信息安全技术公钥基础设施标准符合性测评(GB-T 30272-2021).docx

《信息安全技术公钥基础设施标准符合性测评(GB-T 30272-2021).docx》由会员分享，可在线阅读，更多相关《信息安全技术公钥基础设施标准符合性测评(GB-T 30272-2021).docx（44页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、ICS35.030CCS L 80中华人民共和国国家标准GB/T 30272202X代替 GB/T 30272-2013信息安全技术 公钥基础设施标准符合性测评Information security technology Public key infrastructure Testing and assessment of compliance with standards（报批稿）（本稿完成日期：2020年12月11日）xxxx - xx - xx发布xxxx - xx - xx实施GB/T 30272-202X目次前言III引言IV1 范围12 规范性引用文件13 术语和定义14 缩略语

2、15 在线证书状态协议测评25.1 总则25.2 安全考虑46 证书管理协议测评46.1 必需的PKI管理功能46.2 传输76.3 必选的PKI管理消息结构77 组件最小互操作规范测评87.1 组件规范87.2 数据格式108 数字证书格式测评138.1 基本证书域的数据结构148.2 TBSCertificate及其数据结构148.3 证书扩展项169 时间戳规范测评209.1 时间戳的产生和颁发209.2 时间戳的管理219.3 时间戳的格式239.4 时间戳系统的安全2610 电子签名格式测评2810.1 基本数据格式2810.2 验证数据格式2810.3 签名策略要求2811 基于数

3、字证书的可靠电子签名生成及验证技术测评2911.1 电子签名相关数据的要求2911.2 签名生成模块的要求2911.3 电子签名生成过程与应用程序要求3011.4 电子签名验证过程与应用程序要求3012 综合评价31附录A（资料性）测试项目总表34附录B（资料性）公钥基础设施测试环境示例37参考文献38前言本文件按照GB/T 1.12020标准化工作导则 第一部分：标准化文件的结构和起草规则的规定起草。本文件代替GB/T 302722013信息安全技术 公钥基础设施 标准一致性测试评价指南，与GB/T 302722013相比，除编辑性改动外，主要技术变化如下：标准名称修改为：信息安全技术 公钥

4、基础设施 标准符合性测评；删除了“特定权限管理中心技术规范测评”（见2013年版的4.5）；增加了“电子签名格式测评”（见第10章）；增加了“基于数字证书的可靠电子签名生成及验证技术测评”（见第11章）；修改了“数字证书格式测评”中的相关内容（见第8章）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国信息安全标准化技术委员会（SAC/TC 260）提出并归口。本文件起草单位：上海辰锐信息科技公司、公安部第三研究所、中国科学院数据与通信保护研究教育中心、北京数字认证股份有限公司、格尔软件股份有限公司、中国电子科技集团公司第十五研究所（信息产业信息安全测评中

5、心）。本文件主要起草人：邱梓华、陈妍、李谦、刘丽敏、吕娜、郑强、傅大鹏、王路晗、邵旭东、陈家明、顾流、赵欣怡、原泉、刘中、许俊、刘健。本文件及其所代替文件的历次版本发布情况为：2013年首次发布为GB/T 302722013；本次为第一次修订。引言本文件用于指导测试评价者测试与评价公钥基础设施是否达到国家标准要求。本文件依据国家已颁布、实施的7个公钥基础设施标准，即：GB/T 197132005信息技术 安全技术 公钥基础设施 在线证书状态协议GB/T 197142005信息技术 安全技术 公钥基础设施 证书管理协议GB/T 197712005信息技术 安全技术 公钥基础设施 PKI组件最小互

6、操作规范GB/T 205182018信息安全技术 公钥基础设施 数字证书格式GB/T 205202006信息安全技术 公钥基础设施 时间戳规范GB/T 250642010信息安全技术 公钥基础设施 电子签名格式规范GB/T 352852017 信息安全技术 公钥基础设施 基于数字证书的可靠电子签名生成及验证技术要求对相应评价测试方法做了详细描述。采用密码技术解决机密性、完整性、真实性、不可否认性需求的，应遵循相关密码国家标准和行业标准。37信息安全技术 公钥基础设施 标准符合性测评1 范围本文件描述了公钥基础设施相关组件的测试评价方法，包括CA、RA、时间戳子系统、在线证书状态查询子系统、电子

7、签名及验证子系统、客户端等组件。本文件适用于按照国家标准GB/T 197132005、GB/T 197142005、GB/T 197712005、GB/T 205182018、GB/T 205202006、GB/T 250642010、GB/T 352852017进行研制开发的产品类公钥基础设施相关组件的测试和评价。2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 197132005 信息技术 安全技术 公钥基础设施 在线证书状态协议

8、 GB/T 197142005 信息技术 安全技术 公钥基础设施 证书管理协议 GB/T 197712005 信息技术 安全技术 公钥基础设施 PKI组件最小互操作规范 GB/T 205182018 信息安全技术 公钥基础设施 数字证书格式 GB/T 205202006 信息安全技术 公钥基础设施 时间戳规范GB/T 250642010 信息安全技术 公钥基础设施 电子签名格式规范GB/T 250692010 信息安全技术 术语GB/T 352752017 信息安全技术 SM2密码算法加密签名消息语法规范GB/T 352852017 信息安全技术 公钥基础设施 基于数字证书的可靠电子签名生成及

9、验证技术要求3 术语和定义GB/T 197132005、GB/T 197142005、GB/T 197712005、GB/T 205182018、GB/T 205202006、GB/T 250642010、GB/T 352852017、GB/T 250692010界定的术语和定义适用于本文件。4 缩略语下列缩略语适用于本文件。BES基本电子签名Basis Electronic SignatureCA认证机构Certification AuthorityCPS认证惯例陈述Certification Practice StatementCRL证书撤销列表Certificate Revocation

10、 ListES电子签名Electronic SignatureESS增强安全服务Enhanced Security ServicesMIME多用途网络邮件扩充协议Multipurpose Internet Mail ExtensionOCSP在线证书状态协议Online Certificate Status ProtocolOID对象标识符Object IDPIN个人身份识别码personal identification numberPKCS公钥密码标准Public-Key Cryptography StandardsPKI公钥基础设施Public Key InfrastructureRA注

11、册机构Registration AuthorityTSA时间戳机构Time Stamp Authority5 在线证书状态协议测评5.1 总则5.1.1 请求测评依据见GB/T 197132005中5.2的内容。开发者应提供文档，对所使用的在线证书状态协议进行说明。测评方法如下。a) 由OCSP请求者发送多个不同状态证书的状态请求，检测OCSP响应器是否提供了正确的证书状态响应；b) 检测OCSP请求是否包含以下数据：协议版本、服务请求、目标证书标识符、其他扩展数据（如OCSP请求者的签名、随机数等）；c) 使用工具发送不正确报文格式的请求，检测OCSP响应器是否发出错误信息；d) 使用工具发

12、送响应器没有配置所要求服务的请求，检测OCSP响应器是否发出错误信息；e) 使用工具发送不完整信息的请求，检测OCSP响应器是否发出错误信息。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.1.2 响应测评依据见GB/T 197132005中5.3的内容。开发者应提供文档，对响应签名的密钥、响应消息格式、响应消息内容等进行说明。测评方法如下。a) 模拟各种身份的OCSP请求者，发送多个不同状态证书的状态请求，OCSP响应请求，检测此过程中是否对所有明确的响应报文都进行数字签名。b) 检测响应签名的密钥是否为下列三种情况之一：1) 签发待查询证书的C

13、A公钥，2) 可信赖的响应器的公钥，3) CA指定的响应器公钥。c) 由OCSP请求者发送多个不同状态证书的状态请求，检测OCSP响应器的响应消息中是否包含以下内容：1) 响应语法的版本，2) 响应器的名称，3) 对请求中每个证书的响应，4) 可选择的扩展，5) 签名算法的OID，6) 响应的杂凑值签名。d) 检测对请求中每个证书的响应，是否包含以下内容：1) 目标证书标识符，2) 证书状态值，3) 响应的有效期限，4) 可选的扩展。e) 检测OCSP响应消息中，证书状态值是否为以下三种响应标识符之一，并检测证书状态是否与实际一致：1) Good，表示对状态查询的肯定响应；2) Revoked

14、（已撤销），表示证书已被撤销；3) Unknown（未知），表示响应器不能鉴别待验证状态的证书。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.1.3 异常情况测评依据见GB/T 197132005中5.4的内容。开发者应提供文档，对OCSP响应器返回的错误消息进行说明。测评方法如下。a) 使用工具发送一个没有遵循OCSP语法的请求，检测OCSP响应器是否发出相应的错误信息；b) 使响应器处于非协调的工作状态，发送一个正常请求，检测OCSP响应器是否发出相应的错误信息；c) 使响应器处于不能返回所请求证书的状态，发送一个证书请求，检测OCSP响应器

15、是否发出相应的错误信息；d) 使用工具发送一个没有签名的请求，检测OCSP响应器是否发出相应的错误信息；e) 使用工具发送一个未授权的请求，检测OCSP响应器是否发出相应的错误信息。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.1.4 thisUpdate、nextUpdate和producedAt的语义测评依据见GB/T 197132005中第9章的内容。开发者应提供文档，对thisUpdate、nextUpdate和producedAt的语义进行说明。测评方法如下。a) 发送多个证书请求，检测OCSP响应消息是否包含以下时间字段：1) thi

16、sUpdate：此次更新时间；2) nextUpdate（可选字段）：下次更新时间；若没有设置此字段，需指明随时可以获得更新的撤销信息；3) producedAt：签发时间。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.1.5 OCSP签名机构的委托测评依据见GB/T 197132005中5.7的内容。开发者应提供文档，对所使用的在线证书状态协议中OCSP签名机构的委托过程进行说明。测评方法如下。a) 如果签署证书状态信息的密钥与签署证书的密钥不同，由CA向响应器签发一个含有extendedKeyUsage唯一值的证书；b) 发送一个证书状态查询

17、请求，检测响应器能否用上述证书对证书状态信息进行签名。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.1.6 CA密钥泄露测评依据见GB/T 197132005中5.8的内容。开发者应提供文档，对CA密钥泄露时OCSP响应器的设置进行说明。测评方法如下。a) 在OCSP响应器中，将某一个CA的状态设置为私钥泄露；b) 发送一个上述CA签发的证书状态查询请求，检测OCSP响应器能否返回上述CA签发的所有证书已撤销的状态信息。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。5.2 安全考虑测评依据见GB/T 1

18、97132005中第8章的内容。开发者应提供文档，对所使用的在线证书状态协议进行脆弱性分析。测评方法如下。a) 查看开发者提供的脆弱性分析报告，检测OCSP系统能否抵御标准中的相关攻击（至少应该包括拒绝服务攻击和重放攻击）。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6 证书管理协议测评6.1 必需的PKI管理功能6.1.1 根CA初始化测评依据见GB/T 197142005中8.1的内容。开发者应提供文档，针对根CA初始化的过程进行说明。测评方法如下。a) 根据开发者文档，产生一对根CA的密钥对，并将密钥对中的私钥进行保存，检测根密钥的保存方式是

19、否安全（例如：保存在加密机或加密卡中，并受口令保护）；b) 选择根CA的密钥对进行根CA初始化，用产生的私钥为公钥签发证书，产生自签名证书，检测这个证书的结构是否和“newWithNew”证书结构相同；c) 为CA的公钥产生一个指纹，并检测传递指纹的数据结构是否为OOBCertHash。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.2 根CA密钥更新测评依据见GB/T 197142005中8.2的内容。开发者应提供文档，针对根CA密钥更新的过程进行说明。测评方法如下。a) 在CA的生命周期到期前，模拟一次根CA密钥更新的过程；b) 产生新的根

20、CA的密钥对；c) 产生一个用新私钥为旧公钥签名的证书（“OldWithNew”证书）；d) 产生一个用旧私钥为新公钥签名的证书（“NewWithOld”证书）；e) 产生一个用新私钥为新公钥签名的证书（“NewWithNew”证书）；f) 发布这些新证书；g) 导出CA的新公钥；h) 使用CA的新密钥为一个终端实体签发一个新证书；i) 利用CA旧公钥的终端实体，获得NewWithOld证书，并验证上述新证书；j) 利用CA新公钥的终端实体，获得OldWithNew证书，并验证CA旧密钥签发的旧证书。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.

21、1.3 下级CA初始化测评依据见GB/T 197142005中8.3的内容。开发者应提供文档，针对下级CA初始化的过程进行说明。测评方法如下。a) 在下级CA初始化之前，检测下级CA能否获得以下PKI信息：1) 当前根CA的公钥，并使用杂凑值对根CA公钥进行带外验证；2) 撤销列表以及撤销列表的认证路径；3) 所支持的每一种相关应用的算法和算法变量。b) 模拟一次下级CA初始化的过程：产生下级CA密钥，利用根证书产生下级CA的签名证书。c) 产生初始的撤销列表。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.4 CRL产生测评依据见GB/T 1

22、97142005中8.4的内容。开发者应提供文档，针对CRL产生的过程进行说明。测评方法如下。a) 在发布证书之前，在新建立CA中产生空的CRL列表；b) 检测能否操作成功；c) 撤销一张证书，检测CRL是否可以正常更新。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.5 PKI信息请求测评依据见GB/T 197142005中8.5的内容。开发者应提供文档，针对PKI信息请求进行说明。测评方法如下。a) 评价者模拟各种PKI信息请求，检测CA是否能够提供请求者要求的所有请求信息，如果某些信息不能提供，CA是否给请求者返回错误信息；b) 检测文档

23、是否和标准的规定一致。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.6 交叉认证测评依据见GB/T 197142005中8.6的内容。开发者应提供文档，针对交叉认证过程进行说明。测评方法如下。a) 评价者模拟一次交叉认证过程；b) 新建三个独立的CA系统，分别命名为A、B、C；c) 分别使用三个CA系统，签发三个证书，分别命名为：a、b、c；d) 以CA系统A为请求者，CA系统B为响应者，进行交叉认证操作，检测操作过程和消息结构是否符合标准要求；e) 在拥有证书b的终端实体上，使用交叉认证证书验证证书a，应能验证成功；f) 在拥有证书b的终端

24、实体上，验证证书c，验证应不成功。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果系统提供交叉认证功能，以上结果全部正确，则本项满足；如果系统不提供交叉认证功能，则此项不作为最终结果的判断依据。6.1.7 终端实体初始化6.1.7.1 获得PKI信息测评依据见GB/T 197142005中8.7.1的内容。开发者应提供文档，针对终端实体初始化过程中的“获得PKI信息”这一步骤进行说明。测评方法如下。a) 在终端实体初始化之前，检测能否获得以下PKI信息：1) 当前根CA的公钥；2) 撤销列表以及撤销列表的认证路径；3) 所支持的每一种相关应用的算法和算法参数。记录测评结果并对该结果

25、是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.8 证书请求测评依据见GB/T 197142005中8.8的内容。开发者应提供文档，针对证书模板和证书请求进行说明。测评方法如下。a) 检测经过初始化的终端实体是否能够正确请求到证书：1) 对每一种证书模板，选择一个经过初始化的终端实体，提出证书请求；2) 检测这个请求是否使用证书请求消息；3) 检测能否返回所申请的新证书；4) 选择一个已经拥有一对签名密钥（带有相应的验证证书）的终端实体，提出证书请求；5) 检测证书请求消息是否使用此实体的数字签名来保护；6) 检测能否返回所申请的新证书；7) 检查文档是否和标准的规

26、定一致。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.1.9 密钥更新测评依据见GB/T 197142005中8.9的内容。开发者应提供文档，针对密钥更新进行说明。测评方法如下。a) 在终端实体的证书将要过期前，评价者模拟密钥更新的过程；b) 检查文档是否和标准的规定一致。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.2 传输测评依据见GB/T 197142005中第9章的内容。开发者应提供文档，说明在终端实体、RA、CA之间传输PKI消息的传输协议和消息格式。测评方法如下。a) 如果PKI消息通过

27、文件传输，检测PKI消息的格式是否符合标准要求；b) 如果PKI消息通过TCP管理协议传输，检测PKI消息的格式是否符合标准要求；c) 如果PKI消息通过E-mail方式传输，检测PKI消息的格式是否符合标准要求；d) 如果PKI消息通过HTTP方式传输，检测PKI消息的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果系统支持的每种传输方式的消息格式和传输协议均符合标准要求，则本项满足。6.3 必选的PKI管理消息结构6.3.1 初始的注册/认证（基本认证方案）测评依据见GB/T 197142005中B.4的内容。开发者应提供文档，说明初始的注册/认证的消息格

28、式。测评方法如下。a) 通过未初始化的终端实体向CA请求第一个证书，根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.3.2 证书请求测评依据见GB/T 197142005中B.5的内容。开发者应提供文档，说明证书请求的消息格式。测评方法如下。a) 通过已经初始化的终端实体向CA请求证书，根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。6.3.3 密钥更新请求

29、测评依据见GB/T 197142005中B.6的内容。开发者应提供文档，说明密钥更新请求的消息格式。测评方法如下。a) 在密钥即将过期前，通过已经初始化的终端实体向CA请求证书（用于更新密钥对和/或已经拥有的相应证书），根据开发者所提供的文档，检测终端实体和PKI之间的通信消息是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7 组件最小互操作规范测评7.1 组件规范7.1.1 证书认证机构（CA）7.1.1.1 颁发数字签名证书测评依据见GB/T 197712005中5.2.2 a)的内容。开发者应提供文档，针对数字签名证书的颁发进行

30、说明。测评方法如下。a) 对每一种证书模板，通过授权RA产生多个签名数字证书请求，并发送给CA，检测CA能否生成新证书并将其放在资料库中；b) 通过非授权RA产生一个签名数字证书请求，并发送给CA，检测CA能否拒绝该证书申请，能否向RA报告失败并说明原因；c) 通过授权RA产生一个包含不匹配信息的签名数字证书请求，并发送给CA，检测CA能否拒绝该证书申请，能否向RA报告失败并说明原因；d) 对每一种证书模板，产生多个自我注册的证书请求，并发送给CA，检测CA是否验证请求者的身份并验证申请者的相应私钥，如果验证成功，检测CA能否生成新证书并将其放在资料库中；如果验证失败，检测CA能否拒绝该证书申

31、请，能否向申请者报告失败并说明原因；e) 对每一种证书模板，产生多个更新的证书请求，并发送给CA，检测CA是否验证请求者的身份，如果验证成功，检测CA能否生成新证书并将其放在资料库中；如果签名无效或者CA策略不允许更新，检测CA能否拒绝该证书更新请求，并向申请者报告失败并说明原因；f) 以非法的请求者产生一个更新的证书请求，检测CA能否拒绝该证书更新请求，能否向申请者报告失败并说明原因。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.1.2 颁发加密证书测评依据见GB/T 197712005中5.2.2 b)的内容。开发者应提供文档，针对加密证

32、书的颁发进行说明。测评方法如下。a) 由第三方集中产生加密密钥对，并通过带外方式提供给CA；b) 由证书持有者生成一个加密证书请求，说明自己想要的加密算法，并对该请求进行数字签名，将该请求发送给CA；c) 检测CA能否验证请求者身份，并颁发加密证书和加密私钥给请求者。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.1.3 交叉认证测评依据见GB/T 197712005中5.2.2 c)的内容。开发者应提供文档，针对CA间的交叉认证进行说明。测评方法如下。a) 在两个交叉认证的CA之间交换CA的公钥，分别根据对方的公钥生成证书，并将其存放到资料库

33、中；b) 检测双方之间的证书能否交叉认证。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果系统提供交叉认证功能，以上结果全部正确，则本项满足；如果系统不提供交叉认证功能，则此项不作为最终结果的判断依据。7.1.1.4 撤销证书测评依据见GB/T 197712005中5.2.2 d)的内容。开发者应提供文档，针对证书的撤销进行说明。测评方法如下。a) 以多个证书持有者身份请求撤销证书，并将请求发送给CA，检测CA是否验证请求者身份，验证成功后能否将证书放入CRL中；b) 产生新的全量CRL，检测老CRL中的全部信息是否放到新CRL中；c) 产生新的增量CRL，检测新增的撤销证书信息是

34、否放到新CRL中；d) 通过RA向CA发送多个证书撤销请求，检测CA是否验证请求者身份，验证成功后能否将证书放入CRL中。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.1.5 请求CA证书测评依据见GB/T 197712005中5.2.2 f)的内容。开发者应提供文档，针对向上一级CA申请证书进行说明。测评方法如下。a) 通过CA向上一级的CA申请证书，检测能否申请成功。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.2 注册机构（RA）测评依据见GB/T 197712005中5.3的内容。开

35、发者应提供文档，针对RA的操作规范进行说明。测评方法如下。a) 针对每一种证书模板，向RA提交多个CertReq格式的证书请求；b) 检测RA是否审查请求者的身份；c) 检测RA是否确认请求者拥有相应的完整的密钥对；d) 验证通过后，检测RA能否抽取公钥信息并用RA的名字和签名建立一个新的CertReq消息；e) 检测RA能否将新的CertReq消息发送给CA；f) 如果证书请求被接受，检测RA能否接收CA颁发的新证书，并将新证书发送给请求者；g) 如果证书请求被拒绝，检测RA能否审查从CA发来的错误代码并向证书请求者返回证书拒绝的响应消息；h) 向RA提交多个证书撤销请求，检测RA是否验证请

36、求者身份，并产生新的RevReq消息；i) 检测RA能否将新的RevReq消息发送给CA；j) 如果证书撤销请求被接受，检测RA能否接收CA回应的RevReq消息，能否将此信息提交给请求者；k) 如果证书撤销请求被拒绝，检测RA能否审查错误代码，并再次产生撤销请求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.3 证书持有者规范测评依据见GB/T 197712005中5.4的内容。开发者应提供文档，针对证书持有者规范进行说明。测评方法如下。a) 以多个用户身份申请签名证书，检测能否成功申请并且获取证书；b) 以多个用户身份申请加密证书，检测能

37、否成功申请并且获取证书；c) 以多个证书持有者身份，申请撤销签名证书，检测能否成功撤销证书；d) 以多个证书持有者身份，申请更新签名证书，检测能否成功更新证书。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.1.4 客户规范测评依据见GB/T 197712005中5.5的内容。开发者应提供文档，针对客户规范进行说明。测评方法如下。a) 验证客户能否验证签名；b) 验证客户能否从查询服务器检索证书和CRLs；c) 验证客户能否验证证书认证路径。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2 数据格式7

38、.2.1 证书撤销列表测评依据见GB/T 197712005中6.3的内容。开发者应提供文档，针对证书撤销列表的格式进行说明。测评方法如下。a) 由CA颁发证书撤销列表；b) 下载证书撤销列表，检测证书撤销列表的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.2 事务消息格式7.2.2.1 全体PKI消息组件测评依据见GB/T 197712005中6.5.2的内容。开发者应提供文档，针对PKI消息的格式进行说明。测评方法如下。a) 根据开发者提供的文档，检测PKI消息（包括：header、body、protection、e

39、xtraCerts字段）的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.2.2 通用数据结构测评依据见GB/T 197712005中6.5.3的内容。开发者应提供文档，针对证书模板、签名私钥的拥有证明、证书请求消息、协议加密密钥控制、PKI消息状态码、失败信息、确认协议、证书识别、Centrally Generated Keys和带外信息的格式进行说明。测评方法如下。a) 根据开发者提供的文档，检测证书模板的消息格式是否符合标准要求；b) 根据开发者提供的文档，检测签名私钥的拥有证明消息格式是否符合标准要求；c) 根据开

40、发者提供的文档，检测证书请求的消息格式是否符合标准要求；d) 根据开发者提供的文档，检测协议加密密钥控制的消息格式是否符合标准要求；e) 根据开发者提供的文档，检测PKI消息状态码的消息格式是否符合标准要求；f) 根据开发者提供的文档，检测失败信息的消息格式是否符合标准要求；g) 根据开发者提供的文档，检测确认协议的消息格式是否符合标准要求；h) 根据开发者提供的文档，检测证书识别的消息格式是否符合标准要求；i) 根据开发者提供的文档，检测Centrally Generated Keys的消息格式是否符合标准要求；j) 根据开发者提供的文档，检测带外信息的消息格式是否符合标准要求。记录测评结果

41、并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.2.3 特殊操作的数据结构测评依据见GB/T 197712005中6.5.4的内容。开发者应提供文档，针对注册/证书请求、注册/证书响应、撤销请求的内容、撤销响应内容、PKCS#10证书请求的消息格式进行说明。测评方法如下。a) 根据开发者提供的文档，检测注册/证书请求的消息格式是否符合标准要求；b) 根据开发者提供的文档，检测注册/证书响应的拥有证明消息格式是否符合标准要求；c) 根据开发者提供的文档，检测撤销请求的内容的消息格式是否符合标准要求；d) 根据开发者提供的文档，检测撤销响应内容的消息格式是否符

42、合标准要求；e) 根据开发者提供的文档，检测PKCS#10证书请求的消息格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.3 PKI事务7.2.3.1 RA发起的注册请求测评依据见GB/T 197712005中6.6.2的内容。如果产品支持远端RA，则开发者应提供文档，针对RA发起的注册请求进行说明。测评方法如下。a) 根据开发者提供的文档，对每一种证书模板，在RA上向CA请求多个终端实体的证书；b) 检测从RA到CA的证书请求消息的格式是否符合标准要求；c) 检测从CA到RA的证书回应消息的格式是否符合标准要求；d) 检测

43、确认消息的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.3.2 新实体的自我注册请求测评依据见GB/T 197712005中6.6.3的内容。如果CA接受自我注册请求，则开发者应提供文档，针对新实体的自我注册请求进行说明。测评方法如下。a) 根据开发者提供的文档，对每一种证书模板，以多个新实体身份直接向CA申请新的证书；b) 检测从证书持有者到CA的自我注册请求消息的格式是否符合标准要求；c) 检测从CA到证书请求者的自我注册请求回应消息的格式是否符合标准要求；d) 检测确认消息的格式是否符合标准要求。记录测评结果并对该

44、结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.3.3 已知实体的自我注册请求测评依据见GB/T 197712005中6.6.4的内容。如果CA接受自我注册请求，则开发者应提供文档，针对已知实体的自我注册请求进行说明。测评方法如下。a) 根据开发者提供的文档，对每一种证书模板，以多个已知实体身份直接向CA申请新的证书；b) 检测从证书持有者到CA的自我注册请求消息的格式是否符合标准要求；c) 检测从CA到证书请求者的自我注册请求回应消息的格式是否符合标准要求；d) 检测确认消息的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以

45、上结果全部符合，则本项满足。7.2.3.4 证书更新测评依据见GB/T 197712005中6.6.5的内容。如果CA的CPS支持证书更新，则开发者应提供文档，针对证书的更新进行说明。测评方法如下。a) 根据开发者提供的文档，对每一种证书模板，以多个拥有当前有效证书的实体身份直接向CA申请新的证书；b) 检测从证书持有者到CA的证书更新申请消息的格式是否符合标准要求；c) 检测从CA到证书持有者的证书更新响应消息的格式是否符合标准要求；d) 检测确认消息的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合，则本项满足。7.2.3.5 PKCS#10自我注册请求测评依据见GB/T 197712005中6.6.6的内容。如果CA接受自我注册请求，则开发者应提供文档，针对PKCS#10自我注册请求进行说明。测评方法如下。a) 根据开发者提供的文档，对每一种证书模板，以多个新实体身份直接向CA申请新的PKCS10证书；b) 检测从证书持有者到CA的自我注册请求消息的格式是否符合标准要求；c) 检测从CA到证书请求者的PKCS证书请求响应消息的格式是否符合标准要求。记录测评结果并对该结果是否完全符合标准相关要求作出判断。如果以上结果全部符合