GB/T 29767-2013
基本信息
标准号： GB/T 29767-2013
中文名称：信息安全技术 公钥基础设施 桥CA体系证书分级规范
标准类别：国家标准(GB)
标准状态：现行
出版语种：简体中文
下载格式：.rar .pdf
下载大小：1240KB
相关标签： 信息安全 技术 公钥 基础设施 体系 证书 分级 规范
标准分类号
关联标准
出版信息
相关单位信息
标准简介
GB/T 29767-2013 信息安全技术 公钥基础设施 桥CA体系证书分级规范
GB/T29767-2013
标准压缩包解压密码：www.bzxz.net
标准图片预览
标准内容
.ICS35.040
中华人民共和国国家标准
GB/T29767—2013
信息安全技术
公钥基础设施
桥CA体系证书分级规范
Information security techniques--Public key infrastructure-Bridge Certification Authority leveled certificate specification20.13-09-18发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2014-05-01实施
GB/T 29767—2013
规范性用文件
术语和定义
缩略语
证书安全保证等级
测试级
基本级
附录A(规范性附录)
附录B（规范性附录)
参考文献
可审计事件安全要求级别划分
证书级别划分
本标准按照GB/T1.1—2009给出的规则起草。本标准由全国信息安全标推化技术委员会(SAC/TC260)提出并归口。本标准起草单位：国家信息中心，中国科学院信息安全国家重点实验室。本标准主要起草人：昊亚非、任金强、罗红斌、张凡、高能。GB/T29767—2013
GB/T29767—2013
本标准对桥CA证书策略的安全保证级别规定了分级标推，将桥CA体系证书划分为四个应用级别和测试级共五个等级，并说明了对各级别的技术要求。四个应用级别是：初级、本级、中级、高级，其安全级别逐次增高。测试级证书是用于交认证测试的证书。本标准参照RFC 3647,对各级别的证书策略做出了明确说明，用以指导设计者如何设计和实现相应级别的证书策略。每个级别针对九个方面的不向内容做出了要求，保证了证书策略从初级到高级，其安全程度随之递增，其适应的安全环境也随之更加严格。T
iiKacaoaaiAca=
1范围
信息安全技术公钥基础设施
桥CA体系证书分级规范
本标准规定了桥CA体系证书安全等级划分。GB/T 29767—2013
本标准适用于桥CA体系证书策略的设计与实现。桥CA系统的研制、开放、测试和产品采购也可参照使用。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注H期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T16264.8·2005信息技术：开放系统互连日录第8部分：公钥和属性证书框架（ISO/IEC 9594-8:2001,IDT)
GB/T205182006信息安全技术公销基础设施数字证书格式RFC3647互联网X.509公钥基础设施：证书策略和证书运行框架（InternetX.509PublicKcylnfrastructure, Certificate Policy and Certificatian Practices Frarnework)3术语和定义
GB/T16264.8一2005界定的以及下列术语和定义适用于本文件。3.1
公钥基础设施publickeyinfrastracture支持公钥管理体制并提供鉴别、加密、完整性和不可否认性服务的基础设施。3.2
交叉认证cross eertification
两个CA之间建立信任关系，以使它们可以互相信任和依赖任何一方发放的证书的过程。3.3
交叉认证协议备忘cross-certification memorandum of agreement确定两个CA之间关系、规定了双方互通后亨有的信任程度的协议。3.4
证书策略certificate policy
一组指定的规则，指出证书对具有公共安全要求的特定团体和/或应用的适用范围。3.5
实体 CAentity CA
要求帮助交叉认证的具体根 CA。3.6
订户 subscriber
从 CA接收数字证书的实体。
GB/T 29767—2013
激活数据activation data
用于操作密码模块所必需的、并且需要被保护的数据值。3.8
cornpliance audits
符合性审计
定期对物理控制、密钥管理控制、鉴证执行等情况进行审查，以确定实际发生情况是否与预定的标准、要求一致，并根据审查结果采取行动。4
缩略语
下列缩略语适用于本文件。
CA，证书认证机构（CertificationAuthority）CARL：证书认证机构撤销列表certifitationAuthorityRevocalionListCP.证书策略(Certificate Policy)CPS：认证业务说明(Certification Practice Statement)CRl：证书撤销列表(Certificate Revocation List)OID,对象称识符(Object Identifier)PKI:公钥基础设施(Public Key Infrastructure)RA，注册机构（RegistrationAuthority）5证书安全保证等级
5.1概述
桥CA体紊证书安保证等级的分级是基于桥CA的证书策略要求，结构遵循RFC3617。根据证书策略，桥CA体系证书分为测试级和四个应用安全保证等级，四个应用安全保证等级包括初级、基本级、中级和商级，再个等级的证书都包括“导引“信息发布与管理”“身份标识与刻”“证书生命周期操作要求”“认证机构设施：管理和操作控制”“技术安全控制”“证书、证书撤销列表和在线证书状态协议”“符合性审计和其他评估其他商务和法律间题”九个方面，主要根据该级证书所处的安全环境进行规范。不同级别的安全环境对证书安全的要求不同，环境越危险，所需证书的安全级别越高，反之亦然。本标准附录A对可审计事件在不同级别的要求进行了规范，附录B对各级别证书的不同证书策略要求作了总结。
5.2测试级
5.2.1导引
测试级证书应该拥有一个唯一的测试级证书策略OID，使用测试级证书策略的证书没有安全保护目标，只用于测试，不能被用于其他任何事务。使用测试级证书策略的证书只能被用于实体CA与桥CA.之间的交互测试中，不能被用于其他任何目的。此级证长策略不对安全做出任何保证。5.2.2信息发布与管理
“无特殊要求。
TiKacadiaikAca
5.2.3身份标识与鉴别
测试级证书策略要求在备忘录中商定以下内容a）测试级证书使用的主体名，具体要求依赖于其体的测试环境；GB/T 29767—2013
b）申请证书时，测试级策略对申请者的身份鉴别方法，取决于具体的测试环境；c）测试级证书密钥更新时的身份鉴别方法，取决于具体的测试环境。5.2.4证书生命周期操作要求
测试级证书策略要求在备忘录中商定以下内容a）申请证书时，申请者需要将证书公钥和其身份绑定后，安全递交给CA。测试级证书策略要求这种绑定递交方法在备忘录中商定；b）在订户申请证书前对订户的要求；每隔一段时间，CA系统都需要发布周期性的CRL和CARL，在测试级证书策略中，发布CRL和CARL的周期应该在备忘录中商定。如果发现某个证书的私钥丢失或者安全性受到威胁，则CA系统在撤销该证书后的一定时间内应发布一次 CRL或 CARL,这段时间的长度也需要在备忘录中商定。
5.2.5认证机构设施、管理和操作控制测试级证书策略要求在备忘录中商定以下内容：a）CA系统应产生并保存所有事件的安全审计日志，测试级证仍策略要求该日志的保存期应在备录中商定；
b）每隔-段时间，安全审计日志需要提供给管理者进行审查，测试级证书策略要求在备忘录中商定审查的周期以及年查的要求；e）CA系统需要对其自身的一些数据进行记录归档，测试级证书策略要求归档的内容及归档保存时间都在备忘录中商定；
d）CA系统的物理安全要求；
实体CA和桥CA的角色分配要求。e)
5.2.6技术安全控制
订户所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用广分别发放双证书：签名证和加密证书。
桥CA、实体CA和RA所使用的密码设备和密码算法应符合国家密码管理有关政策。5.2.7证书、证书撤销列表和在线证书状态协议无特殊要求，
5.2.8符合性审计和其他评估
对实行测试级证书策略的CA和RA的审计周期不做要求。5.2.9其他商务和法律问题
无特殊要求。
CB/T29767—2013
5.3初级
5.3.1导引
初级证书应该有个唯一的初级策略OI)。初级证书是所有应用级别中等级最低的证书，使用初级策略的证书的安全保护目标仅仅是在个人身份上提供最低等级的安全保证，例如保证签名消息的完整性。不应被用于任何组织的数据安全，如公司、团体等，不应被用于任何身份的标识与鉴别；也不应用于信息加密。初级证书只能使用于极少出现恶意违法攻击行为的环境中，在该环境下的人员都是可以信赖的，其使用的程序也具有极高的安全等级。这种环境对其所使用的证书安全级别要求狠低，只要求证书可以保证在个人身份上最低等级的安全。但初缀证书不适合用于需要身份鉴别的事务中，除非根本无法得到更高级别的证书。
5.3,2信急与发布管理
无特殊要求。
身份标识与鉴别
当初级证书使用了可选主体名扩展项且标志其为关键时，可以使用空主体名，否则证应提供一个非空的主体名。
初级证书策略对主体名的具体内容不做具体要求，只要求其保证唯-性。彻如用户可以使用一个大整数作主体名，只要该大整数在命名空间里是唯一的。申请证我时，初毅证书策略要求申请者提供个人身份证号码，申请人可以用任的电子邮件申请接收证书。
当订户需要密钥更新时，可以凭借现有私钥的签名来进行身份鉴别。5.3.4证书生命周期操作要求
申请证书时，审请者需要将证书公钥和其身份绑定后，递交给CA。初级证书策略不对公钥和身份的绑定递交方法做具体要求
初级证书策略对CRL和CARL的发布时间和题率不做要求。5.3.5认证机构设施、管理和操作控制一CA系统应产生并保存表A.1中为初级证书策略规定的审计事件的安全审计日志，初级证书策略要求该月志的保存期不得短于 5 年。每隔一段时间，安全审计日志需要提供给管理者进行审查，初级证书策略不对审查的厨期做要求，只在管理者认为需要时进行审查。CA系统需要对其自身的一些数据进行记录归档，初级证书策略要求至少对以下事件进行记录归档：
实体CA或桥CA的授权和鉴定；
CA系统的CPS
合同义务：
系统和设备的配置；
系统配置的修改和升级；
收到的证书申请消息的内容；
TiKaicadiaiKAca-bZxz.net
g）签发的所有证书；
h）CA密钥的更新记录；
i）所有的审计日志。
记录归档的保存期不得短于5年。初级证书策略对CA系统的角色分配不做要求，对角色的认证也不做要求。5.3.6技术安全控制
订广所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。GB/T 29767—2013
CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用户分别发放双证书：签名证书和加密证书。
桥 CA.实体 CA和RA所使用的密码设备和密码算法应符合国家密码管理部门的要求。如果订户的签名证书中所声明的安全保证级别为初级或者声明与桥CA的初级相对应，则证书对应的签名私钥可以进行备份和拷贝，但只能在用户的控制下进行。实体CA、桥CA和订户所使用的激活数据，都应使用一定的访问控方法进行保护，其受保护的强度应与被其激活的私钥的保护强度相同。初级安全策略充许用户白行选择他使用的激活数据。5.3.7逛书、证书撤销列表和在线证书状态协议实体CA颁发的初级证书的扩展项应符合GB/T20518一2006的规范。5.3.8符合性审计和其他评估
对实行初级证书策略的 CA和 RA的审计周期不做要求。5.3.9其他商务和法律问题
无特殊要求。
5.4基本级
5.4.1导引
基本级证书应拥有个唯的基本级证书策略QID。使用基本级策略的证书的安全保护目标是保护非重要数据的安全，例如公司的内部公开文件。其保护的数据可以为许多人所知，即使泄漏了，带来的后果和危害并不大。使用基本级证书策略的证书可以在存在一些恶意违法攻击的环境中使用，但这些恶意行为不应该是环境中的主流现象。在这种环境中，数据受攻击的概率较低，即使被攻击了，带来的危害也并不高，因此，此种环境对证书的安全性要求相对较低，只要求其能保证在较弱攻击下的安全性。例如：此级证书可以用于访间私有信息的环境，在此环境中可能出现妄图非法访问这些信息的行为，但这种可能性并不高。基本级证书策略可假定用户都不大可能是恶意攻击者。5.4.2信息发布与管理
无特殊要求。
5.4.3身份标识与鉴别
基本级证书应拥有一个非空的主体名，另外，如果可选主体名扩展被标记为非关键，则该扩展可以为空：
GB/T 29767—2013
基本级证书策略对主体名的具体内容不做要求，只要保证唯一性。例如用户可以使用一个大整数作主体名，只要该大整数在命名空间里是唯一的。申请证书时，本级证书策略要求申请者证明其身份应满足下列要求：a）身份鉴别来用由申请者个人亲自到RA处进行鉴别的方法或者通过申请者机构人事负责人，或其他有关负责人的证明进行鉴别；b）若是非中请者亲自到场，则证明材料应有有关部门负贡人的手写签名，此时可用邮寄方式递送身份鉴别材料，或由可信的数据库中获取；身份鉴荆材料包括身份证、户籍证明、在所属单位任职证明：c
基本缀证书策略中，对订户的密钥更新时的身份鉴别分为两种情况：8）从订户最初申请证书起，每？年至少要重新鉴别-次其身份，鉴别过程与申请证书时的要求相同。即如果密钥更新时已7年未进行此种鉴别，则应进行一次这种身份鉴别。b）除第a)种情况外，订户可以直接使用现有私钥的签名来进行身份鉴别。5.4.4证书生命周期操作要求
申请证书时，申靖者需要将证书公钥和其身份绑定后，安全递交给CA。这释绑定可以使用某种算法加密，且此种算法的强度至少达到CA发行证书时使用的算法强度，除此之外，基本级证书策略还允许使用某种物理或程序上的方法进行绑定，例如遭过挂号信件邮寄软盘等，基本级证书策略要求订户在申请证书前声明该订户将遵守使用证书和保扩个人私钥的所有策略要求。
每隔一段时间，CA系统都需要发布周期性的CRL和CARL，在基本证书策略中，发布CRL和CARL的周期可以由系统自行酌决定。但是，如果发现某个证书的私钥丢失或者安全性受到威胁，则 CA 系统在撤销该证书后的 24小时之内，应发布一次 CRL或 CARL。5.4.5认证机构设施、管理和操作控制CA系统应产生并保存表A.1中为基本级证书策略规定的审计事件的安全审计日志，基本级证书策略要求该日志的保存期不得短于7年。每隔一段时间，安全审计日志需要提供给管理者进行审查，举本级证书策略不对审查的周期做要求，只在管理者认为需要时进行审查。CA系统需要对其自身的一些数据进行记录归档，基本级证书策略要求至少对以下事件进行记录归档：
实体CA戴桥CA的授权和鉴定；
CA系统的CPS;
合同义务：
系统和设备的配置；
系统配置的修改和升级；
收到的证书申请消息的内容；
收到的证书撤销请求；
订户中请证书时的身份证明材料；）
证书接受的相关文档；
令牌接收的相关文档；
签发的所有证书；
CA密钥的更新记录；
m）签发的所有CRL和CARL
TriKaicahaiKAca-
n）所有的审计日志；
）可以验证存档内容的其他数据或程序：p）审计员要求的其他文档。
记录归档的保存期不得短于 7 年。基本级证书策略要求CA系统在物理安全上至少满足以下两个条件：a）确保对硬件系统的任何形式的访间都是经过充许的GB/T29767—2013
b）确保任何保存敏感信息的存储介质（包括电子介质和纸介质）都被存放在一个安全的地点。当实体A或桥CA系统的物理设备处于无人使用的状态前，都应做一次安全检查，检查至少包括以下四种：
a）针对不同的操作模式，设备都处于正确的状态中。例如：当一个硬件加密模块处于打开模式时，应放置于工作位置；当处于关闭模式时，应放置于一个安全保存地点。b）所有安全保存设施是否已经处于安全状态。例如：保险箱是否已设置密码保护。e）所有物理安全设备是否完好。例如：门锁是否完好。）整个系统区域是否可以对抗非法访问。基本级证书策略要求如果供电系统出现问题，实体CA或桥CA系统应有足够的备份能力，能够在断电前自动停止输入，结束任何挂起的任务，并记录当前的设备状态。基本级证书策略要求实体CA或桥CA系统每一段时闻应做一次全系统的备份，这种备份应能在系统发生故障时有效地恢复系统，系统的CPS应详细地描述此种备份。系统备份的周期不能长于-一周，且应异地保存。系统备份应存储在具有与实体CA和桥CA的运行操作相适应的物理和过程控制的地点。
CA系统的可信角色分为四种：超级管现员，系统管理员，系统审计员、系统操作员，基本级证书策略要求这四种角色都应有人担任，允许兼任，但不得同时兼任系统管理员和系统操作员。每个人在进行其对应角色的操作前都应向系统证明其身份。5.4.6技术安全控制
订户所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用户分别发放双证书：签名证-和加密证书。
实体CA、桥CA和RA所使用的密码设备和密码算法应符合国家密码管理有关政策。如果订户的签名证书中所声明的安全保证级别为基本级或者声明与桥CA的基本级相对应，则证书对应的签名私钥可以进行备份和拷员，但只能在用户的控制下进行。实体CA、桥CA和订户所使用的激活数据，都应使用一定的访问控制方法进行保护，其受保护的强度应与被其激活的私钥的保护强度相同。基本级安全策略允许用户自行选择其便用的激活数据。5.4.7证书证书撤销列表和在线证书状态协议实体CA颁发的基本级证书的扩展项应符合GB/T20518一2006的规范。5.4.8符合性审计和其他评估
每隔一段时间，实体CA，桥CA和RA都应接受一次符合性审计和评估，基本级证书策略要求每2年至少进行～-次符合性审计和评估。5.4.9其他商务和法律问题
无特殊要求。
GB/T 29767—2013
5.5中级
5.5.1导引
中级证书拥有一个唯的中级证书策略○ID使用中级策略的证书的安全保护日标是保护那些比较重要的数据，例如公司的普通商业秘密。这些数据只有较少的人才能接触，数据的泄漏也将会带来较大的损失和危害。在使用中级策略证书的环境中，存在恶意违法攻击和危险的可能性都是中等程度的。但是，任何一份数据在这样的环境中都很有可能受到攻击。因此，此种环境对证书安全性的要求相对较高，要求证书在应用时假定会受到攻击，并仔细考虑好受到攻击的应对措施，证书的安全级别尼以应付较高程度的攻击能力。例如：它可以用于一些有价值的事务交易中可以使用于可能发生诈骗的环境中：也可以使用于对个人私有信息的访间环境，只要该环境中非法访问的可能性仅是中等程度的：5.5.2信息发布与管理
无特殊要求。
5.5.3身份标识与鉴别
中级证书应拥有一个非空的主体名且遵循X.500的可辨别名的要求，另外，妇果可选主体名扩展被标记为非关键的,则该扩展可以为空。中级证书策略要求在桥CA颁发给实体CA的证书中，应使用名称限制来限制实体CA颁发的证书主体名的名字空间，这个名字空间应与实体A所管理的范国相对应。申请证书时，中级证书策略要求申请者采用下列方法证明其身份：a）身份鉴别时申请人应亲自到RA处，或由申请人所在当地可信的第三方鉴别机构鉴别申请人身份、提交由第三方鉴别机构鉴别人手写签名的申请人身份鉴别结果，同时提供由申请人所属机构人事负责人手写签名的申请人身份证实声明，以挂号信邮寄。这些身份鉴别材料的签署具有法律效应。
身份鉴别材料应包括申请人身份证件、户籍证明、联系力式证明、在所属单位任职证明、个人银b)
行账号证明，
申请者提供的材料应被细验证，检查其合法性。中级证书策略中，对订户的密钥更新时的身份鉴别分为两种情况：a）从订户最初申请证书起，每隔4年至少要重新鉴别-.次其身份，鉴别过与申请证书时的要求相同。即如果密钥更新时已4年未进行此种鉴别，则应进行一次这种身份鉴别。b）除第α)种情况外，订户可以直接使用现有私钥的签名来进行身份鉴别。5.5.4证书生命周期操作要求
申请证书时，申请者需要将证书公销和其身份绑定后，安全递交给CA。这种绑定可以使用某种算法加密，且此种算法的强度至少达到CA发行证书时使用的算法强度，除此之外，中级证书策略还允许使用某种物理或程序上的方法进行绑定，例如通过挂号信件邮寄软盘等。中级证书策略要求订户在申请证书前签署-份声明文件，声明该订户将遵守使用证书和保扩个人私钥的所有策略要求。
每隔一段时间，CA系统都需要发布周期性的CR.L和CARL，在中级证书策中，要求每天至少发布一次CRI.和CARL。但是，如果发现某个证书的私钥丢失或者安全性受到威胁，则CA系统在撤销该证书后的18小时之内，应发布一次CRL或CARL。8
TiiKacaiaiKAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国国家标准
GB/T29767—2013
信息安全技术
公钥基础设施
桥CA体系证书分级规范
Information security techniques--Public key infrastructure-Bridge Certification Authority leveled certificate specification20.13-09-18发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2014-05-01实施
GB/T 29767—2013
规范性用文件
术语和定义
缩略语
证书安全保证等级
测试级
基本级
附录A(规范性附录)
附录B（规范性附录)
参考文献
可审计事件安全要求级别划分
证书级别划分
本标准按照GB/T1.1—2009给出的规则起草。本标准由全国信息安全标推化技术委员会(SAC/TC260)提出并归口。本标准起草单位：国家信息中心，中国科学院信息安全国家重点实验室。本标准主要起草人：昊亚非、任金强、罗红斌、张凡、高能。GB/T29767—2013
GB/T29767—2013
本标准对桥CA证书策略的安全保证级别规定了分级标推，将桥CA体系证书划分为四个应用级别和测试级共五个等级，并说明了对各级别的技术要求。四个应用级别是：初级、本级、中级、高级，其安全级别逐次增高。测试级证书是用于交认证测试的证书。本标准参照RFC 3647,对各级别的证书策略做出了明确说明，用以指导设计者如何设计和实现相应级别的证书策略。每个级别针对九个方面的不向内容做出了要求，保证了证书策略从初级到高级，其安全程度随之递增，其适应的安全环境也随之更加严格。T
iiKacaoaaiAca=
1范围
信息安全技术公钥基础设施
桥CA体系证书分级规范
本标准规定了桥CA体系证书安全等级划分。GB/T 29767—2013
本标准适用于桥CA体系证书策略的设计与实现。桥CA系统的研制、开放、测试和产品采购也可参照使用。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注H期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T16264.8·2005信息技术：开放系统互连日录第8部分：公钥和属性证书框架（ISO/IEC 9594-8:2001,IDT)
GB/T205182006信息安全技术公销基础设施数字证书格式RFC3647互联网X.509公钥基础设施：证书策略和证书运行框架（InternetX.509PublicKcylnfrastructure, Certificate Policy and Certificatian Practices Frarnework)3术语和定义
GB/T16264.8一2005界定的以及下列术语和定义适用于本文件。3.1
公钥基础设施publickeyinfrastracture支持公钥管理体制并提供鉴别、加密、完整性和不可否认性服务的基础设施。3.2
交叉认证cross eertification
两个CA之间建立信任关系，以使它们可以互相信任和依赖任何一方发放的证书的过程。3.3
交叉认证协议备忘cross-certification memorandum of agreement确定两个CA之间关系、规定了双方互通后亨有的信任程度的协议。3.4
证书策略certificate policy
一组指定的规则，指出证书对具有公共安全要求的特定团体和/或应用的适用范围。3.5
实体 CAentity CA
要求帮助交叉认证的具体根 CA。3.6
订户 subscriber
从 CA接收数字证书的实体。
GB/T 29767—2013
激活数据activation data
用于操作密码模块所必需的、并且需要被保护的数据值。3.8
cornpliance audits
符合性审计
定期对物理控制、密钥管理控制、鉴证执行等情况进行审查，以确定实际发生情况是否与预定的标准、要求一致，并根据审查结果采取行动。4
缩略语
下列缩略语适用于本文件。
CA，证书认证机构（CertificationAuthority）CARL：证书认证机构撤销列表certifitationAuthorityRevocalionListCP.证书策略(Certificate Policy)CPS：认证业务说明(Certification Practice Statement)CRl：证书撤销列表(Certificate Revocation List)OID,对象称识符(Object Identifier)PKI:公钥基础设施(Public Key Infrastructure)RA，注册机构（RegistrationAuthority）5证书安全保证等级
5.1概述
桥CA体紊证书安保证等级的分级是基于桥CA的证书策略要求，结构遵循RFC3617。根据证书策略，桥CA体系证书分为测试级和四个应用安全保证等级，四个应用安全保证等级包括初级、基本级、中级和商级，再个等级的证书都包括“导引“信息发布与管理”“身份标识与刻”“证书生命周期操作要求”“认证机构设施：管理和操作控制”“技术安全控制”“证书、证书撤销列表和在线证书状态协议”“符合性审计和其他评估其他商务和法律间题”九个方面，主要根据该级证书所处的安全环境进行规范。不同级别的安全环境对证书安全的要求不同，环境越危险，所需证书的安全级别越高，反之亦然。本标准附录A对可审计事件在不同级别的要求进行了规范，附录B对各级别证书的不同证书策略要求作了总结。
5.2测试级
5.2.1导引
测试级证书应该拥有一个唯一的测试级证书策略OID，使用测试级证书策略的证书没有安全保护目标，只用于测试，不能被用于其他任何事务。使用测试级证书策略的证书只能被用于实体CA与桥CA.之间的交互测试中，不能被用于其他任何目的。此级证长策略不对安全做出任何保证。5.2.2信息发布与管理
“无特殊要求。
TiKacadiaikAca
5.2.3身份标识与鉴别
测试级证书策略要求在备忘录中商定以下内容a）测试级证书使用的主体名，具体要求依赖于其体的测试环境；GB/T 29767—2013
b）申请证书时，测试级策略对申请者的身份鉴别方法，取决于具体的测试环境；c）测试级证书密钥更新时的身份鉴别方法，取决于具体的测试环境。5.2.4证书生命周期操作要求
测试级证书策略要求在备忘录中商定以下内容a）申请证书时，申请者需要将证书公钥和其身份绑定后，安全递交给CA。测试级证书策略要求这种绑定递交方法在备忘录中商定；b）在订户申请证书前对订户的要求；每隔一段时间，CA系统都需要发布周期性的CRL和CARL，在测试级证书策略中，发布CRL和CARL的周期应该在备忘录中商定。如果发现某个证书的私钥丢失或者安全性受到威胁，则CA系统在撤销该证书后的一定时间内应发布一次 CRL或 CARL,这段时间的长度也需要在备忘录中商定。
5.2.5认证机构设施、管理和操作控制测试级证书策略要求在备忘录中商定以下内容：a）CA系统应产生并保存所有事件的安全审计日志，测试级证仍策略要求该日志的保存期应在备录中商定；
b）每隔-段时间，安全审计日志需要提供给管理者进行审查，测试级证书策略要求在备忘录中商定审查的周期以及年查的要求；e）CA系统需要对其自身的一些数据进行记录归档，测试级证书策略要求归档的内容及归档保存时间都在备忘录中商定；
d）CA系统的物理安全要求；
实体CA和桥CA的角色分配要求。e)
5.2.6技术安全控制
订户所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用广分别发放双证书：签名证和加密证书。
桥CA、实体CA和RA所使用的密码设备和密码算法应符合国家密码管理有关政策。5.2.7证书、证书撤销列表和在线证书状态协议无特殊要求，
5.2.8符合性审计和其他评估
对实行测试级证书策略的CA和RA的审计周期不做要求。5.2.9其他商务和法律问题
无特殊要求。
CB/T29767—2013
5.3初级
5.3.1导引
初级证书应该有个唯一的初级策略OI)。初级证书是所有应用级别中等级最低的证书，使用初级策略的证书的安全保护目标仅仅是在个人身份上提供最低等级的安全保证，例如保证签名消息的完整性。不应被用于任何组织的数据安全，如公司、团体等，不应被用于任何身份的标识与鉴别；也不应用于信息加密。初级证书只能使用于极少出现恶意违法攻击行为的环境中，在该环境下的人员都是可以信赖的，其使用的程序也具有极高的安全等级。这种环境对其所使用的证书安全级别要求狠低，只要求证书可以保证在个人身份上最低等级的安全。但初缀证书不适合用于需要身份鉴别的事务中，除非根本无法得到更高级别的证书。
5.3,2信急与发布管理
无特殊要求。
身份标识与鉴别
当初级证书使用了可选主体名扩展项且标志其为关键时，可以使用空主体名，否则证应提供一个非空的主体名。
初级证书策略对主体名的具体内容不做具体要求，只要求其保证唯-性。彻如用户可以使用一个大整数作主体名，只要该大整数在命名空间里是唯一的。申请证我时，初毅证书策略要求申请者提供个人身份证号码，申请人可以用任的电子邮件申请接收证书。
当订户需要密钥更新时，可以凭借现有私钥的签名来进行身份鉴别。5.3.4证书生命周期操作要求
申请证书时，审请者需要将证书公钥和其身份绑定后，递交给CA。初级证书策略不对公钥和身份的绑定递交方法做具体要求
初级证书策略对CRL和CARL的发布时间和题率不做要求。5.3.5认证机构设施、管理和操作控制一CA系统应产生并保存表A.1中为初级证书策略规定的审计事件的安全审计日志，初级证书策略要求该月志的保存期不得短于 5 年。每隔一段时间，安全审计日志需要提供给管理者进行审查，初级证书策略不对审查的厨期做要求，只在管理者认为需要时进行审查。CA系统需要对其自身的一些数据进行记录归档，初级证书策略要求至少对以下事件进行记录归档：
实体CA或桥CA的授权和鉴定；
CA系统的CPS
合同义务：
系统和设备的配置；
系统配置的修改和升级；
收到的证书申请消息的内容；
TiKaicadiaiKAca-bZxz.net
g）签发的所有证书；
h）CA密钥的更新记录；
i）所有的审计日志。
记录归档的保存期不得短于5年。初级证书策略对CA系统的角色分配不做要求，对角色的认证也不做要求。5.3.6技术安全控制
订广所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。GB/T 29767—2013
CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用户分别发放双证书：签名证书和加密证书。
桥 CA.实体 CA和RA所使用的密码设备和密码算法应符合国家密码管理部门的要求。如果订户的签名证书中所声明的安全保证级别为初级或者声明与桥CA的初级相对应，则证书对应的签名私钥可以进行备份和拷贝，但只能在用户的控制下进行。实体CA、桥CA和订户所使用的激活数据，都应使用一定的访问控方法进行保护，其受保护的强度应与被其激活的私钥的保护强度相同。初级安全策略充许用户白行选择他使用的激活数据。5.3.7逛书、证书撤销列表和在线证书状态协议实体CA颁发的初级证书的扩展项应符合GB/T20518一2006的规范。5.3.8符合性审计和其他评估
对实行初级证书策略的 CA和 RA的审计周期不做要求。5.3.9其他商务和法律问题
无特殊要求。
5.4基本级
5.4.1导引
基本级证书应拥有个唯的基本级证书策略QID。使用基本级策略的证书的安全保护目标是保护非重要数据的安全，例如公司的内部公开文件。其保护的数据可以为许多人所知，即使泄漏了，带来的后果和危害并不大。使用基本级证书策略的证书可以在存在一些恶意违法攻击的环境中使用，但这些恶意行为不应该是环境中的主流现象。在这种环境中，数据受攻击的概率较低，即使被攻击了，带来的危害也并不高，因此，此种环境对证书的安全性要求相对较低，只要求其能保证在较弱攻击下的安全性。例如：此级证书可以用于访间私有信息的环境，在此环境中可能出现妄图非法访问这些信息的行为，但这种可能性并不高。基本级证书策略可假定用户都不大可能是恶意攻击者。5.4.2信息发布与管理
无特殊要求。
5.4.3身份标识与鉴别
基本级证书应拥有一个非空的主体名，另外，如果可选主体名扩展被标记为非关键，则该扩展可以为空：
GB/T 29767—2013
基本级证书策略对主体名的具体内容不做要求，只要保证唯一性。例如用户可以使用一个大整数作主体名，只要该大整数在命名空间里是唯一的。申请证书时，本级证书策略要求申请者证明其身份应满足下列要求：a）身份鉴别来用由申请者个人亲自到RA处进行鉴别的方法或者通过申请者机构人事负责人，或其他有关负责人的证明进行鉴别；b）若是非中请者亲自到场，则证明材料应有有关部门负贡人的手写签名，此时可用邮寄方式递送身份鉴别材料，或由可信的数据库中获取；身份鉴荆材料包括身份证、户籍证明、在所属单位任职证明：c
基本缀证书策略中，对订户的密钥更新时的身份鉴别分为两种情况：8）从订户最初申请证书起，每？年至少要重新鉴别-次其身份，鉴别过程与申请证书时的要求相同。即如果密钥更新时已7年未进行此种鉴别，则应进行一次这种身份鉴别。b）除第a)种情况外，订户可以直接使用现有私钥的签名来进行身份鉴别。5.4.4证书生命周期操作要求
申请证书时，申靖者需要将证书公钥和其身份绑定后，安全递交给CA。这释绑定可以使用某种算法加密，且此种算法的强度至少达到CA发行证书时使用的算法强度，除此之外，基本级证书策略还允许使用某种物理或程序上的方法进行绑定，例如遭过挂号信件邮寄软盘等，基本级证书策略要求订户在申请证书前声明该订户将遵守使用证书和保扩个人私钥的所有策略要求。
每隔一段时间，CA系统都需要发布周期性的CRL和CARL，在基本证书策略中，发布CRL和CARL的周期可以由系统自行酌决定。但是，如果发现某个证书的私钥丢失或者安全性受到威胁，则 CA 系统在撤销该证书后的 24小时之内，应发布一次 CRL或 CARL。5.4.5认证机构设施、管理和操作控制CA系统应产生并保存表A.1中为基本级证书策略规定的审计事件的安全审计日志，基本级证书策略要求该日志的保存期不得短于7年。每隔一段时间，安全审计日志需要提供给管理者进行审查，举本级证书策略不对审查的周期做要求，只在管理者认为需要时进行审查。CA系统需要对其自身的一些数据进行记录归档，基本级证书策略要求至少对以下事件进行记录归档：
实体CA戴桥CA的授权和鉴定；
CA系统的CPS;
合同义务：
系统和设备的配置；
系统配置的修改和升级；
收到的证书申请消息的内容；
收到的证书撤销请求；
订户中请证书时的身份证明材料；）
证书接受的相关文档；
令牌接收的相关文档；
签发的所有证书；
CA密钥的更新记录；
m）签发的所有CRL和CARL
TriKaicahaiKAca-
n）所有的审计日志；
）可以验证存档内容的其他数据或程序：p）审计员要求的其他文档。
记录归档的保存期不得短于 7 年。基本级证书策略要求CA系统在物理安全上至少满足以下两个条件：a）确保对硬件系统的任何形式的访间都是经过充许的GB/T29767—2013
b）确保任何保存敏感信息的存储介质（包括电子介质和纸介质）都被存放在一个安全的地点。当实体A或桥CA系统的物理设备处于无人使用的状态前，都应做一次安全检查，检查至少包括以下四种：
a）针对不同的操作模式，设备都处于正确的状态中。例如：当一个硬件加密模块处于打开模式时，应放置于工作位置；当处于关闭模式时，应放置于一个安全保存地点。b）所有安全保存设施是否已经处于安全状态。例如：保险箱是否已设置密码保护。e）所有物理安全设备是否完好。例如：门锁是否完好。）整个系统区域是否可以对抗非法访问。基本级证书策略要求如果供电系统出现问题，实体CA或桥CA系统应有足够的备份能力，能够在断电前自动停止输入，结束任何挂起的任务，并记录当前的设备状态。基本级证书策略要求实体CA或桥CA系统每一段时闻应做一次全系统的备份，这种备份应能在系统发生故障时有效地恢复系统，系统的CPS应详细地描述此种备份。系统备份的周期不能长于-一周，且应异地保存。系统备份应存储在具有与实体CA和桥CA的运行操作相适应的物理和过程控制的地点。
CA系统的可信角色分为四种：超级管现员，系统管理员，系统审计员、系统操作员，基本级证书策略要求这四种角色都应有人担任，允许兼任，但不得同时兼任系统管理员和系统操作员。每个人在进行其对应角色的操作前都应向系统证明其身份。5.4.6技术安全控制
订户所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用户分别发放双证书：签名证-和加密证书。
实体CA、桥CA和RA所使用的密码设备和密码算法应符合国家密码管理有关政策。如果订户的签名证书中所声明的安全保证级别为基本级或者声明与桥CA的基本级相对应，则证书对应的签名私钥可以进行备份和拷员，但只能在用户的控制下进行。实体CA、桥CA和订户所使用的激活数据，都应使用一定的访问控制方法进行保护，其受保护的强度应与被其激活的私钥的保护强度相同。基本级安全策略允许用户自行选择其便用的激活数据。5.4.7证书证书撤销列表和在线证书状态协议实体CA颁发的基本级证书的扩展项应符合GB/T20518一2006的规范。5.4.8符合性审计和其他评估
每隔一段时间，实体CA，桥CA和RA都应接受一次符合性审计和评估，基本级证书策略要求每2年至少进行～-次符合性审计和评估。5.4.9其他商务和法律问题
无特殊要求。
GB/T 29767—2013
5.5中级
5.5.1导引
中级证书拥有一个唯的中级证书策略○ID使用中级策略的证书的安全保护日标是保护那些比较重要的数据，例如公司的普通商业秘密。这些数据只有较少的人才能接触，数据的泄漏也将会带来较大的损失和危害。在使用中级策略证书的环境中，存在恶意违法攻击和危险的可能性都是中等程度的。但是，任何一份数据在这样的环境中都很有可能受到攻击。因此，此种环境对证书安全性的要求相对较高，要求证书在应用时假定会受到攻击，并仔细考虑好受到攻击的应对措施，证书的安全级别尼以应付较高程度的攻击能力。例如：它可以用于一些有价值的事务交易中可以使用于可能发生诈骗的环境中：也可以使用于对个人私有信息的访间环境，只要该环境中非法访问的可能性仅是中等程度的：5.5.2信息发布与管理
无特殊要求。
5.5.3身份标识与鉴别
中级证书应拥有一个非空的主体名且遵循X.500的可辨别名的要求，另外，妇果可选主体名扩展被标记为非关键的,则该扩展可以为空。中级证书策略要求在桥CA颁发给实体CA的证书中，应使用名称限制来限制实体CA颁发的证书主体名的名字空间，这个名字空间应与实体A所管理的范国相对应。申请证书时，中级证书策略要求申请者采用下列方法证明其身份：a）身份鉴别时申请人应亲自到RA处，或由申请人所在当地可信的第三方鉴别机构鉴别申请人身份、提交由第三方鉴别机构鉴别人手写签名的申请人身份鉴别结果，同时提供由申请人所属机构人事负责人手写签名的申请人身份证实声明，以挂号信邮寄。这些身份鉴别材料的签署具有法律效应。
身份鉴别材料应包括申请人身份证件、户籍证明、联系力式证明、在所属单位任职证明、个人银b)
行账号证明，
申请者提供的材料应被细验证，检查其合法性。中级证书策略中，对订户的密钥更新时的身份鉴别分为两种情况：a）从订户最初申请证书起，每隔4年至少要重新鉴别-.次其身份，鉴别过与申请证书时的要求相同。即如果密钥更新时已4年未进行此种鉴别，则应进行一次这种身份鉴别。b）除第α)种情况外，订户可以直接使用现有私钥的签名来进行身份鉴别。5.5.4证书生命周期操作要求
申请证书时，申请者需要将证书公销和其身份绑定后，安全递交给CA。这种绑定可以使用某种算法加密，且此种算法的强度至少达到CA发行证书时使用的算法强度，除此之外，中级证书策略还允许使用某种物理或程序上的方法进行绑定，例如通过挂号信件邮寄软盘等。中级证书策略要求订户在申请证书前签署-份声明文件，声明该订户将遵守使用证书和保扩个人私钥的所有策略要求。
每隔一段时间，CA系统都需要发布周期性的CR.L和CARL，在中级证书策中，要求每天至少发布一次CRI.和CARL。但是，如果发现某个证书的私钥丢失或者安全性受到威胁，则CA系统在撤销该证书后的18小时之内，应发布一次CRL或CARL。8
TiiKacaiaiKAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。