5卫生系统数字证书服务管理平台接入规范

I卫生系统电子认证服务体系系列规范卫生系统数字证书服务管理平台接入规范（试行）卫生部办公厅2010年4月30日II目录1范围12系统接入总体要求13CA系统功能要求14CA系统接入接口要求241证书信息同步接口242黑名单信息同步接口543查询证书信息接口8附录资料性附录名词解释1111范围根据卫生系统电子认证服务管理办法（试行）相关要求，电子认证服务机构在开展服务前须接入卫生部数字证书服务管理系统。本规范描述了电子认证服务机构的CA系统（简称CA系统）接入卫生部数字证书服务管理系统的总体要求、CA系统功能要求以及CA系统接入接口要求等。本规范用于指导相关电子认证服务机构将CA系统接入卫生部数字证书服务管理系统，实现系统接入过程标准化及安全控制，实现数字证书服务的统一管理。2系统接入总体要求根据卫生系统电子认证服务管理办法（试行）的规定，卫生部将建设集中的数字证书服务管理系统，用于卫生系统内所有证书用户信息的收集、查询、统计和分析，以及进行用户意见收集、服务质量监督等管理工作。卫生部通过数字证书服务管理系统对在卫生系统领域开展电子认证服务的CA机构实行接入控制及服务管理。拟为卫生系统领域提供服务的电子认证服务机构，须符合卫生系统电子认证服务管理办法（试行）的相关要求，将CA系统接入到卫生部数字证书服务管理系统。接入卫生部数字证书服务管理系统的电子认证服务机构应符合以下要求1电子认证服务机构的CA系统应符合证书认证系统密码及其相关安全技术规范。2电子认证服务机构的CA系统应遵循电子政务电子认证体系建设总体规划（国密局联字20072号）中关于电子认证体系建设的相关要求，符合电子政务电子认证服务管理办法国密局发20097相关要求。3电子认证服务机构的CA系统签发的证书应遵循卫生系统数字证书格式规范，使用的证书介质应符合卫生系统数字证书介质技术规范，开展证书应用集成工作时应遵循卫生系统数字证书应用集成规范。4电子认证服务机构的CA系统的功能应符合本文第3章要求。5电子认证服务机构的CA系统应遵循本文第4章的接口要求，将CA系统中的数字证书和黑名单及时同步到卫生部数字证书服务管理系统。3CA系统功能要求电子认证服务机构的CA系统须具备如下基本功能1证书申请CA系统签发的证书类型应包括内部机构证书、内部工作人员证书、内部设备证书、外部机构证书、外部个人证书和外部设备证书。以上各类证书格式须符合卫生系统数字证书格式规范的要求。对内部用户提供服务时，为提高证书办理效率，CA系统应提供批量录入和批量审核的功能。2证书更新CA系统应提供证书更新功能。证书更新后，新证书的有效期须延长，密钥须更换，证书的实体唯一标识须保持不变。3证书解锁证书保护口令连续10次输入错误，证书介质须自动锁死。CA系统应提供证书解锁功能，用户可重新设置新的证书保护口令。4证书吊销CA系统应提供证书吊销功能。证书吊销后，CA系统应实时签发黑名单，并将黑名单发布给相关的卫生信息系统和卫生部数字证书服务管理系统。5密钥恢复CA系统应提供加密密钥和加密证书的恢复功能。密钥恢复后，用户可恢复原有的加密证书2和加密密钥，证书和密钥的存储格式应与原有证书一致，保障用户的历史密文信息可以完成解密操作。6证书信息发布CA系统应提供将数字证书申请、更新和吊销等相关信息同步到卫生部数字证书服务管理系统的功能。数据同步时，CA系统应遵循和调用证书服务管理系统的证书信息同步接口（详见41节）。CA系统应提供证书信息发布功能，外部证书用户的发布按照批准的电子认证业务规则（CPS）规定的策略执行，内部用户证书在对外发布前应经用户管理单位审定。4CA系统接入接口要求电子认证服务机构的CA系统调用数字证书服务管理系统提供的数据同步接口，实现与卫生部数字证书服务管理系统之间数字证书和黑名单的信息同步等，接口的函数原型及功能描述请参照以下章节描述。41证书信息同步接口函数原型PUBLICSTRINGCERTREQUESTINFOSYNCUSERINFOUSERINFO,STRINGSTRSIGNVALUE。功能描述CA系统调用该接口，将证书数据同步到卫生部数字证书服务管理系统。输入参数CUSERINFO需要同步的证书数据，详见表1说明。STRSIGNVALUE使用CA系统的服务器证书对CUSERINFO域的数据组合进行的数字签名，数据原文采用XML数据标准格式，签名算法采用SHA1RSA，数字签名的数据格式为BASE64编码格式。返回值详见表2说明。表1CUSERINFO证书信息表序号字段名字段内容是否为空字段长度字段说明1TRADETYPE业务类型VARCHAR21281证书首次发放2证书更新3证书吊销2CAINFOCA身份标识NVARCHAR2128CA身份标识，CA机构的营业许可证后4位数字3CERTTYPE证书类型VARCHAR21工作人员证书G；内部机构证书U；内部设备证书S外部个人证书P外部机构证书J外部设备证书W4USERID用户实体唯一标识NVARCHAR2128CA系统中的用户ID号，即证书实体唯一标识5COMMONNAME证书主体NVARCHAR2256用户姓名或单位名称，该内容为签发的证书主题名称6PAPERTYPE证件类型NCHAR2组织机构代码JJ工商营业执照GS税务登记证SW身份证SF3军官证JG护照HZ回乡证HX其他QT7PAPERID证件号码NVARCHAR264个人证书和工作人员证书填身份证号码、军官证、护照或其他；机构证书和设备证书填组织机构代码、工商营业执照、税务登记证或其他。8PROVINCENAME省份名称NVARCHAR2128省份名称必须有9LOCALITYNAME城市名称NVARCHAR2128城市名称必须有10UNITNAME单位名称NVARCHAR2256单位名称必须有11DEPARTMENTNAME部门名称VARCHAR2256部门名称12POSTALADDRESS邮政地址VARCHAR2256邮政地址13POSTALCODE邮政编码CHAR6应为6位数字14AGENTMAN联系人VARCHAR2128联系人15TELEPHONENUMBER用户电话号码VARCHAR264单位证书时，应为单位的固定电话16FAX用户传真号码VARCHAR264用户传真号码17E_MAIL用户电子邮件VARCHAR2128可选项，单位证书时，与经办人信息一致。18MOBILETELEPHONE用户手机号码VARCHAR264可选项，单位证书时，与经办人信息一致。19ENCCERTDATA加密证书VARCHAR23072用户证书，BASE64编码20SIGNCERTDATA签名证书VARCHAR23072用户证书，BASE64编码21TRANSNAME经办人姓名VARCHAR2128单位证书时，非空22TRANSTEL经办人电话VARCHAR2128单位证书时，非空23TRANSEMAIL经办人电子邮件VARCHAR2128单位证书时，非空24TRANSMOBILE经办人手机号码VARCHAR2128单位证书时，非空25TRANSPERTYPE经办人证件类型CHAR2身份证SF军官证JG护照HZ回乡证HX其他QT426TRANSPAPERID经办人证件号码VARCHAR264填身份证号码、军官证、护照或其他证件号码27TRADETIMECA系统提交数据时间NCHAR14CA系统提交时间，格式如20071120133456表2证书同步接口返回值说明表序号字段名字段内容是否为空字段说明1ERRORCODE返回代码0成功，其他值失败（值为错误号）EC301验证数据签名失败EC302检查用户录入数据完整性错误EC303该用户发放数据已经同步成功EC520保存数据出现异常2TIME业务系统交易时间N返回给CA系统,格式如200711201334563STRRETSIGNVALUE签名值N接收端对返回代码ERRORCODE和时间TIME的数据组合进行的数字签名。签名原文的数据格式是ERRORCODE“，”TIME证书信息同步接口XML格式定义如下注下文中的所有“CAURL”代表电子认证服务机构的服务网站URL，如WWWXXCAORGCN。STRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRING5STRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGHTTP/11200OKCONTENTTYPETEXT/XMLCHARSETUTF8CONTENTLENGTHLENGTHSTRINGSTRING642黑名单信息同步接口函数原型PUBLICSTRINGCRLINFOSYNCCRLINFOCRLRINFO,STRINGSTRSIGNVALUE功能描述CA系统调用该接口，将黑名单数据同步到卫生部数字证书服务管理系统。输入参数CCRLINFO黑名单数据，具体内容见表3说明；STRSIGNVALUE使用CA系统服务器证书对CCRLINFO域的数据进行的数字签名，数据原文采用XML数据标准，签名算法采用SHA1RSA，数字签名的数据格式为BASE64编码格式。返回值见表4说明。表3黑名单信息表序号字段名字段内容是否为空字段长度字段说明1CANAMECA身份标识NVARCHAR2128电子认证服务机构身份标识，由卫生部数字证书服务管理系统统一分配。2CRLNAMECRL别名NVARCHAR2128针对一个CA机构下多个CA证书链，对应多个CRL文件，通过CRLNAME进行区分。CRLNAME参数可使用CRL颁发者的通用名（即CN）。3CRLDATA本次传输的黑名单数据NVARCHAR2最大不超过400K黑名单（BASE64编码）4NUM传输序号NVARCHAR24不大于ALLNUM5ALLNUM传输的总次数NVARCHAR246TRADETIMECA系统交易时间NCHAR14CA系统提交时间，格式如20100520133456表4黑名单同步接口返回值表序号字段名字段内容是否为空字段长度字段说明1ERRORCODE错误代码VARCHAR240成功；其他值失败错误代码如下EC301验证数据签名失败EC302该黑名单已经同步成功EC303保存数据出现异常EC304超时2TRADEENDTIME数据同步完成时间NCHAR14返回给CA系统,格式为YYMMDDHHMMSSZ，如201005201334563STRRETSIGNVALUE返回的签名子NVARCHAR2171接收端对返回数据的签名值（BASE64编码）。原文数据格式7ERRORCODE“，”TRADEENDTIME。黑名单信息接口XML格式定义如下STRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGSTRINGHTTP/11200OKCONTENTTYPETEXT/XMLCHARSETUTF8CONTENTLENGTHLENGTH8STRINGSTRING43查询证书信息接口函数原型PUBLICCCERTINFOGETSINGLECERTINFOSTRINGPAPERTYPE,STRINGPAPERID,STRINGCOMMONNAME,STRINGSTRSIGNVALUE功能描述CA系统调用该接口，获取该证书是否存在的详细信息。输入参数PAPERTYPE证件类型；PAPERID证件号码；COMMONNAME用户姓名或单位名称，该内容为签发的证书主题名称；STRSIGNVALUE使用CA系统服务器证书对三个参数的数据进行的数字签名，数据原文采用XML数据标准，签名算法采用SHA1RSA，数字签名的数据格式为BASE64编码格式。返回值见表5说明。表5查询证书信息接口返回值表序号字段名字段内容是否为空字段长度字段说明1CANAME证书的颁发者NVARCHAR2128颁发者（电子认证服务机构身份标识，由卫生部数字证书服务管理系统统一分配）2COMMONNAME证书主体NVARCHAR2256用户姓名或单位名称，该内容为签发的证书主题名称3PAPERTYPE证件类型NCHAR2组织机构代码JJ工商营业执照GS税务登记证SW身份证SF军官证JG护照HZ回乡证HX其他QT4PAPERID证件号码NVARCHAR264个人证书和工作人员证书填身份证号码、军官证、护照或其他；机构证书和设备证书填组织机构代码、工商营业执照、税务登记证或其他。5BEGINDATE开始日期NVARCHAR230证书有效期的开始日期6ENDDATE截止日期NVARCHAR230证书有效期的截止日期7CERTTYPE证书类型VARCHAR21工作人员证书G；内部机构证书U；内部设备证书S9外部个人证书P外部机构证书J外部设备证书W8USERID用户实体唯一标识NVARCHAR2128CA系统中的用户ID号，即证书实体唯一标识9TRADETIMECA系统提交数据时间NCHAR14CA系统提交时间，格式如2010052013345610CERTUNIUQIED证书序列号NVARCHAR2100证书序列号11ERRORCODE错误代码VARCHAR240没有找到该证书信息；其他值失败错误代码如下EC301验证数据签名失败EC302该证书信息已经存在，且是有效证书。EC303查询数据出现异常EC304超时EC305该证书信息已经存在，且证书过期。EC306该证书信息已经存在，且证书被吊销。12TRADEENDTIME查询数据