《网络安全技术公钥基础设施PKI组件最小互操作规范》编制说明

国家标准编制说明工作简况任务来源根据信安字[2023]17号全国信息安全标准化技术委员会关于2023年第一批网络安全标准项目立项的通知，《网络安全技术公钥基础设施PKI组件最小互操作规范》的编制工作由中国科学院大学牵头。该标准由全国网络安全标准化技术委员会归口。主要起草单位和工作组成员本标准制定由中国科学院大学牵头，北京数字认证股份有限公司、公安部第三研究所、中国科学院软件研究所、清华大学、广东省电子商务认证有限公司、深圳市电子商务安全证书管理有限公司、中科信息安全共性技术国家工程研究中心有限公司、联通在线信息科技有限公司、长春吉大正元信息技术股份有限公司、陕西省信息化工程研究院、格尔软件股份有限公司、国家信息技术安全研究中心、奇安信网神信息技术（北京）股份有限公司、杭州海康威视数字技术股份有限公司、中电科网络安全技术股份有限公司、北京中关村实验室、中国电子信息产业集团有限公司第六研究所、北京蓝象标准咨询服务有限公司等单位共同参与。主要工作过程2023年5月，中国科学院大学牵头成立标准起草组，提交网络安全国家标准申请书。2023年5月31日，信安标委2023年第一次工作组“会议周”通过立项评审。2023年7月4日，参加信安标委秘书处组织的立项专家评审会，通过评审。2023年8月30日，信安标委正式发出标准立项通知。2023年9月，征集标准参编单位，一共收到18家单位的申请。2023年9月26日，参加信安标委秘书处组织的立项相关目任务书评审会，通过评审，会后根据专家意见修改任务书。2023年10月15日，由标准牵头单位中国科学院大学在北京主持召开了标准编制第一次研讨会，形成第一版工作组草案稿。2023年10月27日，参加信安标委WG4工作组组织的专家评审会，通过评审，专家组对标准草案提出若干修改意见，覆盖范围、术语、概述功能要求、测评要求等，会后编制组根据专家意见对标准草案进行修改。2023年10月28日，由标准牵头单位中国科学院大学在北京主持召开了标准启动会，确定了参与单位和任务分工。2023年11月3日，信安标委2023年第二次工作组“会议周”通过，推进到征求意见稿阶段。2024年6月，网安标委2024年第一次工作组“会议周”汇报，会后编制组根据专家意见对标准草案进行修改。2024年7月，启动标准试点工作，征集试点参与单位，完成试点工作方案编制并召开启动会，明确试点任务分工及工作计划。2024年7月，参加网安标委组织召开的征求意见稿专家审查会，通过评审，专家组对标准草案提出若干修改意见，覆盖范围、术语、概念、测试评价方法等，会后编制组根据专家意见对标准草案进行修改。二、标准编制原则和确定主要内容的论据及解决的主要问题本标准基于以下原则编制遵循现行国家标准，采用和借鉴国内外先进标准本标准按国家标准GB/T1.1-2020规定的格式予以编写。贯彻国家有关政策与法规本标准中涉及的密码算法遵循国家商用密码的有关规定。本标准的主要内容本文件规定了公钥基础设组件最小互操作的基本功能要求和数据格式要求，给出了测试评价方法。本文件代替GB/T19771-2005《信息技术安全技术公钥基础设施PKI组件最小互操作规范》，与GB/T19771-2005相比，除结构调整和编辑性改动外，主要技术变化如下：标准名称调整为《网络安全技术公钥基础设施PKI组件最小互操作规范》；更改了“范围”的内容，重新界定了文件的标准化对象和所覆盖的各个方面，并更改了文件的适用界限（见第1章）；更改了“规范性引用文件”的文件，适应修订后文件内容（见第2章）；修改和删除了部分术语及缩略语（见第3章、第4章）；修改完善了四个PKI组件的基本功能要求，增加了对BYOD请求证书的功能要求，增加了验证证书的最小步骤要求，增加了对商用密码算法的支持（见第5章）；修改完善了第6章的技术内容；更改了数字证书的数据结构、证书扩展、证书撤销列表的格式要求，要求其符合GB/T20518-2018；删除了PKI事务消息格式的内容，要求其符合GB/T19714-XXXX；更改了PKI事务的消息内容（见第6章）；增加了对证书认证机构（CA）、证书注册机构（RA）、证书持有者、PKI客户的测评方法（见第7章）；删除了规范性附录A“X.509v3证书ASN.1”（见2005版的附录A）；删除了规范性附录B“证书和CRL扩展ASN.1”（见2005版的附录B）；删除了规范性附录C“ASN.1Modulefortransactions”（见2005版的附录C）；删除了规范性附录D“证书请求消息格式ASN.1Module”（见2005版的附录D）。3、本标准解决的主要问题公钥基础设施是在我国电子签名、电子签章和身份管理中广泛建设和应用，但互操作能力仍然难以达到足够的标准。因为电子签名引发的官司和行政诉讼仍时有发生，当前各应用和系统中PKI建设正在不断发展中，我国PKI自身及应用的最低基本要求需要规范，包括：证书认证机构、注册机构、证书持有者、PKI客户。本次修订主要解决以下问题：1）技术更新。对标准中过时的技术内容进行删除，并增加技术内容以支持PKI的安全保障能力，增加密钥管理的一些关键需求，以保证标准文档的技术先进性。2）文字质量。进一步完善原标准文档的文字质量，增强文本的规范性、逻辑性和严谨性。3）标准实施。增强标准的实用性和适用性。三、主要试验情况分析四、知识产权情况说明五、产业化情况、推广应用论证和预期达到的经济效果本标准作为基础共性网络安全技术，能为网络参与者提供身份识别与验证，广泛应用于电子签名、电子签章、身份管理等中的PKI的设计、开发、测试及其应用，具有广泛的适用范围。六、采用国际标准和国外先进标准情况国际标准中，与本标准最为相关的是NIST制定的FIPSSP800-15，本项目拟修订的原标准GB/T19771-2005在制定时参考了FIPSSP800-15。NIST在2021年对该标准进行了复审，考虑到美国信息系统厂商和服务厂商的垄断局面以及目前通用操作系统具备较强的标准引导能力，在广泛征集公众意见后认为标准的部分技术内容已经过时，因此决定废止该标准，并将其规范的内容指引到了另外的文件中。七、与现行相关法律、法规、规章及相关标准的协调性贯彻国家有关政策与法规本标准中涉及的密码算法遵循了国家商用密码的有关规定。与相关国内相关标准的关系本标准与我国现行的法律、法规及国家标准、国家军用标准、行业标准不存在冲突问题。八、重大分歧意见的处理经过和依据本标准目前未出现重大分歧。九、标准性质的建议推荐性国家标准。十、贯彻标准的要求和措施建议本标准的技术已较为成熟，制定完成后建议尽快发布。十一、替代或废止现行