(高清版)GB∕T 38566-2020 軍民通 用資源信息代碼的安全轉(zhuǎn)換與防偽技術(shù)規(guī)范

A90中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)軍民通用資源信息代碼的安全轉(zhuǎn)換與防偽技術(shù)規(guī)范—v-2020-03-06發(fā)布2020-10-01實(shí)施國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)ⅠGB／T38566—2020 1范圍 2規(guī)范性引用文件 3術(shù)語(yǔ)和定義 4縮略語(yǔ) 5要求 5.1轉(zhuǎn)換對(duì)象及其數(shù)據(jù)安全認(rèn)證 5.2安全轉(zhuǎn)換 5.3防偽圖碼 5.4信息轉(zhuǎn)換安全 5.5安全保障 6試驗(yàn)方法 6.1安全驗(yàn)證 6.2防偽圖碼防偽驗(yàn)證 附錄A（規(guī)范性附錄）CLA數(shù)字簽名格式規(guī)范 附錄B（規(guī)范性附錄）基礎(chǔ)設(shè)施安全管理要求 參考文獻(xiàn) ⅢGB／T38566—2020本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。本標(biāo)準(zhǔn)由全國(guó)防偽標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC218)提出并歸口。本標(biāo)準(zhǔn)起草單位：中國(guó)防偽行業(yè)協(xié)會(huì)、軍事科學(xué)院法制研究院、中國(guó)人民解放軍國(guó)防大學(xué)聯(lián)合勤務(wù)學(xué)院、北京鼎九信息工程研究院有限公司、61912部隊(duì)、中防驗(yàn)證（北京）網(wǎng)絡(luò)服務(wù)平臺(tái)股份有限公司、吉林省通程科技有限公司、北京百旺信安科技有限公司。本標(biāo)準(zhǔn)主要起草人：陳錫蓉、于學(xué)東、劉志、李英、李增欣、邱慶、楊恒亮、劉文、錢(qián)魯鋒、隆亮、王力猛、楊國(guó)明、林斌、劉穎。1GB／T38566—2020軍民通用資源信息代碼的安全轉(zhuǎn)換與防偽技術(shù)規(guī)范本標(biāo)準(zhǔn)規(guī)定了信息代碼的安全轉(zhuǎn)換對(duì)象及其數(shù)據(jù)安全認(rèn)證、安全轉(zhuǎn)換、防偽圖碼、信息轉(zhuǎn)換安全、安全保障等要求和試驗(yàn)方法。本標(biāo)準(zhǔn)適用于軍民不同標(biāo)準(zhǔn)體系之間軍民通用資源信息代碼的安全轉(zhuǎn)換與防偽。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/TGB/TGB/TGB/T22258—200829260—201231770—201534062—2017防偽標(biāo)識(shí)通用技術(shù)條件網(wǎng)屏編碼防偽技術(shù)條件防偽溯源編碼技術(shù)條件GM/TGM/TSM4分組密碼算法SM2橢圓曲線公鑰密碼算法SM3密碼雜湊算法3術(shù)語(yǔ)和定義3.13.23.33.4下列術(shù)語(yǔ)和定義適用于本文件。應(yīng)用密碼技術(shù)、數(shù)字水印和隱形信息編碼技術(shù)，按照矩陣圖形編碼機(jī)理生成的二維圖形編碼產(chǎn)品。描述密碼處理過(guò)程的運(yùn)算規(guī)則。[GM/T0026—2014,定義3.1]標(biāo)明算法的數(shù)字信息。-1SM22GB／T38566—20203.5由橫坐標(biāo)和縱坐標(biāo)兩個(gè)分量來(lái)表示的SM2曲線上的一個(gè)點(diǎn)。4縮略語(yǔ)下列縮略語(yǔ)適用于本文件。5.1轉(zhuǎn)換對(duì)象及其數(shù)據(jù)安全認(rèn)證轉(zhuǎn)換對(duì)象為反應(yīng)軍民通用資源信息的軍用信息代碼和民用信息代碼。5.1.2轉(zhuǎn)換對(duì)象數(shù)據(jù)安全認(rèn)證采用CLA數(shù)字簽名技術(shù)實(shí)現(xiàn)，見(jiàn)附錄A。用于軍民通用資源數(shù)據(jù)載體的碼制應(yīng)選用符合國(guó)家標(biāo)準(zhǔn)的二維碼碼制或結(jié)合其他防偽技術(shù)的二維碼，包括GB/T31770—2015、GB/T29260—2012等?？墒褂梅纻螆D碼實(shí)現(xiàn)軍用信息代碼和民用信息代碼之間的轉(zhuǎn)換。軍用信息代碼和民用信息代碼的安全轉(zhuǎn)換應(yīng)用模型見(jiàn)圖1。GB／T38566—2020圖1安全轉(zhuǎn)換應(yīng)用模型示意圖防偽圖碼生成容量和尺寸可根據(jù)需求調(diào)整。當(dāng)圖形有不超過(guò)3個(gè)角同時(shí)污損或污損面積不超過(guò)三分之一時(shí)，應(yīng)能正確識(shí)讀圖碼內(nèi)信息。圖碼存儲(chǔ)內(nèi)容應(yīng)分為軍用信息代碼和民用信息代碼兩部分，分區(qū)儲(chǔ)存。防偽圖碼生成器輸出的防偽圖碼應(yīng)具有唯一的ID。應(yīng)采用非對(duì)稱密碼等技術(shù)實(shí)現(xiàn)防篡改。5.2.4生成和識(shí)讀設(shè)備生成和識(shí)讀設(shè)備應(yīng)符合密碼產(chǎn)品和防偽技術(shù)產(chǎn)品的技術(shù)要求。34GB／T38566—2020應(yīng)能識(shí)讀軍用信息代碼和民用信息代碼，支持離線數(shù)據(jù)安全認(rèn)證和離線識(shí)讀安全轉(zhuǎn)換。應(yīng)能下載專用的APP或軟件識(shí)讀民用信息代碼。應(yīng)符合GB/T22258—2008要求。應(yīng)符合GB/T34062—2017要求。5.4信息轉(zhuǎn)換安全防偽圖碼中信息的來(lái)源應(yīng)真實(shí)可靠。在傳輸、存儲(chǔ)防偽圖碼中的信息或數(shù)據(jù)過(guò)程中，應(yīng)確保信息或數(shù)據(jù)不被未授權(quán)的篡改或在篡改后能夠被迅速發(fā)現(xiàn)。防偽圖碼中信息應(yīng)與原始信息保持一致。經(jīng)加密的信息未經(jīng)授權(quán)應(yīng)無(wú)法識(shí)讀?；A(chǔ)設(shè)施安全管理應(yīng)符合基礎(chǔ)設(shè)施通信、網(wǎng)絡(luò)系統(tǒng)、身份認(rèn)證、訪問(wèn)控制、安全審計(jì)、人員安全管理等安全要求，見(jiàn)附錄B。6試驗(yàn)方法。通過(guò)專用識(shí)讀設(shè)備查驗(yàn)，每一個(gè)防偽圖碼應(yīng)有唯一ID。5GB／T38566—2020采用識(shí)讀設(shè)備對(duì)防偽圖碼識(shí)讀，使用通用識(shí)讀設(shè)備，能正確識(shí)讀出民用信息代碼。使用專用識(shí)讀設(shè)備，能夠正確識(shí)讀出軍用信息代碼和民用信息代碼。識(shí)讀設(shè)備在離線狀態(tài)下仍能完成上述操作，實(shí)現(xiàn)離線識(shí)讀驗(yàn)證。6.2防偽圖碼防偽驗(yàn)證按照GB/T22258—2008的規(guī)定進(jìn)行。6.2.2防偽溯源編碼驗(yàn)證按照GB/T34062—2017的規(guī)定進(jìn)行。6GB／T38566—2020附錄A（規(guī)范性附錄）CLAA時(shí)被任意數(shù)量的簽名者簽名。中，加密數(shù)據(jù)是用數(shù)據(jù)加密密鑰加密的，數(shù)據(jù)加密密鑰是用接收者的公鑰加密的。少一個(gè)簽名者的簽名組成。加密密鑰。方式能夠確定一個(gè)共享秘密密鑰的值。該類型用于兩個(gè)用戶為產(chǎn)生共享秘密密鑰進(jìn)行的公共參數(shù)交換。A.7CLA系統(tǒng)A.7.1CLA系統(tǒng)原理CLA采用基于橢圓曲線的無(wú)證書(shū)密鑰管理。由KGC為每個(gè)用戶按用戶標(biāo)識(shí)生成加密公私鑰對(duì)。7GB／T38566—2020用戶的簽名公私鑰對(duì)由KGC和用戶共同生成，首先由用戶設(shè)置一個(gè)私密值，再由KGC按用戶標(biāo)識(shí)生成部分私鑰，同時(shí)對(duì)這兩部分進(jìn)行綁定，使之成為一個(gè)不可分割的整體，可有效防止用戶密鑰遭受公鑰替換攻擊和偽造簽名攻擊。密鑰管理系統(tǒng)在啟用初期，由管理員控制，進(jìn)行系統(tǒng)初始化，在密碼設(shè)備中生成系統(tǒng)主密鑰。系統(tǒng)一次性生成16對(duì)SM2公私鑰對(duì)，作為系統(tǒng)主密鑰。在不同的時(shí)期和不同的應(yīng)用中可使用不同的系統(tǒng)主密鑰對(duì)，以便密鑰更換和密鑰分割使用。在一個(gè)時(shí)期或一種應(yīng)用場(chǎng)景下，密鑰管理系統(tǒng)根據(jù)策略選擇2對(duì)主密鑰，作為當(dāng)前系統(tǒng)主密鑰。A.7.2.2用戶簽名密鑰對(duì)生成首先由用戶設(shè)置一個(gè)私密值，再由密鑰生成系統(tǒng)按用戶標(biāo)識(shí)生成部分私鑰，同時(shí)對(duì)這兩部分進(jìn)行綁定，使之成為一個(gè)不可分割的整體，可有效防止用戶密鑰遭受公鑰替換攻擊和偽造簽名攻擊。A.7.2.3用戶加密密鑰對(duì)生成用戶實(shí)體的加密密鑰對(duì)由KGC生成。用戶私鑰實(shí)際上就是常規(guī)的SM2算法私鑰，可使用SM2算法進(jìn)行數(shù)字簽名和私鑰解密。用戶公鑰就是常規(guī)的SM2算法公鑰，并將公鑰的一部分在用戶公鑰標(biāo)識(shí)中公開(kāi)，用戶實(shí)際公鑰可通過(guò)用戶標(biāo)識(shí)和系統(tǒng)公鑰計(jì)算獲得。在公鑰加密或簽名驗(yàn)證時(shí)，若需要使用其他用戶的公鑰，需要首先獲取用戶公鑰標(biāo)識(shí)，再通過(guò)計(jì)算，獲取用戶實(shí)際公鑰。KGC通過(guò)目錄服務(wù)（或網(wǎng)站）發(fā)布用戶密鑰當(dāng)前狀態(tài)，并提供查詢服務(wù)，供公眾用戶查詢。在使用公鑰時(shí)，可通過(guò)KGC查詢用戶公鑰的有效性。使用者發(fā)送用戶公鑰標(biāo)識(shí)到KGC,KGC返回該公鑰的當(dāng)前狀態(tài)。采用國(guó)家密碼管理局頒布的GM/T0002、GM/T0003、GM/T0004。算法的具體參數(shù)如下：c)HASH算法SM3,HASH結(jié)果長(zhǎng)度32字節(jié)。8GB／T38566—2020由于基于SM2的無(wú)證書(shū)認(rèn)證系統(tǒng)生成的用戶密鑰對(duì)實(shí)際上就是常規(guī)的SM2公私鑰對(duì)，所以可以適用于所有SM2標(biāo)準(zhǔn)密碼算法，如SM2簽名算法、SM2加密算法和SM2密鑰交換算法等。根據(jù)無(wú)證書(shū)公鑰密碼體制的獨(dú)特性，還可以構(gòu)造與基于標(biāo)識(shí)的密碼密鑰算法具有相似功能的簽名算法、密鑰協(xié)商算法和認(rèn)證算法。在基于SM2的無(wú)證書(shū)認(rèn)證系統(tǒng)中，公鑰依賴方應(yīng)首先獲取對(duì)方用戶的公鑰標(biāo)識(shí)，再根據(jù)用戶公鑰標(biāo)識(shí)計(jì)算用戶的實(shí)際公鑰，在計(jì)算的同時(shí)，可以確認(rèn)計(jì)算出的公鑰的確由對(duì)應(yīng)的用戶所擁有。如果用戶在簽名、認(rèn)證和密鑰協(xié)商時(shí)，將自己的公鑰標(biāo)識(shí)作為簽名結(jié)果、認(rèn)證憑據(jù)和密鑰協(xié)商數(shù)據(jù)的一部分提交，接收者則可直接計(jì)算用戶的實(shí)際公鑰。因此，可以從標(biāo)準(zhǔn)的簽名算法、認(rèn)證算法、密鑰協(xié)商算法推導(dǎo)出基于標(biāo)識(shí)的簽名算法、基于標(biāo)識(shí)的認(rèn)證算法和基于標(biāo)識(shí)的密鑰協(xié)商算法。使用SM2無(wú)證書(shū)認(rèn)證系統(tǒng)實(shí)現(xiàn)基于標(biāo)識(shí)的簽名／驗(yàn)簽原理如下：簽名算法為：驗(yàn)簽算法為：在身份認(rèn)證和密鑰交換時(shí)，當(dāng)事雙方在線進(jìn)行數(shù)據(jù)交換時(shí)可向?qū)Ψ教峁┳约旱墓€標(biāo)識(shí)，從而可直接計(jì)算和確認(rèn)對(duì)方的實(shí)際公鑰，因此可以實(shí)現(xiàn)基于標(biāo)識(shí)的身份認(rèn)證和基于標(biāo)識(shí)的密鑰交換。9GB／T38566—2020附錄B（規(guī)范性附錄）基礎(chǔ)設(shè)施安全管理要求各模塊之間通信采用安全通信協(xié)議，確保通信的保密性、完整性和不可抵賴性。通信過(guò)程中的密碼運(yùn)算，均采用國(guó)家標(biāo)準(zhǔn)密碼算法和通過(guò)審定的密碼設(shè)備。B.1.2通信實(shí)體的標(biāo)識(shí)每一個(gè)通信實(shí)體的標(biāo)識(shí)和密鑰唯一的標(biāo)識(shí)該實(shí)體的身份，每一個(gè)實(shí)體具有唯一標(biāo)識(shí)，不同實(shí)體，其標(biāo)識(shí)和密鑰不同。B.1.3通信實(shí)體的身份鑒別基于數(shù)字簽名的雙向身份鑒別。B.1.4通信內(nèi)容的加密保護(hù)密鑰信息通過(guò)標(biāo)準(zhǔn)格式的密鑰封裝后進(jìn)行加密傳輸。密鑰標(biāo)識(shí)注冊(cè)系統(tǒng)在收到封裝后的密鑰信息后，直接導(dǎo)入到用戶密鑰載體中，由密鑰載體內(nèi)部解封裝后，生成相應(yīng)的用戶密鑰。用戶密鑰信息在傳輸過(guò)程的所有環(huán)節(jié)都是保密的。協(xié)議通信采取簽名和加密技術(shù)保護(hù)數(shù)據(jù)傳輸?shù)耐暾?、真?shí)性、保密性和不可否認(rèn)性。B.2網(wǎng)絡(luò)系統(tǒng)安全防火墻保護(hù)應(yīng)符合：入侵檢測(cè)系統(tǒng)部署在服務(wù)區(qū)網(wǎng)段出入口，偵聽(tīng)網(wǎng)絡(luò)數(shù)據(jù)流，尋找網(wǎng)絡(luò)違規(guī)模式和未授權(quán)的網(wǎng)絡(luò)訪問(wèn)嘗試。入侵檢測(cè)技術(shù)提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。系統(tǒng)配備有漏洞掃描工具，能夠掃描出已知的最新安全漏洞，形成安全報(bào)告，并根據(jù)安全報(bào)告對(duì)網(wǎng)絡(luò)和系統(tǒng)進(jìn)行優(yōu)化，消除存在的安全隱患。GB／T38566—2020通過(guò)服務(wù)器支持整個(gè)系統(tǒng)中各有關(guān)設(shè)備的病毒防治，對(duì)系統(tǒng)中可能感染的病毒進(jìn)行查殺。B.3主機(jī)系統(tǒng)安全使用安全的操作系統(tǒng)，及時(shí)消除操作系統(tǒng)漏洞、缺陷帶來(lái)的隱患；采取措施防病毒、木馬等惡意程序；對(duì)系統(tǒng)賬戶、權(quán)限進(jìn)行安全管理和合理配置；防止系統(tǒng)參數(shù)、配置的不當(dāng)設(shè)置帶來(lái)的安全漏洞；采用達(dá)到C1以上安全級(jí)別的操作系統(tǒng)。B.3.2用戶賬戶安全用戶賬戶安全應(yīng)符合下列要求：戶使用權(quán)?？诹畎踩珣?yīng)符合下列要求：需要找出并禁用這些用戶名和口令。B.3.4訪問(wèn)權(quán)限安全根據(jù)用戶身份和訪問(wèn)模式（讀、寫(xiě)、執(zhí)行）限制對(duì)目標(biāo)的訪問(wèn)。B.4設(shè)備安全基本功能要求應(yīng)符合下列要求：APPSDKGB／T38566—2020B.4.2安全性要求B.4.2.1二維碼生成設(shè)備的安全性二維碼的生成應(yīng)采用硬件設(shè)備，該設(shè)備應(yīng)為商用密碼產(chǎn)品。B.4.2.2二維碼生成信息具有時(shí)間戳二維碼內(nèi)具有時(shí)間戳，時(shí)間戳的生成具有安全性機(jī)制。BID二維碼內(nèi)信息應(yīng)具有非用戶寫(xiě)入的唯一ID信息，并具有保證ID唯一性的安全機(jī)制。B.4.2.4密鑰管理系統(tǒng)的安全性密鑰管理系統(tǒng)應(yīng)具有商用密碼產(chǎn)品型號(hào)證書(shū)。B.4.2.5識(shí)讀具有離線能夠識(shí)讀碼內(nèi)信息的安全機(jī)制二維碼碼內(nèi)信息的安全性能夠通過(guò)手機(jī)APP中的SDK識(shí)讀，識(shí)讀碼內(nèi)信息不需要通過(guò)后臺(tái)返回?cái)?shù)據(jù)，離線識(shí)讀信息與寫(xiě)入碼內(nèi)信息一致，不可篡改和不可抵賴。B.4.2.6生成數(shù)據(jù)的準(zhǔn)確性和完整性二維碼生成系統(tǒng)應(yīng)能生成符合設(shè)計(jì)要求的二維碼，保證生成的二維碼信息準(zhǔn)確和完整，識(shí)讀設(shè)備應(yīng)能準(zhǔn)確、完整識(shí)讀二維碼信息。B.4.2.7跨域安全信息共享不同生成服務(wù)器生成的二維碼可以通過(guò)驗(yàn)證識(shí)讀。B.5身份認(rèn)證技術(shù)身份認(rèn)證技術(shù)應(yīng)符合下列要求：認(rèn)證。通過(guò)安全認(rèn)證方可實(shí)施有關(guān)操作。過(guò)后，方可準(zhǔn)許進(jìn)入系統(tǒng)。密和驗(yàn)簽，驗(yàn)簽正確后，接收方向發(fā)送方傳送帶有簽名的回執(zhí)。B.6訪問(wèn)控制技術(shù)訪問(wèn)控制技術(shù)應(yīng)符合下列要求：全運(yùn)行。GB／T38566—2020BKEY進(jìn)行登錄，其中超級(jí)管理員、審計(jì)管理員和業(yè)務(wù)管理員的USBKEY密鑰在密鑰生成系統(tǒng)在初始化的時(shí)同時(shí)產(chǎn)生。B.7安全審計(jì)日志應(yīng)記錄