ICS 35.040 LD L 80 备案号：27110—2010 中华人民共和国劳动和劳动安全行业标准 LD/T 30.3—2009 人力资源和社会保障电子认证体系 第3部分：证书及证书撤消列表格式规范 Human resources and social security electronic authentication system- Part 3:Format specifications of digital certificate and CRL 2009-12-14发布 2010-03-01实施 中华人民共和国人力资源和社会保障部 发布 LD/T30.3—2009 目 次 前言 II 1 范围 规范性引用文件 3 术语和定义 4 缩略语 5 证书分类 数字证书通用格式 6 6.1 基本结构 6.2 基本证书域 6.3 签名算法域 6.4 签名值域 6.5 命名规范 数字证书格式模板 7.1 根CA证书格式模板 7. 2 二级CA证书格式模板 7. 3 机构证书格式模板 10 7.4 工作人员证书格式模板 11 7.5 设备证书格式模板· 12 7.6 单位证书格式模板 14 7.7 个人证书格式模板· 16 8CRL格式 17 8.1 CRL基本结构 17 8.2 CRL格式模板 18 附录A（资料性附录） 主体命名规范· 20 附录B（资料性附录） 数字证书编码示例 22 附录C（资料性附录) 算法举例 25 LD/T30.3—2009 前言 为适应人力资源和社会保障信息化发展要求，满足人力资源和社会保障网络信任体系建设和管理 的需要，人力资源和社会保障部组织并制定了LD/T30一2009《人力资源和社会保障电子认证体系》。 网络信任体系包括电子认证体系、授权管理体系和责任认定体系，本标准主要描述了人力资源和社 会保障电子认证体系相关内容，包括以下五个部分： 第1部分：框架规范； 一第2部分：电子认证系统技术规范； 第3部分：证书及证书撤消列表格式规范； 一 ——第4部分：证书应用管理规范； 第5部分：证书载体规范。 本部分为LD/T30一2009的第3部分。 本部分描述了人力资源和社会保障电子认证系统签发的数字证书及证书撤消列表的基本结构和相 关要求。 本部分重点引用了GB/T20518一2006《信息安全技术公钥基础设施数字证书格式》，并在此 基础上，扩展了证书分类、各类证书模板、证书DN命名规范、CRL格式规范等相关内容，给出了数字证 书编码格式示例，从满足人力资源社会保障业务需求的角度，对本行业内所发放的数字证书和证书撤消 列表的类型和格式提出规范和要求。 本部分由中华人民共和国人力资源和社会保障部信息中心提出并归口。 本部分主要起草单位：中华人民共和国人力资源和社会保障部信息中心、上海市人力资源和社会保 障局信息中心、北京数字证书认证中心、维豪信息技术有限公司。 本部分主要起草人：赵锡铭、戴瑞敏、贾怀斌、翟燕立、李丽虹、吴问滨、黄勇、吕丽娟、许华光、罗震、 张加会、靳朝晖、陆春生、李永亮、宋京燕、杜守国、欧阳晋、林雪焰、李述胜、顾青、宋成。 本部分凡涉及密码相关内容，均按国家有关法规实施。 II LD/T30.3—2009 人力资源和社会保障电子认证体系 第3部分：证书及证书撤消列表格式规范 1范围 LD/T30的本部分对人力资源和社会保障数字证书进行了分类，定义了数字证书及证书撤消列表 的基本结构，描述了数字证书中的各数据项内容，制定了证书及证书撤消列表格式模板。 本部分适用于指导人力资源和社会保障系统按照统一的证书及证书撤消列表格式进行定制和签 发，以保证人力资源和社会保障各应用系统之间的互信互认。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 IEC8824-1:2002,IDT) GB/T16262.2—2006 信息技术抽象语法记法一（ASN.1）第2部分：客体信息规范（ISO/ IEC8824-2:2002,IDT) GB/T16262.3—2006 信息技术 抽象语法记法（ASN.1) ）第3部分：药束规范（ISO/IEC 8824-3:2002,IDT) GB/T16262.4—2006 6信息技术抽象语法记法一（ASN.1） 第4部分：ASN.1规范的参数化 (ISO/IEC8824-4:2002,IDT) GB/T20518—2006信息安全技术公钥基础设施 数字证书格式 信息技术安全技术密码术语（国家密码管理局） 3术语和定义 以下术语和定义适用于本部分。 3. 1 证书认证机构 certification authority CA 负责创建和分配证书，受用户信任的权威机构。用户可以选择该机构为其创建密钥。 3.2 数字证书digitalcertificate 由权威认证机构进行数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一 些扩展信息的数字文件。 3.3 CA证书 CAcertificate 由一个证书认证机构给另一个证书认证机构签发的数字证书，一个证书认证机构也可以为自已签 发数字证书，这是一种自签名的数字证书。 1 LD/T30.32009 3. 4 电子认证系统 electronicauthenticationsystem 证书认证系统 certificateauthenticationsystem 对生命周期内的数字证书进行全过程管理的安全系统。 3.5 证书撤消列表 certificate revocation list CRL 标记一系列不再被证书发布者认为有效的证书的签名列表。 3.6 终端实体endentity 不以签署证书为目的而使用其私钥的证书主体或者证书使用者。 3.7 证书序列号 certificateserialnumber 在一个证书认证机构所签发的证书中用于唯一标识数字证书的一个整数。 3. 8 信任 trust 通常，当一个实体（第一个实体）假设另一个实体（第二个实体）完全按照第一个实体的期望行动时， 则称第一个实体“信任”第二个实体。这种“信任”可能只适用于某些特定功能。本框架中“信任”的关键 作用是描述鉴别实体和认证机构之间的关系；鉴别实体应确信它能够“信任”认证机构仅创建有效且可 靠的证书。 4缩略语 下列缩略语适用于本部分： ASN 抽象语法表示法（AbstractSyntaxNotation） c 国家（Country） CA 证书认证机构（CertificationAuthority） CN 通用名（CommonName) CRL 证书撤消列表（CertificateRevocationList) DER 可区分编码规则（DistinguishedEncodingRules） DN 甄别名称(DistinguishedName) 0 机构（Organization） OID 对象标识符（ObjectIdentifier） OU 机构单位（OrganizationUnit） RA 证书注册机构（RegistrationAuthority） 5证书分类 保障系统业务专网用户（以下简称内部用户），二是人力资源和社会保障业务办理中涉及的社会用户（个 人、用人单位等，以下称外部用户）。针对这两类用户，电子认证系统主要签发和管理以下五类用户 证书： 面向内部用户的证书有三类，分别是： 2 LD/T30.3—2009 1）机构证书一一面向人力资源和社会保障系统内部机构（包括各级人力资源和社会保障部 门、各类经办机构、公共服务机构、街道社区人力资源社会保障服务站、所等）和服务于人 力资源和社会保障业务的系统外机构（包括医疗机构、定点零售药店、人力资源社会保障 事务代理机构等）发放。 2） 工作人员证书 —面向人力资源和社会保障业务专网计算机终端用户（包括各级人力资 源社会保障部门工作人员、经办人员等）发放。 3）设备证书一面向人力资源和社会保障信息系统的服务器、终端设备等发放。 b）面向外部用户的证书有两类，分别是： 1）单位证书 一面向人力资源和社会保障业务所管理服务的用人单位发放。 2）个人证书—— 面向人力资源和社会保障业务所管理服务的个人发放。 6 数字证书通用格式 6.1基本结构 数字证书的基本结构由三部分组成：基本证书域TBSCertificate、签名算法域SignatureAlgorithm、 签名值域SignatureValue。其中，基本证书域由基本域和扩展域组成，如图1所示。 基本域 基本证书域 扩展域 数字证书 签名算法域 签名值域 图1 数字证书基本结构示意图 6.2基本证书域 基本证书域(TBSCertificate)包括基本域和扩展域。 6.2.1基本域 基本域由以下部分组成： a）版本 Version b) 序列号 SerialNumber c) Signature 签名算法 d）颁发者 Issuer Validity e) 有效期 主体 Subject g) 主体公钥信息 SubjectPublicKeyInfo 6.2.1.1 版本Version 本项描述了数字证书的版本号。 数字证书应使用版本3（对应的数值是整数"2")。 6.2.1.2 2序列号 SerialNumber 本项是证书签发管理系统分配给每个证书的一个正整数，一个证书签发管理系统签发的每张证书 3 LD/T 30.3--2009 的序列号必须是唯一的（通过颁发者的名字和序列号就可以唯一地确定一张证书），证书签发管理系