卫生系统数字证书介质技术规范.doc

卫生系统电子认证服务体系系列规范-卫生系统数字证书介质技术规范（试行）卫生部办公厅2010年4月30日目 录1 范围32 安全机制32.1 证书介质初始化32.2 证书介质的安装注册32.3 介质口令管理32.4 扩展区要求32.5 介质类型要求33 软件要求33.1 证书介质接口33.2 安装程序53.3 卸载程序64 硬件技术指标6附录 (资料性附录) 名词解释71 范围本规范描述了在卫生系统中使用的数字证书介质的各项要求，包括对安全机制、软件要求、硬件技术指标要求等内容，用于指导电子认证服务机构在卫生系统内进行数字证书介质的定制和选型。2 安全机制2.1 证书介质初始化证书介质的初始化工具由各证书介质供应商提供。初始化工具应有两种形式：可执行的初始化工具和动态库接口文件。电子认证服务机构可根据动态库文件开发通用的初始化工具。2.2 证书介质的安装注册证书自动注册功能：要求证书介质内的证书可自动完成系统注册，即当证书介质插入电脑后，介质内证书自动注册到操作系统的证书存储区。拔出证书介质以后，证书自动从证书存储区删除。2.3 介质口令管理介质口令包括介质用户口令和介质管理员口令两类。电子认证服务机构应为用户提供的证书管理工具应具备校验介质用户口令和修改介质用户口令的功能。当用户连续10次输错介质用户口令后，证书介质必须自动锁死。介质用户口令锁死后，即使输入正确的口令也不能使用证书介质，必须使用介质管理员口令认证，为介质进行解锁，重新设置新的介质用户口令方可继续使用介质。介质用户口令和介质管理员口令的长度应为6-16位，电子认证服务机构应保证交付给用户的每个介质的管理员口令不同。2.4 扩展区要求证书介质内可创建用户私有文件区，要求可以在卡内保存用户私有文件，可实现扩展应用。对私有文件区操作时，用户应输入证书介质口令进行验证。证书介质私有扩展区的空间应不小于10K。2.5 介质类型要求卫生系统内禁止使用带存储型U盘的证书介质，以防止病毒传染和其他安全隐患。3 软件要求3.1 证书介质接口证书介质接口函数应遵守国家密码管理局智能IC卡及智能密码钥匙密码应用接口规范的函数定义和数据结构定义，提供设备管理、访问控制、文件管理和密码服务等相关密码服务接口。 3.1.1 设备管理类接口设备管理主要完成设备的等待、设备插拔、枚举、连接、断开、设置设备标签、获取设备信息、锁定设备、解锁设备操作。设备管理系列函数如表1所示：表1 设备管理类接口函数表函数名称功能SKF_WaitForDevEvent等待设备插拔事件SKF_EnumDev枚举设备SKF_ConnectDev连接设备SKF_DisconnectDev断开设备SKF_GetDevState获取设备状态SKF_SetLabel设置设备标签SKF_GetDevInfo获取设备信息SKF_LockDev锁定设备SKF_UnlockDev解锁设备3.1.2 访问控制类函数访问控制主要完成设备认证，修改设备认证密钥、校验PIN、修改PIN、解锁PIN和清除安全状态操作。访问控制系列函数如表2所示：表2 访问控制类接口函数表函数名称功能SKF_ChangeDevAuthKey修改设备认证密钥SKF_DevAuth设备认证SKF_ChangePIN修改PINSKF_GetPINInfo获得PIN码信息SKF_VerifyPIN校验PINSKF_UnblockPIN解锁PINSKF_ClearSecueState清除应用安全状态3.1.3 文件管理类函数文件管理函数用以满足用户扩展开发的需要，包括创建文件、删除文件、枚举文件、获取文件信息、文件读写操作。文件管理系列函数如表3所示：表3 文件管理类接口函数表函数名称功能SKF_CreateFile创建文件SKF_DeleteFile删除文件SKF_EnumFiles枚举文件SKF_GetFileInfo获取文件信息SKF_ReadFile读文件SKF_WriteFile写文件3.1.4 密码服务类函数密码服务函数提供对称算法运算、非对称算法运算、杂凑运算、消息鉴别码计算等功能。密码服务系列函数如表4所示：表4 密码服务类接口函数表函数名称功能SKF_GenRandom生成随机数SKF_GenExtRSAKey生成外部RSA密钥对SKF_GenRSAKeyPair生成RSA签名密钥对SKF_ImportRSAKeyPair导入RSA加密密钥对SKF_RSASignDataRSA签名SKF_RSAVerifyRSA验签SKF_RSAExportSessionKeyRSA生成并导出会话密钥SKF_ExtRSAPubKeyOperationRSA外来公钥运算SKF_ExtRSAPriKeyOperationRSA外来私钥运算SKF_GenECCKeyPair生成ECC签名密钥对SKF_ImportECCKeyPair导入ECC加密密钥对SKF_ECCSignDataECC签名SKF_ECCVerifyECC验签SKF_ECCExportSessionKeyECC生成并导出会话密钥SKF_ExtECCEncryptECC外来公钥加密SKF_ExtECCDecryptECC外来私钥解密SKF_ExtECCSignECC外来私钥签名SKF_ExtECCVerifyECC外来公钥验签SKF_GenerateAgreementDataWithECCECC生成密钥协商参数并输出SKF_GenerateKeyWithECCECC计算会话密钥SKF_GenerateAgreementDataAndKeyWithECCECC产生协商数据并计算会话密钥SKF_ExportPublicKey导出公钥SKF_ImportSessionKey导入会话密钥SKF_SetSymmKey明文导入会话密钥SKF_EncryptInit加密初始化SKF_Encrypt单组数据加密SKF_EncryptUpdate多组数据加密SKF_EncryptFinal结束加密SKF_DecryptInit解密初始化SKF_Decrypt单组数据解密SKF_DecryptUpdate多组数据解密SKF_DecryptFinal结束解密SKF_DigestInit杂凑初始化SKF_Digest单组数据杂凑SKF_DigestUpdate多组数据杂凑SKF_DigestFinal结束杂凑SKF_MacInit消息鉴别码运算初始化SKF_Mac单组数据消息鉴别码运算SKF_MacUpdate多组数据消息鉴别码运算SKF_MacFinal结束消息鉴别码运算SKF_CloseHandle关闭密码对象句柄SKF_Transmit设备命令传输3.2 安装程序电子认证服务机构提供的证书安装程序应满足以下要求：a) 安装程序中应包括必要的驱动、客户端证书应用接口、证书管理工具等内容，证书管理工具的功能至少包含修改介质口令和查看证书的功能。b) 安装程序的提示文字应简洁易懂、便于理解，安装菜单清晰合理、方便查找，操作系统桌面上应有证书管理工具的快捷方式。c) 安装程序支持主流操作系统，支持简体中文和英文两种语言。d) 安装程序要能够自动识别用户操作系统的版本并自动安装相应兼容性组件。e) 驱动程序安装后，添加的文件路径和注册表信息中要求带有厂商产品特有的信息或标记。3.3 卸载程序电子认证服务机构提供的证书卸载程序应满足以下要求：a) 可在开始菜单或控制面板的“添加/删除程序”中卸载程序。b) 卸载过程不需要用户手工干预，能自动完成卸载。c) 执行完卸载过程后，要求能正确清除掉开始菜单中的相关子菜单、控制面板中的相应卸载接口和相应的安装目录文件，但不能删除操作系统自带的库和注册表信息中原有的键值。d) 卸载程序不要自动执行重新启动计算机，但可卸载完成后提示客户手工重新启动计算机。4 硬件技术指标证书介质应达到表5规定的各项技术指标：表5 证书介质硬件技术指标标准名称必要条件备注存储容量=32K Bytes (32K型)CPU芯片位数=8位功耗=10万存储有效期(年)=10存放温度-4085工作温度070湿度要求10%90%室温下数据保存时间至少50年工作电压2.7V5.5V非对称算法应遵循国家相关规定，如RSA、SM2等。密钥对必须在芯片中生成，私钥不可导出。对称算法应遵循国家相关规定，如SSF33、SM1等。支持摘要算法应遵循国家相关规定，如SHA1、SHA256、SM3等。公钥私钥对生成时间=30秒数字签名和验证时间50kbpsRSA解密速度30kbps存储要求a) 公私钥对：=2个b) 必须在提供保护口令前提下才能访问密钥1个介质内至少可同时容纳2个数字证书2个公私密钥对。硬件真随机数发生器支持附录(资料性附录)名词解释1、数字证书数字证书（Digital Certificate），是由权威的电子认证服务机构进行数字签名的，包含拥有者信息、拥有者公开密钥、签发者信息、有效期以及一些扩展信息的数字文件。2、证书介质证书介质是指能够执行密码运算，能够生成密钥、存储密钥、证书和其它安全敏感信息的设备，如智能IC卡及智能密码钥匙 (即U