GBT 29767-2013 信息安全技术 公钥基础设施 桥CA体系证书分级规范

GBT 29767-2013 信息安全技术 公钥基础设施 桥CA体系证书分级规范 本标准对桥CA证书策略的安全保证级别规定了分级标准，将桥CA体系证书划分为四个应用级别和测试级共五个等级，并说明了对各级别的技术要求。四个应用级别是：初级、基本级、中级、高级，其安全级别逐次增高。测试级证书是用于交叉认证测试的证书。 本标准参照 RFC 3647，对各级别的证书策略做出了明确说明，用以指导设计者如何设计和实现相应级别的证书策略，每个级别针对九个方面的不同内容做出了要求，保证了证书策略从初级到高级，其安全程度随之递增，其适应的安全环境也随之更加严格。 本标准规定了桥CA体系证书安全等级划分. 本标准适用于桥CA体系证书策略的设计与实现。桥CA系统的研制、开放、测试和产品采购也可参照使用。 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 16264.8-2005 信息技术 开放系统互连 目录 第8部分：公钥和属性证书框架（1S0/ IEC 9594-82001，IDT） GB/T 20518-2006 信息安全技术 公钥基础设施数字证书格式RFC 3647 互联网X.509公钥基础设施：证书策略和证书运行框架（Internet X.509 Public Key In- frastructure:Certificate Policy and Certification PracticesFramework） 3术语和定义 GB/T 16264.8-2005界定的以及下列术语和定文适用于本文件. 3.1公钥基础设施 public key infrastructure支持公钥管理体制并提供鉴别、加密、完整性和不可否认性服务的基础设施。 3.2交叉认证 cross certification两个CA之间建立信任关系，以使它们可以互相信任和依赖任何一方发放的证书的过程。 3.3交叉认证协议备忘 cross-certification memorandum of agreement确定两个CA之间关系、规定了双方互通后享有的信任程度的协议。 3，4证书策略 certificate policy一组指定的规则，指出证书对具有公共安全要求的特定团体和/或应用的适用范围， 3.5实体 CA entity CA要求帮助交叉认证的具体根 CA 3.6订户 subscriber从 CA 接收数字证书的实体。 缩路语 下列缩略语适用于本文件。 CA：证书认证机构（Certification Authority） CARL：证书认证机构撤销列表（Certification Authority Revocation List） CP：证书策略（Certificate Policy） CPS：认证业务说明（Certification Practice Statement） CRL：证书撤销列表（Certificate Revocation List） OID，对象标识符（Object Identifier） PKI，公钥基础设施（Public Key Infrastructure） RA：注册机构（Registration Authority） 5证书安全保证等级 5.1桥CA体系证书安全保证等级的分级是基于桥CA的证书策略要求，结构遵循RFC3647，梭据证 م 书策略，桥CA体系证书分为测试级和四个应用安全保证等级，四个应用安全保证等级包括初级、基本级、中级和商级。五个等级的证书都包括“导引”“信息发布与管理”“身份标识与鉴别”"证书生命周期操作要求"“认证机构设施、管理和操作控制”"技术安全控制""证书、证书撤销列表和在线证书状态协议” “符合性审计和其他评估"其他商务和法律问题”九个方面，主要根据该级证书所处的安全环境进行规s范，不同级别的安全环境对证书安全的要求不同，环境越危险，所需证书的安全级别越高，反之亦然。本标准附录A对可审计事件在不同级别的要求进行了规范，附录B对各级别证书的不同证书策略要求作了总结。 概述 5.2 测试级 5.2.1 导引 测试级证书应该拥有一个唯一的测试级证书策略 OID，使用测试级证书策略的证书没有安全保护目标，只用于测试，不能被用于其他任何事务。 使用测试级证书策略的证书只能被用于实体CA与桥CA之间的交互测试中，不能被用于其他任何目的。此级证书策略不对安全做出任何保证。 5.2.2 信息发布与管理 无特殊要求 5.2.3身份标识与鉴别 测试级证书策略要求在备忘录中商定以下内容：a）测试级证书使用的主体名，具体要求依赖于具体的测试环境；b）申请证书时，测试级策略对申请者的身份鉴别方法，取决于具体的测试环境c）测试级证书密钥更新时的身份鉴别方法，取决于具体的测试环境。 5.2.4证书生命周期操作要求 测试级证书策略要求在备忘录中商定以下内容 a）申请证书时，申请者需要将证书公钥和其身份绑定后，安全递交给 CA.测试级证书策略要求这种绑定递交方法在备忘录中商定；b）在订户申请证书前对订户的要求；e） 每隔一段时间，CA系统都需要发布周期性的CRL和CARL，在测试级证书策略中，发布CRL和 CARL 的周期应该在备忘录中商定，如果发现某个证书的私钥丢失或者安全性受到成胁，则CA系统在撤销该证书后的一定时间内应发布一次CRL或CARL，这段时间的长度也需要在备忘录中商定。 5.2.5 认证机构设施、管理和操作控制测试级证书策略要求在备忘录中商定以下内容 a）CA 系统应产生并保存所有事件的安全审计日志，测试级证书策略要求该日志的保存期应在备忘录中商定；b）每隔一段时间，安全审计日志需要提供给管理者进行审查，测试级证书策略要求在备忘录中商定审查的周期以及审查的要求；c）CA 系统需要对其自身的一些数据进行记录归档，测试级证书策略要求归档的内容及归档保存时间都在备忘录中商定；d）CA系统的物理安全要求；e）实体 CA 和桥 CA 的角色分配要求， 5.2.6技术安全控制 订户所使用的密码设备和密钥管理应符合国家密码管理部门的相关要求。 CA给订户发放的证书应使用密钥用途扩展项表明其密钥用途，给用户分别发放双证书：签名证书和加密证书。 桥CA、实体CA和RA所使用的密码设备和密码算法应符合国家密码管理有关政策。 5.2.7 证书、证书撤销列表和在线证书状态协议无特殊要求