声明

本文是学习信息安全技术 公钥基础设施 标准符合性测评. 下载地址 http://github5.com/view/782而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们

公钥基础设施 证书管理协议测评

必需的PKI管理功能

根CA初始化

测评依据见GB/T 19714—2005中8.1的内容。

开发者应提供文档，针对根CA初始化的过程进行说明。

测评方法如下。

1. 根据开发者文档，产生一对根CA的密钥对，并将密钥对中的私钥进行保存，检测根密钥的保存方式是否安全（例如：保存在加密机或加密卡中，并受口令保护）；
2. 选择根CA的密钥对进行根CA初始化，用产生的私钥为公钥签发证书，产生自签名证书，检测这个证书的结构是否和“newWithNew”证书结构相同；
3. 为CA的公钥产生一个指纹，并检测传递指纹的数据结构是否为OOBCertHash。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

根CA密钥更新

测评依据见GB/T 19714—2005中8.2的内容。

开发者应提供文档，针对根CA密钥更新的过程进行说明。

测评方法如下。

1. 在CA的生命周期到期前，模拟一次根CA密钥更新的过程；
2. 产生新的根CA的密钥对；
3. 产生一个用新私钥为旧公钥签名的证书（“OldWithNew”证书）；
4. 产生一个用旧私钥为新公钥签名的证书（“NewWithOld”证书）；
5. 产生一个用新私钥为新公钥签名的证书（“NewWithNew”证书）；
6. 发布这些新证书；
7. 导出CA的新公钥；
8. 使用CA的新密钥为一个终端实体签发一个新证书；
9. 利用CA旧公钥的终端实体，获得NewWithOld证书，并验证上述新证书；
10. 利用CA新公钥的终端实体，获得OldWithNew证书，并验证CA旧密钥签发的旧证书。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

下级CA初始化

测评依据见GB/T 19714—2005中8.3的内容。

开发者应提供文档，针对下级CA初始化的过程进行说明。

测评方法如下。

1. 在下级CA初始化之前，检测下级CA能否获得以下PKI信息：
2. 当前根CA的公钥，并使用杂凑值对根CA公钥进行带外验证；
3. 撤销列表以及撤销列表的认证路径；
4. 所支持的每一种相关应用的算法和算法变量。
5. 模拟一次下级CA初始化的过程：产生下级CA密钥，利用根证书产生下级CA的签名证书。
6. 产生初始的撤销列表。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

CRL产生

测评依据见GB/T 19714—2005中8.4的内容。

开发者应提供文档，针对CRL产生的过程进行说明。

测评方法如下。

1. 在发布证书之前，在新建立CA中产生空的CRL列表；
2. 检测能否操作成功；
3. 撤销一张证书，检测CRL是否可以正常更新。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

PKI信息请求

测评依据见GB/T 19714—2005中8.5的内容。

开发者应提供文档，针对PKI信息请求进行说明。

测评方法如下。

1. 评价者模拟各种PKI信息请求，检测CA是否能够提供请求者要求的所有请求信息，如果某些信息不能提供，CA是否给请求者返回错误信息；
2. 检测文档是否和标准的规定一致。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

交叉认证

测评依据见GB/T 19714—2005中8.6的内容。

开发者应提供文档，针对交叉认证过程进行说明。

测评方法如下。

1. 评价者模拟一次交叉认证过程；
2. 新建三个独立的CA系统，分别命名为A、B、C；
3. 分别使用三个CA系统，签发三个证书，分别命名为：a、b、c；
4. 以CA系统A为请求者，CA系统B为响应者，进行交叉认证操作，检测操作过程和消息结构是否符合标准要求；
5. 在拥有证书b的终端实体上，使用交叉认证证书验证证书a，应能验证成功；
6. 在拥有证书b的终端实体上，验证证书c，验证应不成功。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果系统提供交叉认证功能，以上结果全部正确，则本项满足；如果系统不提供交叉认证功能，则此项不作为最终结果的判断依据。

终端实体初始化

获得PKI信息

测评依据见GB/T 19714—2005中8.7.1的内容。

开发者应提供文档，针对终端实体初始化过程中的“获得PKI信息”这一步骤进行说明。

测评方法如下。

1. 在终端实体初始化之前，检测能否获得以下PKI信息：
2. 当前根CA的公钥；
3. 撤销列表以及撤销列表的认证路径；
4. 所支持的每一种相关应用的算法和算法参数。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

证书请求

测评依据见GB/T 19714—2005中8.8的内容。

开发者应提供文档，针对证书模板和证书请求进行说明。

测评方法如下。

1. 检测经过初始化的终端实体是否能够正确请求到证书：
2. 对每一种证书模板，选择一个经过初始化的终端实体，提出证书请求；
3. 检测这个请求是否使用证书请求消息；
4. 检测能否返回所申请的新证书；
5. 选择一个已经拥有一对签名密钥（带有相应的验证证书）的终端实体，提出证书请求；
6. 检测证书请求消息是否使用此实体的数字签名来保护；
7. 检测能否返回所申请的新证书；
8. 检查文档是否和标准的规定一致。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

密钥更新

测评依据见GB/T 19714—2005中8.9的内容。

开发者应提供文档，针对密钥更新进行说明。

测评方法如下。

1. 在终端实体的证书将要过期前，评价者模拟密钥更新的过程；
2. 检查文档是否和标准的规定一致。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

传输

测评依据见GB/T 19714—2005中第9章的内容。

开发者应提供文档，说明在终端实体、RA、CA之间传输PKI消息的传输协议和消息格式。

测评方法如下。

1. 如果PKI消息通过文件传输，检测PKI消息的格式是否符合标准要求；
2. 如果PKI消息通过TCP管理协议传输，检测PKI消息的格式是否符合标准要求；
3. 如果PKI消息通过E-mail方式传输，检测PKI消息的格式是否符合标准要求；
4. 如果PKI消息通过HTTP方式传输，检测PKI消息的格式是否符合标准要求。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果系统支持的每种传输方式的消息格式和传输协议均符合标准要求，则本项满足。

必选的PKI管理消息结构

初始的注册/认证（基本认证方案）

测评依据见GB/T 19714—2005中B.4的内容。

开发者应提供文档，说明初始的注册/认证的消息格式。

测评方法如下。

1. 通过未初始化的终端实体向CA请求第一个证书，根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

证书请求

测评依据见GB/T 19714—2005中B.5的内容。

开发者应提供文档，说明证书请求的消息格式。

测评方法如下。

1. 通过已经初始化的终端实体向CA请求证书，根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

密钥更新请求

测评依据见GB/T 19714—2005中B.6的内容。

开发者应提供文档，说明密钥更新请求的消息格式。

测评方法如下。

1. 在密钥即将过期前，通过已经初始化的终端实体向CA请求证书（用于更新密钥对和/或已经拥有的相应证书），根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。

记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。

延伸阅读

更多内容 可以点击下载 信息安全技术 公钥基础设施 标准符合性测评. http://github5.com/view/782进一步学习

联系我们

DB46-T 132-2018 A级旅游区（点）服务规范 海南省.pdf