GB/T 19771-2005信息技術(shù)安全技術(shù)公鑰基礎(chǔ)設(shè)施PKI組件最小互操作規(guī)范

ICS35.100.70L79中華人民共和國國家標(biāo)準(zhǔn)GB/T19771—2005信息技術(shù)安全技術(shù)公鑰基礎(chǔ)設(shè)施PKI組件最小互操作規(guī)范Informationtechnology-Securitytechnology-Pubiickeyinfrastructure-MinimuminteroperabilityspecificationforPKIcomponents2005-05-25發(fā)布2005-12-01實(shí)施中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布中國國家標(biāo)準(zhǔn)化管理委員會

GB/T19771-2005三前言引言范圍2規(guī)范性引用文件3術(shù)語和定義45PKI組件規(guī)范……5.15.2證書認(rèn)證機(jī)構(gòu)（CA）…5.2.1概述5.2.2與互操作性有關(guān)的CA功能要求5.2.3電子事務(wù)集合5.3注冊機(jī)構(gòu)（RA）……..5.3.1達(dá)….……….·5.3.2與互操作性有關(guān)的RA功能要求55.3.3事務(wù)集合“·········：：：：：···：：·：5.4證書持有者規(guī)范5.4.1概述…··…·…·…·5.4.2與互操作性相關(guān)的PKI證書持有者功能要求5.4.3證書持有者事務(wù)集合5.5客戶規(guī)范·5.5.1客戶概述………….105.5.2與互操作性相關(guān)的PKI客戶功能要求5.5.3PKI客戶事務(wù)集合……………………..數(shù)據(jù)格式…………6106.1數(shù)據(jù)格式概述…106.2證書格式….106.2.1證書字段………106.2.2加加密算法……6.2.3證書擴(kuò)展……………6.3證書撤銷列表…176.3.1證書撒銷列表概述………..6.3.2CRL字段186.3.3CRL擴(kuò)展6.3.4CRLEntry擴(kuò)展20證書認(rèn)證路徑………6.4216.5事務(wù)消息格式·6.5.1事務(wù)消息格式概述·33

GB/T19771-200566.5.2全體PKI消息組件6.5.3通用數(shù)據(jù)結(jié)構(gòu)……6.5.4特殊操作的數(shù)據(jù)結(jié)構(gòu)286.6PKI事務(wù)…306.6.1PKI事務(wù)概述·306.6.2RA發(fā)起的注冊請求306.6.3新實(shí)體的自我注冊請求…326.6.4知實(shí)體的自我注冊請求3466.6.5證書更新……·….366.6.6PKCS#10自我注冊請求6.6.7撒銷請求?……………6.6.8集中產(chǎn)生密鑰對和密鑰管理證書申請.426.6.9咀合證書申請·+46.6.10從資料庫請求證書456.6.11從資料庫請求CRL附錄A(規(guī)范性附錄）X.509v3證書ASN.1附錄B(規(guī)范性附錄）證書和CRL擴(kuò)展ASN.150附錄C(規(guī)范性附錄）ASN.1Modulefortransactions58附錄D(規(guī)范性附錄）證書請求消息格式ASN.1Module65

GB/T19771-2005前本標(biāo)準(zhǔn)是在參考美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST)提出的《公鑰基礎(chǔ)設(shè)施PKI組件最小互操作規(guī)范》第二版內(nèi)容的基礎(chǔ)上修改而成,同時(shí)本標(biāo)準(zhǔn)還參照了包括證書管理策略(CMP)、證書請求消息格式(CRMF).FIPS許可的密碼算法和X9密碼算法等相關(guān)的規(guī)范本標(biāo)準(zhǔn)凡涉及密碼算法相關(guān)內(nèi)容，按國家有關(guān)法規(guī)實(shí)施。本標(biāo)準(zhǔn)中引用的SHA-1.RSA、SHAI-MAC、SHAl-HMAC·DES-MAC.tDEA密碼算法均為舉例性說明.具體使用時(shí)均須采用國家商用密碼管理委員會批準(zhǔn)的相應(yīng)算法。本標(biāo)準(zhǔn)的附錄A、附錄B、附錄C、附錄D為規(guī)范性附錄。本標(biāo)準(zhǔn)由中華人民共和國信息產(chǎn)業(yè)部提出。本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（TC260)歸口。本標(biāo)準(zhǔn)起草單位：信息安全國家重點(diǎn)實(shí)驗(yàn)室、中國電子技術(shù)標(biāo)準(zhǔn)化研究所本標(biāo)準(zhǔn)主要起草人：馮登國、吳志剛、荊繼武、高能、向繼、張凱、周瑞輝、徐佳、林璨銷、曹政余婧、廖洪奎、李丹、羅鋒盈、陳星。

GB/T19771-2005數(shù)字簽名證書在政府服務(wù)商業(yè)和法律程序中代替手寫簽名.并且允許以前沒有聯(lián)系的雙方可靠地鑒別對方以進(jìn)行商業(yè)事務(wù)。加密證書提供了加密傳輸和加密算法的應(yīng)用.來建立或保護(hù)對稱密鑰以提供機(jī)蜜性。這樣的一個(gè)公鑰基礎(chǔ)設(shè)施（PKI)系統(tǒng)和它相應(yīng)的證書,也許遠(yuǎn)遠(yuǎn)超出了一些應(yīng)用的實(shí)際需要，對那些特別的應(yīng)用要求來說改進(jìn)的證書和協(xié)議更合適。

GB/T19771-2005信息技術(shù)安全技術(shù)公鑰基礎(chǔ)設(shè)施PKI組件最小互操作規(guī)范1范圍本標(biāo)準(zhǔn)支持大規(guī)模公鑰基礎(chǔ)設(shè)施（PKI負(fù)責(zé)發(fā)布、撤銷和管理用于數(shù)字簽名及密鑰管理的公鑰證書)的互操作性。本標(biāo)準(zhǔn)為不同的PKI開發(fā)者所開發(fā)的組件產(chǎn)品提供了基本的互操作性參考。本標(biāo)準(zhǔn)的內(nèi)容涉及：公鑰證書的產(chǎn)生、更新和撤銷;簽名的產(chǎn)生和驗(yàn)證；證書和證書認(rèn)證路徑驗(yàn)證。本標(biāo)準(zhǔn)主要包括了對證書、證書撤銷列表(CRL)擴(kuò)展和一套事務(wù)的描述。這些事務(wù)包括證書申請證書更新、證書撤銷以及從資料庫檢索證書和CRL本標(biāo)準(zhǔn)主要以最終用戶的角度來看待PKI的互操作性，即怎樣申請和獲得一個(gè)證書：怎樣簽署文檔;怎樣檢索他人的證書;怎樣驗(yàn)證簽名。就像下面所提及的,PKI的“內(nèi)部"操作規(guī)范還沒有達(dá)到足夠成熟，因此它們沒有被詳細(xì)規(guī)定。在本標(biāo)準(zhǔn)中PKI被分成五個(gè)組件：煩發(fā)和撤銷證書的證書認(rèn)證機(jī)構(gòu)(CAs)：確保公鑰和證書持有者的身份以及別的屬性之間綁定的注冊機(jī)構(gòu)（RAs)；獲得證書和簽署文檔的證書持有者：驗(yàn)證簽名并且執(zhí)行密鑰管理協(xié)議以及驗(yàn)證證書認(rèn)證路徑的客戶；存儲井提供對證書和CRL查詢的資料庫許多實(shí)體在功能上既是證書持有者又是客戶。CAs和RAs也是如此。終端實(shí)體證書持有者通常也是客戶。當(dāng)然，也有一些客戶并不是證書持有者。資資料庫不必是證書持有者和客戶。本標(biāo)準(zhǔn)僅僅涉及資料庫協(xié)議的一部分,那就是客戶要求從資料庫中獲得證書和CRL的信息。本標(biāo)準(zhǔn)將輕型目錄訪問協(xié)議(LDAP)版本2作為用戶訪問資料庫的傳輸手段，因?yàn)樗潜粡V泛接受和采用的方法。例如,這種選擇既不強(qiáng)調(diào)CA用來更新資料庫的標(biāo)準(zhǔn)化協(xié)議,也不強(qiáng)調(diào)資料庫之間互相映射的協(xié)議,盡管它們都是需要的。前者可以具體情況具體分析以解決CA和資料庫之間的協(xié)議.后者也許井不必要在通常的證書狀態(tài)確認(rèn)(本標(biāo)準(zhǔn)遵循的)中.資料庫不是可信實(shí)體,CA對CRL的簽名更可靠。在線證書狀態(tài)實(shí)時(shí)確認(rèn)機(jī)制要求資料庫是可信實(shí)體，而且它們也能讓客戶相信他們的身份。這樣的證書狀態(tài)確認(rèn)協(xié)議超出了本標(biāo)準(zhǔn)的范圍.但是在一些應(yīng)用中可能需要實(shí)時(shí)證書狀態(tài)確認(rèn).所以在以后的修訂版中可能會解決這個(gè)問題。本標(biāo)準(zhǔn)中沒有提供讓資料庫驗(yàn)證使用者的協(xié)議，該協(xié)議是資料庫記費(fèi)應(yīng)用的前提。雖然這可能是資料庫重要的商