DB4403_T 383.5-2023 电子印章 第5部分：第三方应用接入要求和测试方法.docx

ICS 35.240.01CCS L 67DB4403深圳市地方标准DB4403/T 383.52023电子印章第 5 部分：第三方应用接入要求和测试方法Electronic sealPart 5：Access requirements and test methods for third party application2023-11-02 发布深圳市市场监督管理局发 布2023-12-01 实施DB4403/T 383.52023目次前言 .II1  范围 .12  规范性引用文件 .13  术语和定义 .14  缩略语 .15  接入要求 .15.1  一般要求 .15.2  签章要求 .15.3  验章要求 .25.4  撤章要求 .25.5  签章记录查看要求 .26  接入流程 .26.1  概述 .26.2  确定需求 .26.3  申请接入 .26.4  系统对接 .26.5  系统测试 .36.6  上线运行 .37  测试方法 .37.1  环境准备 .47.2  签章测试方法 .47.3  验章测试方法 .47.4  撤章测试方法 .57.5  签章记录查看功能测试 .5参考文献 .6IDB4403/T 383.52023前言本文件按照 GB/T 1.12020标准化工作导则第 1 部分：标准化文件的结构和起草规则的规定起草。本文件是 DB4403/T 3832023电子印章的第 5 部分。DB4403/T 3832023 已经发布了以下部分：第 1 部分：通用要求；第 2 部分：数字证书；第 3 部分：业务办理和应用指南；第 4 部分：应用服务接口；第 5 部分：第三方应用接入要求和测试方法；第 6 部分：商事主体电子印章图像；第 7 部分：商事主体电子印章备案。本文件由深圳市政务服务数据管理局提出并归口。本文件起草单位：深圳市政务服务数据管理局、深圳市市场监督管理局、深圳市信息安全管理中心、深圳市标准技术研究院、广州金格数安科技有限公司、深圳市不动产登记中心、中国建设银行股份有限公司深圳市分行、深圳市水务（集团）有限公司、上海浦东发展银行股份有限公司深圳分行、中移动信息技术有限公司。本文件主要起草人：曾勇、刘艳、李苏、姚逸滨、陈胜、罗菁春、黄立、董安波、谷鹏、简超、周鑫、刘家雄、饶文刚、林宇群、张雯、周佩雯、穆端端、林雄杰、蒋巍、颜海龙、朱彦、闵红军、李桂珠、梁晓波、宋代强、陈如勇、俞科、王志勇、陈慧铧、周维、李玮。IIDB4403/T 383.52023电子印章第 5 部分：第三方应用接入要求和测试方法1  范围本文件规定了第三方应用系统接入电子印章系统的接入要求、接入流程和测试方法。本文件适用于第三方应用系统接入电子印章系统的测试。2  规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件。不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。DB4403/T 383.3电子印章第3部分：业务办理和应用指南DB4403/T 383.4电子印章第4部分：应用服务接口3  术语和定义DB4403/T 383.3界定的术语和定义适用于本文件。4  缩略语下列缩略语适用于本文件。SDK：软件开发工具包（Software Development Kit）API：应用编程接口（Application Programming Interface）5  接入要求5.1  一般要求5.1.1  第三方应用系统应按照 DB4403/T 383.3 和 DB4403/T 383.4 的要求完成与电子印章系统对接，为其用户提供电子印章签章、验章、撤章、签章记录查看等功能。5.1.2  第三方应用系统应建立完善的安全管理机制，保障电子印章的管理和使用安全，同时具备完善的用户管理机制，采用必要的措施对用户身份进行认证，并将其系统的用户管理机制与电子印章系统的用户建立联系。5.1.3  第三方应用系统在接入申请中，应承诺在其系统首页增加风险内容提醒，告知用户应自行承担使用电子印章产生的一切后果，电子印章系统不承担连带责任。5.2  签章要求1DB4403/T 383.52023第三方应用系统签章功能应符合以下要求：a)提供人机交互，使用户能控制签章过程；b)确认用户已查看待签章电子文件内容，并提供电子文件内容查看功能；c)待签章电子文件内容经用户确认后，确保在整个签章过程文件内容无法被篡改；d)支持用户自主选择或确认需要签章的电子印章和签章位置；e)用户确认了待签章电子文件内容、电子印章和签章位置后，确认用户签章意愿。5.3  验章要求如第三方应用系统中集成验章功能，验章结果应与电子印章服务系统验章功能的验证结果保持一致。如第三方应用系统提供独立的验章功能，还应将验证结果、印章信息、签章信息、数字证书等信息呈现给用户，呈现内容包括但不限于 DB4403/T 383.32023 表 A.1 的验证项。5.4  撤章要求第三方应用系统如提供对已签章文件的电子印章撤章功能时，应符合以下要求：a)只有签章者本人才能对签章文件最后一次加盖的印章进行撤章；b)电子印章撤章时，通过核验短信验证码、USBKey 个人识别密码、人脸特征等有效鉴别手段对用户身份进行认证。5.5  签章记录查看要求第三方应用系统如为用户提供签章记录查看功能，签章记录应与电子印章系统的签章记录保持一致，显示内容应包括但不限于：a)文件名称；b)印章名称；c)印章编号；d)签章者名称；e)签章时间。6  接入流程6.1  概述电子印章系统应提供系统集成所需的SDK和API,供第三方应用系统接入和使用电子印章，具体接入流程见图1。6.2  确定需求应用单位应与电子印章管理服务机构沟通确定第三方应用系统的应用需求、用章场景、应用规模、业务系统现状等事项。应用单位根据实际需求情况，选择 SDK 或 API 接口集成。6.3  申请接入应用单位在申请接入时，应向电子印章管理服务机构提出申请，经电子印章管理服务机构审查通过后，开展应用接入工作。6.4  系统对接应用单位应根据实际情况，部署必要的设施、设备和环境，并对其系统进行改造，实现电子印章签2应用单位电子印章管理服务机构确定需求对接沟通，明确需求提交申请资料通过不通过资料审查集成开发与测试技术支持上线申请检查测试上线运行监测管理确定需求申请接入上线运行系统测试系统对接DB4403/T 383.52023章、验章、撤章、签章记录查看等功能。6.5  系统测试第三方应用系统完成改造后，应用单位应按照第 7 章规定的测试方法对应用系统进行测试。6.6  上线运行第三方应用系统经测试并符合第 5 章的要求后，才能上线运行。图1  第三方应用系统接入流程图7  测试方法3DB4403/T 383.520237.1  环境准备应用单位应准备满足以下要求的电子印章测试环境和材料：a)用于测试的第三方应用系统，以及运行系统所必需的软硬件设备和网络环境；b)测试使用的第三方应用系统用户账号 3 个，其中 2 个账号在电子印章系统上完成印章申领，1个账号无法关联电子印章系统用户账号；c)如第三方应用系统签章功能可选择待签章电子文件，准备 2 份待签章电子文件供签章功能测试使用，每份文件至少 2 页，且文件内容不为空；d)如第三方系统中集成验章功能，准备以下 3 份电子文件供验章功能测试使用：1)1 号文件为未签章的文件；2)2 号文件为电子印章系统签章后的文件；3)3 号文件为电子印章系统签章后的文件，但文件内容已被篡改。e)如第三方应用系统提供独立的验章功能，准备以下 5 份电子文件供验章功能测试使用：1)1 号文件为未签章的文件；2)2 号文件为电子印章系统签章的文件；3)3 号文件为由受信任其他电子印章体系发放印章所签章的文件；4)4 号文件为由非受信任其他电子印章体系发放印章所签章的文件；5)5 号文件为已签章文件，但文件内容已被篡改。7.2  签章测试方法7.2.1  电子印章的签章测试应包含以下内容：a)选择一个符合 7.1b)要求的用户账号登录第三方应用系统，当用户身份与电子印章系统用户无法关联时，第三方应用系统向用户展示错误提示信息；b)如第三方应用系统可选择待签章电子文件，选择一份或多份符合 7.1c)要求的待签章电子文件；如待签章电子文件由第三方应用系统提供或生成，则跳过此步；c)用户查看待签章电子文件内容，确认内容无误；d)如第三方应用系统提供电子印章选择功能，用户选择需要使用的电子印章，设置签章位置；如第三方应用系统默认选择的印章类型和签章位置，则跳过此步；e)用户确认签章意愿后，完成签章操作；f)检测文件是否签章成功，具体核验项如下：1)核验第三方应用系统是否能对用户身份进行认证，是否向用户提示错误信息；2)核验第三方应用系统是否向用户提供待签章电子文件内容查看功能；3)核验第三方应用系统是否让用户确认待签章电子文件内容；4)核验加盖的电子印章是否正确；5)核验电子印章是否加盖在指定的位置；6)核验第三方应用系统签章前是否让用户确认签章意愿；7)核验签章后的电子文件内容是否被篡改；8)核验签章后的电子文件验章是否通过；9)若对多个待签章电子文件进行签章，核验所有文件是否漏签。g)选择符合 7.1b)要求的其他用户账号或 7.1c)要求的其他待签章电子文件，重复以上操作步骤。7.2.2如果 7.2.1 的测试内容结果全部符合 5.2 的要求，则测试通过。7.3  验章测试方法7.3.1  如第三方应用系统中集成验章功能，验章测试应选择符合 7.1d)要求的电子文件进行验章操作，4DB4403/T 383.52023核验验证结果是否与电子印章服务系统验证结果一致，如一致，则测试通过。7.3.2  如第三方应用系统提供独立的验章功能，电子印章验章测试应包含以下内容：a)第三方应用系统选择符合 7.1e)要求的电子文件进行验章操作；b)核验第三方应用系统验章结果是否与电子印章服务系统验章结果一致；c)核验第三方应用系统验证结果展示是否符合 DB4403/T 383.32023 附录 A 的要求。7.3.3  如果 7.3.1 和 7.3.2 的测试内容结果全部符合 5.3 的要求，则测试通过。7.4  撤章测试方法7.4.1  电子印章的撤章测试应包含以下内容：a)通过第三方应用系统对同一份待签章电子文件进行 2 次签章操作，生成一份加盖 2 次电子印章的电子文件；b)对已签章文件中第一次签章的电子印章进行撤章测试操作，核验测试结果；c)对已签章文件中最后一次签章的电子印章进行撤章测试操作，核验测试结果；d)更换签章用户以外的另一个用户进行撤章操作，核验测试结果。7.4.2  如果 7.4.1 的测试内容结果全部符合 5.4 的要求，则测试通过。7.5  签章记录查看功能测试方法7.5.1  如第三方应用系统提供了签章记录查看功能，签章记录查看功能测试应包含以下内容：a) 通过第三方应用系统完成一次签章操作；b) 在系统中查看签章记录，核验签章记录内容。7.5.2  如果 7.5.1 测试结果全部符合 5.5 的要求，则测试通过。5DB4403/T 383.52023参  考文献1 GB/T 302722021信息安全技术公钥基础设施标准符合性测评2 GB/T 352852017信息安全技术公钥基础设施基于数字证书的可靠电子签名生成及验证技术要求3 GA/T 1062013  信息安全技术电子签章产品安全技术要求4 DB36/T 13492020统一电子印章平台应用接入技术规范6