路径: 主页 > MISC > 第117页 > GM/T 0053-2016 | 标准编号 | GM/T 0053-2016 (GM/T0053-2016) | | 中文名称 | 密码设备管理 远程监控与合规性检验接口数据规范 | | 英文名称 | Cryptography device management - Data interface specification of remote monitoring and compliance testing | | 行业 | Chinese Industry Standard (推荐) | | 中标分类 | L80 | | 字数估计 | 24,281 | | 发布日期 | 2016-12-23 | | 实施日期 | 2016-12-23 | | 标准依据 | 国家密码管理局公告第31号 | | 发布机构 | 国家密码管理局 | GM/T 0053-2016: 密码设备管理 远程监控与合规性检验接口数据规范
GM/T 0053-2016 英文名称: Cryptography device management - Data interface specification of remote monitoring and compliance testing
中 华 人 民 共 和 国 密 码 行 业 标 准
GM/T 0053—2016
密码设备管理远程监控与合规性检验接口数据规范
国家密码管理局 发 布
1 范围
本标准规定了对密码设备进行远程监控、设备合规性检验等管理应用的接口数据，定义了管理应用 与密码设备间的消息传递格式。
木标准适用于密码设备中的管理代理的研发与应用，也可以指导该类密码设备管理代理的检测。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GM/T 0006—2012 密码应用标识规范
GM/T 0050—2016 密码设备管理 设备管理技术规范
4 缩略语
下列缩略语适用于本文件。
PDU: 包数据单元(Package Data Unit)
VID:设备被管属性标识符(Value ID)
5 密码设备管理应用体系
5.1 体系结构
密码设备管理体系结构请参见GM/T 0050—2016的5.3,结构图如图1所示(图中实线表示物理 连接，虚线表示逻辑连接)。管理体系按照功能划分为三层，分别为：管理应用层、管理平台层和密码设 备层，其详细定义参见GM/T 0050—2016 的5.4、5.5和5.6,
密码设备管理体系中的管理应用是从管理应用层发起的管理指令，通过设备管理平台层和安全通 道到达设备管理代理，由管理代理负责解析，并按指令内容进行操作。
本标准主要涉及密码设备管理平台层和密码设备层的管理应用接口，包括远程监控、设备合规性检验等。
5.2 对密码设备的基本要求
密码设备应配备国家密码主管部门批准的密码算法，包括对称算法、非对称算法和杂凑算法；具有 密钥的产生、安装、安全存储、更新、销毁、备份和恢复等密钥管理功能。
设备管理体系中的密码设备内，应安装管理代理，其应用接口遵循本标准。
5.3 对管理代理的基本要求
密码设备管理代理负责接收管理应用层通过设备管理平台和安全通道下发的策略和指令，解析包 括安全通道消息、设备管理消息和管理应用消息等指令，调用特定的模块对密码设备进行管理操作，并 将操作结果返回。本标准主要涉及管理应用类消息。
5.4 对安全通道的基本要求
管理代理与设备管理平台间的所有消息，都通过安全通道发送。
安全通道的建立时机，建立安全通道的请求和响应消息格式以及建立安全通道之后，通过安全通道 发送的 PDU 消息格式等遵循 GM/T 0050—2016 的6.2定义，安全通道的使用说明遵循GM/T0050—2016的6.3、6.4。
6 密码设备远程监控与合规性检验的接口数据
6.1 密码设备远程监控
6.1.1 远程监控消息格式
密码设备远程监控是指监控密码设备的状态，包括密码服务状态、隧道连通状态等。
6.1.3 返回监控信息的消息格式
管理代理向管理应用层返回监控信息的消息格式如表2所示，参见GM/T0050—2016 中7.3的树 形结构，被管对象的属性分为设备状态监控组和设备日志监管组，组别编号分别为0x05 和 0x06,设备 生产厂商和设备管理应用开发厂商应按照此规则开发。未定义的部分可按照VID 定义规则自行扩展。
6.2 设备合规性检验
6.2.1 设备合规性检验概述
设备合规性检验包括密码设备的算法有效性校验和设备自检。
算法有效性校验是指管理代理接收到管理应用层下发的数据包后，解析出标准数据，并按照密码算法(算法标识遵循 GM/T 0006—2012)计算得到校验数据，然后将数据封装返回给管理应用层，
设备自检是指管理应用层向密码设备管理代理下发状态查询指令，让设备自己去检查密码算法实现的正确性、密钥的完整性以及主要功能是不是正常。
6.2.2 设备合规性检验消息格式
设备合规性检验调用GM/T 0050—2016中9.4.1的 SMF SecTunnelSendData 函数，将管理指令 填充在设备管理平台指令的消息 PDU 中，管理消息赋值在 sendData字段，具体消息格式如图4所示
(参见GM/T 0050—2016的6.2):
其中：
● 操作类型为安全通道发送消息，标识为0xA3。
● 设备合规性检验的管理应用标识为0xC4。
● 本章节对管理应用标识0xC4 后面的设备合规性检验消息 PDU 作出规范。
● 管理应用层与管理代理之间以0x93 命令发送数据，0x94 命令接收数据。
● 管理应用层发送标准数据(如对称算法的算法标识、算法长度、明文、密钥、密文)到管理代理， 管理代理接收到0x93 数据包，按照定义的消息格式解析出标准数据，并按照相关算法计算得 到相应的返回值，然后按照应用层定义的消息格式封装发送给应用层。应用层将返回的数据 与标准数据进行校验。
6.2.3 算法有效性校验
6.2.3.1 发送数据
6.2.3.1.1 消息格式
发送数据消息格式定义了密码设备算法有效性校验指令的消息格式，如表3所示。
其中：
● 类 型 0x93 是发送数据的标识；
● 请求设备 ID 是请求设备注册时从设备管理平台层获得的设备唯一性标识；
● 数据方向标识的0x00 表示管理应用层向管理代理发送数据，0x01表示管理代理向管理应用层 发送数据；
● 方案编号是依据算法类别、工作模式、密码技术和标准数据组合等内容确定的数据格式；
● 方案长度指示后面方案内容的字节数；
● 方案内容由下面表4～表12定义。
6.2.3.1.2 对称算法
a) 对称算法加密明文，标准数据组合为明文，对应返回值为密文和密钥，定义格式如表4所示。
其中：
● 类型0x93 是发送数据的标识；
● 请求设备ID 是请求设备注册时从设备管理平台层获得的设备唯一性标识；
● 数据方向0x00 表示管理应用层向管理代理发送数据；
● 方案编号标识对称算法加密的四种工作模式；
● 方案长度指示后面方案内容的字节数，方案内容包括算法标识、明文长度和明文内容；
● 密码算法标识遵循GM/T 0006—2012;
● 明文长度指示明文内容的字节数；
● 明文内容为明文的标准数据。
b) 对称算法加密明文，标准数据组合为明文和密钥，对应返回值为密文，定义格式如表5所示。
其中：
类型0x93 是发送数据的标识；
请求设备 ID 是请求设备注册时从设备管理平台层获得的设备唯一性标识；
● 数据方向0x00 表示管理应用层向管理代理发送数据；
● 方案编号标识对称算法加密的四种工作模式；
● 方案长度指示后面方案内容的字节数，方案内容包括算法标识、密钥长度、密钥值、明文长 度和明文内容；
● 密码算法标识遵循GM/T0006—2012;
● 密钥长度指示密钥值的字节数；
● 密钥值为密钥的标准数据；
● 明文长度指示明文内容的字节数；
● 明文内容为明文的标准数据。
c) 对称算法解密密文，标准数据组合为密文和密钥，对应返回值为明文，定义格式如表6所示。
其中：
类型0x93 是发送数据的标识；
请求设备ID 是请求设备注册时从设备管理平台层获得的设备唯一性标识； 数据方向0x00表示管理应用层向管理代理发送数据；
● 方案编号标识对称算法解密的四种工作模式；
● 方案长度指示后面方案内容的字节数，方案内容包括算法标识、密钥长度、密钥值、密文长 度和密文内容；
● 密码算法标识遵循 GM/T0006—2012;
● 密钥长度指示密钥值的字节数；
● 密钥值为密钥的标准数据；
● 密文长度指示密文内容的字节数；
● 密文内容为密文的标准数据。
6.2.3.1.3 非对称算法
a) 非对称算法加密，标准数据组合为公钥和明文，对应返回值为数字信封，定义格式如表7所示。
其中：
● 类型0x93 是发送数据的标识；
● 请求设备ID 是请求设备注册时从设备管理平台层获得的设备唯一性标识；
● 数据方向0x00 表示管理应用层向管理代理发送数据；
● 方案编号标识加密的两种非对称算法；
● 方案长度指示后面方案内容的字节数，方案内容包括算法标识、公钥长度、公钥值、明文长 度和明文内容；
● 密码算法标识遵循 GM/T0006—2012;
● 公钥长度指示公钥值的字节数；
● 公钥值为公钥的标准数据；......
|