犐犆犛３５．０４０ 犔８ ０： — 备案号 ４９７４２ ２０１５ 中华人民共和国密码行业标准 犌犕／犜００４３—２０１５ 数字证书互操作检测规范 犜犲狊狋狊狆犲犮犻犳犻犮犪狋犻狅狀犳狅狉犱犻犵犻狋犪犾犮犲狉狋犻犳犻犮犪狋犲犻狀狋犲狉狅狆犲狉犪犫犻犾犻狋狔 ２０１５０４０１ 发布 ２０１５０４０１ 实施 国家密码管理局 发 布 犌犕 犜００４３ ２０１５ — ／ 中华人民共和国密码 行 业 标 准 数字证书互操作检测规范 ＧＭ／Ｔ００４３—２０１５  中国标准出版社出版发行 北京市朝阳区和平里西街甲 ２ 号 （１０００２９） 北京市西城区三里河北街 １６ 号 （１０００４５） 网址 ｗｗｗ． ｓｐｃ．ｎｅｔ．ｃｎ 总编室 ：（０１０）６８５３３５３３　 发行中心 ：（０１０）５１７８０２３８ 读者服务部 ：（０１０）６８５２３９４６ 中国标准出版社秦皇岛印刷厂印刷 各地新华书店经销  开本 ８８０×１２３０ １／１６　 印张 １　 字数 １８ 千字 ２０１５ 年 ７ 月第一版 　２０１５ 年 ７ 月第一次印刷  书号 ：１５５０６６·２２８７９０　 定价 １８．００ 元 　 如有印装差错 由本社发行中心调换 版权专有 侵权必究 举报电话 　 ：（０１０）６８５１０１０７ 犌犕／犜００４３—２０１５ 目 　　 次 前言 ………………………………………………………………………………………………………… Ⅲ １　 范围 ……………………………………………………………………………………………………… １ ２　 规范性引用文件 ………………………………………………………………………………………… １ ３　 术语和定义 ……………………………………………………………………………………………… １ ４　 符号和缩略语 …………………………………………………………………………………………… ２ ５　 送检技术文档要求 ……………………………………………………………………………………… ２ ６　 检测内容 ………………………………………………………………………………………………… ３ 　６．１　 入根检测 …………………………………………………………………………………………… ３ 　６．２　 数字证书和 ＣＲＬ 格式符合性检测 ………………………………………………………………… ３ 　６．３　 数字证书互操作检测 ……………………………………………………………………………… ５ ７　 检测方法 ………………………………………………………………………………………………… ５ 　７．１　 入根检测 …………………………………………………………………………………………… ５ 　７．２　 数字证书和 ＣＲＬ 格式符合性检测 ………………………………………………………………… ６ 　７．３　 数字证书互操作检测 ……………………………………………………………………………… ６ ８　 合格判定 ………………………………………………………………………………………………… ７ 附录 Ａ （资料性附录）　ＣＡ 证书申请文件 ＡＳＮ．１ 结构 ………………………………………………… ８ Ⅰ 犌犕／犜００４３—２０１５ 前 　　 言 　　 本标准按照 ＧＢ／Ｔ１．１—２００９ 给出的规则起草 。 请注意本文件的某些内容可能涉及专利 。 本文件的发布机构不承担识别这些专利的责任 。 本标准由密码行业标准化技术委员会提出并归口 。 本标准起草单位 ：国家密码管理局商用密码检测中心 、中金金融认证中心有限公司 、卓望数码技术 （深圳 ）有限公司 、北京数字认证股份有限公司 、长春吉大正元信息技术股份有限公司 、上海格尔软件股 份有限公司 、北京国富安电子商务安全认证有限公司 。 本标准主要起草人 ：李大为 、赵宇 、李志伟 、罗干生 、薛迎俊 、邓开勇 、周笔 、田敏求 、李冬 、肖秋林 、 韩亚宁 、谭武征 、李丽仙 、霍云 、商晋 、赵丽丽 、常玉明 。 Ⅲ 犌犕／犜００４３—２０１５ 数字证书互操作检测规范 １　 范围 本标准依据 ＧＭ／Ｔ００１５ 和 ＧＭ／Ｔ００３４ 的要求规定了数字证书互操作的检测内容与检测方法 。 本标准适用于证书认证系统签发的数字证书的检测 。 ２　 规范性引用文件 下列文件对于本文件的应用是必不可少的 。 凡是注日期的引用文件 ，仅注日期的版本适用于本文 件 。 凡是不注日期的引用文件 ，其最新版本（包括所有的修改单）适用于本文件 。 ＧＢ／Ｔ１６２６４．８—２００５　 信息技术 　 开放系统互连 　 目录 　 第 ８ 部分 ：公钥和属性证书框架 ＧＭ／Ｔ０００６　 密码应用标识规范 ＧＭ／Ｔ０００９　ＳＭ２ 密码算法使用规范 ＧＭ／Ｔ００１５　 基于 ＳＭ２ 密码算法的数字证书格式规范 ＧＭ／Ｔ００１６　 智能密码钥匙密码应用接口规范 ＧＭ／Ｔ００３４　 基于 ＳＭ２ 密码算法的证书认证系统密码及其相关安全技术规范 ＧＭ／Ｚ４００１　 密码术语 ＰＫＣＳ＃１０ （ｖ１．７）　ＣｅｒｔｉｆｉｃａｔｉｏｎＲｅｑｕｅｓｔＳｙｎｔａｘＳｔａｎｄａｒｄ　 认证请求语法标准 ３　 术语和定义 ３．１ ３．２ ３．３ ３．４ ＧＭ／Ｚ４００１ 所界定的以及下列术语和定义适用于本文件 。 证书认证系统 　犮犲狉狋犻犳犻犮犪狋犲犪狌狋犺犲狀狋犻犮犪狋犻狅狀狊狔狊狋犲犿 对数字证书的签发 、发布 、更新 、撤销等数字证书全生命周期进行管理的系统 。 证书认证机构 　犮犲狉狋犻犳犻犮犪狋犻狅狀犪狌狋犺狅狉犻狋狔 对数字证书进行全生命周期管理的实体 。 也称为电子认证服务机构 。 证书撤销列表 　犮犲狉狋犻犳犻犮犪狋犲狉犲狏狅犮犪狋犻狅狀犾犻狊狋 由证书认证机构 （ＣＡ）签发并发布的被撤销证书的列表 。 数字证书 　犱犻犵犻狋犪犾犮犲狉狋犻犳犻犮犪狋犲 也称公钥证书 ，由证书认证机构（ＣＡ）签名的包含公开密钥拥有者信息 、公开密钥 、签发者信息 、有 效期以及扩展信息的一种数据结构 。 按类别可分为个人证书 、机构证书和设备证书 ，按用途可分为签名 证书和加密证书 。 ３．５ 根 犆犃　狉狅狅狋犆犃 整个国家 ＰＫＩ信任体系的顶点 ，为运营 ＣＡ 签发 ＣＡ 证书 ，并对运营 ＣＡ 进行监督管理 。 １ 犌犕／犜００４３—２０１５ ３．６ 运营 犆犃　狅狆犲狉犪狋犻狀犵犆犃 国家根 ＣＡ 下所有提供第三方电子认证服务的 ＣＡ。 ３．７ 犆犃 证书 　 犆犃犮犲狉狋犻犳犻犮犪狋犲 颁发给数字证书认证机构的证书 。 ３．８ 终端实体证书 　犲狀狋犻狋狔犮犲狉狋犻犳犻犮犪狋犲 也称为用户证书 ，是由数字证书认证机构签发的个人证书 、机构证书 、设备证书等 。 ４　 符号和缩略语 下列缩略语适用于本文件 。 ＣＡ　 证书认证机构（ＣｅｒｔｉｆｉｃａｔｉｏｎＡｕｔｈｏｒｉｔｙ） ＣＲＬ　 证书撤销列表（ＣｅｒｔｉｆｉｃａｔｅＲｅｖｏｃａｔｉｏｎＬｉｓｔ） ＤＮ　 甄别名（ＤｉｓｔｉｎｇｕｉｓｈｅｄＮａｍｅ） ＯＩＤ　 对象标识符（ＯｂｊｅｃｔＩｄｅｎｔｉｆｙ） ＰＫＣＳ　 公钥密码格式标准（ＰｕｂｌｉｃＫｅｙＣｒｙｐｔｏｇｒａｐｈｙＳｔａｎｄａｒｄｓ） ＰＫＩ　 公钥基础设施（ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ） ＲＡ　 证书注册机构（ＲｅｇｉｓｔｒａｔｉｏｎＡｕｔｈｏｒｉｔｙ） ＵＲＬ　 统一资源定位符（ＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ） ５　 送检技术文档要求 送检单位提交的文档资料应包含但不限于以下内容 ： ａ）　 证书认证系统 ＣＡ 证书申请数据文件（数字证书制作数据 ，以光盘形式提交）。 ｂ）　 证书认证系统结构说明 ： １）　 以结构图的形式 ，说明整个证书认证系统的框架结构 ，包括证书认证系统的各子系统的 构成 、各子系统的功能和各子系统的实现原理 ，并附以详细的文字说明 ； ２）　 以拓扑图的形式 ，说明整个证书认证系统硬件系统结构情况 ，并附以详细的文字说明 ； ３）　 详细描述证书认证系统的安全机制 、密码体制 ，以及密钥使用情况 。 ｃ）　 证书认证系统签发数字证书说明 ： １）　 描述证书认证系统签发数字证书的机制和签发的数字证书种类 ，说明各类数字证书的格 式和应用范围 ； ２）　 证书认证系统签发的数字证书的使用说明 。 ｄ）　 证书认证系统发布子系统说明 ：详细描述发布子系统的结构 、部署 ，数字证书和数字证书注销 列表的发布方式和策略 。 ｅ）　 证书认证系统使用密码算法的清单 。 ２ 犌犕／犜００４３—２０１５ ６　 检测内容 ６．１　 入根检测 ６．１．１　犆犃 证书申请功能检测 运营 ＣＡ 的证书认证系统（以下简称“ＣＡ 系统”）应具备 ＣＡ 证书申请功能 ，其内容应包括 ： ａ）　 产生证书申请文件 ，应可以在申请时输入可甄别名（ＤＮ）中的相关信息 ； ｂ）　 将申请文件导出 。 ６．１．２　犆犃 证书申请文件符合性检测 ＣＡ 证书申请文件应符合以下要求 ： ａ）　 符合 ＰＫＣＳ＃１０ 格式要求 ，申请文件内容由申请信息 、签名算法标识和对申请信息的数字签名 组成 。 其中申请信息由可甄别名 （ＤＮ）、公钥和其他属性组成 。 申请文件的结构描述参见附 录 Ａ。 ｂ）　ＣＡ 证书申请文件应使用 ＳＭ２ 算法 ，涉及 ＳＭ２ 算法的公钥和签名部分应符合 ＧＭ／Ｔ０００９ 的 要求 ，其中相关算法标识符合 ＧＭ／Ｔ０００６ 的要求 。 其中包括 ： １）　 签名算法 ＯＩＤ 应为 １．２．１５６．１０１９７．１．５０１； ２）　ＤＮ 项及编码要求 ，对于运营 ＣＡ 使用的证书中 ＤＮ 项的构造顺序（以 Ｗｉｎｄｏｗｓ系统下所 看到证书的 ＤＮ 顺序为准）、编码格式应符合如下要求 ： ——— 最后一项必须是 Ｃ＝ＣＮ； ——— 如果有 ＣＮ 项 ，需要放在 ＤＮ 的最前面 ； ——— 其他项按照从小到大的顺序排列 ：如同时存在 ＯＵ 和 Ｏ 项 ，ＯＵ 在 Ｏ 之前 ，同时存在 Ｓ 和 Ｌ 项 ，Ｌ 在 Ｓ 前面 ； ———Ｃ 项应使用 ＰｒｉｎｔａｂｌｅＳｔｒｉｎｇ 编码 ； ——— 如果存在 Ｅ 项 ，应采用ＩＡ５Ｓｔｒｉｎｇ 编码 ； ——— 未做约定的其他项 ，应采用 ＵＴＦ８Ｓｔｒｉｎｇ 编码 。 ｃ）　 应能成功验证 ＣＡ 证书申请文件中的签名值 。 ６．１．３　犆犃 证书导入功能检测 运营 ＣＡ 的 ＣＡ 系统应支持将根 ＣＡ 签发出的 ＣＡ 证书导入至系统中 。 ６．１．４　 入根后签发功能检测 入根后的 ＣＡ 系统应具备证书签发等功能 ，其中包括 ： ａ）　 签发用户证书 ，应能使用根 ＣＡ 签发的二级 ＣＡ