信息安全技術(shù) 證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范-編制說明

任務(wù)來源2015年7月，國家互聯(lián)網(wǎng)信息辦公室下達了對國家標(biāo)準(zhǔn)《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）進行修訂的任務(wù)。由上海市數(shù)字證書認證中心有限公司牽頭，上海格爾軟件股份有限公司、北京數(shù)字認證股份有限公司等單位組成了聯(lián)合修訂工作組，開展對該規(guī)范的修訂工作。編制原則標(biāo)準(zhǔn)修訂以《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）為基礎(chǔ)，參考本項目組成員單位起草的密碼行業(yè)標(biāo)準(zhǔn)《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）。由于《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）于2010年頒布，國內(nèi)已遵循該規(guī)范建設(shè)了大量的數(shù)字證書認證系統(tǒng)，大批數(shù)字證書認證相關(guān)企業(yè)在產(chǎn)品開發(fā)、系統(tǒng)運維等方面也都以該規(guī)范作為實施參考和依據(jù)，符合該規(guī)范的產(chǎn)品已在市場中大規(guī)模部署和正式運營。因此對該規(guī)范進行修訂時，要考慮到兼容性需求，盡量避免對原規(guī)范中的項目進行顛覆性的修改，為現(xiàn)有的產(chǎn)品進行改造和平滑升級留有充分的余地，減少制造商、運營商、用戶進行升級、更新的開銷和代價。修訂規(guī)范時，考慮到不同領(lǐng)域?qū)τ跀?shù)字證書認證系統(tǒng)的需求具有差異，規(guī)范應(yīng)對最具有一般性、基礎(chǔ)性的密碼及安全技術(shù)提出統(tǒng)一的要求。對于遵循本規(guī)范的產(chǎn)品制造商和服務(wù)提供商，其產(chǎn)品和服務(wù)要能夠互聯(lián)互通，用戶也能方便地切換到其他產(chǎn)品和服務(wù)提供商。在標(biāo)準(zhǔn)修訂過程中，還力求做到符合國家的有關(guān)政策法規(guī)要求，與已頒布實施的相關(guān)標(biāo)準(zhǔn)相協(xié)調(diào)。主要工作過程標(biāo)準(zhǔn)修訂的主要工作過程如下：2015年8月，成立了以劉承為負責(zé)人的標(biāo)準(zhǔn)修訂工作組，召開了第一次會議。在這次會議上，工作組成員討論了我國目前數(shù)字證書認證服務(wù)行業(yè)的技術(shù)發(fā)展趨勢、基于國產(chǎn)密碼算法的數(shù)字證書產(chǎn)品的應(yīng)用和市場現(xiàn)狀，提出了對規(guī)范進行修訂的總體思路和基本原則，并對各參與單位應(yīng)承擔(dān)的任務(wù)進行了分工。2015年11月，修訂工作組召開了第二次會議。成員單位就各自的研究情況進行了匯報，討論了修訂后標(biāo)準(zhǔn)的總體框架和要調(diào)整的內(nèi)容，形成了修訂稿的草案（第一稿）。2016年3月10日至11日，參加信安標(biāo)委召開的2016年第一批推薦性國家標(biāo)準(zhǔn)立項評估工作專家評審會。會議評議了《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿草案初稿，確定了本標(biāo)準(zhǔn)的內(nèi)容要求。2016年4月，修訂工作組召開了第三次會議。對規(guī)范修訂稿的初稿進行了討論，形成了修訂稿草案（第二稿）。2016年6月13日至16日，參加信安標(biāo)委2016年第一次工作組“會議周”。在“WG3-密碼技術(shù)工作組在研標(biāo)準(zhǔn)推進會”上，與會專家評審了《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿草案，形成了《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿的征求意見稿。標(biāo)準(zhǔn)的主要內(nèi)容及修訂的內(nèi)容本標(biāo)準(zhǔn)的主要內(nèi)容本標(biāo)準(zhǔn)依據(jù)國家有關(guān)政策法規(guī)，規(guī)定了數(shù)字證書認證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，包括證書認證中心、密鑰管理中心、密碼算法、密碼設(shè)備及接口等，適用于指導(dǎo)第三方認證機構(gòu)的數(shù)字證書認證系統(tǒng)的建設(shè)和檢測評估，規(guī)范數(shù)字證書認證系統(tǒng)中密碼及相關(guān)安全技術(shù)的應(yīng)用。本標(biāo)準(zhǔn)主要框架如下：范圍規(guī)范性引用文件術(shù)語和定義縮略語證書認證系統(tǒng)密鑰管理中心密碼算法、密碼設(shè)備及接口證書認證中心密鑰管理中心證書認證中心運行管理要求密鑰管理中心運行管理要求證書操作流程附錄A證書認證系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖本標(biāo)準(zhǔn)在如下幾個方面進行了修訂：在“2規(guī)范性引用文件”部分，加入了對已頒布的多個國家密碼行業(yè)標(biāo)準(zhǔn)的引用，以及對RFC6960OCSP協(xié)議的引用；在“5.4數(shù)字證書”部分，指出對于使用RSA公鑰密碼算法的數(shù)字證書，格式和結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書格式》（GB/T20518），對于使用SM2公鑰密碼算法的數(shù)字證書，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015）；在“5.5證書撤銷列表”部分，指出對于使用RSA公鑰密碼算法的證書撤銷列表，格式和結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書格式》（GB/T20518），對于使用SM2公鑰密碼算法的證書撤銷列表，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015）；在“6.3.9密碼服務(wù)模塊”部分，修正了GB/T25056-2010中的一個錯誤，即“有關(guān)密碼算法、密碼設(shè)備和密碼接口的要求在本標(biāo)準(zhǔn)第6章中規(guī)定”，實際上應(yīng)該是“在第7章中規(guī)定”；在“7.1密碼算法”部分，推薦使用國產(chǎn)SM2和SM3密碼算法；在“7.3密碼服務(wù)接口”部分，不再采用GB/T25056-2010附錄C中定義的基本接口函數(shù)，要求接口遵循已頒布的國家密碼行業(yè)標(biāo)準(zhǔn)《密碼設(shè)備應(yīng)用接口規(guī)范》（GM/T0018）、《智能密碼鑰匙密碼應(yīng)用接口規(guī)范》（GM/T0016）、《通用密碼服務(wù)接口規(guī)范》（GM/T0019）和《證書應(yīng)用綜合服務(wù)接口規(guī)范》（GM/T0020）；刪去了GB/T25056-2010中的第8章“協(xié)議”，國家密碼管理局已經(jīng)頒布了《數(shù)字證書認證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014），因此增加了對該規(guī)范的引用，在進行認證時應(yīng)當(dāng)使用該規(guī)范中規(guī)定的協(xié)議；在“8.1.3管理員配置要求”部分，增加了一個新的角色“審計員”，對其應(yīng)承擔(dān)的職責(zé)進行了明確的描述；在“8.1.5初始化要求”中，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機制，提出該要求是為了與《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GM/T0034）中的要求保持一致；在“8.2.4.3根CA密鑰”部分，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機制，提出該要求是為了與《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GM/T0034）中的要求保持一致；在“8.2.4.5管理員證書密鑰”部分，增加了“審計員”角色；在“8.4.1概述”部分，增加了“對密碼設(shè)備故障應(yīng)采取冗余配置的要求”；在“8.5.1物理環(huán)境建設(shè)”部分，為了與《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GM/T0034）中的要求保持一致，增加了對《處理涉密信息的電磁屏蔽室的技術(shù)要求和測試方法》（BMB3-1999）的引用。此外，原先引用的標(biāo)準(zhǔn)《SJ/T10796-1996》已被國家標(biāo)準(zhǔn)《計算機機房用活動地板技術(shù)條件》（GB/T6650）取代，所以在修訂版中更新為對GB/T6650的引用；在“9.2.3管理員配置要求”部分，增加了一個新的角色“審計員”，對其應(yīng)承擔(dān)的職責(zé)進行了明確的描述；在“10.1人員管理要求”部分，增加了“CA審計員”、“RA業(yè)務(wù)管理員”、“RA業(yè)務(wù)操作員”三個角色，對他們的職責(zé)進行了明確描述；在“10.2.3.3口令管理”部分，新增了對口令密碼強度進行安全性檢查的要求，可以有效防止使用弱口令；新增了“10.2.4密鑰介質(zhì)管理制度”；在“10.5安全審計要求”部分，增加了“對記錄是否審計過進行標(biāo)注”和“對審計記錄進行數(shù)字簽名”兩項要求；在“11.1人員管理要求”部分，增加了為每個操作人員配置證書載體（如智能密碼鑰匙）的要求；刪去了GB/T25056-2010中的第13章“檢測”。由于證書認證密碼系統(tǒng)包含要素較多，原有的檢測章節(jié)中根本沒有描述檢測要求，只是一語帶過，所以將其刪去，由于進行檢測涉及多個方面的具體要求，內(nèi)容比較龐雜，建議將來為證書認證系統(tǒng)的檢測制訂專門的規(guī)范，這樣也能避免將其包含在本規(guī)范中會導(dǎo)致篇幅過長的問題；新增第12章“證書操作流程”，詳細規(guī)定了證書申請、更新、吊銷、用戶密鑰恢復(fù)、司法密鑰恢復(fù)、解除證書掛起共7項操作流程；刪去了附錄A、附錄B、附錄C和“參考文獻”。附錄A和B的內(nèi)容與已頒布的國家密碼行業(yè)標(biāo)準(zhǔn)《數(shù)字證書認證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014）不符，應(yīng)以GM/T0014為準(zhǔn)；附錄C的內(nèi)容與已頒布的國家密碼行業(yè)標(biāo)準(zhǔn)《通用密碼服務(wù)接口規(guī)范》（GM/T0019）不符，應(yīng)以GM/T0019為準(zhǔn)。在“規(guī)范性引用文件”部分已經(jīng)加入了對這些已頒布標(biāo)準(zhǔn)的引用。GB/T25056-2010中“參考文獻”部分只包含了《時間戳規(guī)范》（GB/T20520-2006）一個標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)在GB/T20520-2006中實際上并沒有用到，所以在修訂時刪去該參考文獻。與相關(guān)法律法規(guī)及國家有關(guān)規(guī)定、國內(nèi)相關(guān)標(biāo)準(zhǔn)的關(guān)系與密碼行業(yè)標(biāo)準(zhǔn)《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）的關(guān)系本標(biāo)準(zhǔn)編寫組成員單位參加了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）的制訂。為了推廣國產(chǎn)密碼算法，從2010年開始，在國家密碼管理局的領(lǐng)導(dǎo)下，本標(biāo)準(zhǔn)編寫組成員單位就開始針對使用國產(chǎn)密碼算法的數(shù)字證書起草相關(guān)的一系列規(guī)范。由于國標(biāo)的制訂和發(fā)布過程需要比較長的時間，在國家密碼管理局的領(lǐng)導(dǎo)下，本標(biāo)準(zhǔn)編寫組成員單位起草了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012），并以密碼行業(yè)標(biāo)準(zhǔn)的形式，與國產(chǎn)密碼算法SM2、國產(chǎn)密碼雜湊算法SM3有關(guān)的標(biāo)準(zhǔn)先后在2012年同一年發(fā)布。本標(biāo)準(zhǔn)吸收了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）中的內(nèi)容，并針對該密碼行業(yè)標(biāo)準(zhǔn)在實際使用中收到的反饋意見，進行了修改。有關(guān)問題的說明本標(biāo)準(zhǔn)規(guī)定了數(shù)字證書認證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，包括證書認證中心、密鑰管理中心、密碼算法、密碼設(shè)備及接口等。本標(biāo)準(zhǔn)適用于指導(dǎo)第三方認證機構(gòu)的數(shù)字證書認證系統(tǒng)的建設(shè)和檢測評估，規(guī)范數(shù)字