1、ICS1 3 .3 1 0A9 1中华人民共和国国家标准GB3 5 1 1 4 2 0 1 7公共安全视频监控联网信息安全技术要求Technicalrequirementsforinformationsecurityofvideosurveillancenetworksystemforpublicsecurity2 0 1 7-1 1-0 1发布2 0 1 8-1 1-0 1实施中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会发布目 次前言 1 范围1 2 规范性引用文件1 3 术语、定义和缩略语1 3 .1 术语和定义1 3 .2 缩略语3 4 公共安全视频监控联网信息安全系统
2、互联结构3 4 .1 互联结构3 4 .2 系统内联网4 4 .3 系统间联网4 4 .4 联网方式4 5 证书和密钥要求4 5 .1 密码算法4 5 .2 数字证书类型5 5 .3 数字证书格式5 5 .4 密钥种类5 6 基本功能要求5 6 .1 统一编码规则5 6 .2 用户身份认证5 6 .3 前端设备分级5 6 .4 设备身份认证6 6 .5 管理平台间认证6 6 .6 授权与访问控制6 6 .7 控制信令认证6 6 .8 视频源签名及完整性校验6 6 .9 视音频加密7 6 .1 0 设备异常管理报警7 6 .1 1 安全管理7 6 .1 2 日志管理7 6 .1 3 非对称密钥管
3、理7 6 .1 4 对称密钥管理7 7 性能要求7 7 .1 设备身份认证7 7 .2 视频数据签名8 7 .3 视频加解密8 附录A (规范性附录) 数字证书格式9 GB3 5 1 1 4 2 0 1 7附录B (规范性附录) 密码模块编码规则1 1 附录C (规范性附录) 流程和协议1 2 附录D (资料性附录) 信令消息示范4 5 附录E (资料性附录) 加密视频的导出1 0 1 参考文献1 0 3 GB3 5 1 1 4 2 0 1 7前 言本标准的全部技术内容为强制性。本标准按照G B / T 1 .1 2 0 0 9给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机
4、构不承担识别这些专利的责任。本标准由中华人民共和国公安部提出并归口。本标准起草单位:公安部第一研究所、北京中盾安全技术开发公司、杭州恒生数字设备科技有限公司、长春吉大正元信息技术股份有限公司、北京江南天安科技有限公司、国家密码管理局商用密码检测中心、国家安全防范报警系统产品质量监督检验中心(北京) 、苏州科达科技股份有限公司、浙江大华技术股份有限公司、杭州海康威视数字技术股份有限公司、北京中星微电子有限公司。本标准主要起草人:陈朝武、栗红梅、王建勇、查敏中、赵惠芳、高利、闫雪、罗鹏、王冰洋、李国、林冬、张跃、陈宁、韩光瞬、刘宏伟、孙琼芳、崔云红、裴静、邱嵩、芦翔、孔维生、陈卫东。GB3 5 1
5、 1 4 2 0 1 7公共安全视频监控联网信息安全技术要求1 范围本标准规定了公共安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求,包括公共安全视频监控联网信息安全系统的互联结构、证书和密钥要求、基本功能要求、性能要求等技术要求。本标准适用于公共安全领域视频监控系统的信息安全方案设计、系统检测、验收以及与之相关的设备研发与检测。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。G B / T 2 2 6 0 2 0 0 7 中华人民共和国行政区划代码G B
6、 / T 2 6 5 9 2 0 0 0 世界各国和地区名称代码G B / T 7 4 0 8 2 0 0 5 数据元和交换格式 信息交换 日期和时间表示法G B / T 1 5 8 4 3 .3 2 0 0 8 信息技术 安全技术 实体鉴别 第3部分:采用数字签名技术的机制G B / T 2 5 7 2 4 2 0 1 7 公共安全视频监控数字视音频编解码技术要求G B / T 2 8 1 8 1 2 0 1 6 公共安全视频监控联网系统信息传输、交换、控制技术要求G M / T 0 0 0 5 2 0 1 2 随机性检测规范G M / T 0 0 1 4 2 0 1 2 数字证书认证系统密
7、码协议规范G M / T 0 0 1 5 2 0 1 2 基于S M 2密码算法的数字证书格式规范G M / T 0 0 3 4 2 0 1 4 基于S M 2密码算法的证书认证系统密码及其相关安全技术规范I E T F R F C 2 9 7 6 S I P I N F O方法( T h e S I P I N F O M e t h o d )I E T F R F C 3 2 6 1 会话初始协议( S I P : S e s s i o n I n i t i a t i o n P r o t o c o l )I E T F R F C 3 5 4 8 B a s e 1 6 ,
8、B a s e 3 2 , B a s e 6 4数据编码( T h e B a s e 1 6 , B a s e 3 2 , a n d B a s e 6 4 D a t a E n c o d -i n g s )I E T F R F C 3 5 5 0 实时传输协议( R T P : A T r a n s p o r t P r o t o c o l f o r R e a l - T i m e A p p l i c a t i o n s )I E T F R F C 3 7 2 5 会话初始协议( S I P )中第三方呼叫控制( 3 P C C )的当前最佳实现 B
9、e s t C u r r e n tP r a c t i c e s f o r T h i r d P a r t y C a l l C o n t r o l ( 3 p c c ) i n t h e S e s s i o n I n i t i a t i o n P r o t o c o l ( S I P ) I E T F R F C 4 5 6 6 会话描述协议( S e s s i o n D e s c r i p t i o n P r o t o c o l )3 术语、定义和缩略语3 .1 术语和定义G B / T 2 8 1 8 1 2 0 1 6界定的以
10、及下列术语和定义适用于本文件。1GB3 5 1 1 4 2 0 1 73 .1 .1视频加密密钥(视频密钥) videoencryptionkey具有安全功能的前端设备随机产生的对称密钥,按照一定的规律变化,用于直接加密视频内容,实现视频传输的机密性保护。3 .1 .2视频密钥加密密钥 videokeyencryptionkey由视频监控安全管理平台产生并分发给具有安全功能前端设备的对称密钥,按照一定的规律变化,用于对视频密钥进行加密,实现其传输的机密性保护。3 .1 .3视频导出传输密钥 videoexporttransmissionkey在视频导出过程中由视频监控安全管理平台生成,用于对视
11、频密钥进行加密,实现其导出的机密性保护。3 .1 .4前端设备 front-enddevice公共安全视频监控联网系统中安装于监控现场的信息采集、编码/处理、存储、传输、安全控制等设备。3 .1 .5具有安全功能的前端设备 front-enddevicewithsafetyfunction具有基于数字证书的设备身份认证、视频签名、视频加密等信息安全保护功能的前端设备。3 .1 .6具有安全功能的用户终端 userterminalwithsafetyfunction具有基于数字证书的用户身份认证、加密视频解密等安全功能的用户终端。3 .1 .7具有安全功能的中心信令控制服务器 centralco
12、ntrolserverwithsafetyfunction具有基于数字证书的设备身份认证、信令安全、密钥分发等安全功能的中心信令控制服务器。3 .1 .8具有安全功能的媒体服务器 mediaserverwithsafetyfunction具有基于数字证书的设备身份认证、视频加密及解密等安全功能的媒体服务器。3 .1 .9视频监控安全管理平台 securitymanagementplatforminvideosurveillance由具有安全功能的中心信令控制服务器、具有安全功能的媒体服务器、信令安全路由网关等功能实体组成,具备用户身份认证、设备身份认证、密钥管理、权限管理、签名验签、加密解密、
13、访问控制、审计、加密视频数据的实时点播/历史回放/存储/下载/分发/导出、视频数据源抗抵赖,控制信令的完整性验证等功能。3 .1 .1 0公共安全视频监控联网信息安全系统 informationsecuritysysteminvideosurveillancenetworkinpublicsecurityuse由具有安全功能的前端设备、具有安全功能的用户终端、视频安全密钥服务系统、视频监控安全管理平台四个部分组成,能够保障视频数据及控制信令信息真实性、完整性、保密性的公共安全视频监控联网系统。3 .1 .1 1安全模块 securitymodule含有密码算法、安全功能,可实现密钥管理机制的相
14、对独立的软件、硬件、固件或其组合。2GB3 5 1 1 4 2 0 1 73 .1 .1 2密码模块 cryptographicmodule在前端设备中实现随机数产生和密码运算功能的、相对独立的软件、硬件、固件或其组合。3 .1 .1 3用户 user在公共安全视频监控联网信息安全系统中注册并被授权的、对系统内的数据和/或设备有操作或管理需求的使用者。3 .1 .1 4信令安全路由网关 securesignalroutinggateway具有接收或转发域内外S I P信令功能,并且完成信令安全路由网关间路由信息的传递以及路由信令、信令身份标识的添加和鉴别等功能,是一种具有安全功能的S I P服
15、务器。3 .1 .1 5视频安全密钥服务系统 keyservicesystemforvideosecurity具备用户和设备身份证书的制发功能,为视频监控安全管理平台提供证书查询和验证等服务,并完成对对称密钥管理的系统。3 .1 .1 6功能实体 functionalentity实现一些特定功能的逻辑单元的集合。注:一个物理设备可以由多个功能实体组成,一个功能实体也可以由多个物理设备组成。3 .2 缩略语下列缩略语适用于本文件。C R L :证书撤销列表( C e r t i f i c a t e R e v o c a t i o n L i s t )E C B :电码本模式( E l
16、e c t r o n i c C o d e B o o k )F D W S F :具有安全功能的前端设备( F r o n t - e n d D e v i c e W i t h S a f e t y F u n c t i o n )G O P :画面组( G r o u p o f P i c t u r e s )I V :初始化向量( I n i t i a l i z a t i o n V e c t o r )O F B :输出反馈模式( O u t p u t F e e d b a c k )S H A :安全哈希算法( S e c u r e H a s h A
17、 l g o r i t h m )S I P :会话初始协议( S e s s i o n I n i t i a t i o n P r o t o c o l )V E K :视频加密密钥( V i d e o E n c r y p t i o n K e y )V K E K :视频密钥加密密钥( V i d e o K e y E n c r y p t i o n K e y )4 公共安全视频监控联网信息安全系统互联结构4 .1 互联结构公共安全视频监控联网信息安全系统(以下简称系统)互联结构见图1 。图1描述了单个系统内、不同系统间两种情况下,功能实体之间的连接关系。功能实体
18、之间的通道互联协议分为会话通道协议、媒体流通道协议和证书通道协议三种类型。3GB3 5 1 1 4 2 0 1 7图1 公共安全视频监控信息安全系统互联结构示意图4 .2 系统内联网系统由具有安全功能的前端设备、具有安全功能的用户终端、视频安全密钥服务系统(以下简称视频密钥系统) 、视频监控安全管理平台(以下简称管理平台)四个部分组成。各部分以传输网络为基础,通过会话通道协议、媒体流通道协议和证书通道协议连接。4 .3 系统间联网若干个相对独立的系统以信令安全路由网关、具有安全功能的媒体服务器为核心,通过I P传输网络,实现系统间控制信令信息和媒体信息的传输、交换、控制。视频密钥系统间以传输网
19、络为基础,实现证书信息的查询和交换。4 .4 联网方式4 .4 .1 级联系统的级联方式依据G B / T 2 8 1 8 1 2 0 1 6中的4 .1 .4 .1执行。4 .4 .2 互联系统的互连方式依据G B / T 2 8 1 8 1 2 0 1 6中的4 .1 .4 .2执行。5 证书和密钥要求5 .1 密码算法系统使用国家密码管理行政机构批准的非对称密码算法、对称密码算法、密码杂凑算法和随机数生成算法,算法应采用获得国家密码管理行政机构批准的安全密码产品实现。算法及使用方法如下:4GB3 5 1 1 4 2 0 1 7a ) 非对称密码算法使用S M 2椭圆曲线密码算法,用于身份
20、认证、数字签名、密钥协商等;b ) 对称密码算法使用S M 1 、 S M 4分组密码算法O F B模式,用于视频数据的加密保护。使用S M 4分组密码算法E C B模式,用于密钥协商数据的加密保护;c ) 密码杂凑算法使用S M 3密码杂凑算法,用于完整性校验;d ) 随机数生成算法生成的随机数应能通过G M / T 0 0 0 5 2 0 1 2中规定的方法进行检测。5 .2 数字证书类型系统应使用基于非对称密码算法的数字证书体系实现用户身份认证、前端设备认证、服务器设备认证、管理平台间认证等安全功能。应为用户、前端设备、服务器设备以及管理平台签发数字证书。证书类型具体如下:a ) 用户证
21、书:用于对用户的身份认证;b ) 前端设备证书:用于前端设备的身份认证以及对设备产生视频数据的数字签名;c ) 服务器设备证书:用于服务器设备的身份认证;d ) 管理平台证书:用于管理平台的身份认证。5 .3 数字证书格式应支持G M / T 0 0 1 5 2 0 1 2中对证书格式和证书撤销列表( C R L )的规定。统一的证书格式见附录A 。5 .4 密钥种类系统的密钥分为非对称密钥类和对称密钥类。非对称密钥类包括管理平台内功能实体的签名公私钥和加密公私钥、 F D W S F签名公私钥、具有安全功能的用户终端签名公私钥等。对称密钥类有视频密钥加密密钥、视频加密密钥等。6 基本功能要求
22、6 .1 统一编码规则系统对F D W S F 、服务器设备、具有安全功能的用户终端进行统一编码,见G B / T 2 8 1 8 1 2 0 1 6的附录D中D .1 。集成在F D W S F的密码模块,应有唯一的标识,编码规则见附录B 。6 .2 用户身份认证应对用户基本信息、属性信息以及用户I D与用户证书的对应关系作管理。应对所有用户进行身份认证。应支持基于数字证书的用户认证,认证流程见附录C中C .1 。6 .3 前端设备分级6 .3 .1 根据安全保护强弱,将F D W S F的安全能力分为三个等级,由弱到强分别是A级、 B级、 C级,见表1 。6 .3 .2 A级应基于数字证书
23、与管理平台双向身份认证的能力,达到身份真实目标。6 .3 .3 B级应具备基于数字证书与管理平台双向身份认证的能力和对视频数据签名的能力,达到身份真实和视频来源于真实设备,能够校验视频内容是否遭到篡改的目标。6 .3 .4 C级应具备基于数字证书与管理平台双向身份认证的能力、视频数据签名能力和视频数据加密能力,达到身份真实和视频来源于真实设备,能够校验视频内容是否遭到篡改,能够达到对视频内容加密保护目标。5GB3 5 1 1 4 2 0 1 7表1 前端设备分级等级基于数字证书与管理平台双向设备认证能力,达到身份真实目标基于数字证书的视频数据签名能力,达到视频来源于真实设备且可校验视频是否遭到
24、篡改的目标视频加密能力,达到视频加密保护目标A级 B级 C级 6 .4 设备身份认证6 .4 .1 管理平台应对F D W S F的基本信息、属性信息以及F D W S F的I D 、其密码模块I D与设备证书的对应关系作管理。6 .4 .2 管理平台应对所有接入的F D W S F进行单向设备身份认证或者双向设备身份认证。认证流程见C .2 ,消息示例参见D .1和D .2 。6 .5 管理平台间认证管理平台互联互通时应进行管理平台间的双向身份认证。认证流程见C .3 。6 .6 授权与访问控制6 .6 .1 在设备身份认证的基础上,管理平台应采用基于属性或基于角色的访问控制模型对用户进行授
25、权管理和访问控制。6 .6 .2 管理平台访问控制的粒度应至少包含前端设备的安全能力等级以及存储视频是否加密等属性。6 .6 .3 在系统中访问加密视频信息的用户应是经过基于数字证书认证的用户,包括对加密视频的播放、回放、下载、删除等操作。6 .6 .4 当跨域访问时,应采用信令M o n i t o r - U s e r - I d e n t i t y携带的用户身份信息进行访问控制。对C级设备的访问要做严格的控制。6 .7 控制信令认证6 .7 .1 管理平台和F D W S F应采用带密钥的杂凑算法S M 3对设备遥控等重要的S I P控制信令做认证。6 .7 .2 在S I P消息
26、头域中,启用D a t e域,增加N o t e域。 N o t e = ( D i g e s t n o n c e = “ “ , a l g o r i t h m = ) ,n o n c e的值为杂凑运算结果经过B a s e 6 4编码后的值, a l g o r i t h m的值为杂凑算法名称。控制信令认证的流程和方法规定见C .4 ,消息示例参见D .3 。6 .7 .3 当跨域访问时,若该信令是由本域的用户发起,则信令安全路由网关应将发送到外域的信令添加M o n i t o r - U s e r - I d e n t i t y头域,其取值为信令安全路由网关I D和
27、用户的身份信息;若该信令不是由本域的用户发起,则只在原有M o n i t o r - U s e r - I d e n t i t y域值前添加信令安全路由网关I D ;各段分隔符为“ - ” 。用户的身份为用户I D以及用户身份属性信息(用户身份属性信息包括:用户隶属机构属性、用户类别属性和用户职级属性) 。6 .8 视频源签名及完整性校验6 .8 .1 所有B级和C级F D W S F应对采集的视频进行视频数据签名操作并基于T C P协议进行传输。6 .8 .2 所有B级和C级F D W S F应支持对视频I帧及其他关键帧的签名。6 .8 .3 管理平台应支持对视频数据签名结果的接收、
28、存储和验证,实现视频源的抗抵赖及完整性校验。6 .8 .4 视频数据签名和验签的格式和流程见C .5 ,消息示例参见D .4 。6GB3 5 1 1 4 2 0 1 76 .9 视音频加密6 .9 .1 所有C级F D W S F应对采集的视频及音频进行加密操作并传输。6 .9 .2 管理平台应支持视频及音频加密数据的传输,支持用户在权限范围内对实时加密视音频播放、历史加密视音频回放、加密视音频的存储/下载/分发/导出等操作。6 .9 .3 视音频加密格式和流程见C .6 ,消息示例参见D .5 D .1 1 。6 .9 .4 视频导出时管理平台应更换视频密钥加密密钥,具体流程参见附录E 。6
29、 .9 .5 加密视频直接存储到存储设备。6 .1 0 设备异常管理报警6 .1 0 .1 管理平台应能及时发现F D W S F的异常情况,如非授权处理、密码模块损坏或丢失。6 .1 0 .2 管理平台应能及时感知设备异常情况,如报警等,并同时写入日志。6 .1 1 安全管理6 .1 1 .1 系统应设置安全管理员、安全操作员和安全审计员三类管理员角色。6 .1 1 .2 安全管理员负责系统的安全参数配置、系统服务器启动和停止,不具有安全业务操作的权限。6 .1 1 .3 安全操作员按其权限进行具体的安全业务操作,包括密钥生成、导入、备份和恢复等操作。6 .1 1 .4 安全审计员负责系统的
30、审计管理,负责对涉及系统安全的事件和各类管理、操作人员的行为进行审计和监督。6 .1 1 .5 系统应使用数字证书和静态口令、动态口令、生物识别等其他认证因子相结合的方式认证安全管理员、安全操作员及安全审计员的身份,身份认证成功后才能登录系统进行操作。6 .1 2 日志管理6 .1 2 .1 管理平台应对用户认证、设备认证、密钥管理等安全操作和各种异常安全事件,包括密钥协商失败、数据加解密失败、完整性校验失败等记录日志。6 .1 2 .2 管理平台应具备获取F D W S F各种异常安全事件日志的功能。包括设备认证失败、密钥协商失败、数据加解密失败、完整性校验失败等。6 .1 3 非对称密钥管
31、理非对称密钥对及其证书应按照G M / T 0 0 3 4 2 0 1 4进行管理。6 .1 4 对称密钥管理6 .1 4 .1 系统应对所使用的对称密钥进行完整生命周期的管理。6 .1 4 .2 视频密钥加密密钥V K E K在设备注册时更新,并安全传输到具有安全功能前端设备的密码模块中安全存储。管理平台应使用安全模块安全保存所有前端设备的V K E K ,保存周期应满足历史视频保存时间的要求。6 .1 4 .3 视频密钥加密密钥V K E K更新周期不大于1天。视频加密密钥V E K更新周期不大于1 h 。7 性能要求7 .1 设备身份认证在符合G B / T 2 8 1 8 1 2 0
32、1 6中5 .5网络传输质量要求前提下,设备身份双向认证时间延迟不超过4 0 0 m s 。双向认证时间延迟,不包含穿越安全边界平台及设备等实际网络中其他必须存在的设备7GB3 5 1 1 4 2 0 1 7延时。7 .2 视频数据签名F D W S F视频数据签名,应不小于1次/ s 。7 .3 视频加解密C级F D W S F应能支持全码流加密,在符合G B / T 2 8 1 8 1 2 0 1 6中5 .5网络传输质量要求前提下,视频加密/解密增加的延时不超过4 0 0 m s 。8GB3 5 1 1 4 2 0 1 7附 录 A(规范性附录)数字证书格式A.1 用户证书格式用户证书格
33、式应符合G M / T 0 0 1 5 2 0 1 2中对证书格式和证书撤销列表( C R L )的规定。A.2 设备证书格式设备证书格式见表A .1 。设备证书撤销列表( C R L )应符合G M / T 0 0 1 5 2 0 1 2的规定。表A.1 设备证书格式定义序号数据项名称数据类型数据长度采用标准说明1版本号整型1字节G M / T 0 0 1 5 2 0 1 2证书格式版本号,目前为32序列号字符型3 2字节G M / T 0 0 1 5 2 0 1 2证书序列号,用于证书管理,唯一3签名算法字符型1 6字节G M / T 0 0 1 5 2 0 1 2 C A中心签名该证书使
34、用的算法4签发单位名称( C N )字符型8字节区/县( L )字符型2字节G B / T 2 2 6 0 2 0 0 7地市( L )字符型2字节G B / T 2 2 6 0 2 0 0 7省份( S )字符型2字节G B / T 2 2 6 0 2 0 0 7国家( C )字符型2字节G B / T 2 6 5 9 2 0 0 0签发该证书的C A中心的信息5有效期生效日期字符型1 9字节G B / T 7 4 0 8 2 0 0 5证书生效日期,格式例如: 2 0 0 7 - 0 8 - 1 21 2 : 2 3 : 3 4失效日期字符型1 9字节G B / T 7 4 0 8 2 0
35、 0 5证书失效日期,格式例如: 2 0 0 7 - 0 8 - 1 81 2 : 2 3 : 3 46证书持有者信息设备标识( C N )字符型1 2 8字节格式为:设备I D 、密码模块I D , I D间以“ _”分隔,某个I D为空时值为“ N U L L ”网络类型( O )字符型2字节 0 1 :公安信息网 0 2 :视频专网预留( O )字符型2字节 “ 0 0 ”预留代表空值,无意义区/县( L )字符型2字节G B / T 2 2 6 0 2 0 0 7地市( L )字符型2字节G B / T 2 2 6 0 2 0 0 7省份( S )字符型2字节G B / T 2 2 6
36、 0 2 0 0 7国家( C )字符型2字节G B / T 2 6 5 9 2 0 0 07证书持有者公钥信息字符型2 5 6位G M / T 0 0 1 5 2 0 1 2证书持有者的公开密钥信息9GB3 5 1 1 4 2 0 1 7表A.1 (续)序号数据项名称数据类型数据长度采用标准说明8扩展项C R L分布点字符型1 2 8字节G M / T 0 0 1 5 2 0 1 2证书持有者密钥标识符字符型2 0字节G M / T 0 0 1 5 2 0 1 2签发单位的密钥标识符字符型2 0字节G M/ T 0 0 1 5 2 0 1 2密钥用途字符型6 4字节G M / T 0 0 1
37、 5 2 0 1 2预留字符型1 2 8字节以后扩充9签名项字符型2 5 6位G M / T 0 0 1 5 2 0 1 2 C A中心对该证书的签名01GB3 5 1 1 4 2 0 1 7附 录 B(规范性附录)密码模块编码规则编码规则由产品型号编码( 4位) 、类型编码( 2位) 、生产日期编码( 8位) 、批次编码( 3位)和序号( 5位)五个码段共2 2位十进制数字字符构成,即密码模块编码=产品型号编码+类型编码+生产日期编码+批次编码+序号。编码规则详细说明见表B .1 。其中,产品型号编码取国家密码管理局批准密码模块产品型号的后四位编码。类型编码是指密码模块产品的类型。表B.1
38、详细编码规则码段码位含义取值说明产品型号编码1 4密码模块的产品型号编码取国家密码管理局批准的密码模块的产品型号后四位数字类型编码5 6产品类型编码类型编码0 1安全芯片0 2安全T F卡9 9其他生产日期7 1 47 1 01 1 1 21 3 1 4生产日期密码模块的生产日期,格式为 年,如2 0 1 4月,如0 2日,如2 2批次1 5 1 7批次号密码模块的生产批次序号1 8 2 2密码模块序号11GB3 5 1 1 4 2 0 1 7附 录 C(规范性附录)流程和协议C.1 用户身份认证B / S客户端基于数字证书的用户身份认证流程应按照G B / T 1 5 8 4 3 .3 2
39、0 0 8执行。 C / S客户端应采用基于S I P协议的双向身份认证模式进行用户身份认证。具体流程参照C .2 .2内容。C.2 设备接入认证C.2 .1 SIP服务器认证FDWSF的单向身份认证C.2 .1 .1 单向身份认证说明F D W S F和S I P服务器进行单向认证。对R F C 3 2 6 1中定义的方法R E G I S T E R进行如下头域扩展:a ) A u t h o r i z a t i o n的值增加C a p a b i l i t y项用来描述F D W S F的安全能力。当A u t h o r i z a t i o n的值为C a p a b i
40、l i t y时,携带参数a l g o r i t h m 、 k e y v e r s i o n 。参数a l g o r i t h m的值分为四部分,中间以分号分割。第一部分定义为“ A ” ,为非对称算法描述,取值为设备支持的非对称算法/模式/填充方式,多种算法之间用逗号分隔。例如: A : S M 2 ;第二部分定义为“ H ” ,为杂凑算法描述,取值为设备支持的杂凑算法,多种算法之间用逗号分隔。例如: H : S M 3 ;第三部分定义为“ S ” ,为对称算法的描述,取值为设备支持的对称算法/模式/填充方式,多种算法之间用逗号分隔。例如: S : S M 1 / O F B / P K C S 5 , S M 1 / E C B / P K C S 5 。第四部分定义为“ S I ” ,为签名算法的描述。例如: S I : S M 3 - S M 2 。 k e y v e r s i o n为密钥版本号,取值为F D W S F的本地时间, 1 6位数字字符,例如: k e y v e r s i o n = “ 1 9 7 0 - 0 1 - 0 1 T 9 : 1 8 : 4 3 “ 。b ) W W W - A u t h e
