1、ICS备 案 号 ： DB北 京 市 地 方 标 准DB11/T .2-2014政 务 数 字 证 书 规 范 第 2 部 分 ： 应 用 接 口Specification of digital certificate for government affair - application programming interface（ 征 求 意 见 稿 ） 2014-发 布 2014-实 施北 京 市 质 量 技 术 监 督 局 发 布 DB11/T .2-2014I目 次目 次 I前 言 I引 言 .II政 务 数 字 证 书 应 用 接 口 规 范 .11 范围 12 规 范 性 引 用
2、 文 件 .13 术 语 和 定 义 、 缩 略 语 .13.1 术 语 和 定 义 .13.2 缩 略 语 .24 政 务 数 字 证 书 应 用 接 口 .24.1 数 字 证 书 应 用 接 口 体 系 结 构 24.2 数 字 证 书 应 用 接 口 组 成 和 功 能 说 明 35 政 务 数 字 证 书 应 用 接 口 函 数 定 义 .45.1 设 备 管 理 接 口 .45.2 访 问 控 制 接 口 .55.3 容 器 管 理 接 口 .65.4 密 码 服 务 接 口 .65.5 证 书 接 口 11附 录 A (规 范 性 附 录 ) 政 务 数 字 证 书 应 用 接
3、口 各 类 密 码 算 法 宏 定 义 和 说 明 1A.1 签 名 算 法 定 义 .1A.2 加 密 算 法 定 义 定 义 .1A.3 摘 要 算 法 .2附 录 B (规 范 性 附 录 ) 政 务 数 字 证 书 应 用 接 口 错 误 代 码 定 义 和 说 明 3附 录 C (资 料 性 附 录 ) 政 务 数 字 证 书 典 型 调 用 示 例 .5C.1 JavaScript 调 用 方 法 5DB11/T .2-2014I前 言DB11/T XXXX-2014 政 务 数 字 证 书 规 范 分 为 二 个 部 分 ： 第 1部 分 ： 格 式 ； 第 2部 分 ： 应 用
4、 接 口 。 本 部 分 为 DB11/T XXXX-2014的 第 2部 分 。 本 部 分 的 附 录 A、 附 录 B和 附 录 C是 规 范 性 附 录 ， 附 录 D和 附 录 E是 资 料 性 附 录 。 本 部 分 由 北 京 市 经 济 和 信 息 化 委 员 会 提 出 并 归 口 。 本部分 主要 起草 单位 ： 北 京数字 证书 认证 中心 、 中 国科学 院研 究生 院信 息安 全国家 重点 实验 室 、 北京 市 国 家 保 密 局 、 北 京 市 密 码 管 理 局 。 本 部 分 主 要 起 草 人 ： 阳 俊 彪 、 姚 世 全 、 陈 淑 仪 、 高 能 、
5、张 秀 娟 、 孙 永 、 荆 继 武 、 李 述 胜 、 李 向 锋。DB11/T .2-2014II引 言信息技 术和 网络 技术 在极 大地促 进了 社会 的经 济、 科 技、 文 化、 教育 和管理 等各 个方面 发展 的同 时， 又带来 了 巨 大的 信息 安全 风险。 随着 北京 市电 子政 务工程 的不 断深 入和 发展 ， 迫切 需要 在开 放的 网 络 环 境下建 立 一 个真 实 、 有 效 的身份 信任 体制 ， 确认 电 子政务 参与 方的 各自 身份 ， 建 立彼 此间 的信 任关 系 以 及 保 证 信 息 的 保 密 性 、 完 整 性 和 可 用 性 。 以 P
6、KI为 核 心 的 网 络 身 份 认 证 体 系 和 信 息 加 密 技 术 已 成 为 业 界 广泛认 同 的 一种 构造 网络 身份信 任体 制的 重要 方式 ， 并成 为 信息 安全 保障 体系 中极其 重要 的组 成部 分之 一 。 数 字 证 书 应 用 接 口 是 PKI技 术 应 用 的 关 键 和 核 心 ， 是 电 子 政 务 应 用 系 统 使 用 和 应 用 PKI技 术 的 桥 梁 。 为了确 保 政 务数 字证 书在 电子政 务信 息的 应用 中能 够通用 ， 实 现信 息系 统互 联互通 ， 统 一数 字证 书 应 用 接 口 规 范 ， 更 好 形 成 统 一
7、的 网 络 信 任 体 系 。 DB11/T .2-201413政务数字证书规范 第 2 部分：应用接口1 范围本部分 规定 了政 务数 字证 书应用 接口 体系 结构 ， 各 个接口 函数 的接 口原 型 、 功能 、 参 数和 返回 值以 及 政 务 数 字 证 书 应 用 接 口 所 需 的 宏 定 义 、 错 误 代 码 和 调 用 示 例 。 本部分 适用 于数 字证 书认 证机构 、 数 字证 书认 证系 统的开 发商 、 电 子政 务应 用部门 以及 基于 数字 证 书 的 安 全 应 用 开 发 商 进 行 信 息 系 统 建 设 。 应 用 于 电 子 商 务 领 域 的 数
8、 字 证 书 应 用 接 口 ， 也 可 参 照 本 部 分 。 本 部 分 不 涉 及 任 何 具 体 的 密 码 运 算 ， 所 有 密 码 运 算 均 在 符 合 国 家 有 关 法 规 的 密 码 设 备 中 进 行 。 本 部 分 凡 涉 及 密 码 相 关 内 容 ， 按 国 家 有 关 法 规 实 施 。 2 规 范 性 引 用 文 件下列文 件中 的条 款通 过本 部分的 引用 而成 为本 部分 的条款 。 凡 是注 日期 的引 用文件 ， 其 随后 所有 的 修改单 （ 不 包括 勘误 的内 容） 或 修订 版均 不适 用于 本部分 ， 然 而， 鼓励 根据 本部分 达成 协
9、议 的各 方 研 究 是 否 可 使 用 这 些 文 件 的 最 新 版 本 。 凡 是 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 适 用 于 本 部 分 。 ISO/IEC 8825-1： 1998， 信 息 技 术 -ASN.1编 码 规 则 ： 基 本 编 码 规 则 （ BER） 的 规 范 ， 正 规 编 码 规 则（ CER） 和 可 区 分 编 码 规 则 （ DER） IETF RFC 5280 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation Lis
10、t (CRL) Profile PKCS1: RSA Cryptography Standard PKCS7: Cryptographic Message Syntax Standard GM/T0012-2012 SM2密 码 算 法 加 密 签 名 消 息 语 法 规 范 GM/T0009-2012 SM2密 码 算 法 使 用 规 范 3 术 语 和 定 义 、 缩 略 语3.1 术 语 和 定 义下 列 术 语 和 定 义 适 用 于 本 部 分 。 3.1.1证 书 认 证 机 构 （ CA） cer t i f i cat i on aut hor i t y ( CA)对 数 字
11、 证 书 进 行 全 生 命 周 期 管 理 的 实 体 。 也 称 为 电 子 认 证 服 务 机 构 。 3.1.2证书验证 cer t i f i cat e vali dat i on按 照 验 证 策 略 确 认 证 书 有 效 性 和 真 实 性 的 过 程 。 3.1.3证 书 撤 销 列 表 （ 黑 名 单 ） cer t i f i cat e r evocat i on li st ( CRL)由 证 书 认 证 机 构 （ CA） 签 发 并 发 布 的 被 撤 销 证 书 的 列 表 。 3.1.4数字证书（证书） di gi t al cer t i f i cat
12、e也 称 公 钥 证 书 ， 由 证 书 认 证 机 构 （ CA） 签 名 的 包 含 公 开 密 钥 拥 有 者 信 息 、 公 开 密 钥 、 签 发 者 信 息 、 有效期 以 及 扩展 信息 的一 种数据 结构 。 按类 别可 分 为个人 证书 、 机构 证书 和 设备证 书 ， 按 用途 可分 为 签DB11/T .2-20148名 证 书 和 加 密 证 书 。3.1.5政务数字证书 gover nment aff ai r di gi t al cer t i f i cat e用 来 标 识 电 子 政 务 参 与 方 真 实 身 份 的 数 字 证 书 。 根 据 参 与
13、方 的 不 同 类 别 分 为 政 务 证 书 认 证 机 构 证 书 、 政 务 个 人 证 书 、 政 务 机 构 证 书 、 政 务 设 备 证 书 、 政 务 代 码 签 名 证 书 。 3.1.6私有密钥（私钥） pr i vat e key非 对 称 密 码 算 法 中 只 能 由 拥 有 者 使 用 的 不 公 开 密 钥 。 3.1.7公开密钥（公钥） publi c key非 对 称 密 码 算 法 中 可 以 公 开 的 密 钥 。 3.1.8公开密钥基础设施（ PKI ） publi c key i nf r ast r uct ur e（ PKI ）基于公 钥密 码技
14、术实 施的 具有普 适性 的基 础设 施 ， 可用于 提供 机密 性 、 完 整 性、 真实 性及 抗抵 赖性等 安 全 服 务 。3.1.9信任 t r ust通 常 ， 当 一 个 实 体 假 设 另 一 个 实 体 完 全 按 照 前 者 的 期 望 行 动 时 ， 则 称 前 者 “信 任 ”后 者 。 这 种 “信 任 ” 可能只 适 用 于某 些特 定功 能。 本 部分 中“ 信 任” 的关 键作用 是描 述鉴 别实 体和 权威机 构之 间的 关系 ； 鉴 别 实 体 应 确 信 它 能 够 “信 任 ”权 威 机 构 仅 创 建 有 效 且 可 靠 的 证 书 。 3.2 缩略语
15、下 列 缩 略 语 适 用 于 本 部 分 ： API 应用 程序 接口 （ Application Programming Interface） ，简 称应 用接 口CA 证 书 认 证 机 构 （ Certification Authority） CN 通 用 名 （ Common Name） CRL 证 书 撤 销 列 表 （ 黑 名 单 ） （ Certificate Revocation List） CSP 加 密 服 务 提 供 者 （ Cryptographic Service Provider） DER 可 区 分 编 码 规 则 （ Distinguished Encodin
16、g Rules） DN 可 辨 别 名 （ Distinguished Name） LDAP 轻 量 级 目 录 访 问 协 议 （ Lightweight Directory Access Protocol） OID 对 象 标 识 符 （ Object Identifier） PKCS 公 钥 密 码 使 用 标 准 (the Public-Key Cryptography Standard) 4 政 务 数 字 证 书 应 用 接 口4.1 数 字 证 书 应 用 接 口 体 系 结 构证 书 数 字 证 书 应 用 接 口 体 系 结 构 ， 如 图 1所 示 ： DB11/T .2-
17、201413政 务 数 字 证 书 应 用身 份 认 证 机密性 完 整 性 不 可 否 认 性 应 用 程 序应 用 层政 务 数 字 证 书 应 用 接 口设 备 管 理 接 口 访 问 控 制 接 口 容 器 访 问 接 口 密 码 服 务 接 口 证 书 接 口设 备 接 口 密 码 设 备密 钥 密钥 . 密钥接 口 层设 备 和 设 备 接 口 层图 1 政 务 数 字 证 书 应 用 接 口 体 系 结 构政务数 字证 书应 用接 口位 于应用 系统 和密 码设 备之 间， 应 用程 序通 过调 用政 务 数字证 书应 用接 口实 现身份 认 证 、 实 现信 息的 保 密性、
18、完整 性和 不可 否认 性 ； 政 务 数字 证书 应用 接口 通 过设备 所提 供的 接口 ， 包 括 ， 在 密 码 设 备 中 实 现 具 体 的 密 码 运 算 和 密 钥 使 用 。 4.2 数 字 证 书 应 用 接 口 组 成 和 功 能 说 明4.2.1 概述数 字 证 书 应 用 接 口 由 以 下 几 个 接 口 部 分 组 成 ： 设 备 管 理 接 口 访 问 控 制 接 口 容 器 管 理 接 口 密 码 服 务 接 口 证 书 接 口 4.2.2 设 备 管 理 接 口设 备 管 理 接 口 负 责 对 所 连 接 的 密 码 设 备 进 行 管 理 、 获 取 密
19、 码 设 备 的 信 息 。 4.2.3 访 问 控 制 接 口访 问 控 制 接 口 负 责 确 认 用 户 是 否 允 许 连 接 使 用 密 码 设 备 ， 包 括 口 令 验 证 和 修 改 口 令 等 接 口 。4.2.4 容 器 管 理 接 口设 备 管 理 接 口 负 责 对 所 连 接 的 密 码 设 备 中 的 容 器 进 行 管 理 。 4.2.5 密 码 接 口密 码 接 口 负 责 具 体 与 密 码 设 备 交 互 实 现 具 体 的 密 码 运 算 ， 并 将 运 算 结 果 返 回 给 应 用 程 序 。 4.2.6 证 书 接 口DB11/T .2-201410
20、证 书 接 口 负 责 数 字 证 书 的 解 析 、 证 书 信 息 的 获 取 、 有 效 性 检 查 等 功 能 。 5 政 务 数 字 证 书 应 用 接 口 函 数 定 义5.1 设 备 管 理 接 口5.1.1 获 取 设 备 数 量接口原型 LONG GetDeviceCount() 功能描述 获取当前存在的可支持的设备数量 参数 无 返回值 设备数量 备注 5.1.2 获 取 所 有 的 设 备 序 列 号接口原型 BSTR GetAllDeviceSN() 功能描述 获取当前存在的可支持的所有设备的序列号，每个设备序列号以分号(;)结尾 参数 无 返回值 所有设备序列号的组合
21、 备注 当 前 存 在 所 有 设 备 序 列 号 ， 例 如 “11111;22222;“ 5.1.3 根 据 索 引 获 取 设 备 序 列 号接 口 原 型 BSTR GetDeviceSNByIndex(LONG iIndex)功 能 描 述 根 据 索 引 获 取 设 备 的 序 列 号参数 iIndex IN 索引 从 0 开 始 ， 不 能 大 于 当 前 存 在 的 设 备 数 量 -1返回值 成 功 返 回 设 备 序 列 号 ， 失 败 返 回 空备注 当 前 存 在 所 有 设 备 序 列 号 ， 例 如 “11111;22222;“5.1.4 判 断 设 备 是 否 存
22、 在接口原型 boolean IsDeviceExist(BSTR sDeviceSN) 功能描述 判断设备是否存在 参数 sDeviceSN IN 设 备 序 列 号 返回值 存在返回 TRUE，不存在返回 FALSE 备注 5.1.5 获 取 设 备 详 细 信 息接口原型 BSTR GetDeviceInfo(BSTR sDeviceSN, LONG iType) 功能描述 获取设备详细信息 参数 sDeviceSN IN 设 备 序 列 号 DB11/T .2-201413iType IN 信 息 类 型 返回值 成功返回设备信息，失败返回空 目前可支持的类型参数如下： 0x00000
23、001 设 备 标 签 0x00000002 设 备 空 余 空 间 0x00000003 设 备 序 列 号 0x00000004 设备类型 返 回 “RSA“或 “SM2“ 0x00000005 获 取 证 书 密 码 重 试 次 数 0x00000007 设备类型 返 回 “HARD“或 “SOFT“ 0x00000008 对 应 动 态 库 的 名 称 0x00000009 CSP 名 称 （ 只 针 对 RSA 类 型 的 设 备 ， 国 密 接 口 的 设 备 返 回 为 空 0x00000073 设备类型 RSA 设 备 返 回 “10“ SM2 设 备 返 回 “20“ 备注
24、0x00000074 设备的 VID_PID （ 16 进 制 数 据 ） 5.2 访 问 控 制 接 口5.2.1 设 备 登 录接口原型 boolean SOF_Login(BSTR CertID, BSTR PassWd) 功能描述 登录 CertID IN 证 书 操 作 唯 一 标 识 ， 也 支 持 只 输 入 设 备 序 列 号 。 参数 PassWd IN 证 书 口 令 。 返回值 正确返回 TRUE 失败返回 FALSE 备注 5.2.2 设 备 登 出接口原型 boolean SOF_Logout (BSTR CertID) 功能描述 登出 登出后再调用密码接口时需要重新
25、登录 参数 CertID IN 证 书 操 作 唯 一 标 识 返回值 正确返回 TRUE 失败返回 FALSE 备注 5.2.3 获 取 口 令 重 试 次 数接口原型 LONG SOF_GetPinRetryCount(BSTR CertID) 功能描述 获取证书口令重试次数 参数 CertID IN 证 书 操 作 唯 一 标 识 返回值 0 表 示 重 试 次 数 ， =0 表 示 证 书 口 令 已 被 锁 死 ， 必 须 解 锁 后 才 能 使 用 DB11/T .2-201412try if (window.ActiveXObject) document.writeln(“);d
26、ocument.writeln(“); XTXAPP.SOF_GetVersion(); else document.writeln(“);XTXAPP = document.getElementById(“XTXAPP0“);XTXAPP.GetVersion();catch(e) alert(“请 检 查 证 书 应 用 环 境 是 否 正 确 安 装 !“);/非 IE 浏 览 器 响 应 设 备 插 拔 执 行 的 接 口function OnUsbKeyChange()alert(“OnUsbKeyChange called!“);function GenRandom()var r = XTXAPP.SOF_GenRandom(24); alert(r); /打 印 随 机 数/IE 浏 览 器 中 响 应 设 备 插 拔 事 件DB11/T .2-20146alert(“OnUsbKeyChange called!“);b
