GB/T 38646-2020
基本信息
标准号： GB/T 38646-2020
中文名称：信息安全技术 移动签名服务技术要求
标准类别：国家标准(GB)
标准状态：现行
出版语种：简体中文
下载格式：.zip .pdf
下载大小：1129954
标准分类号
关联标准
出版信息
相关单位信息
标准简介
GB/T 38646-2020.Information security technology-Technical requirements of mobile signature service.
1范围
GB/T 38646规定了实现移动签名服务的技术要求,包括移动签名服务的基本框架、基本服务流程、参与移动签名服务的主要实体功能、接口功能及安全要求等。
GB/T 38646适用于移动签名服务的设备研制和平台开发。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 19713信息技术 安全技术公钥基础设施 在线 证书状态协议
GB/T 20518信息安全技术公钥基础设施 数字 证书格式
GB/T 25064-2010信息安全技术 公钥基础设施 电 子签名格式规范
GB/T 25065-2010信息安全技术公 钥基础设施( 签名生成应用程序的安全要求
GM/T 0028-2014密码模块安全要求
3术语和定义
GB/T 25064-2010、GB/T 25065-2010界定的以及下列术语和定义适用于本文件。
3.1
应用提供者 application provider
为用户提供业务应用服务的实体。
3.2
移动设备 mobile device
可随身携带并能够随时接人移动通信网络的电子设备。
注:如手机、平板电脑、笔记本或其他专用设备。
3.3
移动签名 mobile signature
使用移动设备中的专用安全模块对数据进行电子签名的通用方法。
3.4
移动签名服务 mobile signature service
在移动设备上使用专用安全模块实现电子签名的服务。
3.5
移动签名服务平台 mobile signature service platform
向应用提供者和用户提供移动签名服务的功能实体。
3.6
移动签名设备 mobile signature device
移动设备中能够对电子签名完成处理的专用安全模块。
1范围
GB/T 38646规定了实现移动签名服务的技术要求,包括移动签名服务的基本框架、基本服务流程、参与移动签名服务的主要实体功能、接口功能及安全要求等。
GB/T 38646适用于移动签名服务的设备研制和平台开发。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 19713信息技术 安全技术公钥基础设施 在线 证书状态协议
GB/T 20518信息安全技术公钥基础设施 数字 证书格式
GB/T 25064-2010信息安全技术 公钥基础设施 电 子签名格式规范
GB/T 25065-2010信息安全技术公 钥基础设施( 签名生成应用程序的安全要求
GM/T 0028-2014密码模块安全要求
3术语和定义
GB/T 25064-2010、GB/T 25065-2010界定的以及下列术语和定义适用于本文件。
3.1
应用提供者 application provider
为用户提供业务应用服务的实体。
3.2
移动设备 mobile device
可随身携带并能够随时接人移动通信网络的电子设备。
注:如手机、平板电脑、笔记本或其他专用设备。
3.3
移动签名 mobile signature
使用移动设备中的专用安全模块对数据进行电子签名的通用方法。
3.4
移动签名服务 mobile signature service
在移动设备上使用专用安全模块实现电子签名的服务。
3.5
移动签名服务平台 mobile signature service platform
向应用提供者和用户提供移动签名服务的功能实体。
3.6
移动签名设备 mobile signature device
移动设备中能够对电子签名完成处理的专用安全模块。
标准图片预览
标准内容
ICS35.040
中华人民共和国国家标准
GB/T38646—2020
信息安全技术
移动签名服务技术要求
InformationsecuritytechnologyTechnical requirements of mobile signature service2020-04-28发布
国家市场监督管理总局
国家标准化管理委员会
2020-11-01实施
规范性引用文件
术语和定义
缩略语
移动签名的基本特征
移动签名服务的相关实体
移动签名服务的流程
移动签名基本流程
证书管理相关流程
移动签名服务的实体功能
移动签名服务的接口功能·
MSSP与AP之间的接口
MSSP与MSD之间的接口
MSSP与CA之间的接口
移动签名服务的安全要求
实体安全
移动签名服务流程安全
参考文献
GB/T38646—2020
本标准按照GB/T1.1-2009给出的规则起草GB/T38646—2020
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准起草单位：中国移动通信集团有限公司、中移（杭州）信息技术有限公司、中国信息通信研究院、北京数字认证股份有限公司、中国电信股份有限公司、工业和信息化部电子工业标准化研究院本标准主要起草人：于蓉蓉、张滨、杨志强、张锦卫、邱勤、樊山、杨超、路晓明、刘海龙、罗红、董靖宇、贾倩、鲁青、黄伟湘、林雪焰、杨正军、崇静、许东阳、于乐、蒋周良、安宝宇、马臣云、霍薇靖、蔡准1范围
信息安全技术
移动签名服务技术要求
GB/T38646-—2020
本标准规定了实现移动签名服务的技术要求，包括移动签名服务的基本框架、基本服务流程、参与移动签名服务的主要实体功能、接口功能及安全要求等。本标准适用于移动签名服务的设备研制和平台开发2
规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件GB/T19713信息技术安全技术公钥基础设施在线证书状态协议GB/T20518信息安全技术公钥基础设施数字证书格式GB/T2506420101
信息安全技术公钥基础设施电子签名格式规范GB/T25065-2010
GM/T00282014
术语和定义
信息安全技术公钥基础设施签名生成应用程序的安全要求KaeeiK
密码模块安全要求
GB/T25064—2010、GB/T25065—2010界定的以及下列术语和定义适用于本文件。3.1
applicationprovider
应用提供者
为用户提供业务应用服务的实体3.2
mobiledevice
移动设备
可随身携带并能够随时接入移动通信网络的电子设备。注：如手机、平板电脑、笔记本或其他专用设备、3.3
mobile signature
移动签名
使用移动设备中的专用安全模块对数据进行电子签名的通用方法。3.4
mobilesignatureservice
移动签名服务
在移动设备上使用专用安全模块实现电子签名的服务。3.5
移动签名服务平台
mobile signature service platform向应用提供者和用户提供移动签名服务的功能实体3.6
移动签名设备
mobilesignaturedevice
移动设备中能够对电子签名完成处理的专用安全模块GB/T38646—2020
4缩略语
下列缩略语适用于本文件。
AP：应用提供者（ApplicationProvider）APP：应用（Application）
CA：证书认证机构（CertificationAuthority）MSD：移动签名设备（MobileSignatureDevice）MSSP：移动签名服务平台（MobileSignatureServicePlatform）PIN：个人身份识别码（PersonalIdentificationNumber）5概述
5.1移动签名的基本特征
移动签名的核心流程在于，用户触发AP将待签数据通过移动设备发送到MSD中，MSD在用户输人PIN并确认后对待签数据完成签名，并将电子签名结果通过移动终端返回至AP进行验证。移动签名具有业务无关性，可作为一种通用方法用于各种业务。MSD作为一个通用设备，可存储用户的多个证书信息和私钥·通过某个业务首次使用电子签名时，只需到该业务所信任的CA申请证书，并将证书信息及其对应的私钥存储到MSD中，无需因使用不同的业务而持有多个电子签名硬件设备。
移动签名节约成本，无需安装客户端程序，降低用户操作复杂度，还可适用于多种业务，最大限度地发挥电子签名对电子交易的保护作用。本标准凡涉及密码算法的相关内容，按国家有关法规实施；凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的遵循密码相关国家标准和行业标准。5.2移动签名服务的相关实体
移动签名的使用过程中共涉及五类实体：用户、MSD、AP、CA和MSSP，各实体的作用描述如下：相互基本关系如图1所示：
a）用户，即移动签名人，是移动签名服务的使用者，用户在AP的网站上选择商品或服务，并进行交易，用户需要对交易数据进行签名，代表自已对交易内容的认可。b）MSD是帮助用户随时随地实现移动签名的设备c
AP是向用户提供业务的实体，AP需要验证用户的签名·通过验证的结果来判断当前交易是否是真实用户的行为，因此AP是验证者。d）CA作为电子认证服务机构，为用户签发数字证书，CA应保证所签发证书的真实、可信。AP在验证签名时应首先验证用户的数学证书的合法性，因此AP需信任CA。MSSP是提供移动签名服务的实体，介于用户与AP、CA之间，主要实现如下两个功能：e)
1）作为用户端与CA的连接桥梁，协助CA实现对MSD中证书的生命周期管理，如申请、更新、撤销；
作为用户与AP的连接桥梁，实现AP与用户之间待签数据与签名结果的传递，使AP的2）
交易能够得到移动签名的保护。2
6移动签名服务的流程
待签数培
图1移动签名服务的相关实体关系移动签名基本流程
移动签名的基本实现流程如图2所示。出户
输入PIN验证
发送行签数据，签名人标识
根据签名人标认检索
共对成MSI3
发送待签微据
提示用户进行确认
并输入PTN
对待签数挥进行验证利
运算，小成签名
这回签名
返回签字
图2移动签名的基本流程
用户使用AP签名服务需提前完成数字证书的申请。当用户使用移动签名服务，AP发起一个移动签名流程：a）AP产生待签数据；
b）AP将待签数据及签名人标识发送给MSSP：AP
GB/T38646—2020
产生待签名数据
验训名，执行
下一操作
GB/T38646—2020
MSSP根据签名人标识检索对应的移动终端；MSSP将待签数据转发给移动终端；d)
移动终端将待签数据传递到MSD.MSD对待签数据进行处理后，触发移动终端将待签信息展e)
示给用户确认，并提示用户输入PIN进行验证；f）
用户输入PIN验证；
移动终端将PIN传递到MSD,MSD对PIN进行验证，验证成功后，MSD对待签数据进行运g）
算，生成对应该消息的电子签名；h）MSD通过移动终端将签名结果返回给MSSP；MSSP将签名结果返回给AP；
AP对签名进行验证，根据验证结果执行对应操作。2证书管理相关流程
6.2.1概述
用户在MSSP申请移动签名服务后，还需申请目标AP所信任CA的证书，才能实现在该AP上使用移动签名服务。MSSP应提供证书管理流程，以保证移动签名服务的连续性。证书管理相关流程至少应包括：
a）证书申请与分发；
b）证书更新；
c）证书撤销。
本标准除下述流程外，其他证书管理流程或协议均按GB/T19713、GB/T20518执行。Kaee
6.2.2证书申请与分发
CA证书申请与分发需包含以下两个过程：a）身份审核预受理
身份审核预受理是指用户到CA的指定网点提出证书申请请求，CA受理用户的请求，核实用户合法身份，并对证书的申请进行预受理。身份审核预受理过程应符合CA自身的安全要求，还应实现MSD与真实身份的绑定，并为用户颁发授权码，用于在后续证书申请和下载流程中认证用户。b）证书申请和下载
用户在完成身份审核预受理流程之后，即可进行证书申请/下载流程，如图3所示。证书申请和下载的过程如下：
a）CA接收到来自用户发起的证书下载申请，将授权码提供给用户；b）CA向MSSP发送激活证书申请：MSSP向MSD发送激活证书申请指令；c
d）MSD依次进行PIN初始化设置，并输入授权码；MSD生成公私钥对，生成证书请求；e）
MSD通过移动终端向MSSP发起证书申请请求；MSSP向CA发送证书申请请求；
h）CA处理证书申请请求，生成并签发用户证书；i）
CA向MSSP返回证书申请请求响应，其中包含用户证书；MSSP解析证书，保存证书相关信息；k）
MSSP向MSD发送证书信息下发指令，其中含有证书相关信息；1)
MSD向MSSP发送证书下发响应；此内容来自标准下载网
m）MSSP将证书发布请求发送至CA；n
CA根据证书发布请求发布证书；o）
CA向MSSP返回证书发布请求响应；MSSP可向用户发送提示消息，例如明文短信，提示用户证书申请成功p）
用设置IN
户检入授权码
6.2.3证书更新
微证书中请
激活证书中请 （移动身份标认)生成公私销对，生成PK（1请率
证书请请求
讨诺诺求
书含息下发
证下发响应
牛诸成通知消息
证卡请请求响成
）保行证书扣关信息
证书发有请求
近书发有请求响成
图3用户证书申请和下载流程
GB/T38646-—2020
受4户的证·书
下教中请
处理证卡中漠
>请求，牛成并
签发户书
发证书
为增强用户体验，应支持MSSP侧发起的证书更新和CA侧发起的证书更新，服务器包括MSSP和CA两类，如图4所示。
GB/T38646—2020
起方式
方式一
发起方
移动终端MST
提示点户证 1更新并符到用,产确认提示用户证[更新并衍到用户确认CA
检查用户
总季需资还新！
片动证1更新请求
注更新激流(Von)
注更新激流指令(VLe)
愉入PIN进行验证
2生成公私钥对
对Nonce证行签
证更新请求
证书使新请求
证更新请求询应
（用书）
保·存让1和
相交信息
证书信息下发
更教原南创对
证下发响应
证书发布请求
证-发布响应
证亚新通
图4证书更新流程
检咨用户证
是含而要史新
验训ne签名
>签发新证
>撤销原证书
发布新证1
证书更新的具体过程如下：
相关方发起证书更新流程，证书更新流程具有两种发起方式：a）
1）CA发起方式
-CA根据预定策略判断用户是否需要更新证书；CA向用户下发证书更新提示并得到用户确认。2）MSSP发起方式
MSSP根据预定策略判断用户是否需要更新证书；一MSSP向用户下发证书更新提示并得到用户确认；MSSP向CA发送启动证书更新请求b）CA向MSSP发送证书申请激活消息，该消息包含一个随机数（Nonce）。c)
MSSP向MSD发送证书申请激活指令。用户输入PIN进行验证。
MSD对PIN验证通过后，生成新的公私钥对，并生成证书请求。MSD用原私钥对Nonce进行签名。MSD通过移动终端将证书更新请求发送给MSSP。MSSP将证书请求、Nonce签名发送至CA。CA验证Nonce签名，鉴别签名人身份CA处理证书请求，签发新证书。CA向MSSP返回新证书
MSSP解析证书，保存证书相关信息MSSP下发证书信息给MSD。
MSD启用步骤e)生成的新的公私钥对，并删除原公私钥对。MSD发送证书下发响应给MSSP。
MSSP发送证书发布请求给CA，
CA撤销用户原证书。
CA发布用户新证书。
CA向MSSP发送证书发布请求响应。MSSP发送证书更新成功消息，提示用户证书更新成功证书撤销
移动签名应支持三种形式的撤销流程：用户主动发起撤销流程；
b）AP判断需撤销证书，发起撤销流程；MSSP判断需撤销证书，发起撤销流程。c
证书撤销流程如图5所示。
GB/T38646-—2020
GB/T38646—2020
输入逃行验证
选择要搬销
生爪户证5
>趣销请求
用户撤销证书中请
判斯需撤销用
提供用户证书撤销并到用产确从证书
生或证书撤销请求
证书报销市请
判断需做销用
提系用广证书撤俏并役到用确议生成证书做销请求
证书撤销洁求
搬销请求项成
证15请求激活
请空证及秘韧：
证书清率结果确认
报销成功通知消意
般销成功通知消息
图5证书撤销流程
证书撤销的具体过程如下
相关方发起证书撤销流程：包括三类撤销证书发起方式：1）用户主动撤销证书：
用户在MSD中选择需撤销的证书：用户输入PIN，MSD对用户PIN进行验证：MSD验证PIN成功，生成用户证书撤销请求：-MSD向MSSP发起用户证书撤销申请。2）AP发起撤销证书：
AP根据预定策略判断用户是否需要撤销证书：AP提示用户撤销证书并得到用户确认；AP生成证书撤销请求；
AP向MSSP发起用户证书撤销申请。3）MSSP发起撤销证书：
MSSP根据预定策略判断用户是否需要撤销证书；MSSP提示用户下发证书撤销提示并得到用户确认；MSSP生成证书撤销请求，
监证撤销请求
撤销证书发布
b）MSSP向CA发起证书撤销请求。CA验证证书撤销请求。
d）CA撤销用户证书，并发布状态。e)
CA向MSSP发送证书撤销请求响应。f）
MSSP向MSD发送证书清空激活指令。MSD清空自身所存储的证书及私钥。g）
MSD向MSSP发送证书清空结果确认。h）
MSSP发送证书撤销成功的通知消息，提示用户证书撤销成功。7
移动签名服务的实体功能
MSSP平台作为移动签名服务的核心业务平台，应具备如下功能：GB/T38646-—2020
a）业务管理，支持用户在MSSP对移动签名服务进行申请/受理、暂停/恢复、注销等操作；允许多AP接入，AP可以在MSSP对移动签名进行申请/受理、暂停/恢复、注销等操作b）
允许多CA接入，AP根据自已的需要选择所信任的CA，用户可选择不同的CA申请证书；c
签名事务管理，MSSP应提供完善的签名事务管理机制，最大限度保证签名操作的完整性，对d)
于用户无法完成签名操作的场景，需要明确提示AP和用户签名未完成；证书生命周期管理，对于证书申请与分发、更新、撤销等管理流程，MSSP应提供完整的差错管e
理机制，最大限度保证流程的完整性，对于证书操作无法完成的场景，需明确提示CA和用户；f）
安全管理，MSSP应提供相应的安全通信机制，以确保与移动终端、MSD、AP、CA之间的通信安全；
历史交易记录管理，MSSP应对移动签名、证书管理等操作进行历史交易记录管理，用户、APg
CA可分别进行交易记录查询、统计等。7.2MSD
MSD应具备以下功能：
具备密码运算功能，MSD能够实现签名/验签等功能；a）
b）具备私钥安全存储功能，MSD不提供私钥导出指令，提升存储的安全性；具备签名人鉴别功能，MSD在启用私钥进行签名之前，应对签名人进行鉴别，如PIN或生物识别方式，只有鉴别通过才能生成签名，若鉴别不通过，则拒绝生成签名；d）签名人PIN管理，MSD应对签名人PIN提供安全管理机制，保证该数据不能被导出，也能防止穷举攻击。
7.3用户
用户即为使用移动签名服务的使用者，具备业务申请/受理、业务暂停及恢复、业务注销、客户服务等功能。
CA作为电子认证服务的机构，为用户签发数字证书，保证所签发证书的真实、可信，并具备业务申请/受理、业务暂停及恢复、业务注销、业务查询、客户服务等功能9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国国家标准
GB/T38646—2020
信息安全技术
移动签名服务技术要求
InformationsecuritytechnologyTechnical requirements of mobile signature service2020-04-28发布
国家市场监督管理总局
国家标准化管理委员会
2020-11-01实施
规范性引用文件
术语和定义
缩略语
移动签名的基本特征
移动签名服务的相关实体
移动签名服务的流程
移动签名基本流程
证书管理相关流程
移动签名服务的实体功能
移动签名服务的接口功能·
MSSP与AP之间的接口
MSSP与MSD之间的接口
MSSP与CA之间的接口
移动签名服务的安全要求
实体安全
移动签名服务流程安全
参考文献
GB/T38646—2020
本标准按照GB/T1.1-2009给出的规则起草GB/T38646—2020
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准起草单位：中国移动通信集团有限公司、中移（杭州）信息技术有限公司、中国信息通信研究院、北京数字认证股份有限公司、中国电信股份有限公司、工业和信息化部电子工业标准化研究院本标准主要起草人：于蓉蓉、张滨、杨志强、张锦卫、邱勤、樊山、杨超、路晓明、刘海龙、罗红、董靖宇、贾倩、鲁青、黄伟湘、林雪焰、杨正军、崇静、许东阳、于乐、蒋周良、安宝宇、马臣云、霍薇靖、蔡准1范围
信息安全技术
移动签名服务技术要求
GB/T38646-—2020
本标准规定了实现移动签名服务的技术要求，包括移动签名服务的基本框架、基本服务流程、参与移动签名服务的主要实体功能、接口功能及安全要求等。本标准适用于移动签名服务的设备研制和平台开发2
规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件GB/T19713信息技术安全技术公钥基础设施在线证书状态协议GB/T20518信息安全技术公钥基础设施数字证书格式GB/T2506420101
信息安全技术公钥基础设施电子签名格式规范GB/T25065-2010
GM/T00282014
术语和定义
信息安全技术公钥基础设施签名生成应用程序的安全要求KaeeiK
密码模块安全要求
GB/T25064—2010、GB/T25065—2010界定的以及下列术语和定义适用于本文件。3.1
applicationprovider
应用提供者
为用户提供业务应用服务的实体3.2
mobiledevice
移动设备
可随身携带并能够随时接入移动通信网络的电子设备。注：如手机、平板电脑、笔记本或其他专用设备、3.3
mobile signature
移动签名
使用移动设备中的专用安全模块对数据进行电子签名的通用方法。3.4
mobilesignatureservice
移动签名服务
在移动设备上使用专用安全模块实现电子签名的服务。3.5
移动签名服务平台
mobile signature service platform向应用提供者和用户提供移动签名服务的功能实体3.6
移动签名设备
mobilesignaturedevice
移动设备中能够对电子签名完成处理的专用安全模块GB/T38646—2020
4缩略语
下列缩略语适用于本文件。
AP：应用提供者（ApplicationProvider）APP：应用（Application）
CA：证书认证机构（CertificationAuthority）MSD：移动签名设备（MobileSignatureDevice）MSSP：移动签名服务平台（MobileSignatureServicePlatform）PIN：个人身份识别码（PersonalIdentificationNumber）5概述
5.1移动签名的基本特征
移动签名的核心流程在于，用户触发AP将待签数据通过移动设备发送到MSD中，MSD在用户输人PIN并确认后对待签数据完成签名，并将电子签名结果通过移动终端返回至AP进行验证。移动签名具有业务无关性，可作为一种通用方法用于各种业务。MSD作为一个通用设备，可存储用户的多个证书信息和私钥·通过某个业务首次使用电子签名时，只需到该业务所信任的CA申请证书，并将证书信息及其对应的私钥存储到MSD中，无需因使用不同的业务而持有多个电子签名硬件设备。
移动签名节约成本，无需安装客户端程序，降低用户操作复杂度，还可适用于多种业务，最大限度地发挥电子签名对电子交易的保护作用。本标准凡涉及密码算法的相关内容，按国家有关法规实施；凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的遵循密码相关国家标准和行业标准。5.2移动签名服务的相关实体
移动签名的使用过程中共涉及五类实体：用户、MSD、AP、CA和MSSP，各实体的作用描述如下：相互基本关系如图1所示：
a）用户，即移动签名人，是移动签名服务的使用者，用户在AP的网站上选择商品或服务，并进行交易，用户需要对交易数据进行签名，代表自已对交易内容的认可。b）MSD是帮助用户随时随地实现移动签名的设备c
AP是向用户提供业务的实体，AP需要验证用户的签名·通过验证的结果来判断当前交易是否是真实用户的行为，因此AP是验证者。d）CA作为电子认证服务机构，为用户签发数字证书，CA应保证所签发证书的真实、可信。AP在验证签名时应首先验证用户的数学证书的合法性，因此AP需信任CA。MSSP是提供移动签名服务的实体，介于用户与AP、CA之间，主要实现如下两个功能：e)
1）作为用户端与CA的连接桥梁，协助CA实现对MSD中证书的生命周期管理，如申请、更新、撤销；
作为用户与AP的连接桥梁，实现AP与用户之间待签数据与签名结果的传递，使AP的2）
交易能够得到移动签名的保护。2
6移动签名服务的流程
待签数培
图1移动签名服务的相关实体关系移动签名基本流程
移动签名的基本实现流程如图2所示。出户
输入PIN验证
发送行签数据，签名人标识
根据签名人标认检索
共对成MSI3
发送待签微据
提示用户进行确认
并输入PTN
对待签数挥进行验证利
运算，小成签名
这回签名
返回签字
图2移动签名的基本流程
用户使用AP签名服务需提前完成数字证书的申请。当用户使用移动签名服务，AP发起一个移动签名流程：a）AP产生待签数据；
b）AP将待签数据及签名人标识发送给MSSP：AP
GB/T38646—2020
产生待签名数据
验训名，执行
下一操作
GB/T38646—2020
MSSP根据签名人标识检索对应的移动终端；MSSP将待签数据转发给移动终端；d)
移动终端将待签数据传递到MSD.MSD对待签数据进行处理后，触发移动终端将待签信息展e)
示给用户确认，并提示用户输入PIN进行验证；f）
用户输入PIN验证；
移动终端将PIN传递到MSD,MSD对PIN进行验证，验证成功后，MSD对待签数据进行运g）
算，生成对应该消息的电子签名；h）MSD通过移动终端将签名结果返回给MSSP；MSSP将签名结果返回给AP；
AP对签名进行验证，根据验证结果执行对应操作。2证书管理相关流程
6.2.1概述
用户在MSSP申请移动签名服务后，还需申请目标AP所信任CA的证书，才能实现在该AP上使用移动签名服务。MSSP应提供证书管理流程，以保证移动签名服务的连续性。证书管理相关流程至少应包括：
a）证书申请与分发；
b）证书更新；
c）证书撤销。
本标准除下述流程外，其他证书管理流程或协议均按GB/T19713、GB/T20518执行。Kaee
6.2.2证书申请与分发
CA证书申请与分发需包含以下两个过程：a）身份审核预受理
身份审核预受理是指用户到CA的指定网点提出证书申请请求，CA受理用户的请求，核实用户合法身份，并对证书的申请进行预受理。身份审核预受理过程应符合CA自身的安全要求，还应实现MSD与真实身份的绑定，并为用户颁发授权码，用于在后续证书申请和下载流程中认证用户。b）证书申请和下载
用户在完成身份审核预受理流程之后，即可进行证书申请/下载流程，如图3所示。证书申请和下载的过程如下：
a）CA接收到来自用户发起的证书下载申请，将授权码提供给用户；b）CA向MSSP发送激活证书申请：MSSP向MSD发送激活证书申请指令；c
d）MSD依次进行PIN初始化设置，并输入授权码；MSD生成公私钥对，生成证书请求；e）
MSD通过移动终端向MSSP发起证书申请请求；MSSP向CA发送证书申请请求；
h）CA处理证书申请请求，生成并签发用户证书；i）
CA向MSSP返回证书申请请求响应，其中包含用户证书；MSSP解析证书，保存证书相关信息；k）
MSSP向MSD发送证书信息下发指令，其中含有证书相关信息；1)
MSD向MSSP发送证书下发响应；此内容来自标准下载网
m）MSSP将证书发布请求发送至CA；n
CA根据证书发布请求发布证书；o）
CA向MSSP返回证书发布请求响应；MSSP可向用户发送提示消息，例如明文短信，提示用户证书申请成功p）
用设置IN
户检入授权码
6.2.3证书更新
微证书中请
激活证书中请 （移动身份标认)生成公私销对，生成PK（1请率
证书请请求
讨诺诺求
书含息下发
证下发响应
牛诸成通知消息
证卡请请求响成
）保行证书扣关信息
证书发有请求
近书发有请求响成
图3用户证书申请和下载流程
GB/T38646-—2020
受4户的证·书
下教中请
处理证卡中漠
>请求，牛成并
签发户书
发证书
为增强用户体验，应支持MSSP侧发起的证书更新和CA侧发起的证书更新，服务器包括MSSP和CA两类，如图4所示。
GB/T38646—2020
起方式
方式一
发起方
移动终端MST
提示点户证 1更新并符到用,产确认提示用户证[更新并衍到用户确认CA
检查用户
总季需资还新！
片动证1更新请求
注更新激流(Von)
注更新激流指令(VLe)
愉入PIN进行验证
2生成公私钥对
对Nonce证行签
证更新请求
证书使新请求
证更新请求询应
（用书）
保·存让1和
相交信息
证书信息下发
更教原南创对
证下发响应
证书发布请求
证-发布响应
证亚新通
图4证书更新流程
检咨用户证
是含而要史新
验训ne签名
>签发新证
>撤销原证书
发布新证1
证书更新的具体过程如下：
相关方发起证书更新流程，证书更新流程具有两种发起方式：a）
1）CA发起方式
-CA根据预定策略判断用户是否需要更新证书；CA向用户下发证书更新提示并得到用户确认。2）MSSP发起方式
MSSP根据预定策略判断用户是否需要更新证书；一MSSP向用户下发证书更新提示并得到用户确认；MSSP向CA发送启动证书更新请求b）CA向MSSP发送证书申请激活消息，该消息包含一个随机数（Nonce）。c)
MSSP向MSD发送证书申请激活指令。用户输入PIN进行验证。
MSD对PIN验证通过后，生成新的公私钥对，并生成证书请求。MSD用原私钥对Nonce进行签名。MSD通过移动终端将证书更新请求发送给MSSP。MSSP将证书请求、Nonce签名发送至CA。CA验证Nonce签名，鉴别签名人身份CA处理证书请求，签发新证书。CA向MSSP返回新证书
MSSP解析证书，保存证书相关信息MSSP下发证书信息给MSD。
MSD启用步骤e)生成的新的公私钥对，并删除原公私钥对。MSD发送证书下发响应给MSSP。
MSSP发送证书发布请求给CA，
CA撤销用户原证书。
CA发布用户新证书。
CA向MSSP发送证书发布请求响应。MSSP发送证书更新成功消息，提示用户证书更新成功证书撤销
移动签名应支持三种形式的撤销流程：用户主动发起撤销流程；
b）AP判断需撤销证书，发起撤销流程；MSSP判断需撤销证书，发起撤销流程。c
证书撤销流程如图5所示。
GB/T38646-—2020
GB/T38646—2020
输入逃行验证
选择要搬销
生爪户证5
>趣销请求
用户撤销证书中请
判斯需撤销用
提供用户证书撤销并到用产确从证书
生或证书撤销请求
证书报销市请
判断需做销用
提系用广证书撤俏并役到用确议生成证书做销请求
证书撤销洁求
搬销请求项成
证15请求激活
请空证及秘韧：
证书清率结果确认
报销成功通知消意
般销成功通知消息
图5证书撤销流程
证书撤销的具体过程如下
相关方发起证书撤销流程：包括三类撤销证书发起方式：1）用户主动撤销证书：
用户在MSD中选择需撤销的证书：用户输入PIN，MSD对用户PIN进行验证：MSD验证PIN成功，生成用户证书撤销请求：-MSD向MSSP发起用户证书撤销申请。2）AP发起撤销证书：
AP根据预定策略判断用户是否需要撤销证书：AP提示用户撤销证书并得到用户确认；AP生成证书撤销请求；
AP向MSSP发起用户证书撤销申请。3）MSSP发起撤销证书：
MSSP根据预定策略判断用户是否需要撤销证书；MSSP提示用户下发证书撤销提示并得到用户确认；MSSP生成证书撤销请求，
监证撤销请求
撤销证书发布
b）MSSP向CA发起证书撤销请求。CA验证证书撤销请求。
d）CA撤销用户证书，并发布状态。e)
CA向MSSP发送证书撤销请求响应。f）
MSSP向MSD发送证书清空激活指令。MSD清空自身所存储的证书及私钥。g）
MSD向MSSP发送证书清空结果确认。h）
MSSP发送证书撤销成功的通知消息，提示用户证书撤销成功。7
移动签名服务的实体功能
MSSP平台作为移动签名服务的核心业务平台，应具备如下功能：GB/T38646-—2020
a）业务管理，支持用户在MSSP对移动签名服务进行申请/受理、暂停/恢复、注销等操作；允许多AP接入，AP可以在MSSP对移动签名进行申请/受理、暂停/恢复、注销等操作b）
允许多CA接入，AP根据自已的需要选择所信任的CA，用户可选择不同的CA申请证书；c
签名事务管理，MSSP应提供完善的签名事务管理机制，最大限度保证签名操作的完整性，对d)
于用户无法完成签名操作的场景，需要明确提示AP和用户签名未完成；证书生命周期管理，对于证书申请与分发、更新、撤销等管理流程，MSSP应提供完整的差错管e
理机制，最大限度保证流程的完整性，对于证书操作无法完成的场景，需明确提示CA和用户；f）
安全管理，MSSP应提供相应的安全通信机制，以确保与移动终端、MSD、AP、CA之间的通信安全；
历史交易记录管理，MSSP应对移动签名、证书管理等操作进行历史交易记录管理，用户、APg
CA可分别进行交易记录查询、统计等。7.2MSD
MSD应具备以下功能：
具备密码运算功能，MSD能够实现签名/验签等功能；a）
b）具备私钥安全存储功能，MSD不提供私钥导出指令，提升存储的安全性；具备签名人鉴别功能，MSD在启用私钥进行签名之前，应对签名人进行鉴别，如PIN或生物识别方式，只有鉴别通过才能生成签名，若鉴别不通过，则拒绝生成签名；d）签名人PIN管理，MSD应对签名人PIN提供安全管理机制，保证该数据不能被导出，也能防止穷举攻击。
7.3用户
用户即为使用移动签名服务的使用者，具备业务申请/受理、业务暂停及恢复、业务注销、客户服务等功能。
CA作为电子认证服务的机构，为用户签发数字证书，保证所签发证书的真实、可信，并具备业务申请/受理、业务暂停及恢复、业务注销、业务查询、客户服务等功能9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。