搜索结果: GB/T 38629-2020, GB/T38629-2020, GBT 38629-2020, GBT38629-2020
| 标准编号 | GB/T 38629-2020 (GB/T38629-2020) | | 中文名称 | 信息安全技术 签名验签服务器技术规范 | | 英文名称 | Information security technology - Technical specifications for signature verification server | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 26,278 | | 发布日期 | 2020-04-28 | | 实施日期 | 2020-11-01 | | 引用标准 | GB/T 9813.3-2017; GB/T 19713-2005; GB/T 25069-2010; GB/T 32905; GB/T 32918.1; GB/T 32918.2; GB/T 32918.3; GB/T 32918.4; GB/T 32918.5; GB/T 33560-2017; GB/T 35275; GB/T 35276; GB/T 35291-2017; GB/T 36322; GM/T 0020; GM/T 0028; GM/T 0039 | | 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 | | 范围 | 本标准规定了签名验签服务器的功能要求、安全要求和消息协议语法规则等内容。本标准适用于签名验签服务器的研制和使用。 | GB/T 38629-2020
信息安全技术 签名验签服务器技术规范
Information security technology -- Technical specifications for signature verification server
1 范围
本标准规定了签名验签服务器的功能要求、安全要求和消息协议语法规则等内容。
本标准适用于签名验签服务器的研制和使用。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 9813.3-2017 计算机通用规范 第3部分:服务器
GB/T 19713-2005 信息技术 安全技术 公钥基础设施 在线证书状态协议
GB/T 25069-2010 信息安全技术 术语
GB/T 32905 信息安全技术 SM3密码杂凑算法
GB/T 32918(所有部分) 信息安全技术 SM2椭圆曲线公钥密码算法
GB/T 33560-2017 信息安全技术 密码应用标识规范
GB/T 35275 信息安全技术 SM2密码算法加密签名消息语法规范
GB/T 35276 信息安全技术 SM2密码算法使用规范
GB/T 35291-2017 信息安全技术 智能密码钥匙应用接口规范
GB/T 36322 信息安全技术 密码设备应用接口规范
GM/T 0020 证书应用综合服务接口规范
GM/T 0028 密码模块安全要求
GM/T 0039 密码模块安全检测要求
3 术语和定义
GB/T 25069-2010界定的以及下列术语和定义适用于本文件。
3.1
安全域
在信息系统中,单一安全策略下运行的实体的汇集。例如,由单个或一组认证机构采用同一安全策
略创建的各公钥证书的汇集。
3.2
签名验签服务器
用于服务端的,为应用实体提供基于PKI体系和数字证书的数字签名、验证签名等运算功能的服
务器,保证关键业务信息的真实性、完整性和不可否认性。
3.3
用户
与应用实体进行通信或认证的个人、机构或系统。
注:其数字证书可导入到签名验签服务器中。
3.4
SM2算法
由GB/T 32918定义的一种椭圆曲线密码算法。
3.5
SM3算法
由GB/T 32905定义的一种杂凑算法。
4 缩略语
下列缩略语适用于本文件。
API:应用程序接口
ASN.1:抽象语法记法1
CA:证书认证机构
CRL:证书撤销列表
OCSP:在线证书状态查询协议
PKI:公钥密码基础设施
5 签名验签服务器的功能要求
5.1 初始化功能
签名验签服务器的初始化应主要包括系统配置、生成管理员和审计员、创建密钥、申请证书和导入
证书等,使设备处于正常工作状态。
5.2 与公钥基础设施的连接配置功能
5.2.1 CRL连接配置
签名验签服务器应支持CRL连接配置功能,通过配置管理界面,提供从CRL发布点获取CRL、导
入CRL等功能。
5.2.2 OCSP连接配置
签名验签服务器应支持OCSP连接配置功能,通过配置管理界面,进行 OCSP服务的连接配置管
理。OCSP服务的连接配置应遵循GB/T 19713-2005中6.1的规定。
5.3 应用管理功能
签名验签服务器的应用管理功能应包括应用实体的注册、配置密钥、设置私钥授权码等,并按照安
全机制对应用实体的信息进行安全存储。应用实体注册的内容应包括设置应用实体名称、配置密钥索引号、导入证书等。
5.4 证书管理和验证功能
5.4.1 应用实体的密钥产生、证书申请
在签名验签服务器注册的应用实体,应由签名验签服务器产生应用实体的签名密钥对和证书请求,
并支持通过管理界面导入应用实体的签名证书、加密证书和加密密钥对。加密密钥对的保护结构应遵循GB/T 35291-2017中6.4.10的规定。
5.4.2 证书导入和存储
签名验签服务器应支持用户证书、根证书或证书链的导入,导入时应对证书的有效性进行验证。
5.4.3 应用实体的证书更新
应用实体的证书更新时应保存原来的证书,以防止以前的签名不能验证。
5.4.4 证书验证
签名验签服务器应支持对证书的有效性的验证,包括验证证书有效期、验证证书签名有效性、验证
证书状态。
5.4.5 备份和恢复
签名验签服务器应支持备份和恢复功能,包括密钥、证书等数据的备份和恢复。
备份操作产生的备份文件可存储到签名验签服务器外的存储介质中,应采取措施保证备份文件的
机密性和完整性。
5.5 数字签名和验签功能
签名验签服务器应支持SM2算法的数字签名和数字验签功能,提供对数据、消息、文件等多种格式
的运算方式。
数据的结构应遵循GB/T 35275和GB/T 35276。
5.6 日志管理功能
签名验签服务器应提供日志记录、查看、审计和导出功能,具备相应的配置管理和查看界面。
日志内容包括:
a) 系统管理日志,包括登录认证、系统配置、密钥管理等操作;
b) 异常事件,包括认证失败、非法访问等异常事件的记录;
c) 如与设备管理中心连接,对相应操作进行记录。
5.7 时间源同步功能
签名验签服务器应能够配置连接时间源服务器,自动同步时间。
6 签名验签服务器的安全要求
6.1 接口要求
签名验签服务器调用密码设备的接口应遵循GB/T 36322。
6.2 系统要求
签名验签服务器所使用的操作系统应进行安全加固,保障其安全性。
6.3 使用要求
签名验签服务器只接受合法的操作指令,并防止非授权用户的使用。
6.4 管理要求
6.4.1 管理工具
签名验签服务器通过管理工具实现对该签名验签服务器的管理功能。
6.4.2 管理员身份鉴别
签名验签服务器应具备完善的身份鉴别机制,签名验签服务器应设置管理员和审计员,管理员和审
计员应通过智能密码钥匙、智能IC卡等硬件介质与口令相结合的方式登录系统,并使用证书进行身份
验证。各类管理员通过身份鉴别后执行自己权限范围内的相关管理操作。
6.4.3 设备管理
6.4.3.1 设备初始化
签名验签服务器的初始化,除应由厂商进行的操作外,系统配置、密钥的生成(恢复)与安装、生成管
理员和审计员等均应由用户方设备管理人员完成。
6.4.3.2 设备自检
签名验签服务器应具备自检功能,应具备状态和功能自检功能,能够进行密码算法正确性检查、随
机数发生器检查、存储密钥和数据的完整性检查等,检查不通过时应报警并停止工作。
6.5 设备物理安全防护
签名验签服务器在工艺设计、硬件配置等方面应采取相应的保护措施,保证设备基本的物理安全防
护功能。
6.6 网络部署要求
签名验签服务器应部署在应用系统的安全域内,只为安全域内的应用实体和用户服务,不应为安全
域外的应用实体和用户使用。
6.7 服务接口
以基于HTTP的 WEB方式提供服务的签名验签服务器,接口要求见附录A,响应码的定义见附
录B。
以消息协议方式提供服务的签名验签服务器,接口要求见第7章,响应码的定义见附录B。
以应用程序接口方式提供服务的签名验签服务器,其接口应遵循GM/T 0020。
6.8 环境适应性
签名验签服务器的工作环境应遵循GB/T 9813.3-2017中5.8的规定。
6.9 可靠性
签名验签服务器的平均失效间隔工作时间应遵循GB/T 9813.3-2017中4.9的规定。
6.10 其他
签名验签服务器的其他安全要求应遵循GM/T 0028和GM/T 0039。
7 消息协议语法规则
7.1 概述
签名验签服务的消息协议接口采用请求响应模式,如图1所示。协议模型由请求者、响应者和它们
之间的交互协议组成。通过本协议,请求者将数字签名、验证数字签名等请求发送给响应者,由响应者
完成签名验签服务并返回结果。本规则中的接口消息协议包括导出证书、解析证书、验证证书有效性、数字签名、验证数字签名、消息签名、验证消息签名等服务功能,每个服务都按照请求-响应的步骤执行。请求者可通过规则获得签名验签功能,而不必关心下层PKI公钥密码基础设施的实现细节。
7.2 协议内容
协议内容如下:
a) 请求
也称业务服务请求,包含请求者业务请求的类型、性质以及特性数据等,该请求将被发送到响
应者并得到服务。服务请求包括如下数据:
---协议版本(当前版本为1);
---请求类型;
---请求包。
b) 响应
指响应者对来自请求者请求的处理响应。响应者的响应包括如下数据:
---协议版本(当前版本为1);
---响应类型;
---响应包。
c) 异常情况
当响应者处理发生错误时,需要向请求者发送错误信息。错误可以是......
|