2021基于云計算的電子簽名服務(wù)技術(shù)要求

提供pdf版基于云計算的電子簽名服務(wù)技術(shù)要求目次前言 ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． 皿弓I言 N1規(guī)范性弓I用文件 112基于云計算的電子簽名服務(wù)一般架構(gòu) 2架構(gòu)模型 23術(shù)3術(shù)4體4本地數(shù)據(jù)保護 44通信數(shù)據(jù)保護 44子簽名的確認(rèn)與控制 4云簽名服務(wù)技術(shù)44

.........................................................................................................4

電子簽名服務(wù)要求

.............................................................................................5

運行支撐要求安全審計要求

8...................................................................................................8II

幾種典型的云簽名服務(wù)模式 W}W}｀l(xiāng)=I近年來，在移動互聯(lián)網(wǎng)和云計算等新技術(shù)的推動下，很多應(yīng)用領(lǐng)域從業(yè)務(wù)模式到技術(shù)支撐，都發(fā)生技術(shù)，也應(yīng)該及時適應(yīng)這些變化，在這些新的場景中發(fā)揮積極作用。同時，移動互聯(lián)網(wǎng)業(yè)務(wù)中，通過電子簽名技術(shù)保證業(yè)務(wù)安全性的需求越來越多，電子簽名相關(guān)應(yīng)用將向移動互聯(lián)網(wǎng)延伸。能力支撐?；谠朴嬎愕碾娮雍灻?，是為業(yè)務(wù)提供電子簽名功能的一種方式。服務(wù)方將電子簽名以云服務(wù)形式提供給用戶，使用戶能夠方便、低成本、隨時隨地生成各類業(yè)務(wù)所需的，具有法律效力的電子簽名。通過制定本文件，能夠?qū)谠朴嬎愕碾娮雍灻?wù)進行規(guī)范，從而為業(yè)務(wù)系統(tǒng)提供便捷可靠的電子簽名能力支撐?；г朴嬎愕碾娮雍灻?wù)技術(shù)要求本文件描述了基于云計算的電子簽名服務(wù)密碼技術(shù)需求，提出了采用數(shù)字證書和數(shù)字簽名技術(shù)實現(xiàn)的基于云計算的電子簽名服務(wù)的密碼技術(shù)要求。本文件適用于指導(dǎo)基于云計算的電子簽名服務(wù)的建設(shè)、管理、檢測和應(yīng)用。下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于GB/T15843 術(shù) 術(shù) GB/T20518 術(shù) 公鑰基礎(chǔ)設(shè)施 術(shù) 25056 術(shù) 25064 術(shù) 公鑰基礎(chǔ)設(shè)施 電子簽名格式規(guī)范GB/T2014 信息安全技術(shù) 術(shù) SM3術(shù) ） 信息安全技術(shù) SM2術(shù) 術(shù) 術(shù) 算 云服務(wù)運營通用要GB/T37092 信息安全技術(shù) 38636 術(shù) 傳輸層密碼協(xié)議(TLCP)Z4001密碼術(shù)語GB/TZ4001密碼術(shù)語GMZ4001名 electronicsignature數(shù)據(jù)電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù)。注：本文件中特指采用數(shù)字證書和數(shù)字簽名技術(shù)實現(xiàn)的電子簽名。算 cloudcomputing1通過網(wǎng)絡(luò)訪問可擴展的、靈活的物理或虛擬資源池，并可按需自助獲取與管理資源的模式。122注：資源實例包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用與存儲設(shè)備等。3.3商 cloudprovider注：云服務(wù)商管理、運營、支撐云計算的計算基礎(chǔ)設(shè)施及軟件，通過網(wǎng)絡(luò)支付云計算的資源。3.4云服務(wù)客戶 cloudservicecustomer為使用云計算服務(wù)同云服務(wù)商建立業(yè)務(wù)關(guān)系的參與方。注：本文件中云服務(wù)客戶簡稱客戶。3.5制作電子簽名的實體。依賴方依賴方party接受云簽名服務(wù)的依賴協(xié)議，獨立地判斷電子簽名是否滿足其應(yīng)用的安全需求的實體。云簽名服務(wù) cloud-basesigningservice為其他實體提供基于云的電子簽名服務(wù)及相關(guān)服務(wù)的機構(gòu)。下列縮略語適用于本文件。API 用編程接口(ApplicationProgrammingInterface)證書認(rèn)證機構(gòu)(CertificateAuthority)CRL 證書吊銷列表(CertificateRevocationList)OCSP 協(xié)議(OnlineCertificateStatusProtocol)5 基千云計算的電子簽名服務(wù)—般架構(gòu)能，所提供的電子簽名功能稱為云簽名。在其典型技術(shù)框架如圖1所示。云簽名服務(wù)服務(wù) （云 （用戶管理服務(wù)］ 安的 全 略電子簽 （） 管 管名服務(wù)

理 理（數(shù)字簽名服務(wù)］(------------------------------------------------、II: CA

lII_J第務(wù)方支撐 I III_J｝＿｝l 于二｝圖1 (APO,使用云簽名服務(wù)所提供的服務(wù)。生命周期管理。圖1中，各部分的功能介紹如下：簽名方在基于云的電子簽名活動中，將電子簽名功能或電子簽名功能的一部分委托云簽名服務(wù)完成，而簽名方使用終端、應(yīng)用程序或應(yīng)用系統(tǒng)對制作電子簽名的過程進行控制和確認(rèn)；依賴方通過判斷簽名方或云簽名服務(wù)提供的電子簽名及相關(guān)數(shù)據(jù)有效性來進行后續(xù)業(yè)務(wù)操作；、理等、、速伸縮性、服務(wù)可計量方面的特性要求。5.2 服務(wù)模式一：量，通過密碼協(xié)議交生最終簽名結(jié)果。詳見A.1。，在，務(wù)端為其完成簽名操作。詳見A.2。6 依賴方技術(shù)要求37092中與業(yè)務(wù)相匹配安全級別的要求。密碼模塊應(yīng)支，驗證電子簽名過程應(yīng)滿足2的要求。若電子簽名功能需要由簽名方可使用密碼模塊完成基于云計算的電子簽名所需的密碼功能。若使用密碼模塊，該模塊應(yīng)認(rèn)證，滿足T2中與業(yè)務(wù)相匹配安全級別的要，支持7._本地數(shù)據(jù)保護簽名方應(yīng)對本地的關(guān)鍵配置數(shù)據(jù)、敏感數(shù)據(jù)進行完整性保護和機密性保護。身份鑒別

的各項通信數(shù)據(jù)保護簽名方與云簽名服務(wù)通信時，應(yīng)按照云簽名服務(wù)的接入要求進行通信數(shù)據(jù)保護。密鑰管理在使用協(xié)同簽名模式進行電子簽名時，簽名方應(yīng)支持在密碼模塊內(nèi)部產(chǎn)生簽名密鑰的客戶端分量，支待密鑰分量存儲和安全使用。在電子簽名過程中，簽名方應(yīng)對電子簽名的相關(guān)數(shù)據(jù)進行確認(rèn)，并通過交互對簽名過程進行控制。若內(nèi)容確認(rèn)與簽名交互采用密碼模塊，應(yīng)滿足如下要求：在云簽名服務(wù)的建設(shè)、運行和服務(wù)過程中，應(yīng)滿足GB/T22239中與業(yè)務(wù)安全要求相匹配的級別要求，滿足GB/T31168對云服務(wù)安全能力的要求和GB/T39786對密碼應(yīng)用安全的要求。建設(shè)要求云簽名服務(wù)提供者應(yīng)建設(shè)和部署與業(yè)務(wù)安全級別相匹配的物理環(huán)境、基礎(chǔ)設(shè)施、網(wǎng)絡(luò)環(huán)境和計算環(huán)GM/T 0109一2021GB/T39786。所使用的所采用的密碼模塊應(yīng)符合GB/T37092與業(yè)務(wù)安全要求相匹配的級別要求，應(yīng)通過商用密碼電子簽名服務(wù)要求通用要求密碼算法和密碼技術(shù)的要求在基于云的電子簽名服務(wù)中，所采用的密碼算法和密碼技術(shù)、密碼協(xié)議應(yīng)符合密碼國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)，其中可使用的密碼算法包括：GB/T35276；電子簽名過程中數(shù)據(jù)完整性保護應(yīng)采用GB/T32905規(guī)定的密碼雜湊算法；電子簽名過程中數(shù)據(jù)機密性保護應(yīng)采用GB/T32907規(guī)定的。電子簽名格式要求云簽名服務(wù)所形成的電子簽名數(shù)據(jù)應(yīng)符合GB/T35275的要求。對于需長期保存、OCSP響應(yīng)信息等。如電子簽名需要第三方認(rèn)證，基于云計算的電子簽名服務(wù)應(yīng)采用合法的第三方電子認(rèn)證機構(gòu)所頒發(fā)的數(shù)字證書。云簽名服務(wù)可與CA對接實現(xiàn)用戶數(shù)字證書的管理。數(shù)字證書格式應(yīng)遵循GB/T20518。用戶管理用戶注冊云簽名服務(wù)應(yīng)支持簽名方用戶注冊到云簽名服務(wù)中。若存在依賴方發(fā)起簽名的場景，應(yīng)支持依賴方用戶注冊到系統(tǒng)。具體要求如下：信息；。用戶審核用戶激活時，云簽名服務(wù)應(yīng)為簽名用戶產(chǎn)生用于電子簽名的密鑰。產(chǎn)生密鑰的過程要求詳見8.3.3.2。5用戶可使用此密鑰向第三方電子認(rèn)證機構(gòu)申請數(shù)字證書。云簽名服務(wù)應(yīng)支持用戶自主對其自身的信息進行查詢、維護和管理。云簽名服務(wù)應(yīng)支持對用戶進行注銷。密鑰管理云簽名服務(wù)應(yīng)提供滿足GB/T等，并滿足在電子簽名過程中密鑰由簽名者唯一控制的要求。對不同簽名模式的簽名，其密鑰產(chǎn)生應(yīng)滿足以下要求。對代理簽名模式，云簽名服務(wù)應(yīng)在密碼設(shè)備中為用戶產(chǎn)生簽名密鑰。云簽名服務(wù)應(yīng)支持存儲用戶簽名密鑰或簽名密鑰的服務(wù)端分量，其中私有密鑰應(yīng)加密存儲，公開密鑰應(yīng)以數(shù)字證書形式存儲。應(yīng)保證用戶密鑰之間存儲隔離。密鑰使用名。具體要求如下。對者身份、待簽名內(nèi)容、簽名時間等信息相關(guān)，認(rèn)證通過后在密碼設(shè)備或密碼模塊中完成簽名。應(yīng)保證密鑰的使用過程相互隔離。間等，應(yīng)保證日志和審計信息不可篡改、不可刪除、不可偽造。云簽名服務(wù)應(yīng)提供密鑰更新服務(wù)，密鑰更新需要銷毀原有密鑰并產(chǎn)生新的密鑰，申請新的數(shù)字證書。密鑰備份與恢復(fù)鑰進行備份或恢復(fù)。其中，系統(tǒng)密鑰的備份與恢復(fù)應(yīng)符合GB/T25056的要求。用戶簽名密鑰的密文可采用數(shù)據(jù)庫備份／恢復(fù)的方式來進行。密鑰備份或恢復(fù)應(yīng)進行記錄，并生成審計信息，審計信息應(yīng)包括備份或恢復(fù)的主體、備份或恢復(fù)的時間等。如果用戶選擇終止云簽名服務(wù)，應(yīng)支持銷毀用戶密鑰或用戶密鑰的服務(wù)端分量。密鑰銷毀應(yīng)符合GB/T25056電子簽名過程安全要求概述下進行。電子簽名功能應(yīng)保證用戶對簽名密鑰的唯控制。簽名請求的鑒別云簽名服務(wù)在接收到簽名請求后，應(yīng)對請求來源進行鑒別，具體要求如下：對于簽名方發(fā)起的請求，應(yīng)識別和驗證簽名方身份，驗證簽名請求完整性。電子簽名過程要求電子簽名服務(wù)過程應(yīng)使用用戶密鑰服務(wù)端分量或完整的用戶密鑰進行簽名并按約定的格式返回：.3.中)c、d)、e項的要求；對于代理簽名模式，應(yīng)按照8.3.3.4b)的要求使用用戶的簽名密鑰進行數(shù)字簽名，并滿足、d)、在電子簽名過程中，云簽名服務(wù)應(yīng)為用戶提供各種安全控制措施。在協(xié)同簽名模式下，應(yīng)對協(xié)同簽名過程進行安全控制，安全控制方法包括但不限于：云簽名服務(wù)對簽名方簽名行為設(shè)置錯誤計數(shù)機制和錯誤計數(shù)上限，當(dāng)用戶簽名錯誤達到在代理簽名模式下，應(yīng)支持對簽名方身份鑒別和簽名授權(quán)過程進行安全控制，安全控制方法包括但不限于：數(shù)據(jù)安全要求GB/T39786一20217.431168的要求，并滿足以下要求：電子簽名服務(wù)接入要求到務(wù)對請求者身份進行鑒別。 云簽名服務(wù)應(yīng)支持對簽名別用GT1543，確定如何響應(yīng)其請求?！だ鏕B/T中定義的傳輸層密碼協(xié)議。安全通道應(yīng)對通信內(nèi)容進行機密性保護和完整性保護。請求的的處理。 請求類型應(yīng)包括但不限于用戶管理密鑰管理和電子簽名等，其具體要求見8.3.、8.3.3、8.3.4。GB/T36326安全運維要求安全審計要求云簽名服務(wù)應(yīng)提供安全審計功能，對涉及系統(tǒng)安全的行為、人員、時間的日志記錄進行跟蹤、統(tǒng)計和99GB/T31168—201411章的要求，并滿足以下要求：附錄附錄（資料性）A幾種典型的云簽名服務(wù)模式A協(xié)同簽名模式協(xié)同簽名模式用于向個人提供簽名服務(wù)的業(yè)務(wù)場景。在協(xié)同簽名模式下，用以電子簽名的密鑰通務(wù)共同完成簽名。其中客戶端使用密碼模塊進行客戶端簽名計算，服務(wù)端使用密碼機完成服務(wù)端簽名能由任何傳輸數(shù)據(jù)計算得出。?協(xié)同簽名模式下，簽名任務(wù)可由依賴方發(fā)起或由簽名方發(fā)起。典型依賴方發(fā)起簽名請求的協(xié)同簽?lll·，---------------------I； 云簽名服務(wù)

求 ：

云簽名服務(wù),I中間件------------------------------l！ ：中間件------------------------------l

: ，1--1--2推送簽名誚求--L2推送簽名誚求--L!」

,,－-－--端名一戶簽}}完一-i-＿－-＿,,－-－--端名一戶簽}}完一-i-＿－-＿－-＼

5服務(wù)端簽名,--------l密碼設(shè)備或 ！!＿－-－－－名同協(xié)－＿－－＿－!＿－-－－－名同協(xié)－＿－－＿－，

端密鑰因子和證書L一！- l－-－－-－－-模－－-}--－－L一！- l－-－－-－－-模－－-}--－－一--－-－－－－－－－－,l－如圖A.1所示，典型協(xié)同簽名的過程包括：a) 10)簽名請求進行確認(rèn)；)））））cde）f）fgh）））).l).l.J)云簽名服務(wù)驗證簽名結(jié)果，可基于簽名驗證情況采取安全控制措施