G-B-Z 25320.1003-2023 电力系统管理及其信息交换 数据和通信安全 第100-3部分：IEC 62351-3的一致性测试用例和包括TCP-IP协议集的安全通信扩展 (正式版)

中华人民共和国国家标准化指导性技术文件电力系统管理及其信息交换数据和通信安全第100-3测试用例和包括TCP/IP协议集的安全通信扩展2023-12-28发布2024-07-01实施GB/Z25320.1003—2023前言 I引言 Ⅱ 12规范性引用文件 3术语、定义和缩略语 3.1术语和定义 3.2缩略语 24概述 34.1本文件涉及的标准 34.2一致性测试结构 34.3一致性测试要求 45配置参数的验证 5.1概述 55.2配置参数 5 76.1概述 76.2正常过程测试用例 76.3弹性测试用例 97测试结果表 7.1配置参数的验证 7.2IEC62351-3要求的验证 参考文献 表1配置参数 5表2IEC62351-3要求：正常过程测试 7 9表4测试结果：配置参数的验证 表5测试结果：IEC62351-3要求的验证 I本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件是GB/T(Z)25320《电力系统管理及其信息交换数据和通信安全》的第100-3部分。GB/T(Z)25320已经发布了以下部分：——第1部分：通信网络和系统安全安全问题介绍；——第3部分：通信网络和系统安全包含TCP/IP的协议集；——第4部分：包含MMS的协议集；——第5部分：GB/T18657等及其衍生标准的安全；——第7部分：网络和系统管理(NSM)的数据对象模型；——第11部分：XML文件的安全；——第100-1部分：IECTS62351-5和IECTS60870-5-7的一致性测试用例；——第100-3部分：IEC62351-3的一致性测试用例和包括TCP/IP协议集的安全通信扩展。本文件修改采用IECTS62351-100-3:2020《电力系统管理及其信息交换数据和通信安全第100-3部分：IEC62351-3的一致性测试用例和包括TCP/IP协议集的安全通信扩展》。文件类型由IEC技术规范调整为我国的国家标准化指导性技术文件。本文件与IECTS62351-100-3:2020的技术差异及原因如下：——删除了“参考标准要求”的内容。新版标准中删除了“参考标准要求”,本文件删除相应的内容。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国电力企业联合会提出。本文件由全国电力系统管理及其信息交换标准化技术委员会(SAC/TC82)归口。本文件起草单位：国网电力科学研究院有限公司、中国电力科学研究院有限公司、南京南瑞继保电气有限公司、东南大学、国电南京自动化股份有限公司、国网江苏省电力公司电力科学研究院、国电南瑞科技股份有限公司、国网江苏省电力有限公司、南方电网科学研究院有限责任公司、国网智能电网研究院有限公司、国家电网有限公司信息通信分公司。ⅡGB/T(Z)25320《电力系统管理及其信息交换数据和通信安全》,旨在尽可能的减少通信和计算机网络中存在的恶意攻击对电力系统的数据及通信安全产生的危害，完善电力系统使用的各层通信协议中的安全漏洞以及提高电力系统信息基础设施的安全管理。拟由以下部分构成。——第1部分：通信网络和系统安全安全问题介绍。目的在于介绍GB/T(Z)25320的其他部分，主要向读者介绍应用于电力系统运行的信息安全的各方面知识。——第2部分：术语。目的在于介绍在GB/T(Z)25320中所使用的关键术语。——第3部分：通信网络和系统安全包含TCP/IP的协议集。目的在于规定如何通过限于传输层安全协议的消息、过程和算法的规范，对基于TCP/IP的协议进行安全防护，使这些协议能适用于IECTC57的远动环境。 第4部分：包含MMS的协议集。目的在于描述在使用GB/T16720(ISO/IEC9506)制造报文规范MMS时应实现的一些强制和可选的安全规范。 第5部分：GB/T18657等及其衍生标准的安全。目的在于定义了应用程序配置文件(a-profile)安全通信机制，规定了对基于或衍生于IEC60870-5的所有协议的运行进行安全 第6部分：IEC61850的安全。目的在于规定了对基于或派生于IEC61850的所有协议的运行进行安全防护的报文、过程与算法。——第7部分：网络和系统管理(NSM)的数据对象模型。目的在于定义了电力系统运行所特有的网络和系统管理的数据对象模型。——第8部分：电力系统管理基于角色的访问控制。目的在于为电力系统管理提供基于角色的访问控制。——第9部分：电力系统设备的网络安全密钥管理。目的在于通过指定或限制要使用的密钥管理选项来定义实现密钥管理互操作性的要求和技术。——第10部分：安全架构指南。目的在于描述基于基本安全控制的电力系统安全架构指南。——第11部分：XML文件的安全。目的在于规范智能变电站通信过程中的配置文件(XML文件)的安全性。——第12部分：分布式能源资源(DER)信息物理系统电力系统用安全建议。目的在于提高分布式能源(DER)系统的安全性和可靠性。——第13部分：覆盖标准和规范的安全主题指南。目的在于提供关于电力行业使用的标准和规范(IEC或其他)中可能或应该涵盖哪些安全问题。——第90-1部分：电力系统基于角色的访问控制处理指南。目的在于开发用于定义和设计自定义角色以及角色映射的标准化方法。——第90-2部分：加密通信的深度包检查。目的在于说明应用于IEC62351保护的通信信道的DPI最新技术。——第90-3部分：网络和系统管理导则。目的是提供处理IT和OT数据的导则。——第100-1部分：IECTS62351-5和IECTS60870-5-7的一致性测试用例。目的在于提供了IEC62351-5:2023和IECTS60870-5-7:2013的一致性和/或互操作性测试的测试用例。——第100-3部分：IEC62351-3的一致性测试用例和包括TCP/IP协议集的安全通信扩展。目的在于提供了IEC62351-3:2023一致性测试用例及验证影响安全扩展程序和协议行为的所有Ⅲ参数的配置。——第100-6部分：IEC61850-8-1和IEC61850-9-2的网络安全一致性测试。目的在于提供了变电站自动化系统和远动系统的数据和通信安全互操作性一致性测试的测试用例。GB/T(Z)25320《电力系统管理及其信息交换数据和通信安全》定义了电力系统相关通信协议(IEC60870-5、IEC60870-6、IEC61850、IEC61970和IEC61968系列)的数据和通信安全，也定义了通信过程中可能遭受到的安全威胁和安全攻击以及安全应对措施。1电力系统管理及其信息交换数据和通信安全测试用例和包括TCP/IP协议集的安全通信扩展本文件给出了远动设备、变电站自动化系统(SAS)和SCADA的前置机的数据和通信安全的测试案例。本文件提供一种协议实现的标准测试方法达到互操作性，以验证设备满足IEC62351-3要求。符合标准的一致性不能保证不同设备之间的互操作性，但期望使用本文件测试将不能互操作的风险降到最低。互操作性的基本条件是两个设备都能通过一致性测试。本文件规定了IEC62351-3的一致性和/或互操作性测试的通用可行的过程和定义。本文件定义的一致性测试用例专注于验证IEC62351-3中规定的基础认证/加密协议(TLS)的一致性集成，以保护基于TCP/IP的通信。本文件不涉及测试IEC62351-3要求的基于TCP/IP(TLS)的基础身份验证/加密协议。基于TCP/IP的身份验证/加密协议的一致性测试不在本文件的讨论范围之内。本文件涉及数据和通信安全一致性测试，不涉及其他要求，例如安全性或EMC。这些要求由其他标准(如果适用)涉及，这部分内容的合规性证明遵循其他标准。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。IEC62351-3:2023电力系统管理及其信息交换数据和通信安全第3部分：通信网络和系统安全包含TCPIP的协议集(Powersystemsmanagementandassociatedinformationexchange—Dataandcommunicationssecurity—Part3:Communicationnetworkandsystemsecurity—Profiles注：GB/Z25320.3—2010电力系统管理及其信息交换数据和通信安全第3部分：通信网络和系统安全包含TCPIP的协议集(IECTS62351-3:2007,IDT)3.1术语和定义GB/Z25320.2—2013界定的以及下列术语和定义适用于本文件。2从服务器设备接收或请求服务或信息的设备。互操作性interoperability同一或不同制造商提供的两台或多台远动设备交换信息并用这些信息正确地配合工作的能力。消息认证码messageauthenticationcode;MAC接收站用来验证和检查信息完整性的计算值。正常过程测试normalproceduretests用以验证设备在预期(正常)条件下是否满足标准要求的一组测试用例。协议实现一致性声明protocolimplementationconformancestatement;PICS被测系统或设备的通信能力的汇总。协议实现文档protocolprotocolimplementationdocument;PID描述完整功能和系统特定信息的文档。用于测试的实现协议以外的信息包括系统通信能力的特定信息并指定哪些项目是可选的。弹性测试resiliencytests用以验证设备在应对非期望(错误)状况时是否满足标准要求的一组测试用例。向客户端设备提供信息或服务的设备。测试设备testequipment模拟和验证被测系统的通信流量、输入或输出的所有工具和仪器。发起由测试机构执行的设备一致性测试的一方。测试机构testfacility独立于供应商的组织，能够提供适当的测试设备和训练有素的人员进行一致性测试。GB/Z25320.2—2013界定的以及下列缩略语适用于本文件。CRL:证书撤销列表(CertificateRevocationList)3DUT:被测设备(DeviceUnderTest)IP:互联网协议(Inter-networkingProtocol)MAC:消息验证码(MessageAuthenticationCode)OCSP:在线证书状态协议(OnlineCertificateStatusProtocol)PICS:协议实现一致性声明(ProtocolImplementationConformanceStatement)PID:协议实现文档(ProtocolImplementationDocument(=PICS+PIXIT))PIXIT:协议实现额外信息(测试用)(ProtocolImplementationExtraInformationforTesting)SAS:变电站自动化系统(SubstationAutomationSystem)SCADA:数据采集与监视系统(SupervisoryControlAndDataAcquisition)TCP:传输控制协议(TransportControlProtocol)4概述4.1本文件涉及的标准本文件定义了满足IEC62351-3:2023及其他部分中要求与IEC62351-3一致的其他部分的一致性测试用例。除了本文件中描述的测试用例之外，也描述了TLS基本协议RFC所需的进一步的测试用例，以及基于证书中具体内容的测试用例。例如，IEC62351-8中规定的RBAC扩展或IEC62351-9中定义的证书配置文件。4.2一致性测试结构IEC62351-3定义了在TCP/IP(传输)级别上实施的认证/加密协议、流程和方法的相关要求。一致性测试用例分为三章。●第5章：配置参数验证。第5章包含本文件引用IEC62351-3所声明的参数和这些参数对协议行为的影响。要求的验证。第6章的目的是验证DUT是否符合IEC62351-3的要求。●第7章：测试结果表。第7章包含第6章列出的测试用例的结果，这些结果适用于第5章列出的所有支持的配置参数的值。测试用例以表格形式列出并进行编号，编号规则为：条编号(表所在的位置)+测试用例编号每个测试用例的“引用”列与直接引用的IEC62351-3中定义的被测内容的章节相对应。当执行某些测试用例考虑DUT的PICS或PIXIT中声明的特定参数值时，PICS或PIXIT可在“引用”列中找到。测试用例是否为强制项取决于“要求”列中的描述。可能出现以下情况：M:强制测试用例。该测试引用的是IEC62351-3中的强制性条款。PICS/PIXIT:如果在PICS或PIXIT中通过适用复选框标记或适用值声明使能了该功能，则为强制测试用例。4.2.2针对每类站的一致性测试为验证IEC62351-3中定义的要求，第6章中的测试用例按每个站点类型(客户端和服务器)进行44.2.3正常过程测试和弹性测试IEC62351-3状态机规定了每个站(控制站和被控站)应如何在正常条件下(预期行为)执行过程，也规定了在执行过程中发生非预期事件或故障事件(否定行为)时应如何动作。因此，对于第6章中的每个过程，测试用例也分为两部分：正常过程测试用例解决预期的行为，而弹性测试用例解决非期望或故障事件、应根据DUT的PICS和PIXIT中声明的第6章中定义的DUT支持的参数值进行正常过程测试和弹性测试。除非测试用例中另有规定，否则本文件中定义的所有测试均应针对客户端站点和服务器站点进行。4.3一致性测试要求4.3.1在应用程序的上下文中进行测试4.3中列出的测试用例将在应用程序的上下文中执行。符合IEC62351-3的DUT应采用标准中规定的应用协议，该协议符合IEC62351-3要求。提交测试设备的实体应提供以下内容：a)准备测试的设备；b)协议实现文件(PID);c)详细说明设备的安装和操作或在测试期间帮助操作被测设备的指导手册。满足以下条件时，设备即可进行测试：d)根据PID(取决于被测设备的类型),被测设备能够作为控制站或被控站运行；e)被测设备应根据PID进行完全配置，并且应能执行PID所描述的协议实现的所有功能；f)PID中描述的与数据点相关的功能，例如参数加载、读取过程、命令传输等，是通过数据点的代表性子集实现的；g)数据点的验证应能以人工可读的方式或格式进行，并且模拟和数字状态变化的验证应是可测试机构应满足以下要求。应检查随被测设备提供的文件的正确性和完整性。此外，应验证被测设备的软件和硬件版本。●应基于PID(=PICS+PIXIT)中标识的能力为被测设备定制一致性测试。根据这种定制，测试机构应根据测试计划覆盖定制的用例。●第5章和第6章中列出的测试用例在测试执行过程中应没有任何错误。●第6章中的测试用例宜按照列出的顺序执行，并且应遵循每个测试用例中的步骤，即被测设备应能够按照特定测试用例中的描述运行。●第5章和第6章中列出的每个测试用例均需要在第7章中的测试结果表的相应列中标记测试结果。每个测试用例可以通过测试(通过),测试失败(失败),不支持(如果设备不支持配置值(NA)),或者未执行测试用例(空)。理想情况下，测试完成后不宜有任何空白框。●向发起方发布被测设备的一致性测试报告。第7章中列出的所有测试用例宜由测试软件自动验证或在执行测试程序后通过查看测试历史日志5进行手动验证。模拟器为适应协议标准和被测设备提供的PID的改变应能灵活地添加或改变测试用例。在任何情况下，在测试机构中测试工程师应能随时复现该测试。在操作使用过程中，设备可能会显示通信和/或行为错误，测试机构应能复现完整的一致性测试过程(例如以后进行验证)或仅复现显示为有错误的测试过程。该测试仅关注PID中描述的协议元素和功能，不包括应用程序逻辑和被测系统的操作。在执行一致性测试期间，被测设备宜以可读格式记录以下信息用于测试结果分析：●通信事件(第一次握手、会话重新协商、会话●更改密钥结果(例如不支持)。●在进行弹性测试时，当出现否定行为时，被测设备(定义符合IEC62351-3)引发的安全事件。如果被测设备不支持本文和IEC62351-3中定义的特定测试日志，被测设备应提供测试人员能验证测试用例正确执行的方法。5配置参数的验证第5章的内容为验证影响安全扩展程序和协议行为的所有参数的配置，以便对每个参数执行全部或部分的一致性测试(并相应地填写第7章中的测试结果图)这些参数的值如5.2中所示。应根据表1中定义的配置对被测器件进行测试，以验证整个功能和行为是否正确。5.2配置参数配置参数应符合表1。表1配置参数序号测试定义引用要求站类型客户端服务器PICSM对于所支持的每种设备类型都应执行第六章中列出的所有一致性测试————用于安全通信的TCPIP端口对于该参数的每个值，都应执行第六章中列出的所有一致性测试PICSMTLS版本支持TLS协议版本IEC62351-3:2023,5.4PICS,PIXITM对于每个支持的(强制性和可选的)参数值，都应执行第六章中列出的所有一致性测试——6表1配置参数(续)序号测试定义引用要求TLS密码套件TLS协议中支持的密码套件集PICS,PIXITM至少对该参数支持的强制值的最小集，应执行第六章中列出的所有一致性测试—公共密钥的长度证书签名和TLS会话密钥交换中支持的公钥长度IEC62351-3:2023,7.4.3PIXITM至少对该参数支持的强制值的最小集，应执行第六章中列出的所有一致性测试—证书撤销检查方法验证证书撤销状态(CRL/OCSP)的方法IEC62351-3:2023,6.4.4.4PIXITM对于每个受支持的参数值，都应执行第6章中列出的所有一致性测试—证书撤销检查间隔时间已配置证书撤销检查的时间间隔。此参数的测试用例的执行，能降低该值IEC62351-3:2023,6.4.4.4PIXITM至少对于该参数中支持的强制值的最小值，应执行第6章中列出的所有一致性测试TLS会话重新协商间隔会话重新协商配置的时间间隔。此参数的测试用例的执行，能降低该值IEC62351-3:2023,7.4.5PIXITM至少对于该参数中支持的强制值的最小值，应执行第6章中列出的所有一致性测试—TLS会话恢复间隔配置的会话恢复时间间隔。此参数的测试用例的执行，能降低该值IEC62351-3:2023,7.4.4PIXITM至少对于该参数中支持的强制值的最小值，应执行第6章中列出的所有一致性测试——7序号测试定义引用要求支持的CA数量建议支持的证书机构的最小数量M至少对于该参数中支持的强制值的最小值，应执行第6章中列出的所有一致性测试——最大证书长度支持的最大公钥证书长度M对于该参数中支持的强制值的最大值，应执行第6章中列出的所有一致性测试注：M为强制项。第6章规定了为验证被测设备正确执行IEC62351-3的要求而进行的一致性测试流程。为执行第6章所列的一致性测试，应在被测设备上预先安装用于TLS的有效PKI证书。6.2正常过程测试用例表2描述了在正常(预期)条件下验证被测设备行为的正常过程测试用例。序号测试引用要求DUT(仅客户端)使用为安全通信指定的远程站TCP/IP端口启动到服务器的TCP/IP连接MDUT(仅服务器)在为安全通信指定的TCP/IP端口上接受TCP/IP连接MDUT(仅客户端)在建立连接时执行初始的TLS握手，并且没有建立以前的TLS会话MDUT(仅服务器)在正在进行的TLS会话中通过向客户端发送HelloRequest,按照重新协商配置的时间间隔执行会话重新协商M如果DUT(仅客户端)在预期的间隔内没有收到来自服务器的TLS会话协商请求(HelloRequest),DUT通过将ClientHello发送给服务器启动TLS会话协商请求M8序号测试引用要求6.2.6如果使用CRL证书检查方法，则至少有一个TLS重新协商与CRL更新同步(在CRL更新之后立即执行)IEC62351-3:2023,7.4.5(见注1)PIXIT6.2.7如果支持OCSP证书检查方法，则TLS会话重新协商将按配置的时间间隔执行证书撤销检查IEC62351-3:2023,7.4.5PICS6.2.8DUT至少支持最少数量的根CA(本地安装相应数量的IEC62351-3:2023,6.4.4PICSM6.2.9DUT接收任意验证成功的来自本地配置的一个或多个授权CA的远程站证书IEC62351-3:2023,6.4.4PICSM6.2.10DUT接受来自一个或多个授权CA(本地配置)的一个或多个特定远程站证书(本地配置)IEC62351-3:2023,6.4.4.3PICSM6.2.11在初始握手时，DUT(仅客户端)在ClientHello消息中提供受信任的CA指示IEC62351-3:2023,6.4.4PICS6.2.12在初始握手时，服务器证书消息中，DUT(仅服务器)提供了从最近收到的ClientHello消息的受信任CA指示中指定的证书链中选择的证书IEC62351-3:2023,6.4.4PICS6.2.13在初始握手时，DUT与远程工作站执行相互身份验证IEC62351-3:2023,6.4.3M6.2.14在初始握手时，支持消息验证码(MAC)选项，并支持所选密码套件中指定的特定算法IEC62351-3:2023,7.5.7M6.2.15在初始握手时，支持RFC5746中定义的TLS会话扩展IEC62351-3:2023,7.4.5M6.2.16在初始握手时，DUT接受的远程证书的大小限制为支持的最大证书长度IEC62351-3:2023,6.4.2M6.2.17在初始握手时，如果接收到的证书有效，则访问CRL以检查接收到的证书状态的过程不会导致已建立的TCP/IP连接或初始握手终止IEC62351-3:2023,6.4.4.4(见注1)PIXIT6.2.18在初始握手时，如果接收到的证书有效，则访问OCSP响应程序以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或初始握手终止IEC62351-3:2023,6.4.4.4PICS6.2.19在会话重新协商时，DUT(仅客户端)在ClientHello消息中提供可信CA指示IEC62351-3:2023,6.4.4PICS6.2.20在会话重新协商时，在服务器证书消息中，DUT(仅服务器)提供从收到的最后一条ClientHello消息的可信CA指示中指定的证书链中选择的证书IEC62351-3:2023,6.4.4PICS6.2.21在会话重新协商时，DUT与远程站执行相互身份认证IEC62351-3:2023,6.4.3M6.2.22在会话重新协商时，支持消息认证码(MAC)选项，并选择密码套件中指定的特定算法IEC62351-3:2023,7.5.7M9序号测试引用要求6.2.23在会话重新协商时，支持RFC5746中定义的TLS会话扩展IEC62351-3:2023,7.4.5M6.2.24在会话重新协商时，DUT接受的远程证书的大小限制为支持的最大证书长度IEC62351-3:2023,6.4.2PIXITM6.2.25在会话重新协商时，如果接收到的证书有效，则访问CRL以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或TLS会话终止IEC62351-3:2023,6.4.4.4(见注1)PIXIT6.2.26在会话重新协商时，如果接收到的证书有效，则访问OCSP响应程序以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或TLS会话终止IEC62351-3:2023,6.4.4.4PICS6.2.27如果先前的TLS会话在会话重新协商的配置间隔内被丢弃，则DUT(仅客户端)能够在重新建立TCP/IP连接时执行TLS会话恢复(通过向服务器发送ClientHello消息启动)IEC62351-3:2023,7.4.4PIXITM6.2.28在正在进行的TLS会话中，DUT(仅客户端)能够在会话恢复的配置间隔内执行TLS会话恢复(通过向服务器发送ClientHello消息启动)IEC62351-3:2023,7.4.4PIXITM6.2.29在正在进行的TLS会话中，DUT(仅服务器)能够在会话恢复的配置间隔内执行TLS会话恢复(通过向客户端发送HelloRequest消息)IEC62351-3:2023,7.4.4PIXITM注1:如果CRL存储库在DUT外部，则执行测试TLS第一次握手或TLS重新协商期间无法访问CRL或CRI有效性的测试用例。CRL位置在PIXIT中声明。注2:M为强制项。6.3弹性测试用例表3描述了在发生非期望或故障事件时，验证被测设备行为的弹性程序测试用例。序号测试描述引用要求在初始握手时，远程站提供的TLS版本为1.1,同时DUT支持该版本DUT应执行以下操作：TLS版本不安全”;-保持TCP/IP连接并继续TLS握手过程序号测试描述引用要求在初始握手时，远程站提供的TLS版本为1.0,同时DUT支持该版本DUT应执行以下操作：TLS版本不安全”;——保持TCP/IP连接并继续TLS握手过程在初始握手时，远程站提供1.2版之前的TLS版本，同时DUT不支持该版本DUT应执行以下操作：——引发安全事件“警报：不安全通信”;——关闭TCP/IP连接M在初始握手时，DUT无法访问CRL,同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：CRL不可访问”;——保持TCP/IP连接并继续TLS握手过程(见注1)在初始握手时，CRL未更新(有效期已过),同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：CRL过期”;——保持TCP/IP连接并继续TLS握手过程(见注1)在初始握手时，DUT无法访问OCSP响应程序，同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：OCSP响应程序不可访问”;——保持TCP/IP连接并继续TLS握手过程(见注2)在初始握手时，DUT可以访问OCSP响应程序，但OCSP响应已过期，同时收到的证书DUT应执行以下操作：——引发安全事件“警告：OCSP响应已过期”;—-保持TCP/IP连接并继续TLS握手过程在初始握手时，远程站没有提供任何符合强制性要求的DUT应执行以下操作：——引发安全事件“警报：没有匹配的TLS密码套件”;——关闭TCP/IP连接M在初始握手时，远程站不提供证书DUT应执行以下操作：——引发安全事件“警报：证书不可用”;——关闭TCP/IP连接M序号测试描述引用要求在初始握手时，DUT接收远程站的证书，其大小大于支持的最大证书长度DUT应执行以下操作：——引发安全事件“警报：超出TLS证书长度”;——关闭TCP/IP连接M在初始握手时，DUT接收到一个远程站的证书，该证书所证书DUT应执行以下操作：——引发安全事件“警报：证书验证：CA证书不可用”;——关闭TCP/IP连接M在初始握手时，DUT接收到一个远程站的证书，该证书所证书，但远程站的个人证书没有在DUT中专门配置DUT应执行以下操作：——引发安全事件“警报：证书验证：可信个人证书不可用”;——关闭TCP/IP连接M在初始握手时，DUT(仅限服务器)无法提供从收到的最后一条ClientHello消息的受信任CA指示中指定的证书链中选择的证书DUT(仅限服务器)应执行以下操作.——引发安全事件“警报：找不到CA证书”;——关闭TCP/IP连接在初始握手时，DUT(仅客户书，该证书不属于最近发送的ClientHello消息的受信任CA提示中所选择的任何证书链DUT(只适用于客户)应执行以下操作：——发出安全事件“警报：证书不可用”;——关闭TCP/IP连接在初始握手时，DUT收到一个过期的远程工作站证书DUT应执行以下操作：——发出安全事件“警报：证书过期”;——关闭TCP/IP连接M在初始握手时，DUT接收被撤销的远程站证书DUT应执行以下操作：——引发安全事件“警报：撤销证书”;——关闭TCP/IP连接M在初始握手时，DUT接收远程站的证书，公钥长度等于传统模式的最小长度，并且受DUT应执行以下操作：——引发安全事件“警告：最小密钥长度”;保持TCP/IP连接并继续TLS握手过程M序号测试描述引用要求6.3.18在初始握手时，DUT接收远程站的证书，其公钥长度短于支持的最小长度DUT应执行以下操作：——引发安全事件“警报：密钥长度不足”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3PIXITM6.3.19在初始握手时，DUT接收到远程站的证书，该证书指定了不受支持的证书签名算法DUT应执行以下操作：——引发安全事件“警报：算法不受支持”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3PIXITM6.3.20在初始握手时，DUT接收到带有无效签名的远程站证书DUT应执行以下操作：——引发安全事件“警报：证书验证：无法验证证书签名”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3M6.3.21在会话恢复时，远程站使用与初始握手不同的TLS版本进行协商DUT应执行以下操作：——引发安全事件“警报：检测到TLS版本更改”;——关闭TCP/IP连接IEC62351-3:2023,5.4PICSM6.3.22会话重新协商间隔已过期：在向客户端发送HelloRequest消息后，DUT(仅限服务器)没有接收到客户端TLS会话重新协商请求DUT(仅限服务器)应执行以下操作：——引发安全事件“警报：会话重新协商间隔已过期”;——关闭TCP/IP连接IEC62351-3:2023,7.4.5M6.3.23在会话重新协商时，远程站使用与初始握手不同的TLS版本进行协商DUT应执行以下操作：——引发安全事件“警报：检测到TLS版本更改”;——关闭TCP/IP连接IEC62351-3:2023,5.4PICSM6.3.24在会话重新协商时，DUT无法访问CRL,同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：CRL不可访问”; —-保持TCP/IP连接并继续TLS重新协商过程IEC62351-3:2023,6.4.4.4(见注1)PIXIT6.3.25在会话重新协商时，CRL未更新(有效期已过),同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：CRL过期”;保持TCP/IP连接并继续TLS重新协商过程IEC62351-3:2023,6.4.4.4(见注1)PIXIT序号测试描述引用要求6.3.26在会话重新协商时，DUT无法访问OCSP响应程序，同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：OCSP响应程序不可访问”;——保持TCP/IP连接并继续TLS重新协商过程IEC62351-3:2023,6.4.4.4(见注2)PICS6.3.27在会话重新协商时，DUT可以访问OCSP响应程序，但OCSP响应已过期，同时收到的证书有效DUT应执行以下操作：——引发安全事件“警告：OCSP响应已过期”;——保持TCP/IP连接并继续TLS重新协商过程IEC62351-3:2023,6.4.4.4PICS6.3.28在会话重新协商时，远程站未提供证书DUT应执行以下操作：——引发安全事件“警报：证书不可用”;——关闭TCP/IP连接IEC62351-3:2023,6.4.3M6.3.29在会话重新协商时，DUT接收远程站的证书，其大小大于支持的最大证书长度DUT应执行以下操作：——引发安全事件“警报：超出TLS证书长度”;——关闭TCP/IP连接IEC62351-3:2023,6.4.2PICSM6.3.30在会话重新协商时，DUT接收到一个远程站的证书，该证DUT中安装证书DUT应执行以下操作：——引发安全事件“警报：证书验证：CA证书不可用”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4M6.3.31在会话重新协商时，DUT接收到一个远程站的证书，该证安装证书，但在DUT中没有专门配置单独的远程站证书DUT应执行以下操作：——引发安全事件“警报：证书验证：可信个人证书不可用”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4.3M6.3.32在会话重新协商时，DUT(仅服务器)不能提供从最近收到的ClientHello消息的受信任CA指示中指定的证书链中选择的证书DUT(仅服务器)应执行以下操作：——发出保安事件“警报：CA证书未找到”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4PICS6.3.33在会话重新协商时，DUT(仅限客户端)接收到一个远程站的证书，该证书不属于最近发送的ClientHello消息的受信任CA提示中所选择的任何证书链DUT(仅限客户)应执行以下操作：——引发安全事件“警报：证书验证：CA证书不可用”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4PICS序号测试描述引用要求6.3.34在会话重新协商时，DUT接收到过期的远程站证书DUT应执行以下操作：——引发安全事件“警报：证书过期”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4.5M6.3.35在会话重新协商时，DUT接收被撤销的远程站证书DUT应执行以下操作：——引发安全事件“警报：撤销证书”;——关闭TCP/IP连接IEC62351-3:2023,6.4.4.4M6.3.36在会话重新协商时，DUT接收远程站的证书，公钥长度等于传统模式的最小长度，并且DUT应执行以下操作：——引发安全事件“警告：最小密钥长度”;——保持TCP/IP连接并继续TLS握手过程IEC62351-3:2023,7.4.3PICSM6.3.37在会话重新协商时，DUT接收远程站的证书，其公钥长度短于支持的最小长度DUT应执行以下操作：——引发安全事件“警报：密钥长度不足”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3M6.3.38在会话重新协商时，DUT接收到远程站的证书，该证书指定了不受支持的证书签名算法DUT应执行以下操作：——引发安全事件“警报：算法不受支持”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3PIXITM6.3.39在会话重新协商时，DUT接收到带有无效签名的远程站证书DUT应执行以下操作：——引发安全事件“警报：证书验证：无法验证证书签名”;——关闭TCP/IP连接IEC62351-3:2023,7.4.3M注1:如果CRL存储库在DUT外部，则执行测试TLS第一次握手或TLS重新协商期间无法访问CRL或CRL有效性的测试用例。CRL位置在PIXIT中声明。注2:测试在TLS第一次握手或TLS重新协商期间无法访问OCSP应答器的测试用例通过中断DUT和OCSP应答器之间的连接来执行。7测试结果表7.1配置参数的验证5.2中测试用例的结果详见表4。配置参数√………表示测试用例已通过失败……表示测试用例失败N.A 表示配置值装置不支持 表示测试用例未执行 表示测试用例不适用于IEC62351-3序号测试描述结果配置参数5.2.1站点类型(客户端、服务器)5.2.2用于安全通信的TCP/IP端口5.2.35.2.4TLS密码套件5.2.5P公钥长度5.2.6证书撤销检查方法5.2.7证书撤销检查间隔5.2.8TLS会话重新协商间隔5.2.9TLS会话恢复间隔5.2.105.2.11最大证书长度测试完成后不应有任何空白框。6.2和6.3中测试用例的结果详见表5。IEC62351-3要求的过程验证在右边记录每个支持的配置值的测试用例结果(见第6章):失败……表示测试用例失败N.A 表示配置值装置不支持 表示测试用例未执行 表示测试用例不适用于IEC62351-3站类型客户端站服务器站测试序号描述结果正常程序DUT(仅客户端)使用为安全通信指定的远程站TCP/IP端口启动到服务器的TCP/IP连接DUT(仅服务器)在为安全通信指定的TCP/IP端口上接受TCP/IP连接DUT(仅客户端)在建立连接时执行初始的TLS握手，并且没有建立以前的TLS会话表5测试结果：IEC62351-3要求的验证(续)IEC62351-3要求的过程验证在右边记录每个支持的配置值的测试用例结果(见第6章):√………表示测试用例已通过失败……表示测试用例失败N.A 表示配置值装置不支持 表示测试用例未执行 表示测试用例不适用于IEC62351-3站类型客户端站服务器站测试序号描述结果正常程序6.2.4DUT(仅服务器)在正在进行的TLS会话中通过向客户端发送HelloRequest,按照重新协商配置的时间间隔执行会话重新协商6.2.5如果DUT(仅客户端)在预期的间隔内没有收到来自服务器的TLS会话协商请求(HelloRequest),DUT通过将ClientHello发送给服务器启动TLS会话协商请求6.2.6如果使用CRL证书检查方法，则至少有一个TLS重新协商与CRL更新同步(在CRL更新之后立即执行)6.2.7如果支持OCSP证书检查方法，则TLS会话重新协商将按配置的时间间隔执行证书撤销检查6.2.8DUT至少支持最少数量的根CA(本地安装相应数量的CA证书)6.2.9DUT接收任意验证成功的来自本地配置的一个或多个授权CA的远程站证书6.2.10DUT接受来自一个或多个授权CA(本地配置)的一个或多个特定远程站证书(本地配置)6.2.11在初始握手时，DUT(仅客户端)在ClientHello消息中提供受信任的CA指示6.2.12在初始握手时，服务器证书消息中，DUT(仅服务器)提供了从最近收到的ClientHello消息的受信任CA指示中指定的证书链中选择的证书6.2.13在初始握手时，DUT与远程工作站执行相互身份验证6.2.14在初始握手时，支持消息验证码(MAC)选项，并支持所选密码套件中指定的特定算法6.2.15在初始握手时，支持RFC5746中定义的TLS会话扩展6.2.16在初始握手时，DUT接受的远程证书的大小限制为支持的最大证书长度6.2.17在初始握手时，如果接收到的证书有效，则访问CRL以检查接收到的证书状态的过程不会导致已建立的TCP/IP连接或初始握手终止表5测试结果：IEC62351-3要求的验证(续)IEC62351-3要求的过程验证在右边记录每个支持的配置值的测试用例结果(见第6章):√………表示测试用例已通过失败……表示测试用例失败N.A 表示配置值装置不支持 表示测试用例未执行 表示测试用例不适用于IEC62351-3站类型客户端站服务器站测试序号描述结果正常程序6.2.18在初始握手时，如果接收到的证书有效，则访问OCSP响应程序以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或初始握手终止6.2.19在会话重新协商时，DUT(仅客户端)在ClientHello消息中提供可信CA指示6.2.20在会话重新协商时，在服务器证书消息中，DUT(仅服务器)提供从收到的最后一条ClientHello消息的可信CA指示中指定的证书链中选择的证书6.2.21在会话重新协商时，DUT与远程站执行相互身份认证6.2.22在会话重新协商时，支持消息认证码(MAC)选项，并选择密码套件中指定的特定算法6.2.23在会话重新协商时，支持RFC5746中定义的TLS会话扩展6.2.24在会话重新协商时，DUT接受的远程证书的大小限制为支持的最大证书长度6.2.25在会话重新协商时，如果接收到的证书有效，则访问CRL以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或TLS会话终止6.2.26在会话重新协商时，如果接收到的证书有效，则访问OCSP响应程序以检查所接收证书的状态的过程不会导致已建立的TCP/IP连接或TLS会话终止6.2.27如果先前的TLS会话在会话重新协商的配置间隔内被丢弃，则DUT(仅客户端)能够在重新建立TCP/IP连接时执行TLS会话恢复(通过向服务器发送ClientHello消息启动)6.2.28在正在进行的TLS会话中，DUT(仅客户端)能够在会话恢复的配置间隔内执行TLS会话恢复(通过向服务器发送ClientHello消息启动)6.2.29在正在进行的TLS会话中，DUT(仅服务器)能够在会话恢复的配置间隔内执行TLS会话恢复(通过向客户端发送HelloRequest消息)表5测试结果：IEC62351-3要求的验证(续)IEC62351-3要求的过程验证在右边记录每个支持的配置值的测试用例结果(见第6章):失败……表示测试用例失败N.A 表示配置值装置不支持 表示测试用例未执行 表示测试用例不适用于IEC62351-3站类型客户端站服务器站测试序号描述结果弹性测试在初始握手时，远程站提供的TLS版本为1.1,同时DUT支持该版本在初始握手时，远程站提供的TLS版本为1.0,同时DUT支持该版本在初始握手时，远程站提供1.2版之前的TLS版本，同时DUT不支持该版本在初始握手时，DUT无法访问CRL,同时收到的证书有效在初始握手时，CRL未更新(有效期已过),同时收到的证书有效在初始握手时，DUT无法访问OCSP响应程序，同时收到的证书有效在初始握手时，DUT可以访问OCSP响应程序，但OCSP响应已过期，同时收到的证书有效在初始握手时，远程站没有提供任何符合强制性要求的TLS密码套件，也没有在DUT中实现在初始握手时，远程站不提供证书在初始握手时，DUT接收远程站的证书，其大小大于支持的最大证书长度在初始握手时，DUT接收到一个远程站的证书，该证书所涉及的CA未在DUT中安装证书在初始握手时，DUT接收到一个远程站的证书，该证书所涉及的CA在DUT中安装了证书，但远程站的个人证书没有在DUT中专门配置在初始握手时，DUT(仅限服务器)无法提供从收到的最后一条ClientHello消息的受信