公交场站充电设施网络及数据安全技术规范（征求意见稿）

Q/LB.□XXXXX-XXXXT/CUPTAXXXXX—XXXX目次TOC\o"1-1"\h\t"标准文件_一级条标题,2,标准文件_附录一级条标题,2,"前言 III1范围 12规范性引用文件 13术语和定义 14充电设施数据加密存储技术要求 34.1数据存储要求 34.2充电桩数据加密机制 34.3充电桩接入认证机制 44.4数据加密传输 44.5密码算法指令 45运营平台基础架构安全技术要求 45.1网络安全防护 55.2系统安全防护 85.3基础软件安全防护 85.4业务系统安全防护 85.5下行数据安全防护 96充电设备安全技术要求 96.1充电设备数据安全 96.2充电设备控制安全 97移动智能终端软件技术要求 107.1运行机制要求 107.2应用安全要求 117.3恶意行为防范要求 117.4其他安全要求 118数据接口安全技术要求 118.1充电设备数据传输接口 118.2运营平台数据调用及验证接口 128.3移动智能终端认证接口 158.4智能卡认证接口及支付结构 158.5数据安全监测告警 16前言本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件由中国城市公共交通协会提出并归口。本文件起草单位：金华市公交集团有限公司、合肥公交集团有限公司、杭州市公共交通集团有限公司、重庆巴驿公共交通站场管理有限公司、银川市公共交通有限公司、台州市公共交通集团有限公司、上海鼎充新能源技术有限公司、广西蓝创新能源汽车设备有限公司、广西放心源新能源科技有限公司、广州亿电邦智能网络科技有限公司、东信和平科技股份有限公司、大连理工大学、深圳市车电网络有限公司、隆瑞三优新能源汽车科技有限公司。本文件主要起草人：王江波、刘锴、高虹、陈利强、汪永强、陈超华、吴成辉、吴郸、辛涛、卢鹏、陈华盛、田超跃、林晓东、范琳琳、董喆、辜映发、黄振、卜泽祥、陈施承、王峰、钟金龙、郭长春、梁远雄、沈阳、安振佳、蒋剑峥、王兆弘、潘承民、潘飞、黄奕、丁战阳、刘横。范围本文件规定了公交场站充电设施网络的数据存储和加密、运营平台基础架构安全、充电设备安全、移动终端和数据接口安全等技术要求。本文件适用于城市公交场站充电设施物联网络及数据传输密码应用和信息加密等。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T18487.1—2015电动汽车传导充电系统第一部分：通用要求GB/T22240—2020信息安全技术网络安全等级保护定级指南GB/T27930—2015电动汽车非车载传导式充电机与电池管理系统之间的通信协议GB/T29246—2017信息技术安全技术信息安全管理体系概述和词汇GB/T29317—2021电动汽车充换电设施术语GB/T29781—2013电动汽车充电站通用要求GB/T32960.3—2016电动汽车远程服务与管理系统技术规范第3部分：通信协议及数据格式GB/T34590.3—2017道路车辆功能安全第三部分：概念阶段GB/T34657.1—2017电动汽车传导充电互操作性测试规范第一部分：供电设备GM/T0017—2012智能密码钥匙密码应用接口数据格式规范GM/Z0001—2013密码术语GM/T0054—2018信息系统密码应用基本要求GM/T0056—2018多应用载体密码应用接口规范术语和定义GB/T29317—2021和GB/T29781—2013界定的以及下列术语和定义适用于本文件。密码password密码是一种用来混淆的技术，使用者希望将正常的（可识别的）信息转变为无法识别的信息。但这种无法识别的信息是可以再加工并恢复和破解的。密码在中文里是“口令”（password）的通称。加密encryption以某种特殊的算法改变原有的信息数据，使得未授权的用户即使获得了已加密的信息，但因不知解密的方法，仍然无法了解信息的内容。访问控制accesscontrol确保对资产的访问是基于业务和安全要求进行授权和限制的手段。[来源：GB/T29246-2017，2.1]保密性confidentiality信息对未授权的个人、实体或过程不可用或不泄露的特性。[来源：GB/T29246-2017，2.12]完整性integrity准确和完备的特征。[来源：GB/T29246-2017，2.40]真实性authenticity一个实体是其所声称实体的这种特征。[来源：GB/T29246-定义2.8]安全模块securitymodule含有密码算法、安全功能，可实现密钥管理机制的相对独立的软件、硬件、固件或其组合。[来源：GM/Z0001-2013，2.1]密钥key控制密码算法运算的关键信息或参数。[来源：GM/Z0001-2013，2.63]解密decryption将“密文”变为“明文”的过程。算法algorithm通过准确而完整的指令，实现解决问题的策略机制。充电设施数据加密存储技术要求数据存储要求充电桩数据存储要求充电桩数据存储应符合以下要求：充电设备在充电过程中，应定期将最新充电记录存储（1min或其他可设置的时间间隔），该记录需要应满足端点不丢失的记忆功能。充电中途断电或发生故障，应选择合适的时机将存储在充电设备中的“最新充电记录”上传到后台数据采集系统。充电桩应对存储空间进行监控，在待上传存储空间到达存储门限值后，向后台发送告警信息。记录类型包括但不限于：1） 交易类（充电记录）；2） 事件类（日志类）；3） 故障及告警类（设备历史故障）；4） 过程类（充电过程数据）。用户数据存储要求用户数据存储应符合以下要求：采用校验技术或密码技术保护用户数据存储时的完整性。采用密码技术保证用户数据在本地或云端存储时的保密性。充电桩数据加密机制充电桩数据加密机制应符合以下要求：充电桩应接入具有安全服务能力的业务平台。平台应支持双向认证、密钥协商、加解密等安全功能。充电桩应集成具有双向认证、防篡改、加解密功能的安全模块。认证证书、发行密钥和敏感数据等应存储在安全模块中。安全模块应支持国产密码算法，如SM2、SM3、SM4等。充电桩宜支持应用协议数据单元（APDU）指令透传，实现安全模块应用升级、数字证书更新等扩展功能。充电桩接入认证机制充电桩接入认证机制应符合以下要求：充电桩应支持与业务平台之间的双向认证。双向认证流程采用中国密码行业标准GM/T0017—2012中SM2签名验签算法，基于SM2密钥离散算法进行会话密钥协商，生成SM4对称密钥。双向认证过程中的关键数据元应参与签名运算，并具有防篡改能力。双向认证中应设置随机数和时间戳等信息，并具有防重放能力。会话密钥应采用动态协商的方式确保密钥安全性。数据加密传输数据加密传输应符合以下要求：充电桩的业务数据应由安全模块加密传输。业务数据的加解密应使用双向认证阶段生成的SM4会话密钥。密码算法指令算法指令由安全模块生产厂商自行定义，不在本文件中规定，接口调用参考中国密码行业标准GM/T0056—2018的相关要求。运营平台基础架构安全技术要求运营平台基础架构如下图1所示。图1公交场站充电运营平台基础架构图网络安全防护平台应使用防火墙提升安全防护水平，防火墙应具备4层~7层的安全防护及访问控制能力。平台应具备入侵防御能力，应保证入侵防御设备的特征库始终有效。平台应具备防病毒能力，应保证防病毒设备的病毒库始终有效。平台应具备web防护能力，应保证web防护的特征库始终有效。平台应具备漏洞扫描能力，能保证漏扫设备的数据库始终有效，并及时修复安全漏洞。平台应使用SSL证书对通信过程进行加密。平台应使用堡垒机对平台服务器进行远程管理。平台应具备重要数据异地备份能力，避免因灾难导致的数据丢失。平台修改数据前需要单点登录，并且会话应限定有效期，有效期时长不宜超过2小时。用户操作数据需要具备相应的权限。授权用户权限时，授予用户尽可能小的权限。用户与平台的通信使用HTTPS，充电桩与平台通信使用MQTT+TLS。用户与平台之间的重要通信数据需要加密。平台应永久保留用户的操作日志，并单独存储，定期归档。入侵防范要求：应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量。应在检测到网络攻击行为、异常流量情况时告警。安全审计要求：应对云服务商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启。应保证云服务商对云服务客户系统和数据的操作可被云服务客户审计。云服务商选择要求：应选择安全合规的云服务商，其所提供的云计算平台应为其所承载的业务应用系统提供相应等级的安全保护能力。等级保护要求须符合国家标准GB/T22240—2020的相关规定。应在服务水平协议中规定云服务的各项服务内容和具体技术指标。应在服务水平协议中规定云服务商的权限与责任，包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等。应在服务水平协议中规定服务合约到期时，完整提供云服务客户数据，并承诺在云计算平台上清除相关数据。应与选定的云服务商签署保密协议，要求其不得泄露云服务客户数据。安全通信协议要求如下:应使用TLS1.2或以上版本。应不允许降级，例如降到TLS1.1、TLS1.0或SSL3.0、SSL2.0。应禁用TLS会话重协商。应禁用TLS压缩。若使用基于非对称密钥的身份认证机制，宜使用SM2、密钥长度不低于224位的SM2或同级别以及更高级的国密算法，应具有对应的证书更新及撤销机制，证书的有效期宜不超过365天，证书更新过程应确保密钥安全性。若使用基于对称密钥的身份认证机制，宜使用SM4、密钥长度不低于128位的SM4或同级别以及更高级的国密算法，应具有对应的密钥更新机制，更新过程中应确保密钥安全性。网络端口传输安全要求如下:应通过对数据包的源地址、目的地址、源端口、目的端口和协议进行检查，决定允许或拒绝数据包进出。应具备根据会话状态信息为进出数据流判定允许或拒绝访问的能力。应基于应用协议和应用内容对进出网络端口的数据流实现访问控制。应关闭非业务相关的网络服务端口，并对业务相关的网络服务端口进行访问控制。应对进入车载终端的带有攻击行为特征的网络数据进行识别，且识别率不低于95%。宜具备更新扩展安全规则的能力。充电桩到平台的通信应满足传输数据的保密性、完整性和可用性要求。充电桩向平台实时上报国家标准GB/T32960.3—2016所要求的实时信息时，应按照5.3.4进行加密处理。充电桩到平台的安全通信协议宜满足5.3.3的技术要求。企业平台应对充电桩的信息安全进行监视管理，应能在桩端产生信息安全问题后，为信息安全应急响应提供桩端相关数据以及追溯手段。数据单元加密：国家标准GB/T32960.3—2016所要求的远程服务与管理数据，至少包括国家标准GB/T32960.3—2016中7.2实时信息上报数据，加密要求如下：a) 数据单元加密方式应采用SM4、密钥长度不低于128位的SM4或其他同级别以及更高级的密码算法。b) 加密数据单元的密钥应与安全通信协议所使用的密钥不同。运营平台系统应根据不同的业务进行分区分域，将系统划分为不同的子网网段；对采用微服务架构的，IP可用同一子网网段。重要服务器主机及核心业务区应部署在内网区域，通过路由设备建立安全的访问路径，避免直接与外网进行连接；建议核心业务区与其他日常业务网段划分不同子网，并采取可靠的技术隔离手段。网络接入的出入口访问应通过安全防护设备进行控制与隔离，建立完善的过滤策略及入侵防范策略。对网络的访问权限进行控制，平台应具备安全审计的防护标准；对运营业务中产生的数据和操作进行日志记录，并可进行备份和恢复，避免因故障导致的数据丢失。建议各业务系统区域应具备独立且完整的硬件及网络规划，以避免各业务阶段使用的硬件或基础资源混乱而造成对正式运营系统的影响。重要的运营平台生产系统宜具备双活热备的系统配置，可自主切换业务。网络关节点设备安全：宜具备对合法连接设备（包括终端节点、路由节点、数据处理中心）进行标识和鉴别的能力。宜具备过滤非法节点和伪造节点所发送的数据的能力。授权用户宜能够在设备使用过程中对关键密钥进行在线更新。在安全管控区域内，各终端在线状态需实时更新，但平台不能直接对其发送指令，实现线上监控，线下管理模式，确保业务运行安全。系统安全防护系统配置应具备至少双节点的冗余配置，网络接入应具备至少双链路的接入方式，以避免硬件单节点故障或单网络链路的中断而导致业务系统瘫痪。服务器主机应采用双机配置以冷备用或热备用的方式进行冗余防护，若采用租用云服务的方式则应考虑增加计算资源节点的冗余数量。网络及安全设备在配置时应与接入的网络链路相匹配，在采用双链路接入配置的方式时，网络及安全设备应配置为双节点的方式。应配置安全设备或同等功能的组件。存储资源在配置时应根据运营平台的业务数据模型核算具体容量。自建数据中心时，在保证服务器设备自身的存储空间充足时，还应配置独立的存储设备，并应双机配置或采用异地数据中心备份的方式。租用云服务时应提供冗余配置的存储资源或异地备份。基础软件安全防护操作系统及相关组件应定期更新升级补丁，确保系统软件的稳定可靠。应定期对系统应用进行漏洞扫描，进行监测入侵防范及恶意代码防范。应实时对系统进行安全监控，保证对系统应用的各操作合法并有操作审计记录。各主机基础软件均应具有严格的身份认证配置，口令应具有一定的复杂度，并定期进行更换。应实时监控各服务器硬盘存储资源，并具备实时提醒告警等功能。业务系统安全防护业务软件应配置至少双冗余的结构，避免因业务软件的崩溃造成应用单节点故障，导致业务功能无法使用，影响业务运营系统。业务软件在对外进行数据交互时，应有本运营公司的数据交互协议或加密方式，避免在交互过程中造成数据混乱无法识别或被非法解析导致数据信息泄露；平台应对已经存储的数据进行信息加密处理，并对请求原始数据进行留存，以备安全检测和分析。业务软件在交互过程中应具备自有的数据校验机制，对其数据传输的完整性、安全性进行保障。业务信息中具有重点需要防护的数据敏感信息时，应有数据脱敏的机制。业务系统功能的操作安全防护应配置审计系统，各业务操作应详细记录；操作涉及系统功能、用户关键数据更新、资金安全功能时，必须由不少于2个不同身份人员审批，或具有同等审批效力的机制，并可对操作进行撤销、还原。业务系统应按实际运营情况中发现的问题漏洞实施业务系统的更新升级，并明确备案各阶段版本及更新说明。业务数据应配置数据备份机制，根据运营需求确定历史数据的缓存时间及备份数量。下行数据安全防护可采用附加消息鉴别码或数字签名方式实现数据传输的完整性保护。应采用密码技术实现系统管理数据，鉴别信息和重要业务数据传输的保密性。应采用密码技术保障授权用户或实体在需要时可以使用和访问数据或资源。充电设备安全技术要求充电设备数据安全充电桩硬件要有实时存储能力，即使充电中断电、断网或故障，再次正常后能够“恢复现场”并正确联网计费。桩端所有涉及充电过程的数据，必须采用密码管理或其他安全管理方式，未经授权的任何实体不能从加密存储区域的数据中还原出用户隐私数据的真实内容。未得到授权，不应擅自修改和展示用户信息。桩端存储的任何数据，不得影响汽车或BMS的正常工作。即使车端有任何异常数据，充电桩要有自我保护机制，免受异常数据影响。充电设备具备本机充电记录读取功能，不应显示用户完整的敏感信息。未经使用者授权，充电设备不应主动获取或向第三方提供充电权限认证以外的信息。充电设备应保证存储和传输过程中数据的完整性。充电设备应保证存储和传输过程中敏感数据的保密性。充电设备控制安全所有充电相关活动，严格按照国家标准GB/T27930—2015、GB/T18487—2015执行。控制命令中包含的关键数据，建议做关联保护。充电设备维护、升级、调试等过程中，应使用身份认证管理技术。具有账号管理功能的充电设备，其用户身份鉴别信息应具有复杂度要求。具有账号管理功能的充电设备，应提供并启用登录失败处理功能；多次登录失败后应采取必要的保护措施，当超出限制值时，采取特定的动作；当一段时间内失败尝试次数过多时，系统判定为异常，并立即采取对账号、IP源、机器设备码等封锁操作，同时向监管人员告警（含短信、电子邮件、弹窗、声音播放等方式）。具有账号管理功能的充电设备，在用户身份认证信息丢失或失效时，可提供鉴别信息恢复机制。具有账号管理功能的充电设备应对登录的用户分配账号和权限。具有账号管理功能的充电设备应及时删除或停用多余的、过期的账号，避免共享账号的存在。充电设备外部访问接口应采取安全保护措施。充电设备应具备控制接入的开关。当建立数据连接时，充电设备能够发现该连接并给用户相应的状态提示，仅当用户确认建立本次连接时，连接才可建立。充电设备应为不同访问主体类别提供不同的访问权限。访问权限划分应遵循最小特权原则。关闭非系统运行和维护所必需的网络通信端口。未授权用户不得读取审计信息。应能按照频次将所有的审计记录备份至本地，或者将事件数据安全地发送到外部。充电设备应保护已存储的审计记录，以避免未授权的删除、修改或覆盖，并检测对审计记录的修改。充电设备应确保审计记录保持一定的记录数和维持时间，审计日志留存能力不少于3000条。审计日志要覆盖对设备有较大影响的操作。移动智能终端软件技术要求运行机制要求在安装和卸载过程中，不得捆绑下载其他应用软件；不得安装功能说明文档中未说明的额外功能，不得安装用户未知和未允许的第三方应用卸载应彻底，卸载后不应残留相关临时文件、活动程序或模块。包含可有效表征供应者或开发者身份的签名信息、软件属性信息。应对安装包或升级包的完整性、合法性进行校验。应用安全要求应具备身份鉴别功能，能够对登录用户进行身份标识和鉴别。不应内置匿名账户，禁止匿名用户的登录。具备口令强度和口令时效性检查机制。授权用户访问的内容不能超出授权的范围。未得到许可前不应访问终端数据和终端资源。未得到允许前不应修改和删除终端数据。未授权用户不得读取审计信息.建议能按照频次将所有的审计记录备份至本地，或将事件数据安全地发送到外部。审计日志永久留存，定期归档，且系统不应出现断档情况。未经授权的任何实体不应从加密存储区域的数据中还原出用户私密数据的真实内容。不宜存在数据存储和处理过程中的非法调用和窃取漏洞。不应以明文形式存储或通过网络传输用户敏感数据，以防止数据被未授权获取。备份机制宜完整有效，建议对备份数据进行保护。恶意行为防范要求在用户不知情或未授权的情况下，应用程序不应订购非法业务。在用户不知情或未授权的情况下，应用程序不应非法获取信息。在用户不知情或未授权的情况下，应用程序不应接受远程控制端指令并进行相关操作。应用程序不应导致电动汽车智能终端无法正常使用。其他安全要求应用软件代码应防止被反编译和反调试。源代码中不存在已公布的高危风险漏洞。应用软件应做日志防泄漏措施。数据接口安全技术要求充电设备数据传输接口充电设备数据传输接口应采用SSL/TLS数据加密传输方式，并在客户端对SSL证书和发行进行校验；信息传输全流程使用HTTPS加密，且强制使用。充电设备数据传输接口应确保用户隐私数据(包括但不限于用户真实姓名、电话号码等)被加密存储，应采用符合中国密码行业标准GM/T0054—2018等规定的密码技木，保证通信过程中数据的保密性和完整性。充电设备数据传输接口须通过公网、专网、4G、5G等网络来进行数据传输；有效传输速率≥1024Kbps。充电设备数据传输接口与管理平台之间采用HTTP协议，平台到相机、道间系统采用MQTT协议。充电设备数据传输接口应准确完整上传充电设备名称、编号等基础数据和其他动态数据。充电设备数据传输接口发出数据到运营管理平台接收到数据，产生的数据平均时延<8秒、丢包率<0.5%、误码率<0.5%。充电设备数据传输接口应具备数据备份能力并实施数据备份定期机制。备份间隔不应高于15天，并做好数据的本地和异地备份。充电设备数据传输接口应实施访问控制机制，确保除企业和用户本人外的任何第三方在未被授权情况下无法获取他人的隐私数据。运营平台数据调用及验证接口运营平台接口应包括验证接口和数据调用接口两类。验证接口用于验证所有访问用户的合法性。数据调用接口用于提供数据资源服务。接口应支持RESTful或WebService接口形式。RESTful服务消息封装协议应采用《IETFRFC1945超文本传输协议1.0》或《ETFRFC2616超文本传输协议1.1》，WebService服务消息封装协议应采用《W30简单对象访问协议1.1》或《W3C简单对象访问协议1.2》。运营平台数据调用及验证接口应利用黑白名单机制对通信接口进行访问控制，防止非法终端接入、非法数据注入等。运营平台数据调用及验证接口应进行安全域划分，并在边界部署防火墙或在核心交换机上配置防火墙模块、访问控制策略（如：IPS入侵防御系统、ACL访问控制列表等）实现访问控制。验证接口信息宜包含：服务地址：https://IP地址:端口。接口路径：/osuth/token。接口类型：RESTful或WebService。接口请求方式：POST。接口编码：UTF-8。数据调用接口信息宜包含：服务地址：https://IP地址:端口。接口路径：/manage/service。接口类型：RESTful或WebService。接口请求方式：POST。接口编码：UTF-8。验证接口输入参数应符合表1的规定。表1验证接口输入参数序号参数名称参数代码参数类型非空备注1用户名usenameString是登录账户2密码passwordString是登录密码3身份标识client_idString是用户接口调用唯一身份标识4加密信息client_secretString是身份标识加密信息5认证方式grant_typeString是接口调用认证方式client_credentials或password或CA证书，默认client_credentials。使用password模式需要传入用户名及密码，client_credentials时无须传人用户名密码6权限范围scopeString是read或write，默认值read验证接口返回参数应符合表2的规定。表2验证接口返回参数序号参数名称参数代码参数类型非空备注1身份令牌access_tokenString是—2令牌类型token_typeString是默认值Bearer3过期时间expires_inString是从调用认证接口获得身份令牌开始计时，在该时段内响应的身份令牌有效，单位为秒数据调用接口输入参数应符合表3的规定。表3数据调用接口输入参数序号参数名称参数代码参数类型非空备注1资源服务标识sidString是资源服务接口唯一标识2业务参数编码dataCodeString是资源服务接口调用时的业务参数3业务参数数值dataValueString是业务参数的输入值4逻辑符号operationString是描述业务参数与数据之间的关系，如等于、大于、小于等数据调用接口返回参数应符合表4的规定。表4数据调用接口返回参数序号参数名称参数代码参数类型非空备注1调用状态标识stateCodeString是资源服务接口调用状态2错误描述信息errorDescriptionString—标识错误信息，调用成功则为空3业务参数数值dataJSON—业务数据返回值数据调用接口，通过状态码判定数据接口调用情况，业务接口状态码应符合表5的规定。表5数据调用接口状态码状态码说明0000成功0001找不到服务配置信息0002服务停用0003没有数据或数据准备中0004没有权限或令牌过期0101当前资源不存在0102当前资源未发布0103合并资源不存在0104合并结果集出错0201文件下载失败0202请调用文件下载接口0203数据准备中0204当前不是异步任务0301调用RESTful客户端发送错误，地址为空0302调用RESTful接口发生错误0401调用WebService接口发生错误0501数据节点配置为空，但返回的不是数组对象0502调用csv接口发生错误0601请求字