GB/T 38644-2020.Information security technology-Trusted computing-Testing method of trusted connect.
1范围
GB/T 38644依据GB/T 29828-2013,规定了可信网络连接协议以及所涉及的密码算法的测试要求及方法,包括如下内容:
a) 可信网络连接协议涉及的协议交互机制符合性测试要求及方法;
b)可信网络连接协议涉及的密码算法实现的正确性测试要求及方法。
GB/T 38644适用于符合GB/T 29828-2013的可信连接设备的测试,用于检测其密码算法及基于可信连接架构TCA的可信网络连接协议的实现是否符合要求。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 15843.3信息技术 安全技术实体鉴别、 第3部分;采用数字签名技术的机制
GB/T 20518信息安全技术 公钥基 础设施、数字证书格式
GB/T 28455-2012信息安全技术 引入何信第三方的实体鉴 别及接人架构规范
GB/T 29828-2013 信息安全技术， 可信计算规范可 信连接架构
GB/T 32905信 息安全技术SM3密码 杂凑算法
GB/T 32907信 息安全技术，SM4 分组密码算法
GB/T 32915信息安全技术 )- 元序列随机性检测方法
GB/T 32918(所有部分)信息安全技术
SM2 椭圆曲线公钥密码算法
GB/T 35276信息安全技术 SM2 密码算法使用规范
GM/T 0042-2015三元对等密码安全协议测试规范
GM/T 0062-2018密 码产品随机数检测要求

ICS35.040
中华人民共和国国家标准
GB/T38644—2020
信息安全技术
可信计算
可信连接测试方法
Information security technology-Trusted computing-Testing method of trusted connect2020-04-28发布
国家市场监督管理总局
国家标准化管理委员会
2020-11-01实施
1范围
规范性引用文件
术语和定义
缩略语
总体要求
协议交互机制符合性和互操作性要求5.2密码算法实现的正确性要求
测试方法概述
测试设备
测试拓扑
测试依据
测试说明
7协议交互机制符合性和互操作性测试方法7.1
端口访问控制测试
TAEP协议封装测试
TAEPoL协议封装测试
TCP/UDP端口测试
可信连接架构测试
8密码算法实现的正确性测试方法8.1
对称密码算法测试
数字签名算法测试·
密钥交换协议测试，
公钥加密算法测试
数字证书格式测试
密码杂凑算法测试
随机数测试
算法性能测试
附录A（规范性附录）
附录B（规范性附录）
可信连接架构测试涉及的新增数据元素密码算法性能测试方法及新增数据元素GB/T38644—2020
本标准按照GB/T1.1—2009给出的规则起草。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。GB/T38644—2020
本标准起草单位：西安西电捷通无线网络通信股份有限公司、无线网络安全技术国家工程实验室、中关村无线网络安全产业联盟（WAPI产业联盟）、北京工业大学、国家密码管理局商用密码检测中心、国家信息技术安全研究中心、北京计算机技术及应用研究所、中国通用技术研究院、天津市电子机电产品检测中心、国家无线电监测中心检测中心、中国电子科技集团公司第十五研究所、西安邮电大学、工业和信息化部宽带无线IP标准工作组。本标准主要起草人：曹军、李琴、杜志强、芦亮、潘琪、赖英旭、黄振海、颜湘、王冠、李冬、吕春梅、铁满霞、刘科伟、刘景莉、王月辉、张国强、张变玲、井经涛、熊克琦、赵晓荣、罗鹏、吴冬宇、林德欣、彭潇、方华、于光明、朱正美、郑东、赵慧、吴冬宇、郑骊、黄奎刚。m
GB/T38644—2020
GB/T29828—2013规范了基于三元对等架构的可信连接架构（TrustedConnectArchitecture，TCA），本标准针对基于TCA的可信网络连接协议提出一套测试要求及方法。本文件的发布机构提请注意，声明符合本文件时，可能涉及第6章、第7章、第8章与ZL201410255349.X，US15/309.861、JP2016-567036、EP15807391.6.KR10-2016-7034816等相关的专利的使用。
本文件的发布机构对于该专利的真实性、有效性和范围无任何立场该专利持有人已向本文件的发布机构保证，他愿意同任何申请人在合理且无歧视的条款和条件下，就专利授权许可进行谈判。该专利持有人的声明已在本文件发布机构备案。相关信息可通过以下联系方式获得：
专利持有人：西安西电捷通无线网络通信股份有限公司地址：西安市高新区科技二路68号西安软件园秦风阁A201联系人：冯玉晨
邮政编码：710075
电子邮件：[email protected]
电话：029-87607836
传真：029-87607829
aeeiKAca
网址：http：//iwncomm.com请注意除上述专利外，本文件的某些内容仍可能涉及专利。本文件的发布机构不承担识别这些专利的责任。
1范围
信息安全技术可信计算
可信连接测试方法
GB/T38644—2020
本标准依据GB/T29828一2013：规定了可信网络连接协议以及所涉及的密码算法的测试要求及方法，包括如下内容：
a）可信网络连接协议涉及的协议交互机制符合性测试要求及方法：b）可信网络连接协议涉及的密码算法实现的正确性测试要求及方法。本标准适用于符合GB/T29828一2013的可信连接设备的测试，用于检测其密码算法及基于可信连接架构TCA的可信网络连接协议的实现是否符合要求规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单)适用于本文件GB/T15843.3信息技术安全技术实体鉴别第3部分：采用数字签名技术的机制GB/T20518信息安全技术，公钥基础设施数字证书格式GB/T28455一2012信息安全技术引人可信第三方的实体鉴别及接人架构规范GB/T29828一2013信息安全技术。可信计算规范可信连接架构GB/T32905
信息安全技术SM3密码杂凑算法
GB/T32907
信息安全技术SM4分组密码算法
GB/T32915
二元序列随机性检测方法
信息安全技术
GB/T32918（所有部分）信息安全技术SM2椭圆曲线公钥密码算法GB/T35276
信息安全技术SM2密码算法使用规范GM/T0042一2015三元对等密码安全协议测试规范GM/T00622018密码产品随机数检测要求2G
术语和定义
GB/T29828一2013界定的以及下列术语和定义适用于本文件。为了便于使用，以下重复列出了GB/T298282013中的一些术语和定义。3.1
testedequipment
被测设备
实现了可信网络连接协议的测试对象3.2
测试平台testplatform
对可信网络连接协议进行测试，具有可信网络连接协议以及所涉及的密码算法的测试能力，收集和分析处理测试数据，按照测试规范的要求对测试数据进行判断，并且对判断结果进行呈现并记录的平台。GB/T38644—2020
standardequipment
基准设备
对被测设备开展测试时，与被测设备协同执行可信网络连接交互协议，并且符合三元对等密码安全协议的设备。
辅助设备
auxiliaryequipment
对被测设备开展测试时，与被测设备、基准设备协同执行可信网络连接交互协议、符合三元对等密码安全协议，并主动提供用于辅助测试的数据给测试平台的设备。3.5
integrity measurement value
完整性度量值
组件被杂凑算法计算后得到的杂凑值。［GB/T29828—2013，定义3.3］3.6
平台鉴别
platform authentication
实现平台身份鉴别和平台完整性评估的过程。[GB/T298282013.定义3.6]
基于三元对等架构的访问控制技术TePA-based access control
-种基于端口控制的访问控制方法，通信双方在三元对等架构下依据鉴别协议的结果进行端口Kaeer
控制。
[GB/T29828—2013.定义3.14]
tri-element authentication extensible protocol三元可扩展鉴别协议
满足基于三元对等架构的访问控制技术的可扩展鉴别协议，采用了复用模型，即鉴别协议的传输应经两次封装过程。
［GB/T29828—2013.定义3.15]
可信网络连接
trusted network connect
终端连接到受保护网络的过程，包括用户身份鉴别、平台身份鉴别和平台完整性评估三个步骤。[GB/T29828—2013.定义3.16]
可信第三方
trusted third party
在同安全相关的活动方面，被其他实体信任的安全机构或其代理注：在本标准中，为了鉴别的目的，可信第三方被访问请求者和访问控制器所信任。3.11
用户身份鉴别
user identity authentication对用户身份进行验证的过程，提供用户身份保障：4缩略语
下列缩略语适用于本文件。
AC：访问控制器（AccessController）AR：访问请求者（AccessRequestor）PAE：端口访问实体（PortAccessEntity）PAI：平台鉴别基础设施（PlatformAuthenticationInfrastructure）PM：策略管理器（PolicyManager）GB/T38644—2020
TAEP：三元可扩展鉴别协议（Tri-elementAuthenticationExtensibleProtocol)TCA：可信连接架构（TrustedConnectArchitecture）TCP：传输控制协议（TransmissionControlProtocol）TePA：三元对等架构（Tri-elementPeerArchitecture）TePA-AC：基于三元对等架构的访问控制技术（TePA-basedAccessControl）TePA-EA：三元对等体鉴别（TePA-basedEntityAuthentication）TTP：可信第三方（TrustedThirdParty）UDP：用户数据报协议（UserDatagramProtocol）5总体要求
5.1协议交互机制符合性和互操作性要求5.1.1端口控制要求
可信连接协议产品中的端口访问控制机制应满足GB/T28455一2012中第5章、第6章以及GB/T29828一2013第6章所规定的有关受控端口的控制要求，基于GB/T15843.3定义的TePA-EAiika
机制，实现基于端口的访问控制。5.1.2TAEP协议封装要求
可信网络连接协议的数据封装应满足GB/T28455一2012第5章中定义的TAEP协议的封装要求。
TAEPRequest和Response分组格式中的Type字段用于表示Request和Response分组的类型，定义见GM/T0042—2015中附录A，TAEP-PAI使用201标识TCA中TAEP封装PAI协议。5.1.3TAEPoL封装协议要求
GB/T28455一2012第6章定义了请求者PAE和鉴别访问控制器PAE之间负载TAEP分组的封装技术。该封装为链路上的TAEP封装TAEPoL，使用0x891b的以太类型字段5.1.4底层、传输层协议封装要求在鉴别访问控制器和鉴别服务器之间传递TAEP消息使用GB/T28455—2012中所规范的TAEP-AS-SVC服务协议，鉴别服务器作为服务端在UDP/TCP端口5111上接收TAEP消息，鉴别访问控制器作为客户端发送TAEP消息。5.1.5可信连接架构要求
GB/T29828—2013第5章规定的TCA中涉及的实体主要有AR、AC、PM。TCA包括网络访问控制层、可信平台评估层、完整性度量层。AR请求访问受保护网络，AC控制AR对受保护网络的访问。PM对AR和AC进行集中管理。AR和AC基于PM来实现AR和AC之间的双向用户身份鉴别3
GB/T38644—2020
和平台鉴别，其中平台鉴别包括平台身份鉴别和平台完整性评估，PM在用户身份鉴别和平台鉴别过程中充当可信第三方TTP。
可信网络连接协议符合性和互操作性要求主要针对AR、AC、PM三种功能实体，规定了各功能实体应满足的技术要求以及测试方法密码算法实现的正确性要求
可信网络连接协议中所使用的密码算法应符合GB/T29828—2013及国家密码管理主管部门相关要求，密码算法的实现应满足：a）可信网络连接协议中使用的对称密码算法，其运算结果应与国家密码相关标准中所规定的对应算法运算要求一致，包括加密、解密等。b）可信网络连接协议中使用的非对称密码算法，其运算结果应与国家密码相关标准中所规定的对应算法运算要求一致，包括加密、解密、密钥交换、签名和验签等。c）可信网络连接协议中使用的杂凑算法，其运算结果应与国家密码相关标准中所规定的对应算法运算要求一致。
d）可信网络连接协议中使用的密码算法性能应满足产品应用的特定场景需求和国家密码管理相关规定。
6测试方法概述
6.1测试设备
eeiKAca
测试设备包括被测设备、基准设备和辅助设备，其中辅助设备是可选的。辅助设备和被测设备应按GM/T0042-2015中第7章的要求向测试平台提供测试数据。6.2测试拓扑
6.2.1测试角色
可信网络连接协议涉及AR、AC、PM三种协议实体。可信网络连接协议测试拓扑中除测试平台外，还有三种测试角色：被测设备、基准设备、辅助设备。开展测试时，由被测设备和辅助设备提供测试数据。协议实体与测试角色的对应关系见表1。表1协议实体与测试角色的对应关系被测设备
访问请求者（AR）
访问控制器（AC）
策略管理器（PM）
6.2.2AR测试拓扑
辅助设备（可选）
基准设备
AC、AR
针对AR的测试拓扑见图1，被测设备为AR，基准设备为AC,辅助设备为PM。辅助设备PM和基准设备AC连接，基准设备AC与被测设备AR连接：由辅助设备PM和被测设备AR将执行可信网络连接协议过程中收发的数据提供给测试平台。4
捕助设各
基准设备
6.2.3AC测试拓扑
测试台
被测设
图1AR测试拓扑
GB/T38644—2020
TCA协议交互
提供迎最数长wwW.bzxz.Net
针对AC的测试拓扑见图2，被测设备为AC.基准设备为AR，辅助设备为PM辅助设备PM和被测设备AC连接，基准设备AR与被测设备AC连接：由辅助设备PM和被测设备AC将执行可信网络连接协议过程中收发的数据提供给测试平台。辅助设备
测减平台
被测设备
准设备
图2AC测试拓扑
6.2.4PM测试拓扑
TCA办改交丘
提供测试数据
针对PM的测试拓扑见图3，被测设备为PM，基准设备应同时提供AC和AR，无辅助设备。被测设备PM和基准设备AC连接基准设备AR与基准设备AC连接；由被测设备PM将执行可信网络连接协议过程中收发的数据提供给测试平台。被测设备
测试平台
基准设备
基准设备
图3PM测试拓扑
ICA协议交所
沿失迎试数据
GB/T38644—2020
6.3测试依据
本标准依据GM/T00422015和GB/T29828—2013，对可信网络连接协议规范其测试要求及方法。
6.4测试说明
本标准中的功能实体在实际网络中可以是多个实体设备，也可以集成在一个实体设备中结合GB/T29828—2013，本标准中合法平台是指设备的平台证书合法且设备的平台完整性符合平台完整性策略要求：可修补非法平台指设备的平台证书合法，但设备平台完整性不符合平台完整性策略且能修补；不可修补非法平台指设备的平台证书非法或者设备的平台完整性不符合平台完整性策略且不能修补。其中可修补非法平台和不可修补非法平台都属于非法平台。7协议交互机制符合性和互操作性测试方法7.1端口访问控制测试
7.1.1AR端口访问控制测试
当被测设备为AR时，测试拓扑见图1，应按如下步骤对基准设备AC、辅助设备PM开展测试：a）搭建测试网络，将被测设备AR、基准设备AC和辅助设备PM按照6.2.2测试拓扑连接，配置被测设备AR和基准设备AC的受控端口为自动模式，配置平台鉴别功能开启；配置AC对AR的平台完整性评估策略，配置AR对AC的平台完整性评估策略。b）为被测设备AR安装合法身份证书.配置被测设备AR平台为合法平台；为基准设备AC安装合法身份证书，配置基准设备AC平台为合法平台：被测设备AR、基准设备AC和辅助设备PM执行可信网络连接协议。
检查被测设备AR的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别c
完成后被测设备AR的受控端口（应用服务受控端口）为授权，被测设备AR可以通过基准设备AC访问网络应用服务。
d）为被测设备AR安装合法身份证书，配置被测设备AR平台为合法平台；为基准设备AC安装合法身份证书，配置基准设备AC平台为可修补非法平台；被测设备AR、基准设备AC和辅助设备PM执行可信网络连接协议。检查被测设备AR的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别e)
完成后被测设备AR的受控端口（隔离服务受控端口）为授权，被测设备AR可以通过基准设备AC访问隔离修补服务。
f）为被测设备AR安装合法身份证书.配置被测设备AR平台为合法平台；为基准设备AC安装合法身份证书，配置基准设备AC平台为不可修补非法平台；被测设备AR、基准设备AC和辅助设备PM执行可信网络连接协议。g）
检查被测设备AR的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AR的受控端口为非授权，被测设备AR无法通过基准设备AC访问任何网络服务。
h）为被测设备AR安装合法身份证书，配置被测设备AR平台为合法平台；为基准设备AC安装非法身份证书，配置基准设备AC平台为合法平台：被测设备AR、基准设备AC和辅助设备PM执行可信网络连接协议。
GB/T38644—2020
i）检查被测设备AR的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AR的受控端口为非授权，被测设备AR无法通过基准设备AC访问任何网络服务。
为被测设备AR安装合法身份证书，配置被测设备AR平台为合法平台；为基准设备AC安装非法身份证书，配置基准设备AC平台为非法平台；被测设备AR，基准设备AC和辅助设备PM执行可信网络连接协议。
k）：检查被测设备AR的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AR的受控端口为非授权，被测设备AR无法通过基准设备AC访问任何网络服务。
7.1.2AC端口访问控制测试
当被测设备为AC时，测试拓扑见图2，应按如下步骤对基准设备AR、辅助设备PM开展测试：a）搭建测试网络，将被测设备AC、基准设备AR和辅助设备PM按照6.2.3测试拓扑连接：配置被测设备AC和基准设备AR受控端口为自动模式，配置平台鉴别功能开启；配置AC对AR的平台完整性评估策略，配置AR对AC的平台完整性评估策略。b）为被测设备AC安装合法身份证书.配置被测设备AC平台为合法平台；为基准设备AR安装合法身份证书，配置基准设备AR平台为合法平台；被测设备AC、基准设备AR和辅助设备PM执行可信网络连接协议。
c）检查被测设备AC的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AC的受控端口（应用服务受控端口）为授权，基准设备AR通过被测设备AC访问网络应用服务。
d）为被测设备AC安装合法身份证书，配置被测设备AC平台为合法平台；为基准设备AR安装合法身份证书，配置基准设备AR平台为可修补非法平台；被测设备AC、基准设备AR和辅助设备PM执行可信网络连接协议
e）检查被测设备AC的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AC的受控端口（隔离服务受控端口）为授权，基准设备AR可以被测设备AC访问隔离修补服务。
为被测设备AC安装合法身份证书，配置被测设备AC平台为合法平台；为基准设备AR安装f）
合法身份证书，配置基准设备AR平台为不可修补非法平台；被测设备AC、基准设备AR和辅助设备PM执行可信网络连接协议。g）检查被测设备AC的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AC的受控端口为非授权，基准设备AR无法通过被测设备AC访问任何网络服务。
h）为被测设备AC安装合法身份证书，配置被测设备AC平台为合法平台；为基准设备AR安装非法身份证书，配置基准设备AR台为合法平台：被测设备AC、基准设备AR和辅助设备PM执行可信网络连接协议
检查被测设备AC的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别i）
完成后被测设备AC的受控端口为非授权，基准设备AR无法通过被测设备AC访问任何网络服务。
j）为被测设备AC安装合法身份证书，配置被测设备AC平台为合法平台；为基准设备AR安装非法身份证书.配置基准设备AR台为非法平台：被测设备AC、基准设备AR和辅助设备PMGB/T38644—2020
执行可信网络连接协议。
k）检查被测设备AC的受控端口在鉴别完成前和鉴别完成后的状态是否符合TCA要求，即鉴别完成后被测设备AC的受控端口为非授权，基准设备AR无法通过被测设备AC访问任何网络服务。
2TAEP协议封装测试
该项测试针对AR、AC、PM.应按如下步骤进行：a）搭建测试网络，被测设备、基准设备和辅助设备执行可信网络连接协议交互：b）被测设备和辅助设备将TCA安全协议交互过程中接收和发送的消息以及已知的相关数据提交给测试平台：包括被测设备提交的身份鉴别协议和平台鉴别协议中被测设备发送和接收的所有消息；
c）检查被测设备发出的数据的封装是否符合GB/T28455一2012中定义的TAEP协议封装的要求：平台鉴别协议是否封装在TAEPType字段为201的TAEP分组中。3TAEPoL协议封装测试
该项测试针对可信网络连接协议涉及链路层交互时的AR和AC，应按如下步骤进行：a）搭建测试网络，被测设备、基准设备和辅助设备执行可信网络连接协议交互；b）被测设备和辅助设备将TCA安全协议交互过程中接收和发送的消息以及已知的相关数据提交给测试平台：包括被测设备提交的身份鉴别协议和平台鉴别协议中被测设备发送和接收的AR和AC之间的消息；
c）检查被测设备发出的数据的封装是否符合GB/T28455一2012中定义的TAEPoL协议封装的要求，以太类型字段是否为0x891b。7.4TCP/UDP端口测试
该项测试针对AC和PM。
当被测设备为AC时，应按如下步骤对基准设备AR、辅助设备PM开展测试：a）搭建测试网络，AR、AC、PM执行可信网络连接协议交互；b）被测设备和辅助设备将TCA安全协议交互过程中接收和发送的TCP/UDP端口号的相关数据信息以及已知的相关数据提交给测试平台；包括被测设备AC提交的身份鉴别协议中AC发送给PM的消息和辅助设备PM提交的身份鉴别协议中PM发送给AC的消息；c）测试平台检查被测设备发给PM的TCA可信连接安全协议交互数据是否是发送到GB/T28455—2012中规定的TCP/UDP端口（5111）。当被测设备为PM时，应按如下步骤对基准设备AR和基准设备AC开展测试：a）搭建测试网络.AR、AC、PM执行可信网络连接协议交互；b）被测设备和辅助设备将TCA安全协议交互过程中接收和发送的TCP/UDP端口号的相关数据信息以及已知的相关数据提交给测试平台：包括被测设备PM提交的身份鉴别协议中PM发送给AC的消息；
测试平台检查被测设备PM发出的数据是否通过GB/T28455一2012中规定的TCP/UDP端c
口（5111)发出。
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。