ICS 35.040 L80 LD 备案号：27109—2010 中华人民共和国劳动和劳动安全行业标准 LD/T 30.2-2009 人力资源和社会保障电子认证体系 第2部分：电子认证系统技术规范 Human resources and social security electronic authentication system- Part 2:Technology specification of electronic authentication system 2009-12-14发布 2010-03-01实施 中华人民共和国人力资源和社会保障部 发布 LD/T30.2-2009 目 次 前言 范围 1 2 规范性引用文件 3 术语和定义 缩略语 5电子认证体系的布局与结构 5.1 总体布局 5.2 电子认证系统的构成 6证书认证设施 6.1证书签发管理系统 6.2证书注册管理系统 6.3证书查验服务系统 7密码管理设施 7.1密钥管理系统 7.2密码服务系统 11 8基础安全防护设施· 12 8.1 防病毒系统 12 8.2防火墙 12 8.3漏洞扫描… 12 8.4人侵检测 12 业务流程与协议· 12 9 9.1证书管理流程 12 9.2证书验证协议· 16 附录A（资料性附录） 省级电子认证系统(模式一)网络结构示意图 18 附录B（资料性附录） 省级电子认证系统(模式二)网络结构示意图. 19 LD/T30.2—2009 前言 为适应人力资源和社会保障信息化发展要求，满足人力资源和社会保障网络信任体系建设和管理 的需要，人力资源和社会保障部组织并制定了LD/T30一2009《人力资源和社会保障电子认证体系》。 网络信任体系包括电子认证体系、授权管理体系和责任认定体系，本标准主要描述了人力资源和社 会保障电子认证体系相关内容，包括以下五个部分： 一第1部分：框架规范； 第2部分：电子认证系统技术规范； 第3部分：证书及证书撤消列表格式规范； 第4部分：证书应用管理规范； 第5部分：证书载体规范。 本部分为LD/T30一2009的第2部分。 本部分描述了人力资源和社会保障电子认证系统的体系架构、系统构成和系统功能等，是指导人力 资源和社会保障部门建设电子认证系统的技术性规范和基本要求。 本部分重点引用了《证书认证系统密码及其相关安全技术规范》，并在此基础上，扩展了证书管理流 程、省级系统建设拓扑图等相关内容，从满足人力资源社会保障业务需求的角度，对建设本行业的电子 认证系统提出规范和要求。 本部分由中华人民共和国人力资源和社会保障部信息中心提出并归口。 本部分主要起草单位：中华人民共和国人力资源和社会保障部信息中心、上海市人力资源和社会保 障局信息中心、北京数字证书认证中心、维豪信息技术有限公司。 本部分主要起草人：赵锡铭、戴瑞敏、贾怀斌、翟燕立、李丽虹、吴问滨、黄勇、吕丽娟、许华光、罗震、 张加会、靳朝晖、陆春生、李永亮、宋京燕、杜守国、欧阳晋、林雪焰、李述胜、顾青、宋成。 本部分凡涉及密码相关内容，均按国家有关法规实施。 I LD/T30.2—2009 人力资源和社会保障电子认证体系 第2部分：电子认证系统技术规范 1范围 LD/T30的本部分描述了人力资源和社会保障电子认证系统体系架构、系统构成，定义了电子认 证系统各单元的结构和基本功能，规定了电子认证系统的基础安全防护措施，规范了电子认证业务流程 及相关协议。 本部分适用于指导人力资源和社会保障部门建设基于PKI技术的电子认证系统，有助于各级人力 资源和社会保障部门建立适用于人力资源和社会保障业务系统发展的电子认证体系。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T19771一2005信息技术安全技术公钥基础设施PKI组件最小互操作规范 GM0001一2005证书认证系统密码及其相关安全技术规范 信息技术安全技术密码术语（国家密码管理局） 数字证书认证系统密码协议规范（国家密码管理局） 3术语和定义 以下术语和定义适用于本部分。 3. 1 证书认证机构 certificationauthority CA 负责创建和分配证书，受用户信任的权威机构。用户可以选择该机构为其创建密钥。 3.2 数字证书 digital certificate 由权威认证机构进行数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一 些扩展信息的数字文件。 3.3 CA证书 CAcertificate 由一个证书认证机构给另一个证书认证机构签发的数字证书，一个证书认证机构也可以为自已签 发数字证书，这是一种自签名的数字证书。 3. 4 电子认证系统 electronicauthenticationsystem 证书认证系统certificateauthenticationsystem 对生命周期内的数字证书进行全过程管理的安全系统。 LD/T30.2—2009 3.5 证书撤消列表certificaterevocationlist CRL 标记一系列不再被证书发布者认为有效的证书的签名列表。 3.6 私有密钥privatekey 私钥 在公钥密码体制中，用户密钥对中仅为该用户持有的密钥。 3.7 public key 公开密钥 公钥 在公钥密码体制中，用户密钥对中公布给其他用户的密钥。 3. 8 证书验证 certificatevalidation 确定证书在指定的时间内是否有效的过程。证书验证包括有效期验证、签名验证以及证书状态的 检验。 3. 9 证书认证路径 certificationpath 在目录信息树中对象证书的一个有序的序列。路径的初始节点是最初待验证对象的公钥，可以通 过路径获得最终的顶点的公钥。 3. 10 证书载体 certificateentity 用于存储密钥和数字证书并具有密码运算功能的载体，包括智能密码钥匙（USBKey)和IC卡等。 3. 11 信任trust 通常，当一个实体（第一个实体)假设另一个实体（第二个实体)完全按照第一个实体的期望行动时， 则称第一个实体“信任”第二个实体。这种“信任”可能只适用于某些特定功能。本框架中“信任”的关键 作用是描述鉴别实体和认证机构之间的关系；鉴别实体应确信它能够“信任”认证机构仅创建有效且可 靠的证书。 3. 12 公开密钥基础设施 publickeyinfrastructure PKI 用公钥密码技术建立的普遍适用的基础设施，为用户提供证书管理和密钥管理等安全服务。 4缩略语 下列缩略语适用于本部分： CA 证书认证机构（CertificationAuthority） CRL 证书撤消列表（CertificateRevocationList) dCRL 增量证书撤消列表（delta-CRL) KMC 密钥管理中心（KeyManagementCenter） LDAP 轻量级目录访问协议（LightweightDirectoryAccessProtocol) RA 证书注册机构（RegistrationAuthority） 2 LD/T 30.2—2009 5电子认证体系的布局与结构 5.1总体布局 人力资源和社会保障电子认证体系由部、省、市三级电子认证系统组成，采用部、省两级电子认证模 式(见图1)。 部级电子认证系统 人力资源社会保障 电子认证根系统 密钥管理系统 证书注册 管理系统 证书签发管理系统 证书查验 证书查验 服务系统 服务系统 公共服务网 业务专网 网络隔离 业务专网 省级电子认证系统 省级电子认证系统（模式一） （模式二） 证书注册 管理系统 密钥管理 证书签发 证书注册 证书查验 证书查验 系统 管理系统 证书查验 管理系统 服务系统 服务系统 服务系统 证书查验 服务系统 公共服务网 公共服务网 业务专网 业务专网 网络隔离 网络隔离 业务专网 业务专网 证书注册管理系统 证书查验服务系统 证书注册点 市级电子认证系统（模式二） 市级电子认证系统（模式一） 图1人力资源和社会保障电子认证体系总体布局 人力资源和社会保障部建立人力资源和社会保障电子认证根系统（一级CA），作为人力资源 和社会保障网络信任体系的信任源点；建立部级电子认证节点（二级CA），包括：密钥管理系 统、证书签发管理系统、证书注册管理系统和证书查验服务系统等，为部本级和全国性应用系 统提供电子认证服务。 b) 省级电子认证系统可选择以下两种建设模式： 模式一：省级电子认证系统作为省级电子认证节点（二级CA），以人力资源和社会保障电子认 证根系统为依托，直接建立密钥管理系统、证书签发管理系统、证书注册管理系统和证书查验 服务系统。此模式为一个相对独立运行的电子认证系统，日常证书业务不与部级电子认证系 3 LD/T30.2—2009 统实时通信，但需由部级电子认证系统为其签发二级CA证书。 模式二：省级电子认证系统作为部级电子认证节点的延伸，建立证书注册管理系统和证书查验 服务系统，直接接入部级电子认证系统，所有数字证书由部级电子认证系统统一签发。 c) 市级电子认证系统作为省级电子认证系统的延伸，根据省级所选建设模式，可选择以下两种建 设模式： 模式一：在省级建设二级CA系统的基础上，建设证书注册管理系统、证书查验服务系统和证 书注册点等。 模式二：在省级建设二级CA系统或RA系统的基础上，建设证书注册点。 人力资源和社会保障电子认证体系总体布局如图1所示。 5.2电子认证系统的构成 人力