《GM-T 0043-2015 数字证书互操作检测规范.pdf》由会员分享，可在线阅读，更多相关《GM-T 0043-2015 数字证书互操作检测规范.pdf（16页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、书 书 书犐 犆犛 犔 备案号：中华人民共和国密码行业标准犌犕犜 数字证书互操作检测规范犜 犲 狊 狋狊 狆 犲 犮 犻 犳 犻 犮 犪 狋 犻 狅 狀犳 狅 狉犱 犻 犵 犻 狋 犪 犾犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲犻 狀 狋 犲 狉 狅 狆 犲 狉 犪 犫 犻 犾 犻 狋 狔 发布 实施国家密码管理局发 布 犜犕犌中 华 人 民 共 和 国 密 码行 业 标 准数字证书互操作检测规范 中国标准出版社出版发行北京市朝阳区和平里西街甲号（）北京市西城区三里河北街 号（）网址 总编室：（）发行中心：（）读者服务部：（）中国标准出版社秦皇岛印刷厂印刷各地新华书店经销开本 印张字数 千字
2、 年月第一版 年月第一次印刷书号：定价 元如有印装差错由本社发行中心调换版权专有侵权必究举报电话：（）书 书 书目次前言范围规范性引用文件术语和定义符号和缩略语送检技术文档要求检测内容 入根检测 数字证书和格式符合性检测 数字证书互操作检测检测方法 入根检测 数字证书和格式符合性检测 数字证书互操作检测合格判定附录（资料性附录）证书申请文件 结构犌犕犜 前言本标准按照 给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由密码行业标准化技术委员会提出并归口。本标准起草单位：国家密码管理局商用密码检测中心、中金金融认证中心有限公司、卓望数码技术（深
3、圳）有限公司、北京数字认证股份有限公司、长春吉大正元信息技术股份有限公司、上海格尔软件股份有限公司、北京国富安电子商务安全认证有限公司。本标准主要起草人：李大为、赵宇、李志伟、罗干生、薛迎俊、邓开勇、周笔、田敏求、李冬、肖秋林、韩亚宁、谭武征、李丽仙、霍云、商晋、赵丽丽、常玉明。犌犕犜 数字证书互操作检测规范范围本标准依据 和 的要求规定了数字证书互操作的检测内容与检测方法。本标准适用于证书认证系统签发的数字证书的检测。规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。信息技
4、术开放系统互连目录第部分：公钥和属性证书框架 密码应用标识规范 密码算法使用规范 基于密码算法的数字证书格式规范 智能密码钥匙密码应用接口规范 基于密码算法的证书认证系统密码及其相关安全技术规范 密码术语（）认证请求语法标准术语和定义 所界定的以及下列术语和定义适用于本文件。证书认证系统犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲犪 狌 狋 犺 犲 狀 狋 犻 犮 犪 狋 犻 狅 狀狊 狔 狊 狋 犲犿对数字证书的签发、发布、更新、撤销等数字证书全生命周期进行管理的系统。证书认证机构犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犻 狅 狀犪 狌 狋 犺 狅 狉 犻 狋 狔对数字证书进行全生命周期管理的
5、实体。也称为电子认证服务机构。证书撤销列表犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲狉 犲 狏 狅 犮 犪 狋 犻 狅 狀犾 犻 狊 狋由证书认证机构（）签发并发布的被撤销证书的列表。数字证书犱 犻 犵 犻 狋 犪 犾犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲也称公钥证书，由证书认证机构（）签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。根犆犃狉 狅 狅 狋犆犃整个国家信任体系的顶点，为运营签发证书，并对运营进行监督管理。犌犕犜 运营犆犃狅 狆 犲 狉 犪 狋 犻 狀 犵犆犃国家根下
6、所有提供第三方电子认证服务的。犆犃证书犆犃犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲颁发给数字证书认证机构的证书。终端实体证书犲 狀 狋 犻 狋 狔犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲也称为用户证书，是由数字证书认证机构签发的个人证书、机构证书、设备证书等。符号和缩略语下列缩略语适用于本文件。证书认证机构（）证书撤销列表（）甄别名（）对象标识符（）公钥密码格式标准（）公钥基础设施（）证书注册机构（）统一资源定位符（）送检技术文档要求送检单位提交的文档资料应包含但不限于以下内容：）证书认证系统证书申请数据文件（数字证书制作数据，以光盘形式提交）。）证书认证系统结构说明：）以结构图的形式，说
7、明整个证书认证系统的框架结构，包括证书认证系统的各子系统的构成、各子系统的功能和各子系统的实现原理，并附以详细的文字说明；）以拓扑图的形式，说明整个证书认证系统硬件系统结构情况，并附以详细的文字说明；）详细描述证书认证系统的安全机制、密码体制，以及密钥使用情况。）证书认证系统签发数字证书说明：）描述证书认证系统签发数字证书的机制和签发的数字证书种类，说明各类数字证书的格式和应用范围；）证书认证系统签发的数字证书的使用说明。）证书认证系统发布子系统说明：详细描述发布子系统的结构、部署，数字证书和数字证书注销列表的发布方式和策略。）证书认证系统使用密码算法的清单。犌犕犜 检测内容 入根检测 犆犃证
8、书申请功能检测运营的证书认证系统（以下简称“系统”）应具备证书申请功能，其内容应包括：）产生证书申请文件，应可以在申请时输入可甄别名（）中的相关信息；）将申请文件导出。犆犃证书申请文件符合性检测证书申请文件应符合以下要求：）符合 格式要求，申请文件内容由申请信息、签名算法标识和对申请信息的数字签名组成。其中申请信息由可甄别名（）、公钥和其他属性组成。申请文件的结构描述参见附录。）证书申请文件应使用算法，涉及算法的公钥和签名部分应符合 的要求，其中相关算法标识符合 的要求。其中包括：）签名算法 应为 ；）项及编码要求，对于运营使用的证书中项的构造顺序（以 系统下所看到证书的顺序为准）、编码格式应
9、符合如下要求：最后一项必须是；如果有项，需要放在的最前面；其他项按照从小到大的顺序排列：如同时存在和项，在之前，同时存在和项，在前面；项应使用 编码；如果存在项，应采用 编码；未做约定的其他项，应采用 编码。）应能成功验证证书申请文件中的签名值。犆犃证书导入功能检测运营的系统应支持将根签发出的证书导入至系统中。入根后签发功能检测入根后的系统应具备证书签发等功能，其中包括：）签发用户证书，应能使用根签发的二级证书成功签发用户证书（双证）；）签发，应能使用根签发的二级证书成功签发；）提供证书、证书链和的查询和下载服务。数字证书和犆犚犔格式符合性检测 数字证书基本项符合性检测系统所签发的用户证书，其
10、证书格式应符合 和 的要求，其中包括：）用户证书应能使用 格式解码。犌犕犜 ）用户证书的版本应为。）用户证书的序列号长度应不大于 个位字节，应为唯一正整数。）用户证书的签名算法 应为 。）用户证书的用户主题的构造顺序（以 系统下所看到证书的顺序为准）、编码格式应符合如下要求：最后一项必须是；如果有项，需要放在的最前面；其他项按照从小到大的顺序排列：如同时存在和项，在之前，同时存在和项，在前面；项应使用 编码；如果存在项，应采用 编码；未做约定的其他项，应采用 编码。）用户证书的有效期编码规则为，在 年之前（包括 年）必须将该时间编码为 类型，在 年之后，编码为 类型，生效期必须早于失效期。）签
11、名证书的主题与加密证书的主题应完全一致。数字证书扩展项符合性检测系统所签发的用户证书，其证书扩展项应符合 和 的要求，其中包括：）用户证书中必须存在颁发机构密钥标识符扩展项，其中的值应与发行者证书的使用者密钥标识符中的值一致；）用户证书中必须存在使用者密钥标识符扩展项，该值应与证书中使用者公钥计算结果一致；）用户证书中必须存在密钥用法扩展项，其中用户签名证书的密钥用法中应标识且只应标识数字签名 和防抵赖 两项，用户加密证书的密钥用法中应标识且只应标识密钥加密 、数据加密 和密钥协商 项；）用户证书中如果存在扩展密钥用法扩展项，需要检测确认扩展密钥用法中的用途不能与密钥用法扩展项中的定义冲突；）
12、用户证书中如果存在私有密钥使用期扩展项，该使用期不应大于证书有效期；）用户证书中如果存在证书策略扩展项，通过该扩展项中存储的可以访问到互联网内容；）用户证书中必须存在发布点扩展项，根据发布点扩展项中的，应可以下载到对应的文件，应符合 标准，其颁发者应与用户证书的颁发者一致，且中的签名值应能使用用户证书的颁发者证书进行验证；）用户证书中如果存在机构信息扩展项，则通过此扩展项可获得用户证书的颁发者证书；）用户证书中如果存在其他可选扩展项，其使用应符合 的要求。犆犚犔格式符合性检测系统所签发的，其格式应符合 和 的要求，其中包括：）应能使用 格式解码；）的版本应为；）的签名算法 应为 ；）的签发者主
13、题的构造顺序、编码格式应与签发者的证书中的主题完全一致；）的生效日期与下次更新日期编码规则为，在 年之前（包括 年）必须将该时间编犌犕犜 码为 类型，在 年之后，编码为 类型，生效期必须早于失效期；）应能成功验证文件中的签名值。数字证书互操作检测 证书信任链建立检测系统所签发的用户证书，应能够与根及根签发的对应二级建立完整的信任链，其中包括：）二级证书的颁发者应与根证书使用者信息一致，包括顺序、编码格式等；）用户证书的颁发者应与二级证书使用者信息一致，包括顺序、编码格式等；）二级证书的颁发机构密钥标识符应与根证书使用者密钥标识符一致；）用户证书的颁发机构密钥标识符应与二级证书使用者密钥标识符一
14、致；）能够成功验证整个证书链上所有证书的签名值；）整个证书链上所有证书的有效期和证书状态都应正常。签名证书与加密证书均需要进行信任链建立检测。签名证书互操作检测系统签发的智能密码钥匙，使用签名证书公私钥对进行签名验签运算时，调用的密码应用接口应符合 的要求，智能密码钥匙通过调用此接口完成签名验签互操作检测。其中包括：）密钥数据格式应符合 的要求；）签名数据格式应符合 的要求；）使用私钥对输入数据签名时，该输入数据为待签数据经过签名预处理的结果，签名过程应符合 的要求；）使用公钥对输入数据验签时，该输入数据为待签数据经过签名预处理的结果，验签过程应符合 的要求。加密证书互操作检测系统签发的智能密
15、码钥匙，使用加密证书公私钥对进行加解密运算时，调用的密码应用接口应符合 的要求，智能密码钥匙通过调用此接口完成加解密互操作检测。其中包括：）密钥数据格式应符合 的要求；）加密数据格式应符合 的要求；）密钥对保护数据格式应符合 的要求；）使用公钥对输入数据加密时，加密过程应符合 的要求；）使用私钥对输入数据解密时，解密过程应符合 的要求。检测方法 入根检测 犆犃证书申请功能检测系统执行证书申请操作，查看系统执行结果，结果应符合 的要求。犌犕犜 犆犃证书申请文件符合性检测系统向根提交证书申请文件，证书申请文件采用编码，并转化为 编码。对证书申请文件进行符合性检测，检测结果应符合 的要求。犆犃证书导
16、入功能检测根根据系统产生的证书申请文件为其签发二级证书。系统执行证书导入操作，将二级证书导入系统中，查看日志，结果应符合 的要求。入根后签发功能检测系统使用二级证书签发和各类用户证书。在进行证书申请和下载操作，查看日志，访问发布系统进行证书的查询，下载证书链和，结果应符合 的要求。数字证书和犆犚犔格式符合性检测 数字证书基本项符合性检测读取存储在智能密码钥匙中的用户证书，然后进行数字证书基本项符合性检测，检测结果应符合 的要求。数字证书扩展项符合性检测读取存储在智能密码钥匙中的用户证书，然后进行数字证书扩展项符合性检测，检测结果应符合 的要求。犆犚犔格式符合性检测根据用户证书中的地址，下载文件
17、，然后进行格式符合性检测，检测结果应符合 的要求。数字证书互操作检测 证书信任链建立检测根据系统提供的证书下载方式下载根证书和二级证书，读取智能密码钥匙中用户证书，然后进行证书信任链建立检测，检测结果应符合 的要求。签名证书互操作检测通过建立两个用户和，分别与用户签名证书 和 绑定。用户使用证书 对应的私钥对一段数据进行签名，然后将签名后的数据发送给用户，用户使用证书 的公钥对数据进行签名验证，应能验证成功。通信双方在验签过程中证书状态和证书信任链应能验证通过，检测结果应符合 的要求。用户使用证书 对应的私钥对一段数据进行签名，然后将签名后的数据发送给用户，用户使用证书 的公钥对数据进行签名验
18、证，应能验证成功。通信双方在验签过程中证书状态和证书信任链应能验证通过，检测结果应符合 的要求。加密证书互操作检测通过建立两个用户和，分别与用户加密证书 和 绑定。犌犕犜 用户首先产生会话密钥，并用该密钥对一段数据进行加密，然后使用证书 对应的公钥对会话密钥进行加密，最后将密文数据发送给用户。用户收到密文数据后，先使用证书 的私钥解密会话密钥，然后用会话密钥解密密文数据，应能解密成功。通信双方在加解密过程中证书状态和证书信任链应能验证通过，检测结果应符合 的要求。用户首先产生会话密钥，并用该密钥对一段数据进行加密，然后使用证书 对应的公钥对会话密钥进行加密，最后将密文数据发送给用户。用户收到密文数据后，先使用证书 的私钥解密会话密钥，然后用会话密钥解密密文数据，应能解密成功。通信双方在加解密过程中证书状态和证书信任链应能验证通过，检测结果应符合 的要求。合格判定本标准中所有的检测项目均为关键项，其中任何一项检测结果不符合相应检测要求的，即判定为不合格。犌犕犜 附录犃（资料性附录）犆犃证书申请文件犃犛犖 结构 ：，：（）（，），：，：，描述需要被认证的公钥的信息，包括公钥算法标识和公钥的比特串。当使用椭圆曲线公钥密码算法时，其算法 为 。犌犕犜