ICS 35.040 L80 LD 备案号：27111—2010 中华人民共和国劳动和劳动安全行业标准 LD/T30.4-2009 人力资源和社会保障电子认证体系 第4部分：证书应用管理规范 Human resources and social security electronic authentication system- Part 4 : Management specification of digital certificate application 2009-12-14发布 2010-03-01实施 中华人民共和国人力资源和社会保障部 发布 LD/T30.4—2009 目 次 前言 1 范围 2 规范性引用文件 3 术语和定义 4 缩略语 5 证书应用领域 6 证书应用技术体系 6.1 总体技术框架 6.2 密码设备 6.3 基础应用接口 6.4高级应用接口 6.5证书应用接口技术要求 7典型证书应用流程 15 7.1数字证书登录认证· 15 7.2单向数字签名与验签· 7.3双向数字签名与验签. 17 7.4加密与解密…. 18 7.5加密签名与解密验签· 18 附录A（资料性附录）证书应用场景 20 附录B（规范性附录） 高级证书应用接口相关标识 LD/T30.4—2009 前言 为适应人力资源和社会保障信息化发展要求，满足人力资源和社会保障网络信任体系建设和管理 的需要，人力资源和社会保障部组织并制定了LD/T302009《人力资源和社会保障电子认证体系》。 网络信任体系包括电子认证体系、授权管理体系和责任认定体系，本标准主要描述了人力资源和社 会保障电子认证体系相关内容，包括以下五个部分： 一第1部分：框架规范； 第2部分：电子认证系统技术规范； 第3部分：证书及证书撤消列表格式规范； —第4部分：证书应用管理规范； 第5部分：证书载体规范。 本部分为LD/T30一2009的第4部分。 本部分描述了证书应用领域和证书应用技术体系，规范了证书应用接口规范和证书应用接口技术 要求，给出了典型证书应用流程和应用场景。 本部分重点引用了国家密码局《公钥密码基础设施应用技术体系》相关规范，并在此基础上，扩展了 典型证书应用流程等相关内容，给出了几类常见的人力资源社会保障业务系统的证书应用场景，从满足 人力资源社会保障业务需求的角度，对本行业应用系统使用数字证书的接口和流程提出规范和要求。 本部分由中华人民共和国人力资源和社会保障部信息中心提出并归口。 本部分主要起草单位：中华人民共和国人力资源和社会保障部信息中心、上海市人力资源和社会保 障局信息中心、北京数字证书认证中心、维豪信息技术有限公司。 本部分主要起草人：赵锡铭、戴瑞敏、贾怀斌、翟燕立、李丽虹、吴问滨、黄勇、吕丽娟、许华光、罗震、 张加会、靳朝晖、陆春生、李永亮、宋京燕、杜守国、欧阳晋、林雪焰、李述胜、顾青、宋成。 本部分凡涉及密码相关内容，均按国家有关法规实施。 LD/T30.4—2009 人力资源和社会保障电子认证体系 第4部分：证书应用管理规范 1范围 LD/T30的本部分规定了数字证书的应用领域，制定了人力资源和社会保障数字证书应用的总体 技术框架，规范了人力资源和社会保障应用系统在实现身份认证、数字签名及验签、加密与解密等安全 功能时，所采取的应用接口和证书应用处理流程，给出了可供参考的典型应用场景。 本部分适用于指导人力资源和社会保障应用系统实现基于数字证书的安全功能，有助于各级人力 资源和社会保障部门采用统一的基于数字证书应用的开发接口。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T20518一2006信息安全技术公钥基础设施数字证书格式 LD/T30.5人力资源和社会保障电子认证体系第5部分：证书载体规范 公钥密码基础设施应用技术体系密码设备应用接口规范（国家密码管理局） 公钥密码基础设施应用技术体系通用密码服务接口规范（国家密码管理局） 公钥密码基础设施应用技术体系密码设备管理规范（国家密码管理局） 智能IC卡及智能密码钥匙密码应用接口规范（国家密码管理局） 信息技术安全技术密码术语（国家密码管理局） 3术语和定义 以下术语和定义适用于本部分。 3. 1 证书认证机构CertificationAuthority CA 负责创建和分配证书，受用户信任的权威机构。用户可以选择该机构为其创建密钥。 3. 2 数字证书 digital certificate 由权威认证机构进行数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一 些扩展信息的数字文件。 3.3 非对称密码算法 asymmetric cryptographicalgorithm 使用两种相关变换和非对称密钥对的密码技术，一种是由公开密钥定义的公开变换，另一种是由私 有密钥定义的私有变换。两种变换具有以下特性：即使给定公开变换，也不可能通过计算得出私有 变换。 1 LD/T30.42009 3. 4 私有密钥 privatekey 私钥 在公钥密码体制中，用户密钥对中仅为该用户持有的密钥。 3.5 公开密钥 publickey 公钥 在公钥密码体制中，用户密钥对中公布给其他用户的密钥。 3.6 加密encrypt 通过密码算法对数据进行变换来产生密文，以便隐藏数据的信息内容。 3.7 解密decrypt 与一个可逆的加密过程相对应的反过程。该过程使用适当的密钥，将已加密的文本转换成明文。 3.8 容器container 密码设备中用于保存密钥所划分的存储空间的唯一性编号。 3. 9 信任trust 通常，当一个实体（第一个实体)假设另一个实体（第二个实体)完全按照第一个实体的期望行动时， 作用是描述鉴别实体和认证机构之间的关系；鉴别实体应确信它能够“信任”认证机构仅创建有效且可 靠的证书。 4缩略语 下列缩略语适用于本部分： API 应用程序接口，简称应用接口（ApplicationProgramInterface） CA 证书认证机构（CertificationAuthority） CRL 证书撤消列表（CertificateRevocationList) CSP 加密服务提供者（CryptographicServiceProvider） KMC 密钥管理中心（KcyManagementCenter) LDAP 轻量级目录访问协议（LightweightDirectoryAccessProtocol) OID 对象标识符（ObjectIdentifier） PKCS 公钥密码标准（thePublic-KeyCryptographyStandard） RA 证书注册机构（RegistrationAuthority） 5证书应用领域 人力资源和社会保障数字证书的应用领域包括全国性、区域性的各类应用系统，按照业务类别划分 为以下三类： a）内部办公类：部、省、市、县/区各级人力资源和社会保障部门各自内部办公系统、档案系统、统 计系统、决策系统等。 2 LD/T 30.4—2009 b）人力资源业务类：包括就业管理与服务、失业管理、公务员管理、军转干部管理、专业技术人才 管理、人力资源市场、职业资格管理、职业培训、劳动监察等的本地业务管理与服务系统、跨地 区业务管理与服务系统、网上公共服务系统、相关纵向联网数据采集系统等。 社会保险业务类：包括养老、失业、医疗、工伤、生育保险的本地业务管理与服务系统、跨地区业 务管理与服务系统、网上公共服务系统、相关纵向联网数据采集系统、基金监管系统等。 6证书应用技术体系 6.1总体技术框架 人力资源和社会保障证书应用技术框架由密码设备、基础应用接口、高级应用接口组成，如 图1所示。 人力资源和社会保障应用系统 服务器端证书应用接口 高级应用 客户端证书应用接口 接口 通用密码服务接口 基础应用 接口 密码设备应用接口 证书载体接口 密码机 证书载体 密码设备 图1人力资源和社会保障证书应用总体技术框架 6.2密码设备 密码设备由密码机、证书载体等密码设备组成，通过基础应用接口向上层应用提供基础的、全面的 密码服务。 密码机为应用系统的服务器端提供密码服务。 证书载体为应用系统的客户端提供密码服务。 6.2.1密码机 密码机必须采用国家密码主管部门批准使用的密码设备，具有销售许可资质。 6.2.2证书载体 证书载体主要指用于存储密钥和数字证书并具有密码运算功能的硬件载体，必须采用国家密码主 管部门批准使用的密码设备，具有销售许可资质。 证书载体的各项技术参数应符合LD/T30.5。 3 LD/T30.4—2009 6.3基础应用接口 6.3.1密码设备应用接口 密码设备应用接口应遵循国际标准PKCS#11规范和《公钥密码基础设施应用技术体系密码设 备应用接口规范》。 密码设备应用接口应支持Windows、Linux、Unix等所有主流操作系统。 6.3.2证书载体接口 证书载体接口应遵循《智能IC卡及智能密码钥匙密码应用接口规范》和LD/T30.5。 证书载体接口应支持Windows和Linux等主流操作系统。 6.3.3通用密码服务接口 通用密码服务接口位于密码设备应用接口和证书载体接口之上，应遵循《公钥密码基础设施应用技 术体系通用密码服务接口规范》。 6.4高级应用接口 高级应用接口是位于基础应用接口之上，供应用系统直接调用的接口开发包，包括客户端和服务器 端接口两大部分。 根据应用系统架构和应用环境，应至少支持