Una política de certificación
es un documento elaborado por el emisor de los certificados,
donde se describe principalmente:
su uso,
la comunidad a la que va dirigido,
las declaraciones de responsabilidad de los agentes
implicados en la gestión del certificado y
los requerimientos de seguridad que
el emisor define como necesarios para su emisión.
La política de certificación
es un elemento que nos indicará el nivel de seguridad
asociado al certificado, es decir el grado de fiabilidad
que podemos establecer en que la identidad del usuario esté
ligada a la clave pública. Es por lo tanto un documento
esencial para poder valorar y así equiparar certificados
de emisores diferentes. Podremos decir que un certificado
es equiparable a otro cuando los términos de su política
de certificación sean equiparables.
Recordemos que el certificado es fundamentalmente
una herramienta de gestión de riesgo, por lo tanto
una política es importante para valorar la reducción
del riesgo real que nos ofrece en una aplicación
concreta.
El contenido de una política de
certificación estandarizada en base al RFC2527
del IETF consta de los siguientes apartados:
Introducción. Donde se define la comunidad
y ámbito de aplicación del certificado.
Requisitos Generales. Detalle de obligaciones
y responsabilidades de las partes.
Identificación y autenticación.
Definición de los procesos de identificación
y registro del titular.
Requerimientos operacionales. Donde se describen
los procesos de registro, emisión, publicación
y revocación de los certificados.
Controles de seguridad física, procedimental
y de personal. Donde se definen los requisitos de
seguridad no técnicos que debe implantar a nivel
físico, los procesos y recursos humanos.
Controles de seguridad técnica. Descripción
de las medidas de protección de las claves criptográficas
así como otros datos de la seguridad como la seguridad
de los equipos o de la red de comunicaciones.
Contenidos de los certificados y Listas de revocación.
Donde se describen detalladamente los campos y extensiones
que incluyen los certificados digitales.
Gestión y administración del documento.
Información sobre el mantenimiento de las políticas
de certificación.
Políticas de certificación