GM-T 0109-2021 清晰版 基于云計算的電子簽名服務(wù)技術(shù)要求

ICS35.030CCSL80中華人民共和國密碼行業(yè)標(biāo)準(zhǔn)基于云計算的電子簽名服務(wù)技術(shù)要求Tv2021-10-18發(fā)布2022-05-01實施國家密碼管理局發(fā)布Ⅰ 2規(guī)范性引用文件 3術(shù)語和定義 4縮略語 5基于云計算的電子簽名服務(wù)一般架構(gòu) 5.1架構(gòu)模型 5.2服務(wù)模式 6依賴方技術(shù)要求 7簽名方技術(shù)要求 7.1總體要求 7.2本地數(shù)據(jù)保護(hù) 7.3身份鑒別 7.4通信數(shù)據(jù)保護(hù) 7.5密鑰管理 7.6電子簽名的確認(rèn)與控制 8云簽名服務(wù)技術(shù)要求 8.2建設(shè)要求 8.3電子簽名服務(wù)要求 8.4運行支撐要求 8.5安全審計要求 附錄A（資料性）幾種典型的云簽名服務(wù)模式 ⅢGM／T0109—2021本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由密碼行業(yè)標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口。本文件起草單位：北京數(shù)字認(rèn)證股份有限公司、數(shù)安時代科技股份有限公司、三未信安科技股份有限公司、長春吉大正元信息技術(shù)股份有限公司、中金金融認(rèn)證中心有限公司、中國電力科學(xué)研究院有限公司、北京金奧博數(shù)碼信息技術(shù)有限責(zé)任公司、杭州天谷信息科技有限公司、浙江匯信科技有限公司、北京國富安電子商務(wù)認(rèn)證有限公司、江蘇意源科技有限公司。本文件主要起草人：李向鋒、林雪焰、張永強(qiáng)、傅大鵬、田景成、高志權(quán)、趙麗麗、謝吉華、翟峰、王新華、ⅣGM／T0109—2021引言近年來，在移動互聯(lián)網(wǎng)和云計算等新技術(shù)的推動下，很多應(yīng)用領(lǐng)域從業(yè)務(wù)模式到技術(shù)支撐，都發(fā)生了深刻的變化，業(yè)務(wù)越來越需要能夠隨時、隨地開展和確認(rèn)，而為保障業(yè)務(wù)合規(guī)性和安全性的電子簽名技術(shù)，也應(yīng)該及時適應(yīng)這些變化，在這些新的場景中發(fā)揮積極作用。同時，移動互聯(lián)網(wǎng)業(yè)務(wù)中，通過電子簽名技術(shù)保證業(yè)務(wù)安全性的需求越來越多，電子簽名相關(guān)應(yīng)用將向移動互聯(lián)網(wǎng)延伸。基于云計算的電子簽名，是為業(yè)務(wù)提供電子簽名功能的一種方式。服務(wù)方將電子簽名以云服務(wù)形式提供給用戶，使用戶能夠方便、低成本、隨時隨地生成各類業(yè)務(wù)所需的，具有法律效力的電子簽名。通過制定本文件，能夠?qū)谠朴嬎愕碾娮雍灻?wù)進(jìn)行規(guī)范，從而為業(yè)務(wù)系統(tǒng)提供便捷可靠的電子簽名能力支撐。1基于云計算的電子簽名服務(wù)技術(shù)要求本文件描述了基于云計算的電子簽名服務(wù)密碼技術(shù)需求，提出了采用數(shù)字證書和數(shù)字簽名技術(shù)實現(xiàn)的基于云計算的電子簽名服務(wù)的密碼技術(shù)要求。本文件適用于指導(dǎo)基于云計算的電子簽名服務(wù)的建設(shè)、管理、檢測和應(yīng)用。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T15843信息技術(shù)安全技術(shù)實體鑒別GB/T20518信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書格式GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求GB/T25056信息安全技術(shù)證書認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范GB/T25064信息安全技術(shù)公鑰基礎(chǔ)設(shè)施電子簽名格式規(guī)范GB/T31168—2014信息安全技術(shù)云計算服務(wù)安全能力要求GB/T32905信息安全技術(shù)SM3密碼雜湊算法GB/T32907信息安全技術(shù)SM4分組密碼算法GB/T32918（所有部分）信息安全技術(shù)SM2橢圓曲線公鑰密碼算法GB/T35275信息安全技術(shù)SM2密碼算法加密簽名消息語法規(guī)范GB/T35276信息安全技術(shù)SM2密碼算法使用規(guī)范GB/T36326信息技術(shù)云計算云服務(wù)運營通用要求GB/T37092信息安全技術(shù)密碼模塊安全要求GB/T38636信息安全技術(shù)傳輸層密碼協(xié)議(TLCP)GB/T39786—2021信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求GM/Z4001密碼術(shù)語3術(shù)語和定義GM/Z4001界定的以及下列術(shù)語和定義適用于本文件。3.1數(shù)據(jù)電文中以電子形式所含、所附用于識別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù)。注：本文件中特指采用數(shù)字證書和數(shù)字簽名技術(shù)實現(xiàn)的電子簽名。3.2通過網(wǎng)絡(luò)訪問可擴(kuò)展的、靈活的物理或虛擬資源池，并可按需自助獲取與管理資源的模式。2GM／T0109—2021注：資源實例包括服務(wù)器、操作系統(tǒng)、網(wǎng)絡(luò)、軟件、應(yīng)用與存儲設(shè)備等。3.3云計算服務(wù)的供應(yīng)方。注：云服務(wù)商管理、運營、支撐云計算的計算基礎(chǔ)設(shè)施及軟件，通過網(wǎng)絡(luò)支付云計算的資源。3.4v為使用云計算服務(wù)同云服務(wù)商建立業(yè)務(wù)關(guān)系的參與方。注：本文件中云服務(wù)客戶簡稱客戶。3.5制作電子簽名的實體。3.6接受云簽名服務(wù)的依賴協(xié)議，獨立地判斷電子簽名是否滿足其應(yīng)用的安全需求的實體。3.7為其他實體提供基于云的電子簽名服務(wù)及相關(guān)服務(wù)的機(jī)構(gòu)。4縮略語下列縮略語適用于本文件。CRL證書吊銷列表(CertificateRevocationList)OCSP在線證書狀態(tài)查詢協(xié)議(OnlineCertificateStatusProtocol)5基于云計算的電子簽名服務(wù)一般架構(gòu)基于云計算的電子簽名服務(wù)是指由云簽名服務(wù)作為服務(wù)方通過云服務(wù)方式向客戶提供電子簽名功能，所提供的電子簽名功能稱為云簽名。在基于云計算的電子簽名服務(wù)中，各參與方通過交互，完成制作電子簽名的操作。其典型技術(shù)框架如圖1所示。3圖1基于云計算的電子簽名服務(wù)典型技術(shù)框架基于云計算的電子簽名服務(wù)典型架構(gòu)由云簽名服務(wù)、簽名方和依賴方組成，云簽名服務(wù)提供用戶管理服務(wù)、密鑰管理服務(wù)和數(shù)字簽名服務(wù)，并提供與服務(wù)相匹配的安全管理和策略管理，簽名方和依賴方作為系統(tǒng)的用戶，可通過云簽名服務(wù)的交互協(xié)議或應(yīng)用編程接口(API),使用云簽名服務(wù)所提供的服務(wù)完成電子簽名。圖1中，CA認(rèn)證中心作為第三方支撐服務(wù)，用于向簽名者提供電子認(rèn)證服務(wù)并對數(shù)字證書進(jìn)行全生命周期管理。圖1中，各部分的功能介紹如下：—簽名方在基于云的電子簽名活動中，將電子簽名功能或電子簽名功能的一部分委托云簽名服務(wù)完成，而簽名方使用終端、應(yīng)用程序或應(yīng)用系統(tǒng)對制作電子簽名的過程進(jìn)行控制和確認(rèn)；—依賴方通過判斷簽名方或云簽名服務(wù)提供的電子簽名及相關(guān)數(shù)據(jù)有效性來進(jìn)行后續(xù)業(yè)務(wù)操作；—云簽名服務(wù)提供電子簽名服務(wù)以及相關(guān)的用戶管理、密鑰管理等服務(wù)，同時應(yīng)為云簽名服務(wù)提供運行支撐。云簽名服務(wù)以云服務(wù)的方式提供，具備云服務(wù)按需服務(wù)、泛在接入、資源池化、快速伸縮性、服務(wù)可計量方面的特性要求。5.2服務(wù)模式根據(jù)業(yè)務(wù)場景的不同，云簽名服務(wù)可以采用不同的模式對外提供服務(wù)。常見的服務(wù)模式如下?！獏f(xié)同簽名模式：指簽名方和云簽名服務(wù)端各自保存一部分密鑰分量，通過密碼協(xié)議交互產(chǎn)生最終簽名結(jié)果。詳見A.1?！砗灻Ｊ剑褐负灻綄⒚荑€托管在云簽名服務(wù)端，在需要進(jìn)行電子簽名時，授權(quán)云簽名服務(wù)端為其完成簽名操作。詳見A.2。6依賴方技術(shù)要求依賴方應(yīng)使用密碼模塊完成與基于云計算的電子簽名過程以及驗證簽名過程相關(guān)的密碼功能，密碼模塊應(yīng)通過商用密碼檢測認(rèn)證，滿足GB/T37092中與業(yè)務(wù)相匹配安全級別的要求。密碼模塊應(yīng)支4GM／T0109—2021持依賴方驗證電子簽名功能，驗證電子簽名過程應(yīng)滿足GB/T25064的要求。若電子簽名功能需要由依賴方發(fā)起，密碼模塊應(yīng)提供云簽名服務(wù)接入功能所需的密碼功能。7簽名方技術(shù)要求簽名方可使用密碼模塊完成基于云計算的電子簽名所需的密碼功能。若使用密碼模塊，該模塊應(yīng)要求。7.2本地數(shù)據(jù)保護(hù)簽名方應(yīng)對本地的關(guān)鍵配置數(shù)據(jù)、敏感數(shù)據(jù)進(jìn)行完整性保護(hù)和機(jī)密性保護(hù)。簽名方與云簽名服務(wù)通信時，應(yīng)支持對云簽名服務(wù)身份進(jìn)行鑒別，應(yīng)按照云簽名服務(wù)的接入要求聲明自身身份。7.4通信數(shù)據(jù)保護(hù)簽名方與云簽名服務(wù)通信時，應(yīng)按照云簽名服務(wù)的接入要求進(jìn)行通信數(shù)據(jù)保護(hù)。7.5密鑰管理在使用協(xié)同簽名模式進(jìn)行電子簽名時，簽名方應(yīng)支持在密碼模塊內(nèi)部產(chǎn)生簽名密鑰的客戶端分量，支持密鑰分量存儲和安全使用。7.6電子簽名的確認(rèn)與控制在電子簽名過程中，簽名方應(yīng)對電子簽名的相關(guān)數(shù)據(jù)進(jìn)行確認(rèn)，并通過交互對簽名過程進(jìn)行控制。若內(nèi)容確認(rèn)與簽名交互采用密碼模塊，應(yīng)滿足如下要求：的驗證確認(rèn)協(xié)同過程是否正常完成。8云簽名服務(wù)技術(shù)要求云簽名服務(wù)提供者應(yīng)建設(shè)用于云簽名服務(wù)的基礎(chǔ)設(shè)施，設(shè)計云簽名服務(wù)的網(wǎng)絡(luò)環(huán)境和計算環(huán)境，實現(xiàn)具備云服務(wù)特性的電子簽名服務(wù)以及相關(guān)的用戶管理、密鑰管理等服務(wù)，同時應(yīng)為云簽名服務(wù)提供運行支撐。在云簽名服務(wù)的建設(shè)、運行和服務(wù)過程中，應(yīng)滿足GB/T22239中與業(yè)務(wù)安全要求相匹配的級別要求，滿足GB/T31168對云服務(wù)安全能力的要求和GB/T39786對密碼應(yīng)用安全的要求。云簽名服務(wù)提供者應(yīng)建設(shè)和部署與業(yè)務(wù)安全級別相匹配的物理環(huán)境、基礎(chǔ)設(shè)施、網(wǎng)絡(luò)環(huán)境和計算環(huán)5GM／T0109—2021境，滿足GB/T39786對物理環(huán)境、網(wǎng)絡(luò)和通信、設(shè)備和計算安全的要求。應(yīng)通過部署密碼模塊、密碼設(shè)備、密碼產(chǎn)品或采用第三方密碼服務(wù)等方式，提供電子簽名活動所需的密鑰管理、密碼運算。所使用的密碼模塊、密碼設(shè)備、產(chǎn)品和服務(wù)應(yīng)滿足以下要求：檢測認(rèn)證；c8.3電子簽名服務(wù)要求8.3.1.1密碼算法和密碼技術(shù)的要求在基于云的電子簽名服務(wù)中，所采用的密碼算法和密碼技術(shù)、密碼協(xié)議應(yīng)符合密碼國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)，其中可使用的密碼算法包括：cGBSM4云簽名服務(wù)所形成的電子簽名數(shù)據(jù)應(yīng)符合GB/T25064或GB/T35275的要求。對于需長期保存的電子簽名，電子簽名中應(yīng)包含時間戳和簽名時刻的證書狀態(tài)信息如CRL、OCSP響應(yīng)信息等。如電子簽名需要第三方認(rèn)證，基于云計算的電子簽名服務(wù)應(yīng)采用合法的第三方電子認(rèn)證機(jī)構(gòu)所頒發(fā)的數(shù)字證書。云簽名服務(wù)可與CA對接實現(xiàn)用戶數(shù)字證書的管理。數(shù)字證書格式應(yīng)遵循GB/T20518。云簽名服務(wù)應(yīng)支持簽名方用戶注冊到云簽名服務(wù)中。若存在依賴方發(fā)起簽名的場景，應(yīng)支持依賴方用戶注冊到系統(tǒng)。具體要求如下：信息；云簽名服務(wù)應(yīng)對注冊的簽名方用戶或依賴方用戶信息進(jìn)行審核，確認(rèn)其是否符合云簽名服務(wù)的策略要求。用戶激活時，云簽名服務(wù)應(yīng)為簽名用戶產(chǎn)生用于電子簽名的密鑰。產(chǎn)生密鑰的過程要求詳見8.3.3.2。在協(xié)同簽名模式下，云簽名服務(wù)應(yīng)與簽名方進(jìn)行密鑰協(xié)商，產(chǎn)生用戶簽名公鑰。用戶激活后，6GM／T0109—2021用戶可使用此密鑰向第三方電子認(rèn)證機(jī)構(gòu)申請數(shù)字證書。云簽名服務(wù)應(yīng)支持用戶自主對其自身的信息進(jìn)行查詢、維護(hù)和管理。云簽名服務(wù)應(yīng)支持對用戶進(jìn)行注銷。云簽名服務(wù)應(yīng)提供滿足GB/T39786中與業(yè)務(wù)安全級別要求相匹配的簽名密鑰管理功能，包括密鑰產(chǎn)生、密鑰存儲、密鑰使用、密鑰備份／恢復(fù)、密鑰銷毀等過程以及運營、運維過程中所需的密鑰遷移等，并滿足在電子簽名過程中密鑰由簽名者唯一控制的要求。云簽名服務(wù)為用戶產(chǎn)生密鑰時，應(yīng)首先對用戶進(jìn)行基于密碼技術(shù)的身份鑒別，并通過訪問控制確認(rèn)用戶操作是否被允許，確認(rèn)無誤后為用戶產(chǎn)生密鑰。云簽名服務(wù)應(yīng)保證密鑰產(chǎn)生過程之間相互隔離，應(yīng)在日志中記錄密鑰產(chǎn)生過程，并生成審計信息，審計信息應(yīng)包括密鑰使用的主體、使用的時間等，應(yīng)保證日志和審計信息不可篡改、不可刪除、不可偽造。對不同簽名模式的簽名，其密鑰產(chǎn)生應(yīng)滿足以下要求。程中，應(yīng)保證密鑰、密鑰分量不以明文形式出現(xiàn)在非專用密碼設(shè)備的內(nèi)存或網(wǎng)絡(luò)中。云簽名服務(wù)應(yīng)支持存儲用戶簽名密鑰或簽名密鑰的服務(wù)端分量，其中私有密鑰應(yīng)加密存儲，公開密鑰應(yīng)以數(shù)字證書形式存儲。應(yīng)保證用戶密鑰之間存儲隔離。用戶簽名密鑰或簽名密鑰服務(wù)端分量應(yīng)在用戶的授權(quán)和控制下使用，僅對用戶許可的數(shù)據(jù)進(jìn)行簽名。具體要求如下。過云簽名服務(wù)與簽名方分別對待簽名數(shù)據(jù)進(jìn)行處理保證服務(wù)端簽名活動只針對特定數(shù)據(jù)。協(xié)議簽名過程應(yīng)保證客戶端密鑰分量不進(jìn)行合并，不通過網(wǎng)絡(luò)傳遞密鑰分量，并保證密鑰分量不能通過網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)計算得到。者身份、待簽名內(nèi)容、簽名時間等信息相關(guān)，認(rèn)證通過后在密碼設(shè)備或密碼模塊中完成簽名。式出現(xiàn)在非專用密碼設(shè)備的內(nèi)存中或網(wǎng)絡(luò)上。7GM／T0109—2021間等，應(yīng)保證日志和審計信息不可篡改、不可刪除、不可偽造。云簽名服務(wù)應(yīng)提供密鑰更新服務(wù)，密鑰更新需要銷毀原有密鑰并產(chǎn)生新的密鑰，申請新的數(shù)字證書。密鑰的更新應(yīng)在滿足身份認(rèn)證和訪問控制的安全要求下進(jìn)行。基于云計算的電子簽名服務(wù)應(yīng)制定明確的密鑰備份策略，采用安全可靠的密鑰備份恢復(fù)機(jī)制，對密鑰進(jìn)行備份或恢復(fù)。其中，系統(tǒng)密鑰的備份與恢復(fù)應(yīng)符合GB/T25056的要求。用戶簽名密鑰的密文可采用數(shù)據(jù)庫備份／恢復(fù)的方式來進(jìn)行。密鑰備份或恢復(fù)應(yīng)進(jìn)行記錄，并生成審計信息，審計信息應(yīng)包括備份或恢復(fù)的主體、備份或恢復(fù)的時間等。如果用戶選擇終止云簽名服務(wù)，應(yīng)支持銷毀用戶密鑰或用戶密鑰的服務(wù)端分量。密鑰銷毀應(yīng)符合GB/T25056的要求。8.3.4電子簽名過程安全要求在用戶產(chǎn)生密鑰并獲得數(shù)字證書之后，云簽名服務(wù)應(yīng)支持以云服務(wù)方式提供制作電子簽名的功能。云簽名服務(wù)接收簽名方或依賴方所發(fā)起的電子簽名請求，經(jīng)鑒別和確認(rèn)無誤后，在簽名者的確認(rèn)和控制下進(jìn)行。電子簽名功能應(yīng)保證用戶對簽名密鑰的唯一控制。云簽名服務(wù)在接收到簽名請求后，應(yīng)對請求來源進(jìn)行鑒別，具體要求如下：電子簽名服務(wù)過程應(yīng)使用用戶密鑰服務(wù)端分量或完整的用戶密鑰進(jìn)行簽名并按約定的格式返回：8.3.4.4簽名過程安全控制在電子簽名過程中，云簽名服務(wù)應(yīng)為用戶提供各種安全控制措施。1)云簽名服務(wù)對簽名方簽名行為設(shè)置錯誤計數(shù)機(jī)制和錯誤計數(shù)上限，當(dāng)用戶簽名錯誤達(dá)到錯誤計數(shù)上限則停止為其提供電子簽名服務(wù)，并提供錯誤計數(shù)清零機(jī)制；2)云簽名服務(wù)應(yīng)具備識別客戶端部分簽名結(jié)果重放和篡改的能力。括但不限于：8GM／T0109—20211)云簽名服務(wù)對簽名方身份鑒別和簽名授權(quán)行為設(shè)置錯誤計數(shù)機(jī)制，設(shè)定錯誤數(shù)上限，當(dāng)鑒別和授權(quán)錯誤達(dá)到錯誤計數(shù)上限則停止為其提供電子簽名服務(wù)，并提供錯誤計數(shù)清零機(jī)制；2)云簽名服務(wù)應(yīng)具備識別認(rèn)證和授權(quán)數(shù)據(jù)重放和篡改的能力。8.3.5數(shù)據(jù)安全要求云簽名服務(wù)應(yīng)通過密碼技術(shù)，對云簽名活動涉及的用戶數(shù)據(jù)進(jìn)行安全保護(hù)，應(yīng)滿足GB/T39786—2021的7.4中與業(yè)務(wù)安全要求相匹配級別的要求和GB/T31168的要求，并滿足以下要求：c8.3.6電子簽名服務(wù)接入要求云簽名服務(wù)接收到服務(wù)請求后，應(yīng)對請求者身份進(jìn)行鑒別。云簽名服務(wù)應(yīng)支持對簽名方和依賴方的請求采用不同的身份鑒別機(jī)制，身份鑒別可采用GB/T15843規(guī)定的機(jī)制。云簽名服務(wù)應(yīng)設(shè)置訪問控制策略，用戶的狀態(tài)和權(quán)限，根據(jù)不同的請求類型和不同的請求來源，確定如何響應(yīng)其請求。云簽名服務(wù)應(yīng)采用安全通道與訪問者進(jìn)行通信，例如GB/T38636中定義的傳輸層密碼協(xié)議。安全通道應(yīng)對通信內(nèi)容進(jìn)行機(jī)密性保護(hù)和完整性保護(hù)。云簽名應(yīng)根據(jù)請求類型和不同的請求來源進(jìn)行相應(yīng)的處理。請求類型應(yīng)包括但不限于用戶管理、8.4運行支撐要求云簽名服務(wù)提供者應(yīng)按照GB/T36326要求，對服務(wù)相關(guān)的人員、流程、資源、技術(shù)等要素以及與之相關(guān)的場地、網(wǎng)絡(luò)、數(shù)據(jù)等方面內(nèi)容進(jìn)行規(guī)劃和管理。包括：云簽名服務(wù)提供者應(yīng)建立安全運維支撐體系，對服務(wù)所涉及的各種資源、日志、事件、漏洞以及安全等要素進(jìn)行維護(hù)，以保證云簽名服務(wù)的服務(wù)質(zhì)量、服務(wù)能力和服務(wù)安全性。應(yīng)確保在簽名過程中運維人員不可操作用戶密鑰。8.5安全審計要求云簽名服務(wù)應(yīng)提供安全審計功能，對涉及系統(tǒng)安全的行為、人員、時間的日志記錄進(jìn)行跟蹤、統(tǒng)計和9分析。安全審計應(yīng)符合GB/T31168—2014第11章的要求，并滿足以下要求：名行為是用戶發(fā)起、控制和確認(rèn)的，從而保證用戶對密鑰的控制權(quán)；戶相關(guān)的報警信息告知用戶。GM／