标准规范下载简介：
内容预览由机器从pdf转换为word，准确率92%以上，供参考
GB／T 21053-2023 信息安全技术 公钥基础设施 PKI系统安全技术要求.pdfPKI系统的订户密钥备份安全要求如下： 增强级的PKI系统的文档中应规定订户密钥备份方法； bD） 订户签名私钥应由订户自行备份，订户用于实现保密性保护的密钥可由PKI系统提供备份服 务或由订户自行备份； ） 如果订户用于实现保密性保护的密钥由PKI系统备份，PKI系统应支持订户密钥备份功 能，确保订户密钥备份时私钥的保密性，应通过符合6.1b)要求的密钥管理产品存储、存储于 密码模块中或使用存储于密码模块中的密钥加密后存储，上述密码模块应具备密码模块安全 二级及以上的密码产品认证证书
PKI系统的订户密钥恢复安全要求如下： a） 如果PKI系统支持订户密钥备份，PKI系统应提供订户密钥恢复功能，实现对由PKI系统备 份的订户加密密钥的恢复； b) 1 应保证订户加密密钥恢复过程中的密钥完整性，恢复过程中私钥应以加密形式存在； c）PKI系统的文档中应规定订户密钥恢复方法
6.3.9.1私钥归档
PKI系统的订户密钥私钥归档安全要求如下： a）增强级的PKI系统应支持订户密钥的私钥归档功能，对需要被归档的私钥进行归档； b）1 PKI系统在私钥归档中应区分用于签名的私钥和用于解密数据的私钥SJG 114-2022标准下载，并确保签名私钥不被 归档，仅用于解密数据的私钥可被归档； 注：私钥归档与备份类似，同样保存一份私钥的拷贝，但用于不同的目的。备份用于保证系统运作的连续性，以防 意外事故造成的私钥损坏、丢失、删除等。而归档用于长期的、将来为解密历史数据提供服务。 c）增强级的PKI系统的文档中应规定私钥归档方法
6.3.9.2公钥归档
PKI系统的订户密钥公钥归档安全要求如下： a) 增强级的PKI系统应确保订户的公钥能够被归档，以支持在数字证书从目录中移除后验证数 字签名； b) 增强级的PKI系统支持订户密钥的公钥归档功能，并在文档中规定公钥归档方法
PKI系统的订户密钥销毁要求如下： A 当由PKI系统管理的订户密钥被销毁时，应确保订户密钥的销毁过程是不可逆的，提供的 毁程序可包括：用随机数据覆盖存储密钥的媒介、存储体，物理销毁存储密钥的媒介等：
PKI系统的订户密钥销毁要求如下
） PKI系统应支持订户密钥销毁功能，
订户密钥更新指对过期或者私钥的安全性受到威胁的订户密钥进行更新。PKI系统的订户密钥更 折安全要求如下： a）新的订户密钥的产生应符合6.3.2中订户密钥生成的规定； b）新的订户密钥的分发应符合6.3.4中订户公钥分发的规定； c）在密钥更新过程中，如果旧的用户公钥需要归档，应符合6.3.9中订户密钥归档的规定； d）旧的用户密钥的销毁应符合6.3.10中订户密钥销毁的规定； e）PKI系统应支持订户密钥的更新，在更新过程中应采取安全措施保证订户密钥的安全性； f) 增强级的PKI系统的文档中应说明订户密钥的更新方法，并确保严格按照文档中规定的方法 操作。
在PKI系统中，可预先根据应用场景定义证书、CRL和OCSP响应中字段和扩展可能的值，包含这 些信息的数据称为模板
6.4.2证书模板管理
PKI系统的证书模板管理安全要求如下： a）1 PKI系统应支持证书模板管理功能，确保管理员可通过证书模板预先定义证书中的字段和扩 展可能的值，并确保字段和扩展与GB/T20518一2018的5.2相一致； b）PKI系统应确保发布的证书与证书模板中的描述一致； C） 1 PKI系统应确保发布证书前，管理员通过证书模板管理操作为以下字段和扩展指定了可能 的值： ·证书持有人的标识符； ·主体的算法标识符； ·证书发布者的标识符； ·证书的有效期； ·证书序列号； ·密钥用法（keyUsage)； ·基本限制（basicConstraints)； ·证书策略（certificatePolicies）
6.4.3证书撤销列表模板管理
支持通过CRL进行证书撤销的PKI系统的CRL模板管理安全要求如下。 a） PKI系统应支持证书撤销列表模板管理功能，确保管理员可通过证书撤销列表模板定义CRI 中字段和扩展中可接受的值，并确保字段和扩展应与GB/T20518一2018的5.3相一致，CRI 模板中可包含对以下内容可接受值的定义： ·CRL可能或者应包括的扩展和每一扩展； ·CRL的发布者；
·CRL的下次更新日期。 b）PKI系统发布CRL时，应保证发布的CRL与通过模板管理功能预先定义的内容相一致。 C） PKI系统应确保发布CRL前，系统管理员通过CRL模板管理操作为以下字段和扩展指定了 可能的值： ·颁发者（issuer)； ·颁发者替换名称（issuerAltName）； ·下次更新日期（NextUpdate）。
6.4.4在线证书状态协议模板管理
支持通过OCSP进行证书撤销的PKI系统的OCSP模板管理安全要求如下： 2 1 应支持OCSP模板管理功能，确保管理员可通过OCSP模板定义OCSP响应中可接受 的值； b）PKI系统发布OCSP响应时，应确保OCSP响应与模板一致； C） PKI系统应确保发布OCSP响应前，系统管理员通过OCSP模板管理操作为以下字段和扩展 指定了可能的值： ·回复类型（responseType)； ·若PKI系统允许使用基本响应类型的OCSP响应，则PKI系统管理员应预先为回复数据 （ResponseData）中ResponderID数据项指定可接受的值
PKI系统应通过CA、RA实现证书注册、证书生成和证书撤销等证书管理功能。并在证书注册、 成和证书撤销方面，满足6.5.2～6.5.6中的安全要求。
PKI系统应支持证书注册功能，对输人证书字段和扩展中的数据进行校验和批准，可采用的校验和 批准方式包括： 由操作员人工进行数据校验和批准； 自动检查和批准数据； 由PKI系统自动生成符合要求的字段或扩展的值； 由预先定义的证书模板中获得数据。
PKI系统的证书生成安全要求如下： PKI系统应确保证书生成功能所签发的公钥证书的格式符合GB/T20518一2018中的规 定，任何证书所包含的字段或扩展应被PKI系统根据GB/T20518一2018生成或由颁发机构 验证以保证其一致性； b) 如果待签发证书的公私钥对不是由PKI系统所产生的，PKI系统应通过验证确保证书主体拥 有与证书中包含的公钥相对应的私钥。
若PKI系统采用CRL方式实现证书撤销，则应对发布的CRL进行验证，验证CRL的所有必要项 的值是否符合GB/T20518一2018中5.3的规定
若PKI系统采用OCSP方式实现证书撤销，则应支持OCSP响应功能，并验证OCSP响应所有必 要项的值是否符合GM/T0014一2012中5.6的规定
PKI系统的证书更新安全要求如下： Aa) 1 PKI系统应支持证书更新功能，实现对已发布证书有效期的更新，在进行证书更新时，可对证 书中包含的密钥进行同时更新，密钥更新的安全要求见6.2.10和6.3.10； b）PKI系统应在更新CA证书的过程中采取安全措施保证PKI系统服务的安全性和连续性； C+ PKI系统应在发布更新后证书的过程中并保护证书的安全，包括：防止对证书等发起替换攻 击等。
PKI系统的证书变更安全要求如下： a) 1 PKI系统应支持证书变更功能，实现对已发布证书中信息的变更； b PKI系统应在发布变更后证书的过程中并保护证书的安全，包括：防止对证书等发起替换攻 击等
6.6.1用户身份鉴别
PKI系统的用户身份鉴别安全要求如下。 a）PKI系统应支持用户身份鉴别功能，对系统用户和订户进行身份鉴别。 b）PKI系统应预先设定由PKI系统代表用户执行的、与安全功能无关的动作，并确保在用户身 份被鉴别之前，可执行这些预设动作，例如： 1）响应查询公开信息（例如：在线证书状态查询等）； 2）接收用户发来的数据，但直到系统用户批准之后才处理。 c）PKI系统应定义所支持的用户鉴别机制的类型。 d）当进行用户鉴别时，PKI系统应避免泄露用户的鉴别数据。
PKI系统的用户身份鉴别安全要求如下。 a）PKI系统应支持用户身份鉴别功能，对系统用户和订户进行身份鉴别。 b）PKI系统应预先设定由PKI系统代表用户执行的、与安全功能无关的动作，并确保在用户身 份被鉴别之前，可执行这些预设动作，例如： 1）响应查询公开信息（例如：在线证书状态查询等）； 2）接收用户发来的数据，但直到系统用户批准之后才处理。 c）PKI系统应定义所支持的用户鉴别机制的类型。 d）当进行用户鉴别时，PKI系统应避免泄露用户的鉴别数据。
6.6.2多因素身份鉴别
PKI系统的多因素身份鉴别安全要求如下： Ea） 增强级的PKI系统应实现两种或以上的鉴别机制，并支持对不同身份的用户使用不同的鉴别 机制，以及对同一用户同时使用多种鉴别过程进行多因素鉴别； b） 当对单个用户同时使用多种鉴别过程进行鉴别时，所使用的鉴别机制中应包含基于数字证书 的鉴别机制
PKI系统的多因素身份鉴别安全要求如下： a) 1 增强级的PKI系统应实现两种或以上的鉴别机制，并支持对不同身份的用户使用不同的鉴别 机制，以及对同一用户同时使用多种鉴别过程进行多因素鉴别； b） 当对单个用户同时使用多种鉴别过程进行鉴别时，所使用的鉴别机制中应包含基于数字证书 的鉴别机制。
PKI系统的鉴别失败处理安全要求如下： a）PKI系统应支持鉴别失败次数检测功能，当不成功鉴别尝试次数达到或超过了定义界限等情 况发生时，能够检测并记录； b）应支持鉴别失败检测参数配置功能，允许管理员对相关参数进行配置，包括：失败的鉴别次数 和失效时间值等； c）增强级的PKI系统应支持鉴别失败处理功能，当检测到用户自最近一次鉴别成功以来不成功 的鉴别尝试的次数达到或超过了定义的界限时，PKI系统应采取应对措施以防止口令猜测等 攻击，可采取的应对措施包括：在后续一段时间内限制用户继续进行鉴别尝试等等，并保证至 少有一个用户账号不应失效，以防止拒绝服务攻击
6.7.1用户属性定义
PKI系统应支持安全属性维护功能，实现对用户安全属性的维护。安全属性包括但不限于身份、 组、角色、许可、安全和完整性等级
PKI系统的角色与责任安全要求如下。 a）PKI系统应提供PKI系统的管理员和操作员的角色定义。各角色的主要职责包括： 1）管理员：安装、配置、维护系统；建立和管理用户账户；生成部件密钥；执行系统的备份和恢 复；查看和维护审计日志（系统中没有定义专门的审计员角色时)； 2）操作员：签发和撤销证书。 b）增强级的PKI系统应提供PKI系统的审计员的角色定义，并将与审计相关的职责分配给审计 员，包括：查看和维护审计日志。 c）PKI系统应提供主体与角色关联功能，具备使主体与角色相关联的能力，并通过对角色的管理 进行相关限制，确保单个身份不应同时具备多个角色的权限，单个用户不应同时拥有多个 角色
5.7.3系统用户访问控制
PKI系统的系统用户访问控制安全要求如下：
PKI系统的系统用户访问控制安全要求如下：
a） 1 PKI系统应提供系统用户注册、注销功能，为用户分配或者使用系统特权时，应对该操作进行 严格的限制和控制； b）增强级的PKI系统应具备对系统用户开展定期审核的能力，定期审核系统用户的权限分配是 否适当，包括：角色和属性分配是否合理、单个身份不同时具备多个角色的权限、单个用户不同 时拥有多个角色等等，审核可自动执行或告知管理员手动执行； c）PKI系统应提供系统用户访问控制功能； H） 增强级的PKI系统应定义系统关键操作，包括：CA私钥和关键部件密钥的生成、备份、更新 导人导出、恢复、销毁等，并确保当且仅当多个具有相应权限的用户同时通过身份鉴别后，才能 执行被定义为系统关键操作的操作； e）PKI系统应在文档中提供访问控制的相关文档，并包含如下几个方面内容： 1）角色及其相应的访问权限； 2）标识与鉴别系统用户的过程； 3）角色的职能分割
艳阳天鄂州店改造工程施工组织设计-8wr6.8.2审计数据产生
审计查阅功能应支持为系统用户提供查看所有日志信息的能力，并以适于阅读和解释的方式向 员提供日志信息
6.8.4选择性审计查阅
生，以防正审计数据去失
6.8.6审计日志完整性保护
PKI系统的原发抗抵赖安全要求如下： a） 增强级的PKI系统应提供原发抗抵赖证据生成功能，对证书状态信息和其他安全相关信息强 制产生原发抗抵赖证据小型桥梁施工组织设计方案，以实现采用密码技术保证的不可否认性，PKI系统应能使信息原发者 的身份等属性与证据使用信息的安全相关部分相关联； b） 增强级的PKI系统应能为所有安全相关的信息提供验证信息原发证据的能力，按正规的程序 来进行验证
PKI系统的备份和恢复安全要求如下： Aa） PKI系统应支持备份和恢复功能，执行备份的频率取决于系统或者组件的重要性，在系统备份 数据中应保存足够的信息使系统或组件能够重建备份时的系统状态，PKI系统必要时可调用 恢复功能，从系统失败或者其他严重错误的情况下重建系统； b）增强级的PKI系统应通过数字签名等机制防止备份数据受到未授权的修改，备份数据中的关 键安全参数应以加密形式存储； c）PKI系统的备份方案应能在不中断数据库使用的前提下实施； d）1 PKI系统应提供人工和自动备份模式； e）I PKI系统应提供实时和定期备份模式； f）PKI系统应提供增量备份功能； g） PKI系统的备份应提供归档检索与恢复功能； h） PKI系统应支持通过在线备份和恢复等方式，在系统失败或者其他严重错误的情况下保证 PKI系统服务的连续性