LD／T 02.4-2022  人力资源社会保障电子认证体系规范 第4部分：数字证书应用接口规范

6.3.2证书载体接口

6.5应用接口技术要求

密码设备和密码服务接口应提供符合国家密码管理部门规定的密码算法和接口规范，并根据国家 密码管理部门批准的算法及时调整，以适应国家最新技术标准要求。密码算法及算法类型如表1所 。 a）对称密码算法：SM1、SM4等； b）公钥密码算法：SM2算法，兼容RSA算法但不推荐使用； C)HASH 算法: SM3、SHA256 等

6.5.2应用接口运行环境

密码服务接口应支持在以下环境中可靠运行： a）客户端支持国产Linux桌面操作系统及WindowsXP、Windows7、Windows8、Windows10等 主流操作系统； 服务器端支持国产Linux操作系统及Windows2012（或更高版本）、Linux、Unix等所有主流 操作系统； C 服务器端支持硬件密码机或加密卡土壤标准，客户端证书载体支持智能密码钥匙、智能IC卡（第三 代社会保障卡）等设备： d）应用系统支持C/S和B/S的系统结构。

7数字证书典型应用流程

数字证书典型应用流程主要包括以下几类： a) 数字证书登录认证； b) 单向数字签名与验签： c) 双向数字签名与验签； d）加密与解密； e）加密签名与解密验签。 另外，数字证书应用场景相关示例

数字证书典型应用流程主要包括以下几类： a) 数字证书登录认证； b) 单向数字签名与验签； c）双向数字签名与验签； d）加密与解密； e）加密签名与解密验签。 另外，数字证书应用场景相关示例见附录

基于数字证书的登求认证是指用户通过数字证书方式安全登求人力资源社会保障业务系统的 在应用过程中，用户应在业务系统中进行注册，同时需要将业务系统中的注册用户与用户数

进行关联。用户使用数字证书登录前，应安装数学证书客户端软件，准备好证书运行坏境。 数字证书登录认证流程如图2所示，

图2数字证书登录认证流程图

7.3单向数字签名与验签

从而实现客户端向服务器端提交数据的完整性和用户业务操作的不可抵赖性。 单向数字签名和验签流程如图3所示

图3单向数字签名与验签流程图

7.4双向数字签名与验签

双向数字签名与验签是指客户端和服务器端双方分别对业务数据进行数字签名和验证，从而实现 客户端和服务器端双向数据传输的数据完整性和双方业务操作的不可抵赖性。 双向数字签名和验签流程如图4所示。

图4双向数字签名与验签流程图

加密与解密是指业务数据的加密与解密，实现业务数据的保密性。人力资源社会保障业务系统中 数据加密与解密的方式包括： a）使用标准SSL协议对业务数据加密与解密； b）使用数字信封对业务数据进行加密与解密。 业务系统服务器端不需要保存密文，可选择标准SSL协议进行加密和解密。服务器端需要保存密 文，应通过高级证书应用接口实现基于数字信封方式的加密与解密，如图5所示

图5加密与解密流程图

7.6加密签名与解密验签

加密签名与解密验签是指在客户端对业务数据进行加密和签名，服务器端在业务处理前对密 解密和验证签名的过程，从而实现数据保密性、完整性和操作的不可否认性。 加密签名与解密验签流程如图6所示

图6加密签名与解密验签流程图

政策环境和业务需求的变化， 力资源 社会保障 章业务系统会随之变化，因此本文件并不针对 务系统进行详细分类和需求分析，

A.1COM组件接口和Java组件接口调用

A.1.1应用集成部署模型

数字证书应用软件分为客户端和服务器端两个模块，应用系统服务器端通过调用COM组件接口和 Java组件接口实现身份认证、数字签名、数据加解密等基本功能。典型的数字证书应用集成部署模型 如图.1所示

图AI证书应用集成部署模型

根据图A.1所示，基于数字证书的应用系统涉及三个方面：人力资源保障电子认证系统、应用服务 和客户端控件及证书载体等。 人力资源社会保障电子认证系统负责为用户签发用户数学证书，为应用服务器签发设备证书，并 过证书查验服务系统向应用服务器同步CRL文件。 应用服务器端需要部署的内容包括： a）服务器认证软件包：进行加密解密、数字签名验签的软件接口。软件包为C语言的动态库文件 或Java语言的Jar包； b)CRL同步程序：定时从证书查验服务系统下载CRL文件的服务程序：

c）CRL文件：CA系统发布的黑名单文件； d)CA证书：行业CA证书和业务CA证书； e）设备证书：代表服务器身份的数字证书，私钥由密码机产生； f）密码机：存储服务器设备证书对应密钥的密码设备。 客户端用户需要安装证书应用软件客户端控件及证书载体的驱动程序。在日常登录和使用时应将 证书载体（智能密码钥匙）插入客户端的电脑中。 客户端和服务器端通过双方的数字证书进行双向身份认证，在数据传输过程中，双方可通过数字 证书进行签名、验证、加密、解密等安全操作，实现数据完整性、操作的不可抵赖性和数据保密性。

A.1.2数字证书应用示例

A.1.2.1数字证书初始化绑定

用户首先应按照“证书申请流程”完成能够代表自已身份的数字证书申请，以及业务系统的用户 注册。在登录业务系统前，首先应完成数字证书的绑定，即将数字证书的唯一标识与该用户在系统中 的账户（或用户名）进行绑定，实现数字证书与系统用户及其权限的一一对应。证书绑定成功后，应 及时修改数字证书的pin码， 数字证书绑定的操作流程如图人2所示。

图A.2数字证书绑定流程图

A.1.2.2数字证书身份认证

证书用户完成数字证书绑定后，即可使用数字证书登录业务系统，数字证书登录认证处理流程如 a）用户将数字证书载体（智能密码钥匙）插入计算机后，输入业务系统URL地址，访问系统； b）服务器端程序调用认证软件包产生一个随机数，并保存在会话（Session）中； c）服务器端将随机数传递给客户端； d）用户输入证书pin码，由数字证书载体（智能密码钥匙）验证证书pin码的正确性； e）验证证书pin成功后，使用智能密码钥匙对随机数签名； f）客户端将用户证书和签名值提交到服务器端： g）服务器端程序接收到上述数据后，验证用户证书和签名值的有效性。其中，验证证书的有效性 包括：证书有效期、信任源以及是否被吊销； h）解析证书中的唯一标识，根据唯一标识获取用户权限，显示用户权限对应的操作页面。 数字证书身份认证处理流程如图A.3所示。

图A.3数字证书身份认证流程图

A.1.2.3签名验签示例1：金保工程异地业务系统

以金保工程异地业务系统为例，介绍在业务系统中如何利用数字证书实现身份认证和对传输的重 要业务数据的签名保护，从而实现数据完整性和不可抵赖性。 异地业务系统主要是实现异地社会保险关系转移信息交换的业务系统，异地社会保险关系转移的 主要业务操作流程如下： a）A地的参保人员首先登录到本地的异地转移系统，申请保险关系转移业务，并向异地系统上传 申请接收函信息； b）B地异地系统查询下载接收函信息，进行办理转出操作，并向异地系统上传分险种的转移单； c）A地异地系统查询转移单，并下载办理转入，完成后上传转移单，操作完毕。 以A地办理转入业务申请为例，签名验签处理流程如下： a）用户将数字证书载体（智能密码钥匙）插入计算机，登录到异地业务系统； b）编辑、输入、上传接收函文件； c）使用智能密码钥匙对接收函文件进行签名； d）提交接收函文件、签名及签名证书； e）服务器端程序验证签名有效性，对接收函验证签名； f）验证成功后，保存当前的接收函，业务处理结束。

A.1.2.4签名验签示例2：金保工程传输总线系统

图A.4金保工程异地业务系统证书签名验签流程图

工程传输总线系统通过建立数据总线通道，利用数字签名技术实现部门间数据的安全上传和 要应用在金保工程联网软件系统数据报表的上传和下发， 工程传输总线系统中数字证书签名验签处理流程如下：

a) 下级应用系统（如：地市联网软件系统）需要上传数据报表到上级部门时，操作联网软件的 业务人员将数据上传到本地总线服务器上： b）本地总线服务器定时轮询目录中需要上传的报表文件。当检测到上报文件后，产生随机数A， 然后向目的地总线服务器发出服务请求； C 目的地总线服务器接收到请求后，产生随机数B，使用目的地总线服务器的设备证书对随机数 A和随机数B签名，并将随机数B和签名值返回给本地总线服务器； d）本地总线服务器验证目的地总线服务器的证书和签名后，将随机数B和需传输的业务数据进行 组合，使用本地总线服务器的设备证书对组合数据进行签名，将业务数据和签名值发送到目 的地总线服务器； e) 目的地总线服务器验证本地总线服务器的设备证书及签名后，保存本地总线服务器传输的业 务数据，并返回成功信息； f）至此，从本地总线服务器到目的地总线服务器数据文件传输结束。 传输总线系统数字证书签名验签业务处理流程如图A.5所示，

电缆标准规范范本A.2密码应用服务接口调用

A.2.1应用集成部署模型

图A.5金保工程传输总线系统证书签名验签流程图

应用系统通过调用密码应用服务接口实现身份认证、数据加解密、数字签名、时间戳、电子印 章、责任认定等服务功能。典型的应用集成部署模型如图A.6所示。

图A.6证书应用集成部署模型

A.2.2数字证书身份认证应用示例

用户在登录业务系统前，首先应完成数学证书的绑定，即将数字证书的唯一标识与该用户在系统 账户（或用户名）进行绑定，实现数字证书与系统用户及其权限的一一对应。数字证书绑定的操 充程见A.1.2.1。 证书用户完成数字证书绑定后，即可使用数字证书登录业务系统，证书登录认证处理流程如下： a）用户将数字证书载体（智能密码钥匙）插入计算机后，输入业务系统URL地址，访问系统； b）服务器端程序调用B.2.3.2.7随机数获取接口，产生一个随机数，并保存在会话（Session）中； c）服务器端将随机数传递给客户端； d）用户输入证书pin码工字钢标准，由数字证书载体（智能密码钥匙）验证证书pin码的正确性； e）验证证书pin成功后，使用智能密码钥匙对随机数签名； f）客户端将用户证书和签名值提交到服务器端： g）服务器端程序接收到上述数据后，通过密码应用服务接口调用密码应用服务平台验证用户证书 和签名值的有效性。其中，验证证书的有效性包括：证书有效期、信任源以及是否被吊销； h）解析证书中的唯一标识，根据唯一标识获取用户权限，显示用户权限对应的操作页面。 数字证书身份认证处理流程如图A.7所示。

图A.7数字证书身份认证流程图

（规范性） 数字证书客户端与服务端应用接口技术要求