信息系统密码服务支撑技术架构设计示例、密码应用功能设计、密码产品部署、常见密钥体系构建方式.pdfVIP

GB/T XXXXX-XXXX 附 录 A （资料性） 密码服务支撑技术架构设计示例 A.1 密码服务集成于一体化密码服务平台 图A.1 密码服务集成于一体化密码服务平台 该方式的特点在于：典型密码功能和通用密码功能均集成在同一密码服务支撑中间件中，此类中间 件可形象地称为一体化密码服务支撑平台；对应用来说，一体化密码服务支撑平台是透明的，应用仅能 看到平台提供的密码功能接口；多个规模较小的应用系统可以使用该方式来获取密码支撑服务。 A.2 密码服务集成于独立服务器 图A.2 密码支撑中间件集成于独立服务器 该方式的特点在于：密码服务支撑设计集成在特定硬件设备中，既有签名验签服务器、加密解密服 务器等提供通用密码功能的设备，又有身份鉴别服务器、单点登录服务器等提供典型密码功能的设备。 一般来说，具备通用密码功能的设备，其硬件载体为密码设备；具备典型密码功能的设备，其硬件载体 可为密码设备或普通服务器。 A.3 密码服务集成于应用系统 15 GB/T XXXXX-XXXX 图A.3 密码支撑中间件集成于应用系统 该方式的特点在于：密码服务支撑设计集成在应用系统并与其一同部署在应用服务器中，一般由应 用系统开发商设计开发。 16 GB/T XXXXX-XXXX 附 录 B （资料性） 密码应用功能设计 B.1 真实性保护设计指南 保护实体身份真实性的主要方式是身份鉴别，基于密码技术的鉴别方式包括但不限于基于对称密码 的身份鉴别、基于非对称密码的身份鉴别、基于杂凑算法的身份鉴别。此外，密码技术还可以与静态口 令、生物特征等身份鉴别技术相结合，实现多因素鉴别。 a) 基于对称密码的身份鉴别，其设计时满足以下技术要求： 身份鉴别机制建议遵循GB/T 15843.2； 1) 作为实体身份凭证的对称密钥或其存储介质与实体身份标识建立可核实的绑定关系； 2) 采用经商用密码认证机构认证合格的密码产品作为存储介质来存储作为实体身份凭证的 对称密钥，并使用其进行密码运算；可选用的密码产品类型包括智能密码钥匙类、智能 IC卡类、电子标签芯片类、服务器密码机类、PCI-E/PCI密码卡类、金融数据密码机类产 品，以及安全门禁系统等。 b) 基于非对称密码的身份鉴别，其设计时满足以下技术要求： 1) 身份鉴别机制建议遵循GB/T 15843.3； 2) 作为实体身份凭证的公钥证书能准确标识实体身份； 3) 作为实体身份凭证的公钥证书由可信任证书认证系统签发；在其使用时进行验证，验证失 败则身份鉴别失败； 4) 采用经商用密码认证机构认证合格的密码产品作为存储介质来存储作为实体身份凭证的 非对称密钥对及公钥证书，并使用其进行密码运算；可选用的密码产品类型包括智能密码 钥匙类、PCI-E/PCI密码卡类、服务器密码机类、安全认证网关类、签名验签服务器类产 品等。 c) 基于密码杂凑算法的身份鉴别，其设计时满足以下技术要求： 1) 身份鉴别机制建议遵循GB/T 15843.4或使用动态口令技术进行身份鉴别，动态口令系统 设计建议遵循GB/T 38556，包括动态令牌、认证系统和密钥管理系统三部分； 2) 作为实体身