行政、商業(yè)和行業(yè)中的數(shù)據(jù)元、過程和文檔 長效簽名 第1部分：CMS高級(jí)電子簽名（CAdES）規(guī)范 征求意見稿

3GB/TXXXX.1—XXXX/ISO14533.1-2012行政、商業(yè)和行業(yè)中的數(shù)據(jù)元、過程和文檔長效簽名第1部分：CMS高級(jí)電子簽名(CAdES)規(guī)范本文件規(guī)定了在CMS高級(jí)電子簽名(CAdES)中定義的用于長期進(jìn)行數(shù)字簽名驗(yàn)證的數(shù)據(jù)元。本文件適用于商業(yè)、工業(yè)和行政的過程、數(shù)據(jù)元和單證的CAdES長效簽名。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。ISO14533-4,Processes,dataelementsanddocumentsincommerce,industryandadministration—Longtermsignatureprofiles—Part4:Attributespointingto(external)proofofexistenceobjectsusedinlongtermsignatureformats(PoEAttributes)ETSITS101733v1.8.1(2009-11)電子簽名與基礎(chǔ)設(shè)施(ESI)CMS高級(jí)電子簽名(CAdES)（ElectricSignaturesandInfrastructures(ESI);CMSAdvancedElectronicSignatures）1)3術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1長效簽名longtermsignature用于長期進(jìn)行驗(yàn)證的簽名，通過對(duì)簽名時(shí)間、簽名主體、以及簽名的有效數(shù)據(jù)等的檢測(cè)，驗(yàn)證簽名信息是否被非法篡改。3.2規(guī)范profile為保證與所引用規(guī)范中可選數(shù)據(jù)元以及可選數(shù)據(jù)元的取值范圍等相關(guān)的互操作性所使用的規(guī)則。3.3要求級(jí)別requiredlevel實(shí)現(xiàn)構(gòu)成規(guī)范的數(shù)據(jù)元所需的級(jí)別。該標(biāo)準(zhǔn)可從以下網(wǎng)址獲得<http:///pda/queryform.asp>。4GB/TXXXX.1—XXXX/ISO14533.1-20223.4加密報(bào)文語法cryptographicmessagesyntax（CMS）與所給出報(bào)文的簽名、摘要、鑒別以及加密相關(guān)的語法。3.5CMS數(shù)字簽名CMSdigitalsignature（CAdES）在ETSI/TS101733中定義的用于識(shí)別簽名者和檢測(cè)非法數(shù)據(jù)篡改的數(shù)字簽名。注：在IETF/RFC5652和IETF/EN3191223.6帶有時(shí)間的CAdESCAdESwithtime（CAdES-T）在ETSITS101733中定義的帶有確定簽名時(shí)間信息的CMS數(shù)字簽名。3.7歸檔的CAdESarchivalCAdES（CAdES-A）在ETSITS101733中定義的帶有簽名主體和有效數(shù)據(jù)等，用于檢測(cè)與簽名相關(guān)的任何非法數(shù)據(jù)篡改信息的CMS數(shù)字簽名。3.8內(nèi)容信息contentinformation規(guī)定CMS中內(nèi)容的數(shù)據(jù)結(jié)構(gòu)。3.9簽名數(shù)據(jù)signeddata在CMS或相關(guān)數(shù)據(jù)中的數(shù)據(jù)結(jié)構(gòu)。3.10簽名者信息signerInfo規(guī)定每個(gè)簽名者簽名信息或相關(guān)數(shù)據(jù)的數(shù)據(jù)結(jié)構(gòu)。3.115GB/TXXXX.1—XXXX/ISO14533.1-2012簽名屬性signedattribute構(gòu)成簽名主體的簽名信息。3.12非簽名屬性u(píng)nsignedattribute不含在簽名主體中的簽名信息。3.13驗(yàn)證數(shù)據(jù)validationdata用于驗(yàn)證簽名及時(shí)戳的證書和證書撤銷的信息。3.14時(shí)戳機(jī)構(gòu)time-stampingauthority（TSA）授權(quán)的可信第三方機(jī)構(gòu)，提供某個(gè)時(shí)間點(diǎn)之前數(shù)據(jù)是否存在的證明。3.15時(shí)戳標(biāo)記time-stamptoken（TST）將某一數(shù)據(jù)表示與某一特定時(shí)間綁定在一起的數(shù)據(jù)客體，由此建立該數(shù)據(jù)在該時(shí)間之前已經(jīng)存在的證據(jù)。3.16簽名時(shí)戳signaturetimestamp為識(shí)別簽名的時(shí)間，附加在簽名值上的時(shí)戳。3.17歸檔時(shí)戳archivetimestamp附加在簽名主體和簽名的驗(yàn)證數(shù)據(jù)等有關(guān)簽名信息上的時(shí)戳，以便能夠檢測(cè)出簽名信息是否被非法篡改。3.18信任錨trustanchor驗(yàn)證方用于驗(yàn)證電子簽名的以公鑰證書或公鑰形式提供的信賴源，通常公鑰證書由所信賴的源認(rèn)證機(jī)構(gòu)簽發(fā)。3.19可信第三方機(jī)構(gòu)trustedthirdparty(TTP)與安全活動(dòng)相關(guān)的另一實(shí)體委托的安全機(jī)構(gòu)或其代理。6GB/TXXXX.1—XXXX/ISO14533.1-20223.20認(rèn)證機(jī)構(gòu)certificationauthority(CA)受委托進(jìn)行開發(fā)和分配公鑰證書的機(jī)構(gòu)。注：認(rèn)證機(jī)構(gòu)可以向?qū)嶓w分配密鑰，見ISO/3.21證書certificate由認(rèn)證機(jī)構(gòu)為防止偽造而簽發(fā)的作為實(shí)體的非對(duì)稱密鑰對(duì)的一部分的公鑰信息。3.22屬性證書attributecertificate包含了職業(yè)、資格、職位和其他屬性及屬性值的證書。3.23撤銷信息revocationinformation認(rèn)證機(jī)構(gòu)在有效期內(nèi)撤銷所簽發(fā)的證書的信息。3.24增強(qiáng)安全服務(wù)enhancedsecurityservice(ESS)與簽名相關(guān)的可選的增強(qiáng)服務(wù)，包括但不僅限于識(shí)別簽發(fā)證書的信息和說明簽名類型的信息。4符號(hào)下面表示“要求級(jí)別”的符號(hào)適用于本文件?！狢條件型；——M必備型；——O可選型。5要求5.1CAdES-T數(shù)據(jù)的生成或驗(yàn)證應(yīng)符合本部分給出的下列兩項(xiàng)要求:a)應(yīng)包含本部分規(guī)定的CAdES-T規(guī)范中所有要求級(jí)別為“必備型”的數(shù)據(jù)元；b)應(yīng)給出本部分規(guī)定的CAdES-T規(guī)范中所有要求級(jí)別為“條件型”的與數(shù)據(jù)元相關(guān)的詳細(xì)規(guī)范。5.2CAdES-A數(shù)據(jù)的生成或驗(yàn)證應(yīng)符合本部分給出的下列兩項(xiàng)要求:a)應(yīng)包含本部分規(guī)定的CAdES-A規(guī)范中所有要求級(jí)別為“必備型”的數(shù)據(jù)元；b)應(yīng)給出本部分規(guī)定的CAdES-A規(guī)范中所有要求級(jí)別為“條件型”的與數(shù)據(jù)元相關(guān)的詳細(xì)規(guī)范。5.3當(dāng)使用甲方一致性評(píng)定時(shí)，實(shí)施方應(yīng)通過披露供應(yīng)商的合規(guī)聲明及附件（見附錄A做出一個(gè)7GB/TXXXX.1—XXXX/ISO14533.1-2012符合本部分的聲明，該合規(guī)聲明包括實(shí)施狀態(tài)描述（以及條件型數(shù)據(jù)元的規(guī)范）。注：圖1給出了CAdES-T和CAdE6長效簽名規(guī)范6.1已定義的規(guī)范為使電子簽名進(jìn)行長期驗(yàn)證，簽名時(shí)間應(yīng)可識(shí)別，包括簽名主體信息和驗(yàn)證數(shù)據(jù)在內(nèi)的非法篡改信息應(yīng)可檢測(cè)，同時(shí)保證互操作性。為了滿足這些要求，本部分定義了CAdES的兩個(gè)規(guī)范：a)CAdES-T規(guī)范：與CAdES-T數(shù)據(jù)生成和驗(yàn)證相關(guān)的規(guī)范；b)CAdES-A規(guī)范：與CAdES-A數(shù)據(jù)生成和驗(yàn)證相關(guān)的規(guī)范。圖1給出了CAdES-T數(shù)據(jù)和CAdES-A數(shù)據(jù)之間的關(guān)系。圖1CAdES-T數(shù)據(jù)和CAdES-A數(shù)據(jù)之間的關(guān)系6.2要求級(jí)別的表示法本部分針對(duì)構(gòu)成CAdES-T數(shù)據(jù)和CAdES-A數(shù)據(jù)（按照某一規(guī)范定義了每一項(xiàng)數(shù)據(jù)元的要求級(jí)別的表示法：a)必備型（M）要求級(jí)別為“必備型”的數(shù)據(jù)元是應(yīng)使用的數(shù)據(jù)元。如果“必備型”數(shù)據(jù)元有可選的子數(shù)據(jù)元，則應(yīng)至少有一個(gè)子數(shù)據(jù)元是可選的。當(dāng)選擇一個(gè)可選數(shù)據(jù)元時(shí)，任何要求級(jí)別為“必備型”并且它又是一個(gè)可選子數(shù)據(jù)元的數(shù)據(jù)元應(yīng)是可選的。b)可選型（O）要求級(jí)別為“可選型”的數(shù)據(jù)元是由實(shí)施方自行決定是否使用的數(shù)據(jù)元。c)條件型（C）要求級(jí)別為“條件型”的數(shù)據(jù)元是由實(shí)施方自行決定是否使用并分別給出如何處理它們的詳細(xì)規(guī)范的數(shù)據(jù)元。6.3要求級(jí)別的設(shè)置標(biāo)準(zhǔn)構(gòu)成CAdES-T和CAdES-A數(shù)據(jù)的數(shù)據(jù)元要求級(jí)別應(yīng)符合以下要求：8GB/TXXXX.1—XXXX/ISO14533.1-2022a)CAdES中定義的要求級(jí)別為“必備型”的數(shù)據(jù)元，以及長效簽名的生成和驗(yàn)證必要的數(shù)據(jù)元，要求級(jí)別應(yīng)是“必備型”。在CAdES中定義的要求級(jí)別為“可選型”的數(shù)據(jù)元可以定義為“必備型”、“可選型”或“條件型”。b)外部定義的數(shù)據(jù)元要求級(jí)別應(yīng)是“條件型”。c)與確定的應(yīng)用互動(dòng)的數(shù)據(jù)元，要求級(jí)別應(yīng)是“條件型”。d)帶有關(guān)聯(lián)條件的數(shù)據(jù)元，要求級(jí)別應(yīng)是“條件型”。注：ISO/IEC18014-2中定義的歸檔類型時(shí)戳包括在“Timemarkorothermethod（時(shí)間標(biāo)志或其他方法）”中。e)僅包含參考信息的數(shù)據(jù)元，要求級(jí)別應(yīng)是“可選型”。6.4未配置的可選數(shù)據(jù)元的處置當(dāng)驗(yàn)證處理所使用的CAdES數(shù)據(jù)包含未配置的數(shù)據(jù)元時(shí)，應(yīng)采取下列措施：a)當(dāng)上一級(jí)數(shù)據(jù)元的要求級(jí)別為“必備型”，并且一個(gè)或多個(gè)從屬的可選數(shù)據(jù)元將被選定時(shí)，或者一個(gè)或多個(gè)相關(guān)的可選數(shù)據(jù)元將被選定時(shí)，應(yīng)提醒驗(yàn)證方對(duì)上述數(shù)據(jù)元的驗(yàn)證需求進(jìn)行配置，否則驗(yàn)證無法完成。示例：在驗(yàn)證處理時(shí)，僅在處理位于“Reb)當(dāng)“CounterSignature（附屬簽名）”是一個(gè)未配置的數(shù)據(jù)元時(shí)，應(yīng)提醒驗(yàn)證方對(duì)上述數(shù)據(jù)元的驗(yàn)證需求進(jìn)行配置，否則驗(yàn)證無法完成。c)并非上述規(guī)定的可選數(shù)據(jù)元可忽略。6.5CAdES-T規(guī)范6.5.1概述在6.5.2、6.5.3和6.5.4中規(guī)定了構(gòu)成CAdES-T數(shù)據(jù)元的要求級(jí)別。6.5.2內(nèi)容信息表1規(guī)定了構(gòu)成內(nèi)容信息數(shù)據(jù)元的要求級(jí)別。MM6.5.3簽名數(shù)據(jù)和簽名人信息表2和表3規(guī)定了構(gòu)成簽名數(shù)據(jù)和簽名人信息數(shù)據(jù)元的要求級(jí)別。表2簽名數(shù)據(jù)9GB/TXXXX.1—XXXX/ISO14533.1-2012MDigestAlgorithmIdentiMMMOOOAttributeCertificateV2（屬性證書VCOtherCertificateFormaCOOOtherRevocationInfoFormaCMOO表3簽名人信息MMOSubjectKeyIdentifieODigestAlgorithmIdenMMSignatureAlgorithmIdentifier（MMMGB/TXXXX.1—XXXX/ISO14533.1-20226.5.4簽名屬性和非簽名屬性表4和表5規(guī)定了構(gòu)成簽名屬性和非簽名屬性數(shù)據(jù)元的要求級(jí)別。要求級(jí)別為“條件型”的簽名屬性和非簽名屬性數(shù)據(jù)元不列入表4和表5。注：非簽名屬性并不包含在表4和表5，也不限于在表6所列的如“Com（完整證書參考）”和“Com（完整撤消參考）”。增加到CAdES-T數(shù)據(jù)中的“完整證書參考”和“完整撤消參考”可以按照規(guī)范，通過針對(duì)這些數(shù)據(jù)元單獨(dú)處理與CAdES-T規(guī)范保持一致。表4簽名屬性MMSigningCertificateReferencMOOOtherSigningCertificCSignaturePolicyIdentifierCOCCCCommitmentTypeIndicatiCCCC表5非簽名屬性O(shè)MOGB/TXXXX.1—XXXX/ISO14533.1-2012O6.6CAdES-A規(guī)范6.6.1概述在6.6.2、6.6.3、6.6.4中規(guī)定了構(gòu)成CAdES-T數(shù)據(jù)的數(shù)據(jù)元要求級(jí)別。6.6.2CAdES-A規(guī)范的結(jié)構(gòu)CAdES-A規(guī)范被定義為擴(kuò)展形式的CAdES-T規(guī)范加上表6中規(guī)定的非簽名屬性。與CAdES-T對(duì)應(yīng)部分的各數(shù)據(jù)元要求級(jí)別應(yīng)在6.5中規(guī)定。6.6.3附加的非簽名屬性附加非簽名屬性的數(shù)據(jù)元要求級(jí)別應(yīng)在表6中說明。對(duì)于沒有在表6規(guī)定的數(shù)據(jù)元要求級(jí)別應(yīng)為“條表6附加的非簽名屬性CompleteCertificateReferenMCompleteRevocationReferencMOOCAttributecertificatereferences（屬性證書參考）CAttributerevocationreferences（屬性撤消參考）CMOCMOOCCertificatesmaintainedbytrustedservCGB/TXXXX.1—XXXX/ISO14533.1-2022CTimestampedcertandcrlsreference（帶時(shí)戳的CArchiving（歸檔）MArchiveTimestampid-aa-48（歸檔時(shí)戳id-aa-48）0ArchiveTimestampid-aa-27（歸檔時(shí)戳id-aa-27）0OC性的原因以及防止簽名中包含多個(gè)相同大小的CRL或OCSP，可以使用在CMS(表2)中定義的數(shù)據(jù)元證書集合或撤消信息如果委托其他可信的服務(wù)機(jī)構(gòu)進(jìn)行歸檔期6.7時(shí)戳驗(yàn)證數(shù)據(jù)對(duì)之前時(shí)戳的驗(yàn)證需要依靠信任錨的認(rèn)證和撤證信息。時(shí)戳驗(yàn)證數(shù)據(jù)需要證書鏈中的各項(xiàng)證書，從TSA證書到信任錨證書以及屬于每一項(xiàng)這類證書的撤銷信息。如下所述，驗(yàn)證數(shù)據(jù)可以隨CadES-A數(shù)據(jù)一起存放。不與CadES-A數(shù)據(jù)一起存放時(shí)，驗(yàn)證數(shù)據(jù)應(yīng)當(dāng)通過另一安全方法存放，包括但不限于由CA作為TTP或由TSA儲(chǔ)存。在對(duì)之前的時(shí)戳進(jìn)行驗(yàn)證中，驗(yàn)證數(shù)據(jù)按照下述方法存放，或另行使用其他安全方法進(jìn)行存放。附錄B規(guī)定了與時(shí)戳標(biāo)記結(jié)構(gòu)相關(guān)的要求。a)簽名時(shí)戳的驗(yàn)證數(shù)據(jù)應(yīng)當(dāng)在下列生成時(shí)的某一處所或由CA等機(jī)構(gòu)予以保存。1)非簽名屬性中的數(shù)據(jù)元如下：-CertificateValues（證書值）-RevocationValues(撤銷值)2)在簽名時(shí)戳中時(shí)間標(biāo)記（簽名時(shí)戳標(biāo)記）數(shù)據(jù)元如下：-CertificateSet（證書集合）GB/TXXXX.1—XXXX/ISO14533.1-2012-RevocationInfoChoices(撤消信息選擇)3)簽名時(shí)戳標(biāo)記中非簽名屬性數(shù)據(jù)元如下：-CertificateValues（證書值）-RevocationValues(撤銷值)注：上述1）和2)中的數(shù)據(jù)元在CMS中進(jìn)行定義，3)中的數(shù)據(jù)元b)歸檔時(shí)戳驗(yàn)證數(shù)據(jù)應(yīng)在下列生成時(shí)的某一處所或由CA等機(jī)構(gòu)予以保存。1)在歸檔時(shí)戳中時(shí)間標(biāo)記（歸檔時(shí)戳標(biāo)記）數(shù)據(jù)元如下：-CertificateSet（證書集合）-RevocationInfoChoices(撤消信息選擇)2)歸檔時(shí)戳標(biāo)記中非簽名屬性數(shù)據(jù)元如下：-CertificateValues(證書值)-RevocationValues(撤銷值)注：上面1）中的元素在CMS中進(jìn)行定義，2)中的GB/TXXXX.1—XXXX/ISO14533.1-2022（規(guī)范性附錄）提供方一致性聲明及其附件A.1概述本附錄給出了提供方與CAdES長效簽名規(guī)范一致性聲明的格式。A.2提供方一致性聲明格式提供方與長效簽名規(guī)范一致性聲明編號(hào)簽發(fā)人姓名簽發(fā)人地址聲明的對(duì)象：上面所描述的聲明的對(duì)象與下面長效簽名規(guī)范的要求一致。CADES-T規(guī)范和/或CADES-A規(guī)范。A.3規(guī)定了所使用的數(shù)據(jù)元。附加信息：（操作檢查的結(jié)果等可以寫在此處）簽名人和代表在此簽名： （簽發(fā)地點(diǎn)和日期）（姓名，頭銜）A.3提供方一致性聲明的附件格式A.3.1概述提供方一致性聲明的附件應(yīng)包括從A.3.2到A.3.7的條款。A.3.2所引用的ETSITS101733版本號(hào)GB/TXXXX.1—XXXX/ISO14533.1-2012A.3.3規(guī)范實(shí)施的范圍表A.1規(guī)范實(shí)施A.3.4與CAdES-T規(guī)范的一致性表A.2簽名數(shù)據(jù)MDigestAlgorithmIdentiMMMOOOAttributeCertificateV2（屬性證書VCOtherCertificateFormaCOOOtherRevocationInfoFormat（其他CMOO表A.3簽名人信息MGB/TXXXX.1—XXXX/ISO14533.1-2022MOSubjectKeyIdentifieODigestAlgorithmIdenMMSignatureAlgorithmIdentifier（MMM表A.4簽名特性MMSigningCertificateReferencMOOOtherSigningCertificCSignaturePolicyIdentifierCOCCCCommitmentTypeIndicatiCCCC表A.5非簽名特性GB/TXXXX.1—XXXX/ISO14533.1-2012OTrustedsigningtime（可信賴MOOA.3.5與CAdES-A規(guī)范的一致性表A.6附加非簽名特性CompleteCertificateReferencMCompleteRevocationReferencMOOCAttributecertificatereferences（屬性證書參考）CAttributerevocationreferences（屬性撤消參考）CMOCMOOCCCTimestampedcertandcrlsreference（帶時(shí)戳的證書和撤消信CGB/TXXXX.1—XXXX/ISO14533.1-2022Archiving（歸檔）MArchiveTimestampid-aa-48（歸檔時(shí)戳id-aa-48）OArchiveTimestampid-aa-27（歸檔時(shí)戳id-aa-27）OOCA.3.6“條件型”數(shù)據(jù)元所引用的規(guī)范注：表A.2至A.6給出了作為”條件型”標(biāo)別出的數(shù)據(jù)元名稱和所引用的規(guī)范.A.3.7備注GB/TXXXX.1—XXXX/ISO14533.1-2012（規(guī)范性附錄）時(shí)戳標(biāo)記的結(jié)構(gòu)B.1概述本附錄給出了長效簽名時(shí)戳結(jié)構(gòu)要求。B.2規(guī)范性說明本部分中的簽名時(shí)戳標(biāo)記和歸檔時(shí)戳標(biāo)記應(yīng)符合CMS,TSP,CAdES。注：在IETFRFC3161中定義了TSP。B.3構(gòu)成數(shù)據(jù)元的要求級(jí)別在表B.1中規(guī)定了簽名時(shí)戳標(biāo)記各數(shù)據(jù)元和歸檔時(shí)戳標(biāo)記各數(shù)據(jù)元的要求級(jí)別。表B.1時(shí)戳標(biāo)記各數(shù)據(jù)元的要求級(jí)別值MMMDigestAlgorithmIdentiMMMMTSTInfoOOAttributeCertificateV1（屬性證書VOAttributeCertificateV2（屬性證書VOOtherCertificateFormaOOGB/TXXXX.1—XXXX/ISO14533.1-2022OOtherRevocationInfoFormaOMMM