Swiss Government PKI ausgestellte Zertifikat enthält folgende Informationen:
- Zertifikatsinhaber (Vollständiger Name, E-Mail-Adresse)
- Zertifizierungsstelle (Herausgeber)
- Fingerprint des Zertifikats
- Gültigkeit des Zertifikats
- Seriennummer
Die Informationen im Zertifikat können nicht geändert werden. Ändert sich z.B. der Name oder die E-Mail-Adresse, müssen die Schlüssel und das Zertifikat neu erstellt werden.
Antragstellung
- Um die Korrektheit der Beziehung zwischen einem öffentlichen Schlüssel und einem Antragsteller garantieren zu können, muss die Swiss Government PKI die Identität des Antragsstellers anhand einer persönlichen Identifikation sowie offiziellen Dokumenten (gültiger Pass oder gültige Identitätskarte) überprüfen.
- Die lokale Registrierstelle ist mit der Aufgabe betraut, den Antragsteller zu identifizieren und die notwendigen Informationen für die Ausstellung eines Zertifikates zusammenzustellen.
- Zur Identifikation dürfen ID’s aus unseren «direkt angrenzenden Ländern (Deutschland, Österreich, Frankreich, Italien und Lichtenstein) akzeptiert werden. Weitere ID’s, welche von der Schweiz als gültige Reisedokumente anerkannt sind, finden Sie auf der Internet Site des Staatssekretariat für Migration SEM unter Alphabetische Liste der Länder.
Verwendung des Schlüssels und des Zertifikats durch den Inhaber
Informationen zur Nutzung der Signaturdienste im Zusammenhang mit einem Klasse A Zertifikat sind hier aufgeführt.
Der Signierschlüssel und das zugehörige qualifizierte Zertifikat dürfen ausschliesslich für die Erzeugung und Verifikation elektronischer qualifizierter Signaturen von Dokumenten verwendet werden. Die Liste der Applikationen, mit welchen die Zertifikate benutzt werden dürfen, ist unter der Rubrik «Standards und Vorgaben» publiziert.
Die Verwendung des Schlüssels durch den Inhaber unterliegt den in den «Benutzervereinbarung und Nutzungsbedingungen für Zertifikate der Klasse A» aufgeführten Bedingungen, insbesondere:
- Der Inhaber darf seinen privaten Schlüssel nur für die vorgesehenen Zwecke mit genehmigter Anwendung (DesktopSigner) einsetzen.
- Der Inhaber verfügt über das nötige Grundwissen für die angemessene Verwendung des Signierschlüssels und des Zertifikates.
- Der Inhaber muss über seine Verantwortungen und Pflichten, die im Certificate Practice Statement festgelegt sind, auf dem Laufenden sein.
- Der Inhaber ist für seine Schlüssel und die Signiervorrichtung alleine verantwortlich. Er muss die notwendigen Vorkehrungen treffen, um Verlust, Verbreitung an Dritte, Veränderung und nicht autorisierte Verwendung zu verhindern.
- Bei vermuteter oder festgestellter Kompromittierung des privaten Schlüssels muss der Inhaber unverzüglich die lokale Registrierstelle informieren, um die Nutzung der kryptographischen Schlüssel (des Zertifikates) einzustellen.
- Der Inhaber muss sein Zertifikat revozieren lassen, falls die darin enthaltenen Informationen nicht mehr gültig sind
Erneuerung des Zertifikats
- Die Zertifikate sind, wenn sie nicht vorher revoziert werden, drei Jahre gültig.
- Die Erneuerung eines Zertifikates verläuft gleich wie die initiale Ausstellung eines Zertifikates.
Revokation
- Die Smartcard ist gestohlen worden oder kann nicht mehr gefunden werden
- Die Smartcard ist defekt
- Der Zertifikats-Inhaber hat den PIN und den PUK für die Smartcard vergessen
- Beendigung des Arbeitsverhältnisses
- Änderung der Daten (Name, Organisationseinheit, etc.)
- Verdacht auf Kompromittierung (Bekanntwerden) des privaten Schlüssels (eine andere Person könnte einen Dienst nutzen, z.B. eine Mail signieren)
- Der Zertifikats-Inhaber hält sich nicht an die Richtlinien (Nicht-Befolgen der CPS)
- Der LRAO hält eine Revokation aus anderen Gründen für angezeigt
- Der Zertifikats-Inhaber selbst
- Mitarbeiter des HR (Personaldienst)
- Der Linienvorgesetzte
- Der zuständige LRAO
- Der Swiss Government PKI- Verantwortliche
- Der Swiss Government PKI- Security Officer
- Der ISBO
- Indem sich der Zertifikats-Inhaber persönlich bei einer lokalen Registrierstelle meldet
- Indem er seinen Revokationsantrag per Post an eine lokale Registrierstelle sendet
- Indem er seinen Revokationsantrag mit seinem Signierschlüssel unterschreibt, sofern nicht eine vermutete oder tatsächliche Kompromittierung seines Signierschlüssels der Grund für den Revokationsantrag ist
- Indem er sich ausserhalb der Öffnungszeiten der lokalen Registrierungsstelle telefonisch an das Service Desk BIT wendet
Wird die Revokation nicht vom Inhaber beantragt, so muss dies immer auf schriftlicher und signierter Weise erfolgen.