T∕WAPIA 013.3-2025 信息安全技术 数字证书管理 第3部分：证书颁发技术

I 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起本文件是T/WAPIA013《信息安全技术数字证书管理》的第3部分。T/WAPIA0请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中关村无线网络安全产业联盟与工业和信息本文件由中关村无线网络安全产业联盟无线网络安全标准化工作委员本文件起草单位：北京数字认证股份有限公司、中关村无线网络安全产业联盟、南方电网科技（广东）有限公司、广州莲雾科技有限公司、深圳市智开科技有限公司、西安芯语慧技有限公司、西安西电捷通无线网络通信股份有限公司、无线网络安全技术国家工程研究中本文件主要起草人：侯鹏亮、于双双、辛文、李忠、黄振海、张璐璐、刘婷、郑骊、简V随着WAPI技术的不断发展，证书颁发与更新机制的安全性、高便捷获取；本地颁发适用于网络环境不稳定或无法联网的场景。本文件还详细规定了证书更新本文件实施过程中，涉及到密码技术的具体应用时，适用密码算法相关国家标准、行业1信息安全技术数字证书管理第3部分：证书颁发本文件确立了证书颁发和更新程序，规定了终端实体证书颁发的运维管理要求和安全性要GB/T20518—2006信息安全技术公钥基础设施数字证书格式4缩略语API：应用程序编程接口（applicationprogramminginterface）AS：鉴别服务器（authenticationserver）CIS：证书签发服务器（certificateissuingDER：可分辨编码规则（distinguishedencodingruHTTPS：安全超文本传输协议（hypertexttransferprotocolsecurJSON：javascript对象表示法（javascriptobjeMAC：媒体访问控制（mediumaccesscontrol）PEM：隐私增强邮件（privacyenhancedmaPOST：持久化覆盖式状态传输（persistentoverwritetransferstate）UTF-8：UCS变换形式8（UCStrWAPI：无线局域网鉴别与保密基础结构（WLANauthenticationandprivacyinfrastructure）5.1证书密钥管理及格式要求入到证书中，由CIS进行管理。非密钥托管模式下，终端设备应b)终端设备成功生成密钥对后，应将私钥安全存储于终端设备本地，2—2006所规定的X.509数字证书的基本格式和T/WAPIA013.5—2024所规定的数据项。5.2证书颁发过程具等方式安全传输至终端设备，并将证书存储在本地安全位置进行CIS宜具备终端操作员身份核验机制，可通过具备个人信息绑定的安全通知通道（如电话或短消息业务、即时通信系统等方式）发送授权码。终端操作人员的身份信息、通讯信息可提前在CIS中绑定，用于证书申请和下发时终端操作员的身份核验，CIS所发送的授权码宜设置小于10分钟的有效时间，超35.3证书网络颁发接口接口描述请求参数否4是是4是8否后通过安全通道告知终端操否请求示例{"deviceid":"E8:D0:}接口响应4是201：失败msg是否{}接口描述5请求参数否否数是是8否是否请求示例{"deviceid":"E8:D0:"devicep10":"MIIBEjCByAIBATBRMRQwEgYKCZImiZPyLGQBGRYEV0FQSTCzAJBgNVBAoMAmFhMQswCQYDVQQLDAJiYjESMBAGA1UEAwwJY2MwNEBBU7G0xAzSpOa/Xb1bAhgFVy7p7EC7bFgy+shRoecVfdtvIKqJfG}接口响应64是201：失败msg是否{}接口描述c)接口地址：/cis/api/d请求参数否否是是否请求示例7{"deviceid":"E8:D0:}接口响应4是201：失败msg是是是是是否{"ascertname":"CSGSC_"ascert":"MIICMDCCAeWgAwIBAgIJAJW+dIYd4x2PMAwGCCqBHNdjAQEBpWueUVLkbeyvogIYJtMtr2CMSelWFbpwDp916OHD6TB"devicecert":"MIICKzCCAeCgAwIBAgICAcgwDAYIKoEc12MBAQEFADBVMRQwVyaBxAQCGHsZ9CsBddyOaufEllrcqUMe1/I40wE}8网络更新用于设备证书到期前设备自动发起更新，更新方式依赖于API人工干预即可无缝衔接至最新的设备证书。CIS应提供接口实现证书网络更新，更新过程中需要使用旧证书对应的私钥签名值进行身份校验，仅在签名验证通过时生成新本地更新需要管理员手动操作，并将更新后的证书本地下发至各个STA（或AP）,CIS应将更新后的是是是是段的内容进行签名，本字段为签名是否{"deviceid":"E8:D0:"oldserial":"A5v0hG0d"devicep10":"MIIBEjCByAIBATBRMRQwEgYKCZImiZPyLGQBGRYEV0FQSTEL9CzAJBgNVBAoMAmFhMQswCQYDVQQLDAJiYjESMBAGA1UEAwwJY2MwNEBBU7G0xAzSpOa/Xb1bAhgFVy7p7EC7bFgy+shRoecVfdtvIK}4是201：失败msg是是否{"devicecert":"MIICKzCCAeCgAwIBAgICAcgwDAYIKoEc12MBAQEFADBVMRQwlb50hh3jHY8wDAYIKoEc12MBAQEFAAM3ADA0AhgxbaFyVyaBxAQCGHsZ9CsBddyOaufEllrcqUMe1/I40wE}证书被撤销或过期，CIS应将其从证书列表中标记，并及时通知AS。证书撤销或过期网络设备将终端下线，当终端再次尝试接入网络时，CIS应具备三员分立机制，系统内部应实施严格的权限划分机制。设备管理员、审核管理员及审计b)设备信息审核通过，其状态信息应自c)设备信息审核未通过，其状态信息应自动certificationRequestInfoCertificatisignatureAlgorithmAlgorithmIdentifier{{Sig}subjectPKInfoSubjectPublicKeyInfo{{PKInfo}}NameAttributes-----BEGINCERTIFICATEREQUESTMIIBGzCB0AIBATBcMRQwEgYKCZImiZPyLGQBGRYEV0FQSTELMAkGA1UEBhMCQ04xEDAOBgNVBAoMB0hUS0MwMDExEDAOBgNVBAsMB0hUS0MwMDIxEzARBgNVBAMMS0MwMDJAQUUwSjAUBgcqhkjOPQIBBgkqgRzXYwEBAgEDMgAECD8tQdnSpkOjMxCcSaCqxflY0QFSvxczF/Irczm4Umsn/CyzdyAaY3ID/oCEwHwYIYIZIRAIxEwwRNDA6Nzc6YTk6YTM6YmI6ZjAwDAYIKoEc12MBAQEFAAM4ADA1AhkAQGB9jVCmQydBATLD82e/uNsfiY/5Ahhvdz16r/7B+nvP9cgurDniBNcZfhA5-----ENDCERTIFICATEREQUEST-04083f2d41d9d2a56fa53762db90e8ccc42712682a