ISOIEC 9594-112025 信息技术.开放系统互连目录.第11部分安全操作的协议规范标准立项发展报告

安全操作的协议规范ISO/IEC9594-11:2025标准立项发展报告StandardizationDevelopmentReport:InformationTechnology—OpenSystemsInterconnectionDirectory—Part11:ProtocolSpecificationsforSecureOperations摘要随着数字化转型的深入推进，开放系统互连（OSI）目录服务作为分布式信息基础设施的核心组件，其安全性已成为关乎国家关键信息基础设施稳定运行的重要议题。ISO/IEC9594系列标准作为国际目录服务领域的权威技术规范，其第11部分专门针对安全操作的协议规范进行系统定义。本报告围绕ISO/IEC9594-11:2025《信息技术开放系统互连目录第11部分：安全操作的协议规范》标准立项展开全面论述，系统梳理了该标准的立项背景、技术内容、修订历程及国际影响。报告指出，随着网络攻击手段的持续升级和身份认证需求的日益复杂化，原有安全操作协议在密钥管理、细粒度访问控制及跨域互操作等方面面临严峻挑战，新标准的制定与发布是适应新型网络安全形势的必然选择。ISO/IEC9594-11:2025在继承既有框架的基础上，强化了目录安全模型的协议实现细节，完善了认证框架与访问控制机制，提升了与TLS、CMS等主流安全协议的协同能力。本报告详细分析了标准的主要技术内容及其创新要点，介绍了主要起草单位的组织架构与标准化工作经验，并对该标准在电子政务、金融通信、跨境数据互认等领域的应用前景及未来发展方向进行了展望。关键词：开放系统互连；目录服务；安全操作；协议规范；ISO/IEC9594；X.500系列标准；访问控制；认证框架Keywords:OpenSystemsInterconnection;DirectoryServices;SecureOperations;ProtocolSpecifications;ISO/IEC9594;X.500SeriesStandards;AccessControl;AuthenticationFramework一、引言开放系统互连参考模型（OSI/RM）是国际标准化组织（ISO）制定的网络互连国际标准框架，为异构系统间的信息交换提供了统一的体系结构规范。在OSI体系之中，目录服务承担着“命名-寻址-定位”的基础性功能，类似于电信网络中的号码簿或互联网中的域名系统，为分布式环境中的资源和用户提供全局统一的逻辑视图。自1988年ISO/IEC9594系列标准（对应ITU-TX.500系列建议书）首次发布以来，目录服务标准历经多次修订与扩展，逐步形成了一套涵盖模型定义、协议规范、复制机制、安全操作等内容的完整标准体系。随着云计算、大数据、物联网等新技术的广泛部署，目录服务所处的运行环境发生了深刻变化：海量设备接入、跨组织数据共享、零信任安全架构的兴起，对目录服务的安全能力提出了更高要求。尤其是在身份认证、授权管理、数据完整性保护等关键环节，既有的安全操作协议逐渐暴露出灵活性不足、可扩展性受限、与现代密码学算法协同不畅等问题。在此背景下，ISO/IECJTC1/SC6（系统间远程通信和信息交换）分技术委员会于2022年正式启动ISO/IEC9594-11标准修订立项工作，经过多轮国际磋商与技术论证，最终形成ISO/IEC9594-11:2025正式版本，由国际电工委员会（IEC）于2025年8月27日发布。本报告旨在全面呈现该标准的立项背景、技术内容、编制过程与应用价值，为标准使用者提供权威、翔实的参考依据。二、标准立项背景2.1行业发展现状与标准化需求目录服务在信息技术架构中扮演着“神经系统”的角色。根据国际数据公司（IDC）的统计，全球企业级目录服务市场在2024年达到约172亿美元的规模，年复合增长率保持在8.5%左右。在电子政务领域，各国政府普遍基于X.500系列标准构建公民身份信息基础设施；在金融行业，目录服务是支付清算、数字证书管理等系统的重要支撑；在电信领域，3GPP已明确将X.500系列目录标准纳入IMS（IP多媒体子系统）网络的身份管理框架。然而，技术的快速演进使得目录服务的安全操作面临前所未有的挑战：第一，网络攻击手段的持续升级。据中国国家信息安全漏洞库（CNNVD）统计，2024年披露的涉及目录服务的漏洞数量较2020年增长了近两倍，其中权限绕过、身份欺骗、中间人攻击等类型占比突出。传统的简单认证方式已难以应对日益复杂的威胁模型。第二，新兴密码技术的大规模应用。椭圆曲线密码（ECC）、国密SM2/SM3/SM4算法、量子安全密码等新型密码技术的推广，要求安全操作协议提供更为灵活的密码算法协商机制和更为完善的密钥生命周期管理能力。第三，跨域互操作需求的快速增长。在跨境数据流动、国际互认等场景下，不同信任域之间的目录服务需要进行安全互操作，而既有的安全操作协议对跨域信任关系的建模和协商支持不够充分。第四，零信任安全架构的兴起。零信任理念强调“永不信任、始终验证”，要求每一次访问请求都经过严格的身份认证和授权判定。目录服务作为身份与访问管理（IAM）体系的核心基础设施，其安全操作协议需要更好地支持动态授权和细粒度访问控制。2.2标准制修订的必要性ISO/IEC9594-11的上一版本发布于2020年（即ISO/IEC9594-11:2020）。自该版本发布以来的数年间，网络安全形势和技术环境发生了显著变化：-国际电信联盟（ITU-T）于2021年至2024年间对X.500系列建议书进行了多轮修订，其中X.511（目录抽象服务定义）和X.509（公钥证书与属性证书框架）均发布了新的版本，作为配套协议规范，ISO/IEC9594-11需要同步跟进以保持标准体系的内在一致性；-互联网工程任务组（IETF）发布的RFC8410、RFC8446（TLS1.3）等协议广泛采用了新的密码套件和握手机制，要求目录安全操作协议在传输层安全方面实现更好的协同；-各国在数据安全和个人信息保护方面的立法日趋严格（如欧盟《通用数据保护条例》GDPR、中国《数据安全法》《个人信息保护法》等），对目录服务中的访问控制和审计追踪提出了更为严格的标准要求；-云计算环境中多租户架构的普及，使得目录服务的部署模式从传统的单体架构向分布式、虚拟化方向转变，安全操作的协议设计需要适配新型部署形态。因此，适时修订ISO/IEC9594-11标准，对于保持目录服务安全技术的先进性和适用性、促进全球范围内信息系统的安全互操作具有重要的现实意义。三、标准主要内容3.1标准范围与定位ISO/IEC9594-11:2025属于ISO/IEC9594（信息技术开放系统互连目录）系列标准的第11部分，规定了目录安全操作的协议规范。该标准与ISO/IEC9594系列其他部分紧密配合，特别是与ISO/IEC9594-2（模型）、ISO/IEC9594-3（抽象服务定义）、ISO/IEC9594-4（分布式操作过程）、ISO/IEC9594-5（协议规范）和ISO/IEC9594-8（公钥和属性证书框架）存在密切的引用和互补关系。在OSI应用层结构中，本标准的协议规范位于应用协议的最高层，直接服务于目录用户和目录系统代理之间的安全交互。标准的核心定位是：定义目录操作中安全信息交换的协议数据单元（PDU）格式、编码规则、传输语义和状态转换过程，确保不同厂商实现的目录系统之间能够进行安全可靠的操作。3.2关键技术内容3.2.1目录安全模型与协议架构本标准在ISO/IEC9594-2所定义的安全模型基础上，细化规定了安全操作的协议实现机制。目录安全模型涵盖四个核心安全要素：身份认证、访问控制、数据完整性保护和数据机密性保护。协议规范部分针对每个安全要素定义了相应的协议操作流程、参数结构和安全令牌格式。在身份认证方面，标准规定了基于简单口令的认证机制和基于公钥证书的强认证机制两种方式。其中，强认证过程采用挑战-响应协议模式，支持双向实体认证。标准明确了认证令牌（AuthenticationToken）的抽象语法表示（ASN.1）定义，并规定了认证过程中时间戳、随机数和证书路径处理的具体协议语义。3.2.2安全协议的ASN.1模块定义标准以ASN.1（抽象语法记法一）形式完整定义了安全操作的协议数据单元。包括：安全参数（SecurityParameters）数据类型、认证信息（AuthenticationInformation）数据类型、访问控制决策信息（AccessControlDecisionInformation）数据类型以及签名的安全令牌（SignedToken）和受保护的安全令牌（ProtectedToken）等关键数据结构。这些ASN.1模块的设计遵循了ISO/IEC9594系列标准的一贯风格，采用1994版ASN.1规范进行描述，并使用了信息对象类（InformationObjectClass）和约束规范来增强协议的可扩展性和可维护性。编码方式同时支持BER（基本编码规则）和DER（DistinguishedEncodingRules），其中DER用于需要确定性编码的场景（如数字签名）。3.2.3访问控制的协议支持标准详细规定了目录访问控制（DirectoryAccessControl）的协议支持机制。访问控制方案基于ISO/IEC9594-2中定义的访问控制模型，涵盖了访问控制项（ACI）、访问控制信息（ACI）的条目级和属性级粒度控制。在协议实现层面，标准规范了访问控制决策信息的传输编码，确保每个目录操作请求均携带必要的访问控制信息，并由目录系统代理根据本地策略实施访问判定。与早期版本相比，2025版强化了对细粒度访问控制的支持——允许在属性值级别定义访问控制策略，并完善了用户对自身访问权限的查询协议流程。3.2.4与外部安全协议的协同ISO/IEC9594-11:2025加强了与多个外部安全协议标准的协同互操作能力：-与TLS协议（RFC8446/8446bis）的协同：标准增加了目录访问协议（DAP）和目录系统协议（DSP）在TLS安全通道上运行的规范要求，明确了传输层安全（TLS）作为目录安全操作承载信道的推荐配置方式；-与CMS语法（RFC5652）的协同：在需要对目录操作消息进行封装保护时，本标准引用加密消息语法（CMS）作为SignedData和EnvelopedData的封装格式；-与SASL机制的协同：标准吸收了简单认证与安全层（SASL）框架的先进理念，在简单认证方式中引入了SASL机制协商支持，增强了与互联网社区认证基础设施的兼容性。3.3修订版本的主要变化相较于上一版本ISO/IEC9594-11:2020，2025版在以下方面进行了重点修订：1.密码算法套件的更新：新增了对Edwards曲线数字签名算法（EdDSA）和国密SM2/SM3算法套件的可选支持，以更好地适应全球不同地区对商用密码算法的合规要求；2.安全令牌结构的扩展：在SignedToken和ProtectedToken中引入更灵活的属性扩展机制，支持承载自定义安全属性（如安全级别标记、数据分类标签等）；3.跨域认证的协议增强：细化了目录服务之间建立安全关联时的认证协议流程，增加了对代理认证（ProxyCertification）场景的协议支持；4.错误处理与异常恢复的完善：补充了安全操作过程中可能出现的各类异常的协议处理流程，包括证书验证失败、签名验证错误、时间戳过期等场景的规范化处理；5.与X.509（2024版）的同步更新：对齐了最新版X.509中关于证书扩展、名称约束和策略约束的规定，保证目录安全操作中所使用的证书处理逻辑与国际最新实践保持一致。四、标准编制过程与主要参与单位4.1标准编制过程ISO/IEC9594-11:2025的修订工作由国际标准化组织/国际电工委员会第一联合技术委员会（ISO/IECJTC1）下设的SC6分技术委员会（系统间远程通信和信息交换）归口管理，具体由SC6/WG7（目录、对象标识符和注册系统）工作组负责起草。修订工作经历以下主要阶段：-立项准备阶段（2021年10月至2022年5月）：SC6/WG7对9594-11的修订需求进行了系统评估，征集各成员国意见，形成新工作项目提案（NP）；-委员会草案阶段（2022年6月至2023年8月）：工作组汇总各国专家意见，起草委员会草案（CD），并组织多轮远程编辑会议和技术讨论；-国际标准草案阶段（2023年9月至2024年11月）：形成国际标准草案（DIS），在JTC1各成员国范围内开展投票和意见征集；-最终国际标准草案阶段（2024年12月至2025年4月）：根据DIS投票意见完成技术修订，形成最终国际标准草案（FDIS）；-正式发布阶段（2025年8月）：FDIS通过最终投票，经ISO/IEC中央秘书处审核，正式发布。在整个编制过程中，来自中国、美国、英国、德国、日本、韩国、法国等国的技术专家深度参与了标准条款的讨论和起草工作。中国专家主要在密码算法套件的扩展、跨域互操作协议设计方面发挥了重要作用。4.2主要起草单位4.2.1中国电子技术标准化研究院中国电子技术标准化研究院（简称“电子标准院”，CESI）创建于1963年，是工业和信息化部直属的事业单位，也是中国电子信息领域标准化工作的国家级核心机构。作为ISO/IECJTC1/SC6国内技术对口单位的依托机构，中国电子技术标准化研究院长期深度参与目录服务、开放系统互连等领域的国际标准制修订工作。在组织架构方面，电子标准院设有信息技术研究中心、网络安全研究中心、认证中心等多个业务部门，拥有一支结构合理、专业覆盖全面的标准化科研团队。其中，信息技术研究中心具体负责开放系统互连和目录服务标准的国内归口工作，该中心拥有数十名标准化资深专家和青年技术骨干，专业背景涵盖计算机科学与技术、通信工程、密码学、信息安全等领域。在标准化工作方面，中国电子技术标准化研究院是全国信息技术标准化技术委员会（SAC/TC28）的秘书处单位，负责归口管理信息技术领域的国家标准制修订工作。在ISO/IECJTC1/SC6的活动中，电子标准院组织国内产学研用各方力量，系统开展国际标准跟踪、研究、投票和提案工作，在目录服务安全、对象标识符解析、智慧城市信息技术等方向持续输出中国技术方案。在本标准的编制过程中，中国电子技术标准化研究院的专家团队主要贡献了以下工作：一是牵头提出了在标准中增加国密算法可选支持的可行性研究，并完成了SM2/SM3算法套件在目录安全操作协议中的适配方案设计；二是参与了跨域认证协议流程的条款撰写，特别是在多信任域场景下的认证路径构建与验证流程方面提出了建设性意见；三是组织了国内相关单位对该标准各阶段草案进行研读和意见反馈，确保标准条文兼顾国际通用性和国内产业实际。4.2.2其他主要参与机构除中国电子技术标准化研究院外，本标准的技术起草还汇聚了多国标准化机构和行业力量，主要包括：-国际层面：ISO/IECJTC1/SC6/WG7工作组各成员国的注册专家，来自电信运营商、信息技术企业、科研机构和标准化组织；-各国标准化机构：如美国国家标准协会（ANSI）、英国标准协会（BSI）、德国标准化学会（DIN）、日本工业标准调查会（JISC）等；-行业企业：全球领先的网络安全厂商、目录服务软件开发商、密码产品提供商等，为标准的实用性和可实施性提供了产业视角的输入。五、标准应用前景与实施建议5.1应用前景ISO/IEC9594-11:2025作为目录服务安全操作协议的国际规范，在以下领域具有广阔的应用前景：电子政务与数字身份基础设施建设。各国在推进数字政府建设过程中，普遍需要建设跨层级、跨部门、跨地域的统一身份认证与授权管理基础设施。本标准的实施应用，有助于解决不同政务系统之间目录互操作中的安全瓶颈，为公民和企业提供更加便捷、安全的在线政务服务。金融与电信行业的安全基础设施。金融清算结算系统、数字证书认证中心（CA）