GB∕T 25056-2018
基本信息
标准号： GB∕T 25056-2018
中文名称：信息安全技术 证书认证系统密码及其相关安全技术规范
标准类别：国家标准(GB)
标准状态：现行
出版语种：简体中文
下载格式：.rar .pdf
下载大小：3366KB
相关标签： 信息安全 技术 证书 认证 系统 密码 相关 安全 技术规范
标准分类号
关联标准
出版信息
相关单位信息
标准简介
GB∕T 25056-2018 信息安全技术 证书认证系统密码及其相关安全技术规范
GB∕T25056-2018
标准压缩包解压密码：www.bzxz.net
标准图片预览
标准内容
ICS35.040
中华人民共和国国家标准
GB/T25056—2018
代替GB/T25056—2010
信息安全技术
证书认证系统密码
及其相关安全技术规范
Information security technologySpecifications of cryptograph andrelated security technology for certificate authentication system2018-06-07发布
国家市场监督管理总局
中国国家标准化管理委员会
2019-01-01实施
规范性引用文件
术语和定义
缩略语
证书认证系统
功能描述
系统设计
数字证书
证书撤销列表
6密钥管理系统
结构描述
功能描述·.
系统设计
KMC与CA的安全通信协议
密码算法、密码设备及接口
密码算法
密码设备
密码服务接口
证书认证中心
系统·
数据备份
可靠性
物理安全
人事管理制度
密钥管理中心·
建设原则
数据备份
可靠性
物理安全
人事管理制度
证书认证中心运行管理要求
...-...
+...+.--.
GB/T25056—2018
GB/T25056—2018
人员管理要求
CA业务运行管理要求，
密钥分管要求
安全管理要求
安全审计要求
文档配备要求
密钥管理中心运行管理要求
人员管理要求
运行管理要求
密钥分管要求
安全管理要求
安全审计要求
文档配备要求
证书操作流程
证书申请流程
证书更新流程
证书吊销流程
用户密钥恢复流程
司法密钥恢复
证书挂起流程
解除证书挂起流程
附录A（资料性附录）
证书认证系统网络结构图.
本标准按照GB/T1.1一2009给出的规则起草。GB/T25056—2018
本标准代替GB/T25056—2010《信息安全技术证书认证系统密码及其相关安全技术规范》，与GB/T25056—2010相比主要技术变化如下：修改了对密码算法的要求（见7.1）；修改了对密码服务接口的要求（见7.3）；修改了证书认证系统的密码协议，删除了原标准第8章，改为引用GM/T0014；修改了KMC与CA之间的消息格式和安全通信协议，删除了原标准的附录A和附录B，改为引用GM/T0014；
修改了密码接口函数定义，删除了原标准的附录C，改为引用GM/T0019；增加了对证书操作流程的规定（见第12章）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本标准起草单位：上海市数字证书认证中心有限公司，上海格尔软件股份有限公司，北京数字认证股份有限公司、长春吉大正元信息技术股份有限公司，北京海泰方圆科技股份有限公司，无锡江南信息安全工程技术中心、成都卫士通信息产业股份有限公司、兴唐通信科技有限公司、上海颐东网络信息有限公司万达信息股份有限公司、飞天诚信科技股份有限公司、北京华大智宝电子系统有限公司、北京握奇智能科技有限公司，山东得安信息技术有限公司，上海信息安全工程技术研究中心、国家密码管理局商用密码检测中心。
本标准起草人：刘平，崔久强，刘承，郑强，谭武征，李述胜、赵丽丽、柳增寿，徐明翼，季元正，王妮娜、夏东山、李海杰、于华章、陈跃、胡俊义、孔凡玉、袁峰、李志伟。本标准所代替标准的历次版本发布情况为：GB/T25056—2010。
1范围
信息安全技术证书认证系统密码及其相关安全技术规范
GB/T25056—2018
本标准规定了数字证书认证系统的密码及其相关安全技术要求，包括：证书认证系统，密钥管理系统，密码算法、密码设备及接口，证书认证中心，密钥管理中心，证书认证中心运行管理要求，密钥管理中心运行管理要求，证书操作流程等本标准适用于指导第三方认证机构的数字证书认证系统的建设和检测评估，规范数字证书认证系统中密码及相关安全技术的应用。非第三方认证机构的数字证书认证系统的建设、运行及管理，可参照本标准。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T2887计算机场地通用规范
GB/T9361计算机场地安全要求
GB/T32905信息安全技术SM3密码杂凑算法GB/T32918（所有部分）信息安全技术SM2椭圆曲线公钥密码算法GB/T35291一2017信息安全技术智能密码钥匙应用接口规范GB/T20518一2018信息安全技术公钥基础设施数字证书格式GB/T36322一2018信息安全技术密码设备应用接口规范GB50174数据中心设计规范
BMB3一1999处理涉密信息的电磁屏蔽室的技术要求和测试方法GM/T0014一2012数字证书认证系统密码协议规范GM/T0019—2012通用密码服务接口规范GM/T00202012证书应用综合服务接口规范RFC6960X.509因特网公钥基础设施在线证书状态协议（X.509InternetPublicKeyInfrastructure Online Certificate Status Protocol)3术语和定义
下列术语和定义适用于本文件。3.1
CA证书CA certificate
由一个CA给另一个CA签发的证书，一个CA也可以为自已签发证书，这是一种自签名的证书3.2
证书认证系统
certificate authentication system对数字证书的签发、发布、更新、撤销等数字证书全生命周期进行管理的系统。1
GB/T25056—2018bzxZ.net
certificate policy
证书策略
个指定的规则集合，它指出证书对于具有普通安全需求的一个特定团体和（或）具体应用类的适用性。
注：一个特定的证书策略可以指出一个类型的证书对在一定的价格幅度下商品交易的电子数据处理的认证的适用性。
证书撤销列表certificaterevocationlis由证书认证机构（CA)签发并发布的被撤销证书的列表3.5
证书认证机构certificateauthority对数字证书进行全生命周期管理的实体，也称为电子认证服务机构3.6
CA注销列表 certificate authority revocation list标记已经被注销的CA的公钥证书的列表，表示这些证书已经无效。3.7
证书撤销列表分发点certificaterevocationlistdistributionpointCDP
一个目录条目或其他的证书撤销列表分布源，一个通过证书撤销列表分布点发布的证书撤销列表，可以包括由一个CA发布的所有证书中的一个证书子集的注销条目，也可以包括全部证书的注销条目。3.8
证书序列号certificate serial number在一个证书认证机构所签发的证书中用于唯一标识数字证书的一个整数。3.9
数字证书
digital certificate
公钥证书
由证书认证机构（CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。
私钥privatekey
非对称密码算法中只能由拥有者使用的不公开密钥。3.11
publickey
非对称密码算法中可以公开的密钥。3.12
registration authority
证书注册机构
受理数字证书的申请、更新、恢复和注销等业务的实体。3.13
fsecuritypolicy
安全策略
由证书认证机构发布的用于约束安全服务以及设施的使用和提供方式的规则集合。3.14
SM2算法
SM2algorithm
由GB/T32918（所有部分）定义的算法。2
SM3cryptographichashalgorithmSM3密码杂凑算法
由GB/T32905定义的算法。
信任trust
GB/T25056—2018
通常说一个实体信任另一个实体表示后一个实体将完全按照第一个实体的规定进行相关的活动在本标准中，信任用来描述一个认证实体与证书认证机构之间的关系。4缩略语
下列缩略语适用于本文件。
ARL:CA注销列表(CertificateAuthorityRevocationList)CA：证书认证机构（CertificateAuthority）CRL：证书撤销列表(CertificateRevocationList)HTTP：超文本传输协议（HypertextTransferProtocol）HTTPS：安全超文本传输协议（SecureHypertextTransferProtocol)KMC：密钥管理中心（KeyManagementCentre）LDAP：轻量级目录访问协议（LightweightDirectoryAccessProtocol）OCSP：在线证书状态查询协议（OnlineCertificateStatusProtocol）OID：对象标识符（ObjectID)）RA：证书注册机构（RegistrationAuthority）5
证书认证系统
5.1概述
证书认证系统是对生命周期内的数字证书进行全过程管理的安全系统。证书认证系统应采用双证书（用于数字签名的证书和用于数据加密的证书)机制，并建设双中心（证书认证中心和密钥管理中心）。证书认证系统在逻辑上可分为核心层、管理层和服务层，其中，核心层由密钥管理中心、证书/CRL生成与签发系统、证书/CRL存储发布系统构成；管理层由证书管理系统和安全管理系统构成；服务层由证书注册管理系统（包括远程用户注册管理系统）和证书状态查询系统构成。证书认证系统的逻辑结构宜如图1所示。
GB/T25056—2018
证书认
证书/CRL
存储发布系统
Internet
远程用户注册管理系统
终端实体
5.2功能描述
5.2.1概述
证书管理系统
证书/CRL生成与
签发系统
安全管理系统
证书状态查询系统
用户注册管理系
终端实体
证书认证系统逻辑结构
密钥管理中心
证书认证系统提供了对生命周期内的数字证书进行全过程管理的功能，包括用户注册管理，证书证书撤销列表的生成与签发、证书/证书撤销列表的存储与发布、证书状态的查询、证书管理及安全管理等。
5.2.2用户注册管理系统
用户注册管理系统负责用户的证书申请、身份审核和证书下载，可分为本地注册管理系统和远程注册管理系统。
证书申请
证书申请可采用在线或离线两种方式：在线方式：用户通过互联网等登录到用户注册管理系统申请证书；a
离线方式：用户到指定的注册机构申请证书。b）
5.2.2.3身份审核
审核人员通过用户注册管理系统，对证书申请者进行身份审核。5.2.2.4证书下载
证书下载可采用在线或离线两种方式a）在线方式：用户通过互联网等登录到用户注册管理系统下载证书；b）离线方式：用户到指定的注册机构下载证书。5.2.3证书/证书撤销列表生成与签发系统5.2.3.1功能
证书/证书撤销列表生成与签发系统负责生成、签发数字证书和证书撤销列表。5.2.3.2证书类型
按主体对象，证书分为人员证书、设备证书和机构证书三种类型。按功能，证书分为加密证书和签名证书两种类型5.2.3.3证书机制
GB/T25056—2018
证书认证系统采用双证书机制。每个用户拥有两张数字证书，一张用于数字签名，另一张用于数据加密。用于数字签名的密钥对可以由用户利用具有密码运算功能的证书载体产生；用于数据加密的密钥对由密钥管理中心产生并负责安全管理。签名证书和加密证书一起保存在用户的证书载体中。5.2.3.4证书生成/签发
用户的数字证书由该系统的CA签发，根CA的数字证书由根CA自已签发，下级CA的数字证书由上级CA签发。
5.2.3.5证书撤销列表
证书撤销列表是在证书有效期之内，CA签发的终止使用证书的信息，分为用户证书撤销列表(CRL）和CA证书撤销列表（ARL）两类。在证书的使用过程中，应用系统通过检查CRL/ARL，获取有关证书的状态。
5.2.4证书/证书撤销列表存储与发布系统证书/证书撤销列表存储与发布系统负责数字证书、证书撤销列表的存储和发布。根据应用环境的不同，证书/证书撤销列表存储与发布系统应采用数据库或目录服务方式，实现数字证书/证书撤销列表的存储、备份和恢复等功能，并提供查询服务使用目录服务方式，应采用主、从目录服务器结构以保证主目录服务器的安全，同时从目录服务器可以采用分布式的方式进行设置，以提高系统的效率。用户只能访问从目录服务器。5.2.5证书状态查询系统
证书状态查询系统应为用户和应用系统提供证书状态查询服务，包括：a）CRL查询：用户或应用系统利用数字证书中标识的CRL地址，下载CRL，并检验证书有效性；b）在线证书状态查询：用户或应用系统按照在RFC6960中规定的方法，实时在线查询证书的5
GB/T25056—2018
状态。
在实际应用中，可以根据具体情况采用上述两种查询方式之一或全部。5.2.6证书管理系统
证书管理系统是证书认证系统中实现对证书/证书撤销列表的申请，审核，生成、签发，存储，发布注销、归档等功能的管理控制系统5.2.7安全管理系统
安全管理系统主要包括安全审计系统和安全防护系统安全审计系统提供事件级审计功能，对涉及系统安全的行为、人员、时间等记录进行跟踪、统计和分析。
安全防护系统提供访问控制、人侵检测（人侵防御）、漏洞扫描、病毒防治等网络安全功能5.3系统设计
5.3.1概述
证书认证系统的设计包括系统的总体设计和各子系统设计，本标准提供证书认证系统的设计原则以及各个子系统的实现方式，在具体实现过程中，应根据所选择的开发平台和开发环境进行详细设计。5.3.2总体设计原则
证书认证系统的总体设计原则如下：a）证书认证系统遵循标准化、模块化设计原则；b）
证书认证系统设置相对独立的功能模块，通过各模块之间的安全连接，实现各项功能；c)
客模块之间的通信采用基于身份鉴别机制的安全通信协议：各模块使用的密码运算都要在密码设备中完成；各模块产生的审计日志文件采用统一的格式传递和存储；用户注册管理系统、证书/证书撤销列表生成与签发系统和密钥管理中心可以设置独立的数据库；
证书认证系统的各模块应设置有效的系统管理功能；h）
系统应具备访问控制功能；
系统在实现证书管理功能的同时，应充分考虑系统本身的安全性5.3.3用户注册管理系统设计
用户注册管理系统功能
用户注册管理系统负责用户证书/证书撤销列表的申请、审核以及证书的制作，其主要功能如下：a）用户信息的录人：录人用户的申请信息，用户申请信息包括签发证书所需要的信息，还包括用于验证用户身份的信息，这些信息存放在用户注册管理系统的数据库中。用户注册管理系统应能够批量接收从外部系统生成的、以电子文档方式存储的用户信息b）用户信息的审核：提取用户的申请信息，审核用户的真实身份，当审核通过后，将证书签发所需要的信息提交给签发系统，
用户证书下载：用户注册管理系统提供证书下载功能，当签发系统为用户签发证书后，用户注册管理系统能够下载用户证书，并将用户证书写入指定的用户证书载体中，然后分发给用户。安全审计：负责对用户注册管理系统的管理人员、操作人员的操作日志进行查询、统计以及报d)
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国国家标准
GB/T25056—2018
代替GB/T25056—2010
信息安全技术
证书认证系统密码
及其相关安全技术规范
Information security technologySpecifications of cryptograph andrelated security technology for certificate authentication system2018-06-07发布
国家市场监督管理总局
中国国家标准化管理委员会
2019-01-01实施
规范性引用文件
术语和定义
缩略语
证书认证系统
功能描述
系统设计
数字证书
证书撤销列表
6密钥管理系统
结构描述
功能描述·.
系统设计
KMC与CA的安全通信协议
密码算法、密码设备及接口
密码算法
密码设备
密码服务接口
证书认证中心
系统·
数据备份
可靠性
物理安全
人事管理制度
密钥管理中心·
建设原则
数据备份
可靠性
物理安全
人事管理制度
证书认证中心运行管理要求
...-...
+...+.--.
GB/T25056—2018
GB/T25056—2018
人员管理要求
CA业务运行管理要求，
密钥分管要求
安全管理要求
安全审计要求
文档配备要求
密钥管理中心运行管理要求
人员管理要求
运行管理要求
密钥分管要求
安全管理要求
安全审计要求
文档配备要求
证书操作流程
证书申请流程
证书更新流程
证书吊销流程
用户密钥恢复流程
司法密钥恢复
证书挂起流程
解除证书挂起流程
附录A（资料性附录）
证书认证系统网络结构图.
本标准按照GB/T1.1一2009给出的规则起草。GB/T25056—2018
本标准代替GB/T25056—2010《信息安全技术证书认证系统密码及其相关安全技术规范》，与GB/T25056—2010相比主要技术变化如下：修改了对密码算法的要求（见7.1）；修改了对密码服务接口的要求（见7.3）；修改了证书认证系统的密码协议，删除了原标准第8章，改为引用GM/T0014；修改了KMC与CA之间的消息格式和安全通信协议，删除了原标准的附录A和附录B，改为引用GM/T0014；
修改了密码接口函数定义，删除了原标准的附录C，改为引用GM/T0019；增加了对证书操作流程的规定（见第12章）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本标准起草单位：上海市数字证书认证中心有限公司，上海格尔软件股份有限公司，北京数字认证股份有限公司、长春吉大正元信息技术股份有限公司，北京海泰方圆科技股份有限公司，无锡江南信息安全工程技术中心、成都卫士通信息产业股份有限公司、兴唐通信科技有限公司、上海颐东网络信息有限公司万达信息股份有限公司、飞天诚信科技股份有限公司、北京华大智宝电子系统有限公司、北京握奇智能科技有限公司，山东得安信息技术有限公司，上海信息安全工程技术研究中心、国家密码管理局商用密码检测中心。
本标准起草人：刘平，崔久强，刘承，郑强，谭武征，李述胜、赵丽丽、柳增寿，徐明翼，季元正，王妮娜、夏东山、李海杰、于华章、陈跃、胡俊义、孔凡玉、袁峰、李志伟。本标准所代替标准的历次版本发布情况为：GB/T25056—2010。
1范围
信息安全技术证书认证系统密码及其相关安全技术规范
GB/T25056—2018
本标准规定了数字证书认证系统的密码及其相关安全技术要求，包括：证书认证系统，密钥管理系统，密码算法、密码设备及接口，证书认证中心，密钥管理中心，证书认证中心运行管理要求，密钥管理中心运行管理要求，证书操作流程等本标准适用于指导第三方认证机构的数字证书认证系统的建设和检测评估，规范数字证书认证系统中密码及相关安全技术的应用。非第三方认证机构的数字证书认证系统的建设、运行及管理，可参照本标准。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T2887计算机场地通用规范
GB/T9361计算机场地安全要求
GB/T32905信息安全技术SM3密码杂凑算法GB/T32918（所有部分）信息安全技术SM2椭圆曲线公钥密码算法GB/T35291一2017信息安全技术智能密码钥匙应用接口规范GB/T20518一2018信息安全技术公钥基础设施数字证书格式GB/T36322一2018信息安全技术密码设备应用接口规范GB50174数据中心设计规范
BMB3一1999处理涉密信息的电磁屏蔽室的技术要求和测试方法GM/T0014一2012数字证书认证系统密码协议规范GM/T0019—2012通用密码服务接口规范GM/T00202012证书应用综合服务接口规范RFC6960X.509因特网公钥基础设施在线证书状态协议（X.509InternetPublicKeyInfrastructure Online Certificate Status Protocol)3术语和定义
下列术语和定义适用于本文件。3.1
CA证书CA certificate
由一个CA给另一个CA签发的证书，一个CA也可以为自已签发证书，这是一种自签名的证书3.2
证书认证系统
certificate authentication system对数字证书的签发、发布、更新、撤销等数字证书全生命周期进行管理的系统。1
GB/T25056—2018bzxZ.net
certificate policy
证书策略
个指定的规则集合，它指出证书对于具有普通安全需求的一个特定团体和（或）具体应用类的适用性。
注：一个特定的证书策略可以指出一个类型的证书对在一定的价格幅度下商品交易的电子数据处理的认证的适用性。
证书撤销列表certificaterevocationlis由证书认证机构（CA)签发并发布的被撤销证书的列表3.5
证书认证机构certificateauthority对数字证书进行全生命周期管理的实体，也称为电子认证服务机构3.6
CA注销列表 certificate authority revocation list标记已经被注销的CA的公钥证书的列表，表示这些证书已经无效。3.7
证书撤销列表分发点certificaterevocationlistdistributionpointCDP
一个目录条目或其他的证书撤销列表分布源，一个通过证书撤销列表分布点发布的证书撤销列表，可以包括由一个CA发布的所有证书中的一个证书子集的注销条目，也可以包括全部证书的注销条目。3.8
证书序列号certificate serial number在一个证书认证机构所签发的证书中用于唯一标识数字证书的一个整数。3.9
数字证书
digital certificate
公钥证书
由证书认证机构（CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。
私钥privatekey
非对称密码算法中只能由拥有者使用的不公开密钥。3.11
publickey
非对称密码算法中可以公开的密钥。3.12
registration authority
证书注册机构
受理数字证书的申请、更新、恢复和注销等业务的实体。3.13
fsecuritypolicy
安全策略
由证书认证机构发布的用于约束安全服务以及设施的使用和提供方式的规则集合。3.14
SM2算法
SM2algorithm
由GB/T32918（所有部分）定义的算法。2
SM3cryptographichashalgorithmSM3密码杂凑算法
由GB/T32905定义的算法。
信任trust
GB/T25056—2018
通常说一个实体信任另一个实体表示后一个实体将完全按照第一个实体的规定进行相关的活动在本标准中，信任用来描述一个认证实体与证书认证机构之间的关系。4缩略语
下列缩略语适用于本文件。
ARL:CA注销列表(CertificateAuthorityRevocationList)CA：证书认证机构（CertificateAuthority）CRL：证书撤销列表(CertificateRevocationList)HTTP：超文本传输协议（HypertextTransferProtocol）HTTPS：安全超文本传输协议（SecureHypertextTransferProtocol)KMC：密钥管理中心（KeyManagementCentre）LDAP：轻量级目录访问协议（LightweightDirectoryAccessProtocol）OCSP：在线证书状态查询协议（OnlineCertificateStatusProtocol）OID：对象标识符（ObjectID)）RA：证书注册机构（RegistrationAuthority）5
证书认证系统
5.1概述
证书认证系统是对生命周期内的数字证书进行全过程管理的安全系统。证书认证系统应采用双证书（用于数字签名的证书和用于数据加密的证书)机制，并建设双中心（证书认证中心和密钥管理中心）。证书认证系统在逻辑上可分为核心层、管理层和服务层，其中，核心层由密钥管理中心、证书/CRL生成与签发系统、证书/CRL存储发布系统构成；管理层由证书管理系统和安全管理系统构成；服务层由证书注册管理系统（包括远程用户注册管理系统）和证书状态查询系统构成。证书认证系统的逻辑结构宜如图1所示。
GB/T25056—2018
证书认
证书/CRL
存储发布系统
Internet
远程用户注册管理系统
终端实体
5.2功能描述
5.2.1概述
证书管理系统
证书/CRL生成与
签发系统
安全管理系统
证书状态查询系统
用户注册管理系
终端实体
证书认证系统逻辑结构
密钥管理中心
证书认证系统提供了对生命周期内的数字证书进行全过程管理的功能，包括用户注册管理，证书证书撤销列表的生成与签发、证书/证书撤销列表的存储与发布、证书状态的查询、证书管理及安全管理等。
5.2.2用户注册管理系统
用户注册管理系统负责用户的证书申请、身份审核和证书下载，可分为本地注册管理系统和远程注册管理系统。
证书申请
证书申请可采用在线或离线两种方式：在线方式：用户通过互联网等登录到用户注册管理系统申请证书；a
离线方式：用户到指定的注册机构申请证书。b）
5.2.2.3身份审核
审核人员通过用户注册管理系统，对证书申请者进行身份审核。5.2.2.4证书下载
证书下载可采用在线或离线两种方式a）在线方式：用户通过互联网等登录到用户注册管理系统下载证书；b）离线方式：用户到指定的注册机构下载证书。5.2.3证书/证书撤销列表生成与签发系统5.2.3.1功能
证书/证书撤销列表生成与签发系统负责生成、签发数字证书和证书撤销列表。5.2.3.2证书类型
按主体对象，证书分为人员证书、设备证书和机构证书三种类型。按功能，证书分为加密证书和签名证书两种类型5.2.3.3证书机制
GB/T25056—2018
证书认证系统采用双证书机制。每个用户拥有两张数字证书，一张用于数字签名，另一张用于数据加密。用于数字签名的密钥对可以由用户利用具有密码运算功能的证书载体产生；用于数据加密的密钥对由密钥管理中心产生并负责安全管理。签名证书和加密证书一起保存在用户的证书载体中。5.2.3.4证书生成/签发
用户的数字证书由该系统的CA签发，根CA的数字证书由根CA自已签发，下级CA的数字证书由上级CA签发。
5.2.3.5证书撤销列表
证书撤销列表是在证书有效期之内，CA签发的终止使用证书的信息，分为用户证书撤销列表(CRL）和CA证书撤销列表（ARL）两类。在证书的使用过程中，应用系统通过检查CRL/ARL，获取有关证书的状态。
5.2.4证书/证书撤销列表存储与发布系统证书/证书撤销列表存储与发布系统负责数字证书、证书撤销列表的存储和发布。根据应用环境的不同，证书/证书撤销列表存储与发布系统应采用数据库或目录服务方式，实现数字证书/证书撤销列表的存储、备份和恢复等功能，并提供查询服务使用目录服务方式，应采用主、从目录服务器结构以保证主目录服务器的安全，同时从目录服务器可以采用分布式的方式进行设置，以提高系统的效率。用户只能访问从目录服务器。5.2.5证书状态查询系统
证书状态查询系统应为用户和应用系统提供证书状态查询服务，包括：a）CRL查询：用户或应用系统利用数字证书中标识的CRL地址，下载CRL，并检验证书有效性；b）在线证书状态查询：用户或应用系统按照在RFC6960中规定的方法，实时在线查询证书的5
GB/T25056—2018
状态。
在实际应用中，可以根据具体情况采用上述两种查询方式之一或全部。5.2.6证书管理系统
证书管理系统是证书认证系统中实现对证书/证书撤销列表的申请，审核，生成、签发，存储，发布注销、归档等功能的管理控制系统5.2.7安全管理系统
安全管理系统主要包括安全审计系统和安全防护系统安全审计系统提供事件级审计功能，对涉及系统安全的行为、人员、时间等记录进行跟踪、统计和分析。
安全防护系统提供访问控制、人侵检测（人侵防御）、漏洞扫描、病毒防治等网络安全功能5.3系统设计
5.3.1概述
证书认证系统的设计包括系统的总体设计和各子系统设计，本标准提供证书认证系统的设计原则以及各个子系统的实现方式，在具体实现过程中，应根据所选择的开发平台和开发环境进行详细设计。5.3.2总体设计原则
证书认证系统的总体设计原则如下：a）证书认证系统遵循标准化、模块化设计原则；b）
证书认证系统设置相对独立的功能模块，通过各模块之间的安全连接，实现各项功能；c)
客模块之间的通信采用基于身份鉴别机制的安全通信协议：各模块使用的密码运算都要在密码设备中完成；各模块产生的审计日志文件采用统一的格式传递和存储；用户注册管理系统、证书/证书撤销列表生成与签发系统和密钥管理中心可以设置独立的数据库；
证书认证系统的各模块应设置有效的系统管理功能；h）
系统应具备访问控制功能；
系统在实现证书管理功能的同时，应充分考虑系统本身的安全性5.3.3用户注册管理系统设计
用户注册管理系统功能
用户注册管理系统负责用户证书/证书撤销列表的申请、审核以及证书的制作，其主要功能如下：a）用户信息的录人：录人用户的申请信息，用户申请信息包括签发证书所需要的信息，还包括用于验证用户身份的信息，这些信息存放在用户注册管理系统的数据库中。用户注册管理系统应能够批量接收从外部系统生成的、以电子文档方式存储的用户信息b）用户信息的审核：提取用户的申请信息，审核用户的真实身份，当审核通过后，将证书签发所需要的信息提交给签发系统，
用户证书下载：用户注册管理系统提供证书下载功能，当签发系统为用户签发证书后，用户注册管理系统能够下载用户证书，并将用户证书写入指定的用户证书载体中，然后分发给用户。安全审计：负责对用户注册管理系统的管理人员、操作人员的操作日志进行查询、统计以及报d)
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。