公钥密码基础设施应用技术体系框架规范 Public Key Infrastructure Application Technology Interface Specifications of Identification Authentication 国家密码管理局年 8 月

Size: px

Start display at page:

Download "公钥密码基础设施应用技术体系框架规范 Public Key Infrastructure Application Technology Interface Specifications of Identification Authentication 国家密码管理局年 8 月"

诞女侨
4 years ago
Views:

1 公钥密码基础设施应用技术体系框架规范 Public Key Infrastructure Application Technology Interface Specifications of Identification Authentication 国家密码管理局年 8 月

3 前前目次言... II 言... III 1 范围规范性引用文件术语和定义公钥密码基础设施应用技术体系框架概述密码设备服务层通用密码服务层典型密码服务层基础设施安全支撑平台框架内的系列规范...4 附录 A ( 规范性附录 ) 函数的命名... 5 附录 B ( 规范性附录 ) 错误代码区间划分... 6 参考文献... 7 I

4 前言本规范是基于公钥密码基础设施的基础性规范之一, 它描述了应用技术体系的体系框架, 说明了应用技术体系各组成部分的层次结构和逻辑关系本规范的附录 A B 都是规范性附录本规范由国家密码管理局提出并归口本规范主要起草单位 : 上海格尔软件股份有限公司成都卫士通信息产业股份有限公司北京数字证书认证中心有限公司无锡江南信息安全工程技术中心万达信息股份有限公司长春吉大正元信息技术股份有限公司北京海泰方圆科技有限公司上海市数字证书认证中心有限公司兴唐通信科技有限公司济南得安计算机技术有限公司本规范主要起草人 : 杨茂江谭武征许俊柳增寿李伟平李述胜李元正崔久强徐强高志权周栋蒋红宇何长龙李玉峰林岳嵩本规范责任专家 : 刘平本规范凡涉及密码算法相关内容, 按国家有关法规实施 II

5 前言本规范是基于公钥密码基础设施的基础性规范之一, 它描述了应用技术体系的体系框架, 说明了应用技术体系各组成部分的层次结构和逻辑关系本规范的附录 A B 都是规范性附录本规范由国家密码管理局提出并归口本规范主要起草单位 : 上海格尔软件股份有限公司成都卫士通信息产业股份有限公司北京数字证书认证中心有限公司无锡江南信息安全工程技术中心万达信息股份有限公司长春吉大正元信息技术股份有限公司北京海泰方圆科技有限公司上海市数字证书认证中心有限公司兴唐通信科技有限公司济南得安计算机技术有限公司本规范主要起草人 : 杨茂江谭武征许俊柳增寿李伟平李述胜李元正崔久强徐强高志权周栋蒋红宇何长龙李玉峰林岳嵩本规范责任专家 : 刘平本规范凡涉及密码算法相关内容, 按国家有关法规实施 III

7 1 范围公钥密码基础设施应用技术体系框架规范本规范规定了基于公钥密码基础设施的应用技术体系框架, 给出了各组成部分及其层次结构和逻辑关系本规范适用于指导基于公钥密码基础设施的应用技术体系的建设, 以及该框架下相关产品的研制和开发, 密码服务系统的集成和服务, 并为应用系统使用密码服务提供指导 2 规范性引用文件下列文件中的条款通过本部分的引用而成为本部分的条款凡是注日期的引用文件, 其随后所有的修改单 ( 不包括勘误的内容 ) 或修订版均不适用于本部分, 然而, 鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本凡是不注日期的引用文件, 其最新版本适用于本部分 GB/T AAAAA 信息技术安全技术密码术语 GB/T BBBBB 证书认证系统密码及其相关安全技术规范 3 术语和定义下列术语仅适用于本规范 3.1 属性证书系统 attribute authority system 用来产生签发和撤销属性证书的管理系统 3.2 访问控制 access control 访问控制通过标准接口为上层应用提供系统资源的访问控制, 实现用户管理资源管理访问控制策略管理和用户授权等功能 3.3 证书认证系统 certification system 对生命周期内的公钥证书进行全过程管理的系统 3.4 通用密码服务 common cryptography service 通用密码服务向典型密码服务和上层应用提供提供证书解析证书认证信息的机密性完整性真实性和不可否认性等服务 3.5 密码设备 cryptography device 密码设备包括密码机密码卡智能密码终端等设备 3.6 身份鉴别 identity authentication 鉴别用户身份, 在本规范中是指验证证书持有者是否拥有与所持证书对应的私钥来鉴别用户身份 3.7 公钥基础设施 public key infrastructure(pki) 基于公钥密码技术建立的普遍适用的基础设施, 为用户提供证书管理密钥管理证书认证等安全服务 3.8 单点登录 single sign-on(sso) 允许用户一次性进行身份鉴别的机制通过单点登录机制, 不同的应用不需要为用户单独进行身份鉴别 3.9 典型密码服务 typical cryptography service 1

典型密码服务由责任认定身份鉴别单点登录访问控制和时间戳组成, 为上层应用提供对应的密码服务 3.10 时间戳 time stamp(ts) 使用数字签名技术对原始文件产生的数据, 签名的对象包括了原始文件信息签名参数签名时间等信息时间戳系统 (TSA) 对此对象进行数字签名产生时间戳, 以证明原始文件在签名时间之前已经存在 3.

1 概述公钥密码基础设施应用技术体系框架包括密码设备服务层通用密码服务层典型密码服务层, 三层有机结合组成公钥密码基础设施应用技术体系该体系通过密码设备提供密码运算服务, 通过证书认证系统属性证书系统, 时间戳系统等基础设施提供证书管理密钥管理和时间戳管理等基础服务, 以标准接口形式为应用系统提供统一的身份鉴别单点登录数据加解密

8 典型密码服务由责任认定身份鉴别单点登录访问控制和时间戳组成, 为上层应用提供对应的密码服务 3.10 时间戳 time stamp(ts) 使用数字签名技术对原始文件产生的数据, 签名的对象包括了原始文件信息签名参数签名时间等信息时间戳系统 (TSA) 对此对象进行数字签名产生时间戳, 以证明原始文件在签名时间之前已经存在 3.11 时间戳系统 time stamp authority system 用来产生和管理时间戳的管理系统 4 公钥密码基础设施应用技术体系框架 4.1 概述公钥密码基础设施应用技术体系框架包括密码设备服务层通用密码服务层典型密码服务层, 三层有机结合组成公钥密码基础设施应用技术体系该体系通过密码设备提供密码运算服务, 通过证书认证系统属性证书系统, 时间戳系统等基础设施提供证书管理密钥管理和时间戳管理等基础服务, 以标准接口形式为应用系统提供统一的身份鉴别单点登录数据加解密数字签名及验证等密码服务公钥密码基础设施应用技术体系框架, 如图 1 所示 : 图 1 公钥密码基础设施应用技术体系框架 4.2 密码设备服务层密码设备服务层由密码机密码卡智能密码终端等设备组成, 通过标准的密码设备应用接口向通用密码服务层提供基础密码服务基础密码服务包括密钥生成单一的密码运算文件管理等服务密码设备通过统一的设备管理接口来接受通用密码服务层的密码设备管理密码设备应具备密钥加载存储更新备份和恢复等功能并保障密钥在密码设备中的安全 4.3 通用密码服务层通用密码服务层由通用密码服务和密码设备管理服务组成, 为上层应用提供与底层具体密码设备透明的密码服务和设备管理服务 2

通用密码服务层通过统一的密码服务接口向典型密码服务层和应用层提供证书解析证书认证信息的机密性完整性和不可否认性等通用密码服务, 将上层的密码服务请求转化为具体的基础密码操作请求, 通过统一的密码设备应用接口调用相应密码设备实现具体的密码运算和密钥操作密码设备管理向上层管理应用提供统一的设备管理应用接口, 为实现远程密钥管理设备维护设备监控等上层管理应用提供设备管理功能,

9 通用密码服务层通过统一的密码服务接口向典型密码服务层和应用层提供证书解析证书认证信息的机密性完整性和不可否认性等通用密码服务, 将上层的密码服务请求转化为具体的基础密码操作请求, 通过统一的密码设备应用接口调用相应密码设备实现具体的密码运算和密钥操作密码设备管理向上层管理应用提供统一的设备管理应用接口, 为实现远程密钥管理设备维护设备监控等上层管理应用提供设备管理功能, 将上层管理应用的管理请求转换为标准的消息调用, 通过安全通道实现管理应用与密码设备间的消息传递 4.4 典型密码服务层典型密码服务层由责任认定身份鉴别单点登录访问控制和时间戳等服务组成, 为上层应用提供对应的密码服务典型密码服务层需要的密码功能通过调用通用密码服务实现责任认定通过标准接口为上层应用提供证据采集服务, 为责任认定应用系统提供可信证据, 实现证据的存储归档查询和使用审计等管理功能身份鉴别通过标准接口为上层应用提供身份查询身份解析身份验证等身份鉴别服务单点登录通过标准接口为上层应用提供登录凭据的产生获取验证等服务, 在相互间存在信任关系的应用系统之间实现单点登录和单点注销访问控制通过标准接口为上层应用提供系统资源的访问控制, 实现用户管理, 资源管理访问控制策略管理和用户授权等功能时间戳通过标准接口为上层应用和典型密码服务层其它组成部分提供与时间戳系统无关的时间戳加盖验证等时间认证服务电子签章通过标准接口为上层应用和典型密码服务层其它组成部分提供电子签章生成与验证服务框架内各部分间的逻辑关系如图 2 所示 : 图 2 框架内各部分间的逻辑关系 4.5 基础设施安全支撑平台基础设施安全支撑平台由证书认证系统属性证书系统电子证据管理系统和时间戳系统等组成证书认证系统属性证书系统电子证据管理系统和时间戳系统等基础设施安全支撑平台为应用技术体系提供证书管理密钥管理电子证据管理和时间戳管理等基础服务基础设施安全支撑平台不属于公钥密码基础设施应用技术体系框架系列规范的规范范围 3

10 5 框架内的系列规范本框架内的系列规范包括 : 密码设备应用接口规范 ; 通用密码服务接口规范 ; 身份鉴别接口规范 ; 时间戳服务接口规范 ; 密码设备管理规范 ; 证据采集与管理技术规范 ; 单点登录密码应用技术规范 ; 授权管理与访问控制技术规范 ; 属性证书格式规范此外, 为规范标识 ( 例如算法标识密钥标识设备标识数据标识协议标识角色标识等 ) 的表示和使用, 还应制订标识规范 4

11 附录 A ( 规范性附录 ) 函数的命名本框架内各规范的接口函数命名如下 : 密码设备应用接口函数 : SDF_XXXXXX 通用密码服务接口函数 : SAF_XXXXXX 身份鉴别接口函数 : SIF_XXXXXX 时间戳服务接口函数 : STF_XXXXXX 密码设备管理接口函数 : SMF_XXXXXX 证据采集与管理接口函数 : SCF_XXXXXX 单点登录接口函数 : SSF_XXXXXX 授权管理与访问控制接口函数 :SPF_XXXXXX 智能卡 IC 卡及智能密码钥匙 : SKF_XXXXXX 证书应用综合服务接口 : SOF_XXXXXX 电子签章服务接口 : SEF_XXXXXX 5

12 附录 B ( 规范性附录 ) 错误代码区间划分本框架内各规范接口函数分配的错误代码区间为 : 密码设备应用接口 : 0x ~0x01FFFFFF 通用密码服务 : 0x ~0x02FFFFFF 密码设备管理 : 0x ~0x03FFFFFF 证据采集与管理 : 0x ~0x04FFFFFF 身份鉴别 : 0x ~0x05FFFFFF 单点登录 : 0x ~0x06FFFFFF 授权管理与访问控制 : 0x ~0x07FFFFFF 时间戳服务 : 0x ~0x08FFFFFF 安全电子文件 0x ~0x09FFFFFF 智能 IC 卡及智能密码钥匙 :0x0A000000~0x0AFFFFFF 证书综合服务 : 0x0B000000~0x0BFFFFFF 电子签章 : 0x0C000000~0x0CFFFFFF 返回代码正确为 0, 非零用错误代码区间表示 6

13 参考文献 GB/T Information security technology-public key infrastructure -Time stamp specification 信息安全技术公钥基础设施时间戳规范 RFC 2560 X.509 互联网公开密钥基础设施在线证书状态协议 OCSP RFC 2459 X.509 互联网公开密钥基础设施证书和 CRL 轮廓 RSA Security: Public-Key Cryptography Standards (PKCS) IETF Rfc2459,Internet X.509 Public Key Infrastructure Certificate and CRL Profile IETF Rfc2560,X.509 Internet Public Key Infrastructure Online Certificate Status Protocol IETF Rfc1777, Lightweight Directory Access Protocol IETF Rfc2587 Internet X.509 Public Key Infrastructure LDAPv2 Schema IETF Rfc3647,Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework 7

中華電信憑證總管理中心憑證實務作業基準

中華電信憑證總管理中心憑證實務作業基準中華電信憑證總管理中心憑證實務作業基準 epki Root Certification Authority, eca Certification Practice Statement 第 1.3 版中華民國 105 年 2 月 4 日目錄 1 序論... 1 1.1 概要... 1 1.1.1 憑證實務作業基準... 1 1.1.2

公钥密码基础设施应用技术体系框架规范 Public Key Infrastructure Application Technology Interface Specifications of Identification Authentication 国家密码管理局 年 8 月

公钥密码基础设施应用技术体系框架规范 Public Key Infrastructure Application Technology Interface Specifications of Identification Authentication 国家密码管理局年 8 月