DB36/T 1585-2022 基于政务云平台密码服务技术规范

ICS35.080

CCSL07

DB36

江西省地方标准

DB36/T1585—2022

基于政务云平台密码服务技术规范

Technicalspecificationforcryptographicservicebasedonthegovernmentcloud

platform

2022-05-30发布2022-12-01实施

江西省市场监督管理局发布

DB36/T1585—2022

目次

前言............................................................................II

引言...........................................................................III

1范围..............................................................................1

2规范性引用文件....................................................................1

3术语和定义........................................................................1

4缩略语............................................................................3

5密码服务系统......................................................................3

6系统功能分区......................................................................6

7服务内容..........................................................................8

8服务管理规范......................................................................9

9服务应用规范.....................................................................11

附录A（规范性附录）密码服务系统接口...............................................13

I

DB36/T1585—2022

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本文件由江西省发展和改革委员会提出并归口。

本文件起草单位：江西省信息中心。

本文件起草人：杜军龙、曹成立、温小雨、龙映辉、何黎明、周剑涛、袁小乐、姜林海、刘曙、潘

志安、刘芳芳、张彤、胡章敏、占晓华、熊玲珍、许正义、陈海俊。

II

DB36/T1585—2022

引言

为规范和统一全省政务云平台密码服务系统的体系建设，依据《关于印发江西省政务信息化项目建

设管理办法的通知》（赣府厅字〔2020〕68号）、《关于规范省级网络和信息系统商用密码应用与安全

性评估工作的通知》（赣国密局字〔2020〕12号）、《信息安全技术信息系统密码应用基本要求》（GB/T

39786）等要求，特制定本规范。

III

DB36/T1585—2022

基于政务云平台密码服务技术规范

1范围

本文件规定了基于政务云平台密码服务总体技术架构，政务云平台密码服务系统资源池和密码服务

接口的技术要求。

本文件适用于指导政务云平台密码服务系统建设和政务云平台中云租户的用户终端、网络接入、应

用系统、应用数据对密码服务的应用。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T37033信息安全技术射频识别系统密码应用技术要求

GB/T39786信息安全技术信息系统密码应用基本要求

GM/T0036采用非接触卡的门禁系统密码应用技术指南

GM/T0062密码产品随机数检测要求

3术语和定义

GB/T39786界定的以及下列术语和定义适用于本文件。

3.1

密码cryptogram

对不涉及国家秘密内容的信息进行加密保护或者安全认证所使用的技术和产品。

3.2

电子政务外网E-governmentextranet

电子政务重要基础设施，服务于各级党委、人大、政府、政协、纪委监委、法院和检察院等政务部

门，满足其社会管理、公共服务、经济调节和市场监管等方面需要的政务公用网络。电子政务外网支持

跨地区、跨部门的业务应用、信息共享和业务协同，以及不需在政务内网上运行的业务。电子政务外网

与互联网逻辑隔离。

3.3

政务云governmentcloud

用于承载各级政务部门开展公共服务、社会管理等电子政务业务信息系统和数据，及政务门户网站

的云计算基础设施，可根据不同业务和需求提供基础设施即服务（IaaS）、平台即服务（PaaS）、软件

即服务（SaaS）。

1

DB36/T1585—2022

3.4

政务信息系统governmentinformationsystem

由政务部门建设、运行或使用的，用于直接支持政务部门工作或履行其职能的各类信息系统。

[来源:GB/T40692—2021，定义4]

3.5

密码服务系统cryptographicservicesystem

将云计算技术与身份认证、授权访问、传输加密、存储加密等密码技术深度融合，实现对外提供密

码服务的应用系统。

3.6

虚拟化virtualization

一种资源管理技术，将计算机的各种实体资源（处理器、内存、磁盘空间、网络适配器等），予以

抽象、转换后呈现出来并可供分割、组合为一个或多个电脑配置环境。

3.7

密钥key

控制密码算法运算的关键信息或参数。

[来源:GB/T39786—2021，定义3.6]

3.8

密钥管理keymanagement

根据安全策略，对密钥的产生、分发、存储、使用、更新、归档、撤销、备份、恢复和销毁等密钥

全生命周期的管理。

[来源:GB/T39786—2021，定义3.7]

3.9

租户tenant

对一个物理和虚拟资源进行共享访问的一个或多个云服务用户。

3.10

资源池化resourcepooling

将云服务提供者的物理或虚拟资源集成起来服务于一个或多个云服务客户的方式。

3.11

保护密钥protectionkey

2

DB36/T1585—2022

非对称密钥，用于对分发的密钥进行加密保护。

4缩略语

下列缩略语适用于本文件。

TCP：传输控制协议(TransmissionControlProtocol)

IP：互联网协议(InternetProtocol)

SSL：安全套接字协议（SecureSocketsLayer）

IPSEC:互联网安全协议（InternetProtocolSecurity）

5密码服务系统

5.1总体架构

密码服务系统包含密码应用层、中间件层、管理服务层、密码资源层，依托密码安全技术，利用云

计算技术，为云平台承载的政务信息系统提供密码应用服务。密码服务系统总体架构如图1所示。

密

码

应网络与传输密

终端密码应用业务密码应用设备密码应用

用码应用

层

中

间

件跨平台密码中间件

层

管密码服务

理

服

务密码管理

层

密密码资源

码

资

源

层基础设施

图1密码服务系统总体架构

5.2系统层级

5.2.1密码应用层

密码应用层是密码服务应用范围的统称，密码应用层包括终端密码应用、网络与传输密码应用、业

务密码应用和设备密码应用四个方面。

a)终端密码应用：实现终端用户身份鉴别、终端数据传输和存储安全等；

b)网络与传输密码应用：实现对应用系统与外部实体之间网络通信的安全防护，例如通信双方身

份鉴别、传输安全防护等，确保网络可信接入和安全访问控制；

c)业务密码应用：实现云平台承载的政务信息系统的身份鉴别、访问控制、数据安全、数据收发

行为不可否认性防护；

3

DB36/T1585—2022

d)设备密码应用：通过身份鉴别、权限控制、数据传输保护、操作行为不可否认等技术实现运维

管理安全。

5.2.2中间件层

中间件层提供跨平台密码应用，基于底层密码服务，封装各类通用密码服务接口，制定相应的规范，

满足业务应用调用密码服务需求；中间件应支持多种操作系统运行环境。

5.2.3管理服务层

对云平台承载的政务信息系统提供密码服务，对密码资源层提供密码管理。

5.2.4密码资源层

密码资源基于密码软硬件设施，主要为密码服务系统提供密钥资源；基础设施由密码软硬件设备构

成，为密码资源提供密码应用所需的算力支撑和物理安全保护服务。

5.3建设要求

5.3.1总体要求

总体要求如下：

a)密码服务系统在规划阶段、建设阶段和运行阶段，需根据《商用密码应用安全性评估管理办法

（试行）》等相关要求，按照GB/T39786执行，从物理和环境安全、网络和通信安全、设备

和计算安全、应用和数据安全四个层面采用密码技术措施，建立安全管理制度，采取有效的安

全管理措施；

b)密码服务系统建设完成后，投入运行前应进行密码应用安全性评估，并达到GB/T39786第三

级密码应用要求；

c)政务信息系统建设完成后，建设单位委托国家密码管理部门认定的商用密码应用安全性评估机

构对系统开展商用密码应用安全性评估。系统通过商用密码应用安全性评估是项目验收的必要

条件；

d)网络安全等级保护第三级及以上的信息系统、关键信息基础设施、政务信息系统，以及密码相

关法律法规和国家有关规定提出明确要求的其他网络和信息系统每年至少开展商用密码应用

安全性评估一次。

5.3.2通用要求

密码服务系统建设应符合以下通用要求：

a)密码服务系统的基础设施须经过国家密码管理部门核准的商用密码产品；

b)随机数安全性需满足GM/T0062中的E类产品要求，具备出厂检测、上电检测、周期检测、

单次检测等随机数检测项目；

c)密码服务系统中凡涉及对称算法、非对称算法、杂凑算法时，需采用满足国家密码主管部门批

准的商用密码算法；

d)密钥的分发支持物理和在线两种方式。支持密钥数据传输时保护密钥的协商协议，密钥分发机

制可提供多种密钥分发策略；

e)根据不同的安全需求,密码服务系统需提供多种不同安全等级的密钥隔离机制。针对高安全等

级场景，能够支持基于硬件虚拟化技术实现的密钥隔离，保证各政务信息系统独享安全密码服

4

DB36/T1585—2022

务。

5.3.3安全要求

5.3.3.1物理和环境安全

实现对密码服务系统所在机房等重要区域的物理防护，应具备的密码功能包括：

a)确认进入各重要区域人员的身份，防止无关和假冒人员进入；

b)保护电子门禁系统进出记录和视频监控音像记录的完整性，防止被非授权篡改。

应结合政务信息系统的网络安全等级选用以下密码应用措施：

a)部署基于密码技术的电子门禁系统（参考GB/T37033、GM/T0036），对重要物理区域（如计

算机集中办公区、设备机房等）出入人员的身份进行鉴别，并对电子门禁系统进出记录等数据

进行完整性保护，数据保留不少于180天；

b)部署基于密码技术的视频监控系统，对视频监控音像记录等数据进行完整性保护，数据保留不

少于180天。

5.3.3.2网络和通信安全

实现对密码服务系统与外部实体之间网络通信的安全防护，应具备的密码功能包括：

a)确保通信实体的身份，防止与假冒实体进行通信；

b)保护通信过程中的数据，防止数据被非授权篡改，防止敏感数据泄露。

在非安全网络信道中传输敏感数据时，应结合政务信息系统的网络安全等级保护要求部署具有商密

型号认证的安全网关类产品，实现通信实体的身份鉴别，通信过程中敏感数据的机密性、完整性保护，

网络边界访问控制信息的完整性保护。

5.3.3.3设备和计算安全

实现对密码服务系统中各类设备和计算环境的安全防护，应具备的密码功能包括：

a)对设备的特权用户（含系统管理员、系统操作员、审计管理员）和普通用户的身份进行识别和

确认，防止假冒人员登录；

b)在远程管理时，确保信息传输通道的安全，防止远程传输的信息泄漏；

c)保护计算机、服务器等设备中的系统资源访问控制信息（如设备配置信息、安全策略、资源访

问控制列表等）、重要信息资源安全标记（如数据标签等）、日志记录（如系统日志、数据库

日志等）和重要可执行程序（如重要应用程序、关键系统文件等），防止被非授权篡改。

在计算机终端和服务器上，应结合政务信息系统的网络安全保护等级选用以下密码应用措施：

a)在计算机终端上部署智能密码钥匙、动态口令或其他具有身份鉴别功能的密码产品，对登录的

用户进行身份鉴别；

b)为远程管理搭建安全通信链路（如SSL通道），保护信息的机密性；

c)在服务器端部署具有商密型号认证的签名验签服务器或密码机，实现安全计算能力，建立从系

统到应用的信任链，保护重要信息的完整性，保证计算环境的安全可信；

d)在计算机终端上部署、使用国密安全浏览器。

5.3.3.4应用和数据安全

5

DB36/T1585—2022

实现对政务信息系统中应用及其数据的安全防护，应具备的密码功能包括：

a)确认信息系统的管理员和普通用户的身份，防止假冒人员登录；

b)对信息系统的访问控制策略（如安全策略、资源访问控制列表等）、数据库表访问控制信息（如

用户身份信息、数据库安全策略、用户权限列表等）、重要信息资源安全标记（如数据标签）

等进行保护，防止被非授权篡改；

c)保护客户端与服务器之间、信息系统之间在非安全网络信道中传输的重要数据（包括但不限于

鉴别数据、重要业务数据、重要用户信息等），防止数据泄露；

d)保护存储的重要数据（包括但不限于鉴别数据、重要业务数据、重要用户信息等），防止数据

泄露、非授权篡改；

e)保护可能涉及法律责任认定的信息系统中的数据发送和数据接收操作，确保发送方和接收方对

已经发生的操作行为无法否认。

应结合政务信息系统的网络安全保护等级选用以下密码应用措施：

a)部署证书认证系统或直接采用具有电子政务电子认证服务资质的机构提供的电子认证服务，为

用户配置智能密码钥匙、智能集成电路卡、移动智能终端密码模块等具备身份鉴别功能的密码

产品，对系统用户身份进行管理；

b)采用智能密码钥匙或动态口令技术，对访问应用服务器的用户进行身份鉴别；

c)利用IPSEC/SSL技术，对客户端与服务器端、信息系统之间传输的数据进行机密性和完整性

保护；

d)部署存储加密产品、服务器密码机或其他密码模块，对存储的重要数据进行机密性和完整性保

护；

e)部署签名验签服务器、服务器密码机或其他密码模块，对访问控制信息、重要信息资源安全标

记进行完整性保护；

f)根据信息系统的需要，部署签名验签服务器、电子签章系统、时间戳服务器等密码产品，对收

发的数据及相关操作记录进行签名，实现数据原发行为的不可否认性和数据接收行为的不可否

认性。

6系统功能分区

6.1功能分区框架

密码服务系统基于软硬件密码设备资源建设，具有独立部署、高兼容性、低耦合性、可拓展性等特

点，针对政务云平台不同的政务信息系统，可采用不同的部署方式提供集中的密码服务，密码服务系统

功能分区框架如图2所示。

6

DB36/T1585—2022

中间件功能区跨平台密码应用中间件

密钥管密码

机密性服务随机数服务完整性服务身份鉴别服务不可否认性服务

服务区理服务服务

管理服务区

密码服务

设备配置用户管理应用管理日志审计

管理区管理系统

密码资源区密码计算资源池物理密码资源虚拟密码资源

基础设施区密码机签名验签服务器时间戳服务器动态口令服务器……

图2密码服务系统功能分区

6.2基础设施区

密码服务系统基础设施区由密码设备组成，包括密码机、签名验签服务器、时间戳服务器、动态口

令服务器等。密码设备需为国家密码管理局批准型号，相关产品符合国家密码管理局要求。其中，主要

密码设备功能如下表所示：

表1基础设施区功能表

序号密码设备名称主要功能

a)密钥产生、存储、使用、备份恢复；

b)数据加密、解密；

1密码机

c)数字签名；

d)完整性算法。

a)密钥生成、存储；

b)数据签名、验证；

c)数字信封功能；

2签名验签服务器

d)数据杂凑；

e)证书解析；

f)证书有效性验证。

7

DB36/T1585—2022

表1基础设施区功能表（续）

序号密码设备名称主要功能

a)密钥生成、存储；

b)数据杂凑；

3时间戳服务器c)签发、验证时间戳；

d)证书解析；

e)证书有效性验证。

a)动态密码种子生成；

4动态口令服务器b)动态密码验证；

c)动态密码管理。

6.3密码资源区

为支撑云计算环境下的密码应用，密码服务系统应构建密码资源池（包括物理密码资源、虚拟密码

资源），通过密码服务管理系统进行密码资源的分配、管理和统一调度，实现按需扩展、灵活配置。密

码资源池技术功能包括：

a)密码资源池的最大服务范围应为一个安全可控区域；

b)密码资源池应能够根据业务需求进行弹性扩充，并进行统一监控调度和分配，应具有协同处理

和容错能力，不因物理安全设备单元的故障或失效影响到整个资源池的正常运行；

c)通过密码服务管理系统实现对云租户密码服务的管理，包括密码服务需求分解、分配密码资源