犐犆犛３５． ０４０ 犔 ８０ 备案号： 中华人民共和国密码行业标准 犌犕／犜 ００２０—２０１２ 证书应用综合服务接口规范 犆犲 狉 狋 犻 犳 犻 犮 犪 狋 犲犪狆狆 犾 犻 犮 犪 狋 犻 狅狀犻 狀 狋 犲 狉 犪 狋 犲 犱狊 犲 狉 狏 犻 犮 犲犻 狀 狋 犲 狉 犳 犪 犮 犲狊 犮 犻 犳 犻 犮 犪 狋 犻 狅狀 犵 狆犲 ２０１２  １１  ２２ 发布 ２０１２  １１  ２２ 实施 国家密码管理局 发 布 犌犕 犜００２０ ２０１２ — ／ 中 华 人 民 共 和 国 密 码 行 业 标 准 证书应用综合服务接口规范 ＧＭ／Ｔ００２０—２０１２  中国标准出版社出版发行 北京市朝阳区和平里西街甲 ２ 号（ １０００１３） 北京市西城区三里河北街 １６ 号（ １０００４５） 网址 ｗｗｗ． ｓｐｃ． ｎｅ ｔ． ｃｎ 总编室：（ ０１０） ６４２７５３２３　 发行中心：（ ０１０） ５１７８０２３５ 读者服务部：（ ０１０） ６８５２３９４６ 中国标准出版社秦皇岛印刷厂印刷 各地新华书店经销  开本 ８８０×１２３０ １／１６　 印张 ０． ００　 字数 ００ 千字 年 月第一版 年 ２０１３ 　 　２０１３ 　 月第一次印刷  书号：１５５０６６·２  ００２０Ｘ　 定价 ００． ００ 元 如有印装差错 　 由本社发行中心调换 版权专有 　 侵权必究 举报电话：（ ０１０） ６８５１０１０７ 犌犕／犜 ００２０—２０１２ 目 　　 次 前言 …………………………………………………………………………………………………………… 引言 …………………………………………………………………………………………………………… １　 范围………………………………………………………………………………………………………… ２　 规范性引用文件…………………………………………………………………………………………… ３　 术语和定义………………………………………………………………………………………………… ４　 缩略语……………………………………………………………………………………………………… ５　 算法标识和数据结构……………………………………………………………………………………… １　 标识定义……………………………………………………………………………………………… 　５． ２　 数据结构定义………………………………………………………………………………………… 　５． ６　 证书应用综合服务接口概述……………………………………………………………………………… １　 概述…………………………………………………………………………………………………… 　６． ２　 客户端服务接口……………………………………………………………………………………… 　６． ３　 服务器端服务接口…………………………………………………………………………………… 　６． ７　 证书应用综合服务接口函数定义………………………………………………………………………… １　 客户端控件接口函数………………………………………………………………………………… 　７． ２　 服务器端 ＣＯＭ 组件接口函数 ……………………………………………………………………… 　７． ３　Ｊ ａｖａ组件接口函数 　７． ………………………………………………………………………………… 附录 Ａ （规范性附录）　 证书应用综合服务接口错误代码定义 …………………………………………… 附录 Ｂ （资料性附录）　 证书应用综合服务接口典型部署模型 …………………………………………… 附录 Ｃ （资料性附录）　 证书应用综合服务接口集成示例 ………………………………………………… 参考文献 ……………………………………………………………………………………………………… Ⅰ 犌犕／犜 ００２０—２０１２ 前 　　 言 １—２００９ 的规则编写。 　　 本标准按照 ＧＢ／Ｔ１． 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由国家密码管理局提出并归口。 本标准中的附录 Ａ 为规范性附录，附录 Ｂ 和附录 Ｃ 为资料性附录。 本标准起草单位：北京数字认证股份有限公司、上海格 尔软 件 股 份 有 限 公 司、北 京 海 泰 方 圆 科 技 有 限公司、上海市数字证书认证中心有限公司、无锡江南信息 安全工 程技 术 中 心、成 都 卫 士 通 信 息 产 业 股 份有限公司、长春吉大正元信息技术股份有限公司、兴唐通 信科技 有限 公 司、山 东 得 安 信 息 技 术 有 限 公 司、国家信息安全工程技术研究中心、国家密码管理局商用密码检测中心。 本标准起草 人：刘 平、李 述 胜、谭 武 征、柳 增 寿、刘 承、徐 强、李 元 正、赵 丽 丽、王 妮 娜、孔 凡 玉、袁 峰、 李志伟。 本标准凡涉及密码算法相关内容，按照国家有关法规实施。 Ⅱ 犌犕／犜 ００２０—２０１２ 引 　　 言 　　 本标准依托于 ＧＭ／Ｔ ＸＸＸＸＸ《通用密码服务接口规 范》，向 上 为 应 用 层 规 定 了 统 一 的 高 级 密 码 服 务接口。 证书应用综合服务接口为上层 的 应 用 系 统 提 供 简 洁、易 用 的 证 书 应 用 接 口，屏 蔽 了 各 类 密 码 设 备 （服务器密码机和智能密码钥匙等）的设备差异性，屏蔽了各类密码设备的密码应用接口之间的差异性， 实现应用与密码设备无关性，可简化应用开发的复杂性。证 书应用 综合 服 务 接 口 分 成 客 户 端 服 务 接 口 和服务器端服务接口两类，可满足 Ｂ／Ｓ 和 Ｃ／Ｓ 等 多 种 架 构 的 应 用 系 统 的 调 用 需 求，有 利 于 密 码 服 务 接 口产品的开发，有利于应用系统在密码服务过程中的集成和实施，有利于实现各应用系统的互联互通。 Ⅲ 犌犕／犜 ００２０—２０１２ 证书应用综合服务接口规范 １　 范围 本标准规定了面向证书应用的统一服务接口。 本标准适用于公钥密码应用技术体系下密码应用服 务产品 的开 发，密 码 应 用 支 撑 平 台 的 研 制 及 检 测，也可用于指导直接使用密码设备和密码服务的应用系统的集成和开发。 ２ 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日 期的 引 用 文 件，仅 注 日 期 的 版 本 适 用 于 本 文 件，凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 ＧＭ／Ｔ０００６　 密码应用标识规范 ＧＭ／Ｔ ＡＡＡＡＡ　 基于 ＳＭ２ 密码算法的数字证书格式规范 ＧＭ／ＴＢＢＢＢＢ　 通用密码服务接口规范 ＧＭ／Ｔ ＣＣＣＣＣＳＭ２　 密码算法加密签名消息语法规范 ＧＭ／Ｔ ＤＤＤＤＤＳＭ２　 密码算法使用规范 ＰＫＣＳ ＃７　Ｃｒ ｔ ｏｇ ｒ ａｐｈ ｉ ｃＭｅ ｓ ｓ ａｇｅＳｙｎ ｔ ａｘ ｙｐ Ｅｘ ｔ ｅｎｓ ｉ ｂ ｌ ｅＭａ ｒｋｕｐＬａｎｇｕａｇｅ）ＸＭＬ Ｓ ｉ ｔ ｕｒ ｅＳｙｎ ｔ ａｘａｎｄＰｒ ｏ ｃ ｅ ｓ ｓ ｉ ｎｇ ＲＦＣ３２７５ （ ｇｎａ ３　 术语和定义 下列术语和定义适用于本文件。 ３． １ 数字证书 　犱 犻 犻 狋 犪 犾犮 犲 狉 狋 犻 犳 犻 犮 犪 狋 犲 犵 由认证权威数字签名的包含公开密钥拥有者信息、公开 密钥、签 发 者 信 息、有 效 期 以 及 一 些 扩 展 信 息的数字文件。 ３． ２ 用户密钥 　狌 狊 犲 狉犽犲 狔 存储在设备内部的用于应用密码运算的非对称密钥对，包含签名密钥对和加密密钥对。 ３． ３ 容器 　犮 狅狀 狋 犪 犻 狀犲 狉 密码设备中用于保存密钥所划分的唯一性存储空间。 ４　 缩略语 下列缩略语适用于本文件： ＡＰＩ　　Ａｐｐ ｌ ｉ ｃ ａ ｔ ｉ ｏｎＰｒ ｏｇ ｒ ａｍＩ ｎ ｔ ｅ ｒ ｆ ａ ｃ ｅ应用程序接口，简称应用接口 ＣＡ Ｃｅ ｒ ｔ ｉ ｆ ｉ ｃ ａ ｔ ｉ ｏｎＡｕ ｔ ｈｏ ｒ ｉ ｔ ｙ 证书认证机构 ＣＮ ＣｏｍｍｏｎＮａｍｅ通用名 ＣＲＬＣｅ ｒ ｔ ｉ ｆ ｉ ｃ ａ ｔ ｅＲｅｖｏ ｃ ａ ｔ ｉ ｏｎＬ ｉ ｓ ｔ证书撤销列表 ＣＳＰ Ｃｒ ｔ ｏｇ ｒ ａｐｈ ｉ ｃＳｅ ｒ ｖ ｉ ｃ ｅＰｒ ｏｖ ｉ ｄｅ ｒ加密服务提供者 ｙｐ ＤＥＲ Ｄｉ ｓ ｔ ｉ ｎｇｕ ｉ ｓｈｅｄＥｎｃｏｄ ｉ ｎｇＲｕ ｌ ｅ ｓ可区分编码规则 １ 犌犕／犜 ００２０—２０１２ ＤＮ Ｄｉ ｓ ｔ ｉ ｎｇｕ ｉ ｓｈｅｄＮａｍｅ可识别名 ＬＤＡＰ ＯＩＤ Ｌ ｉ ｔｗｅ ｉ ｔＤｉ ｒ ｅ ｃ ｔ ｏ ｒ ｃ ｅ ｓ ｓＰｒ ｏ ｔ ｏｃ ｏ ｌ轻量级目录访问协议 ｇｈ ｇｈ ｙ Ａｃ Ｏｂ ｅ ｃ ｔＩ ｄｅｎ ｔ ｉ ｆ ｉ ｅ ｒ对象标识符 ｊ ＰＫＣＳ ｔ ｈｅＰｕｂ ｌ ｉ ｃ ｔ ｏｇ ｒ ａｐｈｙＳ ｔ ａｎｄａ ｒｄ 公钥密码标准 ｙｐ ＫｅｙＣｒ ５　 算法标识和数据结构 ５． １　 标识定义 本规范所使用常量、各类算法标识和证书解析标识的具体定义见 ＧＭ／Ｔ０００６。 ５． ２　 数据结构定义 本规范对应的接口处理的数据分为两种类型： 数据类型 Ａ：当公 钥算法为 ＲＳＡ 时，数据 的结构遵循 ＰＫＣＳ＃１；当公 钥算 法为 ＳＭ２ 时，数 据 的 结 构遵循 ＧＭ／Ｔ ＤＤＤＤＤ。 数 据类型 Ｂ：当公钥算法为 ＲＳＡ 时，消息的结构遵循 ＰＫＣＳ＃７；当公钥算法为 ＳＭ２ 时，消息的结构 遵循 ＧＭ／Ｔ ＣＣＣＣＣ。 ６　 证书应用综合服务接口概述 ６． １　 概述 证书应用综合服务接口位于应用系统和典型密码服务接口之间，向应用层直接提供证书信息解析、 基于数字证书身份认证和信息的机密性、完整性、不可否认性等高级密码服务。该接口可直接供应用系 统调用，将应用系统的密码服务请求转向通用密码服务接口，通过通用密码服务接口调用相应的密码设 备实现具体的密码运算和密钥操作。通用密码服务接口应遵循 ＧＭ／ＴＢＢＢＢＢ。 本规范所定义的证书应用综合服务接口包括客户端服务接口和服务器端服务接口两类。其中服务 器端服务接口采用 ＣＯＭ 组件形式 和 Ｊ ａｖａ 形 式 两 类 描 述。本 文 所 涉 及 的 数 字 证 书 格 式 应 遵 循 ＧＭ／Ｔ ＡＡＡＡＡ。 ６． ２　 客户端服务接口 本规范定义的客户端服务接口采用客户端控件 方式。客户 端 控 件 适 用 于 客 户 端 程 序 调 用，接 口 的 形态包括 ＤＬＬ 动 态 库、Ａｃ ｔ ｉ ｖｅＸ 控 件、