基于LTE的車聯(lián)網(wǎng)無線通信技術(shù) 安全證書管理系統(tǒng)技術(shù)要求

ICS33.060.99

CCSM30

GB/T×××××—××××

中華人民共和國國家標(biāo)準(zhǔn)

GB/T[×××××]—[××××]

基于LTE的車聯(lián)網(wǎng)無線通信技術(shù)安全證

書管理系統(tǒng)技術(shù)要求

LTE-basedvehicularcommunication—Technicalrequirementofsecurity

certificatemanagementsystem

[點擊此處添加與國際標(biāo)準(zhǔn)一致性程度的標(biāo)識]

（征求意見稿）

（本稿完成日期：2023年3月）

[××××]-[××]-[××]發(fā)布[××××]-[××]-[××]實施

I

GB/T×××××—××××

目次

前言...............................................................................................................................................................IV

1范圍.....................................................................................................................................................................1

2規(guī)范性引用文件.................................................................................................................................................1

3術(shù)語、定義和縮略語........................................................................................................................................1

3.1術(shù)語和定義.................................................................................................................................................1

3.2縮略語.........................................................................................................................................................2

4概述.....................................................................................................................................................................3

4.1V2X通信安全系統(tǒng)構(gòu)成.............................................................................................................................3

4.2V2X通信安全服務(wù)架構(gòu).............................................................................................................................4

5LTE-V2X證書管理安全需求..............................................................................................................................8

5.1概述.............................................................................................................................................................8

5.2機密性要求.................................................................................................................................................8

5.3完整性要求.................................................................................................................................................8

5.4認(rèn)證要求.....................................................................................................................................................8

5.5隱私保護要求.............................................................................................................................................9

5.6CA系統(tǒng)安全要求.......................................................................................................................................9

6LTE-V2X通信安全認(rèn)證機制總體技術(shù)要求......................................................................................................9

6.1LTE-V2X證書管理系統(tǒng)架構(gòu)......................................................................................................................9

6.2LTE-V2X安全證書....................................................................................................................................19

6.3基本元素說明..........................................................................................................................................25

6.4安全協(xié)議數(shù)據(jù)單元..................................................................................................................................25

6.5數(shù)字證書和證書管理數(shù)據(jù)格式..............................................................................................................37

7LTE-V2X通信安全認(rèn)證交互流程及接口技術(shù)要求........................................................................................50

7.1注冊證書管理流程..................................................................................................................................50

7.2假名證書申請流程..................................................................................................................................56

7.3應(yīng)用證書和身份證書管理流程..............................................................................................................63

7.4證書撤銷列表管理流程..........................................................................................................................68

7.5機構(gòu)證書管理流程..................................................................................................................................79

7.6異常行為管理..........................................................................................................................................79

7.7LA管理架構(gòu)和流程.................................................................................................................................79

8LTE-V2X通信安全認(rèn)證PKI互信技術(shù)要求.....................................................................................................83

8.1概述...........................................................................................................................................................83

8.2PKI互信架構(gòu)............................................................................................................................................83

8.3PKI互信管理過程....................................................................................................................................85

8.4PKI互信認(rèn)證過程....................................................................................................................................87

II

GB/T×××××—××××

8.5可信根證書列表管理策略......................................................................................................................87

8.6可信域證書列表管理策略......................................................................................................................87

8.7可信域的異常行為檢查..........................................................................................................................87

附錄A（資料性）車聯(lián)網(wǎng)通信安全基本應(yīng)用模式................................................................................89

附錄B（資料性）基于OAUTH的token授權(quán)機制...............................................................................91

附錄C（規(guī)范性）ASN.1模板..................................................................................................................94

附錄D（規(guī)范性）密碼算法的輸入與輸出..........................................................................................119

附錄E（規(guī)范性）V2X設(shè)備與安全證書管理系統(tǒng)接口的數(shù)據(jù)格式..................................................123

附錄F（規(guī)范性）GBA機制應(yīng)用層會話密鑰產(chǎn)生及使用方法..........................................................158

附錄G（資料性）證書生命周期及更新場景......................................................................................159

附錄H（資料性）密鑰衍生流程的一種算法建議..............................................................................162

附錄I（規(guī)范性）鏈接值相關(guān)定義......................................................................................................165

附錄J（規(guī)范性）可信證書列表及互信認(rèn)證流程..............................................................................167

附錄K（資料性）算法編碼示例..........................................................................................................171

參考文獻(xiàn).............................................................................................................................................................179

III

GB/T×××××—××××

基于LTE的車聯(lián)網(wǎng)無線通信技術(shù)安全證書管理系統(tǒng)技術(shù)要求

1范圍

本文件規(guī)定了基于LTE的車聯(lián)網(wǎng)安全證書管理系統(tǒng)技術(shù)要求，主要內(nèi)容包括安全證書管理系統(tǒng)架構(gòu)

和相關(guān)的顯式證書格式及交互流程。

本文件適用于LTE-V2X設(shè)備和安全證書管理系統(tǒng)。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文

件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適

用于本文件。

GB/T16262（所有部分）信息技術(shù)抽象語法記法一(ASN.1)

GB/T25056信息安全技術(shù)證書認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范

GB/T25069信息安全技術(shù)術(shù)語

GB/T32905信息安全技術(shù)SM3密碼雜湊算法

GB/T32907信息安全技術(shù)SM4分組密鑰算法

GB/T32918（所有部分）信息安全技術(shù)SM2橢圓曲線公鑰算法

GB/T36624信息技術(shù)安全技術(shù)可鑒別的加密機制

YD/T4008-2022基于LTE的車聯(lián)網(wǎng)無線通信技術(shù)應(yīng)用標(biāo)識分配及映射

ISO/IEC8825-7信息技術(shù)抽象語法記法一(ASN.1)編碼規(guī)則第7部分八位字節(jié)編碼規(guī)則(OER)

（Informationtechnology--ASN.1encodingrules:SpecificationofOctetEncodingRules

(OER)）.

3GPPTS33.220:通用認(rèn)證架構(gòu)：通用引導(dǎo)架構(gòu)（GenericAuthenticationArchitecture

(GAA);GenericBootstrappingArchitecture(GBA)）

3術(shù)語、定義和縮略語

3.1術(shù)語和定義

GB/T25069界定的以及下列術(shù)語和定義適用于本文件。

3.1.1

V2X設(shè)備V2Xequipment

車載設(shè)備（OBU）、路側(cè)設(shè)備（RSU）和服務(wù)提供商（VSP）的安全設(shè)備。

3.1.2

1

GB/T×××××—××××

V2X通信證書V2Xcommunicationcertificate

證書機構(gòu)簽發(fā)給車聯(lián)網(wǎng)設(shè)備的各種與V2X通信相關(guān)的V2X證書，例如注冊證書、假名證書、應(yīng)用證

書、身份證書等。

3.1.3

V2X授權(quán)證書V2Xauthorizationcertificate

用于在V2X安全通信中驗證消息的V2X證書，包括：假名證書、應(yīng)用證書和身份證書。

3.1.4

V2X證書V2Xcertificate

本文所描述的數(shù)字證書統(tǒng)稱為V2X證書。

3.1.5

機構(gòu)證書authoritycertificate

為證書機構(gòu)簽發(fā)的V2X證書，包括RCA、ICA、ECA、PCA、ACA、PRA、ARA、LA和MA證書等。

4縮略語

下列縮略語適用于本文件。

AAA認(rèn)證授權(quán)機構(gòu)AuthenticationandAuthorizationAuthority

AC應(yīng)用證書ApplicationCertificate

ACA應(yīng)用證書機構(gòu)ApplicationCertificateAuthority

AID應(yīng)用標(biāo)識ApplicationIdentifier

API應(yīng)用程序接口ApplicationProgrammingInterface

ARA應(yīng)用證書注冊機構(gòu)ApplicationCertificateRegistrationAuthority

ASN.1抽象記法1AbstractSyntaxNotationdotone

BSF引導(dǎo)服務(wù)功能BootstrappingServerFunction

BSM主動安全消息BasicSafetyMessage

CA證書機構(gòu)CertificateAuthority

CRA證書撤銷機構(gòu)CertificateRevocationAuthority

CRL證書撤銷列表CertificateRevocationList

CTL證書可信列表CertificateTrustList

DCM設(shè)備配置管理DeviceConfigurationManager

EC注冊證書EnrolmentCertificate

ECA注冊證書機構(gòu)EnrolmentCertificateAuthority

GBA通用引導(dǎo)架構(gòu)GenericBootstrappingArchitecture

HTTP超文本傳輸協(xié)議HyperTextTransferProtocol

HTTPS超文本傳輸安全協(xié)議HyperTextTransferProtocolSecure

ICA中間證書機構(gòu)IntermediateCA

ID身份標(biāo)識IDentity

LA鏈接機構(gòu)LinkageAuthority

LTE長期演進LongTermEvolution

2

GB/T×××××—××××

ls鏈接種子LinkageSeed

lv鏈接值LinkageValue

MA異常行為管理機構(gòu)MisbehaviorAuthority

NAF網(wǎng)絡(luò)應(yīng)用功能NetworkApplicationFunction

OBU車載設(shè)備OnBoardUnit

PC假名證書PseudonymCertificate

PCA假名證書機構(gòu)PseudonymCertificateAuthority

PDU協(xié)議數(shù)據(jù)單元ProtocolDataUnit

PKI公鑰基礎(chǔ)設(shè)施PublicKeyInfrastructure

PRA假名證書注冊機構(gòu)PseudonymCertificateRegistrationAuthority

RA注冊機構(gòu)RegistrationAuthority

RCA根證書機構(gòu)RootCertificateAuthority

Rscm安全憑證管理參考點SecurityCredentialManagementReferencepoint

Rsde安全數(shù)據(jù)交換參考點SecureDataExchangeReferencepoint

RSU路側(cè)設(shè)備RoadSideUnit

SCME安全憑證管理實體SecurityCredentialManagementEntity

SCMF安全憑證管理功能SecurityCredentialManagementFunction

SDPF安全數(shù)據(jù)處理功能SecureDataProcessingFunction

SPDU安全協(xié)議數(shù)據(jù)單元SecuredProtocolDataUnit

SSF安全服務(wù)功能SecurityServiceFunction

SSP服務(wù)特定許可ServiceSpecificPermission

TCMF可信證書管理功能TrustedCertificateManagementFunction

TDCL可信域CA證書列表TrustedDomainCACertificatesList

TLS傳輸層安全性協(xié)議TransportLayerSecurity

TRCL可信根證書列表TrustedRootCertificateList

可信根證書列表管理

TRCLA機構(gòu)TrustedRootCertificateListAuthority

USIM全球用戶識別模塊UniversalSubscriberIdentityModule

V2X車聯(lián)萬物VehicletoEverything

VSP車聯(lián)網(wǎng)服務(wù)提供商V2XServiceProvider

5概述

5.1V2X通信安全系統(tǒng)構(gòu)成

車聯(lián)網(wǎng)通信安全實體關(guān)系參考模型如圖1所示，圖中實線表示V2X設(shè)備之間的通信關(guān)系，虛線表示

實體之間的授權(quán)關(guān)系。該參考模型由如下實體構(gòu)成：

——車載設(shè)備（OBU）：安裝在車輛上，負(fù)責(zé)V2X通信的實體。數(shù)據(jù)發(fā)送時，OBU使用與CA簽發(fā)

給它的數(shù)字證書對應(yīng)的私鑰對其播發(fā)的信息進行數(shù)字簽名和/或使用數(shù)據(jù)接收方證書對數(shù)據(jù)進

行加密；數(shù)據(jù)接收時，OBU使用發(fā)送方的公鑰對消息進行驗證和/或使用本地私鑰對加密消息

進行解密。

——路側(cè)設(shè)備（RSU）：安裝在路側(cè)交通控制設(shè)備和交通信息發(fā)布設(shè)備中，負(fù)責(zé)V2X通信的實體。

數(shù)據(jù)發(fā)送時，RSU使用與CA簽發(fā)給它的數(shù)字證書對應(yīng)的私鑰對其播發(fā)的信息進行數(shù)字簽名和

/或使用數(shù)據(jù)接收方證書對數(shù)據(jù)進行加密；數(shù)據(jù)接收時，RSU使用發(fā)送方的公鑰對消息進行驗

證和/或使用本地私鑰對加密消息進行解密。

——服務(wù)提供商（VSP）：負(fù)責(zé)道路交通的管理機構(gòu)和在車聯(lián)網(wǎng)系統(tǒng)里提供某種商業(yè)服務(wù)的服務(wù)機

3

GB/T×××××—××××

構(gòu)。數(shù)據(jù)發(fā)送時，VSP使用與CA簽發(fā)給它的數(shù)字證書對應(yīng)的私鑰對其播發(fā)的信息進行數(shù)字簽

名和/或使用數(shù)據(jù)接收方證書對數(shù)據(jù)進行加密；數(shù)據(jù)接收時，VSP使用發(fā)送方的公鑰對消息進

行驗證和/或使用本地私鑰對加密消息進行解密。VSP需要通過具有轉(zhuǎn)發(fā)能力的路側(cè)設(shè)備進行

安全消息的發(fā)送和接收。

——證書機構(gòu)（CA）：負(fù)責(zé)向車聯(lián)網(wǎng)設(shè)備（OBU，RSU，VSP）簽發(fā)各種通信證書或簽發(fā)證書撤銷列

表（CRL），例如注冊CA、假名CA、應(yīng)用CA、證書撤銷機構(gòu)（CRA）等。

圖1車聯(lián)網(wǎng)通信安全實體關(guān)系參考模型

證書機構(gòu)車聯(lián)網(wǎng)通信安全系統(tǒng)的基本應(yīng)用模式參見附錄A。

5.2V2X通信安全服務(wù)架構(gòu)

5.2.1安全功能和安全實體

概述

車聯(lián)網(wǎng)安全通信服務(wù)架構(gòu)如圖2所示，其由如下功能或?qū)嶓w構(gòu)成：

——安全數(shù)據(jù)處理功能（SDPF）

——安全憑證管理功能（SCMF）

——安全服務(wù)功能（SSF）

——安全憑證管理實體（SCME）

4

GB/T×××××—××××

圖2車聯(lián)網(wǎng)安全通信服務(wù)架構(gòu)

5

GB/T×××××—××××

安全數(shù)據(jù)處理功能

安全數(shù)據(jù)處理功能（SDPF）位于車聯(lián)網(wǎng)設(shè)備中的某個車聯(lián)網(wǎng)應(yīng)用服務(wù)實體中，負(fù)責(zé)處理與特定應(yīng)

用相關(guān)的安全性操作，也即基于特定的車聯(lián)網(wǎng)應(yīng)用邏輯生成與處理安全消息。例如，在車聯(lián)網(wǎng)主動安

全應(yīng)用中，車輛主動安全系統(tǒng)基于相應(yīng)的應(yīng)用邏輯生成簽名消息或驗證簽名消息并獲得消息明文。

SDPF在執(zhí)行安全數(shù)據(jù)處理過程中可能需要調(diào)用SSF提供的基本安全服務(wù)，例如數(shù)字簽名、數(shù)字簽名驗

證、數(shù)據(jù)加密、數(shù)據(jù)解密等。

安全憑證管理功能

安全憑證管理功能（SCMF）在車聯(lián)網(wǎng)設(shè)備中負(fù)責(zé)與車聯(lián)網(wǎng)安全憑證管理實體交互獲得相關(guān)的公鑰

證書和CRL等安全憑證或數(shù)據(jù)。SCMF需要與SSF交互以完成安全憑證和數(shù)據(jù)（例如公鑰證書和CRL）的導(dǎo)

入和導(dǎo)出，以及密鑰的生成和導(dǎo)出等操作。

安全服務(wù)功能

安全服務(wù)功能（SSF）位于車聯(lián)網(wǎng)設(shè)備中，負(fù)責(zé)提供安全憑證和安全數(shù)據(jù)的存儲和密碼運算服務(wù)，

例如，公鑰證書和CRL的存儲，密鑰的生成和存儲，簽名、驗簽、加密、解密和哈希運算等密碼運算。

SSF通過SSF應(yīng)用程序接口（API）對外提供安全服務(wù)。

SSF負(fù)責(zé)處理本文件定義的安全協(xié)議數(shù)據(jù)單元（SPDUs）。SSF通過生成和處理SPDU為車聯(lián)網(wǎng)設(shè)備提

供簽名、驗簽、加密和解密等安全服務(wù)。

安全憑證管理實體

安全憑證管理實體（SCME）負(fù)責(zé)向車輛聯(lián)網(wǎng)設(shè)備簽發(fā)各種用于通信安全的公鑰證書，以及管理和

發(fā)布證書撤銷列表。

5.2.2通信安全協(xié)議數(shù)據(jù)單元

在車聯(lián)網(wǎng)系統(tǒng)中，為通信數(shù)據(jù)提供安全保護的基本數(shù)據(jù)單位稱為安全協(xié)議數(shù)據(jù)單元（SPDU）。安

全協(xié)議數(shù)據(jù)單元由安全服務(wù)功能（SSF）創(chuàng)建和處理。

本文件定義了如下類型的安全協(xié)議數(shù)據(jù)單元：

——明文安全協(xié)議數(shù)據(jù)單元（UnsecuredSPDU）：數(shù)據(jù)未經(jīng)數(shù)字簽名或數(shù)據(jù)加密保護。該數(shù)據(jù)單

元的使用者對數(shù)據(jù)單元中攜帶的數(shù)據(jù)不需要進行進一步的安全處理即可以使用。

——簽名安全協(xié)議數(shù)據(jù)單元（SignedSPDU）：數(shù)據(jù)為經(jīng)與公鑰證書對應(yīng)的私鑰進行數(shù)字簽名后的

數(shù)據(jù)。該數(shù)據(jù)單元的使用者需要對數(shù)據(jù)單元中攜帶的數(shù)據(jù)的完整性進行驗證、對來源進行確

認(rèn)后才能使用。

——加密安全協(xié)議數(shù)據(jù)單元（EncryptedSPDU）：數(shù)據(jù)為經(jīng)對稱密鑰或非對稱密鑰加密后的數(shù)

據(jù)。

安全協(xié)議數(shù)據(jù)單元可嵌套使用，具體的應(yīng)用順序依據(jù)應(yīng)用邏輯確定。

5.2.3通信安全消息

6

GB/T×××××—××××

在車聯(lián)網(wǎng)通信中，由某個實體發(fā)送給其他實體的包含有安全協(xié)議數(shù)據(jù)單元（SPDU）和/或處理安全

協(xié)議數(shù)據(jù)單元所需數(shù)據(jù)的消息稱為安全消息（SecureMessage）。安全消息由安全數(shù)據(jù)處理功能

（SDPF）依據(jù)具體的應(yīng)用邏輯創(chuàng)建和處理。

5.2.4通信安全參考點

車聯(lián)網(wǎng)實體之間通過安全通信參考點進行安全的數(shù)據(jù)交換操作。本文件定義了2個與通信安全相關(guān)

的參考點：

——安全數(shù)據(jù)交換參考點（Rsde）：車聯(lián)網(wǎng)設(shè)備之間通過Rsde參考點來安全地交換數(shù)據(jù)。

——安全憑證管理參考點（Rscm）：車聯(lián)網(wǎng)設(shè)備通過Rscm參考點與安全憑證簽發(fā)實體進行交互，

以申請證書和獲得CRL等安全數(shù)據(jù)。

5.2.5通信安全過程

車聯(lián)網(wǎng)通信安全的一般過程如圖3所示。具體步驟如下：

步驟1：發(fā)送方的SDPF依據(jù)某個車聯(lián)網(wǎng)應(yīng)用邏輯生成明文數(shù)據(jù)，并向本地SSF發(fā)送安全服務(wù)請求，

以便獲得后者為其提供數(shù)字簽名或數(shù)據(jù)加密等安全服務(wù)。服務(wù)請求中包含有明文數(shù)據(jù)和/或處理安全協(xié)

議數(shù)據(jù)單元所需的數(shù)據(jù)，例如公鑰證書等。

步驟2：發(fā)送方的SSF根據(jù)安全服務(wù)請求執(zhí)行相應(yīng)的安全操作，例如數(shù)據(jù)簽名或數(shù)據(jù)加密等。SSF將

安全操作的結(jié)果封裝在SPDU中，然后將該SPDU通過安全服務(wù)響應(yīng)返回給SDPF。

步驟3：發(fā)送方的SDPF依據(jù)SSF生成的SPDU和應(yīng)用邏輯生成應(yīng)用特定格式的安全消息，例如主動安

全消息。

步驟4：發(fā)送方的SDPF將生成的安全消息廣播出去。

步驟5：接收方的SDPF依據(jù)應(yīng)用邏輯從接收到的安全消息中獲得SPDU。

步驟6：接收方SDPF向本地SSF發(fā)送安全服務(wù)請求，以便獲得后者為其提供簽名驗證或數(shù)據(jù)解密等

安全服務(wù)。服務(wù)請求中包含有SPDU和/或處理安全協(xié)議數(shù)據(jù)單元所需的數(shù)據(jù)，例如公鑰證書等。

步驟7：接收方的SSF根據(jù)安全服務(wù)請求執(zhí)行相應(yīng)的安全操作，例如驗證簽名或解密數(shù)據(jù)等，然后

將安全服務(wù)結(jié)果通過安全服務(wù)響應(yīng)返回給SDPF。

7

GB/T×××××—××××

圖3車聯(lián)網(wǎng)通信安全消息處理流程

6LTE-V2X證書管理安全需求

6.1概述

LTE-V2X通信安全認(rèn)證的內(nèi)容包括但不限于：機密性、完整性、可認(rèn)證性，要求可抵御重放攻擊，

可檢測DDoS攻擊等行為，要求對V2X直連通信的各方尤其是OBU進行隱私保護。

6.2機密性要求

OBU、RSU和VSP接入CA系統(tǒng)時，根據(jù)需要可支持對消息的機密性保護，保證消息在傳輸時不被竊

聽，防止OBU、RSU和VSP身份信息及以上設(shè)備所有者的私密信息泄露。

各CA之間、CA內(nèi)部各子系統(tǒng)之間通信時，應(yīng)采用密碼技術(shù)和安全協(xié)議，保證重要數(shù)據(jù)在傳輸過程

中的機密性。

CA應(yīng)保證重要數(shù)據(jù)在存儲過程中的機密性。

6.3完整性要求

OBU、RSU和VSP接入CA系統(tǒng)時，應(yīng)支持對消息的完整性保護，防止消息被偽造、篡改。

CA之間、CA內(nèi)部各子系統(tǒng)之間通信時，應(yīng)采用密碼技術(shù)和安全協(xié)議，保證重要數(shù)據(jù)在傳輸過程中

的完整性。

CA應(yīng)保證重要數(shù)據(jù)在存儲過程中的完整性。

6.4認(rèn)證要求

8

GB/T×××××—××××

OBU、RSU和VSP接入CA系統(tǒng)過程中，應(yīng)支持?jǐn)?shù)據(jù)源認(rèn)證，保證數(shù)據(jù)源頭的合法性，防止假冒或偽造

的數(shù)據(jù)信息。

各CA之間、CA內(nèi)部各子系統(tǒng)之間通信時，應(yīng)執(zhí)行雙向認(rèn)證，確認(rèn)對方身份的合法性。

6.5隱私保護要求

CA系統(tǒng)應(yīng)確保假名證書與非假名證書之間的無關(guān)聯(lián)性，防止用戶隱私泄露。

CA系統(tǒng)應(yīng)支持對OBU真實身份標(biāo)識的隱藏，防止內(nèi)部或外部攻擊者竊取用戶隱私。

6.6CA系統(tǒng)安全要求

CA系統(tǒng)的安全性應(yīng)符合GB/T25056的相關(guān)要求。

7LTE-V2X通信安全認(rèn)證機制總體技術(shù)要求

7.1LTE-V2X證書管理系統(tǒng)架構(gòu)

7.1.1系統(tǒng)架構(gòu)

概述

本文件中LTE-V2X證書管理系統(tǒng)基于公鑰基礎(chǔ)設(shè)施（PKI）實現(xiàn)，其架構(gòu)如圖4所示，主要包括根證

書機構(gòu)、LTE-V2X證書機構(gòu)、認(rèn)證授權(quán)機構(gòu)和證書申請主體四部分。實際應(yīng)用時，圖中各邏輯實體可以

根據(jù)實際設(shè)備開發(fā)及部署需要合設(shè)或者分設(shè)，并可以根據(jù)政策法規(guī)，行業(yè)監(jiān)管要求和業(yè)務(wù)運營需要，

由不同機構(gòu)分層分級部署、管理和運營。

9

GB/T×××××—××××

圖4LTE-V2X證書管理系統(tǒng)架構(gòu)

LTE-V2X證書管理系統(tǒng)包括：

——根證書機構(gòu)（RootCA）；

——中間證書機構(gòu)（ICA）；

——LTE-V2X證書機構(gòu)；

——鏈接機構(gòu)（LA）；

——異常行為管理機構(gòu)（MA）；

——認(rèn)證授權(quán)機構(gòu)（AAA）；

——車聯(lián)網(wǎng)設(shè)備（V2XEquipment）。

根證書機構(gòu)

根證書機構(gòu)RootCA是LTE-V2X證書管理系統(tǒng)的信任根，負(fù)責(zé)系統(tǒng)根證書的管理與維護并對LTE-V2X

證書機構(gòu)進行注冊審批。在確認(rèn)LTE-V2X證書機構(gòu)的合法性之后，根證書機構(gòu)為其簽發(fā)管理機構(gòu)的數(shù)字

證書，使其成為系統(tǒng)內(nèi)的有效實體。

中間證書機構(gòu)

10

GB/T×××××—××××

LTE-V2X證書管理系統(tǒng)可根據(jù)PKI部署的實際需要，在根證書機構(gòu)與LTE-V2X證書機構(gòu)之間部署中間

證書機構(gòu)，以支持多層級CA部署方式。

LTE-V2X證書機構(gòu)

LTE-V2X證書機構(gòu)負(fù)責(zé)管理LTE-V2X安全通信應(yīng)用相關(guān)數(shù)字證書，負(fù)責(zé)審核證書申請主體的合法

性，簽發(fā)、撤銷證書申請主體的數(shù)字證書。

LTE-V2X證書機構(gòu)是LTE-V2X證書管理系統(tǒng)中各種證書機構(gòu)的統(tǒng)稱。根據(jù)LTE-V2X安全通信應(yīng)用的證

書類型及用途不同，LTE-V2X證書機構(gòu)可分為：注冊證書機構(gòu)（ECA）、假名證書機構(gòu)（PCA）、應(yīng)用證

書機構(gòu)（ACA）、假名證書注冊機構(gòu)（PRA）、應(yīng)用證書注冊機構(gòu)（ARA）

注冊機構(gòu)負(fù)責(zé)證書申請主體的注冊審批管理，證書機構(gòu)負(fù)責(zé)數(shù)字證書的發(fā)行管理。

鏈接機構(gòu)

鏈接機構(gòu)為假名證書生成鏈接值，以支持假名證書的批量撤銷。

異常行為管理機構(gòu)

異常行為管理機構(gòu)能夠識別潛在的異常行為或故障，確定需要撤銷的證書，生成證書撤銷列表

（CRL）。

認(rèn)證授權(quán)機構(gòu)

認(rèn)證授權(quán)機構(gòu)負(fù)責(zé)證書申請主體的身份認(rèn)證和授權(quán)。在設(shè)備初始化階段，為證書申請主體簽發(fā)注

冊數(shù)字證書或其他類型的安全憑證，使其能夠憑借獲得的安全憑證與LTE-V2X證書機構(gòu)安全交互并獲取

相應(yīng)的證書。認(rèn)證授權(quán)機構(gòu)還可以對證書申請主體向LTE-V2X證書機構(gòu)發(fā)起的證書請求進行授權(quán)。

根據(jù)應(yīng)用場景的不同，認(rèn)證授權(quán)系統(tǒng)可基于設(shè)備配置管理（DCM）服務(wù)系統(tǒng)，LTE網(wǎng)絡(luò)通用引導(dǎo)架

構(gòu)（GBA）認(rèn)證授權(quán)系統(tǒng)或者OAuth授權(quán)服務(wù)系統(tǒng)等多種方式實現(xiàn)。

.1基于DCM模式的認(rèn)證授權(quán)機構(gòu)

V2X設(shè)備通過DCM服務(wù)系統(tǒng)與注冊證書機構(gòu)交互，以獲取注冊證書。DCM為被V2X設(shè)備和CA系統(tǒng)信任

的設(shè)備。為此，DCM應(yīng)預(yù)置與V2X設(shè)備和CA系統(tǒng)建立安全關(guān)聯(lián)所需的安全憑證。相應(yīng)地，V2X設(shè)備和CA系

統(tǒng)也應(yīng)預(yù)置與DCM設(shè)備建立安全關(guān)聯(lián)所需的安全憑證。當(dāng)V2X設(shè)備申請注冊證書時，其應(yīng)向DCM獲取后續(xù)

申請注冊證書的相關(guān)信息，如PKI中各證書簽發(fā)機構(gòu)的證書。通過DCM申請V2X設(shè)備注冊證書時，應(yīng)確保

V2X設(shè)備與DCM服務(wù)系統(tǒng)之間連接的安全性。例如，可通過物理環(huán)境安全、TLS安全協(xié)議或?qū)Ｓ玫亩说蕉?/p>

安全連接實現(xiàn)相關(guān)操作。

.2基于GBA模式的認(rèn)證授權(quán)機構(gòu)

基于GBA的PKI架構(gòu)支持有ECA的系統(tǒng)架構(gòu)和無ECA的系統(tǒng)架構(gòu)。GBA機制遵從3GPPTS33.220實現(xiàn)，

GBA認(rèn)證授權(quán)系統(tǒng)包括3GPP標(biāo)準(zhǔn)定義的引導(dǎo)服務(wù)功能（BSF）網(wǎng)元和網(wǎng)絡(luò)應(yīng)用功能（NAF）網(wǎng)元，負(fù)責(zé)

OBU、RSU等證書申請主體的身份認(rèn)證、業(yè)務(wù)應(yīng)用的授權(quán)及GBA共享會話密鑰的提供。為了確保隨機數(shù)、

密鑰等敏感參數(shù)信息在終端側(cè)操作處理時的安全性，系統(tǒng)優(yōu)先采用GBA_U方式實現(xiàn)。

基于GBA的PKI架構(gòu)可以分為以下兩種：

a）采用ECA的系統(tǒng)架構(gòu)

在采用ECA的系統(tǒng)架構(gòu)下，證書申請主體首先通過GBA認(rèn)證授權(quán)系統(tǒng)申請獲取EC注冊證書，之后基

于EC注冊證書申請LTE-V2X安全通信相關(guān)的其他應(yīng)用數(shù)字證書（如PC假名證書，AC應(yīng)用證書）。此架構(gòu)

11

GB/T×××××—××××

下，GBA認(rèn)證授權(quán)系統(tǒng)需要預(yù)先與EC注冊證書機構(gòu)建立起安全的通信通道，以確保兩者之間數(shù)據(jù)交互的

安全性。

在申請EC注冊證書時，GBA認(rèn)證授權(quán)系統(tǒng)基于USIM中的用戶標(biāo)識及根密鑰與OBU、RSU終端進行雙向

身份認(rèn)證，成功后為ECA提供與終端建立安全關(guān)聯(lián)的GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、

RSU終端可與ECA安全交互，在線實現(xiàn)EC證書申請、更新等業(yè)務(wù)處理。

在申請PC，AC等其他應(yīng)用證書時，PCA、ACA等證書機構(gòu)通過訪問GBA認(rèn)證授權(quán)系統(tǒng)來對OBU、RSU終

端進行身份認(rèn)證并對終端的業(yè)務(wù)請求獲取授權(quán)。認(rèn)證授權(quán)成功后，GBA認(rèn)證授權(quán)系統(tǒng)向證書機構(gòu)提供

GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、RSU終端安全接入證書機構(gòu)，并使用EC注冊證書實現(xiàn)

PC，AC等應(yīng)用證書的申請、更新等操作。

b）省略ECA的系統(tǒng)架構(gòu)

在省略ECA的系統(tǒng)架構(gòu)下，證書申請主體首先接入GBA認(rèn)證授權(quán)系統(tǒng)為業(yè)務(wù)請求申請獲取業(yè)務(wù)令

牌，之后基于業(yè)務(wù)令牌申請PC、AC等其他應(yīng)用證書。

在申請業(yè)務(wù)令牌時，GBA認(rèn)證授權(quán)系統(tǒng)基于USIM中的用戶標(biāo)識及根密鑰與OBU、RSU終端進行雙向身

份認(rèn)證，并根據(jù)策略對終端的業(yè)務(wù)請求授權(quán)。授權(quán)成功后，GBA認(rèn)證授權(quán)系統(tǒng)向終端簽發(fā)業(yè)務(wù)令牌，并

向應(yīng)用證書機構(gòu)提供GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、RSU終端安全接入證書機構(gòu)，并

使用業(yè)務(wù)令牌實現(xiàn)PC，AC等應(yīng)用證書的申請、更新等操作。

.3基于OAuth模式的認(rèn)證授權(quán)機構(gòu)

基于OAuth2.0授權(quán)服務(wù)器的PKI架構(gòu)為無ECA的系統(tǒng)架構(gòu)。當(dāng)認(rèn)證授權(quán)服務(wù)器是OAuth授權(quán)服務(wù)器

時，OBU通過OAuth機制授權(quán)訪問PRA服務(wù)。這個過程基于IETF標(biāo)準(zhǔn)“RFC6749:OAuth2.0授權(quán)架構(gòu)”定

義的OAuth2.0機制實現(xiàn)。OBU使用RFC6749中定義的客戶端憑證向OAuth授權(quán)服務(wù)器請求對PRA服務(wù)的授

權(quán)訪問。OAuth授權(quán)服務(wù)器根據(jù)策略接受或者拒絕這個請求。如果接受，則向OBU發(fā)行AccessToken。

OBU根據(jù)AccessToken向服務(wù)提供方PRA申請假名證書，OBU與PRA之間建立TLS安全通道，PRA驗證

AccessToken，驗證成功后提供對假名證書的訪問?；贠Auth的Token授權(quán)機制參見附錄B。

車聯(lián)網(wǎng)設(shè)備

V2X設(shè)備為證書申請主體，其向LTE-V2X證書機構(gòu)申請獲取相關(guān)數(shù)字證書。參與LTE-V2X安全通信的

實體，包括車載設(shè)備（OBU）、路側(cè)設(shè)備（RSU）及其他形態(tài)的實體。

7.1.2基于DCM的PKI架構(gòu)

V2X設(shè)備通過DCM服務(wù)系統(tǒng)與注冊證書機構(gòu)交互，以獲取注冊證書。DCM為被V2X設(shè)備和CA系統(tǒng)信任

的設(shè)備。為此，DCM應(yīng)預(yù)置與V2X設(shè)備和CA系統(tǒng)建立安全關(guān)聯(lián)所需的安全憑證。相應(yīng)地，V2X設(shè)備和CA系

統(tǒng)也應(yīng)預(yù)置與DCM設(shè)備建立安全關(guān)聯(lián)所需的安全憑證。當(dāng)V2X設(shè)備申請注冊證書時，其應(yīng)向DCM獲取后續(xù)

申請注冊證書的相關(guān)信息，如PKI中各證書簽發(fā)機構(gòu)的證書。通過DCM申請V2X設(shè)備注冊證書時，應(yīng)確保

V2X設(shè)備與DCM服務(wù)系統(tǒng)之間連接的安全性。例如，可通過基于物理環(huán)境安全、TLS安全協(xié)議或?qū)Ｓ玫亩?/p>

到端安全連接實現(xiàn)相關(guān)操作。

7.1.3基于GBA的PKI架構(gòu)

基于GBA的PKI架構(gòu)支持有ECA的系統(tǒng)架構(gòu)和無ECA的系統(tǒng)架構(gòu)。GBA機制遵從3GPPTS33.220實現(xiàn)，

GBA認(rèn)證授權(quán)系統(tǒng)包括3GPP標(biāo)準(zhǔn)定義的引導(dǎo)服務(wù)功能（BootstrappingServerFunction，BSF）網(wǎng)元和

網(wǎng)絡(luò)應(yīng)用功能（NetworkApplicationFunction，NAF）網(wǎng)元，負(fù)責(zé)OBU、RSU等證書申請主體的身份認(rèn)

12

GB/T×××××—××××

證、業(yè)務(wù)應(yīng)用的授權(quán)及GBA共享會話密鑰的提供。為了確保隨機數(shù)、密鑰等敏感參數(shù)信息在終端側(cè)操作

處理時的安全性，系統(tǒng)優(yōu)先采用GBA_U方式實現(xiàn)。

基于GBA的PKI架構(gòu)可以分為以下兩種：

c）采用ECA的系統(tǒng)架構(gòu)

在采用ECA的系統(tǒng)架構(gòu)下，證書申請主體首先通過GBA認(rèn)證授權(quán)系統(tǒng)申請獲取EC注冊證書，之后基

于EC注冊證書申請LTE-V2X安全通信相關(guān)的其他應(yīng)用數(shù)字證書（如PC假名證書，AC應(yīng)用證書）。此架構(gòu)

下，GBA認(rèn)證授權(quán)系統(tǒng)需要預(yù)先與EC注冊證書機構(gòu)建立起安全的通信通道，以確保兩者之間數(shù)據(jù)交互的

安全性。

在申請EC注冊證書時，GBA認(rèn)證授權(quán)系統(tǒng)基于USIM中的用戶標(biāo)識及根密鑰與OBU、RSU終端進行雙向

身份認(rèn)證，成功后為ECA提供與終端建立安全關(guān)聯(lián)的GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、

RSU終端可與ECA安全交互，在線實現(xiàn)EC證書申請、更新等業(yè)務(wù)處理。

在申請PC，AC等其他應(yīng)用證書時，PCA、ACA等證書機構(gòu)通過訪問GBA認(rèn)證授權(quán)系統(tǒng)來對OBU、RSU終

端進行身份認(rèn)證并對終端的業(yè)務(wù)請求獲取授權(quán)。認(rèn)證授權(quán)成功后，GBA認(rèn)證授權(quán)系統(tǒng)向證書機構(gòu)提供

GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、RSU終端安全接入證書機構(gòu)，并使用EC注冊證書實現(xiàn)

PC，AC等應(yīng)用證書的申請、更新等操作。

d）省略ECA的系統(tǒng)架構(gòu)

在省略ECA的系統(tǒng)架構(gòu)下，證書申請主體首先接入GBA認(rèn)證授權(quán)系統(tǒng)為業(yè)務(wù)請求申請獲取業(yè)務(wù)令

牌，之后基于業(yè)務(wù)令牌申請PC、AC等其他應(yīng)用證書。

在申請業(yè)務(wù)令牌時，GBA認(rèn)證授權(quán)系統(tǒng)基于USIM中的用戶標(biāo)識及根密鑰與OBU、RSU終端進行雙向身

份認(rèn)證，并根據(jù)策略對終端的業(yè)務(wù)請求授權(quán)。授權(quán)成功后，GBA認(rèn)證授權(quán)系統(tǒng)向終端簽發(fā)業(yè)務(wù)令牌，并

向應(yīng)用證書機構(gòu)提供GBA共享會話密鑰。憑借GBA共享會話密鑰，OBU、RSU終端安全接入證書機構(gòu)，并

使用業(yè)務(wù)令牌實現(xiàn)PC，AC等應(yīng)用證書的申請、更新等操作。

7.1.4基于OAuth的PKI架構(gòu)

基于OAuth2.0授權(quán)服務(wù)器的PKI架構(gòu)為無ECA的系統(tǒng)架構(gòu)。當(dāng)認(rèn)證授權(quán)服務(wù)器是OAuth授權(quán)服務(wù)器

時，OBU通過OAuth機制授權(quán)訪問PRA服務(wù)。這個過程基于IETF標(biāo)準(zhǔn)“RFC6749:OAuth2.0授權(quán)架構(gòu)”定

義的OAuth2.0機制實現(xiàn)。OBU使用RFC6749中定義的客戶端憑證向OAuth授權(quán)服務(wù)器請求對PRA服務(wù)的授

權(quán)訪問。OAuth授權(quán)服務(wù)器根據(jù)策略接受或者拒絕這個請求。如果接受，則向OBU發(fā)行AccessToken。

OBU根據(jù)AccessToken向服務(wù)提供方PRA申請假名證書，OBU與PRA之間建立TLS安全通道，PRA驗證

AccessToken，驗證成功后提供對假名證書的訪問?；贠Auth的Token授權(quán)機制參見附錄B。

7.1.5證書管理系統(tǒng)實體間邏輯接口關(guān)系

V2X設(shè)備-AAA接口（C1）

V2X設(shè)備通過此接口與DCM、GBA和OAuth等認(rèn)證授權(quán)系統(tǒng)進行交互，以獲得向CA申請V2X證書所需的

安全憑證。C1接口隨實現(xiàn)AAA功能的方式而不同。

AAA-ECA接口（C2）

認(rèn)證授權(quán)系統(tǒng)通過此接口與ECA進行交互，以便向ECA提供與V2X設(shè)備建立安全關(guān)聯(lián)所需的安全憑

證。C2接口隨實現(xiàn)AAA功能的方式而不同。

在V2X設(shè)備獲得初始安全憑證后，V2X設(shè)備與ECA通過經(jīng)由AAA建立的安全關(guān)聯(lián)進行交互，以便實現(xiàn)

注冊證書的申請與簽發(fā)過程。

13

GB/T×××××—××××

RA-AAA接口（C3）

證書簽發(fā)系統(tǒng)的注冊機構(gòu)通過此接口與AAA交互獲得其與V2X設(shè)備建立安全關(guān)聯(lián)的安全憑證，或者

從AAA獲得驗證安全憑證所需要的安全材料（例如密鑰，算法等），或者從AAA獲得向V2X設(shè)備簽發(fā)證書

的授權(quán)。C3接口隨實現(xiàn)AAA功能的方式而不同。

V2X設(shè)備-RA接口（C4）

V2X設(shè)備通過此接口向證書簽發(fā)系統(tǒng)申請V2X通信證書，也即假名證書、身份證書或應(yīng)用證書。

RA-CA接口（C5）

證書簽發(fā)系統(tǒng)的注冊機構(gòu)基于V2X設(shè)備的證書申請請求，生成相應(yīng)的證書生成請求，將該請求通過

此接口提供給CA，并通過此接口獲得CA簽發(fā)的V2X證書。

RA-LA接口（C6）

在V2X設(shè)備假名證書申請過程中，RA通過此接口從LA獲得其為V2X設(shè)備生成的一組假名證書鏈接

值。

V2X設(shè)備-MA接口（C7）

C-V2X設(shè)備通過此接口向MA上報MBR，具體通訊協(xié)議等需根據(jù)實際情況自定義。

MA-RA接口（C8）

MA通過此接口與注冊機構(gòu)（RA）通訊。

MA通過此接口將被撤銷的證書通知給RA，以便將相關(guān)聯(lián)的注冊證書放入黑名單或從黑名單取消。

MA通過此接口向RA查詢鏈接鏈標(biāo)識符（LCI）與注冊標(biāo)識（RID）之間的關(guān)系。

RA通過此接口上報鏈接標(biāo)識符（LCI）和注冊標(biāo)識（RID）之間的關(guān)系。

。

MA-LA接口（C9）

在假名證書撤銷過程中，MA通過此接口與LA交互，以便獲得撤銷一組假名證書的數(shù)據(jù)。

LA通過此接口向MA提供注冊鏈接機構(gòu)ID（LAID）、假名證書對應(yīng)的鏈接鏈標(biāo)識符（LCI）和鏈接種

子（LinkageSeed，LS）信息。

MA通過此接口向LA查詢鏈接值（LS）與鏈接標(biāo)識符（LCI）之間的關(guān)系。

。

0MA-CRL服務(wù)接口（C10）

MA通過此接口將證書撤銷列表提供給CRL服務(wù)實體。

1V2X設(shè)備-CRL服務(wù)接口（C11）

C-V2X設(shè)備或證書管理實體通過此接口從CRL服務(wù)實體下載或檢查證書撤銷列表。CRL發(fā)布接口見

7.5節(jié)。

14

GB/T×××××—××××

2GMA-MA接口（C12）

MA通過此接口向GMA提供車輛識別碼（VIN）的哈希值（可選）、注冊標(biāo)識（RID）的哈希值（可

選）、鏈接機構(gòu)ID（LAID）、假名證書對應(yīng)的鏈接標(biāo)識符（LCI）和鏈接種子（LS）信息。

MA通過此接口向GMA上報MBR。

GMA通過此接口向MA發(fā)送證書撤銷請求數(shù)據(jù)。

GMA通過此接口向MA查詢車輛標(biāo)識（可選）、假名證書鏈接值（可選）。

GMA通過此接口向MA查詢多個PC證書是否屬于同一個設(shè)備。

注1：車輛識別碼（VIN）可以是物理VIN碼或其他數(shù)字識別碼，具體根據(jù)外部管理機構(gòu)要求選擇；

注2：哈希算法的選擇參見YD/T3957附錄D.1；

注3：注冊標(biāo)識（RID）為SCMS內(nèi)標(biāo)識車輛身份的標(biāo)識，可以是注冊證書、OAuth訪問令牌、GBA用戶標(biāo)識或其

他數(shù)字標(biāo)識。RID在SCMS內(nèi)唯一，且與車輛VIN和車輛證書關(guān)聯(lián)。通常由ARA和PRA維護RID與身份證

書、應(yīng)用證書、假名證書的對應(yīng)關(guān)系，由SMCS的認(rèn)證授權(quán)機構(gòu)（AAA）維護VIN和RID的對應(yīng)關(guān)系。

3AAA-MA接口（C13）

AAA通過此接口向MA上報注冊車輛VIN的哈希值和RID的哈希值。

AAA通過此接口向MA上報RID和車輛VIN之間的關(guān)系。

MA通過此接口向AAA查詢RID和車輛VIN之間的關(guān)系。

7.1.6支持多PKI系統(tǒng)互認(rèn)

當(dāng)車聯(lián)網(wǎng)安全系統(tǒng)由多個獨立PKI系統(tǒng)構(gòu)成時，這些PKI系統(tǒng)之間可以根據(jù)需要構(gòu)建可信關(guān)系，以

便實現(xiàn)證書互認(rèn)。實現(xiàn)多PKI體系可信關(guān)系的原理如圖5所示。多個車聯(lián)網(wǎng)PKI系統(tǒng)之間的可信關(guān)系是通

過一個“可信根證書列表（TRCL）”實現(xiàn)的。該可信列表由可信根證書列表管理機構(gòu)（TRCLA）簽發(fā)。

可信根證書列表的存在與否不會影響各個獨立PKI系統(tǒng)的運行，但會影響不同PKI系統(tǒng)證書之間是

否能夠互認(rèn)。

圖5構(gòu)建多個PKI系統(tǒng)之間的可信關(guān)系

15