miPDFsign Cloud CA — CP/CPS

1 · Einleitung

1.1 Überblick

Die miPDFsign Cloud CA ist die interne Public-Key-Infrastruktur, die miPDFsign für seine E-Signatur-Plattform unter cloud-signing.com betreibt. Sie stellt Organisations-Dokumentsiegel aus: X.509-Zertifikate, die ausschließlich vom serverseitigen Signaturdienst der Plattform verwendet werden, um PAdES-Siegel (PDF Advanced Electronic Signature) im Namen jener Kundenorganisation anzubringen, der der Signaturvorgang gehört.

Die Hierarchie ist zweistufig:

• miPDFsign Cloud Root CA G2 — selbstsignierter Vertrauensanker (RSA-4096, 20 Jahre). Signiert ausschließlich die ausstellenden CA-Zertifikate und die Wurzel-Sperrliste.
• miPDFsign Cloud Document Signing CA G2 — operative ausstellende CA (RSA-4096, 10 Jahre, Pfadlänge 0). Signiert die Organisations-Dokumentsiegel und die ausstellende Sperrliste.
• Organisations-Dokumentsiegel — Endteilnehmer-Zertifikate (RSA-3072, 3 Jahre), eines pro Kundenorganisation, z. B. CN=Acme GmbH Document Seal, O=Acme GmbH.
• Persönliche Signaturzertifikate — Endteilnehmer-Zertifikate (RSA-3072), pro Signaturvorgang ausgestellt und kurzlebig (15 Minuten), für Organisationen, die dies aktivieren; sie nennen die einzelne signierende Person, z. B. CN=Jo Signer, E=jo@acme.example, O=Acme GmbH.

1.2 Dokumentname und Identifikation

Dieses Dokument wird durch den Objektbezeichner-Ast 1.3.6.1.4.1.66283.2 identifiziert (IANA Private Enterprise Number 66283, registriert auf cloud-signing.com, betrieben von miPDFsign). Unter dieser CPS ausgestellte Zertifikate erklären eine von zwei Zertifizierungsrichtlinien: 1.3.6.1.4.1.66283.2.1 („miPDFsign Cloud Organisations-Dokumentsiegel") oder 1.3.6.1.4.1.66283.2.2 („miPDFsign Cloud persönliche Signatur"). Es sind getrennte Richtlinien, weil sich Zertifikatsinhaber und Identitätssicherheit unterscheiden — siehe Abschnitt 3.

1.3 PKI-Beteiligte

• CA / RA: miPDFsign betreibt sowohl die Zertifizierungsstelle als auch die Registrierungsfunktion. Es gibt keine externen Registrierungsstellen.
• Zertifikatsnehmer: Kundenorganisationen von miPDFsign Cloud. Zertifikatsnehmer halten den privaten Schlüssel nie selbst; Schlüssel werden ausschließlich innerhalb der Plattform erzeugt, gespeichert und verwendet.
• Vertrauende Parteien: alle, die ein von der Plattform gesiegeltes PDF prüfen (etwa in Adobe Acrobat oder über den Signaturprüfdienst).

1.4 Zertifikatsverwendung

Dokumentsiegel werden ausschließlich für digitale Signaturen auf PDF-Dokumenten verwendet, die von miPDFsign Cloud erzeugt werden (Schlüsselverwendung digitalSignature + contentCommitment, erweiterte Schlüsselverwendung id-kp-documentSigning, RFC 9336). Jede andere Nutzung — TLS, Code-Signierung, E-Mail — ist untersagt und wird durch das Zertifikatsprofil technisch verhindert.

1.5 Richtlinienverwaltung

Diese CPS wird von miPDFsign gepflegt. Fragen und Sperranträge: office@mitterbucher.com. Änderungen werden versioniert; die aktuelle Fassung ist stets unter /docs/cps.de.html (DE) bzw. /docs/cps.html (EN) veröffentlicht.

2 · Veröffentlichung und Verzeichnisverantwortung

Die CA veröffentlicht alle öffentlichen Materialien im maschinenlesbaren Verzeichnis unter https://cloud-signing.com/api/ca:

Diese URLs sind in jedes ausgestellte Zertifikat eingebettet (AIA caIssuers, CRL-Verteilungspunkt, certificatePolicies-CPS-Qualifier) und bleiben für die Lebensdauer der darauf verweisenden Zertifikate stabil. Sperrlisten werden mindestens alle 24 Stunden und unmittelbar nach einer Sperrung neu ausgestellt; ihr nextUpdate beträgt 7 Tage.

3 · Identifizierung und Authentifizierung

Ein Dokumentsiegel wird nur für eine Organisation mit aktivem miPDFsign-Cloud-Mandanten ausgestellt. Der Zertifikatsname leitet sich vom registrierten Kontonamen der Organisation ab: CN=<Organisation> Document Seal, O=<Organisation>, OU=miPDFsign Cloud Organization Seal. Die Identität der Organisation wird über die Konto- und Abrechnungsbeziehung der Plattform authentifiziert; auf diesem Sicherheitsniveau findet keine zusätzliche Identitätsprüfung außerhalb des Systems statt.

Ein persönliches Signaturzertifikat wird nur für eine signierende Person innerhalb eines Mandanten ausgestellt, der diesen Zertifikatstyp aktiviert hat, und nennt ausschließlich diese Person: CN=<Signator>, E=<E-Mail>, O=<Organisation>, OU=miPDFsign Cloud Personal Signature. Der Zertifikatsinhalt stammt aus dem plattformeigenen Datensatz zur Person — dem authentifizierten Konto oder der E-Mail-Adresse, die der Mandant zur Signatur eingeladen hat — nie aus freier Eingabe.

Was ein persönliches Signaturzertifikat bezeugt und was nicht. Es bezeugt, wer für diesen Signaturvorgang von der Plattform authentifiziert bzw. eingeladen wurde. Es bezeugt nicht die rechtlich geprüfte Identität der Person: Es wird kein Ausweisdokument geprüft, keine Video- oder Vor-Ort-Identifizierung durchgeführt, kein Register abgefragt. Vertrauende Parteien, die geprüfte Rechtsidentitäten benötigen, sollten stattdessen die qualifizierten Signaturmethoden der Plattform (z. B. ID Austria) oder von der Organisation bereitgestellte Zertifikate verwenden.

4 · Zertifikats-Lebenszyklus

4.1 Ausstellung

Siegel werden automatisch ausgestellt, sobald eine Organisation nach der CA-Aktivierung erstmals mit der integrierten Methode der Plattform signiert. Schlüsselerzeugung und Zertifikatsausstellung erfolgen serverseitig in einem Schritt; der private Schlüssel existiert nie außerhalb der Plattform.

4.2 Erneuerung

Ein neues Siegel (mit neuem Schlüssel) wird automatisch ausgestellt, wenn das aktuelle innerhalb von 30 Tagen abläuft oder gesperrt wurde. Alte Signaturen bleiben prüfbar: PAdES-Zeitstempel und LTV-Material erhalten die Gültigkeit über den Zertifikatsablauf hinaus.

4.3 Sperrung

Es bestehen drei Sperrkanäle: der Plattformbetreiber (Konsole), die Zertifikatsnehmer-Organisation selbst (Self-Service im Administrationsbereich) und das öffentliche Melde-/Sperrantragsformular, das jeder — auch vertrauende Parteien — nutzen kann (office@mitterbucher.com funktioniert ebenfalls). Meldungen werden innerhalb von 24 Stunden bearbeitet; Sperrungen wirken auf Sperrliste und OCSP sofort. Sperrgründe folgen RFC 5280. Neben dieser CPS wird ein Vorfallsreaktionsplan geführt (Kompromittierung auf jeder Stufe, Ausfälle, Fehlausstellung; Reaktionsziel 24 Stunden).

5 · Anlagen-, Management- und Betriebskontrollen

• Schlüsselschutz: Die privaten Schlüssel der Root- und der ausstellenden CA liegen in einem externen Schlüsseldienst (KMS, OpenBao Transit) auf einer separaten, gehärteten Maschine — nicht exportierbar, sie verlassen den KMS nie; das Signieren ist ein delegierter, authentifizierter und protokollierter Aufruf. Kurzlebige Siegel-/Persönliche-Signatur-Schlüssel werden pro Vorgang erzeugt und — sofern überhaupt gespeichert — mit dem Data-Protection-Schlüsselbund der Plattform verschlüsselt.
• Zugriffskontrolle: Die CA-Administration ist auf die Plattformbetreiber-Rolle (PlatformAdmin) beschränkt und durch starke Authentifizierung inkl. Zwei-Faktor-Authentifizierung geschützt.
• Audit-Protokollierung: Jede Ausstellung und Sperrung wird mit Akteur, Zeitstempel und Zertifikats-Seriennummer in das anfügungssichere Audit-Protokoll der Plattform geschrieben.
• Sicherungen: Verschlüsselte Datenbank-Backups enthalten das verschlüsselte Schlüsselmaterial; der Data-Protection-Schlüsselbund wird getrennt verwaltet.

5.8 · Einstellung des Betriebs

Es gibt keine garantierte Mindestlaufzeit — miPDFsign Cloud ist ein nicht-qualifizierter Vertrauensdienst ohne aufsichtsrechtliche Fortführungspflicht. Bei Einstellung wird die Abschaltung mit angemessener Frist (~60 Tage) angekündigt, es werden keine neuen Zertifikate mehr ausgestellt, eine finale, langdatierte Sperrliste wird veröffentlicht und das öffentliche Verzeichnis (Root-Zertifikat + finale Sperrliste) nach bestem Bemühen verfügbar gehalten oder an einen statischen Host übergeben; die CA-Signierschlüssel werden im KMS kryptografisch vernichtet. Bereits erzeugte PAdES-LT/LTA-Signaturen bleiben unabhängig davon prüfbar — ihre Zeitstempel und Sperrnachweise sind im Dokument eingebettet, sodass die Gültigkeit zum Signaturzeitpunkt nicht davon abhängt, dass diese Dienste online bleiben.

6 · Technische Sicherheitskontrollen

Es gibt keine Schlüsselhinterlegung (Key Escrow) und keinen Schlüsselexport. Seriennummern tragen ≥ 120 Bit CSPRNG-Entropie. Alle Verzeichnis-Endpunkte werden ausschließlich über TLS ausgeliefert.

7 · Zertifikats- und CRL-Profile

7.1 Profil des Dokumentsiegels

Ein persönliches Signaturzertifikat nutzt dasselbe Profil, mit zwei Unterschieden: Der Zertifikatsinhaber ist CN=<Signator>, E=<E-Mail>, O=<Org>, OU=miPDFsign Cloud Personal Signature — mit der Adresse zusätzlich als rfc822Name im subjectAltName, wo RFC 5280 sie erwartet — und die Richtlinie ist 1.3.6.1.4.1.66283.2.2. Es wird pro Signaturvorgang mit 15 Minuten Gültigkeit ausgestellt, und sein privater Schlüssel wird danach verworfen statt gespeichert — so überdauert nichts Gültiges die Sitzung, und der eingebettete RFC-3161-Zeitstempel trägt den Nachweis fortan.

7.2 CRL- und OCSP-Profile

X.509-v2-Sperrlisten (RFC 5280) mit cRLNumber und authorityKeyIdentifier; thisUpdate/nextUpdate umspannen 7 Tage; Einträge tragen RFC-5280-Sperrgründe.

Der OCSP-Responder (RFC 6960) unter /api/ca/ocsp beantwortet Anfragen für alle von der ausstellenden CA ausgestellten Zertifikate. Antworten werden direkt von der ausstellenden CA signiert (RFC 6960 §2.6), betten das CA-Zertifikat ein, spiegeln — falls vorhanden — den Anfrage-Nonce (RFC 8954) und sind 24 Stunden gültig. Seriennummern, die nicht im Ausstellungsregister stehen, werden mit unknown beantwortet. Unterstützt werden sowohl die POST-Bindung (application/ocsp-request) als auch die GET-Bindung (Base64-Anfrage in der URL, RFC 6960 A.1).

8 · Konformität und Audit

Diese CPS ist bewusst nach RFC 3647 gegliedert und an ETSI EN 319 411-1 (NCP) orientiert, damit die CA ohne Neuarchitektur in einen extern auditierten Vertrauensdienst hineinwachsen kann (etwa Aufnahme in die Adobe Approved Trust List). Zum Stand dieser Version hat die CA keine externe Konformitätsbewertung durchlaufen.

9 · Sonstige geschäftliche und rechtliche Belange

Unter dieser Richtlinie ausgestellte Siegel sind elektronische Siegel (fortgeschrittener Art) auf Plattform-Sicherheitsniveau; sie sind keine qualifizierten Zertifikate und werden nicht von einem qualifizierten Vertrauensdiensteanbieter im Sinne der eIDAS-Verordnung ausgestellt. miPDFsign stellt die CA „wie besehen" ohne Gewährleistung über die hier beschriebenen Praktiken hinaus bereit; die Haftung richtet sich nach den Nutzungsbedingungen von miPDFsign Cloud. Anwendbares Recht: Österreich.

© miPDFsign · Dieses Dokument: /docs/cps.de.html · Verzeichnis: /api/ca