ICS 65.160 YC X 89 备案号：27104—2010 中华人民共和国烟草行业标准 YC/T 327—2009 烟草行业数字证书应用接口规范 Technical specification for digital certificate application interface to tobacco industry 2010-03-01实施 2009-12-14发布 国家烟草专卖局 发布 YC/T327—2009 目 次 前言 范围 规范性引用文件 2 3 术语和定义 缩略语 5 烟草行业数字证书格式与发布 5. 1 烟草行业数字证书结构 5. 2 烟草行业证书撤销列表结构 5. 3 烟草行业数字证书特有扩展 5. 4 烟草行业数字证书DN规则 5. 5 用户证书与应用中身份的关联 烟草行业证书状态发布 烟草行业数字证书应用接口 6. 1 烟草行业数字证书应用接口总体框架 6.2 安全代理服务 6.3 数字签名服务 6. 4 时间戳服务 6.5 在线证书状态服务 6.6 目录服务 10 6.7 安全审计服务 10 附录A（资料性附录）相关说明 12 A.1C/S模式安全通信的实现 12 A.2单点登录与身份认证 12 附录B（资料性附录）数字签名接口和安全审计接口规范 13 B.1烟草行业证书签名客户端接口 13 B.2 烟草行业证书数字签名服务设备端Java接口 L7 B. 3 烟草行业证书数字签名服务设备.Net接口 25 B. 4 烟草行业安全审计服务Java接口 33 YC/T327—2009 前言 本标准的附录A、附录B为资料性附录。 本标准由国家烟草专卖局提出。 本标准由全国烟草标准化技术委员会信息分技术委员会（SAC/TC144/SC7)归口。 本标准起草单位：国家烟草专卖局烟草经济信息中心。 本标准主要起草人：张雪峰、王海清、刘东平、轩松岭、张萌、王翊心、李伟 YC/T327—2009 烟草行业数字证书应用接口规范 1范围 本标准规定了烟草行业数字证书应用的总体框架与应用规范，描述了烟草行业与证书相关应用的 技术要求。 本标准适用于烟草行业与数字证书相关应用的规划、设备招标、方案设计以及业务实施 2规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有 的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究 是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB13000.1一1993信息技术通用多八位编码字符集（UCS）第一部分：体系结构与基本多文 种平面（idtISO/IEC10646-1：1993) GB/T16264.2—2008信息技术开放系统互连 目录 第2部分：模型（ISO/IEC9594-2 2005,IDT) GB/T16264.8—20051 信息技术 开放系统互连 目录 第8部分：公钥和属性证书框架（ISO IEC9594-8:2001,IDT) GB/T19713—2005 信息技术安全技术公钥基础设施 在线证书状态协议 GB/T19771一2005信息技术安全技术公钥基础设施 PKI组件最小互操作规范 GB/T20520—20061 信息安全技术公钥基础设施时间戳规范 IETFRFC2251 轻量级目录访问协议（LDAPV3） IETFRFC2246安全传输层协议V1.0 3术语和定义 GB/T16264.2、GB/T16264.8、GB/T19713、GB/T19771、GB/T20520、GB/T13000.1确立的以 及下列术语和定义适用于本标准。 3. 1 公钥证书 publickeycertificate 用户的公钥连同其他信息，并由发布该证书的证书认证机构的私钥进行加密使其不可伪造。 ［GB/T16264.82005，第3章]。 3. 2 证书认证机构 certificateauthority;CA 负责创建和分配证书，受用户信任的权威机构。用户可以选择该机构为其创建密钥。 [GB/T16264.8—2005,第3章］。 3. 3 证书撤销列表 certificaterevocation list;CRL 个已标识的列表，它指定了一套证书发布者认为无效的证书。除了普通CRL外，还定义了一些 特殊的CRL类型用于覆盖特殊领域的CRL。 1 YC/T327—2009 3. 4 注册机构 registrationauthority;RA 为用户办理证书申请、身份审核、证书下载、证书更新、证书注销以及密钥恢复等实际业务的办事机 构或业务受理点。 3.5 目录服务 directory service;DS 分布在网络中的各种节点或服务器提供的分布式数据库服务。 3. 6 数字签名 digital signature 允许接收者验证签名人的身份和数据完整性的数据单元。 3.7 找 timestamp 时间戳 使用数字签名技术产生的数据，签名的对象包括了原始文件的信息、签名参数、签名时间等信息。 TSA对此对象进行数字签名产生时间戳，以证明原始文件在签名时间之前已经存在。 3.8 时间戳机构 time stamp authority;TSA 用来产生和管理时间戳的权威机构。 3. 9 数字证书 digital certificate 等同于3.1中定义的公钥证书。 3. 10 根CA rootCA 是一个特殊的CA，位于证书认证层次结构的最高层。根CA的CA证书是自颁发证书 3. 11 安全套接层协议 security socket layer (SSL)protocol 位于网络层协议（如TCP/IP)和应用程序协议层（如HTTP)之间的一种安全协议层。它能使客户 与服务器应用之间的通信不被攻击者窃听，并且始终对服务器进行认证，还可选择对客户进行认证。 注：SSL目前最高版本为3.0。 3.12 安全传输层协议 transport layer security protocol 是在SSL版本3.0基础上发展而来的一种安全协议，其目的和主要内容与SSL3.O相同。互联网 工程任务组IETF（internetengineeringtaskforce）已经将安全传输层协议标准化并正式发布，成为 RFC2246标准。 注：安全传输层协议目前的最高版本为1.0。 4缩略语 API 应用编程接口 CA 证书认证机构 CDP CRL分布点 CRL 证书撤销列表 DN 可辨别名 LDAP 轻量级目录访问协议 OCSP 在线证书状态协议 2 YC/T327—2009 OID 对象标识符 PKCS 公钥加密标准 PKI 公钥基础设施 RA 注册机构 SSL 安全套接层 SSO 单点登录 TLS 安全传输层协议 TSA 时间戳机构 URI 统一资源标识符 URL 统一资源定位符 5 烟草行业数字证书格式与发布 5. 1 烟草行业数字证书结构 烟草行业数字证书结构应符合GB/T19771一2005中6.2定义的证书格式。 证书字段包括： a) 版本号（Version）； b) 证书序列号（SerialNumber）； c) 颁发者签名算法（Signature）； d) 颁发者可辨别名（IssuerName）； e) 证书有效时间（Validity）； f) 主体可辨别名（SubjectName）； g) 主体公钥信息（SubjectPublicKeyInfo）； h) 证书扩展（Extensions）； i) 权威密钥标识符（AuthorityKeyIdentifier）： 1) 主体密钥标识符（SubjectKeyIdentifier）； 2) 密钥用法（KeyUsage）； 3) 基本限制（BasicConstraints）； 4) 扩展密钥用法（ExtendedKeyUsage）； 5） CRL分布点(CRLDistributionPoints)。 发者的签名（IssuersSignature）。 5.2 2烟草行业证书撤销列表结构 烟草行业CA通过定期发布证书撤销列表CRL来提供证书的状态信息。 烟草行业证书撤销列表结构符合GB/T19771一2005中6.3定义的证书撤销列表格式。 证书撤销列表字段包括： 版本号（Version）； a) b) 颁发者签名算法（Signature）； c) 颁发者可辨别名（IssuerName）； d) 本次更新（ThisUpdate）； e) 下次更新（NextUpdate）； 撤销的证书（RevokedCertificates）： 证书序列号（CertificateSerialNumber）； 1) 撤销日期（RevocationDate）； 3) CRLEntry扩展(CRLEntryExtensions)。 3