GBT 27913-2022 用于金融服務(wù)的公鑰基礎(chǔ)設(shè)施 實(shí)施和策略框架

代替GB/T27913—2011用于金融服務(wù)的公鑰基礎(chǔ)設(shè)施國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)I Ⅲ 1 1 2 8 95.1概述 9 95.3商業(yè)要求對(duì)PKI環(huán)境的影響 5.4認(rèn)證機(jī)構(gòu) 5.5商業(yè)視角 5.9時(shí)間戳 215.10信任模型 216證書(shū)策略和認(rèn)證業(yè)務(wù)說(shuō)明要求 257認(rèn)證機(jī)構(gòu)控制規(guī)程 25 257.2CA環(huán)境控制 267.3CA密鑰生命周期管理控制 7.4主體密鑰生命周期管理控制 457.5證書(shū)生命周期管理控制 7.6CA證書(shū)生命周期管理控制 7.7從屬CA證書(shū)生命周期管理 附錄A(資料性)根據(jù)證書(shū)策略進(jìn)行管理 附錄B(資料性)認(rèn)證業(yè)務(wù)說(shuō)明的要素 附錄C(資料性)對(duì)象標(biāo)識(shí)符(OID) 附錄F(規(guī)范性)認(rèn)證機(jī)構(gòu)審計(jì)日志內(nèi)容及使用 附錄G(資料性)可選的信任模型 參考文獻(xiàn) Ⅲ易及處理系統(tǒng)方面的需求不斷增長(zhǎng)，從而導(dǎo)致業(yè)務(wù)優(yōu)化的技術(shù)、管理和策略基礎(chǔ)設(shè)施(本文件中定義為公鑰基礎(chǔ)設(shè)施或PKI)來(lái)在我國(guó)，數(shù)字簽名和PKI技術(shù)可用于開(kāi)發(fā)金融服務(wù)業(yè)的應(yīng)用。這些賴于確?；A(chǔ)設(shè)施整體完整性的實(shí)踐。對(duì)于將個(gè)人身份與其他實(shí)體和密鑰要素(如本文件制定了通過(guò)證書(shū)策略、認(rèn)證業(yè)務(wù)說(shuō)明、控制目標(biāo)和控準(zhǔn)的實(shí)現(xiàn)者來(lái)說(shuō)，我國(guó)金融交易中的實(shí)體可以依賴本文件實(shí)1章～第6章。GB/T14916—2006識(shí)別卡物理特性(ISO/16649.1識(shí)別卡帶觸點(diǎn)的集成電路卡第1部分：物理特性16649.2識(shí)別卡帶觸點(diǎn)的集成電路卡第2部分：觸點(diǎn)的尺寸和位置16649.3識(shí)別卡帶觸點(diǎn)的集成電路卡第3部分：電信號(hào)和傳輸協(xié)議16649.4識(shí)別卡集成電路卡第4部分：用于交換的結(jié)構(gòu)、安全和命令16649.5識(shí)別卡帶觸點(diǎn)的集成電路卡第5部分：應(yīng)用標(biāo)識(shí)符的國(guó)家編號(hào)體系和注冊(cè)16649.6識(shí)別卡帶觸點(diǎn)的集成電路卡第6部分：行業(yè)間數(shù)據(jù)元16649.8識(shí)別卡帶觸點(diǎn)的集成電路卡第8部分：與安全相關(guān)的行業(yè)間命令16649.9識(shí)別卡集成電路卡第9部分：用于卡管理的命令2GB/T16649.10識(shí)別卡帶觸點(diǎn)的集成電路卡第10部分：同步卡的電信號(hào)和復(fù)位應(yīng)答GB/T16649.11識(shí)別卡集成電路卡第11部分：通過(guò)生物特征識(shí)別方法的身份驗(yàn)證GB/T16649.12識(shí)別卡集成電路卡第12部分：帶觸點(diǎn)的卡USB電氣接口和操作規(guī)程GB/T16649.15識(shí)別卡集成電路卡第15部分：密碼信息應(yīng)用GB/T17552—2008信息技術(shù)識(shí)別卡金融交易卡(ISO/IEC7813:2006,IDT)GB/T18336.1—2015信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第1部分：簡(jiǎn)介和一般模GB/T18336.2—2015信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第2部分：安全功能組件GB/T18336.3—2015信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第3部分：安全保障組件ISO13491-1銀行業(yè)務(wù)安全加密設(shè)備(零售)第1部分：概念、要求和評(píng)估方法(FinancialServices—-Securecryptographicdevices(rISO/IEC9594-8信息技術(shù)開(kāi)放系統(tǒng)互連目錄第8部分：公鑰和屬性證書(shū)框架(Informationtechnology—OpenSystemsInterconnectiotributecertificatefratechniques—Primenumbergeneration)ISO/IEC18033-1信息技術(shù)安全技術(shù)加密算法第1部分：概括(Informationtechnology—ISO/IEC18033-2信息技術(shù)安全技術(shù)加密算法第2部分：非對(duì)稱密碼(Informationtech-nology—Securitytechniques—EncryptionalgoritISO/IEC18033-3信息技術(shù)安全技術(shù)加密算法第3部分：分組密碼(Informationtechnolo-gy—Securitytechniques—Encryptionalgorithms—Part3:BlockciISO/IEC18033-4信息技術(shù)安全技術(shù)加密算法第4部分：序列密碼(Informationtechnolo-gy—Securitytechniques—EncryptionalgoritISO/IEC19790信息技術(shù)安全技術(shù)密碼模塊的安全要求(Informationtechnology-Securitytechniques—Securityrequirement接入點(diǎn)accesspoint34證書(shū)框架certificateprofile認(rèn)證certification實(shí)體證書(shū)的有序序列，通過(guò)處理該有序序列及其初始實(shí)體的公鑰從而獲得該路徑上最終實(shí)體的CA(3.21)在頒發(fā)證書(shū)時(shí)采用的業(yè)務(wù)說(shuō)明，它定義了CA為滿足由它支持的證書(shū)策略的要求而采用5證書(shū)有效性certificatevalidity兩個(gè)CA(3.21)互相證明彼此的公鑰的過(guò)程。硬件密碼模塊hardwarecryptographicmodule數(shù)字簽名digitalsignature實(shí)體entity67注冊(cè)請(qǐng)求registrationrequestCA(3.21)在CA層次結(jié)構(gòu)的頂端CA。簽名有效性signaturevalidation由簽發(fā)CA(3.36)認(rèn)證并符合簽發(fā)CA的證書(shū)策略(3.13)的CA(3.21)。8ASN.1抽象語(yǔ)法標(biāo)記1(AbstractSyntaxNotationOne)9從屬CA(SubordinateCA)公開(kāi)。主體的公鑰和鑒別數(shù)據(jù)用CA的私鑰簽名后形成證書(shū)。證書(shū)是根據(jù)證書(shū)策略生成的。公鑰的公金融機(jī)構(gòu)可使用PKI在以下環(huán)境中根據(jù)與信任方之間的關(guān)系來(lái)服務(wù)于他們的商業(yè)需求。表1～表3提供了每一種環(huán)境的示例。書(shū)策略，見(jiàn)圖1和表1。依附于信任服務(wù)的實(shí)體可以作為自己或其他證書(shū)主體認(rèn)證的信任方或簽署方。在這種情況下，簽署方和證書(shū)主體可能是受超出本文件范圍的業(yè)務(wù)關(guān)系約束的不同b)契約環(huán)境：證書(shū)主體和信任方可具有不2)使用不同證書(shū)策略的雙邊交叉認(rèn)證形式；3)通過(guò)中心機(jī)構(gòu)或?qū)嶓w可識(shí)別不同證書(shū)策略的鑒定橋形式。這可以通過(guò)中心組織發(fā)布證書(shū)見(jiàn)圖2和表2。c)開(kāi)放環(huán)境：金融機(jī)構(gòu)可作為T(mén)SP向公眾簽發(fā)證書(shū)并允許在一個(gè)開(kāi)放的認(rèn)。TSP可在自愿的TSP的鑒定方案下或在本國(guó)規(guī)章制度內(nèi)運(yùn)行。典型的情況下，用戶的TSP和信任方之間不存在正式的合同。見(jiàn)圖3、表3和圖4。求應(yīng)在最初進(jìn)行確定。這些要求在部署PKI時(shí)實(shí)現(xiàn)?！?cè)；——分發(fā)3;——使用4;——終結(jié)5;1電子郵件(如利率變化的通完整性。——接收方驗(yàn)證發(fā)送方證書(shū)。接收方驗(yàn)證數(shù)字簽名。2在FI的網(wǎng)絡(luò)范圍內(nèi)雇員間——為接收方鑒別發(fā)送方。——接收方驗(yàn)證發(fā)送方的證書(shū)。2在FI的網(wǎng)絡(luò)范圍內(nèi)雇員間完整性。保護(hù)報(bào)文內(nèi)容的機(jī)密性。3向面對(duì)用戶的設(shè)備進(jìn)行FI軟件的內(nèi)部網(wǎng)絡(luò)分發(fā)(如軟件有一個(gè)可信的來(lái)源。——接收方確認(rèn)FI的證書(shū)。用戶用戶1Internet向使用另一個(gè)TSP保證報(bào)文完整性?！脩魴z查數(shù)字簽名。一保護(hù)報(bào)文內(nèi)容的機(jī)密性。-—發(fā)送方用接收方的公鑰加密報(bào)文?！邮辗接米约旱乃借€解密報(bào)文。2——顧客批準(zhǔn)訂單?！虘魧?duì)用戶顧客進(jìn)行鑒別?！灰讏?bào)文完整性。一顧客使用私鑰對(duì)訂單數(shù)字簽名?！邮辗津?yàn)證發(fā)送方證書(shū)?！虘趄?yàn)證數(shù)字簽名。3報(bào)文鑒別?！?yàn)證數(shù)字簽名并對(duì)證書(shū)進(jìn)行確認(rèn)。4已有的用戶使用電子銀行服務(wù)向FI發(fā)送高額支付——強(qiáng)雙向鑒別。——報(bào)文完整性。——機(jī)密性?！狥I驗(yàn)證用戶的證書(shū)。——FI驗(yàn)證數(shù)字簽名——用戶從目錄中取得FI的證書(shū)。一強(qiáng)雙向鑒別?！獔?bào)文完整性?！獧C(jī)密性。5IC卡生成數(shù)字簽名?？ǚ焦€檢查IC卡的真實(shí)性。用戶依賴方1——金融機(jī)構(gòu)(FI)的鑒別?！狥I可執(zhí)行代碼的完整性?！脩趄?yàn)證FI的數(shù)字簽名。2—用戶驗(yàn)證FI服務(wù)器的證書(shū)。3協(xié)議的情況下通過(guò)Internet交換電子郵件證明。——保護(hù)報(bào)文內(nèi)容的機(jī)密性。4務(wù)結(jié)果)——用戶驗(yàn)證FI的證書(shū)。5——報(bào)文完整性。——保護(hù)報(bào)文內(nèi)容的機(jī)密性。通過(guò)讓CA生成證書(shū)來(lái)實(shí)現(xiàn)主體的公鑰與其身份的綁定，從而證明其中的信息的關(guān)系并提供其完通過(guò)使用一個(gè)或多個(gè)CA的公鑰來(lái)驗(yàn)證主體的公鑰和身份的綁定。CA可以向任何主體(包括——主體(包括CA)可以使用這些證書(shū)對(duì)信任方進(jìn)行身份驗(yàn)證。因此，鑒別可能涉及一證書(shū)鏈的驗(yàn)證從受信任的CA公鑰開(kāi)始，以驗(yàn)證證書(shū)結(jié)束。受信任的CA公鑰應(yīng)通過(guò)使用證書(shū)以外的其他方法獲得和鑒別。這是為了確保流程安全啟動(dòng)。詳見(jiàn)ISO/IEC9594-8。CA或終端實(shí)體頒發(fā)證書(shū)。在層次體系結(jié)構(gòu)中，根CA的公鑰體都周知。任何實(shí)體的證書(shū)都可以通過(guò)驗(yàn)證簽名證書(shū)的認(rèn)證路徑來(lái)驗(yàn)徑從被驗(yàn)證的證書(shū)返回到根CA的可信CA公鑰。在這種體系結(jié)構(gòu)中，根CA是所有實(shí)體的交叉認(rèn)證的遠(yuǎn)程CA構(gòu)建從遠(yuǎn)程實(shí)體到根CA的證書(shū)鏈?！诜菍哟谓Y(jié)構(gòu)中，獨(dú)立CA可以通過(guò)相互頒發(fā)公鑰證書(shū)來(lái)交叉認(rèn)證。這將在CA之間形成一擁有自己的CA。實(shí)體使用選定CA的公鑰作為其受信任CA的公鑰。證書(shū)路徑包含從驗(yàn)證的證書(shū)鏈返回的信任方的可信CA證書(shū)。CA交叉認(rèn)證。獨(dú)立的根CA彼此是對(duì)等的且橋接CA不需要相互交叉認(rèn)證。橋接CA允許偽裝成一個(gè)或多個(gè)終端實(shí)體。未能提供補(bǔ)償性控制以應(yīng)對(duì)金融網(wǎng)絡(luò)中發(fā)的證書(shū)可以由屬于該方案的另一個(gè)CA客戶的信任方驗(yàn)證。通過(guò)電子媒介進(jìn)行商業(yè)活動(dòng)的可信任安全環(huán)境決定了金融機(jī)構(gòu)將來(lái)參與全球在線經(jīng)濟(jì)的能力。金融機(jī)構(gòu)的理想目標(biāo)是為在線市場(chǎng)建立一個(gè)支持內(nèi)部安全需求的安全基礎(chǔ)設(shè)施，該基礎(chǔ)設(shè)施是金融機(jī)構(gòu)b)向公眾或機(jī)構(gòu)間提供認(rèn)證服務(wù)的金融機(jī)構(gòu)應(yīng)在其CPS中明確他們自己的業(yè)務(wù)實(shí)踐規(guī)則。 (根策略)(根策略)根CA(策略A)終端實(shí)體CVSP(金融機(jī)構(gòu))間與數(shù)字簽名的生成的準(zhǔn)確或接近時(shí)間相關(guān)聯(lián)。這一技術(shù)通常稱為時(shí)間戳。時(shí)間戳協(xié)議的示例在用于CA和EV審計(jì)的Webtrust是第三方信任模型的例子。第二方審核員可以是注冊(cè)的 標(biāo)識(shí)策略機(jī)構(gòu)：2)一般規(guī)定；3)認(rèn)證與鑒別；4)操作要求；6)技術(shù)的安全控制；7)證書(shū)和CRL;8)實(shí)施管理。具體控制見(jiàn)表4和表5。1PA應(yīng)負(fù)責(zé)確保CA控制過(guò)程，按照認(rèn)證業(yè)務(wù)說(shuō)明(CPS)或等價(jià)文件中的規(guī)定，并完全符合CP的要求。2PA應(yīng)有最終授權(quán)和責(zé)任規(guī)定并核準(zhǔn)證書(shū)策略。3PA應(yīng)有最終授權(quán)和責(zé)任核準(zhǔn)CA的認(rèn)證業(yè)務(wù)說(shuō)明(CPS)。4PA應(yīng)確保認(rèn)證業(yè)務(wù)說(shuō)明(CPS)或等價(jià)文件的產(chǎn)生并確保這些文件至少描述以下內(nèi)容：a)CA環(huán)境控制；b)密鑰生命周期管理控制；c)證書(shū)生命周期管理控制。5PA或委托的代表應(yīng)確保其業(yè)務(wù)服務(wù)應(yīng)用使用適當(dāng)?shù)淖C書(shū)策略。6當(dāng)證書(shū)策略終止時(shí)，PA應(yīng)維護(hù)相關(guān)規(guī)程并通知受影響的各方。PA應(yīng)首先立即通知支持其證書(shū)策略的CA以7PA應(yīng)維護(hù)其終止情況下的程序，在這種情況下，應(yīng)通知受影響的各方傳輸歸檔記錄到相關(guān)管理8策略機(jī)構(gòu)按照定義好的評(píng)審過(guò)程核準(zhǔn)證書(shū)策略，包括對(duì)證書(shū)策略的維護(hù)。9應(yīng)存在確定的評(píng)審過(guò)程以確保CPS中規(guī)定的控制支持證書(shū)策略。PA應(yīng)使CA支持的證書(shū)策略對(duì)所有適合的用戶和信任方都是可用PA應(yīng)定期進(jìn)行評(píng)估，以確定CP處理業(yè)務(wù)風(fēng)險(xiǎn)的充分應(yīng)由PA根據(jù)確定的程序核準(zhǔn)CA的CPS并修改，包括維護(hù)CPS的責(zé)任。CA應(yīng)使其認(rèn)證業(yè)務(wù)說(shuō)明對(duì)所有適合的各方都可用。CPS應(yīng)包括對(duì)控制的解釋以確保與以下保持一致：a)法律要求；b)合同要求；c)教育和通告要求；e)業(yè)務(wù)連續(xù)性要求；f)因違反安全策略或安全事故結(jié)果導(dǎo)致的增CA的控制應(yīng)在CPS或等價(jià)文件中描述。具體控制見(jiàn)表6和表7?！踩跈C(jī)構(gòu)內(nèi)得到規(guī)劃、管理和支持；——有效管理已識(shí)別的風(fēng)險(xiǎn)；——CA設(shè)施、系統(tǒng)和第三方訪問(wèn)的信息資產(chǎn)的安全得到維護(hù)；12CA的負(fù)責(zé)管理人員應(yīng)能夠證明信息安全策略得到實(shí)施和遵守。3信息安全策略應(yīng)包括：a)信息安全的定義，全部目標(biāo)和范圍，以及安全作為能夠進(jìn)行信息共享b)管理目的的描述、支持的目標(biāo)和信息安全原則；c)解釋對(duì)機(jī)構(gòu)特別重要的安全策略、原則、標(biāo)準(zhǔn)和一致性要求；d)定義信息安全管理的一般和特別責(zé)任，包括報(bào)告安全事件；4應(yīng)有確定的規(guī)程用于維護(hù)信息安全策略，包括職責(zé)和評(píng)審日5高級(jí)管理和/或高層管理信息安全委員會(huì)應(yīng)確保有明確的指導(dǎo)和管理，以此來(lái)支持有效的風(fēng)險(xiǎn)處6傳達(dá)給負(fù)責(zé)信息安全和風(fēng)險(xiǎn)管理的管理組或委7應(yīng)明確定義保護(hù)個(gè)人資產(chǎn)和執(zhí)行特定安全過(guò)程的職責(zé)。8應(yīng)存在并遵循新信息處理設(shè)備的管理授權(quán)過(guò)程。9如果CA有業(yè)務(wù)需求允許第三方訪問(wèn)CA的設(shè)施及系統(tǒng)，則應(yīng)進(jìn)行風(fēng)險(xiǎn)評(píng)估以確定涉及的安全和特定的控制要求。涉及第三方對(duì)CA設(shè)施及系統(tǒng)進(jìn)行訪問(wèn)的安排應(yīng)基于包含所有必要的安全要求的正式合如果CA將全部或部分信息系統(tǒng)、網(wǎng)絡(luò)和/或桌面環(huán)境的管理和控制外包，則應(yīng)在相關(guān)各方簽署的合同中明確如果CA選擇將CA的部分角色和相應(yīng)功能委托給另一方，則CA應(yīng)最終負(fù)責(zé)外包功能的完成以及CPS規(guī)則具體控制見(jiàn)表8和表9。1應(yīng)識(shí)別所有CA資產(chǎn)的所有者，并且為維護(hù)合適的控制分配責(zé)2應(yīng)維護(hù)CA資產(chǎn)的清單。3CA應(yīng)對(duì)基于業(yè)務(wù)需求和與之相關(guān)的業(yè)務(wù)影響信息進(jìn)行信息分級(jí)，并采取相關(guān)的保護(hù)控制。4應(yīng)定義規(guī)程以確保信息的標(biāo)識(shí)和處理是按照CA的信息分級(jí)方案執(zhí)行的。具體控制見(jiàn)表10和表11。表11人員安全控制規(guī)程1CA應(yīng)聘用擁有與工作內(nèi)容相適應(yīng)的相關(guān)技能、知識(shí)和經(jīng)驗(yàn)的人員。2機(jī)構(gòu)安全策略中所規(guī)定的安全角色和職責(zé)應(yīng)在工作描述中記錄。應(yīng)明確標(biāo)識(shí)CA運(yùn)行3a)CA安全業(yè)務(wù)實(shí)施的全面管理職責(zé)；b)證書(shū)生成、撤銷和掛起的核準(zhǔn)；c)CA系統(tǒng)的安裝、配置和維護(hù)；d)CA系統(tǒng)的日常操作及系統(tǒng)備份和恢復(fù)；e)CA系統(tǒng)歸檔文件和審計(jì)日志的審查和維護(hù)；f)密碼密鑰生命周期管理功能(如，密鑰組件管理者);4CA策略和規(guī)程應(yīng)規(guī)定對(duì)可信角色和非可信角色要求的背景檢查和清除。至少對(duì)永久職員的作申請(qǐng)時(shí)執(zhí)行，并且對(duì)承擔(dān)可信角色的個(gè)人進(jìn)行周期性檢5個(gè)人的可信狀態(tài)應(yīng)在獲得對(duì)系統(tǒng)/設(shè)施的訪問(wèn)或執(zhí)行需要可信狀態(tài)的行為前核6CA的雇員和可信角色應(yīng)簽署一份保密協(xié)議作為雇用的條件。7執(zhí)行可信角色的簽約員工應(yīng)至少受到和雇員一樣的背景檢查及人員管理規(guī)程。8簽約員工和CA之間的合同協(xié)議應(yīng)包括這樣的條款，使臨時(shí)簽約員工明確同意CA對(duì)違a)同簽約員工簽署明確要求；b)要求簽約員工對(duì)故意的有害行為導(dǎo)致的損害進(jìn)行賠償；9應(yīng)有正式的紀(jì)律處理規(guī)程，對(duì)違反組織安全策略和程序的雇員加以處當(dāng)終止雇用時(shí)應(yīng)及時(shí)采取適當(dāng)?shù)男袆?dòng)，使得控制(如，訪問(wèn)控制)不會(huì)被削機(jī)構(gòu)的所有雇員和相關(guān)第三方簽約員工應(yīng)接受機(jī)構(gòu)策略和規(guī)程的適當(dāng)培訓(xùn)。具體控制見(jiàn)表12和表13。表12物理和環(huán)境安全控制目標(biāo)——僅有已授權(quán)的個(gè)人才能對(duì)CA設(shè)施進(jìn)行訪問(wèn)；——保護(hù)CA設(shè)施防止來(lái)自環(huán)境的危險(xiǎn)；——防止資產(chǎn)的丟失、損壞或泄露以及業(yè)務(wù)活動(dòng)的中斷；防止信息和信息處理設(shè)施的泄露；1應(yīng)通過(guò)創(chuàng)建嚴(yán)格的安全邊界(即物理和邏輯屏障)來(lái)提供物理保護(hù)。CA的證書(shū)生產(chǎn)設(shè)備2包括CA證書(shū)生產(chǎn)設(shè)施的建筑或地點(diǎn)的邊界應(yīng)有最少數(shù)量的受控訪問(wèn)點(diǎn)。3應(yīng)設(shè)置有人接待區(qū)域或其他控制物理訪問(wèn)的方法，使得對(duì)CA運(yùn)行所在的建筑或地點(diǎn)的訪問(wèn)僅限于授權(quán)人4應(yīng)設(shè)置物理屏障(如從地板到天花板的堅(jiān)固墻體)以防止對(duì)CA證書(shū)生產(chǎn)設(shè)施的非授權(quán)進(jìn)入或環(huán)境污染。5應(yīng)設(shè)置物理屏障(如電磁屏蔽)以防止對(duì)所有根CA操作(如密鑰生成和CA證書(shū)認(rèn)證)以及證書(shū)策略所規(guī)定內(nèi)容的電磁輻射。6圍繞CA運(yùn)行設(shè)施的安全邊界上的防火門(mén)應(yīng)具有警報(bào)裝置并遵循地方防火規(guī)7應(yīng)安裝并定期檢查入侵檢測(cè)系統(tǒng)，范圍覆蓋放置CA運(yùn)行設(shè)施的建筑的所有外面的門(mén)。8無(wú)人時(shí)，應(yīng)將CA運(yùn)行設(shè)施物理鎖住并設(shè)置報(bào)警裝9所有人員應(yīng)佩戴可見(jiàn)的身份標(biāo)識(shí)。應(yīng)鼓勵(lì)雇員查問(wèn)任何沒(méi)有佩戴可見(jiàn)標(biāo)識(shí)的人應(yīng)通過(guò)使用鑒別控制，限制僅有授權(quán)人員能夠?qū)A運(yùn)行設(shè)施進(jìn)行訪問(wèn)。應(yīng)將所有進(jìn)入和離開(kāi)CA運(yùn)行設(shè)施的人員記入日志(即應(yīng)維護(hù)所有訪問(wèn)的審計(jì)追蹤)。應(yīng)監(jiān)督CA設(shè)施的訪問(wèn)人員，記錄他們進(jìn)入和離開(kāi)的日期和時(shí)應(yīng)限制第三方支持服務(wù)人員對(duì)安全CA設(shè)施的訪問(wèn)，當(dāng)必要訪問(wèn)時(shí)，也應(yīng)對(duì)該訪問(wèn)進(jìn)行授權(quán)并且有人陪同。應(yīng)定期審查并更新CA設(shè)施的所有訪問(wèn)權(quán)。CA應(yīng)維護(hù)一個(gè)設(shè)備清單。應(yīng)確定設(shè)備放置地點(diǎn)并對(duì)設(shè)備進(jìn)行保護(hù)，以減少環(huán)境威脅和災(zāi)害，以及減少非授權(quán)訪問(wèn)的機(jī)表13物理和環(huán)境安全控制規(guī)程(續(xù))設(shè)備應(yīng)受到保護(hù)以有效應(yīng)對(duì)停電或其他電力異常情應(yīng)保護(hù)CA服務(wù)的電力電纜和通信電纜不受到偵聽(tīng)或破應(yīng)根據(jù)制造商說(shuō)明書(shū)和/或其他文檔化的規(guī)程維護(hù)設(shè)備，確保其連續(xù)可用性和完整性。應(yīng)檢查包含存儲(chǔ)介質(zhì)(固定和可移動(dòng)的磁盤(pán))設(shè)備的所有項(xiàng)目，確保在銷毀前不再包含敏據(jù)的存儲(chǔ)介質(zhì)應(yīng)被物理銷毀或在重新使用前進(jìn)行安全重寫(xiě)。通用控制敏感或關(guān)鍵業(yè)務(wù)信息應(yīng)在不需要或CA設(shè)施不再使用時(shí)被鎖起。規(guī)程應(yīng)要求屬于機(jī)構(gòu)的設(shè)備、信息和軟件不能未經(jīng)授權(quán)就被帶離所在位置。對(duì)密碼模塊的物理訪問(wèn)應(yīng)限于雙重控制下的授權(quán)實(shí)具體控制見(jiàn)表14和表15?！狢A信息處理設(shè)施的正確和安全運(yùn)行；——CA系統(tǒng)失效的風(fēng)險(xiǎn)最小化；——CA系統(tǒng)和信息的完整性受到保護(hù)，防止病毒和惡意軟件；——通過(guò)使用事件報(bào)告和響應(yīng)規(guī)程將安全事件和故障的損失最小化；1對(duì)于每個(gè)功能區(qū)，應(yīng)將CA運(yùn)行程序通過(guò)文件記錄并維護(hù)。2應(yīng)有正式的管理責(zé)任和規(guī)程來(lái)控制CA設(shè)備、軟件和運(yùn)行規(guī)程的所有變更。3責(zé)任和責(zé)任范圍應(yīng)被分開(kāi)，以減少非授權(quán)修改、信息或服務(wù)誤表15運(yùn)行管理控制規(guī)程(續(xù))4開(kāi)發(fā)和測(cè)試設(shè)施應(yīng)與運(yùn)行設(shè)施分開(kāi)。5應(yīng)監(jiān)視容量需求并預(yù)測(cè)未來(lái)的容量要求，以確保有充足的處理能力和存儲(chǔ)6應(yīng)建立新信息系統(tǒng)、升級(jí)系統(tǒng)或新版本系統(tǒng)的接受標(biāo)準(zhǔn)，并在接受前執(zhí)行適當(dāng)?shù)南到y(tǒng)測(cè)防止病毒和惡意軟件7應(yīng)實(shí)施防止病毒和惡意軟件的檢測(cè)和防護(hù)控制。應(yīng)有適當(dāng)?shù)某绦蚴构蛦T知曉控制措施。8應(yīng)有正式的安全事件報(bào)告規(guī)程，在接收到事件報(bào)告時(shí)啟動(dòng)應(yīng)采取的行動(dòng)。這包括分配程。任何事件都應(yīng)作為緊急問(wèn)題報(bào)告給責(zé)任管理者。9被授予可信角色的CA系統(tǒng)用戶應(yīng)記錄并報(bào)告觀察到的或懷疑的在系統(tǒng)或服務(wù)中的安全對(duì)安全事件的適當(dāng)響應(yīng)。應(yīng)建立并遵循硬件和軟件故障報(bào)告規(guī)程。應(yīng)建立并遵循相應(yīng)規(guī)程，報(bào)告錯(cuò)誤，并采取正確的行動(dòng)。應(yīng)建立并遵循規(guī)范的問(wèn)題管理程序，以記錄、量化并監(jiān)視事件和故障的類型、數(shù)量和影可移動(dòng)的計(jì)算機(jī)介質(zhì)的管理規(guī)程應(yīng)要求：a)如果不再需要，應(yīng)有效擦除任何準(zhǔn)備移走的可重用介質(zhì)中原有數(shù)據(jù)內(nèi)容，或者將該介質(zhì)銷毀；b)從機(jī)構(gòu)內(nèi)移走的所有介質(zhì)需要得到授權(quán)，并且保存所有移動(dòng)的記錄以維持審計(jì)追蹤；c)所有介質(zhì)應(yīng)根據(jù)制造商的規(guī)定在安全的環(huán)境中存儲(chǔ)和放包含存儲(chǔ)介質(zhì)的設(shè)備(即固定硬盤(pán))應(yīng)受到檢查，以確定在銷毀或重用前是否包含敏感數(shù)據(jù)。包含敏感信息的存儲(chǔ)設(shè)備應(yīng)在銷毀或重用前被物理銷毀或安全地重應(yīng)建立并遵循信息處理和存儲(chǔ)規(guī)程以防止該信息非授權(quán)暴露或誤應(yīng)保護(hù)系統(tǒng)文件，防止非授權(quán)訪問(wèn)。具體控制見(jiàn)表16和表17?！獌H限于已授權(quán)的擁有預(yù)定任務(wù)權(quán)限的人員對(duì)運(yùn)行系統(tǒng)進(jìn)行訪問(wèn)；——僅限于已授權(quán)的個(gè)人、應(yīng)用和服務(wù)對(duì)CA系統(tǒng)所處網(wǎng)段進(jìn)行訪問(wèn)；1應(yīng)在訪問(wèn)控制策略中定義并以文件形式明確訪問(wèn)控制的業(yè)務(wù)要求a)角色和相應(yīng)的訪問(wèn)許可；b)每一用戶的認(rèn)證與鑒別過(guò)程；c)責(zé)任分離；d)執(zhí)行特定CA操作所要求的人員的數(shù)量(即n分之m規(guī)則。其中，m表示2應(yīng)有正式的可信角色用戶注冊(cè)和注銷程序，以允許訪問(wèn)CA信345網(wǎng)絡(luò)訪問(wèn)控制6CA雇員應(yīng)只對(duì)明確授權(quán)其使用的服務(wù)進(jìn)行直接訪問(wèn)。用戶終端到計(jì)算機(jī)服務(wù)的路徑應(yīng)受到控制7如果允許CA雇員或外部系統(tǒng)對(duì)CA系統(tǒng)的遠(yuǎn)程訪問(wèn)，則應(yīng)要求進(jìn)8CA雇員或CA系統(tǒng)和遠(yuǎn)程計(jì)算機(jī)系統(tǒng)的連接應(yīng)9應(yīng)具有有效控制(如防火墻)以保護(hù)CA的內(nèi)部網(wǎng)絡(luò)區(qū)域，防止來(lái)自其他區(qū)域的任何根據(jù)CA的訪問(wèn)控制策略，應(yīng)具備有效控制來(lái)限制授權(quán)用戶可用的網(wǎng)絡(luò)服務(wù)(如HTTP、FT用的所有網(wǎng)絡(luò)服務(wù)的安全屬性應(yīng)由CA以文應(yīng)具有路由控制以確保計(jì)算機(jī)連接和信息流不違反CA的CA應(yīng)確保本地網(wǎng)絡(luò)組件(如防火墻和路由器)處于物理安全的環(huán)境中，并周期性地審計(jì)它們置要求的一致性。操作系統(tǒng)訪問(wèn)控制操作系統(tǒng)應(yīng)根據(jù)CA的操作系統(tǒng)配置標(biāo)準(zhǔn)進(jìn)行配置并操作系統(tǒng)補(bǔ)丁和升級(jí)程序應(yīng)基于風(fēng)險(xiǎn)評(píng)估在的確需要系統(tǒng)升級(jí)應(yīng)使用自動(dòng)終端認(rèn)證來(lái)鑒別到特定地點(diǎn)和便攜組賬戶的地方應(yīng)實(shí)施其他監(jiān)控措施來(lái)維持個(gè)人行為與表17系統(tǒng)訪問(wèn)管理控制規(guī)程(續(xù))操作系統(tǒng)訪問(wèn)控制服務(wù)于CA系統(tǒng)的非活動(dòng)終端應(yīng)在使用前重新鑒對(duì)高風(fēng)險(xiǎn)的應(yīng)用宜使用連接時(shí)間限制，以提供額外的安全應(yīng)防止敏感的操作系統(tǒng)數(shù)據(jù)泄露給非授權(quán)用戶。應(yīng)用訪問(wèn)控制信息和應(yīng)用系統(tǒng)功能的訪問(wèn)應(yīng)根據(jù)CA的訪同控制策略進(jìn)行限CA人員使用與證書(shū)管理相關(guān)的關(guān)鍵應(yīng)用前應(yīng)被成功識(shí)別和鑒別。敏感系統(tǒng)(如根CA)應(yīng)要求專門(mén)的(隔離的)計(jì)算環(huán)境。具體控制見(jiàn)表18和表19。1新系統(tǒng)和系統(tǒng)升級(jí)的業(yè)務(wù)要求中應(yīng)明確規(guī)定控制要求。2對(duì)于操作系統(tǒng)上的軟件實(shí)施，包括預(yù)定的軟件發(fā)布、修改和緊急軟件修復(fù)，應(yīng)建立和遵規(guī)程。3應(yīng)建立和遵循硬件、網(wǎng)絡(luò)組件和系統(tǒng)配置變更規(guī)45操作系統(tǒng)發(fā)生變更時(shí)應(yīng)對(duì)系統(tǒng)進(jìn)行審查和測(cè)6宜限制對(duì)軟件包的修改，應(yīng)嚴(yán)格控制所有變更。7應(yīng)控制和檢查軟件的購(gòu)買(mǎi)、使用和修改，防止可能的隱蔽通道或惡意代碼。這些應(yīng)包括些控制同樣應(yīng)用于外包軟件開(kāi)發(fā)。應(yīng)遵照GB/T18336.1、GB/T18336.2、GB/T18336具體控制見(jiàn)表20和表21?！狢A災(zāi)難恢復(fù)計(jì)劃的開(kāi)發(fā)和測(cè)試；——在備用地點(diǎn)存儲(chǔ)系統(tǒng)、數(shù)據(jù)和配置信息的備份；——保證用于恢復(fù)的備用地點(diǎn)、設(shè)備和連接的可用性；1CA應(yīng)有開(kāi)發(fā)和維護(hù)其業(yè)務(wù)持續(xù)性計(jì)劃的管理過(guò)程。CA應(yīng)有基于適當(dāng)風(fēng)險(xiǎn)評(píng)估的業(yè)務(wù)持續(xù)性計(jì)劃策2CA應(yīng)有在關(guān)鍵CA過(guò)程中斷或失效后及時(shí)維護(hù)或恢復(fù)CA運(yùn)行的業(yè)務(wù)持續(xù)性計(jì)劃。CA的業(yè)明確：b)應(yīng)急規(guī)程；c)撤退規(guī)程；d)恢復(fù)規(guī)程；e)計(jì)劃的維護(hù)方案；f)意識(shí)和教育要求；g)個(gè)人職責(zé)；h)恢復(fù)時(shí)間目標(biāo)(RTO);i)業(yè)務(wù)持續(xù)性計(jì)劃的定期測(cè)試。3CA業(yè)務(wù)持續(xù)性計(jì)劃應(yīng)包括一個(gè)或多個(gè)組件失效時(shí)CA所有關(guān)鍵組件的災(zāi)難恢復(fù)過(guò)程，包括a)用于存儲(chǔ)CA私鑰備份的密碼設(shè)備應(yīng)安全保存在異地，以在主CA設(shè)施災(zāi)難事件時(shí)得到恢復(fù)；b)使用并管理災(zāi)難恢復(fù)密碼設(shè)備所需的必要子密鑰和密鑰組件也應(yīng)在異地保4應(yīng)定期進(jìn)行基本業(yè)務(wù)信息的備份。這些備份的安全要求應(yīng)與信息備份控制要求保持一致。5CA應(yīng)確定并安排備用地點(diǎn)，在CA主地點(diǎn)發(fā)生災(zāi)難事件時(shí)，核心的PKI操作可恢復(fù)。撤退設(shè)放置在安全距離外，避免來(lái)自主地點(diǎn)災(zāi)難的破壞。6不管是在本地還是遠(yuǎn)程，當(dāng)災(zāi)難發(fā)生并且安全環(huán)境沒(méi)有恢復(fù)期間，CA業(yè)務(wù)持續(xù)性計(jì)劃應(yīng)包括這段時(shí)間內(nèi)保護(hù)設(shè)施安全的規(guī)程。7CA業(yè)務(wù)持續(xù)性計(jì)劃應(yīng)明確如果計(jì)算資源、軟件和/或數(shù)據(jù)被破壞或被懷疑受到破壞時(shí)使用的恢復(fù)規(guī)8業(yè)務(wù)持續(xù)性計(jì)劃應(yīng)定期進(jìn)行測(cè)試以確保是最新的和有效的。9業(yè)務(wù)持續(xù)性計(jì)劃應(yīng)通過(guò)定期審查和更新進(jìn)行維護(hù)以確保持續(xù)有效性。具體控制見(jiàn)表22和表23?！狢A的運(yùn)行及服務(wù)符合相關(guān)法律、制度和合同要求；——CA的運(yùn)行及服務(wù)與CA安全策略和規(guī)程的一致性；1CA應(yīng)有實(shí)施規(guī)程以確保遵守使用知識(shí)產(chǎn)權(quán)和專有軟件產(chǎn)品的法律規(guī)2應(yīng)有控制來(lái)確保對(duì)密碼硬件與軟件的訪問(wèn)或使用符合國(guó)家法律、法規(guī)或其他規(guī)34a)應(yīng)由CA或RA保密的信息；b)不認(rèn)為是機(jī)密的信息；c)向法律強(qiáng)制機(jī)構(gòu)發(fā)布信息的策略；d)可以作為當(dāng)事人證據(jù)收集被披露的信息；e)信息在主體同意情況下可被披露的條件；f)機(jī)密信息可被披露的其他情況。5保護(hù)CA的重要記錄，防止丟失、破壞和偽造篡改。6管理者宜負(fù)責(zé)確保他們職責(zé)范圍內(nèi)的安全規(guī)程正確執(zhí)行。表23監(jiān)視和遵守控制規(guī)程(續(xù))7CA的運(yùn)行應(yīng)受到定期審查以確保與CPS一致。8應(yīng)周期性檢查CA系統(tǒng)與安全實(shí)施標(biāo)準(zhǔn)的一致性。監(jiān)視系統(tǒng)訪問(wèn)和使用9應(yīng)建立監(jiān)視CA系統(tǒng)使用的規(guī)程，監(jiān)視活動(dòng)的結(jié)果應(yīng)定期審查。應(yīng)實(shí)施報(bào)警機(jī)制檢測(cè)非授權(quán)訪具體控制見(jiàn)表24和表25?！獪?zhǔn)確適當(dāng)?shù)赜涗汣A環(huán)境、密鑰管理和證書(shū)管理事件；——當(dāng)前和歸檔的審計(jì)日志的機(jī)密性和完整性得到維護(hù)；-——根據(jù)業(yè)務(wù)揭示說(shuō)明將審計(jì)日志完整地機(jī)密地歸檔；審計(jì)日志1CA應(yīng)按照法律和證書(shū)策略的要求生成自動(dòng)的(電子的)和手工的審計(jì)日志。2所有日志條目應(yīng)包括：a)條目的日期和時(shí)間；b)條目的序列號(hào)或順序號(hào)(對(duì)于自動(dòng)日志條目);c)條目種類；d)條目來(lái)源(如終端、端口、地點(diǎn)、客戶等);表25審計(jì)日志控制規(guī)程(續(xù))3CA應(yīng)記錄以下CA和主體密鑰生命周期管理a)CA密鑰生成；b)手工密鑰的安裝及結(jié)果(連同操作者的身份);c)CA密鑰備份；d)CA密鑰存儲(chǔ)；e)CA密鑰恢復(fù)；f)CA密鑰托管活動(dòng)(如果有);g)CA密鑰使用；h)CA密鑰歸檔；i)密鑰要素從服務(wù)中撤銷；j)CA密鑰銷毀；k)授權(quán)一個(gè)密鑰管理操作的實(shí)體的身份；1)處理密鑰要素(如存儲(chǔ)在便攜設(shè)備或介質(zhì)內(nèi)的密鑰組件或密鑰)的實(shí)體的身份m)密鑰，設(shè)備或保存密鑰的介質(zhì)的保管；4a)設(shè)備接收和安裝；b)放置或移除儲(chǔ)存器中的設(shè)備；c)設(shè)備激活和使用；d)設(shè)備解除安裝；e)指定對(duì)設(shè)備的服務(wù)和修理；5如果CA提供主體密鑰管理服務(wù)，CA應(yīng)記錄以下主體密鑰生命周期管a)密鑰生成；b)密鑰分發(fā)(如果可用);c)密鑰備份(如果可用);d)密鑰托管(如果可用);e)密鑰存儲(chǔ)；f)密鑰恢復(fù)(如果可用);g)密鑰歸檔(如果可用);h)密鑰銷毀；i)授權(quán)一項(xiàng)密鑰管理操作的實(shí)體的身份；表25審計(jì)日志控制規(guī)程(續(xù))6CA應(yīng)記錄(或要求RA記錄)以下證書(shū)應(yīng)用信息：a)采用的身份認(rèn)證方法和用于符合“了解你的用戶”的要求的信息；b)惟一身份鑒別數(shù)據(jù)記錄、號(hào)碼或組合的記錄，如申請(qǐng)者駕照號(hào)碼(如果可用);c)申請(qǐng)和認(rèn)證文件副本的存儲(chǔ)地點(diǎn)；d)接受申請(qǐng)的實(shí)體的身份；e)用于驗(yàn)證認(rèn)證文件的方法；f)接收申請(qǐng)的CA或提交申請(qǐng)的RA的名稱(如果可用);g)主體用戶協(xié)議的接受；h)按照個(gè)人隱私的相關(guān)法律要求，用戶同意CA保存包含用戶個(gè)人數(shù)據(jù)的記錄，同意將該信息三方并發(fā)布證書(shū)。7CA應(yīng)記錄以下證書(shū)生命周期管理相關(guān)的事件：a)收到證書(shū)請(qǐng)求——包括初始證書(shū)請(qǐng)求、更新證書(shū)請(qǐng)求和更新密鑰請(qǐng)求；b)提交用于認(rèn)證的公鑰；c)實(shí)體從屬關(guān)系的變更；d)證書(shū)生成；e)CA公鑰的分發(fā)；f)證書(shū)撤銷請(qǐng)求；g)證書(shū)撤銷；h)證書(shū)掛起請(qǐng)求(如果可用);i)證書(shū)掛起和取消掛起；8CA應(yīng)記錄以下安全敏感事件：a)包括審計(jì)日志本身的安全敏感文件或記錄的讀寫(xiě)；b)對(duì)安全敏感數(shù)據(jù)采取的行動(dòng)；c)安全配置文件的更改；d)認(rèn)證與鑒別機(jī)制的使用，不論成功還是不成功(包括多次失敗的鑒別嘗試);e)安全敏感的非金融交易(如賬戶或名稱/地址變更等);f)系統(tǒng)崩潰、硬件失效或其他異常；g)可信角色、計(jì)算機(jī)操作員、系統(tǒng)管理員和系統(tǒng)安全員個(gè)人所采取的行動(dòng)；h)實(shí)體從屬關(guān)系的變更；i)不進(jìn)行加密/鑒別過(guò)程或規(guī)程的決定；j)訪問(wèn)CA系統(tǒng)或其中的任何組件。9審計(jì)日志不應(yīng)以任何形式(如明文或加密的形式)記錄私CA計(jì)算機(jī)系統(tǒng)時(shí)鐘應(yīng)按照CP或CPS中規(guī)定的可接受時(shí)間源進(jìn)行同步，以準(zhǔn)確進(jìn)行記錄。表25審計(jì)日志控制規(guī)程(續(xù))審計(jì)日志保護(hù)當(dāng)前和歸檔的審計(jì)日志應(yīng)以防止修改或非授權(quán)銷毀的形式進(jìn)行維護(hù)。在可能或要求滿足法律要求的情況下應(yīng)使用數(shù)字簽名保護(hù)審計(jì)日志的完整用于對(duì)審計(jì)日志簽名的私鑰不應(yīng)用于其他目的。用于對(duì)稱MAC機(jī)制中使用的對(duì)稱密鑰同樣不應(yīng)用于其他目的。審計(jì)日志歸檔CA應(yīng)定期歸檔審計(jì)日志數(shù)據(jù)。除了可能的相關(guān)規(guī)則的規(guī)定，應(yīng)執(zhí)行風(fēng)險(xiǎn)評(píng)估確定保持歸檔審計(jì)日志的適當(dāng)時(shí)間長(zhǎng)審計(jì)日志的審查當(dāng)前和歸檔的審計(jì)日志應(yīng)只能被授權(quán)人員以合理的業(yè)務(wù)原因或安全原因獲審計(jì)日志應(yīng)根據(jù)CPS中建立的業(yè)務(wù)規(guī)則進(jìn)行審當(dāng)前或歸檔的審計(jì)日志的審查應(yīng)包括驗(yàn)證審計(jì)日志的完整性，以及異常、非授權(quán)或可疑活動(dòng)的鑒別及其后續(xù)事件的追蹤。要求分析的情況和可能行為的示例包括系統(tǒng)資源的異常飽和、數(shù)量的突然變化和意外的增加以及在異常時(shí)間或來(lái)自異常地點(diǎn)的訪問(wèn)。具體控制見(jiàn)表26和表27。表26CA密鑰生成控制目標(biāo)表27CA密鑰生成控制目標(biāo)1CA密鑰生成應(yīng)根據(jù)規(guī)定了執(zhí)行步驟和參與者責(zé)任的詳細(xì)的CA密鑰生成過(guò)程腳本來(lái)執(zhí)行。序腳本應(yīng)包括：a)角色和責(zé)任的定義；b)執(zhí)行密鑰生成過(guò)程的核準(zhǔn)；c)密鑰生成過(guò)程需要的密碼硬件和激活材料；d)規(guī)定密鑰生成過(guò)程期間執(zhí)行的步驟；e)密鑰生成后密碼硬件和激活材料安全存儲(chǔ)的規(guī)程；f)參與者和見(jiàn)證人簽署指明密鑰是否根據(jù)詳細(xì)密鑰生成過(guò)程腳本生成；g)任何密鑰生成過(guò)程腳本執(zhí)行及執(zhí)行結(jié)果異常現(xiàn)象的注2CA密鑰的生成應(yīng)在按照ISO/IEC19790、ISO13491-1和CPS業(yè)務(wù)要求的密碼模塊執(zhí)行。這使用ISO/IEC18032規(guī)定的隨機(jī)數(shù)生成器(PNG)或偽隨機(jī)數(shù)生成器(PRNG)進(jìn)行密鑰生成。3CA密鑰的生成應(yīng)在物理安全環(huán)境中(見(jiàn)7.2.5)由被授予可信角色的人員在多重控制和知識(shí)分附錄D)進(jìn)行。4CA應(yīng)在使用密鑰對(duì)的同一密碼設(shè)備內(nèi)生成密鑰對(duì)，或者直接從生成它的設(shè)備注入到使用它的設(shè)備當(dāng)5CA所生成的密鑰應(yīng)：a)適合預(yù)定的應(yīng)用或目的，并且與識(shí)別的風(fēng)險(xiǎn)相適應(yīng)；b)使用ISO/IEC18033-1、ISO/IEC18033-2、ISO/IEC18033-3、ISO/IEC18033c)具有與密碼算法和CA證書(shū)有效期相適應(yīng)的密鑰長(zhǎng)度；d)同時(shí)考慮上級(jí)CA和它的從屬CA密鑰長(zhǎng)度的要求；6CA密鑰的生成應(yīng)產(chǎn)生符合CP的密鑰長(zhǎng)度。經(jīng)CA認(rèn)證的公鑰長(zhǎng)度應(yīng)小于或等于CA簽名私鑰的長(zhǎng)7用于密鑰生成的軟硬件的完整性和與這些軟硬件的接口應(yīng)在生產(chǎn)使用前進(jìn)行測(cè)具體控制見(jiàn)表28和表29?！狢A私鑰保持機(jī)密性和完整性；1CA的(簽名和機(jī)密性)私鑰應(yīng)在安全密碼設(shè)備內(nèi)存儲(chǔ)和使用，這些設(shè)備應(yīng)基于風(fēng)險(xiǎn)評(píng)估和C合GB/T18336.1、GB/T18336.2、GB/T18336..3保護(hù)框架或ISO19790保護(hù)配置文件的CPS和適用的證書(shū)策略一致。2如果CA的私鑰沒(méi)有從安全密碼模塊中導(dǎo)出，則CA私鑰應(yīng)在同一個(gè)密碼模塊內(nèi)生成、存儲(chǔ)和使用。3如果CA的私鑰從安全密碼模塊導(dǎo)出到安全存儲(chǔ)，用于離線處理或備份和恢復(fù)的目的，則它們應(yīng)在一個(gè)安全密鑰管理方案內(nèi)被導(dǎo)出，該方案可包括：a)密文使用的密鑰被適當(dāng)保護(hù)；b)加密的密鑰片斷使用多重控制和分割知識(shí)/所有權(quán)；c)使用另一個(gè)安全密碼模塊，如使用多重控制的密鑰傳輸設(shè)備。4如果備份CA的私鑰，則它們應(yīng)由被授予可信角色的授權(quán)人員，在物理安全環(huán)境中使儲(chǔ)和恢復(fù)。授權(quán)執(zhí)行該功能的人員的數(shù)量應(yīng)保持最5如果備份CA的私鑰，則CA私鑰的備份應(yīng)受到與當(dāng)前使用的密鑰相同或更高級(jí)別的復(fù)應(yīng)以與備份過(guò)程相同安全的方式執(zhí)行。6維修.就應(yīng)執(zhí)行驗(yàn)收測(cè)試和固件設(shè)置驗(yàn)證。7為防止篡改，CA密碼硬件應(yīng)在安全地點(diǎn)存儲(chǔ)和使用，并將訪問(wèn)限制于授權(quán)人員。CA密碼硬件具有以下特征：a)詳細(xì)清單控制過(guò)程和程序管理每一設(shè)備的來(lái)源、到達(dá)、狀況、出發(fā)和目的地；b)訪問(wèn)控制過(guò)程和程序限制授權(quán)人員的物理訪問(wèn)；c)在審計(jì)日志內(nèi)記錄所有對(duì)CA設(shè)施和設(shè)備存儲(chǔ)機(jī)制(如保險(xiǎn)箱)成功或失敗的訪問(wèn)：d)具有事件處理過(guò)程和程序來(lái)處理異常事件、違反安全事件、調(diào)查和報(bào)告；e)具備審計(jì)過(guò)程和程序以驗(yàn)證控制的有效性。8未連接到CA系統(tǒng)時(shí)，CA密碼硬件應(yīng)保存在防纂改的容器內(nèi)，容器在多重控制下安全地保存(如保險(xiǎn)箱9CA密碼硬件的處理，包括以下任務(wù)，應(yīng)在不少于兩個(gè)可信雇員在場(chǎng)的情況下執(zhí)a)安裝CA密碼硬件；b)從生產(chǎn)系統(tǒng)中移走CA密碼硬件；c)CA密碼硬件的服務(wù)或修理(包括新硬件、固件或軟件的安裝);用于私鑰存儲(chǔ)和恢復(fù)的設(shè)備以及與這些設(shè)備的接口應(yīng)在使用前對(duì)完整性(如遵循制造商的說(shuō)明)進(jìn)行測(cè)試。具體控制見(jiàn)表30和表31。1CA應(yīng)提供驗(yàn)證CA公鑰可鑒別性和完整性的機(jī)制。對(duì)于根CA公鑰分發(fā)過(guò)程(如使用自簽名的證書(shū)),應(yīng)使用帶外通知機(jī)制。在自簽名證書(shū)被用于任何CA的地方，CA應(yīng)提供驗(yàn)證自簽名證書(shū)可鑒別性的機(jī)制(如證書(shū)指紋的發(fā)布)。對(duì)隨后的和/或下級(jí)的CA公鑰，這些應(yīng)通過(guò)使用證書(shū)鏈方法或類似過(guò)程鏈接到可信根證書(shū)的根證書(shū)，可要求帶外過(guò)程。表31CA公鑰分發(fā)控制規(guī)程(續(xù))2CA公鑰的初始分發(fā)機(jī)制應(yīng)按照CA的CPS中明確的方式進(jìn)行控制。CA公鑰應(yīng)在證書(shū)內(nèi)使按照CA的CPS進(jìn)行初始分發(fā)：a)來(lái)自己進(jìn)行源鑒別的機(jī)器易讀的介質(zhì)(如智能卡、CDROM);b)嵌入在實(shí)體的密碼模塊內(nèi)；3CA公鑰應(yīng)根據(jù)CPS的要求周期性變更(密鑰更新)。應(yīng)提前通知以避免CA服務(wù)的中斷。4CA公鑰隨后的分發(fā)機(jī)制應(yīng)按照CA的CPS中明確的方法進(jìn)行控制。5如果實(shí)體已經(jīng)有CA公鑰的已鑒別副本，新的CA公鑰應(yīng)使用以下方法之一按照CA的CPS進(jìn)行分a)從CA直接進(jìn)行電子傳輸；b)放入遠(yuǎn)程緩存或目錄；具體控制見(jiàn)表32和表33。1CA簽名私鑰的激活應(yīng)使用多方控制執(zhí)行(如n分之m),m使用的最小值推薦為3。2基于風(fēng)險(xiǎn)評(píng)估，如果必要，CA私鑰的激活宜使用多因素鑒別進(jìn)行(如智能卡和口令、生物鑒別和口令等3用于生成證書(shū)和/或簽發(fā)撤銷狀態(tài)信息的CA簽名私鑰不應(yīng)用于其他目4CA的私鑰應(yīng)只在物理安全前提內(nèi)使用(見(jiàn)7.2.5)。5CA應(yīng)在定義的密鑰對(duì)的運(yùn)行生命期結(jié)束時(shí)或者已知或懷疑私鑰泄露時(shí)停止使用該密鑰對(duì)。6CA密碼硬件的正確處理宜周期性地得到驗(yàn)7PA宜要求對(duì)密鑰長(zhǎng)度每年進(jìn)行評(píng)審，以確定適當(dāng)?shù)拿荑€使用期并作出建議。表34CA密鑰歸檔和銷毀控制目標(biāo)—?dú)w檔的CA密鑰在重新導(dǎo)入生產(chǎn)系統(tǒng)后仍然保持機(jī)密性和安全性；表35CA密鑰歸檔和銷毀控制規(guī)程1歸檔的CA密鑰應(yīng)受到與當(dāng)前使用的密鑰相同或更高級(jí)別的安全控制。2CA的私鑰應(yīng)直到其業(yè)務(wù)目的或應(yīng)用已經(jīng)終止或者法律責(zé)任已經(jīng)期滿時(shí)才能被銷毀。3歸檔的密鑰只有在安全事件導(dǎo)致生產(chǎn)密鑰丟失或歷史證據(jù)要求驗(yàn)證時(shí)才能重新放回到生產(chǎn)當(dāng)中。應(yīng)要求控制過(guò)程確保CA系統(tǒng)和密鑰集的完整性。4歸檔的密鑰應(yīng)在最短的可能時(shí)間期內(nèi)恢復(fù)以符合業(yè)務(wù)要5授權(quán)銷毀CA私鑰以及如何銷毀CA私鑰(如交出令牌、銷毀令牌或密鑰重寫(xiě))應(yīng)根據(jù)CA的CPS進(jìn)行限制。6CA私鑰的所有副本和分段應(yīng)以私鑰無(wú)法被重新得到的方式被銷毀。7如果CA密碼設(shè)備正從服務(wù)中永久移除，則設(shè)備內(nèi)包含的用于任何密碼目的的密鑰應(yīng)從設(shè)備內(nèi)擦除。具體控制見(jiàn)表36和表37。表37CA密鑰泄漏控制規(guī)程1CA的業(yè)務(wù)連續(xù)性計(jì)劃中應(yīng)將CA私鑰的泄露或懷疑泄露作2表37CA密鑰泄漏控制規(guī)程(續(xù))3如果CA私鑰泄露，則使用的恢復(fù)程序應(yīng)包a)如何保護(hù)生產(chǎn)環(huán)境中的密鑰使用被重新建立；b)CA的舊公鑰如何撤銷；c)對(duì)受影響方(如受影響的CA、資料庫(kù)、用戶和CVSP)的通知程序；d)CA的新公鑰如何連同鑒別機(jī)制一起提供給終端實(shí)體及信任方；4CA不得不更換其根CA私鑰時(shí)，應(yīng)具備程序?qū)⒁韵聝?nèi)容安全地并經(jīng)過(guò)a)舊的CA根公鑰；b)基于泄露私鑰的根CA或任何CA簽發(fā)的所有證書(shū)集(包括自簽名的證書(shū));567.4.1CA提供的主體密鑰生成服務(wù)(如果支持)具體控制見(jiàn)表38和表39。表38CA提供的主體密鑰生成服務(wù)控制目標(biāo)——CA(或RA或其他授權(quán)第三方)根據(jù)CP生成的主體密鑰；表39CA提供的主體密鑰生成服務(wù)控制規(guī)程1由CA(或RA或其他授權(quán)第三方)執(zhí)行的主體密鑰生成應(yīng)在安全密碼設(shè)備內(nèi)發(fā)生，符合基于風(fēng)險(xiǎn)評(píng)估的適當(dāng)?shù)腎SO/IEC19790一級(jí)安全要求以及CA的業(yè)務(wù)要求，并符合適用的CP。這樣的密碼設(shè)備應(yīng)使用ISO/IEC18032規(guī)定的隨機(jī)數(shù)生成器或偽隨機(jī)數(shù)牛成器(PRNG)執(zhí)行主體密鑰的生2由CA(或RA或其他授權(quán)第三方)執(zhí)行的主體密鑰生成應(yīng)使用CP中規(guī)定的3由CA(或RA或其他授權(quán)第三方)執(zhí)行的主體密鑰生成應(yīng)按照CP產(chǎn)生具有適當(dāng)密鑰CA(或RA或其他授權(quán)第三方)提供的主體密鑰生成4由CA(或RA或其他授權(quán)第三方)執(zhí)行的主體密鑰生成應(yīng)由授權(quán)人員啟動(dòng)的過(guò)程根據(jù)該CA的CPS來(lái)執(zhí)行5當(dāng)CA(或RA或其他授權(quán)第三方)執(zhí)行主體密鑰生成時(shí)，CA(或R或其他授權(quán)第三方)生成的主體密鑰對(duì)根據(jù)CP傳送給主體。6具體控制見(jiàn)表40和表41?！蒀A存儲(chǔ)的主體私鑰保持機(jī)密性和完整性；——由CA歸檔的主體私鑰保持機(jī)密性；——由CA存儲(chǔ)的主體私鑰在密鑰對(duì)生命周期結(jié)束時(shí)被完全銷毀；1由CA(或密鑰存儲(chǔ)的信任服務(wù)提供者)存儲(chǔ)的主體私鑰應(yīng)使用基于風(fēng)險(xiǎn)評(píng)估和CP要求的密碼算法和密鑰長(zhǎng)2如果CA為用戶生成密鑰對(duì)，則CA(或密鑰存儲(chǔ)的信任服務(wù)提供者)應(yīng)確保主體的私外的任何實(shí)體。3如果CA(或密鑰存儲(chǔ)的信任服務(wù)提供者)生成簽名公/私密鑰對(duì)，則一旦主體確認(rèn)收到密應(yīng)保留任何簽名私鑰的副本。4如果CA(或密鑰存儲(chǔ)的信任服務(wù)提供者)提供主體(機(jī)密性)密鑰存儲(chǔ)備份和恢復(fù)，或主體(機(jī)密性)私有密鑰備份和恢復(fù)，則這些服務(wù)只應(yīng)由授權(quán)的人員執(zhí)5如果CA(或密鑰存儲(chǔ)的信任服務(wù)提供者)提供主體密鑰存儲(chǔ)、備份和恢復(fù)，則應(yīng)有控制來(lái)確保主體(機(jī)密性)私有密鑰的完整性在生命周期內(nèi)得到保證。表41CA提供的主體密鑰存儲(chǔ)和恢復(fù)服務(wù)控制規(guī)程(續(xù))6由CA歸檔的主體(機(jī)密性)私有密鑰應(yīng)使用基于風(fēng)險(xiǎn)評(píng)估和CP要求的密碼算法和密鑰長(zhǎng)度以加密形式7如果CA提供主體(機(jī)密性)密鑰歸檔，則所有歸檔的用戶密鑰應(yīng)在歸檔期8如果CA提供主體(機(jī)密性)密鑰存儲(chǔ)，則授權(quán)銷毀主體私鑰9如果CA提供主體(機(jī)密性)密鑰存儲(chǔ)，則主體私鑰的所有副本和分段應(yīng)在密鑰對(duì)生命周期結(jié)由CA保管的用于法律強(qiáng)制訪問(wèn)目的的主體(機(jī)密性)私有密鑰使用基于風(fēng)險(xiǎn)評(píng)估和CP要求的密碼算法和密7.4.3集成電路卡(IC卡)生命周期管理(如果支持)具體控制見(jiàn)表42和表43。——IC卡的獲得、準(zhǔn)備和個(gè)性化由CA(或RA或發(fā)卡方)安全地控制；——IC卡的使用在IC卡簽發(fā)前由CA(或RA或發(fā)卡方)激活；——IC卡由CA(或RA或發(fā)卡方)安全地存儲(chǔ)和分發(fā)；——IC.卡由CA(或RA或發(fā)卡方)安全地更換；IC卡的獲得1如果CA或RA約定了發(fā)卡方的服務(wù)，則相關(guān)各方間應(yīng)存在正式協(xié)議。當(dāng)發(fā)卡功能委2IC卡在卡制造商和發(fā)卡方之間傳輸時(shí)應(yīng)通過(guò)使用傳輸密鑰或通行字進(jìn)行邏輯保護(hù)。IC卡的獲得3頒發(fā)給主體的IC卡應(yīng)基于風(fēng)險(xiǎn)評(píng)估和CP的要求，符合適當(dāng)?shù)腉B/T18336保護(hù)配置文件、ISO卡標(biāo)準(zhǔn)(如4發(fā)卡方應(yīng)根據(jù)來(lái)自卡制造商的收據(jù)驗(yàn)證IC卡的5當(dāng)IC卡在發(fā)卡方控制之下時(shí)，IC號(hào)應(yīng)被安全地存儲(chǔ)并在資產(chǎn)清6IC卡準(zhǔn)備過(guò)程和程序，包括以下內(nèi)容，這些內(nèi)容應(yīng)存b)創(chuàng)建邏輯數(shù)據(jù)結(jié)構(gòu)(卡文件系統(tǒng)和卡安全域);c)加載應(yīng)用程序；d)邏輯保護(hù)IC卡，防止對(duì)卡操作系統(tǒng)、卡文件系統(tǒng)、卡安全域和應(yīng)用程序7IC卡個(gè)性化過(guò)程和程序，包括以下內(nèi)容.這些內(nèi)容應(yīng)存在并被遵守：a)將身份認(rèn)證信息加載到卡上；b)根據(jù)7.4.1和CP的要求生成主體密鑰對(duì)；c)將主體私鑰以加密的形式加載到IC卡上(如果在卡外生成);d)加載主體證書(shū)到IC卡上；e)加載CA或其他用于契約環(huán)境的證書(shū)到IC卡上；8發(fā)卡方或CA(或RA)應(yīng)在審計(jì)日志內(nèi)記錄IC卡的準(zhǔn)9除非卡已經(jīng)由發(fā)卡方、CA或RA準(zhǔn)備和個(gè)性化，否則不應(yīng)IC卡的分發(fā)應(yīng)創(chuàng)建并遵循過(guò)程和程序來(lái)分發(fā)、追蹤和說(shuō)明主體安全接收到IC卡的分發(fā)應(yīng)由發(fā)卡方、CA(或RA)在審計(jì)主體IC卡的使用IC卡上的主體私鑰不應(yīng)導(dǎo)出到應(yīng)用程序執(zhí)行加密(即對(duì)于密碼應(yīng)用和卡功能，應(yīng)要求主體使用雙向鑒別機(jī)制，以確表43集成電路卡(IC卡)生命周期管理控制規(guī)程(續(xù))主體IC卡的使用應(yīng)要求主體使用應(yīng)用程序在簽名報(bào)文(或交易)數(shù)據(jù)前，向主體顯示報(bào)文或報(bào)文摘要。主體有使用IC卡的審計(jì)日志。這包括私鑰所有者驗(yàn)證過(guò)程中的所有嘗試。如果信任方對(duì)交易IC卡的更換應(yīng)創(chuàng)建并遵循過(guò)程和程序來(lái)更換主體丟失的或損壞的IC卡。卡丟失或損壞時(shí)，應(yīng)根據(jù)CP(見(jiàn)7.5.2和7.5.3)更新主體證書(shū)或更新密鑰。IC卡的更換應(yīng)由發(fā)卡方或CA(或RA)在審計(jì)日志內(nèi)記錄。IC卡的終止所有返回給發(fā)卡方或CA(或RA)的所有IC卡應(yīng)解除激活或安全地銷毀，防止非授權(quán)訪問(wèn)IC卡的終止應(yīng)由發(fā)卡方或CA(或RA)在審計(jì)日志內(nèi)記錄。具體控制見(jiàn)表44和表45。表44主體密鑰管理要求的控制目標(biāo)表45主體密鑰管理要求的控制規(guī)程1CP應(yīng)規(guī)定用于主體密鑰生成的密碼模塊和適當(dāng)?shù)腎SO19790級(jí)別要求。2CP應(yīng)規(guī)定可用于主體密鑰生成的密鑰生成算3CP應(yīng)規(guī)定用于主體密鑰生成的可接受密鑰長(zhǎng)4CA或RA應(yīng)向用戶提供機(jī)制允許用戶訪問(wèn)(如私鑰所有人驗(yàn)證方法)、管理和控制私鑰的使用并使這些機(jī)制對(duì)用戶是可用的。5表45主體密鑰管理要求的控制規(guī)程(續(xù))6CP應(yīng)規(guī)定恢復(fù)主體私鑰時(shí)的環(huán)境和授權(quán)以7CP應(yīng)規(guī)定由主體存儲(chǔ)的主體私鑰的備份副本主體密鑰使用范圍8金融服務(wù)條款和條件(或單獨(dú)的用戶協(xié)議)應(yīng)描述用戶(及主體)使用密碼機(jī)制(如HSM序)需要遵循的程序和過(guò)程。9CP應(yīng)規(guī)定主體密鑰對(duì)可接受或允許的使用主體密鑰歸檔CP應(yīng)規(guī)定歸檔的主體密鑰在歸檔期結(jié)束時(shí)CP或CPS應(yīng)規(guī)定在密鑰對(duì)生命周期結(jié)束時(shí)，主體私鑰的所有副本和如果要求，CP應(yīng)規(guī)定密碼硬件在其他物理位置時(shí)(即HSMCP應(yīng)規(guī)定主體密鑰泄露時(shí)對(duì)CA或RA的具體控制見(jiàn)表46和表47。表46主體注冊(cè)控制目標(biāo)——主體(或用戶)按照適用的“了解你的用戶”的要求被準(zhǔn)確地識(shí)別；認(rèn)證與鑒別1CA應(yīng)驗(yàn)證或要求RA驗(yàn)證主體提供的證明其身份或授權(quán)的憑證，以證明根據(jù)證書(shū)策略和法a)對(duì)于個(gè)人終端實(shí)體證書(shū)，CA或RA應(yīng)(按照CP所確定的方式)驗(yàn)證姓名包含在證別名字段內(nèi)的人的身份。未經(jīng)鑒別的個(gè)人姓名不應(yīng)包括在證書(shū)基本域的主體惟一識(shí)別名當(dāng)中；b)對(duì)于機(jī)構(gòu)證書(shū)(包括基于角色的、服務(wù)器、網(wǎng)絡(luò)資源、代碼簽名的證書(shū)),CA或R式)驗(yàn)證包含在證書(shū)基本域的主體惟一識(shí)別名字段機(jī)構(gòu)屬性內(nèi)的機(jī)構(gòu)名未經(jīng)鑒別的機(jī)構(gòu)名不應(yīng)包括在證書(shū)當(dāng)中；c)對(duì)于包含機(jī)構(gòu)域名的機(jī)構(gòu)證書(shū)，CA或RA應(yīng)(按照CP所確定的方式)驗(yàn)證包含在證書(shū)基本域的主體惟一識(shí)別名字段通用名屬性內(nèi)的域名的所有權(quán)、控制權(quán)和使用權(quán)。未經(jīng)鑒別的域名不應(yīng)包括在證書(shū)當(dāng)中2CA或RA應(yīng)根據(jù)CP驗(yàn)證包含在請(qǐng)求實(shí)體的證書(shū)請(qǐng)求中的3CA或RA應(yīng)根據(jù)CP檢查證書(shū)請(qǐng)求中的差錯(cuò)4對(duì)于終端實(shí)體證書(shū)，CA應(yīng)使用包含在實(shí)體證書(shū)請(qǐng)求中的RA的公鑰來(lái)驗(yàn)證證書(shū)請(qǐng)求5CA應(yīng)在CP定義的邊界或在CA服務(wù)的群體范圍內(nèi)驗(yàn)證主體惟一識(shí)別名的惟一性。6應(yīng)使用加密和訪問(wèn)控制來(lái)保護(hù)傳輸和存儲(chǔ)中的注冊(cè)數(shù)據(jù)的機(jī)密7在注冊(cè)時(shí)(證書(shū)簽發(fā)之前)RA或CA應(yīng)通知主體或用戶關(guān)于證書(shū)使用8CA應(yīng)要求請(qǐng)求證書(shū)的實(shí)體必需按照CP的要求準(zhǔn)備并向RA(或CA)提交恰當(dāng)?shù)淖C書(shū)請(qǐng)求數(shù)據(jù)(9CA應(yīng)要求請(qǐng)求實(shí)體以自簽名的報(bào)文的形式向CA提交其公鑰進(jìn)行證書(shū)申請(qǐng)。CA應(yīng)要求請(qǐng)冊(cè)請(qǐng)求中包含的公鑰相關(guān)的私鑰對(duì)注冊(cè)請(qǐng)求進(jìn)行數(shù)字簽a)允許在證書(shū)應(yīng)用處理中檢測(cè)差錯(cuò)；b)證明擁有該注冊(cè)公鑰對(duì)應(yīng)的私鑰；c)驗(yàn)證證書(shū)簽名請(qǐng)求(CSR)中實(shí)體的惟一識(shí)別名、公鑰和其他信息的完整性。證書(shū)請(qǐng)求應(yīng)被認(rèn)為請(qǐng)求實(shí)體已經(jīng)按照用戶協(xié)議接受了使用證書(shū)CA應(yīng)在特定CP下驗(yàn)證經(jīng)授權(quán)發(fā)出注冊(cè)請(qǐng)求的CA應(yīng)要求RA在由RA簽名的報(bào)文(證書(shū)請(qǐng)求)中向CA提交請(qǐng)求實(shí)體的證書(shū)請(qǐng)求數(shù)據(jù)。CACA應(yīng)要求RA根據(jù)CA的CPS來(lái)保護(hù)其(RA)負(fù)責(zé)的那部分的證書(shū)申請(qǐng)過(guò)程的安全。即便在審計(jì)日志中，CA(或RA)也應(yīng)記錄注冊(cè)的CA應(yīng)根據(jù)CA的CPS驗(yàn)證RA提交的請(qǐng)求的可鑒別性。具體控制見(jiàn)表48和表49。12CA應(yīng)要求請(qǐng)求實(shí)體使用與請(qǐng)求實(shí)體已有證書(shū)中包含的公鑰對(duì)應(yīng)的私鑰對(duì)證書(shū)更新請(qǐng)求3泄露的跡象，CA才能使用主體以前已認(rèn)證過(guò)的公4CA或RA應(yīng)處理證書(shū)更新數(shù)據(jù)以驗(yàn)證請(qǐng)求實(shí)體的身份并鑒別要567CA或RA應(yīng)驗(yàn)證證書(shū)更新請(qǐng)求，包括其延長(zhǎng)的有效期，符合CP8如果使用RA,則CA應(yīng)要求RA在RA簽署的報(bào)文(證書(shū)更新請(qǐng)求)中向CA提交證書(shū)更新數(shù)9RA應(yīng)根據(jù)CP保護(hù)它(RA)負(fù)責(zé)的那部分證書(shū)更新CA應(yīng)檢查證書(shū)更新請(qǐng)求的差錯(cuò)或忽略的內(nèi)容。該功能可明確CA或RA應(yīng)在證書(shū)期滿前通知主體或用戶，證書(shū)需要具體控制見(jiàn)表50和表51。1CA應(yīng)要求請(qǐng)求實(shí)體使用已有私鑰對(duì)包含新公鑰的證書(shū)密鑰更新請(qǐng)求進(jìn)2CA或RA應(yīng)驗(yàn)證證書(shū)密鑰更新請(qǐng)求符合相關(guān)CP中3如果使用RA,CA應(yīng)要求RA在由RA簽名的報(bào)文中向CA提交實(shí)4如果使用RA,CA應(yīng)要求RA保護(hù)它(RA)負(fù)責(zé)的那部分證書(shū)密鑰更新過(guò)程的安5如果使用RA,CA應(yīng)要求外部RA在審計(jì)日志中記錄它們的行為。6如果使用RA,CA應(yīng)驗(yàn)證證書(shū)密鑰更新請(qǐng)求上的RA的簽7CA或RA應(yīng)檢查證書(shū)密鑰更新請(qǐng)求的差錯(cuò)或89a)對(duì)證書(shū)密鑰更新數(shù)據(jù)提交所做的簽名；b)該密鑰更新請(qǐng)求的存在性和有效性；在證書(shū)撤銷后，當(dāng)用戶要求新證書(shū)時(shí)，實(shí)體應(yīng)被要求根據(jù)CP實(shí)體證書(shū)過(guò)期后，當(dāng)用戶要求新證書(shū)時(shí)，證書(shū)可被自動(dòng)生成，或者應(yīng)要求實(shí)體根據(jù)CP具體控制見(jiàn)表52和表53。1CA應(yīng)使用證書(shū)請(qǐng)求數(shù)據(jù)生成證書(shū)，并遵照符合ISO/IEC9594-8格式化規(guī)則的證書(shū)框架制造證書(shū)。2應(yīng)在CP內(nèi)設(shè)置有效期并遵照ISO/IEC9594-8進(jìn)行格式化。3證書(shū)擴(kuò)展域應(yīng)遵照ISO/IEC9594-8格式化。表53證書(shū)簽發(fā)控制規(guī)程(續(xù))4CA應(yīng)用CA的簽名私鑰簽署實(shí)體的公鑰和其他相關(guān)信息：a)CA應(yīng)驗(yàn)證自己的數(shù)字簽名；b)CA不應(yīng)簽發(fā)失效的簽名；c)CA應(yīng)將事件記錄在審計(jì)日志中。私鑰資料的交付須經(jīng)過(guò)認(rèn)證：a)接受方應(yīng)對(duì)電子交付進(jìn)行認(rèn)證；5證書(shū)應(yīng)基于根據(jù)7.5.1～7.5.3的要求核準(zhǔn)的主體注冊(cè)、證書(shū)更新或證書(shū)密鑰更新請(qǐng)求程序進(jìn)行簽6當(dāng)RA為主體提交了證書(shū)請(qǐng)求，證書(shū)被簽發(fā)給主體時(shí)CA應(yīng)向RA發(fā)出一個(gè)簽名了的通知。7證書(shū)被簽發(fā)時(shí)，CA應(yīng)向主體發(fā)出一個(gè)帶外通知。當(dāng)該通知包括初始激活數(shù)據(jù)時(shí)，控制過(guò)全交付。8如果證書(shū)過(guò)期、被撤銷或被掛起，應(yīng)在CP中規(guī)定的適當(dāng)時(shí)間長(zhǎng)度內(nèi)保留證書(shū)的副本。具體控制見(jiàn)表54和表55。1CA應(yīng)使用一種已建立的符合CP的機(jī)制(例如，像目錄服務(wù)器這樣的資料庫(kù))使CA簽發(fā)的證a)收集，資料庫(kù)或在線目錄服務(wù)；b)交付，使用受保護(hù)的介質(zhì)(如，CD-ROM或IC2只有授權(quán)的CA人員才能管理CA的資料庫(kù)或其他可替代3CA資料庫(kù)或可替代的其他分發(fā)機(jī)制的性能應(yīng)受到4資料庫(kù)或可替代的其他分發(fā)機(jī)制的完整性應(yīng)得到5當(dāng)需要時(shí)，只有在獲得主體同意的情況下證書(shū)才可被其他相6當(dāng)使用密碼保護(hù)CA公鑰時(shí)，用于生成數(shù)字簽名的私鑰或用于具體控制見(jiàn)表56和表57。1CA應(yīng)提供一種快速通信的方法，以便將以下證書(shū)安全地、經(jīng)a)一個(gè)或多個(gè)主體的一個(gè)或多個(gè)證書(shū)；b)CA基于生成證書(shū)的單個(gè)公/私鑰對(duì)簽發(fā)的所有證書(shū)的集合：c)CA簽發(fā)的所有證書(shū)，無(wú)論使用的公鑰/私鑰對(duì)是什2CA應(yīng)驗(yàn)證或要求RA根據(jù)CP驗(yàn)證請(qǐng)求撤銷證書(shū)的實(shí)體的3如果RA接受了撤銷請(qǐng)求，則CA應(yīng)要求RA根據(jù)CP以一種可鑒別的方式向CA提交簽名的證4如果RA接受并向CA轉(zhuǎn)發(fā)了撤銷請(qǐng)求，則CA應(yīng)向RA提供一個(gè)簽名的確認(rèn)以確認(rèn)收到了該證書(shū)撤銷請(qǐng)求和5CA應(yīng)在CP規(guī)定的時(shí)間框架內(nèi)遵照ISO/IEC9594-8定義的格式更新證書(shū)撤銷列表(CRL),6CA應(yīng)在審計(jì)日志中記錄所有的證書(shū)撤銷請(qǐng)求及其結(jié)果，具體按照附錄7CA或RA可向發(fā)出撤銷請(qǐng)求的實(shí)體提供一個(gè)可鑒別的證書(shū)撤銷確認(rèn)(簽名或8若支持證書(shū)更新，當(dāng)證書(shū)被撤銷時(shí)，所有有效的該證書(shū)的實(shí)例也應(yīng)被撤銷9應(yīng)向已撤銷或掛起的證書(shū)的實(shí)體(和用戶)通知其證書(shū)——向其他實(shí)體(如信任方、監(jiān)管機(jī)構(gòu))發(fā)送通知；具體控制見(jiàn)表58和表59。1根據(jù)CA的CPS,CA提供一種快速通信的方法.以便將以下證書(shū)安全地、經(jīng)鑒別地掛起：a)一個(gè)或多個(gè)主體的一個(gè)或多個(gè)證書(shū)；b)CA基于生成證書(shū)的單個(gè)公/私鑰對(duì)簽發(fā)的所有證書(shū)的集合；c)CA簽發(fā)的所有證書(shū)。2CA應(yīng)驗(yàn)證或要求RA根據(jù)CP驗(yàn)證請(qǐng)求證書(shū)掛起和請(qǐng)求證書(shū)取消掛起的實(shí)體的身份和授權(quán)。3如果RA接受了掛起請(qǐng)求，則RA應(yīng)根據(jù)CP以一種可鑒別的方式向CA提交簽名的證書(shū)掛起請(qǐng)求。4證書(shū)掛起時(shí)，CA或RA應(yīng)通知該主體和用戶。56CA應(yīng)在證書(shū)掛起時(shí)更新證書(shū)撤銷列表(CRL)和其他證書(shū)狀態(tài)機(jī)制。證書(shū)狀態(tài)的更改應(yīng)在C架內(nèi)完成。7證書(shū)應(yīng)根據(jù)CP只被在允許的時(shí)間長(zhǎng)度內(nèi)掛起。8一旦證書(shū)掛起已經(jīng)發(fā)布，掛起應(yīng)以下面三種方式之一處理：a)掛起的證書(shū)的條目保留在CRL上，沒(méi)有進(jìn)一步動(dòng)作；b)掛起的證書(shū)的CRL,條目被同一證書(shū)的撤銷條目代替；c)掛起的證書(shū)被明確解除，條目從CRL中移除。9證書(shū)掛起條目應(yīng)保留在CRL上，直到證書(shū)期滿或掛起期滿時(shí)間中的一個(gè)先到達(dá)。CP可起的最大次數(shù)和處于該狀態(tài)的最大時(shí)間周期。如果達(dá)到限度，則可通知PA進(jìn)行進(jìn)一步的調(diào)查。CA應(yīng)在證書(shū)取消掛起對(duì)根據(jù)其CP來(lái)更新其證書(shū)撤銷列表(CRL)和其他證書(shū)狀態(tài)機(jī)制。CA應(yīng)驗(yàn)證或要求RA驗(yàn)證請(qǐng)求取消證書(shū)掛起的實(shí)體的身份和授權(quán)。證書(shū)掛起和取消掛起應(yīng)遵照附錄F的要求在審計(jì)日志中記錄。具體控制見(jiàn)表60和表61。表61證書(shū)確認(rèn)服務(wù)控制規(guī)程1CA應(yīng)根據(jù)CP使用已建立的機(jī)制使證書(shū)狀態(tài)信息對(duì)相關(guān)各方(信任方或其代理)是可用的。式達(dá)到：a)請(qǐng)求響應(yīng)方式，信任方向證書(shū)狀態(tài)提供方的響應(yīng)器發(fā)出一個(gè)簽名的請(qǐng)求；反過(guò)來(lái)，證器用適時(shí)簽名的證書(shū)狀態(tài)信息進(jìn)行響應(yīng)(OCSP是一種使用該方法的協(xié)議實(shí)例);b)傳遞方式，由CA簽署——CRL,并在策略規(guī)定的時(shí)間框架內(nèi)發(fā)布該CRL。2CA應(yīng)對(duì)發(fā)布的每一個(gè)CRL進(jìn)行數(shù)字簽名，這樣實(shí)體可以驗(yàn)證CRL的完整性和發(fā)布的日期時(shí)間。3CA應(yīng)根據(jù)CP的規(guī)定以固定時(shí)間間隔發(fā)布CRL,即使從上次發(fā)布以來(lái)沒(méi)有發(fā)生改變。4標(biāo)識(shí)一個(gè)撤銷了的證書(shū)的CRL條目至少應(yīng)在CRL上保留到該證書(shū)有效期結(jié)束?？梢笞C書(shū)的狀態(tài)。因此，CRL條目可被保持到超過(guò)證書(shū)有效期的時(shí)間，以證明它在使用時(shí)的有效5如果支持證書(shū)掛起，證書(shū)掛起條目連同其原始動(dòng)作日期和期滿日期應(yīng)保留在CRL上取消掛起。6CRL應(yīng)根據(jù)相應(yīng)CP的要求，包括歸檔的CRL的獲取方法，進(jìn)行歸檔。7CRL應(yīng)包括CA簽發(fā)的所有已撤銷的未過(guò)期證書(shū)的條目?？梢笤诮o定的時(shí)間回顧證書(shū)的狀態(tài)條目可被保持到超過(guò)證書(shū)有效期的時(shí)間，以證明它在使用時(shí)的有效性。8舊的CRL應(yīng)根據(jù)相應(yīng)CA保留適當(dāng)時(shí)間長(zhǎng)度。9在收到來(lái)自信任方或其代理的證書(shū)狀態(tài)請(qǐng)求(如OCSP請(qǐng)求)時(shí)，CA應(yīng)向信任方或其代理返回確定的響如果：a)該請(qǐng)求報(bào)文格式正確；b)證書(shū)狀態(tài)提供方響應(yīng)器已有配置來(lái)提供所請(qǐng)求的服務(wù)；c)該請(qǐng)求按照相應(yīng)CP的要求包含證書(shū)狀態(tài)提供方響應(yīng)器所需的信息(即證書(shū)標(biāo)識(shí)，序列號(hào)，OID等);d)證書(shū)狀態(tài)提供方響應(yīng)器能夠定位證書(shū)并解釋其狀當(dāng)這些條件滿足時(shí)，CA或證書(shū)狀態(tài)提供方應(yīng)產(chǎn)生簽名的響應(yīng)報(bào)文，根據(jù)CP的要求指出證書(shū)的狀態(tài)：如果以上條件中的任何一條不能滿足，則返回“未知”狀態(tài)。所有響應(yīng)報(bào)文應(yīng)進(jìn)行數(shù)字簽名并包括CP要求的所有數(shù)具體控制見(jiàn)表62和表63。1在證書(shū)頒發(fā)機(jī)構(gòu)成立時(shí)設(shè)立咨詢委員會(huì)，負(fù)責(zé)監(jiān)督CA的終止或與任何其他CA的234提供在CA終止后重新驗(yàn)證任何用戶的數(shù)字5制定終止計(jì)劃，以盡量減少中斷，包括通知用戶、保存記錄、將業(yè)務(wù)移交給6根CA數(shù)據(jù)庫(kù)至少保留一年。具體控制見(jiàn)表64和表65。——從屬CA證書(shū)請(qǐng)求是準(zhǔn)確的、已鑒別并核準(zhǔn)的；——從屬CA證書(shū)更換(更新和密鑰更新)請(qǐng)求是準(zhǔn)確的、已授權(quán)并完整的；——新的、更新的和密鑰更新的從屬CA證書(shū)根據(jù)特定CP的要求生成簽發(fā)的；——從屬CA證書(shū)基于授權(quán)的和驗(yàn)證的證書(shū)撤銷請(qǐng)求進(jìn)行撤銷；123上級(jí)CA應(yīng)在核準(zhǔn)從屬CA的證書(shū)請(qǐng)求前審計(jì)從屬CA的CP與其自身的CP要求的一致法是，從屬CA應(yīng)提交它的CPS供審計(jì)。4當(dāng)允許從屬CA證書(shū)更新時(shí)，上級(jí)CA的CP應(yīng)規(guī)定提交從屬CA更5當(dāng)允許從屬CA證書(shū)更新時(shí)，上級(jí)CA應(yīng)根據(jù)其CA的CP鑒別其從屬CA的表65從屬CA證書(shū)生命周期管理的控制規(guī)程(續(xù))6上級(jí)CA的CP應(yīng)規(guī)定提交從屬CA密鑰更新7上級(jí)CA應(yīng)根據(jù)其CP鑒別從屬CA的證書(shū)密從屬CA證書(shū)簽署8a)使用適當(dāng)?shù)淖C書(shū)框架，符合CP和ISO/IEC9594-8的格式化規(guī)則；b)具有遵照ISO/IEC9594-8和CP的要求格式化了c)當(dāng)使用擴(kuò)展域時(shí)，擴(kuò)展域根據(jù)ISO/IEC9594-8和CP進(jìn)行9上級(jí)CA應(yīng)按照其CP的要求使用已建立的機(jī)制(如像目錄這樣的資料庫(kù))使其從屬CA任方)可用。從屬CA證書(shū)撤銷上級(jí)CA應(yīng)根據(jù)CP的要求驗(yàn)證請(qǐng)求撤銷從屬CA證書(shū)的實(shí)體的在證書(shū)撤銷時(shí)，上級(jí)CA應(yīng)根據(jù)CP的要求更新證書(shū)撤銷列表(CRL)和其他從屬上級(jí)CA應(yīng)根據(jù)其CP的要求使用已建立的機(jī)制(如CRL,OCSP等)使從屬CA證書(shū)狀態(tài)信息對(duì)信任方可用CP宜被證書(shū)的各種用戶使用，以決定是否接受(證書(shū)的)主體和公鑰之間的綁定關(guān)系。CP在約束。對(duì)象標(biāo)識(shí)符可不在證書(shū)中出現(xiàn)或在上述擴(kuò)展域的某些或所有這些字段當(dāng)中出現(xiàn)。證書(shū)策略策略機(jī)構(gòu)或其代理可向潛在的用戶提供已簽名的紙質(zhì)的證書(shū)策略副本，作為一種合同捆綁關(guān)自動(dòng)化方法處理。這些策略和策略限定符由簽發(fā)CA在證書(shū)的證書(shū)策略擴(kuò)展項(xiàng)中列出，其定義}CertifcatePoliciesSynPolicyInformation::=SSIZE(1..MAX)OFPolicyInformationCertPolicyId::=OBJECTIDENTIFPolicyQualifers::=SEQUENCESIZE(1..MAX)OFPolicycertificatePolicies證書(shū)擴(kuò)展項(xiàng)中列出的證書(shū)策略是那些簽發(fā)CA認(rèn)為適合于該證書(shū)的策略。信擴(kuò)展項(xiàng)被設(shè)置為關(guān)鍵的，則該擴(kuò)展項(xiàng)表示該證書(shū)宜由信任方用于該證書(shū)策略所指的目的。特定的CP可要求使用證書(shū)的系統(tǒng)以特定的方式處理任何限定符的值，進(jìn)一步限制或擴(kuò)展證書(shū)使用的有PolicyQualifierInfo::=S}SupportedPolicyQualifiersCERT-POLICYPolicyQualifierInfo類型由兩個(gè)組件組成，policyQualifierld和qualifier,它們根據(jù)信息對(duì)象類&.QualifierOPTI}WITHSYNTAX{POLICY-QUAIIFIER-ID&id[QUAIIFIERb)戶通知限定符包含了在使用證書(shū)前將顯示給證書(shū)用戶(包括用戶和信任方)的文本串。該文本串可以是IA5字符串或BMP字符串——GB/T13000多一旦各方能夠識(shí)別和定位與一張證書(shū)相關(guān)的CP,用戶應(yīng)能夠明確證書(shū)的用途和限制。策略機(jī)——證書(shū)策略是面向用戶的，因?yàn)樽C書(shū)提供了一種控制機(jī)制來(lái)管理提供給用戶服務(wù)的相關(guān)一些PKI域限制證書(shū)策略擴(kuò)展的使用。例如，CA瀏覽器論壇禁止在根CA證書(shū)中使用certifi-交叉認(rèn)證是兩個(gè)或更多不同策略機(jī)構(gòu)發(fā)布的證書(shū)策略的相互認(rèn)證過(guò)程。交叉認(rèn)證使不同策略一個(gè)可接受的策略標(biāo)識(shí)符是一個(gè)認(rèn)證路徑上的用戶要求的CP標(biāo)識(shí)符，或者通過(guò)策略映射(見(jiàn)policyMappingsEXTENPolicyMappingsSyntax::=SEQUENCESIZ書(shū)指出明確的CP。證書(shū)用戶認(rèn)為認(rèn)證路徑起始的證書(shū)是一個(gè)信任域的一部分(即認(rèn)證機(jī)構(gòu)對(duì)所有策略約束擴(kuò)展項(xiàng)的其他可特性是對(duì)于認(rèn)證機(jī)構(gòu)能夠禁止認(rèn)證路徑上隨后的認(rèn)證機(jī)構(gòu)設(shè)置的策帶來(lái)的風(fēng)險(xiǎn)(如域A信任域B,域B信任域C,但是域A不希望被迫信任域C)。policyConstraintsEXTENSION::={IDENTIFIEDBYd-ce-pPolicyConstraintsSyntax::= 這一方法考慮了隨后的補(bǔ)充要求，這些要求可由市場(chǎng)為證書(shū)策略和相關(guān)信 用戶負(fù)責(zé)根據(jù)用戶協(xié)議的條款保護(hù)對(duì)私鑰的訪問(wèn)。這表示任何對(duì)使用私鑰的訪問(wèn)從不泄露給使用一個(gè)已知并可信的證書(shū)確認(rèn)服務(wù)提供者的服務(wù)。以下三個(gè)簡(jiǎn)單的例用前被信任方主動(dòng)地接受。只有在這種方式成為一種使用證書(shū)的標(biāo)準(zhǔn)方法并被廣泛用于宜陳述證書(shū)更替如何管理(如身份的自動(dòng)或重新驗(yàn)證)或者是否需要生成新的密鑰對(duì)。還宜陳在規(guī)定的時(shí)間周期內(nèi)(如兩年)根據(jù)CPS審計(jì)CA的正式方法宜在策略機(jī)構(gòu)和CA間達(dá)成一致。(資料性)認(rèn)證業(yè)務(wù)說(shuō)明的要素B.1概述認(rèn)證業(yè)務(wù)說(shuō)明宜包含本附錄中包括的所有組件和子組件的引用。CPS不需要包括每個(gè)主題的確定性陳述。特定的CPS對(duì)組件、子組件或元素沒(méi)有要求時(shí)可聲明為“不實(shí)施”。這將指示讀者清楚地做出決定是包括或是排除哪一主題。這樣在決定業(yè)務(wù)應(yīng)用的使用性時(shí)便于比較不同的認(rèn)證業(yè)務(wù)說(shuō)明以確認(rèn)哪一個(gè)更合適。本附錄依據(jù)RFC2527的結(jié)構(gòu)，它已經(jīng)被RFC3647取代。從RFC2527到RFC3647的變化可見(jiàn)附錄E中的映射表。B.2簡(jiǎn)介CPS的引言有以下子組件：——參與群體和適用性；——詳細(xì)聯(lián)系方式。提供了一般性的介紹(如業(yè)務(wù)規(guī)則的通用目的)。提供可用名稱或其他標(biāo)識(shí)符，包括ASN.1對(duì)象標(biāo)識(shí)符。B.2.4參與群體和適用性本子組件描述了簽發(fā)證書(shū)或主體CA的實(shí)體類型，執(zhí)行RA功能的實(shí)體類型和、主體終端實(shí)體或用戶的實(shí)體類型?！灠l(fā)的證書(shū)適用的應(yīng)用列表；——適用簽發(fā)的證書(shū)受到限制的應(yīng)用列表，或者使用簽發(fā)的證書(shū)受到禁止的應(yīng)用列表。B.2.5詳細(xì)聯(lián)系方式本節(jié)包括負(fù)責(zé)注冊(cè)、維護(hù)和解釋CPS的機(jī)構(gòu)的名稱和郵件地址，也包括所有適當(dāng)聯(lián)系人的名稱、B.3一般條款 B.3.7機(jī)密性常規(guī)密鑰更新的認(rèn)證業(yè)務(wù)宜與初始注冊(cè)時(shí)相同。除非已到期的證書(shū)在過(guò)期前被用于鑒別。密本子組件描述了每個(gè)主體類型(CA、RA和終端實(shí)體)或其他(根據(jù)CP規(guī)定的)授權(quán)方或監(jiān)管方發(fā)出的證書(shū)撤銷請(qǐng)求的認(rèn)證與鑒別規(guī)程。B.4.6掛起的請(qǐng)求本子組件描述了每個(gè)主體類型(CA、RA和終端實(shí)體)或其他(根據(jù)CP規(guī)定的)授權(quán)方或監(jiān)管方發(fā)出的掛起請(qǐng)求的認(rèn)證與鑒別規(guī)程。B.5操作要求B.5.1概述本組件用于規(guī)定施加于簽發(fā)CA、主體CA、RA、CVSP或終端實(shí)體的各種操作活動(dòng)的要求。本組件包括以下子部分：——證書(shū)申請(qǐng)；—證書(shū)簽發(fā)；——證書(shū)接受；——安全審計(jì)規(guī)程；——CA終止。B.5.2證書(shū)申請(qǐng)本子部分用于說(shuō)明主體登記注冊(cè)和請(qǐng)求簽發(fā)證書(shū)的有關(guān)要求。B.5.3證書(shū)簽發(fā)本子部分用于說(shuō)明證書(shū)簽發(fā)和通知申請(qǐng)者該證書(shū)的簽發(fā)情況的有關(guān)要求。B.5.4證書(shū)接受本子部分用于說(shuō)明對(duì)已簽發(fā)的證書(shū)的接受和隨之發(fā)布該證書(shū)的有關(guān)要求。 掛起可持續(xù)多長(zhǎng)時(shí)間 對(duì)信任方檢查CRL的要求 當(dāng)掛起或撤銷是由于私鑰泄露所導(dǎo)致時(shí)(與其他掛起或撤銷的原因相對(duì)),以上約定的 審計(jì)日志備份規(guī)程 對(duì)實(shí)體的審計(jì)日志積累制度是內(nèi)部的還是外部的 是否在審計(jì)過(guò)程中通知導(dǎo)致審計(jì)事件發(fā)生的主體； 本子部分描述了在泄露或?yàn)?zāi)難事件發(fā)生時(shí)與通知和恢復(fù)規(guī)程有關(guān)的要求。以下每種情況需要 介質(zhì)保護(hù)： 廢物處理： 對(duì)承擔(dān)可信角色的人員所要求的背景檢查和安全檢查規(guī)程。背景檢查可包括安全檢查級(jí) 對(duì)每個(gè)角色的培訓(xùn)要求和培訓(xùn)規(guī)程； 因?yàn)榉鞘跈?quán)行為、非授權(quán)使用權(quán)力以及人員對(duì)實(shí)體系統(tǒng)的非授權(quán)使用從而導(dǎo)致的對(duì)相關(guān)人 提供給相關(guān)人員的文件(如操作或培訓(xùn)手冊(cè))本子部分用于定義簽發(fā)CA為保護(hù)其密鑰和激活數(shù)據(jù)(如PIN,口令或手工持有的密鑰分享組護(hù)他們的密鑰和關(guān)鍵安全參數(shù)。安全的密鑰管理對(duì)于確保所有密鑰和激活數(shù)據(jù)受到保護(hù)并只被授 誰(shuí)生成終端實(shí)體的公私密鑰對(duì)： 實(shí)體的公鑰如何安全地提供給證書(shū)生成者： 如果實(shí)體是CA或證書(shū)狀態(tài)提供者(簽發(fā)者或主體),則該實(shí)體的公鑰證書(shū)如何安全地提供 ——私鑰是在m分之n多人控制下的嗎?如果是，提供n和m的具體值(兩人控制是m分之n被分給m個(gè)不同的個(gè)人。這m份中的任何n份可被用來(lái)完全重建密鑰。但擁有任何n-1的。這樣，根據(jù)需要密鑰可由這些功能的任何子集進(jìn)行處理。托管的目的是允許第三方(如機(jī)構(gòu)或政府)在法律上無(wú)需主體的協(xié)作而獲得密鑰。備份的目的是允許主體在密鑰受 ——誰(shuí)將私鑰輸入到密碼模塊?以何種形式(即明文的、加密的或分割密鑰的)?私鑰如何存儲(chǔ)——公鑰歸檔嗎?如果這樣，誰(shuí)是歸檔代理，對(duì)歸檔系統(tǒng)的安全控制是什么?歸檔系統(tǒng)宜提供對(duì)私鑰的訪問(wèn)在初始和整個(gè)有效使用期內(nèi)需要受到控制和保護(hù)。激活數(shù)據(jù)在鑒別機(jī)制中用于驗(yàn)證私鑰的所有者。激活數(shù)據(jù)指除密鑰外需要操作密碼模塊并需要受到保護(hù)的數(shù)值。需要為簽發(fā)密碼機(jī)制是硬件、軟件和使用特定設(shè)備時(shí)相關(guān)固件的組合。遵從性B.8證書(shū)和CRL框架本子部分用于規(guī)定證書(shū)格式，如果使用CRL,還需要規(guī)定CRL的格式。如果假設(shè)使用 ——變更規(guī)程——無(wú)需通知就可以變更的部分、子部分和/或其他項(xiàng)目的列表，CP對(duì)象標(biāo)識(shí)符或CPS指針——在通知期后變更的部分、子部分和/或其他組成部分的列表，而不變更CP對(duì)象標(biāo)識(shí)符或B.9.3發(fā)布和通知規(guī)程本子部分包括以下內(nèi)容：——存在但沒(méi)有公開(kāi)的部分、子部分和/或其他項(xiàng)目的列表；因?yàn)槠涿舾行裕瑱C(jī)構(gòu)可選擇不公開(kāi) B.9.4CP一致性本子部分描述檢查CPS符合CP要求的過(guò)程。(資料性)對(duì)象標(biāo)識(shí)符(OID)C.1為什么有OID使用OID可以使得信任方自動(dòng)地識(shí)別CP(如建立了一個(gè)或多個(gè)策略域的根CA適用的CP文件)。每個(gè)從屬CA將需要一