區(qū)塊鏈和分布式記賬技術(shù) 應(yīng)用服務(wù) 分布式身份參考架構(gòu) 征求意見稿

1GB/TXXXXX—XXXX區(qū)塊鏈和分布式記賬技術(shù)應(yīng)用服務(wù)分布式身份參考架構(gòu)本文件確立了分布式身份系統(tǒng)架構(gòu)，規(guī)定了服務(wù)對(duì)接層、分布式身份能力層、基礎(chǔ)設(shè)施層以及管理子系統(tǒng)的技術(shù)要求。本文件適用于分布式身份系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)，指導(dǎo)分布式身份系統(tǒng)的建設(shè)，為分布式身份系統(tǒng)參與方選擇和使用相關(guān)服務(wù)提供參考。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T35273信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T39786信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求GB/T42752區(qū)塊鏈和分布式記賬技術(shù)參考架構(gòu)GB/T43697數(shù)據(jù)安全技術(shù)數(shù)據(jù)分類分級(jí)規(guī)則3術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1分布式身份decentralizedidentity去中心化系統(tǒng)中管理的身份。[來源：ISO22739：2024，3.19]3.2分布式身份標(biāo)識(shí)符decentralizedidentifier全局唯一的持久化標(biāo)識(shí)符，一般不需要集中式注冊(cè)機(jī)構(gòu)管理，通常以密碼的方式生成和/或注冊(cè)。[來源：ISO/TR6039：2023，3.3，有修改]3.3分布式身份標(biāo)識(shí)符文檔decentralizedidentifierdocument描述分布式身份標(biāo)識(shí)符主體的數(shù)據(jù)集，包括分布式身份標(biāo)識(shí)符主體的公鑰等機(jī)制，以驗(yàn)證身份并證明其與分布式身份標(biāo)識(shí)符的聯(lián)系。3.4分布式身份標(biāo)識(shí)符主體decentralizedidentifiersubject由分布式身份標(biāo)識(shí)符標(biāo)識(shí)并由分布式身份標(biāo)識(shí)符文檔描述的實(shí)體。[來源：ISO/TR6039：2023，3.4]3.52GB/TXXXXX—XXXX分布式賬本distributedledger在一組分布式記賬技術(shù)節(jié)點(diǎn)之間共享并使用共識(shí)機(jī)制同步的賬本。注：分布式賬本被設(shè)計(jì)為防篡改、僅可追加和不變性，包含[來源：GB/T43572—2023，3.22]3.6服務(wù)端點(diǎn)serviceendpoint一個(gè)網(wǎng)絡(luò)地址，分布式身份標(biāo)識(shí)符主體通過該地址提供服務(wù)。3.7鑒別authentication驗(yàn)證某一實(shí)體所聲稱身份的過程。[來源：GB/T25069—2022，3.296]3.8零知識(shí)證明zero-knowledgeproof證明者向驗(yàn)證者證明某個(gè)論斷的正確性，卻不泄露除正確性以外其他信息的密碼協(xié)議。[來源：GB/T42570—2023，3.24]3.9憑證credential一組數(shù)據(jù)，作為聲明或主張的身份和/或權(quán)利的證據(jù)。[來源：ISO/TR6039：2023，3.2]3.10可驗(yàn)證憑證verifiablecredential一種防篡改的憑證，其權(quán)屬可被密碼學(xué)驗(yàn)證。[來源：ISO/TR6039：2023，3.9]3.11可驗(yàn)證數(shù)據(jù)注冊(cè)表verifiabledataregistry分布式身份系統(tǒng)中用于存儲(chǔ)和驗(yàn)證分布式身份標(biāo)識(shí)符和分布式身份標(biāo)識(shí)符文檔、以及驗(yàn)證可驗(yàn)證憑證有效性的子系統(tǒng)。3.12可驗(yàn)證表述verifiablepresentation從一個(gè)或多個(gè)可驗(yàn)證憑證（由一個(gè)或多個(gè)頒發(fā)者頒發(fā)）派生，與特定的驗(yàn)證者共享的數(shù)據(jù)，其權(quán)屬可被密碼學(xué)驗(yàn)證。3.13身份核驗(yàn)identityproofing基于身份證據(jù)，旨在達(dá)到具體確保級(jí)的驗(yàn)證。注1：身份核驗(yàn)通常作為登記的組成部分來進(jìn)行。在維護(hù)已登記的身份信息（例如，用戶賬戶恢復(fù)）期間，也可能注3：對(duì)身份核驗(yàn)的驗(yàn)證通?；诘怯洸呗?，其中包括對(duì)實(shí)體所提供的身注4：在進(jìn)行身份核驗(yàn)時(shí)獲得的經(jīng)驗(yàn)證的身份信息，能包括在注冊(cè)中，并能有[來源：GB/T25069—2022，3.514]3.14實(shí)體entity3GB/TXXXXX—XXXX在信息和通信技術(shù)系統(tǒng)內(nèi)部或外部的事物，例如人員、組織、設(shè)備、子系統(tǒng)或一組可識(shí)別的、明確區(qū)分的此類事物。[來源：GB/T43572—2023，3.34]3.15用戶代理useragent用于幫助用戶生成、管理、存儲(chǔ)和使用私鑰等關(guān)鍵信息的程序、設(shè)備和服務(wù)。4縮略語下列縮略語適用于本文件。CA：證書認(rèn)證機(jī)構(gòu)（CertificateAuthority）DID：分布式身份標(biāo)識(shí)符（DecentralizedIdentifier）SE：安全元件（SecureElement）TEE：可信執(zhí)行環(huán)境（TrustedExecutionEnvironment）URI：統(tǒng)一資源描述符（UniformResourceIdentifier）VC：可驗(yàn)證憑證（VerifiableCredential）VDR：可驗(yàn)證數(shù)據(jù)注冊(cè)表（VerifiableDataRegistry）VP：可驗(yàn)證表述（VerifiablePresentation）5分布式身份系統(tǒng)架構(gòu)5.1架構(gòu)分布式身份系統(tǒng)架構(gòu)（見圖1）包括服務(wù)對(duì)接層、分布式身份能力層、基礎(chǔ)設(shè)施層以及管理子系統(tǒng)：a)服務(wù)對(duì)接層包括SDK、客戶端及API，主要實(shí)現(xiàn)分布式核心服務(wù)與外部系統(tǒng)間的對(duì)接與數(shù)據(jù)交b)分布式身份能力層包括DID子系統(tǒng)、憑證子系統(tǒng)和可驗(yàn)證數(shù)據(jù)注冊(cè)子系統(tǒng)，主要實(shí)現(xiàn)分布式身份系統(tǒng)的核心功能；c)基礎(chǔ)設(shè)施層包括存儲(chǔ)基礎(chǔ)設(shè)施和密碼基礎(chǔ)設(shè)施，為分布式身份系統(tǒng)提供基礎(chǔ)的存儲(chǔ)和密碼服d)管理子系統(tǒng)包括安全管理模塊、治理模塊和審計(jì)模塊，涵蓋分布式身份系統(tǒng)的服務(wù)對(duì)接層、分布式身份能力層和基礎(chǔ)設(shè)施層，用以保護(hù)系統(tǒng)中用戶身份信息的安全和隱私，保證所有身份相關(guān)行為可追溯和可審計(jì)，實(shí)現(xiàn)整個(gè)生態(tài)系統(tǒng)透明、合規(guī)和高效運(yùn)作。4GB/TXXXXX—XXXX圖1分布式身份系統(tǒng)架構(gòu)5.2服務(wù)對(duì)接層外部應(yīng)用系統(tǒng)通過服務(wù)對(duì)接層接入分布式身份系統(tǒng)，接入方式包括SDK、客戶端、API等。5.3分布式身份能力層5.3.1DID子系統(tǒng)DID子系統(tǒng)提供DID標(biāo)識(shí)符和DID文檔管理功能，包括DID的創(chuàng)建、解析、使用、更新、恢復(fù)、注銷等。關(guān)于DID相關(guān)基礎(chǔ)概念的描述和示例見附錄A。5.3.2憑證子系統(tǒng)憑證子系統(tǒng)包括VC模塊和VP模塊，提供對(duì)VC和VP的管理功能，包括VC的頒發(fā)、驗(yàn)證、更新、撤銷、轉(zhuǎn)移、刪除，以及VP的出示和驗(yàn)證等。附錄B以跨境貿(mào)易場(chǎng)景為例描述了憑證的流轉(zhuǎn)過程。5.3.3可驗(yàn)證數(shù)據(jù)注冊(cè)子系統(tǒng)可驗(yàn)證數(shù)據(jù)注冊(cè)子系統(tǒng)包括DID數(shù)據(jù)注冊(cè)模塊、VC數(shù)據(jù)注冊(cè)模塊和VP數(shù)據(jù)注冊(cè)模塊，結(jié)合底層存儲(chǔ)基礎(chǔ)設(shè)施共同構(gòu)成VDR，提供數(shù)據(jù)的安全存儲(chǔ)和訪問功能，保證數(shù)據(jù)的不可篡改、可追溯和可審計(jì)。5.4基礎(chǔ)設(shè)施層分布式身份系統(tǒng)基礎(chǔ)設(shè)施層包括存儲(chǔ)基礎(chǔ)設(shè)施和密碼基礎(chǔ)設(shè)施：a)存儲(chǔ)基礎(chǔ)設(shè)施為分布式身份系統(tǒng)提供數(shù)據(jù)存儲(chǔ)服務(wù)，包括分布式賬本、可信數(shù)據(jù)庫等，根據(jù)應(yīng)用場(chǎng)景可選擇去中心化的分布式賬本或者中心化的可信數(shù)據(jù)庫作為存儲(chǔ)基礎(chǔ)設(shè)施；b)密碼基礎(chǔ)設(shè)施為分布式身份系統(tǒng)提供密碼服務(wù)，包括個(gè)人密鑰設(shè)備或系統(tǒng)（TEE、SE、密碼模塊等）、密鑰托管設(shè)備或系統(tǒng)（密鑰保管箱、密鑰管理系統(tǒng)等）、密碼計(jì)算設(shè)備（密碼機(jī)、密碼卡等）等。5GB/TXXXXX—XXXX5.5管理子系統(tǒng)管理子系統(tǒng)包括安全管理模塊、治理模塊和審計(jì)模塊：a)安全管理模塊用于實(shí)現(xiàn)DID和VC的身份信息安全與隱私保護(hù)；b)治理模塊通過指定管理機(jī)構(gòu)，設(shè)立管理框架和技術(shù)標(biāo)準(zhǔn)，實(shí)現(xiàn)整個(gè)生態(tài)系統(tǒng)透明、合規(guī)與高效運(yùn)作；c)審計(jì)模塊記錄、監(jiān)控和評(píng)估系統(tǒng)中的各項(xiàng)操作，保證所有身份相關(guān)行為可追溯、合規(guī)和安全。6服務(wù)對(duì)接層技術(shù)要求分布式身份系統(tǒng)通過SDK、客戶端、API等方式對(duì)外提供服務(wù)，符合如下要求：a)應(yīng)保證接口采集數(shù)據(jù)的準(zhǔn)確性和可靠性；b)應(yīng)保證接口數(shù)據(jù)傳輸過程中的機(jī)密性；c)應(yīng)保證接口數(shù)據(jù)傳輸過程中的完整性；d)應(yīng)保證接口設(shè)計(jì)的靈活性和可擴(kuò)展性；e)應(yīng)滿足跨平臺(tái)兼容性，保證相關(guān)接口可在不同的硬件、操作系統(tǒng)上正常使用；f)應(yīng)保證接口的調(diào)用過程具備流程控制和權(quán)限控制；g)應(yīng)保證接口冪等性，在相同請(qǐng)求數(shù)據(jù)前提下，接口一次調(diào)用和多次調(diào)用的結(jié)果一致；h)宜支持多種密碼算法的調(diào)用對(duì)接。7分布式身份能力層技術(shù)要求7.1DID子系統(tǒng)7.1.1DID創(chuàng)建DID創(chuàng)建是生成并關(guān)聯(lián)DID標(biāo)識(shí)符和DID文檔的過程，符合如下要求：a)宜通過用戶代理生成DID公私鑰對(duì)；b)應(yīng)基于DID公鑰等信息創(chuàng)建DID標(biāo)識(shí)符；c)應(yīng)基于DID標(biāo)識(shí)符、DID公鑰等創(chuàng)建相應(yīng)的DID文檔；d)應(yīng)保證DID標(biāo)識(shí)符和DID文檔的一一對(duì)應(yīng)關(guān)系；e)應(yīng)保證DID標(biāo)識(shí)符的全局唯一性；f)宜在DID創(chuàng)建前，向權(quán)威第三方（國家網(wǎng)絡(luò)身份認(rèn)證公共服務(wù)、CA等）進(jìn)行用戶身份真實(shí)性核驗(yàn)。7.1.2DID解析DID解析是依據(jù)DID標(biāo)識(shí)符獲取DID文檔的過程，符合如下要求：a)應(yīng)支持根據(jù)DID標(biāo)識(shí)符從VDR解析獲取DID文檔；b)可支持從VDR解析獲取DID文檔中的指定屬性；c)可支持從VDR解析DID標(biāo)識(shí)符對(duì)應(yīng)的指定版本的DID文檔。7.1.3DID使用DID使用是應(yīng)用DID的過程，符合如下要求：a)應(yīng)支持使用DID私鑰對(duì)數(shù)據(jù)進(jìn)行數(shù)字簽名，以及基于相應(yīng)DID公鑰的簽名驗(yàn)證；6GB/TXXXXX—XXXXb)應(yīng)支持使用DID私鑰進(jìn)行DID權(quán)屬鑒別；c)可支持使用DID進(jìn)行加密通信；d)宜支持使用二維碼等方式展示DID標(biāo)識(shí)符。7.1.4DID更新DID更新是對(duì)DID文檔中屬性進(jìn)行更新的過程，應(yīng)符合如下要求：a)支持更新DID文檔中的DID公鑰、服務(wù)端點(diǎn)等屬性；b)將更新后的DID文檔重新注冊(cè)到VDR；c)對(duì)更新DID文檔的操作執(zhí)行身份鑒別。7.1.5DID恢復(fù)DID恢復(fù)是在DID私鑰丟失后重新獲得DID控制權(quán)的過程，符合如下要求：a)應(yīng)在創(chuàng)建DID時(shí)設(shè)置恢復(fù)機(jī)制，如創(chuàng)建恢復(fù)密鑰等；b)宜支持基于多方協(xié)作的密碼機(jī)制恢復(fù)用戶對(duì)DID的控制。7.1.6DID注銷DID注銷是停用DID標(biāo)識(shí)符并將DID文檔無效化的過程，應(yīng)符合如下要求：a)保證注銷后該DID無法再次注冊(cè)或激活；b)在VDR中設(shè)置標(biāo)志表明該DID已注銷；c)從關(guān)聯(lián)的DID文檔中刪除所有驗(yàn)證方法，保證沒有任何驗(yàn)證方法可以鑒別DID主體身份。7.2憑證子系統(tǒng)7.2.1VC頒發(fā)VC頒發(fā)是頒發(fā)者頒發(fā)VC給持有者的過程，符合如下要求：a)應(yīng)保證持有者在頒發(fā)者為其頒發(fā)VC前已經(jīng)創(chuàng)建DID標(biāo)識(shí)符及相應(yīng)的DID文檔；b)持有者請(qǐng)求頒發(fā)VC時(shí)，應(yīng)使用其DID標(biāo)識(shí)符相應(yīng)的私鑰進(jìn)行數(shù)字簽名；c)頒發(fā)者頒發(fā)VC時(shí)，應(yīng)使用持有者DID標(biāo)識(shí)符對(duì)應(yīng)的公鑰驗(yàn)證VC頒發(fā)請(qǐng)求中的數(shù)字簽名，保證其為DID標(biāo)識(shí)符的持有者；d)主體身份屬性核驗(yàn)通過后，頒發(fā)者應(yīng)使用頒發(fā)者私鑰對(duì)持有者身份信息進(jìn)行簽名，頒發(fā)VC；e)宜支持從VDR加載VC模板，根據(jù)VC模板頒發(fā)VC；f)頒發(fā)者頒發(fā)VC后，應(yīng)通過安全信道將VC從頒發(fā)者發(fā)送至持有者；g)宜支持基于零知識(shí)證明、默克爾樹等隱私保護(hù)技術(shù)生成VC。7.2.2VC驗(yàn)證VC驗(yàn)證是驗(yàn)證者驗(yàn)證VC有效性的過程，符合如下要求：a)應(yīng)支持驗(yàn)證頒發(fā)者數(shù)字簽名的有效性；b)應(yīng)支持驗(yàn)證VC是否已撤銷；c)應(yīng)支持驗(yàn)證VC有效期；d)宜支持驗(yàn)證采用零知識(shí)證明等隱私保護(hù)技術(shù)生成的VC。7.2.3VC更新VC更新是頒發(fā)者對(duì)VC屬性進(jìn)行更新的過程，符合如下要求：7GB/TXXXXX—XXXXa)頒發(fā)者應(yīng)對(duì)請(qǐng)求VC更新的用戶材料進(jìn)行核驗(yàn)；b)宜支持頒發(fā)者更新已頒發(fā)VC的有效期；c)宜支持頒發(fā)者更新已頒發(fā)VC的部分屬性。7.2.4VC撤銷VC撤銷是頒發(fā)者撤銷VC的過程，符合如下要求：a)應(yīng)支持頒發(fā)者撤銷已頒發(fā)的VC；b)宜在VDR上維護(hù)VC撤銷列表，撤銷VC后更新該撤銷列表。7.2.5VC轉(zhuǎn)移VC轉(zhuǎn)移是持有者將VC傳遞至不同用戶代理或終端的過程，應(yīng)符合如下要求：a)支持持有者將VC轉(zhuǎn)移到自己的不同用戶代理；b)支持持有者將VC轉(zhuǎn)移給其他持有者，轉(zhuǎn)移過程需要原持有者的授權(quán)；c)通過安全信道傳遞VC。7.2.6VC刪除VC刪除是持有者在用戶代理或終端中刪除VC的過程，符合如下要求：a)應(yīng)支持持有者通過用戶代理在用戶本地終端刪除VC；b)宜支持用戶代理主動(dòng)識(shí)別VC的異常狀態(tài)（已過期、已撤銷等）；c)宜支持持有者通過用戶代理快速查找異常狀態(tài)VC。7.2.7VP出示VP出示是持有者生成VP并發(fā)送給驗(yàn)證者的過程，符合如下要求：a)持有者收到驗(yàn)證者身份驗(yàn)證請(qǐng)求后，應(yīng)查看并進(jìn)行主動(dòng)授權(quán)；b)應(yīng)支持基于針對(duì)同一主體由同一頒發(fā)者頒發(fā)的多個(gè)VC生成VP；c)應(yīng)支持基于針對(duì)同一主體由不同頒發(fā)者頒發(fā)的多個(gè)VC生成VP；d)可支持基于不同主體的多個(gè)VC生成VP；e)持有者生成VP后，應(yīng)通過安全信道將VP發(fā)送至驗(yàn)證者；f)宜支持采用選擇性披露的VP，該VP包含一個(gè)或多個(gè)VC的部分屬性；g)宜支持采用零知識(shí)證明等隱私保護(hù)技術(shù)生成屬性身份證明的VP，該VP基于VC派生但可不包含VC數(shù)據(jù)；h)宜支持從VDR加載VP模板，根據(jù)VP模板簽發(fā)VP。7.2.8VP驗(yàn)證VP驗(yàn)證是驗(yàn)證者驗(yàn)證VP有效性的過程，符合如下要求：a)應(yīng)支持驗(yàn)證VP的有效性，包括但不限于數(shù)字簽名和有效期；b)應(yīng)支持驗(yàn)證VP中包含的一個(gè)或多個(gè)VC的有效性；c)宜支持驗(yàn)證采用零知識(shí)證明等隱私保護(hù)技術(shù)生成的VP。7.3可驗(yàn)證數(shù)據(jù)注冊(cè)子系統(tǒng)7.3.1DID數(shù)據(jù)注冊(cè)DID數(shù)據(jù)注冊(cè)是在VDR中記錄和管理DID標(biāo)識(shí)符和DID文檔的過程，符合如下要求：8GB/TXXXXX—XXXXa)應(yīng)支持DID標(biāo)識(shí)符和DID文檔注冊(cè)；b)應(yīng)支持根據(jù)DID標(biāo)識(shí)符從VDR中獲取DID文檔；c)應(yīng)支持在VDR中更新DID文檔；d)宜支持將DID使用記錄在VDR中存證。7.3.2VC數(shù)據(jù)注冊(cè)VC數(shù)據(jù)注冊(cè)是在VDR中記錄和管理VC輔助驗(yàn)證信息的過程，符合如下要求：a)應(yīng)支持VC模板注冊(cè)；b)宜支持VC撤銷列表、頒發(fā)者公鑰等輔助驗(yàn)證信息注冊(cè)；c)宜支持VC哈希值注冊(cè)，提供對(duì)VC的完整性保護(hù)；d)宜支持VC狀態(tài)查詢；e)宜支持將VC頒發(fā)、驗(yàn)證、更新、撤銷等記錄在VDR進(jìn)行存證。7.3.3VP數(shù)據(jù)注冊(cè)VP數(shù)據(jù)注冊(cè)是在VDR中記錄和管理VP輔助驗(yàn)證信息的過程，宜符合如下要求：a)支持VP哈希值等輔助驗(yàn)證信息注冊(cè)；b)支持VP模板注冊(cè)；c)支持將VP出示、驗(yàn)證等操作記錄在VDR中進(jìn)行存證。8基礎(chǔ)設(shè)施層技術(shù)要求8.1存儲(chǔ)基礎(chǔ)設(shè)施8.1.1分布式賬本分布式賬本提供去中心化的、不可篡改的記錄功能，符合如下要求：a)分布式賬本基本功能應(yīng)符合GB/T42752的要求；b)應(yīng)支持部署智能合約更新鏈上數(shù)據(jù)；c)宜使用加密算法保護(hù)數(shù)據(jù)的機(jī)密性和完整性，并提供驗(yàn)證的手段；d)宜支持跨鏈功能，保證相關(guān)身份數(shù)據(jù)的跨鏈互操作；e)宜提供API或SDK的接入方式，滿足數(shù)據(jù)訪問和系統(tǒng)集成要求。8.1.2可信數(shù)據(jù)庫應(yīng)用于分布式身份系統(tǒng)的可信數(shù)據(jù)庫保證數(shù)據(jù)存儲(chǔ)的機(jī)密性、完整性和可用性，符合如下要求：a)應(yīng)保證數(shù)據(jù)本地加密存儲(chǔ)；b)宜支持?jǐn)?shù)據(jù)匿名化和偽匿名化技術(shù)，保護(hù)用戶隱私；c)應(yīng)具備訪問控制機(jī)制，通過角色和權(quán)限管理機(jī)制，保證身份數(shù)據(jù)的讀取和修改操作都經(jīng)過授權(quán)；d)宜提供細(xì)粒度的權(quán)限管理和動(dòng)態(tài)授權(quán)機(jī)制；e)應(yīng)支持災(zāi)備和恢復(fù)機(jī)制，支持在數(shù)據(jù)丟失或損壞后的數(shù)據(jù)恢復(fù)；f)應(yīng)為數(shù)據(jù)庫提供安全審計(jì)功能，審計(jì)記錄包括訪問的時(shí)間、用戶標(biāo)識(shí)、操作類型等審計(jì)信息，以便于發(fā)生安全事件時(shí)進(jìn)行追溯和分析；g)應(yīng)保護(hù)審計(jì)日志的完整性，防止審計(jì)記錄被篡改；9GB/TXXXXX—XXXXh)應(yīng)支持多種數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)，包括結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)；i)宜支持?jǐn)?shù)據(jù)的自動(dòng)故障恢復(fù)，保證數(shù)據(jù)的高可用性；j)宜提供根據(jù)負(fù)載動(dòng)態(tài)調(diào)整分片策略的機(jī)制，保證數(shù)據(jù)存儲(chǔ)和處理的效率。8.2密碼基礎(chǔ)設(shè)施密碼基礎(chǔ)設(shè)施是分布式身份系統(tǒng)安全運(yùn)行的基礎(chǔ)，符合如下要求：a)應(yīng)支持安全密鑰生成和分發(fā)機(jī)制，提供安全的密鑰存儲(chǔ)解決方案；b)應(yīng)建立和維護(hù)公鑰基礎(chǔ)設(shè)施，管理數(shù)字證書頒發(fā)、撤銷和更新，提供證書驗(yàn)證服務(wù)；c)使用的密碼算法應(yīng)符合法律、法規(guī)的規(guī)定和密碼相關(guān)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)的有關(guān)要求；d)執(zhí)行密碼運(yùn)算和密鑰存儲(chǔ)時(shí)，應(yīng)符合GB/T39786等相關(guān)國家標(biāo)準(zhǔn)的要求；e)宜在終端不具備安全的計(jì)算和存儲(chǔ)環(huán)境時(shí)，通過可信權(quán)威機(jī)構(gòu)提供的密鑰托管服務(wù)保證用戶密鑰及關(guān)鍵身份信息的計(jì)算和存儲(chǔ)安全；f)宜支持使用硬件密碼模塊處理密碼相關(guān)運(yùn)算。9管理子系統(tǒng)技術(shù)要求9.1安全管理模塊9.1.1DID安全與隱私保護(hù)DID的安全防護(hù)提供DID標(biāo)識(shí)符和DID文檔的安全防護(hù)措施，符合如下要求：a)宜在用戶本地SE、TEE環(huán)境中生成用于創(chuàng)建DID的公私鑰對(duì)；b)宜在用戶本地SE、TEE環(huán)境中安全存儲(chǔ)DID私鑰；c)可由滿足國家和行業(yè)監(jiān)管要求的可信第三方機(jī)構(gòu)提供DID密鑰托管服務(wù)；d)應(yīng)在訪問用戶代理時(shí)或在執(zhí)行數(shù)字簽名等密碼操作前執(zhí)行口令認(rèn)證、生物識(shí)別認(rèn)證或多因素認(rèn)證；e)宜在DID文檔中使用基于數(shù)字簽名和可驗(yàn)證時(shí)間戳的驗(yàn)證方法。DID的隱私保護(hù)提供對(duì)DID標(biāo)識(shí)符和DID文檔的隱私保護(hù)措施，符合如下要求：a)DID標(biāo)識(shí)符和DID文檔中個(gè)人信息處理應(yīng)符合GB/T35273的相關(guān)要求；b)基于實(shí)體真實(shí)身份信息創(chuàng)建DID標(biāo)識(shí)符時(shí)，應(yīng)進(jìn)行去標(biāo)識(shí)化及脫敏處理；c)應(yīng)保證DID文檔中不包含個(gè)人信息或個(gè)人信息的加密值；d)應(yīng)支持匿名DID機(jī)制，同一實(shí)體可基于不同應(yīng)用場(chǎng)景派生出多個(gè)匿名DID，未經(jīng)用戶同意不應(yīng)關(guān)聯(lián)；e)應(yīng)保證同一實(shí)體不同匿名DID對(duì)應(yīng)DID公鑰是不同的；f)宜設(shè)置策略避免通過服務(wù)端點(diǎn)泄露個(gè)人隱私；g)宜避免在DID文檔中增加有可能顯式或隱式推斷出DID主體類型信息的額外屬性。9.1.2憑證安全與隱私保護(hù)憑證的安全防護(hù)提供對(duì)VC和VP的安全防護(hù)措施，符合如下要求：GB/TXXXXX—XXXXa)頒發(fā)者頒發(fā)VC時(shí)，應(yīng)進(jìn)行數(shù)字簽名，保證VC的真實(shí)性和不可否認(rèn)性；b)持有者生成VP時(shí)，應(yīng)進(jìn)行數(shù)字簽名，保證VP的真實(shí)性和不可否認(rèn)性；c)在頒發(fā)者和持有者之間流轉(zhuǎn)VC時(shí)，應(yīng)進(jìn)行機(jī)密性和完整性保護(hù)；d)在持有者和驗(yàn)證者之間流轉(zhuǎn)VP時(shí)，應(yīng)進(jìn)行機(jī)密性和完整性保護(hù)；e)當(dāng)VC包含動(dòng)態(tài)信息時(shí)，應(yīng)保證正確設(shè)置過期時(shí)間；f)訪問用戶代理時(shí)或執(zhí)行數(shù)字簽名等密碼運(yùn)算時(shí)，應(yīng)執(zhí)行口令認(rèn)證、生物識(shí)別認(rèn)證或多因素認(rèn)證；g)應(yīng)在用戶終端可信環(huán)境中安全存儲(chǔ)VC；h)宜通過用戶代理在終端可信環(huán)境中生成VP。憑證的隱私保護(hù)提供對(duì)VC和VP的隱私保護(hù)措施，符合如下要求：a)個(gè)人身份數(shù)據(jù)分類分級(jí)應(yīng)符合GB/T43697的相關(guān)要求；b)VC或VP中涉及個(gè)人信息處理的，應(yīng)符合GB/T35273的相關(guān)要求；c)驗(yàn)證者請(qǐng)求個(gè)人身份信息時(shí)，應(yīng)通過用戶代理進(jìn)行提示，經(jīng)持有者授權(quán)后才能共享；d)宜支持個(gè)人信息的選擇性披露；e)宜支持采用零知識(shí)證明等隱私保護(hù)技術(shù)保護(hù)個(gè)人信息。9.2治理模塊治理模塊是在分布式身份系統(tǒng)中，通過指定管理機(jī)構(gòu)、設(shè)立管理框架和技術(shù)標(biāo)準(zhǔn)，保證各參與方的行為合規(guī)，并保障用戶隱私和數(shù)據(jù)安全的系統(tǒng)性管理過程，實(shí)現(xiàn)身份的安全驗(yàn)證和隱私保護(hù)，保證整個(gè)生態(tài)系統(tǒng)的透明、合規(guī)與高效運(yùn)作。符合如下要求：a)應(yīng)明確分布式身份系統(tǒng)的管理機(jī)構(gòu)，發(fā)布管理框架，為開發(fā)、操作和使用分布式身份系統(tǒng)的各方指定角色和責(zé)任；b)管理機(jī)構(gòu)應(yīng)組織多方共同制定公開透明的憑證管理框架，明確各方權(quán)利義務(wù)，保證規(guī)則統(tǒng)一透明，實(shí)現(xiàn)憑證全生命周期管理；c)管理機(jī)構(gòu)應(yīng)定期對(duì)憑證管理框架進(jìn)行評(píng)估和更新，以適應(yīng)技術(shù)發(fā)展和業(yè)務(wù)需求變化，鼓勵(lì)管理方不斷優(yōu)化憑證管理框架，保證憑證管理框架的適應(yīng)性和有效性，保障系統(tǒng)長期穩(wěn)定運(yùn)行；d)管理機(jī)構(gòu)應(yīng)對(duì)DID方法進(jìn)行監(jiān)督，保證DID方法提供方在創(chuàng)建、管理和撤銷身份時(shí)遵循既定的隱私保護(hù)和安全方法，防止有意或無意的數(shù)據(jù)泄露；e)管理機(jī)構(gòu)應(yīng)對(duì)VC模板進(jìn)行監(jiān)督，保證VC中用戶隱私數(shù)據(jù)的最小化披露；f)管理機(jī)構(gòu)應(yīng)支持定期審計(jì)和合規(guī)性檢查，保證所有參與方的操作符合相關(guān)的管理框架、技術(shù)標(biāo)準(zhǔn)和法律法規(guī)要求，并對(duì)違規(guī)行為采取適當(dāng)?shù)募m正措施；g)管理機(jī)構(gòu)宜對(duì)用戶代理設(shè)立基礎(chǔ)安全性、隱私性和數(shù)據(jù)保護(hù)方法，保證用戶身份、憑證等相關(guān)個(gè)人數(shù)據(jù)安全與隱私。9.3審計(jì)模塊審計(jì)模塊記錄、監(jiān)控和評(píng)估系統(tǒng)中各項(xiàng)操作，保證所有身份相關(guān)行為可追溯、合規(guī)和安全，符合如下要求：a)應(yīng)針對(duì)DID文檔提供安全審計(jì)功能，審計(jì)記錄包括訪問的時(shí)間、用戶標(biāo)識(shí)、操作類型（創(chuàng)建、解析、更新、注銷等）等，保證能夠追溯每次訪問的詳情；GB/TXXXXX—XXXXb)應(yīng)針對(duì)VC提供安全審計(jì)功能，審計(jì)記錄包括訪問的時(shí)間、用戶標(biāo)識(shí)、操作類型（頒發(fā)、驗(yàn)證、撤銷等）等審計(jì)信息，以保證憑證的使用和流轉(zhuǎn)過程可追溯；c)應(yīng)為審計(jì)人員提供查詢和檢索功能，支持基于多條件（時(shí)間、用戶、操作類型等）的審計(jì)記錄搜索，以便快速定位和分析特定操作的詳細(xì)信息；d)應(yīng)支持審計(jì)日志的定期存檔，確保歷史審計(jì)記錄能夠保存不少于六個(gè)月；e)宜支持實(shí)時(shí)監(jiān)控功能，能夠?qū)崟r(shí)檢測(cè)并報(bào)告異常行為，及時(shí)采取措施；f)應(yīng)為用戶提供透明度保障，允許用戶在獲得適當(dāng)授權(quán)的情況下訪問與其相關(guān)的審計(jì)記錄，了解自己的DID和憑證在系統(tǒng)中的使用情況；g)宜支持審計(jì)記錄的自動(dòng)化分析功能，能夠檢測(cè)異常行為或未經(jīng)授權(quán)的訪問，并及時(shí)發(fā)出安全警報(bào)；h)在提供審計(jì)記錄訪問時(shí)，應(yīng)對(duì)用戶的個(gè)人信息進(jìn)行脫敏處理，以保護(hù)用戶隱私；i)宜設(shè)立用戶通知機(jī)制，當(dāng)其DID或VC的審計(jì)記錄被訪問或更改時(shí)及時(shí)通知用戶；j)宜設(shè)立定期審計(jì)機(jī)制，定期對(duì)DID系統(tǒng)的操作日志進(jìn)行檢查，保證所有行為符合安全要求，并生成審計(jì)報(bào)告供內(nèi)部或外部審核使用；k)對(duì)于有可信身份驗(yàn)證要求的場(chǎng)景，應(yīng)提供可驗(yàn)證的可信身份證明，實(shí)現(xiàn)真實(shí)身份溯源。GB/TXXXXX—XXXXDID描述及示例A.1DID標(biāo)識(shí)符DID標(biāo)識(shí)符編碼由三部分組成，即“did”+“:”+<did-method>+“:”+<method特定標(biāo)識(shí)符>，其中：a)“did:”：固定格式的前綴；b)<did-method>：DID方法名，關(guān)于DID方法詳見A.3；c)<method特定標(biāo)識(shí)符>：根據(jù)DID方法生成的標(biāo)識(shí)符，保證最終生成的DID標(biāo)識(shí)符是全局唯一的標(biāo)識(shí)符。A.2DID文檔A.2.1概述分布式身份系統(tǒng)中DID標(biāo)識(shí)符與DID文檔是一一對(duì)應(yīng)關(guān)系，從DID標(biāo)識(shí)符可以解析得到DID文檔。DID文檔包括標(biāo)識(shí)、控制者、別名、核驗(yàn)方法、驗(yàn)證關(guān)系、服務(wù)等內(nèi)容，見表A.1。DID文檔提供了一組機(jī)制，使DID主體能夠證明其對(duì)DID的控制，外部服務(wù)可與DID主體進(jìn)行可信交互等。表A.1DID文檔DID主體對(duì)應(yīng)的DID標(biāo)識(shí)符，即DIDA.2.2標(biāo)識(shí)DID文檔所描述的DID主體對(duì)應(yīng)的DID標(biāo)識(shí)符。A.2.3控制者控制者是被授權(quán)的可對(duì)DID文檔進(jìn)行修改的實(shí)體，其值是控制者的DID標(biāo)識(shí)符。A.2.4別名一個(gè)DID主體可以擁有多個(gè)DID標(biāo)識(shí)符，別名可用來斷言多個(gè)DID標(biāo)識(shí)符指向同一DID主體。A.2.5核驗(yàn)方法GB/TXXXXX—XXXX與當(dāng)前DID主體進(jìn)行交互實(shí)現(xiàn)鑒別或授權(quán)的方法，如公鑰可被看做是一種核驗(yàn)方法。核驗(yàn)方法包含標(biāo)識(shí)（id）,類型（type）,控制者（controller）等屬性：a)標(biāo)識(shí)表示核驗(yàn)方法編號(hào)，該屬性的類型是字符串；b)類型表示驗(yàn)證方法的類型，如基于SM2的簽名算法，該屬性的類型是字符串；c)控制者是被授權(quán)可對(duì)DID文檔進(jìn)行更新的實(shí)體的DID標(biāo)識(shí)符，授權(quán)機(jī)制由DID方法定義。注：驗(yàn)證方法的controller和DID的contrA.2.6驗(yàn)證關(guān)系驗(yàn)證關(guān)系表示DID對(duì)象和核驗(yàn)方法之間的關(guān)系。如A.2.8節(jié)DID文檔示例中用"authentication":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1"表示驗(yàn)證關(guān)系，即id為did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1的核驗(yàn)方法（即SM2公鑰"04CB05F018A48134D5063F6F60F38CB72EA9D1A0AF0725C3B2D36915492F18E1DE1A93A553D8D39BE9DA65074D88992466838504552254A75DFABF060FB41FA2C7"）所關(guān)聯(lián)的驗(yàn)證關(guān)系是"authentication"（身份鑒別）。其他驗(yàn)證關(guān)系還包括assertionMethod（斷言）、keyAgreement（密鑰協(xié)商）、capabilityInvocation（能力調(diào)用）、capabilityDelegation（能力委托）等。A.2.7服務(wù)服務(wù)表示DID主體希望公告提供的服務(wù)，包括用于身份驗(yàn)證、授權(quán)或交互等分布式身份管理相關(guān)的服務(wù)，包含標(biāo)識(shí)（id）、類型（type）、服務(wù)端點(diǎn)（serviceEndpoint）等屬性：a)標(biāo)識(shí)表示服務(wù)編號(hào)，該屬性的值是數(shù)值類型；b)類型表示服務(wù)的類型，如鑒別、授權(quán)，該屬性的值是字符串或字符串集；c)服務(wù)端點(diǎn)表示服務(wù)的網(wǎng)絡(luò)地址，DID主體通過該地址提供服務(wù)，該屬性的值是一個(gè)或多個(gè)URI組成的集合。A.2.8DID文檔示例DID文檔通過序列化數(shù)據(jù)模型來表示，其中JSON-LDObject結(jié)構(gòu)如下所示。{"id":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7"http://DID主體的DID標(biāo)識(shí)符"controller":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7"http://DID控制者"verificationMethod"://核驗(yàn)方法[{"id":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1","type":"SM2VerificationKey","controller":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7","publicKeyHEX":"04CB05F018A48134D5063F6F60F38CB72E//以16進(jìn)制表示的SM2公鑰A9D1A0AF0725C3B2D36915492F18E1DE1A93A553D8D39BE9DA65074D88992466838504552254A75DFABF060FB41FA2C7""authentication":"did:shili:26fbb291cac584edb30cb83d0cdbf7d7#keys-1",//驗(yàn)證關(guān)系"service"://服務(wù)GB/TXXXXX—XXXX[{"id":"vcrepository-1",//服務(wù)標(biāo)識(shí)"type":"VerifiableCredentialRepository",//VC存儲(chǔ)服務(wù)"serviceEndpoint":""http://提供服務(wù)的網(wǎng)絡(luò)地址}}A.3DID方法A.3.1概述DID方法，結(jié)合特定的VDR，定義了特定的DID子系統(tǒng)的各項(xiàng)功能（DID標(biāo)識(shí)符的生成語法，DID文檔的創(chuàng)建、解析、更新、撤銷等操作方法）如何實(shí)現(xiàn)。此外，DID方法還應(yīng)明確說明其安全和隱私要求。A.3.2語法DID方法的語法應(yīng)符合如下要求：a)有一個(gè)方法名，并保證方法名的全局唯一性；b)說明如何生成DID方法的<method特定標(biāo)識(shí)符>；c)保證<method特定標(biāo)識(shí)符>的值在DID方法下的唯一性；d)保證由DID方法生成的DID標(biāo)識(shí)符是全局唯一的。A.3.3操作方法DID方法的操作方法符合如下要求：a)DID方法應(yīng)定義如何對(duì)執(zhí)行創(chuàng)建、解析、更新、撤銷等操作進(jìn)行授權(quán)；b)對(duì)于DID創(chuàng)建操作，DID方法應(yīng)說明DID控制者如何在VDR上創(chuàng)建DID標(biāo)識(shí)符及其相關(guān)的DID文檔；c)對(duì)于DID解析操作，DID方法應(yīng)說明DID控制者如何從DID標(biāo)識(shí)符解析得到DID文檔，以及如何驗(yàn)證解析結(jié)果的真實(shí)性；d)對(duì)于DID更新操作，DID方法應(yīng)說明DID控制者如何更新DID文檔，或者聲明無法更新；e)對(duì)于DID撤銷操作，DID方法應(yīng)說明DID控制器如何撤銷DID標(biāo)識(shí)符，或者聲明無法撤銷。A.3.4安全與隱私DID方法的安全與隱私應(yīng)符合如下要求：a)保證DID的創(chuàng)建、解析、更新和撤銷等操作，在包括但不限于竊聽、重放、消息注入、刪除、更改、拒絕服務(wù)、中間人等攻擊下的安全性；b)提供對(duì)DID的創(chuàng)建、解析、更新和撤銷等操作的完整性保護(hù)機(jī)制和鑒別機(jī)制；c)設(shè)計(jì)隱私保護(hù)策略。GB/TXXXXX—XXXX跨境貿(mào)易DID應(yīng)用示例跨境貿(mào)易區(qū)塊鏈平臺(tái)場(chǎng)景中，進(jìn)出口商、存儲(chǔ)機(jī)構(gòu)、陸港公司、海關(guān)、銀行、監(jiān)管機(jī)構(gòu)接入平臺(tái)，將經(jīng)營信息、倉庫貨物信息、物流信息等貿(mào)易相關(guān)信息上鏈，平臺(tái)向跨境貿(mào)易相關(guān)方提供廣泛的貿(mào)易信息服務(wù)，包括金融服務(wù)、分布式身份服務(wù)等。以進(jìn)出口商物流單據(jù)證書的流轉(zhuǎn)為例闡明平臺(tái)的分布式身份服務(wù)流程見圖B.1，其流程如下：a)陸港公司、進(jìn)出口商等跨境貿(mào)易的參與者、相關(guān)方在基于區(qū)塊鏈的VDR上注冊(cè)DID；b)陸港公司在VDR登記物流單據(jù)證書對(duì)應(yīng)的憑證模板；c)進(jìn)出口商向陸港公司申請(qǐng)物流單據(jù)；d)陸港公司作為憑證頒發(fā)者，使用