2021基于云計算的電子簽名服務技術要求

提供pdf版基于云計算的電子簽名服務技術要求目次前言 ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 皿弓I言 N1規(guī)范性弓I用文件 112基于云計算的電子簽名服務一般架構 2架構模型 23術3術4體4本地數(shù)據(jù)保護 44通信數(shù)據(jù)保護 44子簽名的確認與控制 4云簽名服務技術44

.........................................................................................................4

電子簽名服務要求

.............................................................................................5

運行支撐要求安全審計要求

8...................................................................................................8II

幾種典型的云簽名服務模式 W}W}｀l(xiāng)=I近年來，在移動互聯(lián)網(wǎng)和云計算等新技術的推動下，很多應用領域從業(yè)務模式到技術支撐，都發(fā)生技術，也應該及時適應這些變化，在這些新的場景中發(fā)揮積極作用。同時，移動互聯(lián)網(wǎng)業(yè)務中，通過電子簽名技術保證業(yè)務安全性的需求越來越多，電子簽名相關應用將向移動互聯(lián)網(wǎng)延伸。能力支撐?；谠朴嬎愕碾娮雍灻菫闃I(yè)務提供電子簽名功能的一種方式。服務方將電子簽名以云服務形式提供給用戶，使用戶能夠方便、低成本、隨時隨地生成各類業(yè)務所需的，具有法律效力的電子簽名。通過制定本文件，能夠對基于云計算的電子簽名服務進行規(guī)范，從而為業(yè)務系統(tǒng)提供便捷可靠的電子簽名能力支撐?；г朴嬎愕碾娮雍灻占夹g要求本文件描述了基于云計算的電子簽名服務密碼技術需求，提出了采用數(shù)字證書和數(shù)字簽名技術實現(xiàn)的基于云計算的電子簽名服務的密碼技術要求。本文件適用于指導基于云計算的電子簽名服務的建設、管理、檢測和應用。下列文件中的內(nèi)容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于GB/T15843 術 術 GB/T20518 術 公鑰基礎設施 術 25056 術 25064 術 公鑰基礎設施 電子簽名格式規(guī)范GB/T2014 信息安全技術 術 SM3術 ） 信息安全技術 SM2術 術 術 算 云服務運營通用要GB/T37092 信息安全技術 38636 術 傳輸層密碼協(xié)議(TLCP)Z4001密碼術語GB/TZ4001密碼術語GMZ4001名 electronicsignature數(shù)據(jù)電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認可其中內(nèi)容的數(shù)據(jù)。注：本文件中特指采用數(shù)字證書和數(shù)字簽名技術實現(xiàn)的電子簽名。算 cloudcomputing1通過網(wǎng)絡訪問可擴展的、靈活的物理或虛擬資源池，并可按需自助獲取與管理資源的模式。122注：資源實例包括服務器、操作系統(tǒng)、網(wǎng)絡、軟件、應用與存儲設備等。3.3商 cloudprovider注：云服務商管理、運營、支撐云計算的計算基礎設施及軟件，通過網(wǎng)絡支付云計算的資源。3.4云服務客戶 cloudservicecustomer為使用云計算服務同云服務商建立業(yè)務關系的參與方。注：本文件中云服務客戶簡稱客戶。3.5制作電子簽名的實體。依賴方依賴方party接受云簽名服務的依賴協(xié)議，獨立地判斷電子簽名是否滿足其應用的安全需求的實體。云簽名服務 cloud-basesigningservice為其他實體提供基于云的電子簽名服務及相關服務的機構。下列縮略語適用于本文件。API 用編程接口(ApplicationProgrammingInterface)證書認證機構(CertificateAuthority)CRL 證書吊銷列表(CertificateRevocationList)OCSP 協(xié)議(OnlineCertificateStatusProtocol)5 基千云計算的電子簽名服務—般架構能，所提供的電子簽名功能稱為云簽名。在其典型技術框架如圖1所示。云簽名服務服務 （云 （用戶管理服務］ 安的 全 略電子簽 （） 管 管名服務

理 理（數(shù)字簽名服務］(------------------------------------------------、II: CA

lII_J第務方支撐 I III_J｝＿｝l 于二｝圖1 (APO,使用云簽名服務所提供的服務。生命周期管理。圖1中，各部分的功能介紹如下：簽名方在基于云的電子簽名活動中，將電子簽名功能或電子簽名功能的一部分委托云簽名服務完成，而簽名方使用終端、應用程序或應用系統(tǒng)對制作電子簽名的過程進行控制和確認；依賴方通過判斷簽名方或云簽名服務提供的電子簽名及相關數(shù)據(jù)有效性來進行后續(xù)業(yè)務操作；、理等、、速伸縮性、服務可計量方面的特性要求。5.2 服務模式一：量，通過密碼協(xié)議交生最終簽名結果。詳見A.1。，在，務端為其完成簽名操作。詳見A.2。6 依賴方技術要求37092中與業(yè)務相匹配安全級別的要求。密碼模塊應支，驗證電子簽名過程應滿足2的要求。若電子簽名功能需要由簽名方可使用密碼模塊完成基于云計算的電子簽名所需的密碼功能。若使用密碼模塊，該模塊應認證，滿足T2中與業(yè)務相匹配安全級別的要，支持7._本地數(shù)據(jù)保護簽名方應對本地的關鍵配置數(shù)據(jù)、敏感數(shù)據(jù)進行完整性保護和機密性保護。身份鑒別

的各項通信數(shù)據(jù)保護簽名方與云簽名服務通信時，應按照云簽名服務的接入要求進行通信數(shù)據(jù)保護。密鑰管理在使用協(xié)同簽名模式進行電子簽名時，簽名方應支持在密碼模塊內(nèi)部產(chǎn)生簽名密鑰的客戶端分量，支待密鑰分量存儲和安全使用。在電子簽名過程中，簽名方應對電子簽名的相關數(shù)據(jù)進行確認，并通過交互對簽名過程進行控制。若內(nèi)容確認與簽名交互采用密碼模塊，應滿足如下要求：在云簽名服務的建設、運行和服務過程中，應滿足GB/T22239中與業(yè)務安全要求相匹配的級別要求，滿足GB/T31168對云服務安全能力的要求和GB/T39786對密碼應用安全的要求。建設要求云簽名服務提供者應建設和部署與業(yè)務安全級別相匹配的物理環(huán)境、基礎設施、網(wǎng)絡環(huán)境和計算環(huán)GM/T 0109一2021GB/T39786。所使用的所采用的密碼模塊應符合GB/T37092與業(yè)務安全要求相匹配的級別要求，應通過商用密碼電子簽名服務要求通用要求密碼算法和密碼技術的要求在基于云的電子簽名服務中，所采用的密碼算法和密碼技術、密碼協(xié)議應符合密碼國家標準、行業(yè)標準，其中可使用的密碼算法包括：GB/T35276；電子簽名過程中數(shù)據(jù)完整性保護應采用GB/T32905規(guī)定的密碼雜湊算法；電子簽名過程中數(shù)據(jù)機密性保護應采用GB/T32907規(guī)定的。電子簽名格式要求云簽名服務所形成的電子簽名數(shù)據(jù)應符合GB/T35275的要求。對于需長期保存、OCSP響應信息等。如電子簽名需要第三方認證，基于云計算的電子簽名服務應采用合法的第三方電子認證機構所頒發(fā)的數(shù)字證書。云簽名服務可與CA對接實現(xiàn)用戶數(shù)字證書的管理。數(shù)字證書格式應遵循GB/T20518。用戶管理用戶注冊云簽名服務應支持簽名方用戶注冊到云簽名服務中。若存在依賴方發(fā)起簽名的場景，應支持依賴方用戶注冊到系統(tǒng)。具體要求如下：信息；。用戶審核用戶激活時，云簽名服務應為簽名用戶產(chǎn)生用于電子簽名的密鑰。產(chǎn)生密鑰的過程要求詳見8.3.3.2。5用戶可使用此密鑰向第三方電子認證機構申請數(shù)字證書。云簽名服務應支持用戶自主對其自身的信息進行查詢、維護和管理。云簽名服務應支持對用戶進行注銷。密鑰管理云簽名服務應提供滿足GB/T等，并滿足在電子簽名過程中密鑰由簽名者唯一控制的要求。對不同簽名模式的簽名，其密鑰產(chǎn)生應滿足以下要求。對代理簽名模式，云簽名服務應在密碼設備中為用戶產(chǎn)生簽名密鑰。云簽名服務應支持存儲用戶簽名密鑰或簽名密鑰的服務端分量，其中私有密鑰應加密存儲，公開密鑰應以數(shù)字證書形式存儲。應保證用戶密鑰之間存儲隔離。密鑰使用名。具體要求如下。對者身份、待簽名內(nèi)容、簽名時間等信息相關，認證通過后在密碼設備或密碼模塊中完成簽名。應保證密鑰的使用過程相互隔離。間等，應保證日志和審計信息不可篡改、不可刪除、不可偽造。云簽名服務應提供密鑰更新服務，密鑰更新需要銷毀原有密鑰并產(chǎn)生新的密鑰，申請新的數(shù)字證書。密鑰備份與恢復鑰進行備份或恢復。其中，系統(tǒng)密鑰的備份與恢復應符合GB/T25056的要求。用戶簽名密鑰的密文可采用數(shù)據(jù)庫備份／恢復的方式來進行。密鑰備份或恢復應進行記錄，并生成審計信息，審計信息應包括備份或恢復的主體、備份或恢復的時間等。如果用戶選擇終止云簽名服務，應支持銷毀用戶密鑰或用戶密鑰的服務端分量。密鑰銷毀應符合GB/T25056電子簽名過程安全要求概述下進行。電子簽名功能應保證用戶對簽名密鑰的唯控制。簽名請求的鑒別云簽名服務在接收到簽名請求后，應對請求來源進行鑒別，具體要求如下：對于簽名方發(fā)起的請求，應識別和驗證簽名方身份，驗證簽名請求完整性。電子簽名過程要求電子簽名服務過程應使用用戶密鑰服務端分量或完整的用戶密鑰進行簽名并按約定的格式返回：.3.中)c、d)、e項的要求；對于代理簽名模式，應按照8.3.3.4b)的要求使用用戶的簽名密鑰進行數(shù)字簽名，并滿足、d)、在電子簽名過程中，云簽名服務應為用戶提供各種安全控制措施。在協(xié)同簽名模式下，應對協(xié)同簽名過程進行安全控制，安全控制方法包括但不限于：云簽名服務對簽名方簽名行為設置錯誤計數(shù)機制和錯誤計數(shù)上限，當用戶簽名錯誤達到在代理簽名模式下，應支持對簽名方身份鑒別和簽名授權過程進行安全控制，安全控制方法包括但不限于：數(shù)據(jù)安全要求GB/T39786一20217.431168的要求，并滿足以下要求：電子簽名服務接入要求到務對請求者身份進行鑒別。 云簽名服務應支持對簽名別用GT1543，確定如何響應其請求?！だ鏕B/T中定義的傳輸層密碼協(xié)議。安全通道應對通信內(nèi)容進行機密性保護和完整性保護。請求的的處理。 請求類型應包括但不限于用戶管理密鑰管理和電子簽名等，其具體要求見8.3.、8.3.3、8.3.4。GB/T36326安全運維要求安全審計要求云簽名服務應提供安全審計功能，對涉及系統(tǒng)安全的行為、人員、時間的日志記錄進行跟蹤、統(tǒng)計和99GB/T31168—201411章的要求，并滿足以下要求：附錄附錄（資料性）A幾種典型的云簽名服務模式A協(xié)同簽名模式協(xié)同簽名模式用于向個人提供簽名服務的業(yè)務場景。在協(xié)同簽名模式下，用以電子簽名的密鑰通務共同完成簽名。其中客戶端使用密碼模塊進行客戶端簽名計算，服務端使用密碼機完成服務端簽名能由任何傳輸數(shù)據(jù)計算得出。?協(xié)同簽名模式下，簽名任務可由依賴方發(fā)起或由簽名方發(fā)起。典型依賴方發(fā)起簽名請求的協(xié)同簽?lll·，---------------------I； 云簽名服務

求 ：

云簽名服務,I中間件------------------------------l！ ：中間件------------------------------l

: ，1--1--2推送簽名誚求--L2推送簽名誚求--L!」

,,－-－--端名一戶簽}}完一-i-＿－-＿,,－-－--端名一戶簽}}完一-i-＿－-＿－-＼

5服務端簽名,--------l密碼設備或 ！!＿－-－－－名同協(xié)－＿－－＿－!＿－-－－－名同協(xié)－＿－－＿－，

端密鑰因子和證書L一！- l－-－－-－－-模－－-}--－－L一！- l－-－－-－－-模－－-}--－－一--－-－－－－－－－－,l－如圖A.1所示，典型協(xié)同簽名的過程包括：a) 10)簽名請求進行確認；)））））cde）f）fgh）））).l).l.J)云簽名服務驗證簽名結果，可基于簽名驗證情況采取安全控制措施