电子政务电子认证服务业务规则规范文档格式.docx

1、GM/T 0034 基于SM2密码算法的证书认证系统密码及其相关安全技术规范GM/T 0054 信息系统密码应用基本要求13术语和定义GM/Z 0001确立的以及下列术语和定义适用本文件。 公钥基础设施 public key infrastructure（PKI）基于公钥密码技术实施的具有普适性的基础设施，可用于提供机密性、完整性、真实性及抗抵赖性等安全服务。 加密 encipherment/encryption对数据进行密码变换以产生密文的过程。 加密证书 encipherment certificate/exchange certificate用于证明加密公钥的数字证书。 密码模块 cry

2、ptographic module实现密码运算功能的、相对独立的软件、硬件、固件或其组合。 密码算法 cryptographic algorithm描述密码处理过程的运算规则。密钥 key控制密码算法运算的关键信息或参数。 证书更新 Certificate update指在不改变密钥的情况下，用一个新证书来代替旧证书的过程。 密钥更新 key update用一个新密钥来代替旧密钥的过程，通常指证书与密钥同时更新。 密钥恢复 key recovery将归档或备份的密钥恢复到可用状态的过程。 签名证书 signature certificate用于证明签名公钥的数字证书。 身份鉴别/实体鉴别 au

3、thentication/entity authentication确认一个实体所声称身份的过程。数字签名 digital signature签名者使用私钥对待签名数据的杂凑值做密码运算得到的结果，该结果只能用签名者的公钥进行验证，用于确认待签名数据的完整性、签名者身份的真实性和签名行为的抗抵赖性。数字证书 digital certificate也称公钥证书，由证书认证机构（CA）签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。私钥 private key非对称密码算法中只能由拥有者

4、使用的不公开密钥。SM2 算法 SM2 algorithm一种椭圆曲线公钥密码算法，其密钥长度为256 比特。证书撤销列表 certificate revocation list （CRL）由证书认证机构（CA）签发并发布的被撤销证书的列表。证书认证机构 certification authority（CA）对数字证书进行全生命周期管理的实体。也称为电子认证服务机构。证书注册机构 registration authority （RA）受理数字证书的申请、更新、恢复和注销等业务的实体。证书依赖方 certificate dependent依赖于证书真实性的实体。在电子签名应用中，即为电子签名依赖

5、方。依赖方可以是也可以不是一个证书持有者。14符号和缩略语下列缩略语适用于本文件：CA认证机构（Certification Authority）CPS证书业务声明（Certification Practice Statement）CRL证书撤销列表（Certificate Revocation List）LDAP轻量级目录访问协议（Lightweight Directory Access Protocol）OCSP在线证书状态协议（Online Certificate Status Protocol ）RA注册机构（Registration Authority）LRA证书注册受理点（Local

6、 Registration Authority）15电子政务电子认证服务业务规则管理规范策略文档管理认证机构应成立本机构的电子政务电子认证服务业务规则的管理机构，对本机构的电子政务电子认证服务业务规则进行维护与管理，包括：1. 确定电子政务电子认证服务业务规则的维护职责，并建立合理有效的电子政务电子认证服务业务规则修订和批准流程；2. 电子政务电子认证服务业务规则管理机构应定期对存在的业务风险进行评估，并及时对电子政务电子认证服务业务规则进行修订。按照电子政务电子认证服务管理办法规定，应将制定后的电子政务电子认证服务业务规则及时报国家密码管理局进行备案，并在服务范围内公开发布。联系方式认证机构

7、应在电子政务电子认证服务业务规则中明确本机构对外的相关联系内容，包括：1. 本机构电子政务电子认证服务业务规则的发布地址2. 机构网站地址3. 电子邮箱地址4. 联系地址5. 联系部门6. 电话号码7. 传真号码批准程序认证机构应在电子政务电子认证服务业务规则中明确该业务规则的批准程序，包括：1. 起草小组的成立流程；2. 电子政务电子认证服务业务规则管理机构的审批流程；3. 发布流程；4. 向主管机关的备案流程。16电子政务电子认证服务业务要求电子政务电子认证服务机构应当按照电子政务电子认证服务管理办法所规定的服务内容及要求开展相应的电子认证服务活动。数字证书服务服务内容认证机构面向电子政务

8、活动中的政务部门和企事业单位、社会团体、社会公众等电子政务用户提供的证书申请、证书签发、证书更新和证书撤销等证书全生命周期管理服务。数字证书类型认证机构可提供以下类型的数字证书：1. 机构证书用以代表政务机关和参与电子政务业务的企事业单位、社会团体或其他组织的身份，如：代表单位和部门等机构身份证书。2. 个人证书为各级政务部门的工作人员和参与电子政务业务的社会公众颁发的证书，用以代表个体的身份，如：某局局长、某局职员或参加纳税申报的个人的身份证书等。3. 设备证书为电子政务系统中的服务器或设备颁发的数字证书，用以代表服务器或设备的身份，如：服务器身份证书、IPSec VPN设备证书等。4. 其

9、他类型证书为满足电子政务相关应用的特殊需求而提供的其他应用类型的证书，如：代码签名证书等。以上各类数字证书格式应遵循GM/T 0015，在标识实体名称时，应保证实体身份的唯一性，且名称类型应支持、RFC-822、等标准协议格式。身份标识与鉴别1. 命 名数字证书命名应遵循GM/T 0015的要求，不得使用匿名或假名。2. 证书申请人的身份确认A. 证明持有私钥的方法认证机构应在其CPS中声明其证明申请者拥有私钥的方法。可通过如下方式进行验证：1） 签名密钥应属于证书申请者专有；2） 证书申请者应使用其私钥对证书请求信息进行数字签名；3） CA应使用证书申请者公钥验证该签名；4） 证书私钥的保管

10、应符合GM/T 0034和GM/T 0028等相关标准规范。B. 组织机构身份的鉴别在把证书签发给一个组织机构或组织机构拥有的设备时，认证机构应对证书持有者所在的组织机构进行身份鉴别。对组织机构身份鉴别方式，至少包括如下内容：1） 确认组织机构是确实存在的、合法的实体；2） 确认该组织机构知晓并授权证书申请，代表组织机构提交证书申请的人是经过授权的；3） 确保身份鉴别材料或电子数据具备不可篡改和抗抵赖性。C. 个人身份的鉴别在把证书签发给个人时，认证机构应对证书持有者进行身份鉴别。对个人身份鉴别方式，至少包括如下内容：1） 确认个人的身份是确实存在的、合法的实体；2） 确认证书持有者知晓并授权

11、证书申请，代表他人提交证书申请的人是经过授权的；D. 在把证书签发给政府部门中的个人时，认证机构还应确认以下内容：1） 通过可靠的方式确保证书持有者所在的组织、部门与证书中所列的组织、部门一致，证书中通用名就是证书持有者的真实姓名；2） 确认证书持有者属于该组织机构，证书持有者确实被招录或聘用。3. 密钥更新请求的识别与鉴别A. 常规的密钥更新请求的识别与鉴别对于一般正常情况下的密钥更新申请，证书持有者应提交能够识别原证书的足够信息，并使用更新前的私钥对包含新公钥的申请信息签名。对申请的鉴别应满足以下条件：1） 申请对应的原证书存在并且由认证机构签发；2） 用原证书（有效期内的证书）上的证书持

12、有者公钥对申请的签名进行验证；3） 基于原注册信息进行身份鉴别。B. 撤销之后的密钥更新请求的识别与鉴别证书撤销后不能进行密钥更新。4. 撤销请求的身份标识与鉴别证书撤销请求可以来自证书持有者，也可以来自认证机构、注册机构。证书持有者通过认证机构、注册机构申请撤销证书时，认证机构、注册机构应对证书持有者进行身份鉴别。申请撤销证书应包括以下流程：A. 认证机构应在CPS中明确公布用户提交证书撤销请求的方式和要求；B. 认证机构、注册机构应按照本机构发布的电子政务电子认证服务业务规则规定的方式与证书持有者联系，并对申请人进行身份鉴别，确认要撤销证书的人或组织确实是证书持有者本人或被授权人。数字证书

13、服务操作要求 证书申请1. 信息告知认证机构应在本机构发布的电子政务电子认证服务业务规则中陈述受理证书申请的所有流程及要求，并告知证书申请者及证书持有者所必须提交的材料和流程。2. 申请的提交A. 证书申请应由证书持有者或相应的授权人提交；B. 非证书持有者代表组织机构进行批量证书申请的还应获得该组织的授权；C. 认证机构应提供多种证书申请受理的方式。3. 注册过程及责任认证机构在处理每一个证书申请中，应满足以下条件：A. 保留对最终实体身份的证明和确认信息；B. 保证证书申请者和持有者信息不被篡改、私密信息不被泄漏；C. 注册过程应保证所有证书申请者明确同意相关的证书申请协议；D. 确保证书

14、申请信息安全传输。 证书申请处理1. 执行识别与鉴别功能当认证机构、注册机构接收到证书申请者的证书申请后，应按照的要求对证书申请者的身份进行鉴别。2. 证书申请批准和拒绝认证机构、注册机构应在鉴别的基础上，批准或拒绝申请。如果拒绝申请，应通过适当的方式、在2个工作日内通知证书申请者；如果批准申请，应为证书申请者办理证书签发服务。3. 处理证书申请的时间认证机构处理证书请求的最长响应时间应不超过2个工作日。4. 对拒绝证书申请原因的说明认证机构、注册机构拒绝证书申请，应明确通知证书申请者原因，如：无法完成鉴别和验证身份信息；用户没有提交所规定的文件；用户没有在规定时间内回复通知；未收到证书费用等

15、等。 证书签发1. 证书签发中RA和CA的行为证书签发请求中，RA和CA应相互进行身份认证并确保申请信息传输的机密性。CA应验证RA的签发请求，无误后方可签发证书。2. CA和RA通知证书申请者证书的签发认证机构的证书签发系统签发证书后，应将证书签发的信息通过适当的方式通知证书申请者或RA。如果证书申请获得批准并签发，RA应通过适当的方式告诉证书申请者如何获取证书。 证书接受1. 构成接受证书的行为认证机构应提供安全可靠的接受证书的方式，满足约定方式的条件，应当视为证书申请者接受证书。2. CA对证书的发布对于证书申请者明确表示拒绝发布证书信息的，认证机构应不发布该证书申请者证书信息。没有明确

16、表示拒绝的，认证机构可将证书信息发布到目录系统。3. CA通知其他实体证书的签发 认证机构应在CPS中声明是否需要向其他实体通知。 密钥对和证书使用1. 证书持有者私钥和证书使用认证机构应明确证书持有者私钥和证书的用途，证书持有者应按约定的方式使用其私钥和证书。未按规定用途使用造成的损失由证书持有者自行承担责任。2. 依赖方对公钥和证书使用依赖方应按约定的方式对签名信息进行验证。未按规定用途使用造成损失的，由依赖方自行承担责任。依赖方应使用接收方的公钥进行信息加密，公钥证书应同加密信息一同发送给接收方。 证书与密钥更新1. 证书更新的情形证书更新通常是指密钥不变，证书有效期延长。证书更新业务规

17、则参照密钥更新执行。2. 密钥更新的情形密钥更新通常指密钥和证书同时更新，建议认证机构采用密钥和证书同时更新。被撤销或已过期的证书不能进行密钥更新和证书更新。3. 密钥更新申请的提交证书持有者、证书持有者的授权代表（如：机构证书等）或证书对应实体的拥有者（如设备证书等）可以提交密钥更新。4. 处理密钥更新请求处理密钥更新请求应对原证书、申请的签名信息及身份信息进行验证和鉴别，无误后方可进行。5. 通知证书持有者新证书的签发应明确通知证书持有者新证书签发的方式及时间。6. 构成接受密钥更新的行为应明确构成接受密钥更新的行为（如：当面接受数字证书、在线下载成功等）。7. CA对更新证书的发布应明确

18、对密钥更新的发布条件、方式及途径。8. CA通知其他实体证书的签发应明确密钥更新后是否需要通知其他实体。证书补办补办是指在证书有效期内，证书持有者出现证书载体丢失或证书载体损坏时进行证书补发的操作。补发操作成功时，旧证书将被撤销，新证书有效期从补发成功之日起到旧证书失效日止。证书补办业务的操作流程，按照证书申请的身份鉴别和受理流程执行。证书变更用户要求认证机构对已签发的数字证书进行证书信息变更。证书变更业务的操作流程，按照证书申请的身份鉴别和受理流程执行。证书撤销1. 证书撤销的条件认证机构、注册机构及证书持有者在发生下列情形之一时，应申请撤销数字证书：A. 政务机构的证书持有者不从事原岗位工

19、作；B. 司法机构要求撤销证书持有者证书；C. 证书持有者提供的信息不真实；D. 证书持有者没有或无法履行有关规定和义务；E. 认证机构、注册机构或最终证书持有者有理由相信或强烈怀疑一个证书持有者的私钥安全已经受到损害；F. 政务机构有理由相信或强烈怀疑其下属机构证书、人员证书或设备证书的私钥安全已经受到损害；G. 与证书持有者达成的证书持有者协议已经终止；H. 证书持有者请求撤销其证书；I. 法律、行政法规规定的其他情形。2. 证书撤销的发起当出现符合证书撤销条件中的情形时，证书持有者、认证机构、注册机构、证书持有者所属的组织机构或证书使用唯一依赖方有权发起证书撤销申请，如存在一证通项目，认

20、证机构应在CPS中明确描述证书撤销的发起条件。3. 证书撤销的处理A. 认证机构、注册机构在接到证书持有者的撤销请求后，应对其身份进行鉴别并确认其为证书持有者本人或得到了证书持有者的授权；B. 认证机构、注册机构应在24小时内，撤销符合条件的证书并发布到证书撤销列表；C. 证书撤销后，应通过有效方式及时告知证书持有者或依赖方证书撤销结果。4. 依赖方检查证书撤销的要求对于安全保障要求比较高并且完全依赖证书进行身份鉴别与授权的应用，依赖方在信赖一个证书前应当查询证书撤销列表确认该证书的状态。5. CRL发布方式及频率认证机构应明确证书撤销列表的发布方式及频率，最长时间间隔不得超过24小时。6.

21、CRL发布的最大滞后时间证书从撤销到发布到CRL上的滞后时间不得超过24小时。7. CRL备份及频率认证机构负责对CRL进行备份，最长时间间隔不得超过24小时，备份保存时间不少于证书失效后10年。8. 在线状态查询的可用性认证机构应提供证书状态的在线查询服务（OCSP），并提供724小时查询服务。9. 撤销信息发布的其他形式除了CRL、OCSP 外，认证机构如提供其他形式的撤销信息发布途径，应予以公布。密钥生成、备份和恢复证书加密密钥对的生成、备份和恢复应由国家密码管理局和省部密码管理部门规划建设的密钥管理基础设施提供密钥管理服务。密钥恢复按照证书申请的身份鉴别与受理流程执行，将加密证书的归档

22、或备份密钥，恢复到可用状态。应用集成支持服务证书应用接口程序认证机构应提供证书应用接口程序供应用系统集成和调用。证书应用接口程序应符合GM/T 0020的要求，提供证书环境设置、证书解析、随机数生成、签名验证、加解密、时间戳以及数据服务接口等功能，并提供C、C#、Java等多种接口形态。证书应用方案支持认证机构应具备针对电子政务信息系统的电子认证安全需求分析能力、电子认证法律法规和技术体系的咨询能力以及设计满足业务要求的电子认证、电子签名服务方案设计能力。数字证书应用方案设计可包括：证书格式设计、证书交付、支持服务、信息服务、集成方案、建设方案、介质选型等。证书应用接口集成认证机构应具备面向各

23、类应用的证书应用接口集成能力，并达到以下要求：1. 应具备在多种应用环境下进行系统集成的技术能力，包括基于Java、.NET等B/S应用模式和基于C、VC等C/S应用模式的系统集成能力。2. 应提供满足不同应用系统平台的证书应用接口组件包，包括com组件、java组件、ActiveX控件、Applet插件等。3. 应提供集成辅助服务，包括接口说明、集成手册、测试证书、集成示例、演示DEMO等。信息服务信息服务是面向证书应用单位提供证书发放和应用情况信息汇总及统计分析的信息管理服务。根据证书应用单位对证书应用信息的管理及决策需求，认证机构应为证书应用单位提供相应的信息服务，为其实现科学管理和领导

24、决策提供可靠依据。信息服务应包括：1. 证书信息服务；2. CRL信息服务；3. 服务支持信息服务；4. 决策支持信息服务等。服务管理规则认证机构在提供信息服务时，应确保做好相关信息的隐私保障机制，实现对用户的信息保护承诺。1. 私有信息类型的敏感度以下信息应属于私有信息：A. 个人隐私信息；B. 商业机密；C. 政府部门的敏感信息和工作秘密。 证书申请过程中涉及的用户申请信息是敏感信息，而发布的证书和CRL信息不是敏感信息，证书发布根据用户要求进行公布与不公布。2. 允许的私有信息采集认证机构仅允许在进行证书发放和管理时才能收集CPS声明的私有信息。除了已与用户沟通确认外，认证机构不应收集更

25、多私有信息。3. 允许的私有信息使用认证机构应只使用CA或者RA收集的私有信息。因在某项业务中开展证书应用而获得的私有信息，在使用时应首先得到该业务应用单位的许可。4. 私有信息的安全存储认证机构应采取安全手段对用户私有信息进行安全存储，确保用户私有信息不发生泄露、未授权访问等安全事件。5. 允许的个人信息发布认证机构和注册机构仅能面向证书应用单位发布与之相关的私有信息，以协助证书应用单位进行证书业务管理。任何特定的私有信息发布应遵照相关法律和政策实行。6. 所有者纠正私有信息的机会认证机构应允许用户在其证书生命周期内对其私有信息进行更正。7. 对司法及监管机构发布私有信息认证机构或者注册机构

26、在以下情况下，可以执行将私有信息提供获得相应授权的人员：A. 司法程序；B. 经私有信息所有者同意；C. 按照明确的法定权限的要求或许可。服务方式信息服务应以页面或接口的形式面向应用系统或证书用户提供服务。以接口形式提供服务的应符合GM/T 0020的要求。使用支持服务使用支持服务是认证机构面向证书使用用户（即证书申请者、证书持有者）及证书应用单位提供的一系列售后服务及技术支持工作。服务内容应包括：数字证书管理、数字证书使用、证书存储介质使用、电子认证软件系统使用、电子认证服务支撑平台使用以及各类数字证书应用（如证书登录、证书加密、数字签名）等贯穿证书使用和应用过程中的所有问题。服务能力认证机构应提供多种服务方式，不断满足用户需求，提升用户满意度，可不局限于座席服务、在线服务、现场服务等，并公布相应的服务获取方式。认证机构应建立服务保障体系，包括建立专业的服务队伍、服务规范、知识库、服务跟踪系统、满意度调查、投诉受理等。服务保障体系应根据服务业务的变化及时更新。认证机构应提供全面的培训服务，包括电子认证服务基础性技术知识、服务规范、证书应用集成规范及相关帮助文档、常见问题解答（FAQ）、操作手册等。服务质量服务质量应明确以下内容：1. 服务的获取方式；2. 座席服务、在线服务、现场服务的服务时间，响应效率；3. 投诉处理承诺；4. 培