GMT0059-2018 服務(wù)器密碼機(jī)檢測規(guī)范，本標(biāo)準(zhǔn)適用于服務(wù)器密碼機(jī)類密碼設(shè)備的檢測，以及該類密碼設(shè)備的研制，也可用于指 導(dǎo)基于該類密碼設(shè)備的應(yīng)用開發(fā)。
GMT0059-2018 目次 前言 II 1范圍 2規(guī)氾性引用文件 3術(shù)語和定義 4符號和縮略語 5檢測環(huán)境要求 122 5.1常規(guī)檢測環(huán)境. 5.2跨網(wǎng)段檢測環(huán)境. 6檢測內(nèi)容. 2333 6.1概述.. 6.2設(shè)備外觀及結(jié)構(gòu)檢查. 6.3設(shè)備管理功能檢查, 6.4設(shè)備狀態(tài)檢測. 6.5設(shè)備自檢檢測.. 344555 6.6設(shè)備配置管理檢測. 6.7設(shè)備密鑰管理檢測 5 8設(shè)備密碼算法正確性與一致性檢測 6.9設(shè)備隨機(jī)數(shù)質(zhì)量檢測. 6.10設(shè)備應(yīng)用接口檢測 6.11設(shè)備遠(yuǎn)程管理接口檢測 6.12設(shè)備訪問控制檢測 6.13設(shè)備日志記錄檢測 6.14設(shè)備性能檢測 6.15設(shè)備網(wǎng)絡(luò)適應(yīng)性檢測 10 6.16設(shè)備安全性檢測 6.17設(shè)備環(huán)境適應(yīng)性檢測. 6.18設(shè)備可靠性檢測 10 7送檢文檔技術(shù)要求 附錄A(資料性附錄)檢測項(xiàng)目列表.. GM/T0059-2018 刖言 本標(biāo)準(zhǔn)依照GB/T1.1—2009給出的規(guī)則起草 請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別這些專利的責(zé) 任。 本標(biāo)準(zhǔn)由密碼行業(yè)標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口 木標(biāo)準(zhǔn)起草單位:衛(wèi)上通信息產(chǎn)業(yè)股份有限公司、國家密碼管理局商用密碼檢測中心、 無錫江南信息安全τ程技術(shù)中心、興唐通信科技股份有限公司、山東得安信息技術(shù)有限公司 本標(biāo)準(zhǔn)主要起草人:劉平、羅俊、胡顯筌、李元止、張世雄、鄧開勇、羅鵬、劉常、李 國友、肖秋林、徐強(qiáng)、徐明翼、王妮娜、王海霞、孔凡玉、鄭海森 本標(biāo)準(zhǔn)凡涉及密碼算法相關(guān)內(nèi)容,按國家冇關(guān)法規(guī)實(shí)施 GMT0059-2018 服務(wù)器密碼機(jī)檢測規(guī)范 1范圍 本標(biāo)準(zhǔn)規(guī)定了服務(wù)器密碼機(jī)類密碼設(shè)備的檢測要求和檢測方法 木標(biāo)準(zhǔn)適用」服務(wù)器密碼札類密碼設(shè)備的檢測,以及該類密碼設(shè)備的研制,也可用」指 導(dǎo)基于該類密碼設(shè)備的應(yīng)用開發(fā)。 2規(guī)范性引用文件 下列文件對」木文件的應(yīng)用是必不可少的。凡是注日期的引用文件,僅注日期的版木適 用于本文件,凡是不注日期的引用文件,其最新版本(包括所有的修改單)適用于本文件。 GB/r9813微型計(jì)算機(jī)通用規(guī)沱 GB/T32905信息安全技術(shù)S3密矽雜湊算法 B/T32907信息安全技術(shù)SM4分組密碼算法 GBT32915信息安全技術(shù)二元序列隨札性檢測規(guī)范 GBT32918信息安全技術(shù)SM2橢圓曲線公鑰密碼算法 GB/T33560信息安全技術(shù)密碼應(yīng)用標(biāo)識規(guī)范 GMT0009-2012SM2密碼算法使用規(guī)范 GMT0018-2012密碼設(shè)備應(yīng)用接口規(guī)范 GM/T028-2014密碼模塊安全技術(shù)要求 GMT0030-2014服務(wù)器密碼機(jī)技術(shù)規(guī)范 GMT00392015密碼模塊安全檢測要求 3術(shù)語和定義 下列術(shù)話和定義適用于本文件 服務(wù)器密碼機(jī) Cryptographic Server 又稱主機(jī)加密服務(wù)器,能獨(dú)立或并行為多個應(yīng)用實(shí)體提供密碼服務(wù)和密鑰管理的設(shè)備。 3.2 非對稱密碼算法/公鑰密碼算法 Asymmetr ic Cryptographic al gor i thm/ Publ ic Key Cryptographic al gor ithm 加解密使用不同密鑰的密碼算法 3.3 對稱密碼算法 symmetr ic cryptographic al gor i 加密和解密使用相同密鑰的密碼算法 3.4 分組密碼算法 block cipher a gor ithm 將輸入數(shù)據(jù)劃分成固定長度的分組進(jìn)行加解密的一類對稱密碼算法 3.5 GM/T0059-2018 加密 Enc ipherment/ Encrypt ion 對數(shù)據(jù)進(jìn)行密碼變換以產(chǎn)生密文的過程 3.6 解密 Dec i pherment/ Decryption 加密過程對應(yīng)的逆過程 3.7 設(shè)備密鑰 Dev ice Key Pair 存儲在設(shè)備內(nèi)部的用」設(shè)備管理的非對稱密鑰對,包含簽名密鑰對和加密密鑰對 公鑰基礎(chǔ)設(shè)施 Pub l ic Key Infrastructure 用公鑰密碼技術(shù)建立的普遍適用的基礎(chǔ)改施,為用戶提供證書管理和密鑰管理等安全 服務(wù)。 3. 私鑰訪問控制碼 Private Key Access Password 用于驗(yàn)證私鑰使用權(quán)限的冂令 3.10 SMI算法 SM1 al gor ithm 種分組密碼算法。 3.11 SM2算法SM2a| gor ithm 由GB/T32918《信息安全技術(shù)S2桁圓曲線公鑰密碼算法》定義的一種算法。 3.12 SM3算法SM3 al gor ithm 山GB/T32905《信息安全技術(shù)SM3密碼雜湊算法》定義的一種算法 3.13 SM4算法SM4a| gor i thm 由GB/T32907《信息安全技術(shù)SM4分組密碼算法》定義的一種算法 4符號和縮略語 列縮略語適用」木文件。 API應(yīng)用稈序接口( Application Program Interface) CBC (分組密碼的)密碼分組鏈接(⊥作方式)( Cipher block Chaining) CFB(分組密碼的)密碼反饋(工作方式)( Cipher feedback) 服務(wù)器密碼機(jī)( Cryptographic server) ECB (分組密碼的)電子密木(工作方式)( Electronic Codebook) OFB (分組密碼的)輸出反饋(工作方式)( Output Feedback) 5檢測環(huán)境要求 5.1常規(guī)檢測環(huán)境 服務(wù)器密碼札常烑檢測坯境用」檢測服竻器密碼機(jī)的功能、性能,襝測環(huán)境拓?fù)淇蓞⒖? GMT0059-2018 Windows 服務(wù) L 服務(wù) 交機(jī) 服務(wù)器密碼機(jī) Unix 服務(wù) 圖1服務(wù)器密碼機(jī)常規(guī)檢測環(huán)境拓?fù)鋱D 5.2跨網(wǎng)段檢測環(huán)境 服務(wù)器密碼機(jī)跨網(wǎng)段檢測環(huán)境用于檢測服務(wù)器密碼機(jī)的跨網(wǎng)段服務(wù)能力,檢測環(huán)境拓?fù)?可參考圖2。 A網(wǎng)段 網(wǎng)段 Wind 服務(wù) Linux 服務(wù) 交 路由器 服務(wù)器密碼機(jī) Unix 服務(wù) 圖2服務(wù)器密碼機(jī)跨網(wǎng)段檢測環(huán)境拓?fù)鋱D 6檢測內(nèi)容 6.1概述 本標(biāo)準(zhǔn)相關(guān)檢測內(nèi)容包括但不限于G;w/0030-2014第9章內(nèi)容,服務(wù)器密碼機(jī)檢測的 主要內(nèi)容包括20項(xiàng),檢測項(xiàng)目列表參見附錄A,檢測項(xiàng)目包括: a)設(shè)備外觀及結(jié)構(gòu)檢查 b)設(shè)備管理功能檢查; GM/T0059-2018 c)設(shè)備狀態(tài)檢測 d)設(shè)備自檢檢測 e)設(shè)備配置管理檢測; f)設(shè)備密鑰管理檢測 g)設(shè)各SMl密碼運(yùn)算檢測; h)設(shè)備SM2密碼運(yùn)算檢測; i)設(shè)備S密碼運(yùn)算檢測; j)設(shè)備SM4密碼運(yùn)算檢測; k)設(shè)備隨機(jī)數(shù)質(zhì)量檢測 1)設(shè)各應(yīng)用接∏檢測; m)設(shè)備管理接口檢測; n)設(shè)備訪問控制檢測; o)設(shè)備日志記錄檢測; p)設(shè)條性能檢測 q)設(shè)各網(wǎng)絡(luò)適應(yīng)性檢測 r)設(shè)備安全性檢測; 設(shè)備環(huán)境適應(yīng)性檢測 U)設(shè)備可靠性檢測。 6.2設(shè)備外觀及結(jié)構(gòu)檢查 服務(wù)器密碼機(jī)應(yīng)只備以下主要部件或接口: 應(yīng)支持狀態(tài)指示燈,目測狀態(tài)燈能區(qū)分出正常工作狀態(tài)和故障狀態(tài) )應(yīng)支持電源指示燈,目測能區(qū)分設(shè)各是否上電; C)應(yīng)支持至少2個RJ45網(wǎng)絡(luò)接口 服務(wù)器密碼機(jī)宜具備以下主要部件或接凵 a)宜支持1個串口(RJ45或DB9形態(tài))作為控制口; 宜支持冗余電源。 服務(wù)器密碼機(jī)可具備以下主要部件或接∏ a)可支持于動密鑰銷毀開關(guān): b)可支持DB9串凵 c)可支持USB接口; d)可支持人杋交互部件,例如:鍵盤、顯示器等。 6.3設(shè)備管理功能檢查 服務(wù)器密碼機(jī)應(yīng)支持管理功能和密碼服務(wù)功能,不同功能采用分開的物理接口訪問,例 如:管理功能使用網(wǎng)絡(luò)接口1訪問,則密碼服務(wù)功能應(yīng)采用網(wǎng)終接口2訪問。服竻器密碼機(jī) 采用遠(yuǎn)程管理方式時,管理機(jī)與密碼機(jī)之間應(yīng)建立安全通道。 管理界面應(yīng)支持下面幾個主要管理功能: a)應(yīng)支持密鑰管理功能,密鑰管理功能應(yīng)包括密鑰產(chǎn)生、密鑰冇儲、密鑰各份、密鑰 恢復(fù)和密鑰銷毀等子功能; b)應(yīng)支持設(shè)備唯標(biāo)識符查詢 c)應(yīng)支持設(shè)備狀態(tài)管理功能,設(shè)各狀態(tài)管理應(yīng)包括設(shè)備狀態(tài)查詢功能,宜包括硬件部 件狀態(tài)、軟件狀態(tài)和版本狀態(tài)等狀態(tài)管理功能。 管理界面宜包含下面幾個主要管理功能 4 GMT0059-2018 a)宜支持網(wǎng)終地址配置功能,網(wǎng)絡(luò)地址配置功能宜包含ⅠP地址、子網(wǎng)掩碼以及岡關(guān) 地址等網(wǎng)絡(luò)參數(shù)配置功能; b)宜支持日志管理,日志管理功能宜包含日志記永、日志查詢和日志導(dǎo)出等功能。 64設(shè)備狀態(tài)檢測 服務(wù)器密碼機(jī)應(yīng)具備初始狀態(tài)和就緒狀態(tài)兩種狀態(tài),且只能由初始狀態(tài)向就緒狀態(tài)轉(zhuǎn) 換 服務(wù)器密碼機(jī)首次加電啟動,應(yīng)自動進(jìn)入初始狀態(tài),此時密碼機(jī)不能提供密碼服務(wù)。由 用戶執(zhí)行密碼機(jī)的初始化配置,初始化配置應(yīng)包含用戶管理、密鑰管理、系統(tǒng)配置,待各項(xiàng) 配置完成后應(yīng)重新啟動密碼機(jī)。 經(jīng)過初始化配置的密碼機(jī)加電啟動,可自動進(jìn)入就緒狀態(tài),密碼機(jī)方可提供密碼服務(wù)。 就緒狀態(tài)的密碼機(jī)只能通過觸發(fā)毀鑰機(jī)制并斷電重啟后,才能再次進(jìn)入初始狀態(tài),不能 通過管理界面、控制口、人札交互部件或其它方式將密碼札的狀態(tài)從就緒狀態(tài)轉(zhuǎn)換到初始狀 態(tài) 6.5設(shè)備自檢檢測 服務(wù)器密碼機(jī)應(yīng)支持自檢功能,自檢應(yīng)包括上電/復(fù)位自檢、周期自檢和接受指令后的 自檢,自檢內(nèi)容包括物珄噪聲源有敚性自檢、密碼運(yùn)算單元有效性自檢、隨機(jī)數(shù)自檢、密碼 算法正確忙自檢、靜態(tài)存儲數(shù)據(jù)的完整性校驗(yàn)等。 臼檢結(jié)東后應(yīng)報告檢測結(jié)果。自檢成功,密碼機(jī)應(yīng)進(jìn)入就緒狀態(tài);自檢失敗,密碼機(jī)應(yīng) 記求日志并報警,并立即停止對外提供密碼服務(wù) 6.6設(shè)備配置管理檢測 服務(wù)器密碼機(jī)應(yīng)包含但不限于密碼機(jī)權(quán)限配置、密碼杋網(wǎng)絡(luò)配置以及密碼機(jī)訪問控翎配 置等管理功能。 密碼機(jī)權(quán)限配置宜具備: a)管理員、安全員、操作員三類角色管理 b)管理員負(fù)責(zé)安全員和操作員的添加、侈改和注銷 c)安仝員負(fù)責(zé)操作員的權(quán)限管理以及日志審計(jì); d)操作員負(fù)責(zé)密碼機(jī)的常規(guī)配置操作。 密碼機(jī)網(wǎng)絡(luò)型置宜具備: a)密碼機(jī)本機(jī)IP地址、掩碼以及端口配置 b)密碼機(jī)網(wǎng)關(guān)配置。 密碼機(jī)訪問控制配置宜具備: a)TP地址訪問控制授權(quán)表的配置; b)內(nèi)部存儲私鑰的權(quán)限標(biāo)識碼的配置。 6.7設(shè)備密鑰管理檢測 6.7.1密鑰管理安全措施 服務(wù)器密碼機(jī)應(yīng)具備完善的密鑰管理功能,應(yīng)至少支持三層密鑰結(jié)構(gòu)。密鑰管理包括密 鑰產(chǎn)生、安裝、存儲、使用、更換、銷毀以及備份和恢復(fù)等功能,密碼機(jī)應(yīng)保證密鑰在生存 周期的各個壞節(jié)的安全性。 服務(wù)器密碼機(jī)應(yīng)具備以下密鑰安全保護(hù)措施: a)應(yīng)支持按照指定的參數(shù)生成非對稱鳘鑰對并安全地存儲在密碼機(jī)內(nèi)部; GM/T0059-2018 b)應(yīng)采用訪問控制技術(shù)控制內(nèi)部存儲密鑰的訪問和使用; c)應(yīng)提供銷毀內(nèi)部存儲密鑰的措施 d)應(yīng)支持以安全的方法備份內(nèi)部存儲密鑰到安全介質(zhì); e)應(yīng)支持以安全的方法將安全介質(zhì)中備份的密鑰恢復(fù)到密碼機(jī) f)應(yīng)支持通過備份介質(zhì)安全地將密鑰同步至另“臺相同的設(shè)備; g)應(yīng)支持內(nèi)部存儲的非對稱密鑰對的公鑰能被導(dǎo)出到密碼機(jī)外使用 6.7.2密鑰管理安全功能 服務(wù)器密碼機(jī)應(yīng)符合(MT0030標(biāo)準(zhǔn),具備以下密鑰管理安全功能: a)管理密鑰應(yīng)在初始態(tài)由服務(wù)器密碼機(jī)廠家提供的管理⊥具生成或安裝,且安全地存 儲在密磚機(jī)內(nèi)部; b)用戶密鑰和設(shè)備密鑰的簽名密鑰對由服務(wù)器密碼機(jī)生成或安裝,密鑰所使用的的隨 機(jī)數(shù)應(yīng)使用物理噪聲源芯片生成,密鑰的生成應(yīng)使用強(qiáng)素數(shù);加密密鑰對由獨(dú)立的 密鑰管理系統(tǒng)產(chǎn)生并按照GMT0018中規(guī)定的加密密鑰對私鑰保護(hù)結(jié)構(gòu)下發(fā)到設(shè)各 中 c)密鑰加密密鑰是可選擇支持項(xiàng),當(dāng)密碼機(jī)支持此項(xiàng)時,該密鑰應(yīng)由服務(wù)器密碼機(jī)廠 家提供的管理工具生成或安裝并應(yīng)支持在密碼機(jī)內(nèi)部安全地存儲一定數(shù)量的密鑰 加密密鑰; d)會話密鑰不能明文導(dǎo)出,導(dǎo)出時應(yīng)使用用戶密鑰或密鑰加密密鑰加密: e)密碼機(jī)中安全存儲的對稱密鑰和非對稱密鑰應(yīng)以密鑰索引號或其他形式的唯一標(biāo) 識進(jìn)行調(diào)用 f)密碼機(jī)應(yīng)可安全存儲至少100組對稱密鑰和32對非對稱密鑰對; g)密碼機(jī)應(yīng)支持密鑰備份和密鑰恢復(fù),各份文件應(yīng)以密文形式存放在安全的仵儲介質(zhì) 中,且同廠家的同型號密碼權(quán)應(yīng)能夠支持相可間進(jìn)行條份和恢復(fù)。 6.8設(shè)備密碼算法正確性與一致性檢測 6.8.1設(shè)備對稱密碼運(yùn)算檢測 服務(wù)器密碼機(jī)應(yīng)支持SM4分組密碼算法,可支持SM1分組密碼算法,對每種算法應(yīng)提供 ECB、CBC二種工作模式,也可擴(kuò)展支持OBB、CFB等工作模式。 服務(wù)器密碼杋應(yīng)能按照指定的工作模式對數(shù)據(jù)進(jìn)行加解密運(yùn)算。應(yīng)能支持各模式下分別 給定密鑰和明文(密文),檢測其運(yùn)算結(jié)果的正確性,包括: a)密碼機(jī)對給定的密鑰和明文經(jīng)ECB模式加密,結(jié)果和給定密文完全相同 b)密碼機(jī)對給定的密鑰和密文經(jīng)ECB模式解密,結(jié)果和給定明文完全相同; c)密碼機(jī)對給定的密鑰和明文經(jīng)CBC模式加密,結(jié)果和給定密文完全相同; d)密碼機(jī)對給定的密鑰和密文經(jīng)CBC模式解密,結(jié)果和給定明文完仝相同 e)密碼機(jī)對給定的密鑰和明文經(jīng)OB模式加密,結(jié)果和給定密文完全相同; f)密碼機(jī)對給定的密鑰和密文經(jīng)OFB模式解密,結(jié)果和給定明文完全相冋: g)密碼機(jī)對給定的密鑰和明文經(jīng)CBB模式加密,結(jié)果和給定密文完全相同 h)密碼機(jī)對給定的密鑰和密文經(jīng)(HB模式解密,結(jié)果和給定明文完全相同 6.8.2設(shè)備非對稱密碼運(yùn)算檢測 服務(wù)器密碼機(jī)應(yīng)攴持SM2公鑰密碼算法。密碼機(jī)應(yīng)能夠使用SM算法對數(shù)據(jù)進(jìn)行加解密、 簽名/驗(yàn)笠和密鑰協(xié)商運(yùn)算。應(yīng)能支持給定密鑰和眀文(密文),檢測其運(yùn)算結(jié)果的正確性, 包括 6