6.2.1文件内容的机密性

可采用数字信封方式对文件内容进行加密，以保证文件内容的机密性。 文件属性采用标签方式组织时，应用系统宜遵循GM/T0055一2018，调用电子文件密码服务中间 牛对指定的文件内容进行加密操作和解密操作。 文件属性由应用系统自行维护时，应用系统可直接对指定的文件内容进行加密操作和解密操作 加密操作的对称密钥应随机生成，并确保一文一密，且应用系统无法获取明态的对称密钥。 文件内容加密操作方法如下： a）获取对称算法、非对称算法标识； b）调用通用密码服务产生对称密钥

c）调用对称加密服务使用对称密钥加密文件内容； d）调用非对称加密服务使用电子文件接收者或应用系统加密公钥加密对称密钥； e）将加密后的对称密钥、对称密钥加密后的文件内容按数字信封格式封装，形成加密文件内容 如果电子文件接收者为多人，则分别采用各接收者加密公钥加密对称密钥，并将所有接收者的 加密对称密钥、对称密钥加密后的文件内容封装于数字信封头部； f）将算法标识、算法模式、反馈位数存储在安全属性中。 文件内容解密操作方法如下： a）从安全属性中获取加密电子文件的对称算法和非对称算法标识； b）根据非对称算法标识调用非对称解密服务，使用加密私钥解密加密后的对称密钥，得到对称 密钥； 根据对称算法标识调用对称解密服务，使用对称密钥解密文件内容

6.2.2文件属性的机密性

可根据需要采用数字信封的方式对文件属性中的元数据属性、印章属性、水印属性、权限属性等属 生信息进行加密，以保证相应属性信息的机密性 文件属性采用标签方式组织时，宜遵循GM/T0055一2018中的方式对相应属性进行机密性保护。 文件属性由应用系统自行维护时项目管理和论文，应用系统可采用封装数字信封方式，对元数据属性、印章属性等 需要保护的属性信息进行加解密操作

6.3.1文件内容的完整性

可采用对文件内容进行签名操作的方式，保证文件内容的完整性， 文件属性采用标签方式组织时，应用系统宜遵循GM/T0055一2018，调用电子文件密码服务中间 件对指定的文件内容进行签名操作和验签操作。 文件属性由应用系统自行维护时，可采用对文件内容进行签名的方式保证文件内容的完整性。添 加签名过程如下： a）获取签名算法、杂凑算法标识； b）调用杂凑算法服务对文件内容明文计算摘要； ） 使用业务操作者或应用系统的签名私钥对摘要值进行数字签名； d）将签名值、算法标识及签名证书按顺序填充到安全属性中。 可采用对文件内容进行验证签名操作的方式验证文件内容的完整性，过程如下： a）从安全属性中获取电子文件签名的杂凑算法标识、签名算法标识、签名证书信息和签名值； b）根据杂凑算法标识调用杂凑算法服务对文件内容计算摘要； c）根据签名算法标识调用签名验证服务，使用签名公钥和摘要值验证文件内容的签名值

6.3.2文件属性的完整性

文件属性采用标签方式组织时，宜遵循GM/T0055一2018，采用对标签进行签名操作的方式，保证 文件属性的完整性。 文件属性由应用系统自行维护时，可采用对文件属性进行签名操作的方式，保证文件属性（不含日 志属性)的完整性。应用系统可通过对应用系统日志的完整性保护来保证单个文件的日志属性的完 整性。 文件属性（不含日志属性）形成或更新时，签名操作的过程如下

a）获取签名算法、杂凑算法标识； 调用杂凑算法服务对除安全属性外其他属性计算摘要； c） 调用杂凑算法服务对安全属性中除自签名信息外的内容计算摘要； d）将所有计算的摘要按既定的规则进行组装； e）i 调用杂凑算法服务对组装后的数据重新计算摘要； 调用签名算法服务使用业务操作者或应用系统的签名私钥对摘要值进行数字签名： g）将签名值、算法标识及签名证书按顺序填充到安全属性的自签名信息中。 通过验证签名可验证文件属性（不含日志属性）的完整性，签名验证操作方法如下： a）从安全属性中获取文件属性签名的杂凑算法标识、签名算法标识、签名证书信息和签名值 b）根据杂凑算法标识调用杂凑算法服务对除安全属性外其他属性计算摘要； C） 调用杂凑算法服务对安全属性中除自签名信息外的内容计算摘要； d） 将所有计算的摘要按既定的规则进行组装； e） 调用杂凑算法服务对组装后的数据重新计算摘要： f 根据签名算法标识调用签名验证服务，使用签名公钥和摘要值验证文件属性签名值

6.4.1文件内容的真实性

文件内容的具实性由文件的签批属性、印章属性以及水印属性来保证。数字签名生成过程如下： a）签批属性：使用签批人签名私钥对签批数据进行数字签名，签名内容包括签批人信息、签批时 间、签批内容、文件内容等； b 印章属性：使用签章人签名私钥对签章数据进行数字签名形成电子印章，签章数据包括签章人 信息、签章时间、文件内容等； C 水印属性：使用水印设置人签名私钥对水印数据进行数字签名，水印数据包括水印设置人、水 印设置时间、水印内容、水印位置等。 验证文件内容真实性的操作方法如下： 验证签批属性：使用签批人签名公钥验证签批属性的数字签名； b）验证印章属性：使用签章人签名公钥验证印章属性的数字签名； C 验证水印属性：使用水印设置人签名公钥验证水印属性的数字签名

6.4.2文件属性的真实性

文件属性的真实性由文件属性的数字签名保证。签名与验证操作同6.3.2。

业务操作者对电子文件操作行为和操作结果的不可否认性可由签批属性、印章属性以及水印属性 中的数字签名来保证，也可由业务操作者日志来保证， 签批属性、印章属性以及水印属性中的数字签名和验证过程同6.4.1。 业务操作者对文件进行操作时需形成业务操作者日志并进行数字签名，过程如下： a）获取签名算法、杂凑算法标识： D 调用杂凑算法服务对本次操作形成的日志记录计算摘要，参与运算的内容包括文件标识号、操 作人、操作时间、操作地点、操作内容、操作结果； C 调用签名算法服务使用业务操作者签名私钥对摘要值进行数字签名； d）将算法标识、签名值填充到该条日志记录：

业务操作者对电子文件操作行为和操作结果的不可否认性可由签批属性、印章属性以及水印属性 中的数字签名来保证，也可由业务操作者日志来保证， 签批属性、印章属性以及水印属性中的数字签名和验证过程同6.4.1。 业务操作者对文件进行操作时需形成业务操作者日志并进行数字签名，过程如下： a）获取签名算法、杂凑算法标识： D 调用杂凑算法服务对本次操作形成的日志记录计算摘要，参与运算的内容包括文件标识号、操 作人、操作时间、操作地点、操作内容、操作结果； C 调用签名算法服务使用业务操作者签名私钥对摘要值进行数字签名； d）将算法标识、签名值填充到该条日志记录；

GB/T385412020

e）将该条日志记录提交应用系统服务器保存。 对日志进行签名验证，过程如下： a）从日志中获取日志签名的杂凑算法标识、签名算法标识和签名值； b 根据杂凑算法标识调用杂凑算法服务对日志记录计算摘要，参与运算的内容包括文件标识号 操作人、操作时间、操作地点、操作内容、操作结果； 根据业务操作者信息获得业务操作者签名证书： d）根据签名算法标识调用签名验证服务，使用业务操作者签名公钥和摘要值验证日志签名值。

7应用系统的密码应用方法

应用系统可采用密码技术提供身份鉴别、权限控制、交换安全、存储安全和审计跟踪等方面的安全 保障，宜遵循GM/T0054。 应用系统配置自身的签名密钥对、加密密钥对及对应的签名证书、加密证书；应用系统用户宜配置 各自的签名密钥对、加密密钥对及对应的签名证书、加密证书；证书的有效性由应用系统调用数字证书 服务功能提供保证。 应用系统可为每份文件分配唯一的文件标识号，并负责建立和维护文件内容与文件属性的关联 关系。

应用系统采用身份鉴别机制，实现用户、系统的单向或双向身份鉴别服务，保证用户、系统身份的真 实性。身份鉴别可采用基于数字证书的鉴别模式，数字证书格式见GB/T20518。

应用系统建立用户权限表，限定用户的最小权限集，同时保证任何用户不能同时拥有系统管理员和 审计管理员的权限。 应用系统的授权行为由保密管理员完成。可使用保密管理员签名私钥对授权内容进行数字签名， 保证授权内容的真实性、完整性，保证保密管理员对授权行为的不可否认性。 用户操作电子文件时，应用系统先使用保密管理员的签名公钥验证授权内容的数字签名，再验证用 户对电子文件的操作权限

电子文件存储在应用系统中时，根据需 机密性、完整性和真实性。机密性保护时，可使用 业务操作者或应用系统加密公钥封装数字信封保护电子文件；完整性和真实性保护时，可使用业务操作 者或应用系统签名私钥对电子文件进行数字签名。具体密码操作同6.2、6.3和6.4。

根据电子文件交换双方的身份不同，可分为业务系统内部交换、业务系统间交换、业务系统与 件管理系统间交换、电子文件管理系统与电子文件长期保存系统间交换。宜采用密码技术保障 全，保证电子文件在交换过程中的真实性、完整性；对于重要电子文件，还要保证其机密性，

7.5.2业务系统内部交换

业务系统内部交换指业务系统内的业务操作者之间交换电子文件。发送时，文件发送者使用自已 或系统的签名私钥和文件接收者的加密公钥对电子文件进行签名与加密；接收时，文件接收者使用对应 的加密私钥与签名公钥进行解密与验签，并将解析得到的电子文件存储于本地系统。具体密码操作同 6.2.6.3和6.4

7.5.3业务系统间交换

业务系统间交换电子文件时，可保留文件内容及标识属性、元数据属性、安全属性、签批属性、印章 属性、数字水印属性，并根据需要保留日志属性、权限属性 发送时，文件发送系统使用自已的系统签名私钥和文件接收系统的加密公钥对电子文件进行签名 与加密；接收时，文件接收系统使用对应的加密私钥与签名公钥进行解密与验签，并将解析得到的电子 文件存储于本地系统。具体密码操作同6.2、6.3和6.4

7.5.4业务系统与电子文件管理系统间交换

业务系统与电子文件管理系统间交换电子文件时，可保留电子文件内容及标识属性、元数据属 全属性，并根据需要保留签批属性、印章属性、数字水印属性、权限属性、日志属性。 交换时，遵循多文件整体一次性交换原则，在保证文件内容与文件属性关联关系的前提下，将多 件按预定规则进行组装形成文件包，对文件包整体做机密性、完整性、真实性保护，而对单个电子文 保留其真实性与完整性保护。 业务系统发送电子文件密码操作方法如下： a 对准备交换的单个电子文件去除机密性，仅保证其完整性与真实性，具体密码操作同6.2、 和6.4； b） 将准备交换的所有电子文件封装成文件包； C 调用通用密码服务产生对称密钥： d） 调用对称加密服务使用对称密钥加密封装成的文件包； e） 调用非对称加密服务使用电子文件管理系统加密公钥加密对称密钥； ） 将加密后的对称密钥、加密后的电子文件包按数字信封格式封装，形成加密文件包； g） 调用杂凑算法服务对加密文件包计算摘要； 使用业务系统签名私钥对摘要值计算数字签名： 1 将业务系统签名证书、签名值、加密文件包一起发送给电子文件管理系统。 电子文件管理系统接收电子文件密码操作方法如下： a） 使用业务系统签名公钥验证文件包的签名值： b） 使用电子文件管理系统的加密私钥解密文件包； C 解封文件包获得电子文件； 将解析得到的电子文件存储于本地系统。具体密码操作同6.2、6.3和6.4

电子文件管理系统与电子文件长期保存系统间交折

电子文件管理系统与电子文件长期保存系统间交换电子文件时，可保留电子文件内容及标识属性、 元数据属性，去除安全属性、权限属性和日志属性，并根据需要保留签批属性、印章属性、数学水印属性。 交换时，去除所有的安全保护机制，遵循多文件整体一次性交换原则，在保证文件内容与文件属性 关联关系的前提下，将多个文件按预定规则进行组装形成文件包，对文件包整体做机密性、完整性、真实 性保护，而对单个电子文件仅保留其真实性与完整性保护

GB/T385412020

电子文件管理系统发送电子文件密码操作方法如下： a）对准备交换的文件去除所有的安全保护机制，并封装成文件包； b）调用通用密码服务产生对称密钥； 调用对称加密服务使用对称密钥加密封装成的文件包； d）调用非对称加密服务使用电子文件长期保存系统加密公钥加密对称密钥； e）将加密后的对称密钥、加密后的电子文件包按数字信封格式封装，形成加密文件包； f）调用杂凑算法服务对加密文件包计算摘要； 使用电子文件管理系统签名私钥对摘要值计算数字签名； h）将电子文件管理系统签名证书、签名值、加密文件包一起发送给电子文件长期保存系统 电子文件长期保存系统接收电子文件流程如下： a）使用电子文件管理系统签名公钥验证文件包的签名值； b）1 使用电子文件长期保存系统的加密私钥解密数字信封； 解封文件包获得电子文件； d） 将解析得到的电子文件存储于本地系统。具体密码操作同6.2、6.3和6.4。

电子文件管理系统发送电子文件密码操作方法如下： a）对准备交换的文件去除所有的安全保护机制，并封装成文件包； b）调用通用密码服务产生对称密钥； 调用对称加密服务使用对称密钥加密封装成的文件包； d）调用非对称加密服务使用电子文件长期保存系统加密公钥加密对称密钥： e）将加密后的对称密钥、加密后的电子文件包按数字信封格式封装，形成加密文件包： f）调用杂凑算法服务对加密文件包计算摘要； 8 使用电子文件管理系统签名私钥对摘要值计算数字签名； h）将电子文件管理系统签名证书、签名值、加密文件包一起发送给电子文件长期保存系统。 电子文件长期保存系统接收电子文件流程如下： a）使用电子文件管理系统签名公钥验证文件包的签名值； b）1 使用电子文件长期保存系统的加密私钥解密数字信封； 解封文件包获得电子文件； d）将解析得到的电子文件存储于本地系统。具体密码操作同6.2、6.3和6.4。

录业务操作者、系统管理者、应用系统对文件操作的具体行为。日志的审计跟踪由审计管理员负责，审 计管理员的审计行为也可记录在系统管理者日志中。所有日志均采用数字签名/验签实现日志安全，保 证重要行为日志的真实性、完整性和不可否认性。 根据日志操作对象，日志分为业务操作者日志、系统管理者日志和应用系统日志，具体内容如下： a）业务操作者日志：使用业务操作者签名私钥对日志内容进行数字签名，保证日志内容的完整 性、真实性，以及业务操作者对操作行为的不可否认性。具体密码操作方法同6.5。 b）系统管理者日志：使用系统管理者签名私钥对日志内容进行数字签名，安全特性、密码操作方 法同业务操作者日志。 c）应用系统日志：使用应用系统签名私钥对日志内容进行数字签名，安全特性、密码操作方法同 业务操作者日志。5ZC 应用系统日志整体的完整性，可使用应用系统签名私钥对日志整体内容进行数字签名的方式来保 证。签名周期可根据日志的规模、数量灵活配置，如一小时一签、一天一签，也可在日志达到预设长度后 就进行签名

8电子文件密码应用参考

本标准给出了文书类电子文件形成办理系统密码应用示例作为电子文件密码应用参考。文书类电 子文件形成办理系统主要为文书类电子文件提供从形成到办理这一过程中所涉及的业务功能。文书类 电子文件形成办理系统可作为一个独立系统存在，也可作为一个子系统或功能模块与电子文件管理系 充同属于一个信息系统。 示参见附录A

附录A （资料性附录） 文书类电子文件形成办理系统密码应用示例

文书类电子文件形成办理系统（以下简称办理系统），遵循GB/T31913一2015，系统中电子文件 理的典型流程如图A.1所示，包含电子文件形成、发送办理与接收办理三个阶段。其中接收办 仅以电子文件“传阅”为例，未涉及其他承办过程

A.1.2电子文件形成

图A.1文书类电子文件形成办理流程示例

起草环节：起草人填写文件的基本信息，并编写文件内容。 审核环节：审核人审核文件内容，并记录审核人、审核日期、审核意见。 签发环节：签发人对文件内容进行签发前的审核，并记录签发人、签发日期、签发意见。

A.1.3电子文件发送办理

GB/T385412020

复核环节：复核人对电子文件及元数据进行复核，并记录复核人、复核日期、复核意见 登记环节：记录电子文件的元数据信息。 印制环节：将电子文件制成版式文件，并加盖电子印章 核发环节：记录电子文件发送、接收信息，对电子文件的实体信息和元数据信息进行封装后，通过电 子文件交换送达收件方。 发送办结环节：完成发送办结过程

A.1.4电子文件交换

将电子文件由发件方传递至收件方。

A.1.5电子文件接收办理

签收环节：签收人签收电子文件，记录签收人、签收日期。 登记环节：记录文件接收的元数据信息。 初审环节：初审人对接收的电子文件进行初审，并记录初审人、初审日期、初审意见 传阅环节：电子文件在阅知人范围内传阅，并记录阅知人、阅知日期、阅知意见。 接收办结环节：完成接收办理过程

A.2.1电子文件形成

宜保证起草人、审核， 否认性；宜保证文件内容、意见的真实性 性：宜依据电子文件的密级、保密期限保证电子文件存储的机密性，

A.2.2电子文件发送办理

宜保证复核人、盖章人对自身操作行为的不可否认 性；宜保证元数据属性、印章属性等文件属收 的真实性和完整性：宜依据电子文件的密级、保密期限保证电子文件存储的机密性

A.2.3电子文件交换

宜保证电子文件交换过程中的机密性和完整性；宜对参与交换双方身份进行鉴别，保证电子文 直实、接收可靠，

A.2.4电子文件接收办理

宜保证签收人、登记人、查阅人对自身操作行为的不可否认性；宜保证电子文件的文件内容和 性的真实性和完整性；宜使用密码技术保证电子文件的机密性，控制电子文件的知悉范围

起草人通过办理系统客户端，使用起草人的签名私钥对文件内容进行数字签名，并发送给办 办理系统收到电子文件后，验证起草人的数字签名，并使用办理系统的加密私钥对电子文件进行

办理系统将电子文件去除机密性保护后发送给审核人。 审核人首先验证起草人对电子文件的数字签名，然后填写审核意见，并使用审核人的签名私钥对文 件内容、审核意见、审核时间等进行数字签名，最后将上述信息一同发送给办理系统。 办理系统收到电子文件后，验证审核人的数字签名，并使用办理系统的加密私钥对电子文件进行机 密性保护

办理系统将电子文件去除机密性保护后发送给签发人。 签发人首先验证起草人和审核人对电子文件的数字签名，然后填写签发意见，并使用签发人的签名 弘钥对文件内容、签发意见、签发时间等进行数字签名，最后将上述信息一同发送给办理系统， 办理系统收到电子文件后，验证签发人的数字签名，并使用办理系统的加密私钥对电子文件进行机 密性保护

办理系统电子文件去除机密性保护后发送给复核人。 复核人首先验证起草人、审核人和签发人对电子文件的数字签名，然后填写复核意见，并使用复核 人的签名私钥对文件内容、复核意见、复核时间等进行数字签名，最后将上述信息一同发送给办理系统。 办理系统收到电子文件后，验证复核人的数字签名，并使用办理系统的加密私钥对电子文件进行机 密性保护

办理系统将电子文件去除机密性保护后发送给登记人。 登记人首先验证起草人、审核人、复核人和签发人对电子文件的数字签名；然后修改电子文件的文 号、发往单位、份数等元数据信息，并使用登记人的签名私钥对文件内容和元数据属性进行数字签名；最 后将上述信息一同发送给办理系统。 办理系统收到电子文件后，验证登记人的数字签名，并使用办理系统的加密私钥对电子文件进行机 密性保护。

办理系统将电子文件去除机密性保护后发送给盖章人。 盖章人首先验证起草人、审核人、复核人、签发人和登记人对电子文件的数字签名；然后为电子文件 加盖电子印章；最后将上述信息一同发送给办理系统， 办理系统收到电子文件后，验证电子签章的正确性垫片标准，并使用办理系统的加密私钥对电子文件进行机 密性保护。

办理系统将电子文件去除机密性保护后发送给核发人。 核发人验证电子签章的正确性，然后填写核发意见，并使用核发人的签名私钥对文件内容、核发 该发时间等进行数字签名，最后将上述信息一同发送给办理系统， 办理系统收到电子文件后，验证核发人的数字签名，并使用办理系统的加密私钥对电子文件进行

完成发送办理过程，此过程不涉及电子文件密码应用

GB/T385412020

收件方验证电子文件机密性、完整性，验证电子印章的真实性。并使用收件方办理系统的加密 电子文件重新进行机密性保护

记录文件接收信息，此过程不涉及密码应用

办理系统将电子文件去除机密性保护后发送给初审人 初审人验证电子签章的正确性，然后填写初审意见，并使用初审人的签名私钥对文件内容、初审意 见、初审时间等进行数字签名，最后将上述信息一同发送给办理系统。 办理系统收到电子文件后，验证初审人的数字签名，并使用办理系统的加密私钥对电子文件进行机 密性保护。

完成接收办理过程灰铸铁标准，此过程不涉及电子文件密码