信息安全技术 公钥基础设施 标准符合性测评-编制说明

一、工作简况1.1任务来源根据国家标准化管理委员会在2019年第一批国家标准制修订计划，《信息安全技术公钥基础设施标准一致性测试评价指南》由上海辰锐信息科技公司承办，计划号：。该标准由全国信息安全标准化技术委员会归口。1.2主要起草单位和工作组成员本标准由上海辰锐信息科技公司主要负责起草，公安部第三研究所、中国科学院数据与通信保护研究教育中心、北京数字认证股份有限公司、格尔软件股份有限公司、中国电子科技集团公司第十五研究所（信息产业信息安全测评中心）、北京信安世纪科技股份有限公司、西安西电捷通无线网络通信股份有限公司、数安时代科技股份有限公司等共同参与该标准的起草工作。1.3主要工作过程（1）2019年3月至9月，标准起草组讨论并确定标准的范围、框架及主要技术内容，开展标准文本的起草工作，完成了标准草案。（2）2019年9月至10月，WG4工作组秘书处在组内对本标准进行了征求意见，根据成员单位的反馈意见，对标准文本进行了修改完善。（3）2019年10月15日，WG4工作组在北京组织召开了组内专家评审会，与会专家同意通过对本标准草案的评审，并建议标准名称修改为：《信息安全技术公钥基础设施标准符合性测评》。标准编制组根据会议的评审意见对标准文本进行了修改完善。（4）2019年10月27日至29日，WG4工作组在重庆组织召开了“WG4工作组第2次会议周（2019）”，共有69家成员单位的代表参加了本次会议。会议讨论和审议了本标准，并同意本标准形成征求意见稿，同意标准名称变更为《信息安全技术公钥基础设施标准符合性测评》。标准编制组根据会议周的反馈意见对标准文本进行了修改完善，形成征求意见稿（第一稿）。（5）2019年10月1日至12月1日,信安标委秘书处向工业和信息化部科技司、公安部十一局、国家保密局、国家密码管理局、国家认证认可监督管理委员会、中国信息安全测评中心、中央网信办网絡安全协调局等上级主管部门发函征求意见,并在信安标委官网、国家标准委官网公开征求意见，征求意见范围具有广泛性和代表性。共收到意见X条，意见处理结果为采纳X条、未采纳X条、部分采纳X条。二、标准编制原则和确定主要内容的论据及解决的主要问题（一）本标准基于以下原则编制：1．遵循现行国家标准，采用和借鉴国内外先进标准本标准按国家标准GB/T1.1-2009规定的格式予以编写。2．贯彻国家有关政策与法规本标准中涉及的密码算法遵循国家密码管理部门的有关规定。3．认真听取、分析各方意见，做好意见的处理和反馈《信息安全技术公钥基础设施标准一致性测试评价指南》标准草案稿的编制过程中，各起草单位齐心协力，进行了充分地沟通和交流，形成了标准起草组内统一的标准文本，并按照信安标委的要求开展了广泛的征求意见工作。（二）本标准的主要内容本标准在GB/T30272-2013的测评方法和评价指南基础上，针对：GB/T25064-2010《信息安全技术公钥基础设施电子签名格式规范》、GB/T35285-2017《信息安全技术公钥基础设施基于数字证书的可靠电子签名生成及验证技术要求》，提出科学、完整、可行的测试评价方法。同时，本标准对GB/T20518-2018《信息安全技术公钥基础设施数字证书格式》的最新修订内容，进行相应的修订。具体修订内容分为新增、修改和删除3类：1）新增：对于GB/T25064-2010中的电子签名格式，新增电子签名格式、验证数据格式和签名策略要求等测试评价方法；对于GB/T35285-2017中的基于数字证书的可靠电子签名生成及验证技术要求，新增：电子签名相关数据的要求、电子签名生成设备的要求、电子签名生成过程与应用程序要求、电子签名验证过程与应用程序要求等测试评价方法。2）修改：对于GB/T20518-2018中的颁发机构密钥标识符、个人身份标识码、密码算法等修订内容，对GB/T30272-2013的相应测试评价方法进行修改；如果其他标准的修订也成功立项，本标准也将和其他编制组积极沟通，针对修订内容同步修改测试评价方法。3）删除：对于GB/T20519-2006《信息安全技术公钥基础设施特定权限管理中心技术规范》，由于标准已经被废止，在GB/T30272-2013中将删除相应的测试评价方法。（三）本标准在确定主要内容时主要基于如下几个方面本标准在GB/T30272-2013的基础上，新增2个标准的测评方法和评价指南，删除1个标准的测评方法和评价指南，修订1个标准的测评方法和评价指南。针对GB/T25064-2010《信息安全技术公钥基础设施电子签名格式规范》、GB/T35285-2017《信息安全技术公钥基础设施基于数字证书的可靠电子签名生成及验证技术要求》，增加相应的测试评价方法和评价指南。同时，本标准对GB/T20518-2018《信息安全技术公钥基础设施数字证书格式》的最新修订内容，进行相应的修订。对于废止的GB/T20519-2006《信息安全技术公钥基础设施特定权限管理中心技术规范》，删除相应的测试评价方法。本标准的技术难点在于根据标准内容，需要结合国内相关技术的发展现状，努力研究相关测评技术和工具，制定出科学、完整、可行的测试评价方法和评价指南。本标准的修订，将解决国内测评机构对公钥基础设施测评方法不一致、测评结果不统一的问题，保障国内公钥基础产业的健康、有序发展。三、主要试验[或验证]情况分析本标准在编制过程中，将组织国内一流的检测机构、主流的公钥基础设施厂商，对标准内容的可行性一并进行验证，以确保标准内容的完备、准确。四、知识产权情况说明本标准未涉及已知的专利等知识产权内容。五、产业化情况、推广应用论证和预期达到的经济效果《中华人民共和国电子签名法》的颁布实施，使得数字签名证书和手写签名在法律上具有了同等的地位，这为数字签名证书的广泛应用打下了良好的法律基础，也对电子认证服务提供者提出了更高的要求。为了规范公钥基础设施的建设和运行，国标委发布了一系列公钥基础设施的国家标准。国标委颁布的一系列公钥基础设施标准，为我国公钥基础设施的规范发展起到了巨大的作用。公钥基础设施开发者依据发布的国家标准，统一了功能、规范了接口，陆续推出了广受用户欢迎的公钥基础设施产品和服务。《信息安全技术公钥基础设施标准一致性测试评价指南》（GB/T30272-2013）发布后，国内测评机构依据该标准，能够对公钥基础设施进行标准化的测试和评价，从而保证测试评价结果的完整性和一致性。随着公钥基础设施的新国家标准的发布，以及对已发布国家标准的修订，GB/T30272-2013在内容上已经无法满足国内测评机构对公钥基础设施的测评需求，迫切需要依据最新的公钥基础设施系列标准，对GB/T30272-2013进行修订。本标准的修订，将解决国内测评机构对公钥基础设施测评方法不一致、测评结果不统一的问题，保障国内公钥基础产业的健康、有序发展。六、采用国际标准和国外先进标准情况本标准未直接采用国际标准和国外先进标准，在编制过程中，编制组对IETF、美国、欧洲、国内最新发布的公钥基础设施标准、规范进行调研，了解国内外最新研究动态，以期对国内外公钥基础设施研究工作的成果、前沿和进展有深层次的把握，对本项目工作提供借鉴。七、与现行相关法律、法规、规章及相关标准的协调性本标准在编制过程中，已经查阅了《中华人民共和国电子签名法》等相关法规，确保本标准内容遵守相关法律规定。同时查阅了GB/T19713-2005、GB/T19714-2005、GB/T19771-2005、GB/T20518-2018、GB/T20520-2006、GB/T25064-2010、GB/T35285-2017等相关标准和规范，确保相关内容和术语与这些标准的内容保持一致。八、重大分歧意见的处理经过和依据暂无。九、标准性质的建议建议本标准作为推荐性国家标准发布实施。十、贯彻标准的要求和措施建议本标准的技术已较为成熟，实施难度不大，建议本标准的发布日期与实施日期相隔六个月的时间。为了使标准的规定得到有效贯彻，建议信安标委及时通知行业内各单位本标准的发布信息，在过渡期内组织编写标准宣贯材料及宣贯活动。十一、替代或废止现行相关标准的建议本标准修订GB/T30272-2013《信息安全技术公钥基础设施标准一致性测试评价指南》，本标准发布后，建议废止GB/T30272-2013。十二、其它应予说明的事项2019年10月15日，WG4工作组在北京组织召开了组内专家评审会，与会专家建议标准名称修改为：《信息安全技术公钥基础设施标准符合性测评》。2019年10月27日-29日，WG4工作组在重庆组织召开了“WG4工作组第2次会议周（2019）”，共有69家成员单位的代表参加了本次会议。会议