Certifikační Politika (Certificate Policy)
FNMH Root CA 2026 - Veřejná část
1. Úvod a Přehled
1.1 Účel Dokumentu
Tento dokument definuje veřejnou část Certifikační Politiky (Certificate Policy, CP) pro FNMH Root CA 2026 - Root Certificate Authority Fakultní nemocnice Motol a Homolka. Dokument popisuje základní principy fungování PKI infrastruktury, typy vydávaných certifikátů a pravidla pro jejich použití.
1.2 Rozsah
Tato certifikační politika se vztahuje na:
- Root CA: FNMH Root CA 2026
- SubCA: Všechny podřízené certifikační autority vydané Root CA
- End Entity Certifikáty: Všechny certifikáty vydané SubCA
2. Identifikace Autority
- Vydavatel: Fakultní nemocnice Motol a Homolka
- Sídlo: V Úvalu 84, 150 06 Praha 5
- IČO: 00064203
- Root CA Subject DN:
C=CZ, O=Fakultní nemocnice Motol a Homolka, CN=FNMH Root CA 2026
3. Typy Certifikátů
3.1 Root CA Certifikát
- Účel: Kořenová autorita, podepisování SubCA certifikátů
- Platnost: 25 let (2026-2051)
- Algoritmus: RSA 4096 bit, SHA-384
3.2 SubCA Certifikáty
- Účel: Podřízené autority pro specifické účely (Identity Management, Application Services pro SIP/TLS, SMTP/STARTTLS a obdobné protokoly, SSL inspekce na firewallech) — všechny přímo pod Root CA
- Platnost: Maximálně do konce platnosti Root CA (u Application Services SubCA nejvýše 15 let dle vnitřních pravidel)
- Algoritmus: RSA 4096 bit, SHA-384
3.3 End Entity Certifikáty
- Účel: Koncové certifikáty pro servery, uživatele a zařízení
- Platnost: Typicky 1 rok; maximální délka závisí na vydávající SubCA — certifikáty pro webové TLS z IdM CA nejvýše 820 dní (kompatibilita s Apple/Safari), z Application Services CA nejvýše 10 let pro aplikační šifrování
- Algoritmus: RSA 2048+ bit, SHA-256+
4. Správa Certifikátů
4.1 CRL (Certificate Revocation List)
Seznam zneplatněných certifikátů (CRL) je pravidelně vydáván a publikován. Každý vydaný certifikát obsahuje odkaz na příslušný CRL v rozšíření crlDistributionPoints.
4.2 OCSP (Online Certificate Status Protocol)
Pro online ověření stavu certifikátu je v podporovaných případech k dispozici OCSP responder. URL je uvedeno v certifikátu v rozšíření authorityInfoAccess.
5. Stažení Certifikátů a CRL
5.1 FNMH Root CA 2026
Kořenová certifikační autorita.
- Certifikát (CRT): FNMH Root CA 2026.crt
- Certifikát (PEM): FNMH Root CA 2026.pem
- Certifikát (DER): FNMH Root CA 2026.der
- CRL: https://ca.fnmh.network/ca.crl
- Fingerprint (SHA-256):
30:35:99:10:90:E1:B7:90:06:5B:90:DD:66:37:7A:F3:A0:3D:A0:0F:26:62:12:F3:8A:87:D1:5A:15:7D:C7:4E
5.2 FNMH IdM CA 2026
SubCA pro správu identit a interní systémy.
- Certifikát (CRT): FNMH IdM CA 2026.crt
- Certifikát (PEM): FNMH IdM CA 2026.pem
- Certifikát (DER): FNMH IdM CA 2026.der
- CRL: https://2026.ca.fnmh.network/ipa/crl/MasterCRL.bin
- OCSP: https://2026.ca.fnmh.network/ca/ocsp
- Fingerprint (SHA-256):
4C:AD:3A:28:74:E9:47:74:E5:6C:D9:17:11:D8:77:E0:CC:DD:2E:82:CC:1B:EF:E4:FE:8D:FE:30:02:16:E0:A5
5.3 FNMH Firewall CA 2026
SubCA pro SSL inspekci na firewallech Palo Alto.
- Certifikát (CRT): FNMH Firewall CA 2026.crt
- Certifikát (PEM): FNMH Firewall CA 2026.pem
- Certifikát (DER): FNMH Firewall CA 2026.der
- CRL: https://ca.fnmh.network/ca.crl (Vydává Root CA)
- Fingerprint (SHA-256):
60:58:E9:A7:8F:18:0B:72:83:39:18:F9:0C:FB:15:CF:4D:74:97:86:7B:56:2C:06:34:6B:B3:CB:19:C7:E4:12
5.4 FNMH Application Services CA 2026
SubCA pro šifrování aplikační komunikace (SIP/TLS, SMTP/STARTTLS a obdobné protokoly). Platnost SubCA nejvýše 15 let; koncové certifikáty nejvýše 10 let. Veřejně se pro tuto CA nepublikuje CRL ani OCSP.
- Certifikát (CRT): FNMH Application Services CA 2026.crt
- Certifikát (PEM): FNMH Application Services CA 2026.pem
- Certifikát (DER): FNMH Application Services CA 2026.der
- Fingerprint (SHA-256):
F9:89:00:74:42:81:89:BC:FB:C4:D3:F8:55:70:DB:AD:5B:FB:8C:C1:C7:C0:98:83:28:19:16:3D:FF:98:14:94
6. Kontaktní Informace
Pro ověření certifikátů nebo hlášení bezpečnostních incidentů kontaktujte správce PKI:
- E-mail: tomas.pansky@fnmh.cz
- Web: ca.fnmh.network
