(高清版)GB∕T 38566-2020 軍民通 用資源信息代碼的安全轉換與防偽技術規(guī)范

A90中華人民共和國國家標準軍民通用資源信息代碼的安全轉換與防偽技術規(guī)范—v-2020-03-06發(fā)布2020-10-01實施國家市場監(jiān)督管理總局國家標準化管理委員會ⅠGB／T38566—2020 1范圍 2規(guī)范性引用文件 3術語和定義 4縮略語 5要求 5.1轉換對象及其數(shù)據(jù)安全認證 5.2安全轉換 5.3防偽圖碼 5.4信息轉換安全 5.5安全保障 6試驗方法 6.1安全驗證 6.2防偽圖碼防偽驗證 附錄A（規(guī)范性附錄）CLA數(shù)字簽名格式規(guī)范 附錄B（規(guī)范性附錄）基礎設施安全管理要求 參考文獻 ⅢGB／T38566—2020本標準按照GB/T1.1—2009給出的規(guī)則起草。本標準由全國防偽標準化技術委員會(SAC/TC218)提出并歸口。本標準起草單位：中國防偽行業(yè)協(xié)會、軍事科學院法制研究院、中國人民解放軍國防大學聯(lián)合勤務學院、北京鼎九信息工程研究院有限公司、61912部隊、中防驗證（北京）網(wǎng)絡服務平臺股份有限公司、吉林省通程科技有限公司、北京百旺信安科技有限公司。本標準主要起草人：陳錫蓉、于學東、劉志、李英、李增欣、邱慶、楊恒亮、劉文、錢魯鋒、隆亮、王力猛、楊國明、林斌、劉穎。1GB／T38566—2020軍民通用資源信息代碼的安全轉換與防偽技術規(guī)范本標準規(guī)定了信息代碼的安全轉換對象及其數(shù)據(jù)安全認證、安全轉換、防偽圖碼、信息轉換安全、安全保障等要求和試驗方法。本標準適用于軍民不同標準體系之間軍民通用資源信息代碼的安全轉換與防偽。2規(guī)范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/TGB/TGB/TGB/T22258—200829260—201231770—201534062—2017防偽標識通用技術條件網(wǎng)屏編碼防偽技術條件防偽溯源編碼技術條件GM/TGM/TSM4分組密碼算法SM2橢圓曲線公鑰密碼算法SM3密碼雜湊算法3術語和定義3.13.23.33.4下列術語和定義適用于本文件。應用密碼技術、數(shù)字水印和隱形信息編碼技術，按照矩陣圖形編碼機理生成的二維圖形編碼產(chǎn)品。描述密碼處理過程的運算規(guī)則。[GM/T0026—2014,定義3.1]標明算法的數(shù)字信息。-1SM22GB／T38566—20203.5由橫坐標和縱坐標兩個分量來表示的SM2曲線上的一個點。4縮略語下列縮略語適用于本文件。5.1轉換對象及其數(shù)據(jù)安全認證轉換對象為反應軍民通用資源信息的軍用信息代碼和民用信息代碼。5.1.2轉換對象數(shù)據(jù)安全認證采用CLA數(shù)字簽名技術實現(xiàn)，見附錄A。用于軍民通用資源數(shù)據(jù)載體的碼制應選用符合國家標準的二維碼碼制或結合其他防偽技術的二維碼，包括GB/T31770—2015、GB/T29260—2012等?？墒褂梅纻螆D碼實現(xiàn)軍用信息代碼和民用信息代碼之間的轉換。軍用信息代碼和民用信息代碼的安全轉換應用模型見圖1。GB／T38566—2020圖1安全轉換應用模型示意圖防偽圖碼生成容量和尺寸可根據(jù)需求調(diào)整。當圖形有不超過3個角同時污損或污損面積不超過三分之一時，應能正確識讀圖碼內(nèi)信息。圖碼存儲內(nèi)容應分為軍用信息代碼和民用信息代碼兩部分，分區(qū)儲存。防偽圖碼生成器輸出的防偽圖碼應具有唯一的ID。應采用非對稱密碼等技術實現(xiàn)防篡改。5.2.4生成和識讀設備生成和識讀設備應符合密碼產(chǎn)品和防偽技術產(chǎn)品的技術要求。34GB／T38566—2020應能識讀軍用信息代碼和民用信息代碼，支持離線數(shù)據(jù)安全認證和離線識讀安全轉換。應能下載專用的APP或軟件識讀民用信息代碼。應符合GB/T22258—2008要求。應符合GB/T34062—2017要求。5.4信息轉換安全防偽圖碼中信息的來源應真實可靠。在傳輸、存儲防偽圖碼中的信息或數(shù)據(jù)過程中，應確保信息或數(shù)據(jù)不被未授權的篡改或在篡改后能夠被迅速發(fā)現(xiàn)。防偽圖碼中信息應與原始信息保持一致。經(jīng)加密的信息未經(jīng)授權應無法識讀?；A設施安全管理應符合基礎設施通信、網(wǎng)絡系統(tǒng)、身份認證、訪問控制、安全審計、人員安全管理等安全要求，見附錄B。6試驗方法。通過專用識讀設備查驗，每一個防偽圖碼應有唯一ID。5GB／T38566—2020采用識讀設備對防偽圖碼識讀，使用通用識讀設備，能正確識讀出民用信息代碼。使用專用識讀設備，能夠正確識讀出軍用信息代碼和民用信息代碼。識讀設備在離線狀態(tài)下仍能完成上述操作，實現(xiàn)離線識讀驗證。6.2防偽圖碼防偽驗證按照GB/T22258—2008的規(guī)定進行。6.2.2防偽溯源編碼驗證按照GB/T34062—2017的規(guī)定進行。6GB／T38566—2020附錄A（規(guī)范性附錄）CLAA時被任意數(shù)量的簽名者簽名。中，加密數(shù)據(jù)是用數(shù)據(jù)加密密鑰加密的，數(shù)據(jù)加密密鑰是用接收者的公鑰加密的。少一個簽名者的簽名組成。加密密鑰。方式能夠確定一個共享秘密密鑰的值。該類型用于兩個用戶為產(chǎn)生共享秘密密鑰進行的公共參數(shù)交換。A.7CLA系統(tǒng)A.7.1CLA系統(tǒng)原理CLA采用基于橢圓曲線的無證書密鑰管理。由KGC為每個用戶按用戶標識生成加密公私鑰對。7GB／T38566—2020用戶的簽名公私鑰對由KGC和用戶共同生成，首先由用戶設置一個私密值，再由KGC按用戶標識生成部分私鑰，同時對這兩部分進行綁定，使之成為一個不可分割的整體，可有效防止用戶密鑰遭受公鑰替換攻擊和偽造簽名攻擊。密鑰管理系統(tǒng)在啟用初期，由管理員控制，進行系統(tǒng)初始化，在密碼設備中生成系統(tǒng)主密鑰。系統(tǒng)一次性生成16對SM2公私鑰對，作為系統(tǒng)主密鑰。在不同的時期和不同的應用中可使用不同的系統(tǒng)主密鑰對，以便密鑰更換和密鑰分割使用。在一個時期或一種應用場景下，密鑰管理系統(tǒng)根據(jù)策略選擇2對主密鑰，作為當前系統(tǒng)主密鑰。A.7.2.2用戶簽名密鑰對生成首先由用戶設置一個私密值，再由密鑰生成系統(tǒng)按用戶標識生成部分私鑰，同時對這兩部分進行綁定，使之成為一個不可分割的整體，可有效防止用戶密鑰遭受公鑰替換攻擊和偽造簽名攻擊。A.7.2.3用戶加密密鑰對生成用戶實體的加密密鑰對由KGC生成。用戶私鑰實際上就是常規(guī)的SM2算法私鑰，可使用SM2算法進行數(shù)字簽名和私鑰解密。用戶公鑰就是常規(guī)的SM2算法公鑰，并將公鑰的一部分在用戶公鑰標識中公開，用戶實際公鑰可通過用戶標識和系統(tǒng)公鑰計算獲得。在公鑰加密或簽名驗證時，若需要使用其他用戶的公鑰，需要首先獲取用戶公鑰標識，再通過計算，獲取用戶實際公鑰。KGC通過目錄服務（或網(wǎng)站）發(fā)布用戶密鑰當前狀態(tài)，并提供查詢服務，供公眾用戶查詢。在使用公鑰時，可通過KGC查詢用戶公鑰的有效性。使用者發(fā)送用戶公鑰標識到KGC,KGC返回該公鑰的當前狀態(tài)。采用國家密碼管理局頒布的GM/T0002、GM/T0003、GM/T0004。算法的具體參數(shù)如下：c)HASH算法SM3,HASH結果長度32字節(jié)。8GB／T38566—2020由于基于SM2的無證書認證系統(tǒng)生成的用戶密鑰對實際上就是常規(guī)的SM2公私鑰對，所以可以適用于所有SM2標準密碼算法，如SM2簽名算法、SM2加密算法和SM2密鑰交換算法等。根據(jù)無證書公鑰密碼體制的獨特性，還可以構造與基于標識的密碼密鑰算法具有相似功能的簽名算法、密鑰協(xié)商算法和認證算法。在基于SM2的無證書認證系統(tǒng)中，公鑰依賴方應首先獲取對方用戶的公鑰標識，再根據(jù)用戶公鑰標識計算用戶的實際公鑰，在計算的同時，可以確認計算出的公鑰的確由對應的用戶所擁有。如果用戶在簽名、認證和密鑰協(xié)商時，將自己的公鑰標識作為簽名結果、認證憑據(jù)和密鑰協(xié)商數(shù)據(jù)的一部分提交，接收者則可直接計算用戶的實際公鑰。因此，可以從標準的簽名算法、認證算法、密鑰協(xié)商算法推導出基于標識的簽名算法、基于標識的認證算法和基于標識的密鑰協(xié)商算法。使用SM2無證書認證系統(tǒng)實現(xiàn)基于標識的簽名／驗簽原理如下：簽名算法為：驗簽算法為：在身份認證和密鑰交換時，當事雙方在線進行數(shù)據(jù)交換時可向對方提供自己的公鑰標識，從而可直接計算和確認對方的實際公鑰，因此可以實現(xiàn)基于標識的身份認證和基于標識的密鑰交換。9GB／T38566—2020附錄B（規(guī)范性附錄）基礎設施安全管理要求各模塊之間通信采用安全通信協(xié)議，確保通信的保密性、完整性和不可抵賴性。通信過程中的密碼運算，均采用國家標準密碼算法和通過審定的密碼設備。B.1.2通信實體的標識每一個通信實體的標識和密鑰唯一的標識該實體的身份，每一個實體具有唯一標識，不同實體，其標識和密鑰不同。B.1.3通信實體的身份鑒別基于數(shù)字簽名的雙向身份鑒別。B.1.4通信內(nèi)容的加密保護密鑰信息通過標準格式的密鑰封裝后進行加密傳輸。密鑰標識注冊系統(tǒng)在收到封裝后的密鑰信息后，直接導入到用戶密鑰載體中，由密鑰載體內(nèi)部解封裝后，生成相應的用戶密鑰。用戶密鑰信息在傳輸過程的所有環(huán)節(jié)都是保密的。協(xié)議通信采取簽名和加密技術保護數(shù)據(jù)傳輸?shù)耐暾?、真實性、保密性和不可否認性。B.2網(wǎng)絡系統(tǒng)安全防火墻保護應符合：入侵檢測系統(tǒng)部署在服務區(qū)網(wǎng)段出入口，偵聽網(wǎng)絡數(shù)據(jù)流，尋找網(wǎng)絡違規(guī)模式和未授權的網(wǎng)絡訪問嘗試。入侵檢測技術提供對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡系統(tǒng)受到危害之前攔截和響應入侵。系統(tǒng)配備有漏洞掃描工具，能夠掃描出已知的最新安全漏洞，形成安全報告，并根據(jù)安全報告對網(wǎng)絡和系統(tǒng)進行優(yōu)化，消除存在的安全隱患。GB／T38566—2020通過服務器支持整個系統(tǒng)中各有關設備的病毒防治，對系統(tǒng)中可能感染的病毒進行查殺。B.3主機系統(tǒng)安全使用安全的操作系統(tǒng)，及時消除操作系統(tǒng)漏洞、缺陷帶來的隱患；采取措施防病毒、木馬等惡意程序；對系統(tǒng)賬戶、權限進行安全管理和合理配置；防止系統(tǒng)參數(shù)、配置的不當設置帶來的安全漏洞；采用達到C1以上安全級別的操作系統(tǒng)。B.3.2用戶賬戶安全用戶賬戶安全應符合下列要求：戶使用權?？诹畎踩珣舷铝幸螅盒枰页霾⒔眠@些用戶名和口令。B.3.4訪問權限安全根據(jù)用戶身份和訪問模式（讀、寫、執(zhí)行）限制對目標的訪問。B.4設備安全基本功能要求應符合下列要求：APPSDKGB／T38566—2020B.4.2安全性要求B.4.2.1二維碼生成設備的安全性二維碼的生成應采用硬件設備，該設備應為商用密碼產(chǎn)品。B.4.2.2二維碼生成信息具有時間戳二維碼內(nèi)具有時間戳，時間戳的生成具有安全性機制。BID二維碼內(nèi)信息應具有非用戶寫入的唯一ID信息，并具有保證ID唯一性的安全機制。B.4.2.4密鑰管理系統(tǒng)的安全性密鑰管理系統(tǒng)應具有商用密碼產(chǎn)品型號證書。B.4.2.5識讀具有離線能夠識讀碼內(nèi)信息的安全機制二維碼碼內(nèi)信息的安全性能夠通過手機APP中的SDK識讀，識讀碼內(nèi)信息不需要通過后臺返回數(shù)據(jù)，離線識讀信息與寫入碼內(nèi)信息一致，不可篡改和不可抵賴。B.4.2.6生成數(shù)據(jù)的準確性和完整性二維碼生成系統(tǒng)應能生成符合設計要求的二維碼，保證生成的二維碼信息準確和完整，識讀設備應能準確、完整識讀二維碼信息。B.4.2.7跨域安全信息共享不同生成服務器生成的二維碼可以通過驗證識讀。B.5身份認證技術身份認證技術應符合下列要求：認證。通過安全認證方可實施有關操作。過后，方可準許進入系統(tǒng)。密和驗簽，驗簽正確后，接收方向發(fā)送方傳送帶有簽名的回執(zhí)。B.6訪問控制技術訪問控制技術應符合下列要求：全運行。GB／T38566—2020BKEY進行登錄，其中超級管理員、審計管理員和業(yè)務管理員的USBKEY密鑰在密鑰生成系統(tǒng)在初始化的時同時產(chǎn)生。B.7安全審計日志應記錄