GB T 20520-2006 信息安全技术.公钥基础设施.时间戳规范.pdf
《GB T 20520-2006 信息安全技术.公钥基础设施.时间戳规范.pdf》由会员分享,可在线阅读,更多相关《GB T 20520-2006 信息安全技术.公钥基础设施.时间戳规范.pdf(18页珍藏版)》请在麦多课文档分享上搜索。
1、ICS 35.040 L 80 中华人民=H工悔、和国国家标准GB/T 20520-2006 信息安全技术公钥基础设施时间戳规范Information security technology-Public key infrastructure一Time stamp specification 2006-08-30发布中华人民共和国国家质量监督检验检菇总局中国国家标准化管理委员会2007-02-01实施发布GB/T 20520-2006 自次前言.I . ., m 引言. . . . . N 1 范围-2 规范性引用文件-3 术语和定义. 4 缩略语.I . . . . . . . I . .
2、. . . . . . . . . . 2 5 时间戳系统的组成. . . . . 2 6 时间戳的产生和颁发26. 1 申请和颁发方式. . . . . . . . . . . . . . . 2 6. 2 可信时间的产生方法. . . . . . . . . . . . . . . . . . . . . . I ., I . 3 6. 3 时间的同步. I . 3 6. 4 申请和颁发过程. . . . . . . . . . . . . 3 7 时间戳的管理47.1 时间戳的保存I . . . . . . . . . . . . . 4 7.2 时间戳的备份. . . . . . .
3、. . . . . 4 7.3 时间戳的检索7.4 时间戳的删除和销毁. . . . . . . 5 7.5 时间戳的查看和验证. . . . . . . . . . 5 8 时间戳的格式58.1 对TSA的要求 5 8. 2 密钥标识. . . . . . . 6 8.3 时间的表示格式. . . . . . . . . . . . . . . . . . . . . . 6 8. 4 时间戳申请和响应消息格式. . . . . . . . . . 6 8. 5 保存文件108.6 所用MIME对象定义108. 7 时间戳格式的安全考虑. . . . . 10 9 时间戳系统的安全. 9.
4、1 物理安全119. 2 软件安全11参考文献. . . . . 0 13 I GB/T 20520-2006 目lJ=i 本标准由全国信息安全标准化技术委员会提出井归口。本标准起草单位:中国科学院信息安全国家重点实验室。本标准主要起草人:冯登国、张凡、荆继武、庄葫、张立武、路晓明。阳山GB/T 20520-2006 百!本标准主要对时间戳协议的请求响应消息格式做出了规定,并在此基础上增加了对时间戳的产生和颁发方式、时间戳系统组成、时间戳管理、时间戳系统安全的要求。本标准参考了国内外的相关时间戳规范,最大程度地保证标准的互操作性,保证了TSA的互操作性、TSA和时间戳的安全性以及TSA的时间精
5、确性,为开发时间戳产品提供了可依据的标准。本标准凡涉及密码算法相关内容,按国家密码管理部门相关规定执行。本标准例子中提及的密码算法均为举例性说明,具体使用时均须采用国家密码管理部门批准的相应算法。W v GB/T 20520-2006 1 范围信息安全技术公钥基础设施时间戳规范本标准规定了时间戳系统部件组成、时间戳的管理、时间戳的格式和时间戳系统安全管理等方面的要求。本标准适用于时间戳系统的设计和实现,时间戳系统的测试和产品采购亦可参照使用。2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准
6、,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T 20518-2006信息安全技术公钥基础设施数字证书格式GB/T 20273一2006信息安全技术数据库管理系统安全技术要求GB/T 20271-2006 信息安全技术信息系统通用安全技术要求RFC 2630 加密捎息语法3 术语和定义下列术语和定义适用于本标准。3. 1 时间戳time stamp 使用数字签名技术产生的数据,签名的对象包括了原始文件信息、签名参数、签名时间等信息。TSA对此对象进行数字签
7、名产生时间戳,以证明原始文件在签名时间之前已经存在。3.2 3. 3 3.4 3.5 3.6 可信时间trusted time 准确的、值得信服的当前时间值,这个时间值的来翻应是高度权威的。时间戳机构time stamp authority 用来产生和管理时间戳的权威机掏。时间戳协议time stamp protocol 由本标准规定的一系列规范,包括时间戳的格式、各部件交流的消息格式、时间戳的颁发方式等内容。时间戳服务time stamp service 时间戳机构给用户提供的颁发时间戳服务,由用户提供文件,时间戳机构给此文件签发时间戳。请求方requester 向TSA系统发出申请时间戳请
8、求的人、硬件或者软件。J 1 GB/T 20520-2006 4缩赂i吾下列缩略语适用于本标准zCA 认证机构(CertificationAuthority) CRL 证书撤销列表(CertificateRevocation List) FTP 文件传输协议(FileTransfer ProtocoD OCSP 在线证书状态协议(OnlineCertificate Status ProtocoD OID 对象标识符(ObjectIdentifier) PKI 公开密钥基础设施(PublicKey TSA 5 时间戳系统的组成a) 的签名系统zr到数据库1110戳的产生和c) 时间戳数据备份和检
9、索fi,时间戳系统的结构6 时间戳的产生和颁发6, 1 申请和颁发方式- Text Transfer Protocol) 可信时间源固1时间戳系统结构间都应以挂个吨信时间惊为标可临时间源自身,中可能出现的误差,TSA时间被数据库TSA可以通过不同的方式接收时间戳申请和颁发时间戳,但应至少支持下列四种方式的其中一种:2 a) 通过电子邮件申请。用户使用电子邮件向一个TSA指定的电子邮件地址发送时间黠申请,而TSA也将颁发的时间戳通过电子邮件返回给用户。申请与颁发使用的MIME对象在第8章中说明。GB/T 20520-2006 b) 通过文件传输申请。用户将申请消息的编码存储在一个文件中,文件被传
10、送给TSA后,TSA同样将产生的时间戳保存在一个文件中传给用户。文件的传送可以使用任意可信赖的方法,例如使用FTP协议。c) 通过套接宇(Socket)申请。TSA在计算机的某个端口监听用户发来的申请,而用户在与TSA计算机的这个端口建立一个安全的套接字连接后,把申请消息发给TSAo最后TSA同样把产生的时间戳在这个连接上发给用户。d) 通过HTTP申请。用户连上TSA的申请网页后,使用网页产生申请消息,然后通过HTTP协议将申请消息传送给TSA,而TSA也随后通过HTTP协议发回时间戳。6.2 可信时间的产生方法叫四幽咽地地执可信时间的最初源头应来源于认可的硬件和方法获得的时间。可以使用以下
11、的一种或a) 使用某种无线接信号等。b) 使用某种时间同步协议c) 使用某考虑到任何一度。通过多种方法盯案,该方案要考虑6.3 时间的同步j踊TSA系a) 在获得可归签名系统b) 为了保证信时间检c) 每次同步的明的硬件或软d) 每次同步的问e) TSA各个部件件却不行动的情况。日才问:手段获得国家权威时间部) ,或者使用国家权威时间部门原子钟可信时布,如长波信号、卫星证时间的精确出一个可靠方最终结果。其是最关键的以及运行TSA,可以调整这一时间件检查同步了而其他都f) 在启动TSA系统的过程申啕信时间惊碰撞嘴巴个启动的4气而且在TSA开始工作之前,时间同步应该先进行一段日才间,民革TSA开始
12、颁树啊戳时,各部件的时间已经同可信时间掘同步过了。g) 在定期同步时间的过程中,如果获得可信时间失败或者发现收到的时间信息被篡改,TSA系统应该立即停止接受时间戳申请和时间同步,同时向管理者发出警报并写人审计日志。6.4 申请和烦发过程无论TSA的运行方式使用6.1中说明的哪一种方法,整个申请和颁发时间戳的过程至少应该包括以下基本过程:的用户通过6.1中说明的一种方法,向TSA提交申请请求,请求消息的格式应该符合第8章的规定。b) TSA的签名系统接收到申请请求后,根据第8章中对时间戳格式的说明,对请求捕息的合法性进行检查。3 GB/T 20520-2006 c) 如果请求消息不合法或者由于某
13、种内部原因TSA无法颁发这个时间戳,TSA应该产生一个时间戳的失败响应,其格式也应该遵循第8章的规定。在其中TSA应该详细填写申请被拒绝的原因。d) 如果请求悄息合法,且系统也正常运转,TSA的签名系统就应该根据第8章中说明的时间戳格式,填写正常的时间戳并签名。的TSA签名系统通过可信通道把新生成的时间戳发送给时间戳数据库,由时间戳数据库将其归档保存。而由于申请被拒绝而产生的时间戳失败响应,应该由TSA本身的策略决定是否将其保存,本标准不作硬性规定。f) TSA通过与用户申请方式对应的颁发方式,将新生成的时间戳发给用户。g) 用户在收到时间戳后,应该使用TSA的证书验证时间酷的合法性,并检查时
14、间戳内容是否有错误。如果时间戳不合法或者有错误,用户应该立即向TSA管理者报告异常情况,TSA机构应该提供一个用户反馈渠道,在用户发现异常情况时可以通过此渠道通知管理员。如果时间戳一切正常,用户可以自行保存此时间戳,以备后用。h) 如果管理员收到用户的异常报告,应该立即检查审计日志和时间戳数据库,找出错误原因所在。TSA应该对这种情况准备有完备的处理预案。7 时间戳的管理7. 1 时间戳的保存7. 1. 1 在TSA方的保存在TSA系统中,时间戳数据库应该负责保存由此TSA产生的所有时间戳。该时间戳数据库应符合9.2.4对数据库的要求。考虑到空间限制,时间黯数据库可以在一定时间后或者数据库中的
15、数据达到一定的量后,将数据库中的所有数据转移到它处,而将其自身清空。这一过程只能由管理员执行,并且转移后的保存要符合7.2对时间戳备份的要求。对于每一个时间戳,时间戳数据库在保存它们时至少要保存以下相关信息:a) 时间戳入库的时间;b) 时间戳的序列号;c) 时间戳的完整编码。除此之外,对于时间戳的保存,应考虑今后可能的用途,如用户查询、取证,存储的必要信息应便于今后使用。7. 1. 2 在用户方的保存在用户收到时间戳后,用户自行将时间戳保存在一个文件中。由用户自行保证时间戳的安全性,如果保存的时间戳发生了问题,用户可以向TSA机构申请取回自己的时间戳。7.2 时间戳的备份4 时间戳应按如下要
16、求备份:的每隔一定时间,管理员应该备份时间戳数据库的所有数据;b) 备份所使用的介质应符合9.1的要求;c) 备份应该使用异地备份的方式;d) 备份数据应该是以方便检索的方式存放;的备份数据的访问应在有管理员在场的时候进行;f) 备份数据不一定需要加密或签名,但如果使用,所选择的算法应符合国家密码管理部门的相关规定。GBjT 20520-2006 7.3 时间戳的检索TSA应该给用户提供一个能够方便的检索时间戳的环境,使用户可以通过网络或者面对面的方式检索和获得时间戳。TSA提供给用户检索的时间戳应该不仅仅是时间戳数据库中保存的时间戳,还应该包括以前备份的时间戳。TSA应该至少支持通过以下三种
17、信息检索时间戳:a) 根据时间戳入库的时间检索,允许检索出多个结果,再由用户自行选择;b) 根据时间戳的序列号检索,由于序列号唯一,这种检索应该只有唯一一个结果pc) 根据时间戳的完整编码检索,这种检索也应该只有唯一一个结果。时间戳的检索结果可以通过6.1的颁发方式发给用户,也可以通过另外的可靠方式,如使用IC卡、光盘等,让用户带回。7.4 时间戳的删除和销毁7. 4. 1 时间戳的删除当TSA系统由于内部错误或者外部攻击导致产生错误的时间戳时,应该允许删除时间戳数据库中的错误数据。所有从时间戳数据库中删除的时间戳应先进行备份,以备以后审计查询。这种备份数据应与正常备份数据区分开来,单独存放,
18、但同样也需要符合7.2中对备份的要求。所有遭到删除的时间戳应在第一时间在公开渠道公布,如互联网等。公布的时间戳信息应该尽可能的详细。时间戳的删除只能由TSA管理员操作进行。7.4.2 时间戳的销毁在确定时间戳已经丧失其价值后,TSA可以完全销毁时间戳,即不仅从时间戳数据库中删除,也从所有时间戳备份中删除。在时间戳生成后,应经过足够长的时间,时间戳才允许被销毁。这一保存时间应足够长,长到可以确定该时间戳巳丧失使用价值。此外,保存时间也可以由TSA的策略决定,但TSA应在用户申请时间戳时向用户详细说明。但是无论采用什么方法决定保存时间,时间戳都只能在TSA证书失效后销毁。时间戳的销毁只能由TSA管
19、理员操作进行。7.5 时间戳的查看和验证7. 5. 1 时间戳的查看TSA应该给用户提供一个方便安全的方法查看其颁发的时间戳,例如提供一个查看软件等。用户可以凭借此方法查看时间戳中所有可查看的内容。7.5.2 时间戳的验证TSA应该给用户提供一个方便安全的方法对其颁发的时间戳进行验证,例如提供一个验证软件或者通过互联网验证等。验证前,用户应该可以通过CRL或OCSP协议先验证TSA证书的有效性。TSA提供的验证服务应该包括以下两种:a) 使用TSA证书验证用户给定的时间戳是否是由该TSA签发;b) 用户提供时间戳和源文件,验证该时间戳是否是该文件的时间戳。8 时间戳的格式8. 1 对TSA的要
20、求完成一个完整的时间戳,TSA系统应满足下列条件:a) 拥有一个可信时间源,应满足9.2. 2的要求,可信时间的产生要满足6.2的要求;5 GB/T 20520-2006 b) 在每一个时间戳里都要包含一个可信时间值;c) 在每一个新生成的时间戳里都要包含一个一次性随机整数(nonce域); d) 只要可能,当从一个请求者处收到一个合法请求时,就要根据这个请求生成一个时间戳;巴)当时间戳生成时,要在其内包含一个唯一的标识符,这个标识符表明了时间戳生成时的安全策略;f) 只在数据的散列CHash)值上盖时间戳,散列函数拥有一个唯一的对象标识符(OID); g) 要能够检查单向散列函数的标识符,并
21、且验证数据的散列值长度是否符合该散列函数的结果长度;h) j) 用专门的密钥对时间k) 如果请求方在申请该在时间戳内信息。8.2 密钥栋识TSA应有专门求,例如适应不同的J为晖程也间戳同的算该域在8.3 时间的表示时间戳中使用语法结构为:例如:200311010 各个位解释如下:a) YYYY为年份,b) MM为月份,如果c) DD为日,如果只有d) hh为小时,如果只有一位L要加上的mrn为分钟,如果只有一位数,地上前导o,如05、59f) 因为秒,如果只有一位数,要加上前导汗嘲附阳酬时值数据不做任何其它检查;持这些扩展,TSA就应应该返回一个出错也应包含唯一应g) . s. . 是可选的,
22、表示秒的小数部分。小数点如果出现应是.,秒的小数部分如果出现,应把后面眼的0都省略掉,如果秒的小数部分等于0,则应全部都省略掉,小数点也应省略掉;h) 最后的Z表示这是一个UTC时间。午夜(格林威治时间)应该表示成:YYYYMMDDOOOOOOZ,其中的YYYYMMDD表示午夜之后的这一天。8.4 时间戳申请和晌应消息格式8. 4. 1 申请消息格式时间戳服务申请消息格式如下:6 GB/T 20520-2006 TimeStampReq : = SEQUENCE verslOn INTEGER v1 (1) , Messagelmprint, TSAPolicyld INTEGER BOOLE
- 1.请仔细阅读文档,确保文档完整性,对于不预览、不比对内容而直接下载带来的问题本站不予受理。
- 2.下载的文档,不会出现我们的网址水印。
- 3、该文档所得收入(下载+内容+预览)归上传者、原创作者;如果您是本文档原作者,请点此认领!既往收益都归您。
下载文档到电脑,查找使用更方便
5000 积分 0人已下载
下载 | 加入VIP,交流精品资源 |
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GB 20520 2006 信息 安全技术 基础设施 时间 规范
