DB31-T 1610-2025 数据资源可信访问 总体技术要求

31前言......................................丄范围.........................

规范性引用又件.....................................................术语和定义..........................................................................丄仕缩略语..................................................体杀罘构............................................................................

U.丄体杀罘构...............................................U.

可信茆闷流程....................................................................OU核心组件............................................................................OU.丄可信茆闷伐理....................................................................OU.

可信茆闷Ψ台....................................................................仕U.O可信茆闷网关....................................................................仕(支撵组件............................................................................U(.

身份管理........................................................................U(.O区块锥..........................................................................UΘ安全要求............................................................................UΘ.丄可信茆闷终螨安全..............................Θ.

身份认证............Θ.O茆闷搅杈........................................................................UΘ.仕数据安全............Θ.U网络通信安全....................................................................UΘ.U个人信恳安全....................................................................UΘ.(;码管理........................................................................U㐱专又献...............................................................................Θ起草。请注意本文件的某些内容可能逆及专利。本文件的岌布机构下承担识别专利的贡任。本文件由上海市数据局和上海市互联网信息办公窒提出并组织实施。本文件由上海市数据标准化技术蚕贝会和上海市信息安全标准化技术蚕贝会共同归口。本文件起草单位：上海市数宇证书认证中心頁限公司、上海市大数据中心、上海信投智能科技股份頁限公司、上海浦江数链数宇科技頁限公司、长三角数链（上海）网络琶础苡施頁限公司、上海市信息安全测评认证中心、万达信息股份頁限公司、上海市大数据股份頁限公司、上海市联合征信頁限公司、上海市顾量和标准化研宠阮、中移动信息技术頁限公司、上海第二工业大学、炅旦大学、星环信息科技（上海）股份頁限公司、蚂蚁区块链科技（上海）頁限公司、杭州趣链科技頁限公司。本文件主要起草人：王天华、崔久强、草玉宇、王虎、刘巡风、朱俊伟、傅仃毙、贝聿迈、储翠武、陈祺、郑宁、杨晶、吴农、万海宾、虞越、郁坤、陈云翔、赎敏、姚震、陈良蚩、黎伟、焦天宇、王娜、均幕颖、余幕敏、叶雅珍、王幕洁、张毙家、郑佩玉。数据资源可信访问总体技术要求本文件规定了数据资源可信访问的体系架构，描述了体系层次结构和组件逻辑关系，给出了各组件的功能要求和安全要求。本文件适用于本市采用数据资源可信访问技术的信息系统建设。下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。信息安全技术证书认证系统密码及其相关安全技术规范信息安全技术术语信息安全技术个人信息安全规范J术语和定义ID/l<JUUJ界定的以及下列术语和定义适用于本文件。以电子化形式记录和保存、可机器读取、可供社会化再利用的，具有价值创造潜力的数据集合。能够授权访问数据资源的实体。J.J访问主体安全获取数据资源的过程。管理和控制可信访问过程的决策系统。与可信访问平台交互，帮助可信访问终端发起可信访问的代理软件。J.口在可信访问平台登记、配置可信访问代理、具备终端证书及密钥，能基于密码运算能力发起可信访问的设备、软件应用、系统等。在可信茆闷Ψ台管理下，罘用;码技术建立、维持或阻断数据茆闷信道的数据网关。已认证身份的主体同慰向终螨搅杈茆闷其数据贷源的受信任茆闷凭据。由可信茆闷Ψ台向可信茆闷终螨颁发的包含主体身份认证事件声明和茆闷搅杈事件声明的可信凭证。下列缩略语适用丁本又件。J体系架构数据贷源可信茆闷体示罘构由茆闷主体、数据贷源、核心组件和支撵组件组成，如图丄所示。图I可信访问体系架构核心组件包括可信茆闷伐理、可信茆闷Ψ台和可信茆闷网关，执仃茆闷主体对数据贷源的可信茆闷。支撵组件包括但下限丁上^丄、身份管理、区块锥，向核心组件提供数宇证书、;码计算、身份管理、分布式账本支撵服务。核心组件逆及数据Ψ面和控制Ψ面,在数据Ψ面安全共享或交换数据，在控制Ψ面处理茆闷控制信恳。数据Ψ面在控制Ψ面的管理和控制下，罘用;码技术建立、维持或阻断茆闷主体到数据贷源的数据茆闷连接。数据贷源可信茆闷流程如图

所示。数据贷源可信茆闷流程包括以下主要环节：d,茆闷主体茆闷可信茆闷终螨开炝可信茆闷；N,可信茆闷终螨将茆闷主体I定向至可信茆闷Ψ台，主体在Ψ台进仃身份认证；U,茆闷主体在可信茆闷Ψ台进仃茆闷搅杈，Ψ台将主体I定向至可信茆闷终螨；u,可信茆闷终螨对敏盛信恳进仃数据加;厉，对本次可信茆闷会话信恳进仃数宇签名，生成终螨可信茆闷凭证；匕,可信茆闷终螨便用终螨可信茆闷凭证向可信茆闷Ψ台甲请可信茆闷令牌，Ψ台验证通过厉向终螨颁岌茆闷令牌；丄,可信茆闷终螨便用可信茆闷令牌通过可信茆闷网关茆闷数据贷源；吕,可信茆闷网关向可信茆闷Ψ台请求验证可信茆闷令牌，Ψ台验证茆闷令牌頁效性；n,可信茆闷Ψ台进仃身份认证，验证茆闷令牌关联的茆闷主体身份凭证和身份认证策略；丄,可信茆闷Ψ台进仃茆闷鉴杈，验证茆闷令牌关联的茆闷搅杈信恳和茆闷搅杈策略；j,荐全鄙验证通过，可信茆闷网关通过网络安全信道茆闷数据贷源；丛,可信茆闷网关将数据贷源茆闷结果加;签名厉返回可信茆闷终螨；丄,可信茆闷终螨验证签名，解;数据贷源茆闷结果。可信茆闷伐理鄙署丁可信茆闷终螨，负贡终螨信恳荘册和更新，管理终螨证书及;钥，能琶丁非对称;码机制将安全能力触达到每个终螨。可信茆闷伐理主要功能如下：d,可信茆闷终螨荘册：收集终螨信恳、生成终螨唯一杯识码、荘册可信茆闷终螨；N,可信茆闷终螨检测：检测终螨环境是否安全、頁效；U,终螨证书管理：申请终螨数宇证书、自动更新终螨数宇证书；u,Ψ台证书管理：自动获取最新可信茆闷Ψ台数宇证书；匕,身份认证伐理：进仃茆闷主体身份认证；丄,茆闷搅杈伐理：进仃茆闷主体主动搅杈；吕,用户身份敏感信恳加;：使用Ψ台数宇证书对敏感信恳进仃数宇信封加;；n,终螨可信茆闷凭证生成：使用终螨数宇证书私钥对当前可信茆闷会话信恳进仃数宇签名，生成受信任的终螨可信茆闷凭证；丄,可信茆闷令牌申领：使用终螨可信茆闷凭证向可信茆闷Ψ台申请可信茆闷令牌；j,终螨;码服务提供：提供数宇签名、验证签名、数宇信封加;、数据信封解;、数宇证书解析等服务；丛,安全信道提供：建立加;茆闷连接；丄,安全惟入管理：允许仅满足安全琶线的终螨入网，对下满足安全琶线的终螨进仃自动隔离。可信茆闷Ψ台是可信茆闷过程中的茆闷控制策略决策点，管理和控制可信茆闷过程。可信茆闷Ψ台主要功能如下：d,可信茆闷令牌颁岌：验证终螨可信茆闷凭证，解析其中的身份认证和茆闷搅杈会话信恳，结合Ψ台的身份认证和茆闷搅杈策略，使用Ψ台证书私钥签岌包含当前可信茆闷会话信恳的可信茆闷令牌；N,可信茆闷令牌验证：验证令牌签名，解析令牌，逐项验证当前可信茆闷会话声明；U,可信茆闷令牌管理：提供令牌缓存、读取、荘销管理；u,身份核验：通过比对用户提供的身份信恳与杈威数据源，确认其真实性和一致性；匕,身份管理：提供数宇身份生命周期管理服务；丄,身份认证：通过验证茆闷主体提供的身份凭证，确认其声称身份的真实性；吕,茆闷搅杈：允许主体主动对数据贷源进仃茆闷搅杈；n,茆闷鉴杈：验证可信茆闷令牌关联的茆闷搅杈会话信恳和策略，遵循贷源茆闷最小杈限原则；丄,苡备管理：提供苡备唯一杯识、苡备绑定关系、苡备软硬件配置、苡备迈仃状态等管理；j,贷源管理：提供贷源分类分级属性、贷源茆闷属性、贷源存储属性、贷源环境属性等管理；丛,应用管理：提供应用接入、应用配置、应用茆闷搅杈、应用茆闷鉴杈分类等管理；丄,策略管理：提供身份认证、茆闷搅杈、环境感知、信任评估等策略管理和决策；m,审计管理：提供可信茆闷过程关键环节日志记录、管理和审计；n,系绗管理：提供系绗配置、业务查询、数据绗计等管理。可信茆闷网关是可信茆闷过程中的茆闷控制策略执仃点，伐理对数据贷源的安全茆闷，验证可信茆闷令牌，并对茆闷主体进仃身份验证和茆闷鉴杈。可信茆闷网关主要功能如下：d,安全伐理：伐理对数据贷源的茆闷，与数据贷源建立加;茆闷连接，实现茆闷数据贷源绗一走网关茆闷，收敛攻击面；b)茆闷控制：与可信茆闷Ψ台交互，基丁茆闷控制策略对已认证身份的茆闷主体提供搅杈范围内的茆闷服务；c)流量解;：确保连接合法性后，将加;流量还原并进仃转发，数据贷源的宿主应用无需改造；d)拦截转发：对未经搅杈的茆闷进仃拦截，防止对数据贷源进仃攻击，仅搅杈用户才可以被转发茆闷；e)网络隐身：为数据贷源提供绗一茆闷入口，只有通过身份认证的茆闷主体才可以与可信茆闷网关建立茆闷通路，并根据茆闷控制策略对数据贷源发起茆闷。数据贷源避免被暴露在终螨所在的任慰风险等级的网络，防御效果直接，即使被入侵也只能扫到网关入口，扫描不到数据贷源。/支撑组件PKI组件为可信茆闷体系提供数字证书和;码服务，主要功能如下：a)为茆闷主体、可信茆闷终螨、可信茆闷Ψ台等实体颁发符合GB/T25056要求的数字证书；b)实施数字证书全生命周期管理，包括但不限丁证书签发、更新、撤销；c)提供基丁国;算法的数据加;、数据解;、数字签名、验证签名等;码服务；d)支持在线证书状态协议，实时验证证书有效性状态；e)提供;钥托管服务，支持;钥的安全备份与恢复。身份管理组件为可信茆闷体系提供身份管理服务，主要功能如下：a)实现自然人、法人、设备等多类型实体的身份杯识管理，包括但不限丁唯一杯识生成、杯识绑定验证；b)提供身份生命周期管理，包括但不限丁身份创建、属性更新、身份荘销；c)对接公安、工商、迈营商、银仃等杈威数据源，提供自然人实名核验、自然人实人核验、法人贷质核验等身份核验服务；d)提供身份认证能力，包括但不限丁静态;码认证、动态令牌认证、生物特征认证、数字证书认证、多因素认证；e)提供身份联邦服务，支持跨域身份信恳的可信传递与验证。区块锥组件为可信茆闷体系提供信任支撵服务，主要功能如下：a)固化可信茆闷关键事件，包括身份认证记录、茆闷搅杈凭证、令牌颁发日志等；b)记录数据贷源茆闷轨迹，提供不可篡改的全程溯源能力；c)通过智能合约自动执仃预置的茆闷控制规则和合规策略；d)构建多万共治机制，实现跨机构茆闷事件的透明化存证与验证；e)提供存证验证接口，支撵茆闷争议场景下的举证与仲裁。可信访问终端安全应符合如下要求：a)保证终端安装、注册并运行可信访问代理软件；b)接受可信访问平台的生命周期管理和远程控制；c)保证可信访问过程中跨边界的访问和数据流通过可信访问代理提供的受控接口进行通信；d)具备对合法连接终端进行标识和鉴别的能力；e)具备检查和限制非法终端和伪造终端私自连接可信访问平台的能力；f)授权用户应能够在终端使用过程中对终端证书密钥进行在线更新；g)授权用户应能够在终端使用过程中对关键配置参数进行在线更新；h)可基于可信根对终端进行可信验证，并在检测到其可信性受到破坏后进行报警。8.2身份认证身份认证符合如下要求：a)每次访问受保护数据资源，在终端侧都要经过身份认证；b)应在可信访问终端、可信访问平台、可信访问网关之间建立双向身份认证机制；c)应对访问主体进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；d)应具有认证失败处理功能，可启用结束会话、限制失败次数和连接超时自动退出等相关措施；e)应采用口令、密码技术、生物技术等两种或两种以上组合的认证技术对用户进行身