ICS35.040 CCS L 80 GM 中华人民共和国密码行业标准 GM/T0081-2020 SM9密码算法加密签名消息语法规范 SM9 cryptographic algorithm encryption and signature message syntax specification 2020-12-28发布 2021-07-01实施 国家密码管理局 发布 GM/T 0081-2020 目 次 前言 1范围 .1 2规范性引用文件 1 3术语和定义 1 4缩略语 2 5OID定义2 6基本类型定义 2 6.1 IdentifierRevocationLists 6.2 ContentEncryptionAlgorithmldentifier3 6.3 DigestAlgorithmIdentifier .3 6.4 DigestEncryptionAlgorithmIdentifier.3 6.5 KeyEncryptionAlgorithmIdentifier3 6.6 Version .3 6.7 ContentInfo3 6.8 Identifier3 6.9 Validity 4 6.10 IBCSysParamsPublishInfo 5 6.11 IDAppAttr 5 7数据类型Data 6 8签名数据类型 6 8.1 SignedData类型6 8.2 SignerInfo类型 7 9数字信封数据类型7 9.1 EnvelopedData类型7 9.2 RecipientInfo类型 .8 10签名及数字信封数据类型SignedAndEnvelopedData9 1l加密数据类型EncryptedData .9 12密钥协商类型KeyAgreementInfo 10 附录A(规范性)IRL标识吊销列表结构 .11 参考文献 14 GM/T0081—2020 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别专利的责任. 本文件由密码行业标准化技术委员会提出并归口. 本文件起草单位：上海信息安全工程技术研究中心、北京国脉信安科技有限公司、西安工业大学、 深圳奥联信息安全技术有限公司、中国科学院自动化研究所苏州研究院. 本文件主要起草人：袁峰、王晓春、容晓峰、杜志强、蔡先勇、药乐、张立圆、封维端、蒋楠、汪雪林. GM/T0081—2020 SM9密码算法加密签名消息语法规范 1范围 本文件定义了使用SM9密码算法的加密签名消息语法. 本文件适用于使用SM9算法进行加密和签名操作时对操作结果的标准化封装. 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括的修改单）适用于 本文件. GB/T33560信息安全技术密码应用标识规范 GB/T38635(部分)信息安全技术SM9标识密码算法 GM/T0080SM9密码算法使用规范 GM/Z4001-2013密码术语 3术语和定义 GB/T38635(部分)和GM/Z4001一2013界定的以及下列术语适用于本文件. 3.1 算法标识algorithm identifier 用于标明算法机制的数字化信息. 3.2 SM9密码算法SM9 algorithm 一种国家商用双线性对椭圆曲线公钥密码算法. 3.3 签名主密钥signature master key 密钥管理基础设施的根签名密钥对，包括签名主私钥和签名主公钥，用于进行数字签名、验签和为 用户生成用户签名密钥. 3.4 加密主密钥encryption master key 密钥管理基础设施的根加密密钥对，包括加密主私钥和加密主公钥，用于进行数字加密、解密和为 用户生成用户加密密钥. 3.5 用户签名密钥signature key 其中私钥由密钥管理基础设施产生并下发给用户.该类密钥包括用户签名私钥和签名公钥，用于 数字签名和验签. 3.6 用户加密密钥eneryption key 其中私钥由密钥管理基础设施产生并下发给用户.该类密钥包括用户加密私钥和加密公钥，...

ICS35.040 CCS L80 GM 中华人民共和国密码行业标准 GM/T0080-2020 SM9密码算法使用规范 SM9 cryptographic algorithm application specification 2020-12-28发布 2021-07-01实施 国家密码管理局 发布 GM/T 0080—2020 目 次 前言 引言 Ⅱ 1范围 1 2规范性引用文件 1 3术语和定义 1 4缩略语 2 5SM9的密钥对 2 5.1生成元 2 5.2SM9主私钥2 5.3SM9主公钥 2 5.4SM9用户私钥 3 5.5SM9用户公钥 .3 6数据格式 3 6.1密钥数据结构 .3 6.2签名数据结构 6.3加密数据结构 4 6.4密钥封装数据格式 4 7预处理 4 7.1预处理杂凑函数H 4 7.2预处理杂凑函数H2 7.3 预处理对运算e5 7.4预处理用户验签Q .5 7.5预处理用户加密QE 6 8计算过程 6 8.1生成密钥 6 8.2数字签名 ...7 8.3签名验证7 8.4密钥封装 .8 8.5密钥解封 8 8.6加密 8 8.7解密 8 8.8密钥协商 .9 GM/T 0080—2020 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别专利的责任. 本文件由密码行业标准化技术委员会提出并归口. 本文件起草单位：上海信息安全工程技术研究中心、北京国脉信安科技有限公司、深圳奥联信息安 全技术有限公司、无锡华正天网信息安全系统有限公司. 本文件主要起草人：袁峰、王晓春、封维端、张立圆、王学进、药乐、蒋楠、程朝辉、蔡先勇、王一曲. GM/T 0080—2020 引言 本文件是IBC(Identity-Based Cryptography)基于标识的密码技术系列标准之一，及依托于 GB/T38635.2《信息安全技术SM9标识密码算法第2部分：算法》. 本文件的目标是保证SM9密码算法使用的正确性，为SM9密码算法的使用制定统一的数据格式 和使用方法. 本文件从算法应用的角度给出SM9密码算法的使用说明. GM/T0080—2020 SM9密码算法使用规范 1范围 本文件定义了SM9密码算法的使用方法，以及密钥、加密与签名等的数据格式. 本文件适用于SM9密码算法的使用，以及支持SM9密码算法的设备和系统的研发和检测. 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括的修改单）适用于 本文件. GB/T32905信息安全技术SM3密码杂凑算法 GB/T32907信息安全技术SM4分组密码算法 GB/T32918(部分)信息安全技术SM2椭圆曲线公钥密码算法 GB/T38635.1一2020信息安全技术SM9标识密码算法第1部分：总则 GB/T38635.2一2020信息安全技术SM9标识密码算法第2部分：算法 3术语和定义 下列术语和定义适用于本文件. 3.1 算法标识algorithm identifier 用于标明算法机制的数字化信息. 3.2 SM9密码算法SM9 algorithm 一种采用双线性对的椭圆曲线公钥密码算法. 3.3 签名主密钥signature master key 密钥管理基础设施的根签名密钥对，包括签名主私钥和签名主公钥，用于进行数字签名、验签和为 用户生成用户签名密钥. 3.4 加密主密钥encryption master key 密钥管理基础设施的根加密密钥对，包括加密主私钥和加密主公钥，用于进行数字加密、解密和为 用户生成用户加密密钥. 3.5 用户签名密钥signature key 其中私钥由密钥管理基础设施产生并下发给用户.该类密钥包括用户签名私钥和签名公钥，用于 数字签名和验签. 1 ...

ICS35.040 CCS L80 GM 中华人民共和国密码行业标准 GM/T0079—2020 可信计算平台直接匿名证明规范 Direct anonymous attestation specification for trusted puting platform 2020-12-28发布 2021-07-01实施 国家密码管理局 发布 GM/T 0079—2020 目 次 前言 工 1范围 1 2规范性引用文件1 3术语和定义 .1 4符号与缩略语 2 5密码算法3 6直接匿名证明功能 .3 7直接匿名证明接口 6 附录A(规范性)直接匿名证明接口数据结构 .17 附录B(资料性)直接匿名证明椭圆曲线参数与辅助函数22 参考文献 .23 GM/T00792020 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别专利的责任. 本文件由密码行业标准化技术委员会提出并归口. 本文件起草单位：中国科学院软件研究所、国民技术股份有限公司、清华同方股份有限公司、北京华 电卓识信息安全测评技术中心有限公司、兴唐通信科技有限公司. 本文件主要起草人：冯登国、秦宇、初晓博、张振峰、冯伟、赵世军、陈小峰、奚瓅、杨糠、汪丹、刘鑫、 郑必可、刘峰、张倩颖、常德显、刘韧、吴秋新、邵健雄、王微谨、杨波、张英骏. GM/T00792020 可信计算平台直接匿名证明规范 1范围 本文件规定了可信计算平台的直接匿名证明协议的功能、接口和数据结构. 本文件适用于可信计算平台直接匿名证明协议应用、匿名证明服务和匿名证明系统研发. 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括的修改单）适用于 本文件. GB/T32918一2016（部分）信息安全技术SM2椭圆曲线公钥密码算法 GM/T0012可信密码模块接口规范 GM/Z4001密码术语 3术语和定义 GM/Z4001界定的以及下列术语适用于本文件. 3.1 可信密码模块trusted cryptography module;TCM 构建可信计算平台的基础硬件模块，为可信计算平台提供密码运算功能，具有受保护的存储空间. 3.2 签署密钥endorsement key;EK 可信密码模块内部用于标识自身身份的密钥对，其用途只能用于加解密.根据上下文的不同情境， 这个术语可能代表一个密钥对、密钥对中的公钥或者代表密钥对中的私钥. 3.3 TCM服务模块TCM service module 可信密码模块向应用程序提供服务的软件中间件. 3.4 直接匿名证明direct anonymous attestation:;DAA 可信计算平台所使用的匿名身份鉴别方案. 3.5 基于椭圆曲线的直接匿名证明elliptic curve-based direct anonymous attestation 基于椭圆曲线密码学方案的直接匿名证明方案. 3.6 证明方prover 直接匿名证明中的证明方，一般包含主机和可信密码模块两个部分. 3.7 主机host 直接匿名证明中证明方拥有的内嵌可信密码模块的安全主机. ...

ICS35.040 CCS L80 GM 中华人民共和国密码行业标准 GM/T0078-2020 密码随机数生成模块设计指南 The design guidelines for cryptographic random number generation module 2020-12-28发布 2021-07-01实施 国家密码管理局 发布 GM/T0078—2020 目 次 前言 工 1范围 1 2规范性引用文件 1 3术语和定义 .1 4缩略语 1 5随机数生成模块一般模型2 6物理随机源电路的设计原理 2 6.1混沌动力系统原理2 6.2相位抖动原理3 6.3热噪声直接放大原理 4 6.4多路物理随机源合成 6 7物理随机源的失效检测6 8物理随机源的随机性检测6 9后处理算法的设计方法 .6 9.1后处理算法设计要求 6 9.2密码函数方法 6 9.3轻量级后处理方法 7 附录A(资料性)物理随机源电路示例 .9 GM/T00782020 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别专利的责任. 本文件由密码行业标准化技术委员会提出并归口. 本文件起草单位：北京宏思电子技术有限责任公司、国家密码管理局商用密码检测中心、中国科学 院软件研究所、中国科学院信息工程研究所、国民技术股份有限公司、北京中电华大电子设计有限责任 公司、北京智芯微电子科技有限公司. 本文件主要起草人：张文婧、罗鹏、郁群慧、范丽敏、马原、杨贤伟、李丹、甘杰、夏鲁宁. GM/T00782020 密码随机数生成模块设计指南 1范围 本文件规定了密码硬件随机数生成模块的设计要求. 本文件适用于随机数生成模块的研制、开发和检测的指导. 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括的修改单）适用于 本文件. GM/T0005随机性检测规范 GM/T0008安全芯片密码检测准则 3术语和定义 GM/T0005和GM/T0008界定的以及下列术语和定义适用于本文件. 3.1 随机数生成模块random number generation module 利用真实世界的自然随机性，从随机的物理过程中提取出随机量，并经过变换处理，输出随机数的 电路. 3.2 热噪声thermal noise 亦称白噪声，是由导体中电子的热震动引起的，它存在于电子器件和传输介质中.它是温度变 化的结果，但不受频率变化的影响.热噪声在频谱中以相同的形态分布，它是不能够消除的. 3.3 混沌理论chaos theory 一种复杂的系统演化理论，主要将系统数据从有序的状态下转变成无序的状态模式.混沌是确定 性系统随机行为的总称，它的根源在于非线性的相互作用.混沌系统有如下几个基本特征：内在随机 性、初值敏感性和非规则的有序. 3.4 相位抖动phase jetter 电路中的噪声会随机改变周期信号的频率，它在信号的相位上表现为一种特殊的随机过程，这种随 机现象就是相位抖动. 4缩略语 下列缩略语适用于本文件. CBC:密码分组链接(Cipher Block Chaining) 1 ...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0077-2019 银行核心信息系统密码应用技术要求 Cryptography technical requirements for core banking systems 2019-07-13发布 2019-07-12实施 国家密码管理局 发布 GM/T0077—2019 目 次 前言 Ⅲ 引言 N 1范围 2规范引用文件 1 3术语和定义 1 4缩略语 4 5银行核心系统模型 .4 6密码应用基本要求和密码应用功能要求 4 7银行核心信息系统密码技术安全保护三级要求4 7.1基本要求 .4 7.2密码技术安全要求4 7.2.1物理和环境安全 4 7.2.2网络和通信安全 5 7.2.3设备和计算安全7 7.2.4应用和数据安全 8 7.2.5密码配用策略要求 8 7.3密钥安全与管理要求 9 7.3.1总则 9 7.3.2密钥安全 9 7.3.3密钥管理 10 7.4安全管理要求13 7.4.1概述 13 7.4.2安全管理制度 13 7.4.3人员管理要求 14 7.4.4密码设备管理 14 7.4.5使用密码的业务终端要求 14 8银行核心信息系统密码技术安全保护四级要求15 8.1基本要求 .15 8.2密码技术安全要求 15 8.2.1物理和环境安全 15 8.2.2网络安全和通信安全16 8.2.3设备和计算安全 .17 8.2.4应用和数据安全 18 8.2.5密码配用策略要求19 8.3密钥安全与管理要求 .20 I GM/T 0077-2019 8.3.1总则 20 8.3.2密钥安全 20 8.3.3密钥管理 22 8.4安全管理要求 25 8.4.1概述 25 8.4.2安全管理制度25 8.4.3人员管理要求 25 8.4.4密码设备管理 .26 8.4.5使用密码的业务终端要求 26 附录A(规范性附录)安全要求对照表27 参考文献 29 Ⅱ GM/T0077—2019 前言 本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一.与本标准相关 的系列标准包括： —GM/T0073一2019《手机银行信息系统密码应用技术要求》 ——GM/T0075一2019《银行信贷信息系统密码应用技术要求》 —GM/T0076一2019《银行卡信息系统密码应用技术要求》 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：国家密码管理局商用密码检测中心、中金金融认证中心有限公司、中国银行股份 有限公司、中国民生银行股份有限公司. 本标准主要起草人：邓开勇、谢宗晓、张大建、马瑶瑶、介磊、郭晶莹、张众、杨辰. GM/T 0077-2019 引言 本标准与GM/T0054一2018《信息系统密码应用基本要求》、GM/T0073一2019《手机银行信息系 统密码应用技术要求》、GM/T0076一2019《银行卡信息系统密码应用技术要求》、GM/T0075一2019 《银行信贷信息系统密码应用技术要求》共同构成了信息系统安全等级保护密码技术要求的相关配套标 准.其中GM/T0054一2018《信息系统密码应用基本要求》是基础性标准，本标准、GM/T0073一2019 《手机银行信息系统密码应用技术要求》、GM/T0076一2019《银行卡信息系统密码应用技术要求》及 GM/T0075一2019《银行信贷信息系统密码应用技术要求》是在GM/T0054一2018基础上的进一步 细化和扩展. 本标准在GM/T0054一2018《信息系统密码应用基本要求》、GB/T2223...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0076-2019 银行卡信息系统密码应用技术要求 Cryptography technical requirements for banking card information systems 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T0076—2019 目 次 前言 Ⅲ 引言 N 1范围 1 2规范引用文件 .1 3术语和定义 .1 4缩略语 ..2 5银行卡信息系统模型 .3 6密码应用基本要求和密码应用功能要求 3 7银行卡信息系统密码技术安全保护二级要求3 7.1基本要求 3 7.2密码技术安全要求 .4 7.2.1物理和环境安全 .4 7.2.2网络和通信安全 4 7.2.3设备和计算安全5 7.2.4应用和数据安全 6 7.2.5密码配用策略要求 7 7.3密钥安全与管理要求9 7.3.1总则 .9 7.3.2密钥安全 .9 7.3.3密钥管理 10 7.4安全管理要求 12 7.4.1概述 .12 7.4.2安全管理制度 12 7.4.3人员管理要求12 7.4.4密码设备管理 13 7.4.5使用密码的业务终端要求 .13 8银行卡信息系统密码技术安全保护三级要求13 8.1基本要求 .13 8.2密码技术安全要求13 8.2.1物理和环境安全 .13 8.2.2网络和通信安全14 8.2.3设备和计算安全15 8.2.4应用和数据安全 17 I GM/T0076—2019 8.2.5密码配用策略要求 18 8.3密钥安全与管理要求 19 8.3.1总则 19 8.3.2密钥安全 20 8.3.3密钥管理 21 8.4安全管理要求23 8.4.1概述 23 8.4.2安全管理制度 23 8.4.3人员管理要求 ..24 8.4.4密码设备管理24 8.4.5使用密码的业务终端要求 .24 9银行卡信息系统密码技术安全保护四级要求 25 9.1基本要求 25 9.2密码技术安全要求25 9.2.1物理和环境安全 25 9.2.2网络和通信安全 26 9.2.3设备和计算安全27 9.2.4应用和数据安全29 9.2.5密码配用策略要求 .30 9.3密钥安全与管理要求 32 9.3.1总则 32 9.3.2密钥安全 .32 9.3.3密钥管理 33 9.4安全管理要求37 9.4.1概述 37 9.4.2安全管理制度37 9.4.3人员管理要求 .37 9.4.4密码设备管理38 9.4.5使用密码的业务终端要求38 附录A(规范性附录)安全要求对照表 39 参考文献 41 Ⅱ GM/T0076—2019 前言 本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一.与本标准相关 的系列标准包括： —GM/T0073一2019《手机银行信息系统密码应用技术要求》 ——GM/T0075一2019《银行信贷信息系统密码应用技术要求》 —GM/T0077一2019《银行核心信息系统密码应用技术要求》 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：国家密码管理局商用密码检测中心、中金金融认证中心有限公司、中国银行股份 有限公司、中国民生银行股份有...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0075-2019 银行信贷信息系统密码应用技术要求 Cryptography technical requirements for credit banking information systems 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T0075—2019 目 次 前言 Ⅲ 引言 N 1范围 2规范性引用文件 3术语和定义1 4缩略语3 5银行信贷信息系统模型 .3 6密码应用基本要求和密码应用功能要求 .3 7银行信贷信息系统密码技术安全保护二级要求3 7.1基本要求 3 7.2密码技术安全要求4 7.2.1物理和环境安全 4 7.2.2网络和通信安全 4 7.2.3设备和计算安全5 7.2.4应用和数据安全 6 7.2.5密码配用策略要求 7 7.3密钥安全与管理要求 7 7.3.1总则 7.3.2密钥安全 7 7.3.3密钥管理 8 7.4安全管理要求10 7.4.1概述 10 7.4.2安全管理制度 10 7.4.3人员管理要求 .11 7.4.4密码设备管理 11 7.4.5使用密码的业务终端要求 11 8银行信贷信息系统密码技术安全保护三级要求 12 8.1基本要求 .12 8.2密码技术安全要求 .12 8.2.1物理和环境安全 12 8.2.2 网络和通信安全 12 8.2.3 设备和计算安全 14 8.2.4应用和数据安全 .15 8.2.5密码配用策略要求 16 8.3密钥安全与管理要求17 8.3.1总则 17 I GM/T 0075—2019 8.3.2 密钥安全 17 8.3.3密钥管理 .18 8.4安全管理要求 20 8.4.1概述 20 8.4.2安全管理制度 21 8.4.3人员管理要求 21 8.4.4密码设备的安全管理 21 附录A(规范性附录)安全要求对照表 23 参考文献 25 Ⅱ GM/T0075—2019 前言 本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一.与本标准相关 的系列标准包括： —GM/T0073一2019《手机银行信息系统密码应用技术要求》 ——GM/T0076一2019《银行卡信息系统密码应用技术要求》 —GM/T0077一2019《银行核心信息系统密码应用技术要求》 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：国家密码管理局商用密码检测中心、中金金融认证中心有限公司、中国银行股份 有限公司、中国民生银行股份有限公司. 本标准主要起草人：邓开勇、谢宗晓、张大健、马瑶瑶、介磊、郭晶莹、张众、杨辰. ...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0074-2019 网上银行密码应用技术要求 Technical requirements on cryptographic application for internet banking 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0074—2019 目 次 前言 引言 1范围 2规范性引用文件 1 3术语和定义 2 4缩略语2 5概述 2 6网上银行业务密码应用需求3 6.1查询业务 3 6.2资金变动业务 3 6.3签约业务 3 6.4其他业务 4 7网上银行密码应用技术要求 4 7.1密码功能要求 4 4 7.1.1身份鉴别 .4 7.1.2数据机密性要求 4 7.1.3数据完整性要求 4 7.1.4抗抵赖性要求 5 7.1.5核验审计要求 5 7.2密钥管理要求 .5 7.2.1概述 .5 7.2.2密钥生成 5 7.2.3密钥存储 5 7.2.4密钥使用 7.2.5密钥备份和恢复 5 7.2.6密钥撤销与存档 6 7.3证书管理要求 .6 7.3.1概述 6 7.3.2证书生命周期管理 6 7.4通道安全要求 6 7.5密码设备要求 6 7.5.1密码功能要求 6 7.5.2接口要求 7 7.5.3安全要求 .7 7.6数字签名要求 8 附录A(资料性附录)等级保护第三级网上银行系统建设示例9 GM/T 0074—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：天地融科技股份有限公司、国民技术股份有限公司、北京信安世纪科技股份有限 公司、北京数字认证股份有限公司、中钞研究院、银行卡检测中心、成都卫士通信息产业股份有限公司、 北京华大智宝电子系统有限公司. 本标准起草人：李明、牟宁波、杨贤伟、李美祥、汪宗斌、林雪焰、李向锋、平庆瑞、汪小八、张文科、 张立廷、陈跃、何智、史晓峰. GM/T 0074—2019 引言 网上银行是指银行通过互联网向客户提供金融服务的业务.作为对银行传统渠道的一种补充，网 上银行的开展可以极大地降低银行的经营成本，增加业务交易量并获得收益，同时也可以为客户提供更 便捷和创新的银行服务.对用户而言，网上银行没有时间和空间的限制，节省用户的使用成本，满足多 种形式的需求，具有良好的发展趋势.然而，由于互联网的开放性和固有缺陷，与传统服务渠道相比，网 上银行存在更大的安全隐患和安全威胁. 密码技术作为信息安全核心防护手段，已广泛应用于网上银行的安全建设中.因此，从技术层面对 网上银行系统中密码技术的设计、实现与使用进行要求，具有重大的现实意义. 本标准根据国内网上银行业务特点及密码应用功能需求，制定网上银行业务密码应用技术要求，以 促进国内网上银行密码应用的技术规范化与健康发展. GM/T00742019 网上银行密码应用技术要求 1范围 本标准规定了密码技术在网上银行业务中应用的相关要求，包括密码算法、密钥管理、证书管理、安 全通道、密码设备及数字签名六个方面. 本标准适用于指导网上银行业务中密码技术相关安全功能的设计、实现和使用，对于网上银行系统 中密码子系统的测试、管理可参照使用. 手机银行等系统中相关部分内容也可以参照本标准. 2规范性引用文件 下列文件对于本文件的应用是必不可少的，凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T15843(部分)信息技术安全技术实体鉴别 GB/T19713信息安全技术公钥基础设施在线证书状态协议 GB/T20518信息安全技术公钥基础设施数字证书格式 GB/T28447信息安全技术电子认证服务机构运营管理规范 GB/T32905信息安全技术SM3密码杂凑算法 GB/T32907信息安全技术SM4分组密码算法 GB/T32915信息安全技术二元序列随机性检测方法 GB/T32918(部分)信息安全技术SM2椭圆曲线公钥密码算法 GB/T35275信息安全技术SM2密码算法加密签名...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0073-2019 手机银行信息系统密码应用技术要求 Cryptography technical requirements for mobile banking information systems 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T0073—2019 目 次 前言 Ⅲ 引言 N 1范围1 2规范性引用文件 1 3术语和定义1 4缩略语2 5手机银行信息系统模型 .2 6密码应用基本要求和密码应用功能要求 3 7手机银行信息系统密码技术安全保护二级要求3 7.1基本技术要求 3 7.2密码技术安全要求3 7.2.1物理和环境安全 3 7.2.2网络和通信安全 4 7.2.3设备和计算安全4 7.2.4应用和数据安全 7.2.5密码配用策略要求 6 7.3密钥安全与管理要求 7 7.3.1总则 7 7.3.2密钥安全 7 7.3.3密钥管理 8 7.4安全管理要求10 7.4.1概述 10 7.4.2安全管理制度 10 7.4.3人员管理要求 .10 7.4.4密码设备管理 10 7.4.5使用密码的业务终端要求 11 8手机银行信息系统密码技术安全保护三级要求 11 8.1基本要求 11 8.2密码技术安全要求 .11 8.2.1物理和环境安全 11 8.2.2网络和通信安全 12 8.2.3设备和计算安全 13 8.2.4应用和数据安全 .14 8.2.5密码配用策略要求 .15 8.3密钥安全与管理要求15 8.3.1总则 .15 I GM/T 0073—2019 8.3.2密钥安全 15 8.3.3密钥管理 .16 8.4安全管理要求 .19 8.4.1概述 19 8.4.2安全管理制度 19 8.4.3人员管理要求 19 8.4.4密码设备管理 20 8.4.5使用密码的业务终端要求 20 附录A(规范性附录)安全要求对照表 .21 参考文献 22 Ⅱ GM/T0073—2019 前言 本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一.与本标准相关 的系列标准包括： —GM/T0075一2019《银行信贷信息系统密码应用技术要求》 ——GM/T0076一2019《银行卡信息系统密码应用技术要求》 —GM/T0077一2019《银行核心信息系统密码应用技术要求》 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：国家密码管理局商用密码检测中心、中金金融认证中心有限公司、中国银行股份 有限公司、中国民生银行股份有限公司. 本标准主要起草人：邓开勇、谢宗晓、张大健、马瑶瑶、介磊、郭晶莹、张众、杨辰. GM/T 0073—2019 引言 本标准与GM/T0054一2018《信息系统密码应用基本要求》、GM/T0077一2019《银行核心信息系 统密码应用技术要求》、GM/T0076一2019《银行卡信息系统密码应用技术要求》、GM/T0075一2019 《银行信贷信息系统密码应用技术要求》共同构成了信息系统安全等级保护密码技术要求的相关配套标 准.其中GM/T0054一2018《信息系统密码应用基本要求》是基础性标准，本标准、GM/T0077一 2019、GM/T0076—2019及GM/T0075—2019是在GM/T0054—2018基础上的进一步细化和扩展. 本标准在GM/T0054一2018《信息系统密码应用基本要求》、GB/T22239一2008《信息安全技术 信息系统安全等级保护基本要求》、JR/T007一2012《金融行业信息系统信息安全等级保护实施指引》 等技术类标准的基础上，根据现有技术的发展水平，提出和规定了不同安全保护等级的手机银行...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0072-2019 远程移动支付密码应用技术要求 Technical requirements for the applying of cryptography in remote mobile payment 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0072—2019 目 次 前言 Ⅲ 引言 N 1范围 1 2规范性引用文件 1 3术语和定义 1 4缩略语 2 5远程移动支付密码应用模式 3 6密码应用安全需求 3 6.1概述 3 6.2数据的机密性 .4 6.3数据的完整性 4 6.4身份鉴别 4 6.5抗抵赖性 4 7密码安全技术要求 4 7.1概述 4 7.2密码算法使用要求 ....4 7.3终端侧安全要求 .4 7.3.1密码模块安全要求 4 7.3.2密钥管理安全要求 4 7.3.3密码应用安全要求 5 7.4平台侧安全要求 6 7.4.1密码设备安全要求 6 7.4.2密钥管理安全要求 6 7.4.3密码应用安全要求 .8 7.4.4管理安全要求 8 7.5通信安全要求 ...9 GM/T00722019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：北京创原天地科技有限公司、北京三未信安科技发展有限公司、中金金融认证中 心有限公司、武汉天喻信息产业股份有限公司、神州融安科技（北京）有限公司、大唐微电子技术有限公 司、飞天诚信科技股份有限公司、恒宝股份有限公司、北京支付通电子设备有限公司、成都三零瑞通移动 通信有限公司、上海动联信息技术股份有限公司、杭州信雅达科技有限公司. 本标准主要起草人：方恒禄、肖青海、高志权、李达、朱丹、岳云龙、陶涛、朱鹏飞、赵李明、王彦峰、 徐青、裴婷、蒋晓旭、董学飞. GM/T 0072—2019 引言 随着移动互联网应用和移动智能终端的飞速发展，移动支付业务以其方便快捷的服务越来越得到 人们的关注.目前，金融行业内已有中国人民银行主导制定的一系列移动支付相关标准，但是缺少对移 动支付中密码应用的具体要求.本标准作为补充，提出对远程移动支付中密码应用的技术要求.移动 支付主要分为远程支付和近场支付.在远程支付中，用户可以在任何时间、任何地点使用移动智能终端 发起支付，但是由于交易金额较大，系统对安全性要求较高，安全间题越来越成为人们关注的焦点，并成 为影响远程移动支付发展的重要因素之一. 考虑到远程移动支付涉及面广、业务种类繁多以及各商业银行和非金融支付机构的业务系统现状， 本标准仅对目前支付业务中比较成熟的基于密码模块的安全密码服务进行规范，从密码应用的角度，对 由移动智能终端发起并通过密码模块提供密码服务的远程支付方式做了相应的密码应用技术要求. N GM/T00722019 远程移动支付密码应用技术要求 1范围 本标准描述了基于密码模块的远程移动支付密码应用架构，规定了远程移动支付的密码安全要素 以及密码应用的技术要求. 本标准适用于对基于密码模块的远程移动支付中密码应用需要考虑的密码安全要素以及遵循的技 术要求提供指导. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T32905信息安全技术SM3密码杂凑算法 GB/T32907信息安全技术SM4分组密码算法 GB/T32915信息安全技术二元序列随机性检测方法 GB/T32918(部分)信息安全技术SM2椭圆曲线公钥密码算法 GB/T35275信息安全技术SM2密码算法加密签名消息语法规范 GB/T35276信息安全技术SM2密码算法使用规范 GB/T37092信息安全技术密码模块安全要求 GM/T0008安全芯片密码检测准则 GM/T0015基于SM2密码算法的数字证书格式规范 JR/T0095一2012中国金融移动支付应用安全规范 3术语和定义 下列术语和定义适用于本文件. 3.1 移动终端mobile device 具有移动通信能力的终端设备，包括手机、平板电脑等. 3.2 密码模块cryptographic module 实现密码运算功能的、相对独立的软件、硬件、固件或其组合. ...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0071-2019 电子文件密码应用指南 Guidance of cryptographic application for electronic records 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0071-2019 目 次 前言 Ⅲ 1范围 1 2规范性引用文件 1 3术语和定义 .1 4缩略语 .2 5概述 2 5.1密码应用技术框架 2 5.2安全目标 .3 5.3应用系统 3 5.4用户 .3 5.5电子文件 3 5.6密码算法与密码服务 3 6电子文件的密码操作方法 .4 6.1总体要求 4 6.2机密性 .4 6.3完整性 5 6.4真实性 6 6.5不可否认性 6 7应用系统的密码应用方法 .7 7.1总体要求 7 7.2身份鉴别 7 7.3权限控制 ..7 7.4存储安全 .7 7.5交换安全 .7 7.6审计跟踪 9 8电子文件密码应用参考 ..9 附录A(资料性附录)文书类电子文件形成办理系统密码应用示例10 GM/T0071—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：中安网脉（北京）技术股份有限公司、北京海泰方圆科技有限公司、北京书生电子 技术有限公司、国家信息安全工程中心、北京电子科技学院、中国软件与技术服务有限公司. 本标准主要起草人：童新海、吴科科、冯雁、刘歆、谢四江、王佳宁、徐惠清、王天顺、王珏、郑志梅、 蒋红宇、李强、吴迪、袁峰. GM/T0071—2019 电子文件密码应用指南 1范围 本标准提出了电子文件的密码应用技术框架和安全目标，描述了对电子文件进行密码操作的方法 和电子文件应用系统使用密码技术的方法. 本标准适用于电子文件应用系统的开发和使用. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T20518信息安全技术公钥基础设施数字证书格式 GB/T25069一2010信息安全技术术语 GB/T31913一2015文书类电子文件形成办理系统通用功能要求 GB/T32905信息安全技术SM3密码杂凑算法 GB/T32907信息安全技术SM4分组密码算法 GB/T32918(部分)信息安全技术SM2椭圆曲线公钥密码算法 GB/T35275信息安全技术SM2密码算法加密签名消息语法规范 GM/T0019通用密码服务接口规范 GM/T0031安全电子签章密码应用技术规范 GM/T0033时间戳接口规范 GM/T0054信息系统密码应用基本要求 GM/T0055一2018电子文件密码应用技术规范 3术语和定义 GB/T31913一2015、GB/T25069—2010、GM/T0055一2018界定的以及下列术语和定义适用于 本文件.为了便于使用，以下重复列出了GB/T31913一2015、GM/T0055一2018中的某些术语和 定义. 3.1 电子文件electronic records 在数字设备及环境中形成，以数码形式存储于磁带、磁盘、光盘、智能密码钥匙等载体，依赖计算机 等数字设备阅读、处理，并可在通信网络上传送的文字、图表、音频、视频等不同形式的文件，由文件内容 和与文件属性组成. 注：改写GB/T31913一2015，定义3.1. 3.2 文书类电子文件administrative electronic records 反映党务、政务、生产经营管理等各项管理活动的电子文件. 1 GM/T0071-2019 3.3 标签label 和电子文件绑定的一段数字实体，用于标识文件的属性和状态，定义文件的操作对象、操作行为及 访问权限，记录文件处理环节中操作者的操作行为，确保文件在创建、修改、授权、阅读、签批、盖章、打 印、添加水印、流转、存档和销毁等操作中始终处于安全可控的状态，为应用系统提供追溯和审计的 依据. [GM/T0055—2018 定义3.1] 3.4 应用系统application system 以电子文件为处理对象，对电子文件进行创建、修改、授权、阅读、签批、盖章、打印、添加水印、流转、 存档和销毁等操作的系统. 3.5 数字信封digital envelope 一种数据结构，包含用...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0070-2019 电子保单密码应用技术要求 Technical requirement for applications of cryptography in electronic insurance policy 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T0070—2019 目 次 前言 l 1范围 1 2规范性引用文件 1 3术语和定义 1 4缩略语 2 5电子保单业务的安全需求2 5.1电子保单的业务流程 5.2安全需求 3 6电子保单密码应用技术框架 3 7电子保单管理过程中的密码应用要求5 7.1电子保单的投保 5 7.2电子保单的签发 5 7.3电子保单的存储5 7.4电子保单的递送 6 7.5电子保单的验证 6 7.6电子保单的失效 8电子保单密码技术要求6 8.1密码算法要求 6 8.2密码设备要求 .7 8.3密钥管理要求7 8.4证书管理要求 7 了电子保单数字书要 8.6电子保单数据格式要求 GM/T0070—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准主要起草单位：北京数字认证股份有限公司、数安时代科技股份有限公司、中金金融认证中 心有限公司、上海市数字证书认证中心有限公司、江苏意源科技有限公司、北京华大智宝电子系统有限 公司、天地融科技股份有限公司. 本标准主要起草人：詹榜华、高能、林雪焰、傅大鹏、张永强、邓钊汉、李超、龚怡飞、谢吉华、李静进、 刘建坡、邵淼、陈景燕、候宇、张妍. GM/T0070—2019 电子保单密码应用技术要求 1范围 本标准描述了保险行业电子保单业务的密码应用需求，规定了电子保单的投保、签发、存储、验证、 递送等电子保单管理主要环节的密码应用技术要求，本标准可为电子保单的密码应用提供指导. 本标准适用于电子保单系统的开发和使用. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件，凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T20518信息安全技术公钥基础设施数字证书格式 GB/T20520信息安全技术公钥基础设施时间戳规范 GB/T32905信息安全技术SM3密码杂凑算法 GB/T32907信息安全技术SM4分组密码算法 GB/T32918(部分)信息安全技术SM2椭圆曲线公钥密码算法 GB/T35275信息安全技术SM2密码算法加密签名消息语法规范 GB/T35276信息安全技术SM2密码算法使用规范 GM/T0031安全电子签章密码技术规范 GM/T0034基于SM2密码算法的证书认证系统密码及其相关安全技术规范 3术语和定义 下列术语和定义适用于本文件. 3.1 保险人insurer 即保险公司，是与投保人订立保险合同，并承担赔偿或者给付保险金责任的单位机构. 3.2 投保人insurance applicant 向保险人申请订立保险合同，并负有缴付保险费义务的人. 3.3 被保险人insured 其财产或者人身受保险合同保障，享有保险金请求权的人，投保人可以为被保险人. 3.4 受益人beneficiary 人身保险合同中由被保险人或者投保人指定的享有保险金请求权的人. 3.5 依赖方relying party 使用电子保单的电子签名及签名证书进行决策的用户或代理. GM/T0070—2019 3.6 电子保单electronic policy 保险公司为投保人签发的具有保险公司数字签名的电子化保险合同凭证，法律效力等同于纸质保 险单证. 3.7 电子投保书electronic application form 投保人为订立保险合同而向保险公司提出的电子要约申请. 3.8 SM2算法SM2 algorithm 由GB/T32918定义的一种算法. 3.9 SM3算法SM3 algorithm 由GB/T32905定义的一种算法. 3.10 SM4算法SM4 algorithm 由GB/T32907定义的一种算法. 3.11 电子保单失效lapse of electronic policy 生效后的电子保单因某种原因而失去其法律效力. 4缩略语 下列缩略语适用于本文件. CA证书认证机构(Certificate A...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0069-2019 开放的身份鉴别框架 Open identity authentication framework 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0069—2019 目 次 前言 引言 1范围 1 2规范性引用文件 ..1 3术语和定义 2 4缩略语 4 5概述 4 6实体要求 .6 6.1身份服务提供方要求6 6.2依赖方要求 .7 7鉴别流程 8 7.1鉴别流程类型 .8 7.2授权码鉴别流程 9 7.3隐式鉴别流程 17 7.4混合鉴别流程 19 7.5访问令牌刷新机制23 8令牌 24 8.1令牌类型 .24 8.2JSON令牌 .26 8.3令牌安全保护要求 .27 9用户信息访间28 9.1声明的类型 .28 9.2语言和文字声明30 9.3用户信息端点 30 9.4 用户信息请求声明 .31 9.5声明的稳定性和唯一性 .33 10签名和加密要求 .34 10.1概述34 10.2签名 34 10.3加密 35 10.4对称密钥的熵 35 10.5签名和加密的顺序 35 附录A(规范性附录)规范性声明 .36 附录B(资料性附录)身份服务提供方的基础配置38 附录C(资料性附录)依赖方的注册信息 40 参考文献 .42 GM/T 0069—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：中国科学院数据与通信保护研究教育中心、北京数字认证股份有限公司、中国电 子技术标准化研究院、中国科学院软件研究所、北京天融信科技有限公司. 本标准主要起草人：高能、彭佳、刘泽艺、李敏、钱文飞、江伟玉、刘伟、李向锋、刘丽敏、屠晨阳、张立武、 景鸿理、郝春亮. GM/T 0069—2019 引言 互联网环境中，用户使用多个网络应用已经成为常态.身份鉴别技术呈现出开放性、易用性以及互 操作性的特点.本标准提出的身份鉴别框架使得网络应用可以便捷地使用身份服务提供方提供的鉴别 服务，由身份提供方对用户进行身份鉴别，验证用户的身份，并在用户授权之后可以提供用户身份相关 信息. GM/T0069—2019 开放的身份鉴别框架 1范围 本标准规定了依赖方（网络应用或服务）使用身份服务提供方提供的鉴别功能、对终端用户进行身 份鉴别的协议框架，定义了协议参与实体的要求、鉴别协议流程、用户信息的访问要求，以及协议消息的 加密和签名要求等. 本标准适用于终端用户访问网络应用的场景中，用户身份鉴别服务的开发、测试、评估和采购. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T32905一2016信息安全技术SM3密码杂凑算法 GB/T32907一2016信息安全技术SM4分组密码算法 GB/T32918.2一2016信息安全技术SM2椭圆曲线公钥密码算法第2部分：数字签名算法 GB/T32918.4一2016信息安全技术SM2椭圆曲线公钥密码算法第4部分：公钥加密算法 GM/T0024一2014 SSL VPN技术规范 GM/T0068一2019开放的第三方资源授权协议框架 ISO639-1各种语言中名字的编码表示第1部分：Alpha-2编码(Codes for the representation of names of languages-Part 1:Alpha-2 code) ISO3166-1各个国家的名字和名字细分的编码表示第1部分：国家编码(Codes for the repre- sentation of names of countries and their subdivisions-Part 1:Country codes) ISO8601:2004数据元素与交换格式信息交换日期与时间格式(Data elements and inter- change formats-Informat...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0068-2019 开放的第三方资源授权协议框架 Open third party resource authorization protocol framework 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0068—2019 目 次 前言 Ⅲ 引言 N 1范围 444 1 2规范性引用文件 .1 3术语和定义 1 4缩略语 2 5概述 .3 5.1协议流程 3 5.2协议通道要求4 5.3协议端点 4 6第三方应用程序及安全要求 6 6.1第三方应用程序类型6 6.2第三方应用程序标识符 .7 6.3第三方应用程序注册要求 .7 6.4第三方应用程序身份鉴别7 7授权流程 .8 7.1授权许可 8 7.2授权码许可流程 9 7.3隐式许可流程 12 7.4资源拥有者口令凭据许可流程 15 7.5第三方应用程序身份凭据许可流程17 8令牌 18 8.1令牌类型 18 8.2访问令牌发放20 8.3访问令牌刷新 21 9受保护资源访问 21 9.1受保护资源访问流程 21 9.2成功响应 22 9.3出错响应 22 附录A(资料性附录)协议参数说明 23 参考文献 25 I GM/T 0068—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准参考国际互联网工程任务组(The Internet Engineering Task Force 简称IETF)的RFC 6749文件《The OAuth2.0 Authorization Framework》进行制定.按照我国相关密码政策和法规，结合 我国实际应用需求及产品生产厂商的实践经验，本标准在第三方应用程序身份鉴别部分增加了基于 SM2国产密码算法的数字证书鉴别方法，在授权协议中的数据通信安全部分采用密码行业标准GM/T 0024一2014《SSL VPN技术规范》中定义的安全通信协议取代TLS协议，在访间令牌的保护部分增 加了采用SM2、SM3、SM4等国家密码管理局认可的算法对其进行签名和加密的规定.另外，本标准去 除了RFC6749文件中的安全考虑部分，将安全考虑部分涉及的应采用的安全措施具体化到本标准的各 个章条，包括协议中传输的消息、端点、发放的令牌、第三方应用程序身份鉴别等部分. 本标准由密码行业标准化技术委员会提出并归口. 本标准的主要起草单位：中国科学院数据与通信保护研究教育中心、北京数字认证股份有限公司、 中国科学院软件研究所、中国电子技术标准化研究院、北京信安世纪科技股份有限公司、普华诚信信息 技术有限公司. 本标准主要起草人：刘丽敏、李敏、王鑫、江伟玉、高能、刘宗斌、荆继武、林雪焰、张立武、汪宗斌、 彭佳、屠晨阳、刘泽艺、钱文飞、范科峰、郝春亮、梁佐泉. GM/T 0068—2019 引言 在提供了资源互访接口的开放信息系统中，利用Web、桌面、手机或其他智能设备应用程序实现互 联已成为常态.为了实现信息资源共享、业务合作，用户可利用某个安全域中的应用程序（被称为第三 方应用程序)访问另一个安全域中受保护的资源.为了确保受保护的资源只被资源拥有者许可的实体 访问，需要对实体进行鉴别与授权.然而，在传统的授权模型中，资源拥有者通常需要将其身份凭证共 享给访问者，这种方式带来了诸多安全隐患.本标准引入授权层，将第三方应用程序与资源拥有者的角 色进行分离，在资源拥有者的授权下，授权实体向第三方应用程序发放不同于身份凭据的令牌方式，实 现开放的第三方资源授权. N GM/T0068—2019 开放的第三方资源授权协议框架 1范围 本标准规定了第三方资源授权协议的流程、不同类型的授权许可协议各端点的功能要求以及系统 实体之间传递消息的格式和参数要求等. 本标准适用于在互联网跨安全域应用场景中，身份鉴别与授权服务的开发、测试、评估和采购. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0067-2019 基于数字证书的身份鉴别接口规范 Interface specifications of authentication based on digital certificate 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0067-2019 目 次 前言 1范围 .1 2规范性引用文件 1 3术语和定义 .1 4缩略语 2 5实现方式2 5.1概述 2 5.2代理身份鉴别模式 .2 5.3调用模式 6算法标识与数据结构 .4 6.1算法标识定义 4 6.2数据结构定义和说明 6 7接口定义及函数 6 7.1身份鉴别接口在公钥密码基础设施应用技术体系框架中的位置6 7.2身份鉴别接口逻辑结构 7 7.3消息定义 7 7.4函数接口定义 .11 附录A(规范性附录)错误代码定义和说明15 附录B(资料性附录)身份鉴别应用流程示例16 参考文献 18 GM/T0067—2019 前言 本标准以GB/T15843.3一2016《信息技术安全技术实体鉴别第3部分：采用数字签名技术 的机制》为依据，规范了基于数字证书的身份鉴别密码应用接口. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这些专利的责任. 本标准由密码行业标准化技术委员会提出并归口. 本标准所使用的密码算法遵从国家密码管理主管部门公布的相关密码算法. 本标准主要起草单位：格尔软件股份有限公司、上海市数字证书认证中心有限公司、山东得安计算 机技术有限公司、北京海泰方圆科技有限公司、成都卫士通信息产业股份有限公司、北京数字证书认证 中心有限公司、国民技术股份有限公司、长春吉大正元信息技术股份有限公司. 本标准主要起草人：郑强、谭武征、韩玮、马洪富、蒋红宇、罗俊、傅大鹏、付月朋、赵丽丽. GM/T0067—2019 基于数字证书的身份鉴别接口规范 1范围 本标准规定了公钥密码基础设施体系上层应用中基于数字证书的身份鉴别接口. 本标准适用于公钥密码基础设施体系上层应用中身份鉴别服务的开发、证书应用支撑平台身份鉴 别系统的研制及检测，也可用于指导应用系统规范化地使用证书进行身份鉴别. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件，凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T15843.1一2017信息技术安全技术实体鉴别第1部分：概述 GB/T15843.3一2016信息技术安全技术实体鉴别第3部分：采用数字签名技术的机制 3术语和定义 下列术语和定义适用于本文件. 3.1 证书认证系统certificate authentication system 对数字证书的签发、发布、更新、撤销等数字证书全生命周期进行管理的系统. 3.2 证书撤消列表certificate revocation list;CRL 由证书认证机构签发并发布的被撤销证书的列表. 3.3 证书验证certificate validation 按照验证策略确认证书有效性和真实性的过程. 3.4 数字证书digital certificate 也称公钥证书，由证书认证机构(CA)签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有 效期以及扩展信息的一种数据结构.按类别可分为个人证书、机构证书和设备证书，按用途可分为签名 证书和加密证书. 3.5 用户凭证identity token 能够表明用户身份的一段特定数据，用户通过向另一方提交此数据来表明自己的身份，此数据具有 不可抵赖性和可验证性. 3.6 双向验证mutual verify 向双方实体提供对方身份保证的实体鉴别. 1 GM/T0067-2019 3.7 公钥基础设施public key infrastructure;PKI 基于公钥密码技术实施的具有普适性的基础设施，可用于提供机密性、完整性、真实性及抗抵赖性 等安全服务. 3.8 SM2算法SM2 algorithm 一种椭圆曲线公钥密码算法，其密钥长度为256比特. 3.9 SM3算法SM3 algorithm 一种密码杂凑算法，其输出为256比特. 4缩略语 下列缩略语适用于本文件. CA 证书认证机构(certificate authority) CN 通用名...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0066-2019 商用密码产品生产和保障能力建设 实施指南 Implementation guide to capability construction criteria of production and guarantee for mercial cryptographic products 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0066—2019 目 次 前言 Ⅲ 引言 N 1范围 .1 2规范性引用文件1 3术语和定义 1 4实施概述 1 4.1评估内容 .1 4.2评估方式 1 4.3评估原则 2 5实施指南 5.1基本项 2 5.1.1法人资格 2 5.1.2主要技术人员 2 5.1.3产品研发 2 5.1.4行业管理遵从2 5.2声明项 2 5.2.1关键人员信息 2 5.2.2单位性质 2 5.2.3数据管理 2 5.3评估项 .3 5.3.1生产能力 3 5.3.2质量保障能力 .5 5.3.3 安全保障能力 6 5.3.4服务保障能力 7 6评估程序 7 6.1评估要求 .7 6.2评估流程 8 6.3实施评估 .9 6.3.1材料审查 9 6.3.2前置评估 .9 6.3.3现场审核 .9 6.3.4专家评估 10 6.3.5评估结果 .10 7评估报告 .10 7.1报告内容 10 7.2报告形式 10 I GM/T 0066—2019 7.3报告要求 10 7.3.1评估时间 .10 7.3.2评估地点 .10 7.3.3评估组和评估监督人员 10 7.3.4生产单位基本信息 10 7.3.5 申请产品基本信息 10 7.3.6评估材料是否齐全 10 7.3.7基本项是否符合要求 10 7.3.8 现场审查 11 7.3.9声明项说明11 7.3.10评估项说明 11 7.3.11评估结论 .11 7.4报告归档 11 8实施要点说明 11 8.1评估单位 11 8.1.1评估过程 11 8.1.2专家评分 11 8.1.3商用密码产品不同等级的许可要求 11 8.1.4特殊申请要求说明 .12 8.2生产单位 13 8.2.1能力建设 .13 8.2.2自评估 .13 附录A(规范性附录)商用密码产品生产和保障能力评估配套表格14 附录B(规范性附录)商用密码产品生产和保障能力评估报告 26 附录C(资料性附录)审核方法 27 附录D(资料性附录)归档材料清单 28 附录E(资料性附录)重要领域产品使用要求 .29 参考文献 3 Ⅱ GM/T 0066—2019 前言 本标准按照GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：兴唐通信科技有限公司、北京中电华大电子设计有限责任公司、格尔软件股份有 限公司、国家密码管理局商用密码检测中心、北京三未信安科技发展有限公司、天地融科技股份有限公 司、成都卫士通信息产业股份有限公司、北京市密码管理局、上海市密码管理局、广东省密码管理局. 本标准主要起草人：赵闪、叶枫、周建锁、罗鹏、冯育晖、韩小平、杨耀华、高志权、熊云、李立勋、马飞、 郑强、李明、曲志华、杨阳. GM/T 0066—2019 引言 密码是网络和信息安全的核心技术和基础支撑，是保障国家安全、推动经济发展和维护公众利益的 战略性资源.商用密码产品是密码技术的实现载体，为应用提供机密性、完整性、不可否认性等安全保 障.国家对销售或者在经营活动中使用的商用密码产品实施许可. 根据《商用密码管理条例》的相关要求，商用密码产品生产单位（以下简称生产单位）必须具备独立 的法人资格，具有与开发、生产商用密码产品相适应的技术力量和场所，具有确保商用密码产品质量的 设备、生产工艺和质量保...

ICS35.040 L80 GM 中华人民共和国密码行业标准 GM/T0065-2019 商用密码产品生产和保障能力建设规范 Specification for capability construction of production and guarantee for mercial-cryptographic products 2019-07-12发布 2019-07-12实施 国家密码管理局 发布 GM/T 0065—2019 目 次 前言 Ⅲ 引言 N 1范围 2规范性引用文件 .1 3术语和定义 1 4评估要素 4.1基本项 1 4.2声明项 2 4.3评估项 2 5基本项要求 .3 5.1法人资格 3 5.2主要技术人员 3 5.3产品研发 3 5.4行业管理遵从 3 6声明项要求 3 6.1关键人员信息 .3 6.2单位性质 4 6.3数据管理 4 7评估项要求 4 7.1生产能力 4 7.1.1技术力量 4 7.1.2生产管理 7.1.3生产条件 .5 7.1.4生产工艺与流程 .5 7.2质量保障能力 5 7.2.1制度保障 .5 7.2.2开发过程质量管理 6 7.2.3 质量问题管理 6 7.2.4持续改进产品质量措施 6 7.3安全保障能力 7.3.1组织保障 6 7.3.2安全管理 .7 7.4服务保障能力 .8 7.4.1制度保障 7.4.2应急响应能力 8 7.4.3 服务响应方式 8 I GM/T 0065—2019 前言 本标准根据GB/T1.1一2009给出的规则起草. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：北京中电华大电子设计有限责任公司、格尔软件股份有限公司、兴唐通信科技有 限公司、国家密码管理局商用密码检测中心、北京三未信安科技发展有限公司、天地融科技股份有限公 司、成都卫士通信息产业股份有限公司、北京市密码管理局、上海市密码管理局、广东省密码管理局. 本标准主要起草人：周建锁、叶枫、赵闪、罗鹏、冯育晖、韩小平、杨耀华、高志权、熊云、李立勋、马飞、 郑强、李明、曲志华、杨阳. GM/T 0065—2019 引言 密码是网络和信息安全的核心技术和基础支撑，是保障国家安全、推动经济发展和维护公众利益的 战略性资源.商用密码产品是密码技术的实现载体，为应用提供机密性、完整性、不可否认性等安全保 障.国家对销售或者在经营活动中使用的商用密码产品实施许可. 根据《商用密码管理条例》的相关要求，商用密码产品研制生产单位必须具备独立的法人资格，具有 与开发、生产商用密码产品相适应的技术力量和场所，具有确保商用密码产品质量的设备、生产工艺和 质量保证体系，满足法律、行政法规规定的其他条件. 为了对商用密码产品生产单位的生产和保障能力建设提供统一、客观的标准，为了生产单位对自身 技术力量、场所、设备、生产工艺和质量保证能力有较为全面的把握，制定本标准.本标准从评估的角度 对商用密码产品生产单位相关能力建设提出要求，也可用于第三方机构对商用密码产品生产单位进行 评估.建设规范包含本标准和《商用密码产品生产和保障能力建设实施指南》，本标准规定了基本项、声 明项和评估项等要素及要求；《商用密码产品生产和保障能力建设实施指南》包含评估方法、评估程序、 评估报告和实施要点. N GM/T0065—2019 商用密码产品生产和保障能力建设规范 1范围 本标准规定了商用密码产品生产和保障能力的评估要素和评估要求. 本标准适用于对商用密码产品生产单位的生产能力、质量保障能力、安全保障能力和服务保障能力 进行能力建设及核查. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GM/Z4001密码术语 商用密码管理条例 3术语和定义 GM/Z4001界定的以及下列术语和定义适用于本文件. 3.1 主要技术人员main technical personnel 从事商用密码产品设计、实现、检测或测试及技术支持工作的人员. 3.2 关键人员crucial personnel 包括法定代表人、实际控制人、高层管理人员、技术负责人. 3.3 关键岗位crucial position 对研发、生产和管理活动具有重要作用，对结果的质量有显著影响，甚至能决定结果成败的岗位. 3.4 密码核心技术core cryptographic technology 商...

ICS35.040 L80 备案号：64815—2018 GM 中华人民共和国密码行业标准 GM/T0064—2018 限域通信(RCC)密码检测要求 Cryptography test requirements for range controlled munication (RCC) 2018-08-20发布 2018-08-20实施 国家密码管理局 发布 GM/T0064—2018 目 次 前言 Ⅲ 1范围 1 2规范性引用文件 1 3术语和定义 1 4符号和缩略语 2 5RCC产品分类 2 5.1RCC发起方产品 2 5.2RCC响应方产品 2 6检测要求 2 6.1一般要求2 6.2密码算法 3 6.3密码服务 3 6.4数据加解密性能 3 6.5传输距离 4 6.6命令交互 .4 6.7RCC产品UID 4 附录A(资料性附录)RCC测试系统及环境要求 5 附录B(资料性附录)RCC产品应用密钥管理与安全保障要求7 I GM/T0064—2018 前言 本标准按照GB/T1.1一2009给出的规则起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这些专利的责任. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：国家密码管理局商用密码检测中心、国民技术股份有限公司、武汉天喻信息产业 股份有限公司、天地融科技股份有限公司、深圳长城开发科技股份有限公司. 本标准主要起草人：周国良、杨贤伟、罗鹏、李美祥、李大为、莫凡、郭懿嵩、牟宁波、查道友、李国友、 雷银花、崔永娜. Ⅲ GM/T0064-2018 限域通信(RCC)密码检测要求 1范围 本标准针对采用密码技术的限域通信(RCC)产品，规定了密码和安全方面的检测内容及要求，RCC 产品的其他功能检测按照其相应的产品检验规范进行. 本标准适用于限域通信(RCC)产品的密码检测. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T32907一2016信息安全技术SM4分组密码算法 GB/T32915一2016信息安全技术二元序列随机性检测规范 GB/T33736一2017手机支付基于2.45 GHz RCC(限域通信)技术的非接触射频接口技术 要求 GB/T33737一2017手机支付基于2.45 GHz RCC(限域通信)技术的智能卡测试方法 GB/T33738一2017手机支付基于2.45 GHz RCC(限域通信)技术的智能卡技术要求 GB/T33740一2017手机支付基于2.45 GHz RCC(限域通信)技术的非接触射频接口测试 方法 GB/T33741一2017手机支付基于2.45 GHz RCC(限域通信)技术的非接触式读写器终端技 术要求 GB/T34096一2017手机支付基于2.45 GHz RCC(限域通信)技术的非接触式读写器终端测 试方法 GM/Z4001密码术语 3术语和定义 GM/Z4001界定的以及下列术语和定义适用于本文件. 3.1 限域通信range controlled munication 通信距离范围可控的近距离无线通信技术. 3.2 发起方initiator 限域通信系统中控制通信的一方. 3.3 响应方target 限域通信系统中对发起方命令请求做出响应的一方. 3.4 被测设备device under test 被测试的对象，为响应方产品或者发起方产品. GM/T0064—2018 3.5 测试指令test mand 测试专用的特殊消息命令. 3.6 静默mute 被测设备在接收到测试指令后不做任何响应. 4符号和缩略语 下列缩略语适用于本文件. APDU 应用协议数据单元(application protocol data unit) API 应用程序编程接口(application programming interface) POS 销售点终端(point of sale) RCC 限域通信(range controlled munication) SD 安全数据存储卡(secure digital memory card) SIM 用户识别模块(subscriber identity module) UID 唯一标识符(unique identifier) 5RCC产品分类 5.1RCC发起方产品 RCC发起方产品是指支持RCC通讯协议且...

ICS35.040 L80 备案号：648142018 GM 中华人民共和国密码行业标准 GM/T0063-2018 智能密码钥匙密码应用接口检测规范 Cryptography application interface test specification for cryptographic smart token 2018-08-20发布 2018-08-20实施 国家密码管理局 发布 刮涂展真伪 GM/T0063—2018 前言 本标准按照GB/T1.1一2009给出的规则起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这些专利的责任. 本标准由密码行业标准化技术委员会提出并归口. 本标准起草单位：深圳市文鼎创数据科技有限公司、国家密码管理局商用密码检测中心、北京握奇 智能科技有限公司、天地融科技股份有限公司、飞天诚信科技股份有限公司. 本标准主要起草人：刘伟丰、周国良、吴玲玲、伍友良、董静、李大为、罗鹏、汪雪林、张渊、李勃、牟宁波、 李成伟、朱鹏飞、莫凡. GM/T0063-2018 智能密码钥匙密码应用接口检测规范 1范围 本标准规定了智能密码钥匙密码应用接口检测环境、检测内容和检测方法. 本标准适用于智能密码钥匙密码应用接口检测，也可用于指导智能密码钥匙的研制和使用. 2规范性引用文件 下列文件对于本文件的应用是必不可少的.凡是注日期的引用文件，仅注日期的版本适用于本文 件.凡是不注日期的引用文件，其最新版本（包括的修改单）适用于本文件. GB/T25064信息安全技术公钥基础设施电子签名格式规范 GB/T32905-一2016信息安全技术SM3密码杂凑算法 GB/T32907一2016信息安全技术SM4分组密码算法 GB/T32915信息安全技术：二元序列随机性检测规范 GB/T32918一2016信息安全技术SM2椭圆曲线公钥密码算法 GB/T33560信息安全技术密码应用标识规范 GB/T35275信息安全技术SM2密码算法加密签名消息语法规范 GB/T35276信息安全技术SM2密码算法使用规范 GB/T35291信息安全技术智能密码钥匙应用接口规范 GM/T0014数字证书认证系统密码协议规范 GM/T0015基于SM2密码算法的数字证书格式规范 GM/T0017智能密码钥匙密码应用接口数据格式规范 GM/T0027智能密码钥匙技术规范 GM/T0031安全电子签章密码应用技术规范 3术语和定义 下列术语和定义适用于本文件. 3.1 容器container 密码设备中用于保存密钥和证书所划分的唯一性存储空间. 3.2 应用application 包括容器和文件的一种结构，具备独立的权限管理. 3.3 设备device 智能密码钥匙的统称. 3.4 设备认证device authentication 应用程序对智能密码钥匙的认证. GM/T0063—2018 3.5 设备标签device label 设备的别名，可以由用户进行设定并存储于设备内部. 3.6 消息鉴别码message authentication code 消息鉴别算法的输出，又称消息认证码. 3.7 管理员PIN administrator PIN 管理员的PIN 为ASCII字符串. 3.8 用户PIN user PIN 用户的PIN 为ASCII字符串. 3.9 SM2算法SM2 algorithm 由GB/T32918一2016定义的一种公钥密码算法. 3.10 SM3算法SM3 algorithm 由GB/T32905一2016定义的一种密码杂凑算法. 3.11 SM4算法SM4 algorithm 由GB/T32907一2016定义的一种分组密码算法. 3.12 验证设备verify equipment 用于密码算法基准运算的检测仪器或设备. 3.13 参考数据reference data 用于判断密码算法实现正确性的一组数据，包括源数据和目标数据. 3.14 RSA算法RSA algorithm 一种基于大整数因子分解问题的公钥密码算法. 4 缩略语 下列缩略语适用于本文件. ID Identifier 标识符 MAC Message Authentication Code 消息鉴别码 PIN Personal Identification Number 个人身份识别码 RA Registration Authority 数字证书注册中心 5送检材料说明 表1列出了送检厂商按照国家密码管理主管部门检测要求提交相关文档资料，文档资料应包含但 不限于以下内容. 2 ...

ICS35.040 L80 备案号：62997一2018 GM 中华人民共和国密码行业标准 GM/T0062—2018 密码产品随机数检测要求 Random number test requirements for cryptographic modules 2018-05-02发布 2018-05-02实施 国家密码管理局 发布 中华人民共和国密码 行业标准 密码产品随机数检测要求 GM/T0062—2018 中国标准出版社出版发行 北京市朝阳区和平里西街甲2号(100029) 北京市西城区三里河北街16号(100045) 网址 spc.net.cn 总编室：(010)68533533发行中心：(010)51780238 读者服务部：(010)68523946 中国标准出版社秦皇岛印刷厂印刷 各地新华书店经销 开本880×12301/16印张0.75字数16千字 2018年9月第一版2018年9月第一次印刷 书号：1550662-44885定价18.00元 如有印装差错由本社发行中心调换 ：(010)68510107 GM/T0062—2018 目 次 前言 Ⅲ 引言 1范围 1 2规范性引用文件 1 3术语、定义和符号 1 3.1术语和定义 3.2符号 1 4随机数检测说明 2 4.1产品形态划分 2 4.2应用阶段划分 2 4.3数据格式 2 4.4检测项目 2 4.5显著性水平 2 4.6参数设置 .2 5A类产品随机数检测 .2 5.1送样检测 .2 5.2出厂检测 .2 5.3上电检测 .3 5.4使用检测 .3 6B类产品随机数检测 3 6.1送样检测 3 6.2出厂检测 .3 6.3上电检测 3 6.4使用检测 3 7C类产品随机数检测 4 7.1送样检测 4 7.2出厂检测 4 7.3上电检测 4 7.4使用检测 4 8D类产品随机数检测 8.1送样检测 4 8.2出厂检测 4 8.3上电检测 5 8.4使用检测 5 9E类产品随机数检测 5 I GM/T 0062—2018 9.1送样检测 5 9.2出厂检测 5 9.3上电检测 5 9.4使用检测 6 Ⅱ GM/T0062—2018 前言 本标准按照GB/T1.1一2009给出的规则起草. 请注意本文件的某些内容可能涉及专利.本文件的发布机构不承担识别这些专利的责任. 本标准由密码行业标准化技术委员会提出并归口. 本标准主要起草单位：北京宏思电子技术有限责任公司、国家密码管理局商用密码检测中心、中国 科学院数据与通信保护研究教育中心、中国科学院软件研究所、北京中电华大电子设计有限责任公司、 国民技术股份有限公司、北京三未信安科技发展有限公司、天地融科技股份有限公司. 本标准主要起草人：张文婧、罗鹏、郁群慧、范丽敏、夏鲁宁、陈华、李丹、杨贤伟、高志权、李国阳. ...