ICS 35.240.99 A 90 （报批稿） (本稿完成于2020年10月20日) GA xxxx-xx-xx实施 xxxx-xx-xx发布 移动警务 PKI系统总体技术 要求 中华人民共和国公安部 发布 Mobile police —— General technical requirements for PKI system 中华人民共和国公安部 发布 中华人民 共和国 公共安 全 行业 标准 GA/T XXXX—XXXX 代替 GA/T XXXX —XXXX I 目 次 前 言 ................................ ................................ ........ II 1 范围 ................................ ................................ ........... 1 2 规范性引用文件 ................................ ................................ . 1 3 术语和定义、缩略语 ................................ ............................. 1 4 总体架构 ................................ ................................ ....... 2 5 通用技术要求 ................................ ................................ ... 3 6 接口要求 ................................ ................................ ....... 4 7 安全要求 ................................ ................................ ....... 5 8 管理要求 ................................ ................................ ....... 5 附录A （规范性附录） 发证流程 ................................ .................... 6 GA/T XXXX—XXXX II 前 言 本文件按照GB/T 1.1-2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》 的规定 起草。 本文件由公安部科技信息化局提出。 本文件由公安部计算机与信息处理标准化技术委员会归口。 本文件起草单位：公安部科技信息化局 、河南省公安厅 、公安部第一研究所、公安部第三研究所、 格尔软件股份有限公司、 郑州信大捷安信息技术股份有限公司、 长春吉大正元信息技术股份有限公司 。 本文件主要起草人： 袁艺芳、 李伟强、王毅、陈巧慧、张端涛、王卓 、陈骁、陈昌前、陈家明、 梁 松涛、韩秀德、刘兴兴、邓勇。 GA/T XXXX—XXXX 1 移动警务 PKI系统总体技术要求 1 范围 本文件规定了移动警务 PKI系统的总体架构、通用技术要求、接口要求、 安全要求和管理要求 。 本文件适用于移动警务 PKI系统的规划、设计、建 设、验收和管理等 。 2 规范性引用文件 下列文件 中的内容通过文中的规范性引用而构成 本文件必不可少的 条款。 其中， 注日期的引用文件， 仅该日期对应的版本适用于本文件； 不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 19771 信息技术 安全技术 公钥基础设施 PKI组件最小互操作规范 GB/T 25056 信息安全技术 证书认证系统密码及其相关安全技术规范 GB/T 25069 信息安全技术 术语 GA/T 1561 移动警务系统 总体技术要求 GA/T 1720 移动警务 数字证书 格式要求 GM/Z 0001 密码术语 GM/T 0018 密码设备应 用接口规范 GM/T 0034 基于SM2密码算法的证书系统密码及其相关安全技术规范 RFC 5280 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile 3 术语和定义 GB/T 25069 、GA/T 1561 和GM/Z 0001 界定的以及 下列术语和定义适用于本文 件。 3.1 移动警务数字证书 digital certificate for mobile police information system 标识移动警务系统 用户、机构、设备 和应用真实身份的数字证书。 3.2 空中发证 autonomous certificate issuance based on wireless mode 依托无线 传输链路 申请和签发数字证书 的方式。 4 缩略语 下列缩略语适用于本文件。 CA：证书认证机构 （Certificate Authority ） GA/T XXXX—XXXX 2 CRL：证书吊销列表 （Certificate Revocation List ） KMC：密钥管理中心（ Key Mana gement Center） LDAP：轻量级目录访问协议 （Lightweight Directory Access Protocol ） LRA：本地证书注册机构 （Local Registration Authority ） PKI：公钥基础设施 （Public Key Infrastructure ） RA：证书注册机构 （Registration Authority ） 5 总体架构 5.1 系统架构 移动警务PKI系统包括中央系统和下级系统，中央系统 为唯一根节点， 包括LDAP和CA，下级系统 包括LDAP、CA、RA、LRA和KMC。系统架构 示意图见图 1。 移动警务 PKI中央系统 移动警务 PKI下级系统 CA KMC RA LRA LRA ...LDAPCA LDAP 图1移动警务 PKI系统架构 示意图 其中： a) LDAP实现移动警务证书和 CRL的存储与发布，中央系统 LDAP存储所有下级系统的移动警务证 书和CRL，并提供所有下级系统 LDAP的地址服务； b) CA实现移动警务数字证书 的签发，中央系统 CA签发下级系统 CA证书，下级系统 CA实现移动 警务数字证书的签发、更新、延期、注销以及 CRL生成等； c) RA实现移动警务数字证书的注册、申请、 审核和发放等； d) LRA基于RA实现本地移动警务数字证书的注册、申请和发放等，可按需部署； e) KMC为移动警务数字证书提供加密证书密钥对的生成及管理功能。 GA/T XXXX—XXXX 3 5.2 系统部署 移动警务PKI系统部署 与图2相符合。 服务区 管理区 安全区 密钥管理区从LDAP RA 主LDAP CA KMC服务区 从LDAP公安信息网 LRA LRA... 移动警务 PKI下级系统移动警务 PKI中央系统 服务区 从LDAP 安全区 CA公安移动信息网 主LDAP 图2 移动警务 PKI系统部署图 其中： a) 移动警务 PKI中央系统部署在公安信息网中，其 LDAP进行主从部署，从 LDAP部署在服务区， 主LDAP和CA部署在安全区； b) 移动警务 PKI下级系统部署在公安信息网和公安移动信息网中， 其 LDAP进行主从部署， 从LDAP 在公安信息网和公安移动信息网的服务区同时部署， RA和LRA部署在公安信息网的管理区， 主LDAP和CA部署在公安信息网的安全区， KMC部署在公安信息网的 密钥管理区 。 6 通用技术要求 6.1 目录服务要求 目录服务 应满足下列要求： a) 主LDAP将移动警务数字证书及 CRL同步到从 LDAP； b) 部署在公安信息网的下级系统从 LDAP与公安移动信息网的从 LDAP建立同步机制； c) 下级系统 LDAP上报本级所有移动警务数字证书及 CRL； GA/T XXXX—XXXX 4 d) 中央系统LDAP提供所有下级系统 LDAP地址及目录服务。 6.2 证书发放要求 证书发放 需满足下列要求： a) Ⅰ类系统的数字证书格式宜符合 RFC 5280 的规定，数字证书的申请和发放流程应符合 GB/T 25056的规定； b) Ⅱ类系统移动警务数字证书应由 移动警务 PKI系统签发，证书格式应符合 GA/T 1720 的规定， 介质应使用通过国家密码产品管理部门检测的硬件或软件密码模块，接口调用宜符合