(高清版)GB∕T 38629-2020 信息安全技術(shù) 簽名驗(yàn)簽服務(wù)器技術(shù)規(guī)范

簽名驗(yàn)簽服務(wù)器技術(shù)規(guī)范Informationsecuritytech2020-04-28發(fā)布2020-11-01實(shí)施國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)國(guó)家市場(chǎng)監(jiān)督管理總局發(fā)布國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)GB/T38629—2020 I 4縮略語 2 25.1初始化功能 25.2與公鑰基礎(chǔ)設(shè)施的連接配置功能 25.3應(yīng)用管理功能 25.4證書管理和驗(yàn)證功能 25.5數(shù)字簽名和驗(yàn)簽功能 3 3 3 3 3 3 3 46.5設(shè)備物理安全防護(hù) 46.6網(wǎng)絡(luò)部署要求 46.7服務(wù)接口 46.8環(huán)境適應(yīng)性 46.9可靠性 46.10其他 4 57.1概述 5 5 6 7 9附錄A(規(guī)范性附錄)基于HTTP的消息協(xié)議語法規(guī)則 附錄B(規(guī)范性附錄)響應(yīng)碼定義和說明 22I1GB/T9813.3—2017計(jì)算機(jī)通用規(guī)范第3部分：服務(wù)器GB/T19713—2005信息技術(shù)安全技術(shù)公鑰基礎(chǔ)設(shè)施在線證書狀態(tài)協(xié)議GB/T25069—2010信息安全技術(shù)術(shù)語GB/T35291—2017信息安全技術(shù)智能密碼鑰匙應(yīng)用接口規(guī)范2API:應(yīng)用程序接口(ApplicationProgramInterface)ASN.1:抽象語法記法1(AbstractSyntaxNotationOne)CA:證書認(rèn)證機(jī)構(gòu)(CertificatiCRL:證書撤銷列表(CertificateRevocaPKI:公鑰密碼基礎(chǔ)設(shè)施(PublicKeyInfrastructure)入CRL等功能。簽名驗(yàn)簽服務(wù)器應(yīng)支持OCSP連接配置功能，通過配置管理界面，進(jìn)行OCSP服務(wù)的連接配置管理。OCSP服務(wù)的連接配置應(yīng)遵循GB/T19713—2005中6.1的規(guī)定。全機(jī)制對(duì)應(yīng)用實(shí)體的信息進(jìn)行安全存儲(chǔ)。應(yīng)用實(shí)體注冊(cè)的內(nèi)容應(yīng)包括設(shè)置應(yīng)用并支持通過管理界面導(dǎo)入應(yīng)用實(shí)體的簽名證書、加密證書和加密密鑰3456VersionDEFAULTvl,verifySignedDataUpdatVerifySignedDataUpdaVerifySignedDataFin7signMessageReqverifySignedMessageRe}ReqTimeStampToken請(qǐng)求包說明012345多包數(shù)字簽名初始化請(qǐng)求包6多包數(shù)字簽名更新請(qǐng)求包7多包數(shù)字簽名結(jié)束請(qǐng)求包8多包驗(yàn)證數(shù)字簽名初始化請(qǐng)求包9多包驗(yàn)證數(shù)字簽名更新請(qǐng)求包多包驗(yàn)證數(shù)字簽名結(jié)束請(qǐng)求包8VersionDEFAULTvl,[0]IMPLICITGeneralizedTime[1]IMPLICITRespTimeStampTokenRespond::=OCTETSTRING{verifySignedDataIniverifySignedDataUpdaVerifySignedDataIniVerifySignedDataUpdatVerifySignedDataFinarespTimeStampToken::=TimeSta9a)協(xié)議版本b)響應(yīng)類型c)響應(yīng)包響應(yīng)包與響應(yīng)類型值之間的對(duì)應(yīng)關(guān)系如表2所示。響應(yīng)包說明012345多包數(shù)字簽名初始化響應(yīng)包6多包數(shù)字簽名更新響應(yīng)包7多包數(shù)字簽名結(jié)束響應(yīng)包8多包驗(yàn)證數(shù)字簽名初始化響應(yīng)包9多包驗(yàn)證數(shù)字簽名更新響應(yīng)包多包驗(yàn)證數(shù)字簽名結(jié)束響應(yīng)包d)響應(yīng)時(shí)間e)響應(yīng)時(shí)間戳——ExportCertReq包ExportCertReq包為導(dǎo)出證書請(qǐng)求格式包，當(dāng)reqType取值exportCert時(shí)，請(qǐng)求包采}——ExportCertResp包c(diǎn)ertCertificate}——ParseCertReq包}——ParseCertResp包infoOCTET}——ValidateCertReq包ValidateCertReq::=SE——ValidateCertResp包ValidateCertResp::=SE}——SignDataReq包signMethodINTEkeyIndexINTEGER,signerID[1]IMPLICT——SignDataResp包respValue}——VerifySignedDataReq包VerifySignedDataReq::=SEsignMethodcert[0]inDataLenverifyLevelINTEGER——VerifySignedDataResVerifySignedDataResp::=SErespValue——SignDataInitReq包signerPublicKey[0]IMPLIsignerID——SignDataInitResp包SessionIDSignDataUpdateReq包為多包數(shù)字簽名更新請(qǐng)求格式包，當(dāng)reqType取值signDataUpdateSignDataUpdateReq::=SEQUENCE{SessionID}SessionID——SignDataFinalResp包respValueINTEGER,signatureO}VerifySignedDataInitReq::=SE——VerifySignedDataInitResp包VerifySignedDataInitResp::=SESessionID}VerifySignedDataUpdateReq::=SE——VerifySignedDataUpdateResVerifySignedDataUpdateResp::=SrespValueINTEGER,SessionID}VerifySignedDataFinalReq::=Scert[0]certSN}——VerifySignedDataFinalResp包VerifySignedDataFinalResp::=SkeyValueOCTETcertificateChaincrl[2]IMPLICT}SignMessageResp::=SEQUENCE{respValueINTEGER,signedMessageOCTETVerifySignedMessageReq::=SEinDataLenINTEGERinDataOCTETsignerIDLen——VerifySignedMessageResVerifySignedMessageResp包為驗(yàn)證消息簽名響應(yīng)格式包，當(dāng)respType取值verifySigne-VerifySignedMessageResp::=SErespValueINT第7章中描述的ASN.1格式是一種二進(jìn)制格式，考慮到簽名驗(yàn)證服務(wù)將被廣泛用于各種WEB系其工作原理與第7章中的請(qǐng)求響應(yīng)模式類似，不同的是將消息格式從二進(jìn)制的ASN.1格式，轉(zhuǎn)換為易于在WEB應(yīng)用和HTTP協(xié)議中傳遞的文本格式。本附錄只描述了從第7章的消息格式到對(duì)應(yīng)HTTP格式的轉(zhuǎn)換規(guī)則，而不再?gòu)?fù)述第7章中每個(gè)請(qǐng)ASN.1類型示例文本TRUE和FALSE帶時(shí)區(qū)格式的時(shí)間字符串YYYYMMDDhhmm[ss[.s...]]{ZI+hhmm|對(duì)OCTETSTRING進(jìn)行BASEA.3HTTP請(qǐng)求的轉(zhuǎn)換規(guī)則(urlencoded格式)versionVersionDEFAULTvl,a)所有請(qǐng)求都采用HTTP的POST模式；c)version被作為一個(gè)自定義的HTTP字段SVS-Request-Version;d)reqTime被作為一個(gè)自定義的HTTP字段SVS-Request-Time;f)HTTPHeader中的Content-Length為第7章中請(qǐng)求數(shù)據(jù)的實(shí)際長(zhǎng)度。POST/SignServer/SignDataHTTP/1.1\r\nSVS-Request-Time:2013100Content-Type:application/x-www-form-Content-Length:實(shí)際請(qǐng)求body長(zhǎng)度\r\nsignMethod=.第7章中代表業(yè)務(wù)請(qǐng)求實(shí)體的Request類型，將被轉(zhuǎn)換為一個(gè)HTTP的form表單：paraml=valuel¶m2=value2…paramN=vsignMethod=簽名算法類型&keyIndex=私鑰的索引&keyValue=私鑰權(quán)限標(biāo)識(shí)碼&inDataLenrespTypeRespT}a)respType被作為一個(gè)自定義的H