《信息安全技術(shù) 證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》編制說明

一、任務(wù)來源

2015年7月，國家互聯(lián)網(wǎng)信息辦公室下達了對國家標準《證書認證系統(tǒng)密碼及其相關(guān)

安全技術(shù)規(guī)范》（GB/T25056-2010）進行修訂的任務(wù)。由上海市數(shù)字證書認證中心有限公

司牽頭，上海格爾軟件股份有限公司、北京數(shù)字認證股份有限公司等單位組成了聯(lián)合修訂工

作組，開展對該規(guī)范的修訂工作。

二、編制原則

標準修訂以《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）為基礎(chǔ)，

參考本項目組成員單位起草的密碼行業(yè)標準《基于SM2密碼算法的數(shù)字證書格式規(guī)范》

（GM/T0015-2012）。由于《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》（GB/T25056-2010）

于2010年頒布，國內(nèi)已遵循該規(guī)范建設(shè)了大量的數(shù)字證書認證系統(tǒng)，大批數(shù)字證書認證相

關(guān)企業(yè)在產(chǎn)品開發(fā)、系統(tǒng)運維等方面也都以該規(guī)范作為實施參考和依據(jù)，符合該規(guī)范的產(chǎn)品

已在市場中大規(guī)模部署和正式運營。因此對該規(guī)范進行修訂時，要考慮到兼容性需求，盡量

避免對原規(guī)范中的項目進行顛覆性的修改，為現(xiàn)有的產(chǎn)品進行改造和平滑升級留有充分的余

地，減少制造商、運營商、用戶進行升級、更新的開銷和代價。修訂規(guī)范時，考慮到不同領(lǐng)

域?qū)τ跀?shù)字證書認證系統(tǒng)的需求具有差異，規(guī)范應(yīng)對最具有一般性、基礎(chǔ)性的密碼及安全技

術(shù)提出統(tǒng)一的要求。對于遵循本規(guī)范的產(chǎn)品制造商和服務(wù)提供商，其產(chǎn)品和服務(wù)要能夠互聯(lián)

互通，用戶也能方便地切換到其他產(chǎn)品和服務(wù)提供商。在標準修訂過程中，還力求做到符合

國家的有關(guān)政策法規(guī)要求，與已頒布實施的相關(guān)標準相協(xié)調(diào)。

三、主要工作過程

(一)標準修訂的主要工作過程如下：

1)2015年8月，成立了以劉承為負責(zé)人的標準修訂工作組，召開了第一次會議。在

這次會議上，工作組成員討論了我國目前數(shù)字證書認證服務(wù)行業(yè)的技術(shù)發(fā)展趨勢、基于國產(chǎn)

密碼算法的數(shù)字證書產(chǎn)品的應(yīng)用和市場現(xiàn)狀，提出了對規(guī)范進行修訂的總體思路和基本原則，

并對各參與單位應(yīng)承擔(dān)的任務(wù)進行了分工。

2)2015年11月，修訂工作組召開了第二次會議。成員單位就各自的研究情況進行了

匯報，討論了修訂后標準的總體框架和要調(diào)整的內(nèi)容，形成了修訂稿的草案（第一稿）。

3)2016年3月10日至11日，參加信安標委召開的2016年第一批推薦性國家標準

立項評估工作專家評審會。會議評議了《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿

草案初稿，確定了本標準的內(nèi)容要求。

4)2016年4月，修訂工作組召開了第三次會議。對規(guī)范修訂稿的初稿進行了討論，

形成了修訂稿草案（第二稿）。

5)2016年6月13日至16日，參加信安標委2016年第一次工作組“會議周”。在“WG3-

密碼技術(shù)工作組在研標準推進會”上，與會專家評審了《證書認證系統(tǒng)密碼及其相關(guān)安全技

術(shù)規(guī)范》修訂稿草案，形成了《證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范》修訂稿的征求意

見稿。

四、標準的主要內(nèi)容及修訂的內(nèi)容

(一)本標準的主要內(nèi)容

本標準依據(jù)國家有關(guān)政策法規(guī)，規(guī)定了數(shù)字證書認證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，

包括證書認證中心、密鑰管理中心、密碼算法、密碼設(shè)備及接口等，適用于指導(dǎo)第三方認證

機構(gòu)的數(shù)字證書認證系統(tǒng)的建設(shè)和檢測評估，規(guī)范數(shù)字證書認證系統(tǒng)中密碼及相關(guān)安全技術(shù)

的應(yīng)用。

本標準主要框架如下：

1.范圍

2.規(guī)范性引用文件

3.術(shù)語和定義

4.縮略語

5.證書認證系統(tǒng)

6.密鑰管理中心

7.密碼算法、密碼設(shè)備及接口

8.證書認證中心

9.密鑰管理中心

10.證書認證中心運行管理要求

11.密鑰管理中心運行管理要求

12.證書操作流程

13.附錄A證書認證系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖

(二)本標準在如下幾個方面進行了修訂：

1)在“2規(guī)范性引用文件”部分，加入了對已頒布的多個國家密碼行業(yè)標準的引用，

以及對RFC6960OCSP協(xié)議的引用；

2)在“5.4數(shù)字證書”部分，指出對于使用RSA公鑰密碼算法的數(shù)字證書，格式和

結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書格式》（GB/T20518），對于

使用SM2公鑰密碼算法的數(shù)字證書，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密碼算法的

數(shù)字證書格式規(guī)范》（GM/T0015）；

3)在“5.5證書撤銷列表”部分，指出對于使用RSA公鑰密碼算法的證書撤銷列表，

格式和結(jié)構(gòu)應(yīng)符合《信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書格式》（GB/T20518），

對于使用SM2公鑰密碼算法的證書撤銷列表，格式和結(jié)構(gòu)應(yīng)符合《基于SM2密

碼算法的數(shù)字證書格式規(guī)范》（GM/T0015）；

4)在“6.3.9密碼服務(wù)模塊”部分，修正了GB/T25056-2010中的一個錯誤，即“有

關(guān)密碼算法、密碼設(shè)備和密碼接口的要求在本標準第6章中規(guī)定”，實際上應(yīng)該是

“在第7章中規(guī)定”；

5)在“7.1密碼算法”部分，推薦使用國產(chǎn)SM2和SM3密碼算法；

6)在“7.3密碼服務(wù)接口”部分，不再采用GB/T25056-2010附錄C中定義的基本

接口函數(shù)，要求接口遵循已頒布的國家密碼行業(yè)標準《密碼設(shè)備應(yīng)用接口規(guī)范》

（GM/T0018）、《智能密碼鑰匙密碼應(yīng)用接口規(guī)范》（GM/T0016）、《通用密碼服

務(wù)接口規(guī)范》（GM/T0019）和《證書應(yīng)用綜合服務(wù)接口規(guī)范》（GM/T0020）；

7)刪去了GB/T25056-2010中的第8章“協(xié)議”，國家密碼管理局已經(jīng)頒布了《數(shù)字

證書認證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014），因此增加了對該規(guī)范的引用，在進行

認證時應(yīng)當(dāng)使用該規(guī)范中規(guī)定的協(xié)議；

8)在“8.1.3管理員配置要求”部分，增加了一個新的角色“審計員”，對其應(yīng)承擔(dān)

的職責(zé)進行了明確的描述；

9)在“8.1.5初始化要求”中，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機制，提

出該要求是為了與《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)

范》（GM/T0034）中的要求保持一致；

10)在“8.2.4.3根CA密鑰”部分，要求密鑰分割應(yīng)使用（3，5）門限秘密共享機制，

提出該要求是為了與《基于SM2密碼算法的證書認證系統(tǒng)密碼及其相關(guān)安全技術(shù)

規(guī)范》（GM/T0034）中的要求保持一致；

11)在“8.2.4.5管理員證書密鑰”部分，增加了“審計員”角色；

12)在“8.4.1概述”部分，增加了“對密碼設(shè)備故障應(yīng)采取冗余配置的要求”；

13)在“8.5.1物理環(huán)境建設(shè)”部分，為了與《基于SM2密碼算法的證書認證系統(tǒng)密

碼及其相關(guān)安全技術(shù)規(guī)范》（GM/T0034）中的要求保持一致，增加了對《處理涉

密信息的電磁屏蔽室的技術(shù)要求和測試方法》（BMB3-1999）的引用。此外，原

先引用的標準《SJ/T10796-1996》已被國家標準《計算機機房用活動地板技術(shù)條

件》（GB/T6650）取代，所以在修訂版中更新為對GB/T6650的引用；

14)在“9.2.3管理員配置要求”部分，增加了一個新的角色“審計員”，對其應(yīng)承擔(dān)

的職責(zé)進行了明確的描述；

15)在“10.1人員管理要求”部分，增加了“CA審計員”、“RA業(yè)務(wù)管理員”、“RA

業(yè)務(wù)操作員”三個角色，對他們的職責(zé)進行了明確描述；

16)在“10.2.3.3口令管理”部分，新增了對口令密碼強度進行安全性檢查的要求，

可以有效防止使用弱口令；

17)新增了“10.2.4密鑰介質(zhì)管理制度”；

18)在“10.5安全審計要求”部分，增加了“對記錄是否審計過進行標注”和“對審

計記錄進行數(shù)字簽名”兩項要求；

19)在“11.1人員管理要求”部分，增加了為每個操作人員配置證書載體（如智能密

碼鑰匙）的要求；

20)刪去了GB/T25056-2010中的第13章“檢測”。由于證書認證密碼系統(tǒng)包含要素

較多，原有的檢測章節(jié)中根本沒有描述檢測要求，只是一語帶過，所以將其刪去，

由于進行檢測涉及多個方面的具體要求，內(nèi)容比較龐雜，建議將來為證書認證系統(tǒng)

的檢測制訂專門的規(guī)范，這樣也能避免將其包含在本規(guī)范中會導(dǎo)致篇幅過長的問題；

21)新增第12章“證書操作流程”，詳細規(guī)定了證書申請、更新、吊銷、用戶密鑰恢

復(fù)、司法密鑰恢復(fù)、解除證書掛起共7項操作流程；

22)刪去了附錄A、附錄B、附錄C和“參考文獻”。附錄A和B的內(nèi)容與已頒布的國

家密碼行業(yè)標準《數(shù)字證書認證系統(tǒng)密碼協(xié)議規(guī)范》（GM/T0014）不符，應(yīng)以GM/T

0014為準；附錄C的內(nèi)容與已頒布的國家密碼行業(yè)標準《通用密碼服務(wù)接口規(guī)范》

（GM/T0019）不符，應(yīng)以GM/T0019為準。在“規(guī)范性引用文件”部分已經(jīng)加

入了對這些已頒布標準的引用。GB/T25056-2010中“參考文獻”部分只包含了

《時間戳規(guī)范》（GB/T20520-2006）一個標準，該標準在GB/T20520-2006中實

際上并沒有用到，所以在修訂時刪去該參考文獻。

五、與相關(guān)法律法規(guī)及國家有關(guān)規(guī)定、國內(nèi)相關(guān)標準的關(guān)系

1)與密碼行業(yè)標準《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）

的關(guān)系

本標準編寫組成員單位參加了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T

0015-2012）的制訂。為了推廣國產(chǎn)密碼算法，從2010年開始，在國家密碼管理局的領(lǐng)導(dǎo)

下，本標準編寫組成員單位就開始針對使用國產(chǎn)密碼算法的數(shù)字證書起草相關(guān)的一系列規(guī)范。

由于國標的制訂和發(fā)布過程需要比較長的時間，在國家密碼管理局的領(lǐng)導(dǎo)下，本標準編寫組

成員單位起草了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012），并以密

碼行業(yè)標準的形式，與國產(chǎn)密碼算法SM2、國產(chǎn)密碼雜湊算法SM3有關(guān)的標準先后在2012

年同一年發(fā)布。本標準吸收了《基于SM2密碼算法的數(shù)字證書格式規(guī)范》（GM/T0015-2012）

中的內(nèi)容，并針對該密碼行業(yè)標準在實際使用中收到的反饋意見，進行了修改。

六、有關(guān)問題的說明

本標準規(guī)定了數(shù)字證書認證系統(tǒng)的密碼及其相關(guān)安全技術(shù)要求，包括證書認證中心、密

鑰