【正文】 有關(guān)安全的指。d) 系統(tǒng)用戶文檔應(yīng)提供有關(guān)如何設(shè)置、維護(hù)和分析系統(tǒng)安全的詳細(xì)指導(dǎo)，包括當(dāng)運(yùn)行一個安全設(shè)備時，需要控制的有關(guān)功能和特權(quán)的警告，以及與安全有關(guān)的管理員功能的詳細(xì)描述，包括增加和刪除一個用戶、改變用戶的安全特征等；——說明審計(jì)跟蹤機(jī)制，使系統(tǒng)用戶可有效地使用審計(jì)跟蹤來執(zhí)行本地的安全策略；——在系統(tǒng)的生命周期內(nèi)如何用安全的方法維護(hù)系統(tǒng)，包括為了防止系統(tǒng)被破壞而進(jìn)行的每天、每周、每月的安全常規(guī)備份等；b) 系統(tǒng)用戶文檔應(yīng)提供系統(tǒng)用戶了解如何用安全的方式管理系統(tǒng)，除了給出一般的安全忠告，還應(yīng)明確：——應(yīng)提供一個準(zhǔn)則集用于保證附加的說明的一致性不受破壞。——應(yīng)闡述安全管理和安全服務(wù)的交互，并提供指導(dǎo)；對文檔的總體要求是：——開發(fā)者個人獨(dú)自開發(fā)的軟件，應(yīng)在被開發(fā)管理者審核后才能用于開發(fā)的系統(tǒng)。——除授權(quán)的分發(fā)機(jī)構(gòu)外，不應(yīng)在開發(fā)環(huán)境外部復(fù)制或分發(fā)內(nèi)部文檔；——描述PKI系統(tǒng)開發(fā)所使用的計(jì)算機(jī)系統(tǒng)的安全使用和維護(hù)情況的安全策略和措施應(yīng)有書面記載，并可供檢查；e) 系統(tǒng)控制數(shù)據(jù)，如口令和密鑰，不應(yīng)在未受保護(hù)的程序或文檔中以明文形式儲存，并以書面形式向客戶提供關(guān)于軟件所有權(quán)法律保護(hù)的指南；c) 在內(nèi)部代碼檢查時，應(yīng)解決潛在的安全缺陷，關(guān)閉或取消所有的后門； 開發(fā)應(yīng)按GB/T ，從以下方面進(jìn)行PKI系統(tǒng)的開發(fā)：a) 按非形式化安全策略模型、完全定義的外部接口、安全加強(qiáng)的高層設(shè)計(jì)、TSF完全實(shí)現(xiàn)、TSF內(nèi)部結(jié)構(gòu)層次化、描述性低層設(shè)計(jì)和非形式化對應(yīng)性說明的要求，進(jìn)行PKI系統(tǒng)的開發(fā)；l) 新的版本應(yīng)避免違反最初的安全策略和設(shè)想，也應(yīng)避免在維護(hù)、增加或功能升級中引入安全漏洞，所有功能的改變和安全結(jié)構(gòu)設(shè)置的默認(rèn)值都應(yīng)作記錄。安全功能的增加和改進(jìn)應(yīng)獨(dú)立于系統(tǒng)版本的升級，也就是說，應(yīng)存在適應(yīng)性獨(dú)立于系統(tǒng)其它功能的改進(jìn)；i) 為了支持已交付的軟件的每個版本，對所有已有的安全漏洞都應(yīng)有文檔書面說明，并且客戶能在限制的基礎(chǔ)上得到該文檔；g) 應(yīng)采用書面說明的方式向客戶通告新的安全問題；e) 指導(dǎo)性文檔應(yīng)同交付的系統(tǒng)軟件一起包裝，并應(yīng)有一套規(guī)程確保當(dāng)前送給用戶的系統(tǒng)軟件是嚴(yán)格按最新的系統(tǒng)版本來制作的；c) 所有軟件應(yīng)提供安全安裝默認(rèn)值，在客戶不做選擇時，默認(rèn)值應(yīng)使安全機(jī)制有效地發(fā)揮作用；b) 對系統(tǒng)的未授權(quán)修改的風(fēng)險(xiǎn)，應(yīng)在交付時控制到最低限度。——所有診斷測試過程中，為加強(qiáng)安全性的硬件部件所提供例證的結(jié)果；——在故障或硬件、軟件出錯后恢復(fù)系統(tǒng)至安全狀態(tài)的規(guī)程；——修改內(nèi)容的檢測；——安全啟動和操作的過程；文檔中所描述的內(nèi)容應(yīng)包括：通過技術(shù)、物理和保安規(guī)章三方面的結(jié)合，可充分保護(hù)生成系統(tǒng)所用到的源碼免遭未授權(quán)的修改和毀壞。所有改變應(yīng)被記載和檢查，以確保未危及系統(tǒng)的安全。d) 在系統(tǒng)的整個生存期，即在它的開發(fā)、測試和維護(hù)期間，應(yīng)有一個軟件配置管理系統(tǒng)處于保持對改變源碼和文件的控制狀態(tài)。b) 在配置管理能力方面應(yīng)實(shí)現(xiàn)對版本號、配置項(xiàng)、授權(quán)控制等方面的要求；f) nextUpdate 字段的時間不應(yīng)早于thisUpdate字段的時間。d), thisUpdate字段應(yīng)指出證書狀態(tài)正確的時間；b) 若issuer字段為空，響應(yīng)中應(yīng)包含一個issuerAltName的關(guān)鍵性擴(kuò)展； OCSP基本響應(yīng)的審核發(fā)布OCSP響應(yīng)的PKI系統(tǒng)應(yīng)驗(yàn)證所有強(qiáng)制性字段的值符合GB/T 197132005。e) thisUpdate應(yīng)包含本次CRL的發(fā)布時間；c) 若issuer字段為空，CRL應(yīng)包含一個issuerAltName的關(guān)鍵性擴(kuò)展；至少以下字段應(yīng)被審核：a) 若包含version字段，應(yīng)為1； 證書撤銷7) 若subject字段為空，證書應(yīng)包括一個subjectAltName的關(guān)鍵性擴(kuò)展；5) validity字段應(yīng)說明不早于當(dāng)時時間的notBefore值和不早于notBefore時間的notAfter 值；3) 若證書包含extensions那么version字段應(yīng)為2；1) version字段應(yīng)為0，1，2；c) PKI系統(tǒng)應(yīng)驗(yàn)證預(yù)期的證書主體擁有與證書中包含的公鑰相對應(yīng)的私鑰，除非公私密鑰對是由PKI系統(tǒng)所產(chǎn)生的；進(jìn)行證書生成時，a) 應(yīng)僅產(chǎn)生與GB/T 205182006中規(guī)定的證書格式相同的證書；c) 字段或擴(kuò)展的值由PKI系統(tǒng)自動的生成；證書字段或擴(kuò)展的值可有以下4種方式獲得批準(zhǔn)：a) 數(shù)據(jù)被操作員手工批準(zhǔn)； 證書管理 證書注冊PKI系統(tǒng)所簽發(fā)的公鑰證書應(yīng)與GB/T 205182006相一致。b) 若PKI系統(tǒng)發(fā)布OCSP響應(yīng)，PKI系統(tǒng)應(yīng)要求管理員為responseType字段指定可接受的值；OCSP輪廓應(yīng)規(guī)定PKI系統(tǒng)可能產(chǎn)生的OCSP響應(yīng)的類型和這些類型可接受的值。若PKI系統(tǒng)發(fā)布CRL，管理員還應(yīng)指定CRL和CRL擴(kuò)展可接受的值。b) issuerAltName；若PKI系統(tǒng)發(fā)布CRL，則應(yīng)具備證書撤銷列表輪廓，并保證發(fā)布的CRL與該輪廓中的規(guī)定相一致。b) CRL的發(fā)布者；證書撤消列表輪廓用于定義CRL中字段和擴(kuò)展中可接受的值，這些字段和擴(kuò)展應(yīng)與GB/T 205182006標(biāo)準(zhǔn)相一致。管理員還應(yīng)為證書擴(kuò)展指定可能的值。b) basicConstraints；d) 證書的有效期。b) 公私密鑰對主體的算法標(biāo)識符；PKI系統(tǒng)應(yīng)具備證書輪廓，并保證發(fā)布的證書與證書輪廓中的描述一致。g) 與證書相對應(yīng)的私鑰可執(zhí)行的操作；e) 證書包括的附加信息；c) 證書發(fā)布者的標(biāo)識符；證書輪廓包括的信息有：a) 與密鑰綁定的用戶的標(biāo)識符；PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定用戶密鑰銷毀方法。用戶可執(zhí)行的銷毀程序包括：用隨機(jī)數(shù)據(jù)覆蓋存儲密鑰的媒介、存儲體，銷毀存儲密鑰的媒介等。PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定系統(tǒng)密鑰銷毀方法。PKI系統(tǒng)密鑰銷毀應(yīng)符合國家密碼行政管理部門對密鑰銷毀的相關(guān)規(guī)定。 密鑰銷毀 PKI系統(tǒng)密鑰銷毀PKI系統(tǒng)的密鑰銷毀應(yīng)設(shè)置為只有特定權(quán)限的人才能執(zhí)行銷毀程序，并保證銷毀過程應(yīng)是不可逆的。 公鑰歸檔CA、RA、終端用戶或其它系統(tǒng)部件的公鑰都應(yīng)歸檔，歸檔公鑰為數(shù)字證書從目錄中移除后驗(yàn)證數(shù)字簽名提供了便利。備份用于系統(tǒng)運(yùn)作的連續(xù)性，以防意外事故造成的私鑰損壞、丟失、刪除等。 PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定用戶密鑰恢復(fù)方法。 PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定系統(tǒng)密鑰恢復(fù)方法。對于備份的密鑰，應(yīng)僅由密鑰所有者恢復(fù)；對于歸檔的密鑰，則根據(jù)法律、規(guī)章或合同規(guī)定，由執(zhí)法機(jī)關(guān)或管理部門恢復(fù)。f) 如果用戶密鑰由PKI系統(tǒng)自動更新，則PKI系統(tǒng)的文檔中，應(yīng)說明用戶密鑰及證書的更新方法；并確保用戶密鑰及證書更新時，嚴(yán)格按照文檔中規(guī)定的方法操作。e) 如果用戶密鑰由PKI系統(tǒng)自動更新，則PKI系統(tǒng)應(yīng)采取明確的方法更新用戶密鑰及證書。c) ；要求：a) ； 用戶密鑰更新用戶密鑰對過期或者私鑰的安全性受到威脅時應(yīng)更新密鑰。在更新過程中應(yīng)采取安全措施保證PKI系統(tǒng)服務(wù)的安全性和連續(xù)性，防止例如替換CA私鑰和證書等的各種攻擊行為；d) ；b) ；PKI系統(tǒng)應(yīng)提供有效的CA私鑰及證書更新方式。PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定密鑰導(dǎo)入導(dǎo)出方法。PKI系統(tǒng)應(yīng)提供合適的方法把導(dǎo)入或?qū)С鯬KI系統(tǒng)的對稱密鑰、私有密鑰或公有密鑰與正確實(shí)體相關(guān)聯(lián)，并賦予相應(yīng)的權(quán)限，其中實(shí)體可能是一個人、一個組或一個過程。私鑰不應(yīng)以明文形式導(dǎo)入導(dǎo)出PKI系統(tǒng)，PKI系統(tǒng)用戶密鑰和系統(tǒng)部件密鑰應(yīng)由國家密碼行政管理部門認(rèn)可的硬件密碼設(shè)備加密，終端用戶密鑰可使用軟件加密，CA簽名私鑰應(yīng)使用硬件密碼設(shè)備加密。密鑰導(dǎo)入或?qū)С鯬KI系統(tǒng)時，應(yīng)采用國家密碼行政管理部門認(rèn)可的加密算法或加密設(shè)備。 密鑰導(dǎo)入導(dǎo)出密鑰被導(dǎo)出到PKI系統(tǒng)之外可能基于以下的原因：密鑰備份、復(fù)制，以及將PKI系統(tǒng)部件產(chǎn)生的密鑰傳送到用戶手中。如果用戶自行備份，應(yīng)用軟件加密后存儲。 終端用戶密鑰備份用戶簽名私鑰可由用戶自行備份。PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定終端用戶密鑰存儲方法。如果終端用戶的密鑰由用戶自行存儲，則由用戶選擇存儲方式。 終端用戶密鑰存儲如果終端用戶的密鑰在PKI系統(tǒng)服務(wù)部件中存儲，可用軟件加密后存儲在數(shù)據(jù)庫中，加密算法應(yīng)符合國家密碼行政管理部門的規(guī)定。 密鑰存儲 PKI系統(tǒng)密鑰存儲PKI系統(tǒng)部件密鑰和系統(tǒng)用戶密鑰應(yīng)存儲于國家密碼行政管理部門規(guī)定的密碼模塊中或由硬件密碼設(shè)備加密后存儲。d) 合同或者法律等外部環(huán)境的需求；b) 加密算法的攻擊難度；PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定用戶密鑰傳送方法。CA向用戶傳送與分發(fā)私鑰應(yīng)以加密形式進(jìn)行，加密算法等應(yīng)符合國家密碼行政管理部門的規(guī)定。 終端用戶密鑰傳送與分發(fā)如果終端用戶自己生成密鑰對，把公鑰傳送給CA是證書注冊過程的一部分。CA公鑰分發(fā)方法應(yīng)適當(dāng)、切實(shí)可行，如提供根證書和CA證書下載、或與終端用戶證書一起下載等，應(yīng)符合國家密碼行政管理部門對密鑰分發(fā)的相關(guān)規(guī)定。PKI系統(tǒng)的文檔中應(yīng)明確規(guī)定終端用戶密鑰生成方法。終端用戶密鑰可用軟件方法產(chǎn)生，生成算法和密鑰長度等應(yīng)符合國家密碼行政管理部門的規(guī)定。 終端用戶密鑰生成終端用戶的密鑰可由用戶自己生成，也可委托CA、RA等PKI系統(tǒng)的服務(wù)機(jī)構(gòu)生成。e) CA簽名公私密鑰對生成應(yīng)在可信的、安全的環(huán)境中產(chǎn)生，用于密鑰對生成的隨機(jī)數(shù)發(fā)生器產(chǎn)生的隨機(jī)數(shù)要符合統(tǒng)計(jì)規(guī)律；c) 如果在密鑰生成過程中加入隨機(jī)種子，隨機(jī)種子導(dǎo)入應(yīng)符合國家密碼行政管理部門的規(guī)定；密鑰生成過程應(yīng)滿足以下要求：a) 如果在密碼模塊內(nèi)部產(chǎn)生密鑰，密碼模塊應(yīng)使用國家密碼行政管理部門認(rèn)可的算法或安全函數(shù)、按國家密碼行政管理部門認(rèn)可的密鑰生成方法生成密鑰；進(jìn)行密鑰生成時，應(yīng)檢查用戶角色，并設(shè)置為只有管理員才能啟動CA密鑰生成過程，且應(yīng)有多于一個管理員同時在場。 密鑰管理 密鑰生成 PKI系統(tǒng)密鑰生成PKI系統(tǒng)部件密鑰和系統(tǒng)用戶密鑰生成應(yīng)由相應(yīng)級別的CA或RA等機(jī)構(gòu)進(jìn)行，應(yīng)使用硬件密碼設(shè)備產(chǎn)生。e) 備份方案應(yīng)提供增量備份功能；c) 備份方案應(yīng)提供人工和自動備份功能；備份方案取決于應(yīng)用環(huán)境，但至少應(yīng)滿足以下基本要求：a) 備份要在不中斷數(shù)據(jù)庫使用的前提下實(shí)施；關(guān)鍵安全參數(shù)和其它機(jī)密信息應(yīng)以加密形式存儲。在系統(tǒng)備份數(shù)據(jù)中應(yīng)保存足夠的信息使系統(tǒng)能夠重建備份時的系統(tǒng)狀態(tài)。 備份與恢復(fù)PKI系統(tǒng)應(yīng)具有備份和恢復(fù)功能，并可在需要時調(diào)用備份功能，使在系統(tǒng)失敗或者其它嚴(yán)重錯誤的情況下能夠重建系統(tǒng)。 原發(fā)抗抵賴要求PKI系統(tǒng)在任何時候都應(yīng)對證書狀態(tài)信息和其它安全相關(guān)信息強(qiáng)制產(chǎn)生原發(fā)證據(jù)。 TOE內(nèi)TSF數(shù)據(jù)的傳送PKI系統(tǒng)應(yīng)保護(hù)安全相關(guān)的TSF數(shù)據(jù)在分離的PKI部件間傳送時不被篡改； TSF間用戶數(shù)據(jù)傳送的保密性當(dāng)用戶數(shù)據(jù)通過外部信道在PKI系統(tǒng)之間或PKI系統(tǒng)用戶之間傳遞時，PKI系統(tǒng)應(yīng)執(zhí)行訪問控制策略，使得能以某種防止未授權(quán)泄露的方式傳送用戶數(shù)據(jù)。對審計(jì)日志簽名的事件應(yīng)寫入審計(jì)日志中，審計(jì)日志簽名結(jié)果應(yīng)包含在其中。對審計(jì)日志簽名的時間周期應(yīng)是可配置的。完整性保護(hù)運(yùn)算的對象是從上次簽名后加入的所有審計(jì)日志條目以及上次簽名的結(jié)果。 審計(jì)日志簽名審計(jì)功能部件應(yīng)定期對審計(jì)日志做數(shù)字簽名、Keyed Hash、認(rèn)證碼等完整性保護(hù)運(yùn)算。 審計(jì)事件存儲審計(jì)功能部件應(yīng)具有以下能力：a) 受保護(hù)的審計(jì)蹤跡存儲，能防止對審計(jì)記錄的非授權(quán)修改，并可檢測對審計(jì)記錄的修改； 選擇性審計(jì)審計(jì)功能部件應(yīng)可根據(jù)下列屬性選擇或排除審計(jì)事件集中的可審計(jì)事件： 審計(jì)功能部件應(yīng)能將可審計(jì)事件與發(fā)起該事件的用戶身份相關(guān)聯(lián)。 審計(jì) 審計(jì)數(shù)據(jù)產(chǎn)生審計(jì)功能部件應(yīng)對下列事件產(chǎn)生審計(jì)記錄：a) 審計(jì)功能的啟動和結(jié)束；系統(tǒng)用戶口令和系統(tǒng)部件密鑰解密口令應(yīng)是字母和數(shù)字的組合，不少于8個字符。當(dāng)使用偽隨機(jī)生成器時，應(yīng)能提供具有高度不可預(yù)見性的隨機(jī)數(shù)。當(dāng)用來對用戶身份鑒別的口令、密鑰等秘密信息由PKI系統(tǒng)產(chǎn)生時，PKI系統(tǒng)應(yīng)可生成符合秘密信息質(zhì)量要求的秘密信息。秘密信息質(zhì)量包括字母數(shù)字結(jié)構(gòu)或者密鑰長度等。為了防止拒絕服務(wù)，至少保證有一個用戶帳號不應(yīng)失效。c) 向管理員報(bào)警；當(dāng)用戶自從上次鑒別成功以來不成功的鑒別嘗試的次數(shù)達(dá)到或超過了定義的界限時，PKI系統(tǒng)應(yīng)采取應(yīng)對措施，例如：a) 使終端失效一段隨次數(shù)增加的時間；鑒別不成功嘗試的次數(shù)不必連續(xù)，但應(yīng)與鑒別事件相關(guān)。管理員可配置的參數(shù)包括但不限于，失敗的鑒別次數(shù)和時間門限值。 鑒別失敗處理當(dāng)用戶自從上次鑒別成功以來不成功的鑒別嘗試的次數(shù)達(dá)到或超過了定義的界限時，PKI系統(tǒng)的安全功能應(yīng)能檢測到。b) 接收用戶發(fā)來的數(shù)據(jù)，但直到系統(tǒng)用戶批準(zhǔn)之后才處理。當(dāng)進(jìn)行鑒別時，PKI系統(tǒng)的安全功能應(yīng)避免提供給用戶的反饋泄露用戶的鑒別數(shù)據(jù)，口令字符輸入時，應(yīng)只顯示星號，而不顯示原始字符。PKI系統(tǒng)安全功能應(yīng)提供一個以上的鑒別機(jī)制，對不同身份的用戶使用不同的鑒別機(jī)制，并對一個用戶使用多個鑒別過程。PKI系統(tǒng)應(yīng)定義所支持的用戶鑒別機(jī)制的類型。管理員應(yīng)對鑒別數(shù)據(jù)進(jìn)行管理。PKI系統(tǒng)的安全功能應(yīng)預(yù)先設(shè)定PKI系統(tǒng)代表用戶執(zhí)行的、與安全功能無關(guān)的動作，在用戶身份被鑒別之前，允許PKI系統(tǒng)執(zhí)行這些預(yù)設(shè)動作，包括：a) 響應(yīng)查詢公開信息（如：在線證書狀態(tài)查詢等）； 用戶鑒別當(dāng)進(jìn)行鑒別時，PKI系統(tǒng)的安全功能應(yīng)僅僅將最少的反饋提供給用戶（如打入的字符數(shù)、鑒別的成功或失?。?，不應(yīng)給用戶更多的信息。確保用戶與正確的安全屬性相關(guān)聯(lián)。系統(tǒng)應(yīng)采取病毒防治、漏洞掃描、入侵檢測等安全防護(hù)措施。 應(yīng)用程序訪問控制應(yīng)根據(jù)訪問控制策略，嚴(yán)格限制對信息和應(yīng)用系統(tǒng)功能訪問。當(dāng)系統(tǒng)用戶正在訪