电子认证业务规则规范(试行)
1卫生系统电子认证服务规范(试行)
卫生系统电子认证服务规范（试行）卫生部办公厅卫生部统计信息中心二○○九年六月目录第1章概述 (1)1.1范围 (1)1.2规范性引文 (1)1.3术语和缩略语 (1)1.3.1术语和定义 (1)1.3.2符号和缩略语 (3)第2章服务总体要求 (4)2.1服务参与方 (4)2.2服务对象及证书分类 (4)2.3服务开展模式 (5)第3章电子认证服务交付要求 (7)3.1电子认证服务交付概述 (7)3.2证书产品的交付形态 (7)3.3身份鉴别 (8)3.3.1身份鉴别模式 (8)3.3.2身份鉴别流程 (8)3.3.3身份鉴别要求 (9)3.4证书申请和签发 (10)3.4.1面向内部用户 (10)3.4.2面向社会公众 (11)3.5证书更新 (11)3.5.1面向内部用户 (11)3.5.2面向社会公众 (12)3.6证书吊销 (12)3.6.1面向内部用户 (12)3.6.2面向社会公众 (13)3.7证书密码解锁 (13)3.7.1面向内部用户 (13)3.7.2面向社会公众 (14)3.8密钥恢复 (14)3.9证书信息发布 (14)3.10证书状态查询 (14)第4章电子认证服务支持要求 (16)4.1电子认证服务支持概述 (16)4.2呼叫中心热线支持 (16)4.3证书服务网站 (16)4.4现场技术支持 (17)4.5应用实施咨询 (17)4.6培训 (17)第5章服务的管理和控制 (18)5.1服务安全性要求 (18)5.2服务可靠性要求 (18)5.3服务时效性要求 (18)5.4服务费用 (19)5.5审计 (19)第1章概述1.1范围本规范描述了电子认证服务的总体要求，定义了参与卫生系统电子认证服务体系建设的相关方和开展电子认证服务的工作机制，规范了电子认证服务机构需要遵循的服务交付要求和服务支持要求，提出了服务的管理和控制要求。
本规范适用于指导参与卫生系统电子认证服务相关方开发电子认证服务，有利于形成标准统一、安全可信、应用方便的卫生系统电子认证服务体系。
1卫生系统电子认证服务规范
卫生系统电子认证服务体系系列规范- 卫生系统电子认证服务规范（试行）卫生部办公厅2010年4月30日1 范围 (1)2 服务总体要求 (1)2.1 证书分类 (1)2.2 证书产品 (1)2.3 服务模式 (1)2.4 服务内容 (1)2.5 平台接入 (2)3 证书业务服务 (2)3.1 证书申请 (2)3.2 证书发放 (2)3.3 证书更新 (2)3.4 证书吊销 (2)3.5 证书解锁 (2)3.6 密钥恢复 (3)3.7 证书查询 (3)4 技术支持服务 (3)4.1服务方式 (3)4.2服务内容 (3)5 服务的保障 (4)5.1组织保障 (4)5.2制度保障 (4)5.3安全保障 (4)附录(资料性附录) 名词解释 (5)1 范围本规范依据《卫生系统电子认证服务管理办法（试行）》，定义了参与卫生系统电子认证服务体系建设的管理方、使用方和提供方开展电子认证服务的工作机制，描述了卫生系统电子认证服务的总体要求，规范了电子认证服务机构需要遵循的证书业务服务和证书支持服务的要求，提出了服务的保障要求。
本规范适用于卫生系统电子认证服务体系建设的管理方、使用方和提供方。
2 服务总体要求2.1 证书分类()根据卫生系统内的用户群体所处单位和担任的职能不同，数字证书用户包括卫生系统内部用户和外部用户。
内部用户是指全国各级卫生行政部门和各级各类医疗卫生机构及其工作人员。
外部用户是指涉及卫生业务的企事业单位和社会公众。
根据用户特点及应用需求，卫生系统数字证书分为内部用户证书和外部用户证书，共六类：（1）内部机构证书是指为各级卫生行政部门和各级各类医疗卫生机构颁发的证书，代表卫生机构的身份。
（2）内部工作人员证书是指为各级卫生行政部门和各级各类医疗卫生机构的工作人员颁发的证书，代表个人的身份。
（3）内部设备证书是指各级卫生信息系统使用的服务器证书或VPN设备证书等。
（4）外部机构证书是指为涉及卫生业务的企事业单位颁发的代表法人身份的证书。
电子行业电子认证业务规则规范
电子行业电子认证业务规则规范1. 引言电子行业电子认证业务是指利用电子技术和互联网等网络技术，通过数字证书等手段对电子信息进行验证和鉴定的业务活动。
为了确保电子认证业务在电子行业中的安全性、一致性和可靠性，制定本规范。
2. 术语定义•电子认证：利用电子技术和互联网等网络技术，通过数字证书等手段对电子信息进行验证和鉴定的过程。
•电子认证主体：提供电子认证服务的机构或组织。
•电子认证用户：通过电子认证获得电子证书或使用电子证书进行身份认证的个人或机构。
•数字证书：一种用于证明数字实体身份和对电子信息进行加密和解密的数字文件，由电子认证主体颁发。
•证书颁发机构（CA）：负责颁发数字证书的机构或组织。
•公钥基础设施（PKI）：提供数字证书管理、颁发和撤销等服务的基础设施。
3.1 电子认证申请流程1.电子认证用户向电子认证主体提交电子认证申请。
2.电子认证主体验证申请人的身份和资质信息。
3.若申请人符合电子认证要求，则电子认证主体生成数字证书，并将其发送给申请人。
4.电子认证用户在电子认证设备上安装并配置数字证书。
1.电子认证用户向电子认证主体发起身份认证请求。
2.电子认证主体验证数字证书的有效性，并向用户发送认证结果。
3.用户根据认证结果进行进一步操作，如完成电子签名、加密等操作。
4. 电子认证业务安全性要求1.电子认证主体应建立安全可靠的证书颁发机构，并对其进行监督和管理。
2.电子认证主体应采用安全加密技术，保护申请人的个人信息和数字证书的安全性。
3.电子认证主体应定期对数字证书进行审核和更新，及时撤销失效的数字证书。
4.电子认证用户应妥善保管自己的数字证书，避免泄露和被盗用。
5.电子认证用户应定期更新数字证书，并及时联系电子认证主体处理证书问题。
5. 电子认证业务规范要求1.电子认证主体应明确电子认证的适用范围和使用条件，并向用户提供相关说明。
2.电子认证主体应向用户提供清晰的电子认证申请流程和使用指南。
电子认证服务管理办法
电子认证服务管理办法（修订征求意见稿）第一章总则第一条为了加强对电子认证服务活动的管理，规范电子认证服务行为，保障电子签名的可靠性，根据《中华人民共和国电子签名法》，制定本办法。
第二条本办法所称电子认证服务，是指为电子签名相关各方提供真实性、可靠性证明的活动。
从事电子认证服务的机构应当遵循客观独立、公正公开、诚实信用的原则开展认证业务。
第三条在中华人民共和国境内设立电子认证服务机构，提供电子认证服务，适用本办法。
第四条中华人民共和国工业和信息化部（以下简称“工业和信息化部”）依法对电子认证服务活动实施监督管理。
各省、自治区、直辖市工业和信息化主管部门根据工业和信息化部的委托，承担本行政区域内电子认证服务活动的监督管理。
第二章电子认证服务许可第五条电子认证服务机构应当具备下列条件：（一）具有独立的企业法人资格。
（二）从事电子认证服务的专业技术人员、运营管理人员、安全管理人员和客户服务人员不少于三十名，并且应当符合岗位技能规范要求。
（三）注册资本不低于人民币三千万元。
（四）具有固定的经营场所和满足电子认证服务要求的物理环境。
（五）具有符合国家有关安全标准的软件系统和硬件设备。
（六）具有国家密码管理机构同意使用密码的证明文件。
（七）法律、行政法规规定的其他条件。
第六条申请电子认证服务许可的，应当向工业和信息化部提交下列材料：（一）电子认证服务许可申请。
（二）电子认证服务工作人员证明。
（三）资金证明（工商营业执照复印件，经依法审计的近三年的财务会计报告，新成立公司的验资报告）。
（四）经营场所证明（房屋产权证明或租赁合同）。
（五）国家有关认证检测机构出具的软件系统、硬件设备、物理环境符合国家有关安全标准的证明文件。
（六）国家密码管理机构同意使用密码的证明文件。
（七）认证业务发展计划。
第七条工业和信息化部对提交的申请材料进行形式审查。
申请材料齐全、符合法定形式的，应当向申请人出具受理通知书。
申请材料不齐全或者不符合法定形式的，应当当场或者在五日内一次告知申请人需要补正的全部内容。
电子认证业务规则规范
电子认证业务规则规范电子认证是指通过技术手段，对身份、行为、数据等进行验证和保护的过程。
随着互联网的迅速发展，电子认证已成为现代社会信息交流与交易的重要工具。
为了促进电子认证的有效运行，维护信息安全和用户权益，电子认证业务规则规范应当被制定和遵守。
首先，电子认证业务规则规范应明确电子认证的基本原则和法律依据。
这包括所采用的技术标准、身份验证方式、数据加密与存储要求等。
同时，应明确电子认证的法律依据，包括电子签名法、电子认证法等。
只有遵循相应的技术标准和法律规定，电子认证才能得到广泛的认可和应用。
其次，电子认证业务规则规范应明确电子认证服务提供者的责任和义务。
电子认证服务提供者是指提供电子认证服务的第三方机构，在电子认证过程中扮演了重要角色。
规则规范应明确电子认证服务提供者所需具备的资质、安全准入机制以及业务流程等。
此外，还需要规定电子认证服务提供者的监督管理机制，确保其依法运营、遵守规章制度。
第三，电子认证业务规则规范应规定电子认证的申请与审核过程。
在电子认证中，申请者的身份需要经过审核和验证，以确保其真实性和合法性。
规章规定应明确电子认证申请的途径、申请的材料要求，以及审核的程序与标准。
此外，还应建立有效的申诉机制，对于申请者的异议和投诉进行处理。
第四，电子认证业务规则规范应加强对电子认证安全的管理与保护。
电子认证涉及到用户的个人信息和数据安全，因此需要加强对用户数据的加密保护、存储安全等措施。
此外，还需要建立完善的信息安全管理制度，对电子认证服务提供者进行安全评估和监督。
只有确保电子认证的安全，才能增强用户的信任和认可。
最后，电子认证业务规则规范应强调用户的权益保护。
规章规定应包括用户权益的明确保护措施，例如用户隐私保护、用户申诉处理、权益赔偿等。
此外，还应加强对电子认证的培训和宣传工作，提高用户的认知度和使用能力。
总之，电子认证业务规则规范的制定与实施对于促进电子认证的稳定发展和用户权益的保护至关重要。
电子认证业务规则规范
电子认证业务规则规范（试行）信息产业部电子认证服务管理办公室2005年4月说明为了规范电子认证业务规则的基本框架、主要内容和编写格式，根据目前电子认证系统大多采用基于非对称密钥的PKI技术的现状，参考国家标准化部门正在制定的相关标准，信息产业部电子认证服务管理办公室编制了电子认证业务规则规范（试行）。
电子认证服务机构应参照本规范，结合电子认证业务的具体情况，编制电子认证业务规则。
信息产业部电子认证服务管理办公室2005年4月电子认证业务规则规范（试行）一、电子认证业务规则的主要组成部分电子认证业务规则是电子认证服务机构对所提供的认证及相关业务的全面描述。
电子认证业务规则包括责任范围、作业操作规范和信息安全保障措施等内容，主要由以下几部分组成。
（一）概括性描述（二）信息发布与信息管理（三）身份标识与鉴别（四）证书生命周期操作要求（五）认证机构设施、管理和操作控制（六）认证系统技术安全控制（七）证书、证书吊销列表和在线证书状态协议（八）认证机构审计和其他评估（九）法律责任和其他业务条款二、主要组成部分的内容说明（一）概括性描述对电子认证业务规则进行概要性表述，给出文档的名称和标识，指出电子认证活动的参与者及证书应用范围，并说明对电子认证业务规则的管理，最后给出电子认证业务规则中使用的定义和缩写。
1、概述对电子认证业务规则提供一个概要性介绍，也可用于对电子认证服务机构的概要性描述。
例如，可以设定所提供证书的不同保证等级，也可以用图形的方式来表达电子认证服务机构的结构。
2、文档名称与标识关于电子认证业务规则的任何适用名称或标识符，包括ASN.1对象标识符的说明。
3、电子认证活动参与者* 电子认证服务机构，也就是证书认证机构，是颁发证书的实体。
* 注册机构，也就是为最终证书申请者建立注册过程的实体，对证书申请者进行身份标识和鉴别，发起或传递证书吊销请求，代表电子认证服务机构批准更新证书或更新密钥的申请。
* 订户，从电子认证服务机构接收证书的实体。
卫生系统电子认证服务规范
卫生系统电子认证服务体系系列规范- 卫生系统电子认证服务规范（试行）卫生部办公厅2010年4月30日1 范围 (1)2 服务总体要求 (1)2.1 证书分类 (1)2.2 证书产品 (1)2.3 服务模式 (1)2.4 服务内容 (1)2.5 平台接入 (2)3 证书业务服务 (2)3.1 证书申请 (2)3.2 证书发放 (2)3.3 证书更新 (2)3.4 证书吊销 (2)3.5 证书解锁 (2)3.6 密钥恢复 (3)3.7 证书查询 (3)4 技术支持服务 (3)4.1服务方式 (3)4.2服务内容 (3)5 服务的保障 (4)5.1组织保障 (4)5.2制度保障 (4)5.3安全保障 (4)附录(资料性附录) 名词解释 (5)1 范围本规范依据《卫生系统电子认证服务管理办法（试行）》，定义了参与卫生系统电子认证服务体系建设的管理方、使用方和提供方开展电子认证服务的工作机制，描述了卫生系统电子认证服务的总体要求，规范了电子认证服务机构需要遵循的证书业务服务和证书支持服务的要求，提出了服务的保障要求。
本规范适用于卫生系统电子认证服务体系建设的管理方、使用方和提供方。
2 服务总体要求2.1 证书分类根据卫生系统内的用户群体所处单位和担任的职能不同，数字证书用户包括卫生系统内部用户和外部用户。
内部用户是指全国各级卫生行政部门和各级各类医疗卫生机构及其工作人员。
外部用户是指涉及卫生业务的企事业单位和社会公众。
根据用户特点及应用需求，卫生系统数字证书分为内部用户证书和外部用户证书，共六类：（1）内部机构证书是指为各级卫生行政部门和各级各类医疗卫生机构颁发的证书，代表卫生机构的身份。
（2）内部工作人员证书是指为各级卫生行政部门和各级各类医疗卫生机构的工作人员颁发的证书，代表个人的身份。
（3）内部设备证书是指各级卫生信息系统使用的服务器证书或VPN设备证书等。
（4）外部机构证书是指为涉及卫生业务的企事业单位颁发的代表法人身份的证书。
电子认证业务规则规范试行
电子认证业务规则规范试行近年来，随着数字化时代的到来，电子认证业务逐渐成为了一项重要的服务。
电子认证业务的到来，既极大地促进了信息的安全性和可信度，又为各类机构的交流提供了极大的方便。
但是，由于缺少规范的管理和监管，电子认证业务也面临着种种尴尬和风险。
为了解决这些问题，我国在线认证机构已经出台了电子认证业务规则规范，试行将为全国的电子认证业务提供一定的规则和标准，从而保证电子认证业务的发展和普及。
1、电子认证业务规则规范的定义电子认证业务规则规范是对电子认证业务的普遍规范。
该规范对电子认证业务提供了一些必要的标准和规定，包括身份认证、资料核实、安全保障等内容。
通过制定规范，可以使电子认证业务的业务操作标准化，在实际应用中更好地保障公民及企业信息安全。
2、电子认证业务规则规范的试行流程2019年6月24日，全国互联网金融协会颁布了《电子认证业务规则试行》，规定了在线认证机构在业务发展过程中的各项责任和义务。
该规范于2019年7月1日起开始试行。
试行期结束后将逐步推广到全国。
3、电子认证业务规则规范的主要内容该规范主要针对在线认证机构在身份认证、资料核实、安全保障等方面的具体操作细则进行规范。
其中，具体内容包括：（1）身份认证方案。
身份认证方案包括是否采用双重认证，使用设备认证、手持证件拍照等不同认证方式需要达到的标准。
（2）资料验证方案。
在线认证机构应建立详细的用户资料核查流程，核查流程需要满足的基础标准和流程要求。
（3）安全防护方案。
在线认证机构应建立安全预防和监测系统。
其中，防护系统需要覆盖网络、服务器等不同方面，监测系统则需要关注攻击、攻破等不同情况下的急救和应对措施。
（4）用户权益保护方案。
在线认证机构应确保用户隐私权、合法权益不受侵犯。
如认证机构泄露用户个人信息，或发生认证机构业务失信行为，认证机构应承担相应的法律责任。
4、电子认证业务规则规范的意义电子认证业务规则规范，对于整个电子认证行业有着多方面的意义：（1）保证业务安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电子认证业务规则规范（试行）信息产业部电子认证服务管理办公室2005年4月说明为了规范电子认证业务规则的基本框架、主要内容和编写格式，根据目前电子认证系统大多采用基于非对称密钥的PKI技术的现状，参考国家标准化部门正在制定的相关标准，信息产业部电子认证服务管理办公室编制了电子认证业务规则规范（试行）。
电子认证服务机构应参照本规范，结合电子认证业务的具体情况，编制电子认证业务规则。
信息产业部电子认证服务管理办公室2005年4月电子认证业务规则规范（试行）一、电子认证业务规则的主要组成部分电子认证业务规则是电子认证服务机构对所提供的认证及相关业务的全面描述。
电子认证业务规则包括责任范围、作业操作规范和信息安全保障措施等内容，主要由以下几部分组成。
（一）概括性描述（二）信息发布与信息管理（三）身份标识与鉴别（四）证书生命周期操作要求（五）认证机构设施、管理和操作控制（六）认证系统技术安全控制（七）证书、证书吊销列表和在线证书状态协议（八）认证机构审计和其他评估（九）法律责任和其他业务条款二、主要组成部分的内容说明（一）概括性描述对电子认证业务规则进行概要性表述，给出文档的名称和标识，指出电子认证活动的参与者及证书应用范围，并说明对电子认证业务规则的管理，最后给出电子认证业务规则中使用的定义和缩写。
1、概述对电子认证业务规则提供一个概要性介绍，也可用于对电子认证服务机构的概要性描述。
例如，可以设定所提供证书的不同保证等级，也可以用图形的方式来表达电子认证服务机构的结构。
2、文档名称与标识关于电子认证业务规则的任何适用名称或标识符，包括ASN.1对象标识符的说明。
3、电子认证活动参与者* 电子认证服务机构，也就是证书认证机构，是颁发证书的实体。
* 注册机构，也就是为最终证书申请者建立注册过程的实体，对证书申请者进行身份标识和鉴别，发起或传递证书吊销请求，代表电子认证服务机构批准更新证书或更新密钥的申请。
* 订户，从电子认证服务机构接收证书的实体。
在电子签名应用中，订户即为电子签名人。
* 依赖方，依赖于证书真实性的实体。
在电子签名应用中，即为电子签名依赖方。
依赖方可以是、也可以不是一个订户。
* 其他参与者，如证书制造机构、证书库服务提供者、以及其他提供电子认证相关服务的实体。
4、证书应用* 所颁发证书适用的证书应用列表或者类型，如电子邮件、零售交易、合同、旅游订单等。
* 所颁发证书禁止的证书应用列表或者类型。
5、策略管理描述负责起草、注册、维护和更新当前电子认证业务规则的组织名称和邮件地址，联系人姓名、电子邮件地址、电话号码和传真号码。
作为一种替代方案，可不指定真实人，而是定义一个称谓或角色、一个电子邮件别名或其他通用的联系信息。
主管部分也可能会制定专门的证书策略，并可指定某个电子认证服务机构的电子认证业务规则符合某种证书策略。
如果这样，则需要在此声明批准电子认证业务规则的人或机构，包括名称、电子邮件、电话、传真以及其他常用信息，并说明批准流程。
6、定义和缩写文档中所使用术语的定义一览表，还包括缩略语及其含义的一览表。
例如：电子认证服务机构（CA）注册机构（RA）证书策略（CP）电子认证业务规则（CPS）证书吊销列表（CRL）在线证书状态协议（OCSP）电子签名认证证书（证书）电子签名人（证书持有者、订户）电子签名依赖方（证书使用者、依赖方）私钥（电子签名制作数据）公钥（电子签名验证数据）（二）信息发布与信息管理描述任何与认证信息发布相关的内容，包括信息库的运营者、运营者的职责、信息发布的频率以及对所发布信息的访问控制等。
1、运营信息库的实体标识，如电子认证服务机构、或独立信息库服务提供者。
2、运营者发布其业务实践、证书和证书当前状态的职责，标识出对公众可用和不可用的项、子项和元素。
3、信息发布的时间和频率。
4、对发布信息的访问控制，包括CP、CPS、证书、OCSP和CRL。
（三）身份标识与鉴别描述电子认证服务机构在颁发证书之前，对证书申请者的身份和其他属性进行鉴别的过程，以及标识和鉴别密钥更新请求者和吊销请求者的方法。
说明命名规则，包括在某些名称中对商标权的承认问题。
1、命名* 分配给实体的名称类型，如X.500甄别名、RFC-822名称、X.400名称。
* 名称是否一定要有意义。
* 订户是否能够使用匿名或假名，如果可以，订户可以使用或将被分配给什么样的名称。
* 理解不同名称形式的规则，如X.500标准和RFC-822。
* 名称是否需要唯一。
* 对商标的承认、鉴别。
2、初始身份确认* 对机构申请者的组织身份进行身份标识和鉴别的要求，如咨询提供组织身份识别服务的数据库、或检查组织的资质文件。
* 对于个人订户或代表组织订户的个人进行身份标识和鉴别的要求。
* 在初始注册中没有验证的订户信息列表。
* 对机构的验证涉及确定一个人是否具有特定的权力或许可，包括代表组织获取证书的许可。
3、密钥更新请求中的标识与鉴别针对于密钥更新中对每个实体身份标识和鉴别过程，说明下列元素。
* 常规密钥更新中对身份标识和鉴别的要求，如使用当前有效密钥对包含新密钥的密钥更新请求进行签名。
* 证书被吊销后密钥更新中对身份标识和鉴别的要求，如使用原始身份验证相同的流程。
4、吊销请求中的标识与鉴别描述对每个实体类型（电子认证服务机构、注册机构、订户或其他参与者）吊销请求的身份标识和鉴别过程。
（四）证书生命周期操作要求说明在证书生命周期方面对电子认证服务机构及相关实体的要求，注册机构、订户或其他参与者的要求，在每个子项中可能需要对电子认证服务机构、注册机构、订户或其他参与者予以分别考虑。
1、证书申请* 提交证书申请的实体，如证书申请者或注册机构。
* 实体在提交证书申请时所使用的注册过程，以及在此过程中各方的责任。
为了接收证书申请，电子认证服务机构或注册机构可能负有建立注册过程的责任。
同样，证书申请者可能负有在其证书申请中提供准确信息的责任。
2、证书申请处理描述处理证书申请的过程。
例如，为了验证证书申请，电子认证服务机构或注册机构可能要执行身份标识和鉴别流程，根据这些步骤，电子认证服务机构或注册机构将可能依照某些准则或者批准或者拒绝该证书申请。
最后，要设置电子认证服务机构或注册机构必须受理并处理证书申请的时间期限。
3、证书签发* 在证书签发过程中电子认证服务机构的行为，如电子认证服务机构验证注册机构签名和确认注册机构的权限、并生成证书的过程。
* 电子认证服务机构签发证书时对订户的通告机制，如电子认证服务机构用电子邮件将证书发送给订户或注册机构，或者用电子邮件将允许订户到网站下载证书的信息告知用户。
4、证书接受* 构成申请者接受证书的行为。
这种行为可以包括表示接受的确认步骤、暗示接受的操作、没能成功反对证书或其内容。
* 电子认证服务机构对证书的发布方式，例如电子认证服务机构可以将证书发布到X.500或LDAP证书库。
* 电子认证服务机构在颁发证书时对其他实体的通告，例如，电子认证服务机构可能发送证书到注册机构。
5、密钥对和证书的使用描述与密钥对和证书使用相关的责任。
* 与订户使用其私钥和证书相关的订户责任。
例如，订户可能被要求只能在恰当的应用范围内使用私钥和证书，这些应用在CP中设置，并且与有关的证书内容相一致（如密钥用途字段）。
* 与使用订户公钥和证书相关的依赖方责任。
例如，依赖方只能在恰当的应用范围内依赖于证书，这些应用在CP中设置，并且与有关的证书内容相一致（如密钥用途扩展）。
6、证书更新证书更新指在不改变证书中订户的公钥或其他任何信息的情况下，为订户签发一张新证书。
* 进行证书更新的情形，如证书已到期，但策略允许继续使用相同的密钥对。
* 请求更新的实体，如订户、注册机构或电子认证服务机构可以自动更新订户证书。
* 为签发新证书，电子认证服务机构或注册机构处理更新请求的过程，如使用令牌，比如口令，来重新鉴别订户、或使用与原始签发证书相同的过程。
* 颁发新证书给订户时的通告。
* 构成接受更新证书的行为。
* 电子认证服务机构对更新证书的发布。
* 电子认证服务机构在颁发证书时对其他实体的通告。
7、证书密钥更新证书密钥更新指订户或其他参与者生成一对新密钥并申请为新公钥签发一个新证书。
* 证书密钥更新的情形，如因私钥泄漏而吊销证书之后、或者证书到期并且密钥对的使用期也到期之后。
* 可以请求证书密钥更新的实体，如订户。
* 为签发新证书，电子认证服务机构或注册机构处理密钥更新请求的过程。
* 颁发新证书给订户时的通告。
* 构成接受密钥更新证书的行为。
* 电子认证服务机构对密钥更新证书的发布。
* 电子认证服务机构在颁发证书时对其他实体的通告。
8、证书变更证书变更指改变证书中除订户公钥之外的信息而签发新证书的情形。
* 证书变更的情形，如名称改变等而造成的实体身份改变。
* 可以请求证书变更的实体，如订户或注册机构。
* 为签发新证书，电子认证服务机构或注册机构处理证书变更请求的过程，如采用与原始证书签发相同的过程。
* 颁发新证书给订户时的通告。
* 构成接受变更证书的行为。
* 电子认证服务机构对变更证书的发布。
* 电子认证服务机构在颁发证书时对其他实体的通告。
9、证书吊销和挂起* 证书挂起的情形和证书必须吊销的情形，例如订户合同期满、密码令牌丢失或怀疑私钥泄漏。
* 可以请求吊销证书的实体，例如对最终用户证书而言，可能是订户、注册机构或电子认证服务机构。
* 证书吊销请求的流程，如由注册机构签署的消息、由订户签署的消息或由注册机构电话通知。
* 订户可用的宽限期，订户必须在此时间内提出吊销请求。
* 电子认证服务机构必须处理吊销请求的时间。
* 为检查其所依赖证书的状态，依赖方可以或必须使用的检查机制。
* 如果使用CRL，其发布频率是多少。
* 如果使用CRL，产生CRL并将其发布到证书库的最大延迟是多少（也就是在生成CRL之后，在将其发布到证书库中所用的处理和通信相关最长延迟）。
* 在线证书状态查询的可用性，例如OCSP和状态查询的Web网站。
* 依赖方执行在线吊销状态查询的要求。
* 吊销信息的其他可用发布形式。
* 当因为私钥损害而造成证书吊销或挂起时，上述规定的不同之处（与其他原因造成吊销或挂起相比）。
* 证书挂起的情形。
* 可以请求证书挂起的实体，例如对于最终用户证书而言，订户、订户的上级、或者注册机构。
* 请求证书挂起的过程，如由订户或注册机构签署的消息、或由注册机构电话请求。
* 证书挂起的最长时间。
10、证书状态服务* 证书状态查询服务的操作特点。
* 查询服务的可用性，以及服务不可用时的适用策略。
* 查询服务的其他可选特征。
11、停止使用认证服务说明订户停止使用电子认证服务时所使用的过程。
* 停止使用认证服务时的证书吊销（依赖于停止使用认证服务是因为证书到期，还是因为服务终止，可能会有所不同）。