GA T 669.2-2008 城市监控报警联网系统.技术标准.第2部分 安全技术要求.pdf

《GA T 669.2-2008 城市监控报警联网系统.技术标准.第2部分 安全技术要求.pdf》由会员分享，可在线阅读，更多相关《GA T 669.2-2008 城市监控报警联网系统.技术标准.第2部分 安全技术要求.pdf（19页珍藏版）》请在麦多课文档分享上搜索。

1、ICS 13310A 91中华人民 共和 国 公共BA安全行业标准GAT 66922008城市监控报警联网系统 技术标准第2部分：安全技术要求Technical standard of city area monitoring and alarming network systemPart 2：Technical specification of security2008-08-04发布 2008-08-04实施中华人民共和国公安部 发布目 次GAT 66922008前言1范围-12规范性引用文件13术语、定义和缩略语131术语和定义-132缩略语24联网系统安全设计原则341规范性原则342

2、先进性和实用性原则343可扩展性原则344开放性和兼容性原则345可靠性原则346系统性原则347技术与管理相结合原则348等级保护原则349分层安全原则3410最小权限原则35联网系统安全技术体系总体框架和认证及权限管理结构451总体框架452认证及权限管理结构46物理安全561监控中心电源安全562电磁兼容性安全563环境安全564设备安全565防雷接地566记录介质安全57通信和网络安全671网络传输的安全672公安专网的接入与输出安全673双网并存68运行安全681安全监控682安全审计683恶意代码防护684备份与故障恢复一685应急处理786安全管理7GAT 669220089信息

3、安全791公钥基础设施792系统时间校正793用户身份认证894接人设备认证895用户授权策略与权限管理896访问控制与业务审计997数据加密及数据完整性保护998安全域隔离9附录A(规范性附录)支持X509 V3的证书格式定义一10附录B(规范性附录)支持X509 V2的证书撤销列表(CRL)格式12附录C(资料性附录)数字证书和静态口令两种方式下的用户身份认证流程13参考文献15刖 吾GAT 66922008请注意，本部分的基本内容有可能涉及专利，本部分的发布机构不应承担识别这些专利的责任。GAT 669城市监控报警联网系统技术标准分为11个部分：第1部分：通用技术要求；第2部分：安全技术

4、要求；第3部分：前端信息采集技术要求；第4部分：视音频编、解码技术要求；第5部分：信息传输、交换、控制技术要求；第6部分：视音频显示、存储、播放技术要求；第7部分：管理平台技术要求；第8部分：传输平台技术要求；第9部分：卡口信息识别、比对、监测系统技术要求；第10部分：无线视音频监控系统技术要求；第11部分：关键设备通用技术要求。本部分为GAT 669的第2部分。本部分的附录A、附录B为规范性附录，附录C为资料性附录。本部分由公安部科技局提出。本部分由全国安全防范报警系统标准化技术委员会(SACTC 100)归口。本部分起草单位：公安部第一研究所、北京中盾安全技术开发公司、北京网新中广科技发展

5、有限责任公司、杭州恒生数字设备科技有限公司、武汉大学国家多媒体工程中心、深圳中兴力维技术有限公司、杭州华三通信技术有限公司、杭州思福迪信息技术有限公司、北京联视神盾安防技术有限公司。本部分主要起草人：房子河、栗红梅、陈朝武、张俊业、王楠、张本锋、崔云红、赵惠芳、刘剑、胡瑞敏、查敏中、王学华、戚文雅、向稳新、张鹏国、王海增、李晓峰、杨国胜、陆品祥、王娜。城市监控报警联网系统 技术标准第2部分：安全技术要求GAT 669220081范围GAT 669的本部分规定了城市监控报警联网系统(简称联网系统)安全设计原则、安全技术体系总体框架和认证及权限管理结构、物理安全、通信和网络安全、运行安全、信息安全

6、等基本技术要求，是进行城市监控报警联网系统安全建设规划、方案设计、工程实施、系统检测验收以及与之相关的系统设备研发、生产的依据。本部分适用于城市监控报警联网系统，其他领域的监控报警联网系统可参考采用。2规范性引用文件下列文件中的条款通过GAT 669的本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。GBT 2260-2007中华人民共和国行政区划代码GBT 2659-2000世界各国和地区名称代码(eqv IS

7、O 31661：1997)GB 4943 2001信息技术设备的安全(idt IEC 60950：1999)GBT 7408-2005数据元和交换格式信息交换 日期和时间表示法(ISO 8601：2000，IDT)GBT 20271 2006信息安全技术信息系统通用安全技术要求GB 50348-2004安全防范工程技术规范GAT 3672001视频安防监控系统技术要求GAT 6691 2008城市监控报警联网系统技术标准第1部分：通用技术要求GAT 66952008城市监控报警联网系统技术标准第5部分：信息传输、交换、控制技术要求GAT 66972008城市监控报警联网系统技术标准第7部分：管

8、理平台技术要求RFC 3280 X509公钥证书和cRL3术语、定义和缩略语GAT 66912008中确立的以及下列术语、定义和缩略语适用于本部分。31术语和定义311公钥基础设施public key infrastructure包括硬件、软件、人员、策略和规程的集合，用来实现基于公钥密码体制证书的产生、管理、存储、分发和撤销等功能。312公钥证书public key certificate用户的公钥连同其他信息，并由发布该证书的证书认证机构的私钥进行加密使其不可伪造。313证书认证机构certification authority负责创建和分配证书，受用户信任的权威机构。 用户可以选择该机构

9、为其创建密钥。1GAT 66922008314注册机构registration authority为用户办理证书申请、身份审核、证书下载、证书更新、证书注销以及密钥恢复等实际业务的办事机构或业务受理点。315证书撤销列表certificate revocation list一个已标识的列表，它指定了一套证书发布者认为无效的证书。除了普通CRL外，还定义了一些特殊的CRL类型用于覆盖特殊领域的CRL。316权限管理系统privilege management system为用户、角色分配权限，并保障其正确使用的系统。317安全管理系统security management system负责对用户

10、信息及安全事件进行管理并完成安全审计等功能的系统。318安全支撑平台security supporting platform完成用户身份认证及单点登录、设备接人认证、数字签名、数据加密和访问控制等功能的系统。319物理安全physical security联网系统设备所处的物理环境的安全，是整个系统安全运行的前提。3110运行安全operation security网络与信息系统的运行过程和运行状态的安全。3111信息安全information security信息在数据收集、存储、检索、传输、交换、显示、扩散等过程中的安全，使得在数据处理层面保障信息依据授权使用，保护信息不被非法冒充、窃取、

11、篡改、抵赖。3112安全子系统security subsystem联网系统的一部分，包括公钥基础设施、权限管理系统、安全管理系统及安全支撑平台软硬件。3113安全域security domain计算机网络中从属于单一安全策略、受单个授权机构管理的多个实体构成的集合。32缩略语AES Advanced Encryption Standard高级加密标准CRL Certificate Revocation List证书撤销列表DES Data Encryption Standard数据加密标准MD5 Message Digest Algorithm 5信息摘要5NTP Network Timing

12、 Protocol网络时间协议PKICA Public Key Infrastructurecertification Authority 公钥基础设施认证机构2PMSSHASNTPSSLsMIMETSATLSURLVPNGAT 66922008Privilege Management System权限管理系统Secure Hash Algorithm安全哈希算法Simple Network Time Protocol简单网络时间协议Secure Socket Layer安全套接字SecureMultipurpose Internet Mail Extensions安全多用途网际邮件扩充协议T

13、ime Stamp Authority时间戳机构Transport Layer Security传输层安全Uniform Resource Locator统一资源定位符Virtual Private Network虚拟专用网络4联网系统安全设计原则41规范性原则联网系统安全设计应符合国家或行业相应的安全标准。42先进性和实用性原则联网系统安全设计应采用先进的设计思想和方法，尽量采用国内、外先进技术(例如：主动防御技术等)。所采用的先进技术应符合当地环境条件、监视对象、监控方式、维护保养以及投资规模等实际情况；应合理设置系统功能、恰当进行系统配置和设备选型，保证其具有较高的性价比，满足业务管理的

14、需求。43可扩展性原则联网系统安全设计应考虑通用性、灵活性，以便利用现有资源及应用升级。44开放性和兼容性原则对安全子系统的升级、扩充、更新以及功能变化应有较强的适应能力。即当这些因素发生变化时，安全子系统可以不作修改或作少量修改就能在新环境下运行。45可靠性原则联网系统安全设计应确保系统的正常运行和数据传输的正确性，在硬件的选型和配置、软件的组织和设计方法的选择、数据的安全性和完整性以及系统的运行和管理等方面都应采取必要的措施。防止由内在因素和硬件环境造成的错误和灾难性故障，确保系统可靠性。46系统性原则应采用系统优化设计，综合考虑安全子系统的整体性、相关性、目的性、实用性和环境适应性。另外

15、，与应用系统的结合应相对简单、独立。47技术与管理相结合原则联网系统安全体系应遵循技术与管理相结合的原则进行设计和实施，各种安全技术应该与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合，从社会系统工程的角度综合考虑，最大限度发挥人防、物防、技防相结合的作用。48等级保护原则应根据应用需求确定信息安全等级保护级别，并遵照信息安全等级保护原则，选择适合系统的安全保护措施。49分层安全原则按照设备的使用范围以及层次性、多监控中心的结构，设计相应的安全域，安全域内应进行安全认证和权限分配，保证相关业务和影响仅在有限范围内进行，控制权限的蔓延。410最小权限原则为设备或用户分配权限时，应在

16、不影响业务的情况下，实现功能明确、设备明确、时段明确和“权限最小化”，以有效进行权限管理。GAT 669220085联网系统安全技术体系总体框架和认证及权限管理结构51总体框架联网系统安全技术体系总体框架如图1所示，可以分为物理(实体)安全、通信和网络安全、运行安全以及信息(数据)安全四个层面。物理安全主要包括监控中心电源安全、电磁兼容性安全、环境安全、设备安全、防雷接地、记录介质安全六个方面。通信和网络安全主要包括网络传输安全、公安专网的接人安全、公安专网的输出安全三个方面。运行安全主要包括安全监控、安全审计、恶意代码防护、备份与故障恢复、应急处理、安全管理六个方面。信息安全主要包括用户身份

17、认证、接人设备认证、用户权限管理、访问控制及业务审计、数据加密及数据完整性保护、安全域隔离六个方面。图1 安全技术体系总体框架52认证及权限管理结构联网系统认证及权限管理结构如图2所示。公钥基础设施(PKI)权限管理系统(PMS)都通过安全管理系统为安全支撑平台提供基础服务。公钥基础设施(PKI)为联网系统设备和用户发放数字证书，并提供对证书有效性以及证书撤销列表(CRL)的查询服务。权限管理系统(PMS)保存系统权限策略和权限数据，为用户提供权限查询服务。安全管理系统负责用户管理，并从公钥基础设施(PKI)获取数字证书和CRL信息，从权限管理系统(PMS)获取权限信息，为安全支撑平台提供基础

18、服务。安全支撑平台为联网系统提供用户身份认证及单点登录、接人设备认证、数字签名、数据加密、访问控制等安全服务，以保证应用系统的可用性、完整性和机密性。4GAT 66922008应用系统安全服务安全支撑平台接入设备用户身份认证 单点登录 数字签名 数据加密 访问控制认证身份及证书信息f 1用户权限信息器罢睁系叫息离。，证书撤销列表(CRL)信息图2认证及权限管理结构6物理安全61 监控中心电源安全监控中心配电系统应满足GB 50348 2004中312的要求。监控中心应配备用电源，备用电源应能保证对监控中心内关键设备延长供电不少于8 h。62电磁兼容性安全联网系统抗电磁干扰性能应满足GAT 36

19、7 200l中91的要求；传输线路的抗干扰设计应符合GB 50348-2004中362的规定。联网系统电磁辐射防护性能应满足GAT 367-2001中92的要求。63环境安全监控中心机房应满足GBT 20271-2006中4111的要求，选择机房场地、实现机房内部安全防护、防火、防水、防潮、空调降温、防静电。通信线路的安全应按照GBT 20271-2006中4112的要求对通信线路进行安全防护。64设备安全主要指三类设备：联网系统前端设备、通讯设备(路由器、交换机等)和监控中心主机设备(终端计算机、服务器等)。根据设备所处位置的不同，又可分为室内设备、室外设备和移动设备。应按照GBT 2027

20、1-2006中41_21的设备标记要求、计算中心防盗要求和机房外部设备防盗要求，实现设备的安全保护。应按照GBT 20271 2006中4122的基本运行支持要求、安全可用要求和不问断运行要求设计和实现设备的可用程度。硬件设备应符合GB 4943-2001中关于电击、火灾、发热、机械、辐射、化学等安全方面的要求。65防雷接地应综合设计系统的防雷和接地。系统各组成部分的防雷和接地设计应符合GB 50348-2004中39的规定。66记录介质安全应按照GBT 20271 2006中413的公开数据介质保护、内部数据介质保护、重要数据介质保护、关键数据介质保护和核心数据介质保护的要求进行记录介质安全

21、保护。5GAT 669220087通信和两络安全71网络传输的安全当联网系统使用公安专网、公共网络、无线网络进行传输时，应分别符合相关部门对各个网络的安全管理规定或标准。公共网络、无线网络在条件允许的情况下宜采用虚拟专用网络(VPN)或者传输层安全(TLS)协议来保证传输的安全。72公安专网的接入与输出安全公安专网应专网专用，当其他网络需要与公安专网进行数据交换时，应采取相应措施保障公安专网的安全。宜在如下方案中选择：a)将模拟视频输出信号接人由公安部门认可的视频编码设备，然后接人公安监控系统。b)社会监控中心将数字图像单向传输给公安监控中心。当与公安专网接口时，应符合公安专网的安全管理规定。

22、c)公安监控中心将数字图像输出给社会监控中心时，应按照公安专网的安全管理规定经安全隔离设备后方可输出。73双网并存当不能解决公安专网与其他网络的隔离问题时，宜在公安监控中心设置两套完全物理隔离的监控系统，一套直接连接公安专网，另一套连接社会监控中心。8运行安全81安全监控应按照GBT 20271-2006中423的要求，设置分布式探测器，实时监测网络数据流，监视和记录内、外部用户出入网络的相关操作。宜使用防火墙、防毒软件、入侵检测系统、漏洞扫描工具来提高网络通信的安全性。82安全审计应按照GBT 20271 2006中424的要求，支持对审计功能的开启和关闭，对身份鉴别、管理用户业务用户所实施

23、的操作、其他与系统安全相关的事件等实施审计，并做出相应的审计响应。安全审计日志宜采用统一的格式，数据项应包括：a)操作人身份：用户身份标识；b)操作：功能操作；c)操作对象：操作的对象(如DVR设备)；d)操作类型：日志管理，用户管理，配置管理，任务管理等；e)操作时间：年、月、日、时、分、秒；f)操作结果：成功、失败。安全审计的日志记录信息应能够提供导人、导出、查询等功能。83恶意代码防护应按照GBT 20271 2006中427的要求，对包括计算机病毒在内的恶意代码进行有效的安全防护。84备份与故障恢复841联网系统应对系统的基本配置信息、用户信息、设备信息、权限信息、报警信息、巡检信息、

24、与报警关联的视音频信息、重要事件的视频图像、系统重要操作日志等进行分类并做相应的定期备份。842关键存储部件宜采用冗余磁盘阵列技术并支持失效部件的在线更换；对重要的设备应进行冗余配置，以实现双机热各或者冷备。6GAT 66922008843数据库服务器宜采用双机冗余热备份的方式。进行定期在线维护，以实现当数据库遭到破坏时，缩短恢复所需时间。844在条件具备的情况下，应在异地建立和维护一个重要数据的备份存储系统，利用地理上的分离来保证系统和数据对灾难性事件的抵御能力。845故障恢复前应制定具体合理的恢复工作计划，故障恢复方案应根据信息备份方案制定，数据恢复完成后应检测数据的完整性。85应急处理应

25、制定安全应急处理预案，并组织实施应急处置演习。对系统在正常工作中发生的突发事件(各类异常情况、安全事件、安全事故)，应由值班人员或者维护人员依照应急处理预案进行处置或系统自动降级处理。86安全管理各级各类监控中心应建立完善的安全管理制度，对监控中心的工作人员应进行安全管理教育和定期技术培训。应对组成系统的各种设备定期进行安全检查和维护。9信息安全91公钥基础设施911 证书认证机构(cA)联网系统应建立CA机构。其主要职责如下：a) 为本辖区内用户、设备签发证书；b)本级证书撤销列表(CRL)的创建和维护；c)管理、维护所签发的证书。912数字证书类型联网系统PKI体系涉及三种证书类型：a)用

26、户证书；b)设备证书，其中包括服务器证书和其他设备证书；c)CA证书。用户是指公安用户及政府其他部门需要共享监控业务信息的用户；设备是指服务器和其他设备；CA证书是指认证机构自身的证书。913证书格式应支持X509 V3标准证书，并支持所有X509 V3标准定义的扩展。应支持X509 V2证书撤销列表(CRL)。统一的用户证书格式、设备证书格式见附录A1和A2；统一的CRL格式见附录B。914证书载体联网系统所签发的证书应支持以下方式存储：a)移动存储介质：如硬盘、U盘、存储IC卡等；b)硬盘：通过文件的方式存储在硬盘上或通过证书管理器进行存储和管理；c)智能卡：带有算法的Ic卡；d)USBK

27、ey：USB接口的、带有算法的令牌；e)专用加密设备：如加密机，通常用于产生、存储和管理密钥和公钥证书。92系统时间校正联网系统应采用网络时间协议(NTP)来实现系统的时间校正。在时间精度要求不高的情况下宜以系统中的一台主服务器时间为基准实现全网时间校正；当时间精度要求较高时宜采用GPS授时技术获取标准时间，采用简单网络时问协议(SNTP)来实现系统时间校正。当时间戳做为可信依据时宜引7GAT 66922008入时间戳机构(TsA)，采用直接连接时间传输技术提供可信赖的且不可抵赖的时间戳服务。时间校正周期可根据实际情况设定。93用户身份认证931用户身份标识应对联网系统的所有用户进行统一的唯一

28、标识，编码规范见GAT 66972008中第9章的要求。932用户身份认证机制联网系统应在以下方式中选择一种或者多种方式进行用户身份认证。a)静态口令机制(用户名密码方式)；b)动态口令机制；c)基于智能卡的认证；d)基于冲击响应的USBKey认证；e) 基于PKIcA体系数字证书的USBKey认证；f)基于人体生物特征识别的认证。采用基于PKIcA体系数字证书的USBKey认证方式时应采用统一的公钥证书格式。对系统管理员、超级管理员宜附加基于人体生物特征识别的认证。基于数字证书和静态口令两种方式的用户身份认证过程参见附录C。933单点登录与全网漫游联网系统应支持授权用户单点登录与全网漫游的功

29、能。9331单点登录功能要求：a)联网系统应支持用户只经过一次身份认证，即可访问不同安全域的应用系统。b)联网系统web服务器、应用服务器应在用户身份认证成功后，保存用户的认证标识和身份标识。当用户访问不同的安全域时，Web服务器、应用服务器后台应用程序应根据其身份标识来确定该用户的用户类型。9332全网漫游功能要求：a)联网系统应采用统一的公钥证书格式，以保证在各级应用系统中均可被识别；b)联网系统应采用统一的认证方式，以保证不同安全域之间用户的身份认证。94接入设备认证941 应对接人联网系统的所有设备进行统一的唯一标识，编码规范见GAT 6697 2008中第9章的要求。942接人设备认

30、证应根据不同情况采用不同的认证方式。对非SIP设备，宜通过设备代理来进行认证；对标准SIP可信设备应采用数字证书的认证方式。设备认证的流程见GAT 66952008中第8章、第9章的要求。95用户授权策略与权限管理951用户分类根据用户对联网系统使用性质的不同，将用户分为两大类：a)业务用户：使用系统执行业务操作的用户(例如访问实时视频、访问历史业务信息、进行摄像机云台、镜头控制等操作)。b)管理用户：能够对系统软硬件资源、系统运行状态以及安全配置等进行管理的用户。联网系统宜根据实际需求按照用户职责细化用户分类。业务用户通常可细化为操作员、值班员等；管理用户通常可细化为系统管理员、安全管理员等

31、。用户宜赋予不同的优先级。联网系统宜按照一定的规则将具有相同属性或特征的用户划分为一组，进行用户组管理。8GAT 66922008952授权策略授权应遵循以下策略：a)联网系统应制定符合实际情况的授权模型；b)基础授权策略标准应统一；c)各级监控中心各自对用户授权。953权限管理用户权限分为两大类：业务权限和管理权限。业务用户不应具备管理权限。在监控中心内，权限管理应包括下列内容：a)提供增加、修改、删除和查询用户权限等功能。b)单独设立安全管理员，专门负责为本中心的每个合法用户分配相应的权限。除安全管理员外，任何用户不得擅自更改其权限、不得越权操作、不得将其权限转授给其他用户。安全管理员除完

32、成授权功能外，不能浏览、修改、删除系统中的任何其他数据。c)高优先级用户可抢占低优先级用户所占用的资源。在监控中心间，用户权限管理应在各级监控中心授权的基础上进行。96访问控制与业务审计961访问控制联网系统应实现统一的用户管理和授权，在身份鉴别的基础上，系统宜采用某种访问控制模型对用户进行访问控制(例如基于角色的访问控制或者基于属性证书的访问控制)。基于角色的访问控制应提供对委托授权和角色继承功能的支持；角色管理应能提供角色的增加、修改、删除等功能，并且对角色的操作提供审计接口。962业务审计联网系统应对以下事件进行业务审计，并保留记录，以备查验。a)用户登录和身份验证；b)非法或异常事件；

33、c)用户越权行为；d)持有权限变更操作。97数据加密及数据完整性保护971联网系统应对需要加密的数据在传输和存储过程中进行加密，存储时宜采用3DES、密钥长度为128位的高级加密标准(AES)、SCB2算法等进行加密；传输过程中宜采用RSA(1 024位或2 048位)对会话密钥进行加密，传输内容宜采用数据加密标准(DES)、3DES、AES(128位)等算法加密。972对信令数据的加密宜采用SIP协议所支持的安全多用途网际邮件扩充协议(SMIME)进行处理。973联网系统宜采用数字摘要、数字时间戳及数字水印等技术防止信息的完整性被破坏，即防止恶意篡改系统数据。数字摘要宜采用信息摘要5(MD5

34、)、安全哈希算法1(sHA_1)、安全哈希算法256(SHA256)等算法。98安全域隔离应将联网系统划分为不同的安全域，如监控中心局域网、公安专网、公共网络等，不同的安全域之间应进行相应的隔离。当需要在公网和专网之间进行数据交换时，应采用国家、行业管理部门认可的安全隔离措施。GAT 66922008A1用户证书格式用户证书格式见表A1。附录A(规范性附录)支持x509 V3的证书格式定义表A1用户证书格式定义序号 数据项名称 数据类型 数据长度 采用标准 说 明1 版本号 整型 1字节 RFc 3280 证书格式版本号，目前为3证书序列号，用于证书管理，每一2 序列号 字符型 32字节 RF

35、c 3280CA系统中，应为唯一值3 签名算法 字符型 16字节 RFC 3280 CA中心签名该证书使用的算法名称(CN) 字符型 8字节区县(L) 字符型 2字节 GBT 2260-20074 签发单位 地市(L) 字符型 2字节 GBT 2260 2007 签发该证书的CA中心的信息省份(s) 字符型 2字节 GBT 2260-2007国家(C) 字符型 2字节 GBT 2659-2000生效日期 字符型 19字节 GBT 7408-2005证书生效日期，格式例如：2007085 有效期12 12：23：34证书失效日期，格式例如：200708失效日期 字符型 19字节 GBT 7408

36、 200518 12：23：34用户名称 字符型 48字节 姓名(CN) 身份证号码证书持有 区县(L) 字符型 2字节GBT 226020076者信息 地市(L) 字符型 2字节 GBT 2260 2007省份(S) 字符型 2字节 GBT 2260 2007国家(C) 字符型 2字节 G13T 265920007 证书持有者公钥信息 字符型 1 024位 RFC 3280 持证人的公开密钥信息CRL分布点 字符型 128字节 RF3280证书持有者字符型 20字节 RFC 3280密钥标识符8 扩展项 签发单位的 字符型 20字节 RFC 3280密钥标识符密钥用途 字符型 64字节 RF

37、C 3280预留 字符型 128字节 待以后扩充9 签名项 字符型 1 024位 RFC 3280 CA中心对该证书的签名A2设备证书格式设备证书格式见表A2。io表A2设备证书格式定义GAT 66922008序号 数据项名称 数据类型 数据长度 采用标准 说 明1 版本号 整型 1字节 RFC 3280 证书格式版本号，目前为3证书序列号，用于证书管理，每一2 序列号 字符型 32字节 RFC 3280CA系统中，应为唯一值3 签名算法 字符型 16字节 RFC 3280 CA中心签名该证书使用的算法名称(cN) 字符型 8字节区县(L) 字符型 2字节 GBT 2260 20074 签发单

38、位 地市(L) 字符型 2字节 GBT 2260-2007 签发该证书的CA中心的信息省份(S) 字符型 2字节 GBT 2260-2007国家(C) 字符型 2字节 GBT 2659 2000生效日期 字符型 19字节 GBT 7408-2005 证书生效日期，格式例如：2007085 有效期12 12：23：34证书失效日期，格式例如：200708失效日期 字符型 19字节 GBT 7408-200518 12：孙：34设备名称字符型 48字节(CN)证书持有 区县(L) 字符型 2字节 GBT2260-20076者信息 地市(L) 字符型 2字节 GBT 2260-2007省份(S) 字

39、符型 2字节 GBT 2260-2007国家(C) 字符型 2字节 G13T 2659-20007 证书持有者公钥信息 字符型 1 024位 RFC 3280 持证人的公开密钥信息CRL分布点 字符型 128字节 RFC 3280证书持有者密钥标识符 字符型 20字节RFC 32808 扩展项 签发单位的 字符型 20字节 RFC 3280密钥标识符密钥用途 字符型 64字节 RFC 3280预留 字符型 128字节 以后扩充9 签名项 字符型 1 024位 RFC 3280 CA中心对该证书的签名GAT 66922008附录B(规范性附录)支持X509 V2的证书撤销列表(CRL)格式B1

40、X509、慢证书撤销列表CRL格式X509 V2证书撤销列表CRL格式见表B1。表B1 X509 V2证书撤销列表CRL格式序号 数据项名称 数据类型 数据长度 采用标准 说 明1 版本号 整型 1字节 RFC 3280 CRL的版本号名称(cN) 字符型 8字节区县(L) 字符型 2字节 GBT 2260-2007 CRL签发者的信息，CRL的签发2 签发单位 地市(L) 字符型 2字节 GBT 2260-2007 者为签发该类公钥证书的相应CA省份(s) 字符型 2字节 GBT 2260-2007 中心国家(c) 字符型 2字节 GBT 2659-2000生效时间 字符型 19字节 GBT

41、 7408 2005该CRL发布的时间，格式例如：3 发布时间20070812 12：23：34下次更新的 字符型 19字节GBT 7408-2005 下一CRL发布时间，格式例如：时间 2007 0818 12：23：344 签名算法 字符型 16字节 RFC 3280 CA中心签名该CRL使用的算法签发单位的 字符型 肋字节RFC 3280 签发单位的密钥标识符5 扩展项 密钥标识符CRL分布点 字符型 128字节 RFC 3280 CRL分布点撤销证书的字符型 32字节 RFC 3280吊销列表 序列号(包括吊 证书吊销 该证书被吊销的时间，格式例如：6 字符型 19字节 GBT 7408-2005销证书1 日期 20070812 12：23：34N个) 证书注销原因 整型 1字节RFC 3280 证书注销原因见表B27 签名项 字符型 1 024位 RFC 3280 CA中心对该CRL的签名B2 x509 V2证书撤销列表CRL格式的证书注销原因编码X509 V2证书撤销列表CRL格式中证书注销原因编码见表B2。表B2证书注销原因编码表证书注销原因名称 证书注销原因编码未指明原因 0密钥泄密 1CA泄密 2从属关系改变 3证书被取代 4操作终止 5证书冻结 612附录C(资料性附录)数字证书和静态口令两种方式下的用户身份认证流程c1用户