ICS 35.040 L80 LD 备案号：271122010 中华人民共和国劳动和劳动安全行业标准 LD/T30.5—2009 人力资源和社会保障电子认证体系 第5部分：证书载体规范 Human resources and social security electronic authentication system- Part 5 :Specification of digital certificate storage medium 2009-12-14发布 2010-03-01实施 中华人民共和国人力资源和社会保障部 发布 LD/T30.52009 目 次 前言 范围 规范性引用文件 3 术语和定义 缩略语 4 证书载体硬件规范 5.1基本技术要求 5.2管理要求 5.3安全机制 6证书载体软件规范 6.1应用接口 .. 6.2安装与卸载 附录A（资料性附录） 证书载体接口函数规范 附录B（资料性附录） 证书载体外观 LD/T30.52009 前言 为适应人力资源和社会保障信息化发展要求，满足人力资源和社会保障网络信任体系建设和管理 的需要，人力资源和社会保障部组织并制定了LD/T30一2009《人力资源和社会保障电子认证体系》。 网络信任体系包括电子认证体系、授权管理体系和责任认定体系，本标准主要描述了人力资源和社 会保障电子认证体系相关内容，包括以下五个部分： 一第1部分：框架规范； 一第2部分：电于认证系统技术规范； 一一第3部分：证书及证书撤消列表格式规范； 一第4部分：证书应用管理规范； 一第5部分：证书裁体规范。 本部分为LD/T30-2009的第5部分。 本部分主要描述了证书载体的技术指标，包括硬件规范和软件规范，并规定了证书载体的相关接口 和外观规范。 本部分重点引用了《智能IC卡及智能密码钥匙密码应用接口规范》，并在此基础上，扩展了证书载 体基本技术要求、证书载体管理要求、软件的安装卸载以及证书载体外观设计要求等相关内容，从满足 人力资源社会保障业务需求的角度，对本行业发放的证书载体的软硬件和外观提出规范和要求。 本部分由中华人民共和国人力资源和社会保障部信息中心提出并归口。 本部分主要起草单位：中华人民共和国人力资源和社会保障部信息中心、上海市人力资源和社会保 障局信息中心、北京数字证书认证中心、维豪信息技术有限公司。 本部分主要起草人：赵锡铭、戴瑞敏、贾怀斌、翟燕立、李丽虹、吴问滨、黄勇、吕丽娟、许华光、罗震、 张加会、靳朝晖、陆春生、李永亮、宋京燕、李冰松、耿建军、杜守国、欧阳晋、林雪焰、李述胜、顾青、宋成。 本部分凡涉及密码相关内容，均按国家有关法规实施。 LD/T30.52009 人力资源和社会保障电子认证体系 第5部分：证书载体规范 1范围 LD/T30的本部分描述了在人力资源和社会保障系统中使用的证书载体的各项要求，包括硬件要 求、软件要求、管理要求、安全机制以及相关接口标准等内容。 本部分适用于人力资源社会保障证书载体的设计、应用开发、使用和检测。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GM0001一2005证书认证系统密码及其相关安全技术规范 信息技术安全技术密码术语（国家密码管理局） 智能IC卡及智能密码钥匙密码应用接口规范（国家密码管理局） 3术语和定义 以下术语和定义适用于本规范。 3. 1 证书载体certificate entity 用于存储密钥和数字证书并具有密码运算功能的载体，包括智能密码钥匙（USBKey)和IC卡等。 3. 2 容器 container 特指密钥容器，是一个用于存放非对称密钥对和证书的逻辑对象。每个用户对应一个密钥容器，与 用户相关的非对称密钥对和证书存放于该密钥容器，每个容器中最多可以存放一对加密密钥对和一对 签名密钥对以及一张加密证书和一张签名证书。 3. 3 证书撤消列表 certificaterevocationlist CRL 标记一系列不再被证书发布者认为有效的证书的签名列表。 3. 4 数字证书digitalcertificate 由权威认证机构进行数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一 些扩展信息的数字文件。 3.5 加密encrypt 通过密码算法对数据进行变换来产生密文，以便隐藏数据的信息内容。 1 LD/T30.5—2009 3. 6 解密decrypt 与一个可逆的加密过程相对应的反过程。该过程使用适当的密钥，将已加密的文本转换成明文。 3.7 数字签名digital signature 附加在数据上的签名数据，或是对数据所作的密码变换，用以确认数据来源及其完整性，防止被人 （例如接受者）进行伪造。 3.8 加密密钥对exchangekeypair 用来对会话密钥进行加密和解密的公/私密钥对，使用加密密钥对的公钥加密会话密钥，加密后的 会话密钥传给接收者，接收者使用加密密钥对的私钥解密出会话密钥。 3. 9 密钥交换keyexchange 通信实体间交换密钥的过程。 3. 10 消息鉴别码 messageauthentication code MAC 又称消息认证码，是消息鉴别算法的输出。 3. 11 公钥publickey 在公钥密码体制中，用户密钥对中公布给其他用户的密钥。 3. 12 私钥privatekey 在公钥密码体制中，用户密钥对中仅为该用户持有的密钥。 3.13 RSA算法rivest-shamir-adlemanalgorithm 一种基于大整数因子分解问题的公钥密码算法。 3.14 会话密钥sessionkey 处于层次化密钥结构中的最低层，仅在一次会话中使用的密钥。 3.15 签名密钥对 signaturekeypair 用来对消息进行数字签名的公/私密钥对，用于消息鉴别。 3.16 公开密钥基础设施 Epublickeyinfrastructure PKI 用公钥密码技术建立的普遍适用的基础设施，为用户提供证书管理和密钥管理等安全服务。 3. 17 信任trust 则称第一个实体“信任”第二个实体。这种“信任”可能只适用于某些特定功能。本框架中“信任”的关键 作用是描述鉴别实体和认证机构之间的关系；鉴别实体应确信它能够“信任”认证机构仅创建有效且可 靠的证书。 2 LD/T30.5—2009 缩略语 下列缩略语适用于本部分： 应用程序接口，简称应用接口（ApplicationProgramInterface) CA 证书认证机构（CertificationAuthority） CSP 加密服务提供者（CryptographicServiceProvider) CRL 证书撤消列表(CertificateRevocationList) PKCS 公钥密码标准（thePublic-KeyCryptographyStandard) PIN 个人身份识别码（PersonalIdentificationNumber） Admin PIN 管理员PIN User PIN 用户PIN PKCS#11 公钥密码使用标准系列规范中的第11部分，为执行密码函数的设备确定了一种程 序设计接口 5 证书载体硬件规范 5. 1 基本技术要求 证书载体的基本技术要求如表1所示： 表1讠 证书载体基本技术要求 名 称 要 求 备 注 存储容量 ≥32KBytes(32K型) CPU芯片位数 ≥8 位 功耗 <400mW ISO 7816-4 a) 国际标准 b) PKCS#11 Microsoft CryptoAPI a) 微软标准 b) Cryptographic Service Provider Microsoft CryptoAPI a) 编程接口 b) PKCS#11API 符合GB/T20518—2006《信息安全技术 证书格式 公钥基础设施数字证书格式》 硬件接口 符合USB接口规范，不需额外插电 USB1.1以上的规格 读写次数(次) ≥10万 存储有效期(年) ≥10 存放温度 -40℃～70℃ 工作温度 0~60℃ LD/T30.5—2009 表1 证书载体基本技术要求（续） 名 要 求 备 注 湿度要求 10%~90% 室温下数据保存时间 至少50年 工作电压 2.7V~5.5V 适用浏览器 IE6.0以上各种版本 WindowsXP，window2000,windows2003, 适用操作系统 支持简体中文、繁体中文、英文 Linux，Vista及以上版本 遵循国家相关规定，密钥对必须在芯片中生 非对称算法 如RSA、SM2等 成，且私钥不可导出 对称算法 遵循国家相关规定 如SSF33、SM1等 杂奏算法 遵循国家相关规定 如SHA-1、SHA256等 公钥私钥对生成时间 ≤30 s 数字签名和验证时间 <1 s/次 密钥的签名验证速度 RSA加密速度 >50 kbit/s RSA解密速度 >30 kbit/s a) 公私钥对：≥2个 证书载体容器至少可同时存储2张 存储要求 b) 数字证书：≥2张 数字证书和2个密钥对，以支持双 扩展区文件：≥10K 证书 管理员登录认证后，方可解锁用户PIN b) 用户登录认证后，方可产生密钥对、导 安全性要求 人密钥和证书，使用密钥和证书 用户口令连续10次输错后应自动锁死 c) 硬件真随机数发生器 支持 5.2管理要求 5.2.1证书载体初始化 证书载体的初始化就是对证书载体进行区间划分，使证书载体按照相关规范进行初始