GB/T 34095-2017信息安全技术用于电子支付的基于近距离无线通信的移动终端安全技术要求

ICS35040

L80.

中华人民共和国国家标准

GB/T34095—2017

信息安全技术

用于电子支付的基于近距离无线

通信的移动终端安全技术要求

Informationsecuritytechnology—

Technologyrequirementsforelectronicpaymentofmobileterminal

securitybasedonshort-rangeradiocommunicationtechnology

2017-07-31发布2018-02-01实施

中华人民共和国国家质量监督检验检疫总局发布

中国国家标准化管理委员会

GB/T34095—2017

目次

前言

…………………………Ⅲ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义缩略语

3、………………………1

术语和定义

3.1…………………………1

缩略语

3.2………………3

概述

4………………………4

评估对象

5(TOE)…………………………4

概述

5.1…………………4

内置安全单元

5.2………………………5

通用集成电路卡

5.3(UICC)……………8

生命周期

5.4……………8

角色

5.5…………………10

安全问题

6…………………10

资产

6.1…………………10

用户与主体

6.2…………………………12

假设

6.3…………………12

威胁

6.4…………………13

组织安全策略

6.5………………………19

安全目的

7…………………21

安全目的

7.1TOE……………………21

环境安全目的

7.2………………………26

安全目的对应关系

7.3…………………27

扩展组件定义

8……………29

族定义

8.1FCS_RNG…………………29

随机数的质量指标

8.2FCS_RNG.1…………………30

安全功能要求

9……………30

概述

9.1…………………30

安全芯片安全功能要求

9.2IC-Chip…………………33

智能卡管理安全功能要求

9.3…………39

运行环境安全功能要求

9.4……………45

平台安全功能要求

9.5…………………55

安全功能要求对应关系

9.6……………56

安全保证要求

10…………………………65

概述

10.1………………65

Ⅰ

GB/T34095—2017

智能卡芯片安全保证要求

10.2………………………66

开发过程

10.3…………………………79

指导性文档

10.4………………………80

生命周期支持

10.5……………………81

测试过程

10.6…………………………83

脆弱性评估

10.7………………………85

安全保证要求对应关系

10.8…………85

参考文献

……………………88

Ⅱ

GB/T34095—2017

前言

本标准按照给出的规则起草

GB/T1.1—2009。

本标准由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本标准起草单位工业和信息化部电信研究院中国移动通信集团公司中国联合网络通信集团有

:、、

限公司中国电信集团公司中国银联股份有限公司北京握奇数据系统有限公司重庆电信研究院

、、、、。

本标准主要起草人夏骆辉孙宇涛成秋良任晓明张强纪成军谭颖张楚范雨晓袁浩

:、、、、、、、、、。

Ⅲ

GB/T34095—2017

信息安全技术

用于电子支付的基于近距离无线

通信的移动终端安全技术要求

1范围

本标准规定了基于近距离无线通信的移动终端电子支付的智能卡和内置安全单元安全技术要求

,

内容包括评估对象定义安全问题定义安全目的描述安全要求描述等

(TOE)、、、。

本标准适用于基于近距离通信技术支持电子支付业务的载有智能卡或内置安全单元的移动终端

、

电子设备

。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

信息安全技术术语

GB/T25069—2010

随机性检测规范

GM/T0005—2012

识别卡集成电路卡第部分带触点的卡触点的尺寸和定位

ISO/IEC7816-2:20072:(Iden-

tificationcards—Integratedcircuitcards—Part2:Cardswithcontacts—Dimensionsandlocationof

thecontacts)

识别卡集成电路卡第部分交换用业内数据元素

ISO/IEC7816-6:20046:(Identification

cards—Integratedcircuitcards—Part6:Interindustrydataelementsforinterchange)

信息技术安全技术基于椭圆曲线的密码技术第部分总则

ISO/IEC15946-1:20081:

(Informationtechnology—Securitytechniques—Cryptographictechniquesbasedonellipticcurves—

Part1:General)

信息技术安全技术基于椭圆曲线的密码技术第部分键的确定

ISO/IEC15946-3:20023:

(Informationtechnology—Securitytechniques—Crypto