投标人须知及采购需求

米购需求

（仅供参考，最终以招标文件为准）

前注：

1、本采购需求中提出的服务方案仅为参考，如无明确限制，投标供应商可以进行优化，

提供满足采购人实际需要的更优（或者性能实质上不低于的）服务方案，且此方案须经评

标委员会评审认可；

2、投标供应商应当在投标文件中列出完成本项目并通过验收所需的所有各项服务等明细

表及全部费用。中标供应商必须确保整体通过采购人及有关主管部门验收，所发生的验收

费用由中标供应商承担；投标供应商应自行勘察项目现场，如投标供应商因未及时勘察现

场而导致的报价缺项漏项废标、或中标后无法完工，投标供应商自行承担一切后果；

3、如对本招标文件有任何疑问或澄清要求，请按本招标文件“投标供应商须知前附表”

中约定方式联系安徽省政府采购中心，或接受答疑截止时间前联系采购人，否则视同理解

和接受，开标后安徽省政府采购中心不再受理对招标文件条款提出的质疑。

一、项目概况

（一）全省地税系统230703户网上办税企业纳税人数字证书、存储介质及使用费（为

期一年，自证书发放使用之日起）。

为保证服务质量，本项目拟招选两名中标供应商，分片提供数字证书和存储介质。

有效投标供应商不足二家的，本项目流标.

1、第一中标供应商负责范围。合肥、广德、宿松、省直属局等单位所辖纳税人共127076

户采购数字证书、存储介质及一年使用费（合同签订之日起）。

2、第二中标供应商负责范围。蚌埠、淮南、马鞍山、铜陵、安庆、黄山、宿州、六安、

池州、宣城等单位所辖纳税人共103627户采购数字证书、存储介质及一年使用费（合同

签订之日起）。

具体数字证书数量地区分布见下表:

单位采购数字证书户数

合肥125214

广德814

第一中标供应商负责

宿松542

区域

省直属局506

小计127076

蚌埠19005

第二中标供应商负责淮南13116

区域马鞍山14396

铜陵5950

安庆9610

黄山10321

宿州9093

六安13533

池州3921

宣城4682

小计103627

上表中数字仅供参考，实施时根据各地实际数量实施。

（二）纳税人端服务

本项目中标人按所负责区域提供下列服务：

1、为使用中标数字证书的企、也纳税人提供国家法律法规规定的电子认证服务（为期一

年，自证书发放使用之日起），包括但不限于为网上办税企业纳税人数字证书的操作、使

用提供企业端现场培训和远程技术支持服务，保证企业纳税人使用数字证书进行网上办税

工作安全、简单、快捷的开展。

2、为使用中标数字证书的企业纳税人端应用（电子税务局、通用机打发票）提供操作

培训、电话及远程问题解答和应用支持（400电话、网络等）及疑难问题现场解决支持服

务；负责收集、整理使用中标数字证书的企业纳税人端应用意见、建议，并及时报送各级

税务机关。

3、合同期限内，中标人派驻专业技术人员（2人）到省地税局进行现场值守，为全省

地税系统广大税干和纳税人提供数字证书技术支持服务。

4、对于本次招标中，当前已经使用数字证书的纳税人，中标人承诺在纳税人证书到期

后免费办理换证并提供支持服务。

5、中标人须在省地税局建设数字认证平台（由中标人在省地税局自费建设数字认证平

台，并承担数字认证平台与省地税局相关核心应用系统接口所有开发费用），费用含于投

标报价内。

6、省地税局将对中标人在项目实施期间的各类服务开展服务质量考评，根据《服务质

量考核细则》（详见附件）予以评分。评分结果与中标人的履约保证金挂钩。

二、项目报价

本次招标报价内容包含：

1、每户USBKey介质一次性费用单价、合计价格（等于单价X230703）。

2、每户每年数字证书使用及服务费用单价、合计价格（等于单价X230703）。

投标供应商报价为以上1、2两项“合计价格”之和。

签订合同时，合同价款等于以上1、2两项“单价”之和X实际负责区域采购数字证书

户数。技术要求

（一）数字认证平台建设需求（在安徽地税建立的数字认证平台需按照以下标准自行

建设）

1.系统总体功能：数字认证服务平台由中标人自建，所有设备应为双机热备，消除

单点故障（需两台高性能加密机）。该平台为全省地税系统各类应用软件系统统一数字认

证服务，通过统一的接口服务供各类应用系统调用。具体功能如下：

（1）权限管理：主要提供各类权限管理内容。包含如下管理内容：

（2）应用管理：主要负责需要平台提供服务的应用系统的配置，有应用新增、更新、

删除等功能；

（3）证书管理：主要提供数字证书的查询、保存、与同步等管理功能。

（4）用户管理：主要提供用户绑定对应数字证书，包括证书绑定、更新等。

（5）授权功能：主要提供用户和应用系统在平台中权限的管理，授权使用各类服务。

（1）证书、用户统计报表：对证书信息、用户信息的查询统计及报表生成

（2）用户审核：操作员审核系统用户权限

（6）PK1应用管理：主要配置各类PKI的应用，如时间戳等放入平台为应用系统提供

服务，主要有PKI应用新增、更新、删除等。

（1）数据加解密：提供应用数据的加解密服务，部署加密解密数据处理模块。

（2）证书解析：为应用系统解析证书，返回请求的证书内容，部署数字证书处理模

块。

（3）签名验签：提供签名、验证签名的服务，部署签名/验签服务器。

（4）凭证生成：生成认证授权令牌，供应用系统通过接口进行解析，获取权限。

（5）单点登录：实现基于授权令牌方式的单点登录功能。

（7）平台管理：主要为平台提供各类维护配置功能。

1日志审计：提供系统日志、报错日志、统计数据等。

2系统管理：系统口常管理配置，如系统更新、系统重启等。

3设备管理：主要负责配置平台内硬件设备，如加密机、时间戳服务器等。

4统一门户：认证入口和门户界面。

（8）服务提供接口：主要是提供出一组服务，便于应用系统调用。

A、签名接口：接收应用上送的待签名数据，调用平台签名/验签服务器，完成签

名，返回应用结果。

B、验签接口：接收应用上送的待验签名数据，调用平台签名/验签服务器，完成

签名验证，返回应用结果C

C、数字证书解析接口：接收应用上送的数字证书，调用数字证书处理模块，解析

数字证书内容，返回应用所请求的内容，例如纳税登记号，组织机构代码证号，单位名称

等内容。

D、加密接口：接收应用上送的待加密数据，调用加解密数据处理模块，对数据进

行加密，返回应用加密后的密文数据。

E、解密接口：接收应用上送的待解密数据，调用加解密数据处理模块，对数据进

行解密，返回应用解密后的明文数据。

F、数字信封接口：接收应用上送的待组封/苏封数据，调用加解密数据处理模块,

对数据进行组封/拆封，返回应用处理后的数据。

G、数字证书应用申请开通接口：根据同步的数字证书，向应用申请开通应用功能。

H、数字证书应用更新开通接口：根据同步的更新的数字证书，向应用申请更新数

字证书开通应用功能。

1、统计接口：根据应用的相应查询请求，提供应用数据统计内容。

服务提供接口以模块化形式配置，可根据税局业务的需要可进行定制开发，灵活配置。

2、USBKEY介质要求：

详见附件一：USBKEY介质技术要求。

3、应用程序开发需求

数字证书平台为各应用程序提供统一的接口服务和人员的技术支持，接口服务调用应

按照以下要求：

（1）支持基于Java平台的API接口调用；

（2）前台证书读取的接口方式统一（建议统一使用U-KEY方式）；

（3）有统一的接口调用方式，调用方只需要调用API提供的接口进行加签验签操作;

（4）报文格式统（如：统使用XML格式进行报文交互）；

（5）有完善的技术开发文档和技术人员支持；

4、性能要求

数字认证服务平台需容纳全省50万（未来扩展到100万）企业纳税人网上办税数字

认证服务。

5、加密机性能要求

（1）高速加密机性能指标

满足安徽地税网上办税纳税人数字认证应用需求，所使用的算法复合国家密码管理局

的相关要求。

（2）高速加密机物理参数

产品规主机加密服务器

3U

参数指

网络10/100/1000Mb*2

串口1个（RS232）

工作电压220V

功耗300瓦

工作温度1035℃

工作湿度15%—80%

存储温度-10℃—65℃

存储湿度10%--90%

重量12千克

工作时限（MTBF）50000小时

（二）数字证书技术要求

签发的用户证巾遵循X.509V3规范，采用双证书双密钥机制，同时提供灵活的扩展域

定制功能；数字证竹须支持电子政务电子认证源点的管理。

1、产品特性需求

（1）支持主流的操作系统，如Win95/98、Win2000、作nN统SCOUnix.SUNSolaris、

Linux、AIX>FreeBSD>AS400、HPUnix等操作系统环境,对主机类型除要求支持TCP/IP

通信协议外无其他任何特殊要求。

（2）支持多种标准接口，如PKCS#lkMSCSP、JCE、X.509,数字证书等接口，要

求完成兼容性测试并应提供基于该产品底层接口封装的函数接口。

（3）支持多种密码算法，包括非对称算法SM2运算，快速分组算法SMI、SSF33和SM3

等算法。

（4）支持TCP/IP协议，可以应提供高效安全的加密服务。

（5）安全硬件设备串口连接模式的管理，更安全，方便。

（6）分级权限管理，设置管理员和操作员，分别赋予不同的权限，实行分割管理和

权限控制。

（7）高口令安全性，对管理员和操作员身份通过USBKEY进行识别。

（8）密钥必须为安全的方式存储，密钥不以明文形式出现在磁盘及内存中，即使受

到攻击，也能保证密钥的安全。

（9）硬件设备支持高可靠性，双机热备，具有高效的冗余处理机制。

（10）应提供友好的管理界面，更加容易方便的进行主机加密服务器密钥及服务的管

理操作。

（11）提供完善的升级服务，可以方便可靠的进行产品升级。

2、支持算法需求

（1）公开密钥算法一一支持SM2等算法。

（2）对称密钥算法一一支持SMI、SSF33等对称算法。

（3）支持SM3等哈希算法。

3、支持接口需求

（1）国际通用标准接口，支持所有主流操作系统平台，应提供各种通用标准对称加解

密、非对称加解密、数字签名、HASH算法等符合国家密码管理局规定的算法。

（2）主机服务器底层调用接口，支持所有主流操作系统平台，应提供完善的底层密

码运算函数，应用灵活高效。

（3）微软CSP接口上层CryptoAPI接口

（4）微软的CryptoAPI编程接口，嵌入供应商底层CSP模块，可直接通过上层

OyptoAPI访问供应商底层加密设备。应用于Windows系列操作系统。

（5）JCE接口

（6）国际通用标准接口，JAVA编程语言，应提供完善的统一的安全应用解决方案。

（7）应提供X.509等其它国际标准接口。

（8）应提供WebService接口

（9）与数字证书应用接口无缝衔接。

4、关键技术需求

（1）快速分组算法

要求采用国家密码管理委员会办公室开发的分组算法密码芯片，实现了分组长度和密

钥长度分别为128比特的SSF33分组算法。

（2）SM1分组算法

该算法是国家密码管理部门审批的SM1分组密码算法，分组长度和密钥长度都为

128比特。

（3）SM2椭圆曲线公钥算法

该算法是国家密码管理部门审批的非对称密码算法，是基于ECC算法的非对称算法。

（4）高质量随机数

随机数的质量直接影响到整个系统的安全性，加密设备（USBKEY、加密机、加密卡）

均需采用了国产的随机数发生器芯片，可以产生高质量的随机数。

（5）分级权限管理

支持分级权限管理，设置密钥管理员和操作员，分别赋予不同的权限，实行分割管理

和权限控制。

（6）安全密钥存储

要求加密设备（USBKEY、加密机、加密卡）中的密钥都是经过加密后保存在电子存

储元件中，保证了密钥存储的安全性。并且在内部的程序设计上，也不允许密钥以明文形

式输出，进一步提高了密钥的安全性。在管理上，主机加密服务器要求必须超过半数管理

员同意后才可以更新密钥，防止了密钥的非法修改和破坏。

（7）多机并行及热备

系统部署要求多台主机加密服务器可以在同一系统内同步运行，还应具有热备功能，

在运行过程中可以实现系统的完全同步，如果有一台发生故障不会影响系统的正常运行。

（8）灵活的备份机制

在满足管理员权限的情况下可以选择多种备份方式，可以采用备份方案，并且应提供

可以灵活扩展的备份机制，

（9）安全的通信机制

要求客户端主机在调用系统服务器进行业务调用时需要握手通过，即需要验证口令通

过，同时验证版本号的兼容性，保证通信的安全和可靠性。

（三）业务受理点建设需求

LRA（业务受理点）与电子认证机构的RA服务器组成B/S架构，采用web浏览器方式

（需使用https协议）登录到RA服务器上，完成证书的录入、审核及下证操作。

（四）数字认证服务需求

1、证书业务服务

提供数字证书全生命周期管理服务，包括证书的申请、发放、更新、吊销、证书解锁、

密钥恢复等。证书信息查询服务：提供网络查询方式，为企业纳税人数字证中用户提供数

字证书查询服务，查询结果内容为数字证书状态信息及证书基本信息；提供CR二证书撤销

列表查询服务。

1.技术支持服务

投标供应商应拥有一支业务熟练、技术过硬的技术支持队伍，可以对用户提出的各种

数字证书问题进行解答和处理，提供以呼叫中心为主的电话支持（至少10人以上的400

或800呼叫中心），此外对疑难问题可进行远程协助支持或上门服务应急响应机制，为客

户提供上门服务，进行现场支持，保证服务本地化，提高对客户的服务响应能力。

3、服务保障

（1）组织保障：投标供应商需建立独立的地税行业技术服务中心，下设技术组、制证

受理组及售后服务组，能够为省级平台及各市证书应用提供全方位的服务支撑,

（2）制度保障：投标供应商需建立完整的技术与运营服务保障制度，并采取有效的保

障措施，从制度和流程上规范电子认证服务。

（3）安全保障：投标供应商应从安全保障方面加强内部管理和控制，保证证书业务稳

定性和连续性，并建立备份及审计机制，确保电子认证服务的应急恢复及责任追溯。

四、其他事项

（一）投标供应商如为异地跨区域提供服务，应当将拟开展服务的范围和对象等情况，

提前十个工作日将拟开展服务的范围和对象等情况，书面告知安徽省省级密码管理部门，

并在开展认证服务后二十个工作日内，向安徽省省级密码管理部门备案。不要求回复材料，

投标文件中须提供承诺函，承诺函格式如下。未提供承诺函的，投标无效。

承诺函

安徽省政府采购中心：

安徽省地税局：

我司承诺:根据《电子政务电子认证服务管理办法》（试行）第二十三条的规定，我司已于年月

口，就我司参加“2016年全省地税系统网上办税数字证书及相关服务”项目招标的情况，包括拟开展

的服务范围和对象情况，已向安徽省密码管理局书面告知。如有不实，我司愿意承担一切法律责任。

签章：

年月日

（二）存储介质业绩承诺

投标供应商须承诺其所投存储介质须能灌装国家税务总局数字证书，并可以在国家税

务总局身份认证系统中正常使用，投标文件中须提供存储介质业绩承诺函，格式自拟，未

提供承诺函的，投标无效。

（三）其他相关承诺

1、本次招标中的存储介质归属省地税局所有。

2、所投数字证书介质应支持国家税务总局数字证书，必须完成与国家税务总局身份认证

系统联调测试。

3、投标供应商须承诺免费提供“数字认证平台”与安徽地税业务系统接口软件开发和后

续技术服务，免费提供安徽地税各应用系统开发现场技术支持服务。

4、投标供应商应承诺所推荐系统的可靠性、可用性、可扩展性，并承诺确保提供长期技

术支持和售后服务。

5、投标供应商具有不低于10人的400或800呼叫中心，以保证中标后迅速、顺利实施到

位以保证为全省各地网上办税纳税人提供方便、快捷的本地化服务。

6、投标供应商应承诺如果中标，合同期限内，中标人派驻专业技术人员（2人）到省地税

局进行现场值守，为全省地税系统广大税干和纳税人提供数字证书技术支持服务。在全省

各市设立办事处（不少于2人），为纳税人提供各项技术支持服务。

7、投标供应商须承诺已经列入《电子政务电子认证服务机构目录》，合同签订后，中标人

须提供其列入《电子政务电子认证服务机构目录》的证明材料供采购人审核。

（三）投标供应商应在投标文件中提交技术方案，未提供投标无效。

方案中应根据本招标文件的内容详细阐述本项目的整体解决方案，包括数字证书交付和支

持、安全应用支撑、服务规范和技术规范、服务监管、售后服务和培训计划等内容。

附件一：USBKEY介质技术要求

1基本技术要求

1.1产品要求

符合《商用密码管理芸例》规定，具有国家密码管理局颁发的商用密码产品型号证书。

1.2芯片硬件要求

USBKEY产品安全芯片需采用国家密码管理局认证的32位国产智能卡芯片；内置硬件

随机数发生器，用以产生真随机数。

1.3算法要求

产品内部硬件支持1024/2048位RSA和SM2非对称算法,支持SSF33、SMI、SM3、SM4

等国密算法，其中国密算法需要经过国密检测机构的检测认证。支持DES、3DES等对称算

法和SHAT、SHA256摘要算法。

1.4功能要求

USBKEY产品内部COS具有自主知识产权，可根据需求进行定制修改；支持证书的导入、

导出、安全存储；支持签名、验证、加密、解密等功能；支持多种类型的密钥、支持多个

密钥的安全存储；支持多应用，每个应用之间相互独立；每个容器至少可同时容纳2个数

字证书及2对公私密钥对，支持根证书的存取；提供用户版USBKEY管理工具；无驱设计,

即插即用，支持热插拔；支持插KEY自弹登录网站。

1.5标准要求

遵循IS07816相关标准；符合USB2.0规范，兼容USB1.1,兼容3.0规范接口；支持

CSP和PKCS#11接口规范,支持微软操作系统标准证书应用;支持X.509v3,SSLv3,IPScc

等规范。

1.6安全要求

支持在卡内生成公私钥对，COS内部无固化RSA密钥对和保留用于生成密铁对的素数;

满足安全状态后，可以使用私钥，私钥不可以以任何方式导出；支持从卡外写入私钥，写

入私钥时，需用安全机制保证私钥写入的安全；具有多种的安全机制保证密钥、敏感数据

和逻辑流程的安全；支持双因子身份认证；具有用户PIN口令和管理员PIN重复输入错误

6次锁定的功能，提供解锁用户PIN的功能；PIN码在PC和USBKEY之间密文传输，KEY中

密文验证；PIN口令不可读出。

1.7兼容性要求

支持Window2000/2003/2008/XP/Vista/Win7/Win8等32位和64位中文、英文、繁体

操作系统；支持各种主流浏览器使用，如InternetExplorer,Netscape,Mozilla,Firefox

等：同一台PC中同时插入多个USRKEY,能够自动识别，相互不发生影响，避免与其它厂

商类似产品或本厂家其它版本产品产生资源冲突。

1.8物理电器特性要求

内容指标

电源USB总线供电，无需额外电源

工作电流<=100mA

工作电压4.5〜5.5V

工作环境温度0〜55℃

存放温度-25-70℃

工作环境湿度0〜99%,不凝结

工作时表面温度<50℃

抗静电特性（ESD）>4000V

耐化学性、耐紫外线、耐磁符合ISO7816T规范

数据存储时间210年

可擦写次数>10万次

1.9性能要求

内容指标

用户空间232KB

RSA签名/解密速度（1024位）力15次/秒

RSA验签/加密速度（1024位）,20次/秒

RSA密钥对平均生成时间（1024位）<2秒

RSA签名/解密速度（2048位）25次/秒

RSA验签/加密速度（2048位）220次/秒

RSA密钥对平均生成时间（2048位）V12秒

SM2私钥签名24次/秒

SM2公钥验证N2次/秒

SM2公钥加密22次/秒

SM2私钥解密24次/秒

SM2密钥对平均生成时间22次/秒

SM1加解密速度（ECB模式）>200kbps

2中间层接口扩展要求

2.1总体要求

考虑与国家税务总局身份认证系统兼容性问题，USBKEY产品的中间层软件需支持下列

接口：扩展的CSP、PKCS#11以及国家密码管理局颁布的《智能密码钥匙密码应用接口规

范》（以下简称国标接口），其中扩展的CSP接口和国标接口为必选项。

PKCS#11接口、国标接口和CSP接口必须进行适当的扩展，以适应税务系统的特殊应

用环境。

2.2PKCS#11与CSP的对应关系

PKCS#11中的密钥和证书以Lable标识，而CSP中的密钥和证书用密钥容器和密钥号

标识，为实现PKCSffll和CSP的互联互通，按照如下规则设置PKCSttll的Label和CSP的

密钥容器名：PKCS#11中Lable的前16字节或以'分隔的字串对应CSP中的一个容器

名，Label的后半部分与CSP的密钥标识相对应，对应关系如下：

•“RSAKey1”对应CSP中标识为AT_KEYEXCHANGE的RSA密钥；

•"RSAKey2”对应CSP中标识为AT_SIGNATURE的RSA密钥；

・“SM2Keyl”对应CSP中标识为AT_KEYEXCHANGE的SM2密钥；

•“SM2Key2”对应CSP中标识为AT_SIGNATURE的SM2密钥；

•"Certl”对应CSP中标识为AT.KEYEXCHANGE的公钥证书；

•“Cert2”对应CSP中标识为ATSIGNATURE的公钥证书；

•"CerlO”对应CSP中的CA证书（参见CSP接口说明）。

例LLabel：“CTASOOOl&RSAKeyl”

对应CSP的密钥容器"CTASOOO1”中的RSA加密密钥。

例2：Label：<<CTAS000000000002Cert2v

对应CSP的密钥容器”CTAS000000000002"中的签名证书。

2.3国标接口与CSP接口的对应关系

国标接口中以应用、密钥容器和密钥用途对密钥进行管理，以文件形式对证书进行管

理，而CSP中的密钥和证书用密钥容器和密钥号标识，为实现国标接口和CSP的互联互通,

按照如下规则设置国标接口的应用名、容器名和CA证书文件名：

1.国标接口中的应用名在CSP中不使用；

2.国标接口中的容器名与CSP中的容器名完全对应，由上层应用保证不同应用之间的

容器名不会重复；一个容器中至多保存两对公私钥，一对为加密密钥，另一对为签名密钥。

3.国标接口中密钥用途与CSP中的密钥标识对应：

•加密密钥对应CSP中标识为ATKEYEXCHANGE的密钥

•签名密钥对应CSP中标识为ATSIGNATURE的密钥

•加密证书对应CSP中标识为ATKEYEXCHANGE的公钥证书

•签名证书对应CSP中标识为AT_SIGNATURE的公钥证书

4.国标接口中通过扩展接口存取CA证书，扩展接口参数中包含对应容器的句柄。

5.国标接口中每个应用下有一个用户PIN和一个管理员PIN,CSP接口中打开设备时

需打开容器，使用该容器所在应用下的PIN。

2.4CSP接口

2.4.1算法标识

国产算法SSF33、国1、SM2、SM3、SM4算法名称和标识定义如下:

算法算法名称算法标识标识值

SSF33算法“5SF33”CALG_SSF330x6621

SMI算法“SM1”CALG_SM10x6681

SM2加密算法“SM2E”CALG_SM2_KEYX0xA082

SM2签名算法“SM2S”CALGSM2SIGN0x2082

SM3算法“SM3”CALG_SM30x8083

SM4算法“SM4”CALG_SM40x6684

2.4.2数据类型

CSP中与SM2有关的公钥和私钥的导入导出，数字签名和数据加解密的数据格式与国

家密码管理局《智能IC卡及智能密码钥匙密码应用接口规范》中规定的一致。

与SM2有关的字节数纽均采用高位字节在前（Big-Endian）方式存储和交换。

常量ECC_MAX_MODULUS_BITS_LEN、

ECCJfAX_XCOORDINATE_BITS_LEN、

ECC_^X_YCOORDINATE^BITS_LEN和密钥长度位数均取值256。

2.4.3填充方式

在调用函数lyptEncrypt进行对称加密时，若置参数Final为TRUE,则应先按PKCS#7

格式进行填充（填充字节数P=k-l%k,填充的每个字节内容为p,其中k为分组长度，

1为数据长度），再加密。

在调用函数lyptDeuypt时，若置参数Final为TRUE,则解密后，应去掉填充，返

回实际明文。若检测到填充不合法，应返回错误。

2.4.4口令验证

定义结构:

struct{

charPin[16];//口令

shortPinLen;//口令长度（字节数）

)

通过函数调用验证USBKEY口令，并立即返回验证结果:

CryptSetProvParam(hProv,dwParam,(BYTE*)pin,0);

其中

hProv为已打开的设备句柄

dwParam=PP_VERIFY_PIN

(自定义PPVERIFYPIN=0x80000004)

pin指向上述口令的结构。

成功返回TRUE,失败时返回FALSE,并置错误码0x801063Cx,其中x为口令的可重试

次数，当x为0时，表示USBKEY被锁死或已锁死。

2.4.5口令修改

在实际应用中，用户需要在应用程序中验证并修改USBKEY用户口令。新旧口令由以下

结构定义：

struct(

charoldPin[16];//原口令

shortoldPinLen;//原口令长度(字节数)

charnewPin[16];//新口令

shortnewPinLen;//新口令长度(字节数)

)；

通过如下函数调用修改USBKEY口令：

CryptSetProvParam(hProv,dwParam,pPin,0);

其中：

hProv为已打开的设备句柄(以可读写的方式打开)；

dwParam=PP_CHANGEPIN,

(自定义PP_CHANGE_PIN=0x80000005)；

pPin为指向上述口令结构的指针。

修改成功时，返回TRUE,修改失败时，返回FALSE,并置错误码：当旧口令验证错误

时置错误码0x801063Cx,其中x为口令的可重试次数，当新口令格式错误时置错误码

SCARD_E_INVALID_CHV(=Ox8010002A)。

2.4.6CA证书读取

在USBKEY中写入CA证书，CA证书与密钥容器有关。

通过如下函数调用读取CA证书：

CryptGetProvParam(hProv,dwParam,pbCert,&len,0);

其中

hProv为已打开的设冬句柄；

dwParam=PPCACERTIFICATE,

(自定义PPCACERTIFICATE=0x80000001)；

pbCert为接收证书的缓冲区；

len输入时为缓冲区长度，返回时为读取到的证书实际长度。

2.4.7生成公私钥对

采用函数CryptGenKey(HCRYPTPROVhProv,ALG_1DAlgid,DWORDdwFlags,HCRYPTKEY*

phKey)生成公私钥对。

当Algid为AT_KEYEXCHANGE和AT_S1GNATURE时，分别生成RSA加密/签名公私钥对；

当Algid为CALG_SM2_KEYX和CALG_SM2_SIGN时，分别生成SM2加密/签名公私钥对,

dwFlags的高16位指定密钥长度，目前税务应用中使用256位密钥长度。

2.4.8获取密钥句柄

采用函数CryptGetUserKey(HCRYPTPROVhProv,DWORDdwKeySpec,HCRYPTKEY

*phUscrKcy)获取用户公私钥对密钥句柄，参数dwKcySpcc为AT^KEYEXCHANGE和

AT_SIGNATURE时，分别返回加密/签名公私钥对句柄，算法类型与打开容器有关。

2.4.9获取密钥句柄对应的密码算法

采用函数CryptGetKeyParam(hKey,KP_ALG1D,pbData,pdwDataLen,dwFlags)调用

获取hKey对应的密码算法。RSA加密/签名密钥对应的算法分别为CALG_RSA_KEYX和

CALGRSASIGN；SM2加密/签名密钥对应的算法分别为CALG_SM2_KEYX和CALGSM2SIGN。

2.4.10密钥导入和导出

采用函数CryptImportKcy和CryptExportKcy导入/导出密钥。

在密钥导入和导出时，密钥数据前面有一个固定的头部，如下定义：

typedefstructBLOBHEADERSTRUC{

BYTEbType;

BYTEbVersion;

WORDreserved;

ALG」DaiKeyAlg;

}BLOBHEADER;

对于RSA算法和对称算法，BLOBHEADER的内容和密钥数据采用微软原有格式。

对于SM2加密/签名密钥,aiKeyAlg分别为CALG_S密KEYX和CALGSM2SIGN,其后的

密钥数据采用国家密码管理局《智能IC卡及智能密码钥匙密码应用接口规范》中规定的

格式。

2.4.11错误码

在调用CSP接口函数时，只要涉及到对USBKEY进行操作，并且USBKEY未插入或己拔

出，函数应返回FALSE,并置错误码

SCARD_E_NO_SMARTCARD(=0x8010000C),

在CryptAcquireContext函数调用时必须增加上述返回码。

2.5PKCS#11接口

系统采用PKCS#11接口签发证书，规定如下：

1算法ID

在PKCSttll中增加SSF33算法ID的相关定义：

SdcfineCKM_SSF33_KEY_GEN(CKM_VENDOR_DEFINED+1)

#defineCKM_SSF33_ECB(CKM_VENDOR_DEFINED+2)

SdefineCKM_SSF33_CBC(CKM_VENDOR_DEFINED+3)

SdefineCKM_SSF33_CBC_PAD(CKM_VENDOR_DEFINED+4)

SdefineCKM_SSF33_ECB_PAD(CKM_VENDOR_DEFINED+5)

^defineCKK_SSF33(CKK_VENDOR_DEFINED+1)

2口令长度和初始值

管理员口令长度至少为8字节，管理员口令初始值为“12345678”。

用户口令长度至少为8字节，用户口令初始值为“88888888”。

3支持同时分别访问两个USBKEY

2.6国标接口

为适应税务系统应用，在国标接口的基础上增加卡内私钥解密的接口函数。

1RSA内部私钥解密

ULONGDEVAPISKFRSADecrypt(HCONTAINERhContainer,BYTE*pbCipherText,ULONG

ulCipherTextLen,BYTE*pbPlainText,ULONG*pulPlainTextLen)

功能描述：使用USBKEY内部RSA加密私钥对输入数据做私钥解密运算并输出结果。

参数:

hContainer[IN]容器句柄

pbCipherText[IN]待解密的数据

ulCipherTextLen[IN]待解密数据长度，必须为公钥模长

pbPlainText[OUT]返回明文数据，如果该参数为NULL,则由pulPkinTextLen

返回明文数据的实际长度,

pulPlainTextLen[IN,OUT]输入时表示pbPlainText缓冲区的长度，输出

时表示明文数据的实际长度。

返回值：SAR_OK：成功；其他：错误码。

2SM2内部私钥解密

ULONGDEVAPISKFECCDecrypt(HCONTAINERhContainer,PECCCIPHERBLOB

pCipherText,BYTE*pbPlainText,ULONG*pulPlainTextLen)

功能描述：使用USBKEY内部SM2加密私钥对输入数据做解密运算并输出结果。

参数：

hContainer[IN]容器句柄

pCipherText[IN]待解密的密文数据

pbPlainText[OUT]返回明文数据，如果该参数为NULL,则由pulPlainTextLen

返回明文数据的实际长度°

pulPlainTextLen[IN,OUT]输入时表示pbPlainText缓冲区的长度，输出

时表示明文数据的实际长度。

返回值：AR_OK：成功；其他：错误码。

3导入CA证书

ULONGDEVAPISKF_ImportCA