LD／T 02.2-2022  人力资源社会保障电子认证体系规范 第2部分：电子认证系统技术规范

6. 1. 2系统结构

证书签发管理系统由证书业务服务、证书管理服务、证书签发服务、密码服务等模块组成。 证书签发管理系统结构如图2所示。

图2证书签发管理系统结构

关请求后，证书业务服务模块将证书或CRL的签发工作转交给证书签发服务模块处理。 b）证书签发服务模块 证书签发服务模块根据证书业务服务模块的签发请求，向密钥管理系统申请密钥，获取密钥 后，调用密码服务模块签发数字证书。对于CRL签发请求，直接由签发服务模块调用密码服务模 央签发CRL。证书或CRL签发完成后，签发服务模块将证书和CRL发布到证书查验服务系统 中。 c）证书管理服务模块 证书管理服务模块提供证书模板管理、证书归档、证书查询、证书统计等功能。 d） 密码服务模块 密码服务模块负责为证书签发管理系统的各模块提供密码支持，以及负责与其他系统通信过 程中的密码运算，主要完成签名和验证工作，签名密钥保存在密码设备中。在进行上述工作中 必须保证所使用的密钥不能以明文形式被读出密码设备。

冶金标准6. 1. 3 系统功能

证书签发管理系统是电子认证系统的核心，不仅为整个电子认证系统提供签发证书/证书撤销列表 的服务，还承担整个电子认证系统中主要的安全管理工作。 证书签发管理系统的主要功能如下： a) 证书生成与签发：从数据库中读取用户信息，根据拟签发的证书类型向密钥管理系统申请加 密密钥对，生成用户的签名证书和加密证书，将签发完成的证书发布到证书查验服务系统和 数据库中。根据系统的配置和管理策略，不同种类或用途的证书可以采用不同的签名密钥； b) 证书更新：系统应提供CA证书及用户证书的更新功能； 证书撤销列表生成与签发：接收撤销信息，签发证书撤销列表，将签发后的撤销列表发布到 证书查验服务系统和数据库中； d) 安全审计：负责对证书签发管理系统的管理人员、操作人员的操作日志进行查询、统计以及

报表生成等； 安全管理：对证书签发管理系统的登录进行安全访问控制，对数据库进行管理和备份；设置 管理员、操作员、审计员，并为这些人员申请和下载数字证书；配置不同的证书模板，支持 证书模板灵活定制； f）证书/证书撤销列表的存储； g）证书签发管理系统应具有并行处理的能力

注册管理系统负责用户的证书申请、身份审核和证书下载。在数字证书申请过程中，证书注 统的核心职责是将证书请求安全可信的提交到证书签发管理系统，等待其签发证书，签发完 证书下载到证书载体中。

6. 2. 2系统结构

正书注册管理由用户信息注册、业务处理、数据管理服务、操作员管理、密码服务等模块组 证书注册管理系统结构如图3所示。

图3证书注册管理系统结构

业务处理模块 理等功能。证书请求是将经过身份审核的证书业务请求通过安全通道传输给证书签发管理系统。 证书下载是将证书签发管理系统签发完成的证书通过安全通道下载到证书注册管理系统，并将证 书下载到证书载体中；证书模板管理是定制证书类型和证书格式的管理工具。 C）数据管理服务模块

操作员管理模块负责证书注册管理系统的操作员注册及其权限设置等管理工作。

6. 2. 3系统功能

证书注册管理系统负责用户证书/证书撤销列表的申请、审核以及证书的制作，其主要功能如下： a) 用户信息的录入：录入用户的申请信息，用户申请信息包括签发证书所需要的信息，还包括 用于验证用户身份的信息，这些信息存放在证书注册管理系统的数据库中。证书注册管理系 统应能够批量接收从外部系统生成的、以电子文档方式存储的用户信息： b 用户信息的审核：提取用户的申请信息，审核用户的真实身份，当审核通过后，将证书签发 所需要的信息提交给证书签发管理系统； C 用户证书下载：证书注册管理系统提供证书下载功能，当证书签发管理系统为用户签发证书 后，证书注册管理系统能够下载用户证书，并将用户证书写入指定的证书载体中，然后分发 给用户； d) 安全审计：负责对证书注册管理系统的管理人员、操作人员的操作日志进行查询、统计以及 报表生成等； 安全管理：对证书注册管理系统的登录进行安全访问控制，并对用户信息数据库进行管理和 备份； f) 多级审核：证书注册管理系统可根据需要由不同级别的管理员进行审核，能够根据需求支持 多级审核模式： g）证书注册管理系统应具有并行处理的能力。

6.3证书查验服务系统

6. 3. 1目录服务系统

6. 3. 1. 1系统描述

目录服务系统负责数字证书证书撤销列表的存储和发布，为用户和应用系统提供证书状态查 用户或应用系统利用数字证书中标识的CRL地址下载CRL文件，从而检验证书的状态。

6. 3. 1. 2系统结构

目录服务系统包括主目录服务器和从目录服务器，应采用主从目录结构以保证证书查验服务系统 的安全。证书签发管理系统签发完成的数据直接写入主目录服务器，然后由目录服务器的主从映射功 能自动映射到从目录服务器中，从目录服务器可以采用分布式的方式进行设置，以提高系统的效率。 主、从目录服务器通常配置在不同等级的安全区域。用户只能访问从目录服务器。 且录服务系统结构如图4所示

6. 3. 1. 3系统功解

图4目录服务系统结构

目录服务系统面向用户和应用系统提供证书下载及CRL下载功能。 a）证书存储； b) 证书撤销列表存储； c) 证书和CRL发布； d) CRL下载：用户或应用系统使用数字证书中签发的CRL地址，根据需要到目录服务器下载 CRL列表，查询证书状态，验证证书有效性： 目录访问控制：目录服务系统需要对目录的访问进行控制，用户和应用系统可根据证书中签 发的目录服务器地址及DN访问从目录服务器，可下载对应的数字证书和CRL。

6.3.2证书状态查询系统

6. 3. 2. 1系统描述

证书状态查询系统主要负责为月 书状态查询服务，除提供基于HTTP协 RL查询、下载服务外，还提供基于OCSP协议的证书状态实时在线查询

6.3.2.2系统结构

证书状态查询系统由证书状态数据库/OCSP服务器、安全管理模块、安全审计模块、数据管 以及密码设备组成。 证书状态查询系统结构如图5所示。

图5证书状态查询系统结构

a）证书状态数据库/OCSP服务器 接受用户及应用系统的证书状态查询请求，根据请求信息中的证书序列号，从证书状态数据库中 查询证书的状态，查询结果返回给请求者。 b）密码设备 验证请求信息中的签名，并对查询结果进行签名。 c）安全管理 主要包括： 1）OCSP服务器的配置，定义可接受的访问控制信息以及查询的证书状态数据库的地址； 2）启动/停止查询服务配置，可接受的用户请求数量等。 d）安全审计 查询证书状态查询系统中的安全审计日志，并进行统计与打印等， e）数据管理 对证书状态查询系统中的证书状态信息的数据同步、CRL列表的同步的配置管理，支持自动数 同步和人工数据同步两种方式。

6. 3. 2. 3系统功能

证书状态查询系统为用户和应用系统提供证书状态查询服务，包括CRL查询、在线证书状态查询 两种方式。 a）CRL查询：提供基于HTTP协议查询CRL列表，用户或应用系统利用证书中标识的CRL地 址，查询并下载CRL到本地，进行证书状态的检验。通过此方式，可以让证书认证中心提供 通过HTTP协议下载CRL列表的服务； b）在线证书状态查询：用户或应用系统利用OCSP协议，在线实时查询证书的状态，查询结果 经过签名后返回给请求者，进行证书状态的检验。

证书认证系统的计算机网络需要合理分段，原则上要求整个网络应划分为四部分： ，公共部分：为电子认证用户所在的网络，所有用户将通过该网络访问电子认证系统 服务部分：为外部用户提供域名解析功能，并负责内部系统对外邮件的收发功能；包括系统 的各种WEB服务器和从目录服务器，是外部用户访问内部功能的接口，为用户提供访问界 面； 管理部分：仅供电子认证系统的工作人员使用的网络；

密钥管理设施主要指密钥管理系统。 密钥管理系统基于公开密钥密码技术，负责为证书认证设施提供SM2算法加密证书密钥对等密钥 服务，并对生命周期内的SM2算法加密证书密钥对进行全过程管理，主要功能包括密钥生成、密钥存 储、密钥分发、密钥备份、密钥更新、密钥撤销、密钥归档和密钥恢复等。

密钥管理系统由密钥生成、密钥管理、密钥库管理、认证管理、密码服务、密钥恢复和安全 模块组成。 密钥管理系统结构如图6所示。

图6密钥管理系统结构

密钥生成模块应提供以下主要功能： 生成非对称密钥对，并将其保存在备用库中；当备用库中密钥数量不足时，自动补充备 用密钥； 2生成对称密钥：

3）生成随机数。 b) 密钥管理模块 密钥管理模块应提供以下主要功能： 接收、审核证书签发管理系统的密钥申请； 2) 调用备用密钥库中的密钥对； 向证书签发管理系统发送密钥对； 对调用的备用密钥库中的密钥对进行处理，并将其转移到在用密钥库； 5) 对在用密钥库中的密钥进行定期检查，将超过有效期的或被撤销的密钥转移到历史密钥 库； 6) 对历史密钥库中的密钥进行处理，将超过规定保留期的密钥转移到规定载体 接收与审查关于恢复密钥的申请，依据安全策略进行处理； 8） 对进入本系统的有关操作及操作人员进行身份与权限的认证

密钥库管理模块负责密钥的存储管理，按照其存储的密钥的状态，密钥库分为备用库、在用 库和历史库等三种类型，密钥库中的密钥数据必须加密存放。 1）备用库 备用库存放待使用的密钥对。密钥生成模块预生成一批密钥对，存放于备用库中；证书 签发管理系统需要时可及时调出，将其提供给证书签发管理系统后转入在用库。 备用密钥库应保持一定数量的待用密钥对，存放的密钥数量依系统的用户数量而定，若 少于设定的最低数量时应自动补足到规定数量。 2）在用库 在用库存放当前使用的密钥对。在用库中的密钥记录包含用户证书的序列号、ID号和有 效时间等标志。 3）历史库 历史库存放过期或已被撤销的密钥对。历史库中的密钥记录包含用户证书的序列号、ID 号、有效时间和作废时间等标志

效时间等标志。 3）历史库 历史库存放过期或已被撤销的密钥对。历史库中的密钥记录包含用户证书的序列号 号、有效时间和作废时间等标志。

密码服务模块负责为密钥管理系统的各模块提供密码支持，以及负责与其他系统通信过 的密码运算，主要完成密钥生成、签名和验证工作，签名密钥保存在密码设备中。在进行上 作中，必须保证所使用的密钥不能以

密钥恢复模块负责为用户恢复加密私钥，被恢复的私钥必须安全地下载到证书载体 g 数据通信 数据通信模块提供密钥管理系统与证书签发管理系统之间的通信功能，保证通信的数据安 全，其主要包括身份认证、数据协议处理、数据加密解密、数据签名验签等功能。 h）安全审计模块 密钥管理系统设置日志审计模块，包括全程审计和事件审计。审计员定时调出审计记录，制 作统计分析表。审计员可以查询分析但不能修改日志审计数据。 审计员可以处理但不能修改日志审计数据。 日志记录的主要内容包括： 1）操作员姓名； 2）操作项目：

3）操作起始时间； 4) 操作终止时间； 5) 证书序列号； 操作结果。 日志管理的主要内容包括： 12 日志参数设置，设置日志保存的最大规模和日志备份的目录； 2) 日志查询，日志查询主要是查询操作员、认证机构操作事件信息； 3) 日志备份，当日志保存到日志参数设置的最大规模时，将保存的日志备份； 4) 日志处理，对日志记录的正常业务流量和各类事件进行分类整理； 5) 证据管理，对证据数据进行审计、统计和记录，

密钥管理系统提供对生命周期内的加密证书密钥对进行全过程管理的功能，包括密钥生成、密钥 储、密钥分发、密钥备份、密钥更新、密钥撤销、密钥归档、密钥恢复以及安全管理等。 a）密钥生成：根据证书签发管理系统的请求为用户生成SM2算法非对称密钥对，该密钥对由密 钥管理系统的硬件密码设备生成，加密保存在密钥管理系统的备用库中； b) 密钥存储：密钥管理系统生成的非对称密钥对，经硬件密码设备加密后存储在密钥数据库 中; 密钥分发：密钥管理系统生成的非对称密钥对通过证书签发管理系统和证书注册管理系统分 发到证书载体中； d) 密钥备份：密钥管理系统采用热备份、冷备份和异地备份等措施实现密钥备份； 密钥更新：当证书到期或用户需要时，密钥管理系统根据证书签发管理系统请求为用户生成 新的非对称密钥对； f 密钥撤销：当证书到期、用户需要或管理机构认为必要时，密钥管理系统根据证书签发管理 系统请求撤销用户当前使用的密钥； g) 密钥归档：密钥管理系统为到期或撤销的密钥提供安全长期的存储； h) 密钥恢复：密钥管理系统可为用户提供密钥恢复服务，为司法取证提供密钥恢复服务。密钥 恢复需按管理策略进行审批，一般用户只限于恢复自身密钥

密钥管理设施的数据备份符合6.5要求。

钥管理设施的数据备份符合6.5要求。

密钥管理设施的可靠性符合6.6要求。

密钥管理设施的物理安全符合6.7要求。

密钥管理设施的运行管理符合6.8要求

8密码算法、密码设备及接口

电子认证系统使用对称密码算法、公钥密码算法和密码杂凑算法等三类算法实现有关密码服务各 项功能，其中，对称密码算法实现数据加解密；公钥密码算法实现签名以及签名验证；密码杂凑算法 实现待签名消息的摘要运算。这些功能的实现依赖于密码设备。 电子认证系统使用的密码算法要求如下： a）对称密码算法：采用国家密码主管部门批准使用的对称密码算法SM1、SM4算法： b）公钥密码算法：采用国家密码主管部门批准使用的公钥密码算法SM2算法； c）密码杂凑算法：采用国家密码主管部门批准使用的密码杂凑算法SM3算法

8.2.1密码设备的功能

密码设备必须具备如下基本功能： a）随机数生成； b) 非对称密钥的产生； 对称密钥的产生； d) 公钥密码算法的加解密运算； e) 对称密码算法的加解密运算； f) 数据摘要运算； g) 密钥的存储； h) 密钥的安全备份和安全导入导出； i) 多密码设备并行工作时，密钥的安全同步。

8.2.2密码设备的安全要求

密码设备应满足下列要求： a 接口安全，不执行规定命令以外的任何命令和操作； 协议安全，所有命令的任意组合，不能得到密钥的明文； 密钥安全，密钥不以明文的形式出现在密码设备之外； d) 物理安全，密码设备应具有物理防护措施，任何情况下的拆卸均应立即销毁设备内保存的密 钥。

密码服务的接口符合LD/T02.4规定的要求。

基础安全防护设施是保证电子认证系统安全可靠运行的必要条件，基础安全防护设施主要包 毒系统、防火墙、漏洞扫描、入侵检测等安全防护设备，具体部署方式参见附录。

应根据不同的操作系统类型，配备相应的防病毒系统，通过这些防病毒系统所具有的实时检 和杀毒功能，达到防范病毒侵害的目的

应配备防火墙进行网络安全域划分，实现对各安全域之间的访问控制和安全防护。工作模式 路由模式。关闭所有系统不需要的端口，

应配备漏洞扫描工具定期对关键服务器、网络设备、操作系统、数据库和应用等进行不同层次的 漏洞扫描，及时发现系统中的潜在漏洞、后门、风险，然后根据扫描工具的提示对这些安全问题进行 处理。

应配备入侵检测系统，监测电子认证系统的运行，从中发现网络或系统中是否有违反安全策略的 行为和被攻击的迹象，实时分析进出网络数据流，对网络违规事件进行跟踪、实时报警、阻断连接并 记录日志，对入侵行为进行检测和控制，一旦发现攻击能够发出报警并采取相应的措施。入侵检测设 备应部署在管理区、核心区上，以保证对外来所有信息包的检测。入侵检测管理控制台与入侵检测探 测设备应采取直连的方式，保证其独立的管理及检测。入侵检测对信息包的检测与分析应设置为高警 戒级别。

流程包括证书申请、证书更新、证书撤销、用户

10. 1.1证书电请

使用数字证书的单位、个人、设备或应用系统，应按照数字证书申请流程及规范，提交数字 息资料，申请证书。 证书申请流程如图7所示。

铁路图纸证书申请流程可分成以下几个子流程：

图7证书申请流程示意图

用户要获得证书首先必须向证书注册管理系统的提交申请，将自已的身份信息提交给R/ 填写证书申请表。

为用户签发证书之前，必须对用户的真实身份进行确认，要求用户提交的注册申请信息与其 真实身份信息相符。 审核通过后，在用户证书载体中生成签名密钥对，同时将签名公钥及用户信息通过RA系统提 交到证书签发管理系统，由证书签发管理系统签发用户证书。 ）签发证书

操作员进行证书的下载时，首先向证书注册管理系统提供确认信息。通过确认后，证书 管理系统将签发好的用户证书和加密密钥对，下载到用户的证书载体中。

石油天然气标准规范范本10. 1. 2 证书更新

证书过期前两个月内，系统应提示用户进行证书更新，证书用户按照提示及时申请更新证书， （确保信息的有效性和密钥的安全。 证书更新可采用以下两种方式： a）在线自助更新：对于证书信息无须改变的证书用户，在证书即将过期时，获得工作人员的授 权后，证书用户自助进行在线证书更新操作，通过在线方式下载新证书到证书载体内，从而 完成证书更新； b）人工更新方式：证书用户持证书载体到证书注册点现场办理证书更新，由证书注册点工作人 员为用户办理证书更新。 证书更新流程如图8所示