《山东省集成电路（IC）卡应用技术规范第2部分 卡应用.doc》由会员分享，可在线阅读，更多相关《山东省集成电路（IC）卡应用技术规范第2部分 卡应用.doc（36页珍藏版）》请在三一文库上搜索。
1、GB/T 山东省质量技术监督局 发布2009-实施2009-发布集成电路（IC）卡应用技术规范第2部分：卡应用Application technical specification for integrated circuit（IC） card一 Part 2：Card application（送审稿）DB37/T .22009ICS . L 备案号：11200101527山东省地方标准DB37/T xxx.2-2009目 次前言I1范围12规范性引用文件13符号和缩略语14应用体系14.1基本功能与应用领域14.2卡结构14.3应用管理机制15IC卡应用环境35.1文件35.2应用的标识符和
2、标签35.3IC卡应用环境35.4密钥46IC卡文件结构46.1CPU卡应用文件结构46.2逻辑加密卡应用文件结构（供参考）267应用流程317.1交易预处理317.2查询应用信息327.3操作员更新应用信息347.4更改个人密码367.5应用维护功能388IC卡应用系统要求398.1应用系统总体架构398.2发卡系统技术要求398.3中央清算系统技术要求398.4数据采集技术要求408.5互联互通基本要求408.6应用系统安全要求409数字证书419.1政务数字证书格式419.2政务数字证书规范479.3政务数字证书接口4710密钥系统和安全技术要求4710.1密钥系统基本要求4710.2密
3、钥系统4710.3密钥管理的安全要求4810.4安全存取模块4910.5安全加密设备的安全要求4911卡应用系统验收要求5011.1验收基本流程5011.2专用IC卡产品验收要求5112应用扩展规则52附录A （规范性附录） 政务证书种类及其规范54316 应用流程7.1 交易预处理图4示出了对IC卡应用的所有交易共有的预处理流程。步骤1.1 IC卡进入终端操作范围步骤1.2 选择IC卡应用环境步骤1.3进入IC卡应用环境或扩展应用环境步骤1.4启动具体应用交易流程图1 交易预处理流程步骤1.1 插入IC卡进入终端操作范围终端应具有检测IC卡是否进入终端操作范围的功能。如果IC卡已经进入终端操
4、作范围，终端将继续执行步骤1.2。步骤1.2 选择IC卡应用环境使用“SELECT”命令，采用IC卡应用DDF名对IC卡应用环境进行选择。对于IC卡扩充的应用区，使用相应应用DDF名选择。步骤1.3 进入IC卡应用环境或扩展应用环境成功进行步骤1.2后，即进入了IC卡应用环境，或者根目录下其他的扩展应用区。步骤1.4 启动具体应用交易流程进入具体的应用环境后，根据应用环境类型的不同，启动不同的后续交易处理流程。如果步骤1.3进入其他的扩展应用环境，则后续处理流程按照该应用相应的规定进行。7.2 查询应用信息通过查询应用信息，持卡人(或操作员)可以获得IC卡中想了解的或与办理具体事务相关的信息。
5、这种交易对终端是否联网无任何要求，对某一具体的应用信息的读取操作权限仅受终端中PSAM卡控制。图5示出了查询应用信息的处理流程。正确停止继续不存在存在是否步骤2.1：读取信息是否受控步骤2.2：发出“GET CHALLENGE”命令步骤2.3：处理“GET CHALLENGE”命令步骤2.4： 计算鉴别数据步骤2.5：发出“EXTERNAL AUTHENTICATION”命令错误步骤2.6：验证鉴别数据步骤2.7：返回错误状态步骤2.8：发出“READ”命令读取所需要的数据步骤2.9：数据是否存在步骤2.7：返回错误状态步骤2.10：返回数据步骤2.11：继续读取步骤2.12：显示已读的信息结
6、束开始IC卡IC卡IC卡终端/PSAM图2 查询应用信息的处理流程步骤2.1 判断读取信息是否受控终端应该知道对某一具体的应用信息的读取操作是否受控。如果信息读取操作是不受控的，则转入步骤2.8；否则，继续按下述步骤执行。步骤2.2 发出“GET CHALLENGE”命令终端应按本标准第1部分卡片中的描述发出“GET CHALLENGE”命令以获取产生鉴别数据所需的卡随机数。步骤2.3 处理“GET CHALLENGE”命令收到“GET CHALLENGE”命令后，IC卡将产生一个随机数(ICC)，并将此随机数作为响应报文回送给终端。如果IC卡回送的状态码不是9000，则交易终止。步骤2.4
7、计算鉴别数据终端在得到IC卡回送的随机数(ICC)后，将进行以下操作：a) 产生一个随机数(终端)或向PSAM卡请求一个随机数(PSAM)；b) 使用预先设计的控制密钥和密钥版本号(可选)，要求PSAM卡计算并返回鉴别数据。如果PSAM卡中不存在所需的控制密钥或不支持密钥版本号，则PSAM卡应该终止命令的处理过程。步骤2.5 发出“EXTERNAL AUTHENTICATION”命令终端应按本标准第1部分卡片中的描述发出“EXTERNAL AUTHENTICATION”命令启动控制权限认证。步骤2.6 验证鉴别数据收到“EXTERNAL AUTHENTICATION”命令的响应后，IC卡将进行
8、以下操作：a) 检查指定密钥的尝试计数器。如果其值为零，则该密钥已经锁定，因此不执行该命令，IC卡回送状态码6983(鉴别方式锁定)结束交易过程；b) 如果密钥没有锁定，则使用随机数(ICC) (由“GET CHALLENGE”命令产生)按照本标准第1部分卡片描述的方式产生过程密钥；c) 使用该过程密钥按照本标准第1部分卡片描述的方法计算出IC卡内的鉴别数据。并与命令数据中的鉴别数据进行比较；d) 如果以上两个鉴别数据相同，IC卡将该密钥的尝试次数置为它所允许的最大值并回送状态码9000。IC卡必须记住该密钥成功鉴别的结果，直到断电或选择了其他应用。交易处理按步骤2.8中的描述继续进行；e)
9、如果以上两个鉴别数据不同，IC卡将该密钥的尝试计数器减1并回送状态码63Cx。这里x是该密钥尝试计数器的新值，在这种情况下，终止该交易。如果x是0，卡片自动锁定该密钥。步骤2.7 回送错误状态如果IC卡不接受交易过程中的命令或在处理命令过程中诊断出问题，它都应该向终端回送错误状态并结束交易。步骤2.8 发出“READ”命令根据应用数据的存储格式，终端应按本标准第1部分卡片中的描述发出“READ BINARY”或“READ RECORD”命令来读取所需的应用信息。步骤2.9 处理“READ”命令收到“READ”命令后，IC卡将按照命令报文的参数寻找终端所请求的数据。如果数据存在，则按步骤2.10
10、中的描述继续进行，否则应按步骤2.7中的描述操作。步骤2.10 返回数据在成功找到数据后，IC卡通过“READ”命令的响应报文将数据返回给终端。步骤2.11 判断是否还需继续读数据终端在成功读取一条信息后，应根据交易的要求，判断是否还要读取更多的数据。如果需要继续读取数据，则转入步骤2.8继续执行，否则按步骤2.12中的描述执行。步骤2.12 显示已读的数据终端将已读取的信息通过显示设备提供给持卡人或业务管理部门的操作人员。这些信息的显示格式不在本部分范围之内。7.3 操作员更新应用信息同过更新应用信息，业务管理部门的操作员可以在更新卡中记录持卡人产生变动的相关信息。这种交易对终端是否联网无任
11、何要求，对某一具体应用信息的更新操作仅受终端中的 PSAM卡的控制。图6示出了操作员更新应用信息的处理流程。停止继续不成功成功是否步骤3.1：更改信息是否受控步骤3.2： 发出“GET CHALLENG”命令步骤3.3： 处理“GET CHALLENG”命令步骤3.4： 计算鉴别数据步骤3.5： 发出“EXTERNAL AUTHENTICATION”命令错误正确步骤3.6：验证鉴别数据步骤3.7：返回错误状态步骤3.8：发出“UPDATE”命令更新所需要的数据步骤3.9：更新数据成功步骤3.7：返回错误状态步骤3.10：返回确认步骤3.11：继续更新步骤3.12：提示更新完毕结束开始IC卡IC
12、卡IC卡终端/PSAM图3 操作员更新应用信息的处理流程步骤3.1 判断更新信息是否受控终端应该明确知道对某一具体的应用信息更新操作是否受控。如果信息更新操作时不受控的，则转入步骤3.8：否则，继续按下述步骤执行。步骤3.23.7 更新操作权限的鉴别更新操作权限的鉴别过程与“查询应用信息”的步骤2.2步骤2.7相同。步骤3.8 发出“UPDATE”命令根据应用数据的存储格式，终端应按本标准第1部分卡片中的描述发出“UPDATE BINARY”或“UPDATE RECORD”命令来更新所需的应用信息。至于终端如何区分应用数据的存储格式，本部分不做规定。如果具体应用要求使用安全报文，则应按本标准第
13、1部分卡片的方法来计算和传递。步骤3.9 处理“UPDATE”命令如果具体应用要求使用安全报文，IC卡首先必须确认MAC是有效的。如果MAC有效， IC卡继续执行交易处理；否则，IC卡将向终端回送状态码6988(MAC不正确)并终止交易。交易因安全报文出错而终止时，终端应采取的相应措施不在本标准范围内。IC卡将按命令报文的参数寻找所需更新数据的存储地址。如果找到存储地址并且确认正确记录后，则按步骤3.10中的描述继续进行：否则执行步骤3.7。步骤3.10 返回确认在成功更新数据后，IC卡应向终端回送状态码9000(正常)或63Cx(经过x次尝试后完成)来确认数据更新操作的完成。步骤3.11 判
14、断是否还需继续更新数据终端在成功更新一条信息后，应根据交易的要求，判断是否还要更新更多的数据，如果需要继续更新数据，则转入步骤3.8继续进行，否则按步骤3.12中的描述操作。步骤3.12 提示已更新完毕终端在确认应用要求的所有数据都已经更新完成后，将通过适当的设备向业务管理部门的操作员提示交易完成。7.4 更改个人密码更改个人密码功能可以让持卡人在任意一个支持该交易的终端上更改其个人密码(PIN)。图7示出了更改个人密码(PIN)的处理流程。终端首先判断卡应用是否被锁定，如果被锁定终端直接提示该卡应用已被锁定，直接结束。是否否是不相等相等错误正确开始步骤4.1： 提示输入原有PIN步骤4.2：
15、 提示输入新的PIN步骤4.3： 提示确认新的PIN步骤4.4： 发出“CHANGE PIN”命令IC卡步骤4.5： 用新PIN替换原有PIN步骤4.6：修改正确？步骤4.7：错误处理錯码计数减1原密码错误！返回剩余重新尝试的次数步骤4.8：确认返回结束步骤4.6：与步骤4.7的PIN相等？重新尝试密码？卡被锁定？图4 更改个人密码(PIN)的处理流程步骤4.1 提示输入原有PIN终端通过显示设备提示持卡人输入原有的PIN。步骤4.2 提示输入新的PIN终端通过显示设备提示持卡人输入新的PIN，并接收该PIN。步骤4.3 提示确认新的PIN在持卡人输入新的PIN后，终端应通过显示设备提示持卡人
16、再次输入该新PIN，并将两次的结果进行比较。如果比较结果相同，则按所述继续；如果比较结果不一致，则向持卡人提示出错信息并结束交易。步骤4.4 发出“CHANGE PIN”命令终端应按本标准第1部分IC卡中的描述发出“CHANGE PIN”命令来更新IC卡中的PIN。步骤4.5 用新的PIN替换原来的PIN当IC卡接到“CHANGE PIN”命令时，将进行如下操作：a) 验证当前PIN是否锁定；b) 验证原有PIN；c) 将IC卡上的PIN改为命令报文中的新PIN；d) 将PIN尝试计数器置为PIN重试的最大次数。步骤4.6 判断修改是否正确IC卡应确认新的PIN已经被正确记录。如果记录正确则按
17、步骤4.8中的描述继续进行，否则按步骤4.7进行。步骤4.7 错误处理如果IC卡不接受“CHANGE PIN”命令或在处理命令过程中诊断出问题，错码计数器减1，当错码计数器为0时，此卡应用被锁定，返回错码结束，否则提示用户是否继续同类操作，如果选择“是”重复4.1至4.7步骤，如果选择否向终端回送错误状态并结束操作。步骤4.8 返回确认在成功更改PIN后，IC卡应向终端回送状态码9000来确认操作完成。终端应以合适的方式将此信息传达给持卡人。7.5 应用维护功能7.5.1 卡片锁定终端发出CARD BLOCK卡片锁定的命令来锁定卡片，命令成功执行后将使IC卡中所有应用无效。在这种情况状态下，进
18、行应用选择将会回送状态码6A81(功能不被支持)。7.5.2 应用永久锁定终端发出APPLICATION BLOCK命令来使应用永久锁定。此命令的应用由IC卡发卡机构与应用提供方商议决定。此命令的成功执行将导致IC卡中特定的应用永久锁定。在这种状态下：a) 选择此应用时，对SELECT命令IC卡回送状态码9303(应用被永久锁定)；b) 在应用被选择后，可以使用DELETE FILE命令将应用删除；c) IC卡对其它命令只回送状态码9303(应用被永久锁定)。7.5.3 应用失效(临时锁定)终端发出命令APPLICATION BLOCK来使应用临时锁定。此命令的应用由IC卡发卡机构与应用提供方
19、商议决定。此命令的成功执行将导致IC卡中特定的应用临时锁定。在这种状态下：a) 选择此应用时，对SELECT命令IC卡回送状态码6283(应用临时锁定)；b) 在应用被选择后，可以使用DELETE FILE命令将应用删除；c) 在应用被选择后，可以使用APPLICATION UNBLOCK命令将应用解锁；d) IC卡对其它命令只回送状态码6283(应用被临时锁定)。7.5.4 应用激活(应用解锁)终端发出应用解锁命令来使失效(临时锁定)的应用恢复到激活状态。7.5.5 PIN解锁PIN认证失败达到规定次数后，IC卡卡片PIN锁定。PIN锁定的卡，可以在具有解锁服务的IC卡服务机构使用解锁密钥进
20、行解锁如果PIN连续数次(具体次数由IC卡发卡机构自行决定)解锁失效，则解锁密钥 PUK被锁定。7.5.6 PIN重装重装PIN时，可以在具有PIN重装服务的IC卡服务机构使用解锁密钥进行解锁。7 IC卡应用系统要求8.1 应用系统总体架构IC卡应用系统采用层次式体系结构，第一层为管理中心、结算中心、中央清算系统和发卡系统，负责完成IC卡的发行、系统运行管理和资金清算；第二层为应用管理系统，包括应用结算中心、运营公司机数据采集点，负责完成应用或企业的资金结算、数据采集和上传及相关的应用管理功能；第三层为终端设备，负责对IC卡进行读写操作；第四层为IC卡。具体实施过程中，可根据城市规模、实施步骤
21、和应用领域的具体情况，对运行平台的体系结构、运行环境和网络架构的选择，采取分系统、分规模逐步建设的方法。8.2 发卡系统技术要求发卡系统负责管理和发布IC卡。发卡系统在IC卡应用系统中相对独立，并与中央清算系统相连。发卡系统的基本功能包括：a) 空白卡片管理；b) 卡片库存管理；c) 卡片初始化；d) 发卡数据的存储、上传和统计；e) 废卡管理。发卡系统应为每张成功发行的卡片生成一条发卡记录，并将发卡记录传送到中央清算系统。中央清算系统应为每张发行的卡片建立唯一的帐户，并保存发卡信息。发卡系统应有相关的安全措施保证发卡过程的安全。执行发卡操作的操作人员应该经过身份认证后才能执行发卡操作，发卡系
22、统应记录审计信息。8.3 中央清算系统技术要求中央清算系统的主要职能是建立并维护IC卡内资金帐户信息、处理IC卡交易数据、管理IC卡应用系统的运行、统计清算营运单位应收或应付资金以及各种相关设备信息进行管理。中央清算系统是IC卡应用系统的管理中心，是保证系统稳定运行和城际互通的关键。中央清算系统的建设应以规范化、统一化、可扩展、可维护的工程实施原则作为指导。中央清算系统应采用模块化设计，选用成熟可靠的系统平台，系统的设计容量根据IC卡的远期预计发卡数量确定，交易处理能力以每天可以处理远期预计发卡储量的2倍的交易量确定。中央清算系统应根据近期的实际需要确定通信接入能力，并具备扩展到远期预计接入点
23、数量的能力。中央清算系统的基本功能模块包括：a) 基础信息管理模块；b) 通信接入处理模块；c) 卡片管理模块；d) 系统监控管理模块；e) 帐务管理模块；f) 报表管理模块；g) 黑名单管理模块；h) 密钥管理及安全认证模块；i) 系统管理及备份模块。中央清算系统应支持系统监控功能。系统监控的范围包括：a) IC卡的使用监控；b) 中央清算系统内的操作监控；c) 发卡系统监控；d) 密钥使用监控；e) 资金流监控；f) 中央清算系统的资源监控；g) 网络监控。中央清算系统应提供友好的图形化的界面显示相关的监控信息。对非法操作、有可能影响系统正常运行或对系统安全产生影响的故障要有明确的报警信息
24、。中央清算系统的基本技术指标包括：a) 历史交易明细联机保存时间：不小于90d；b) 统计数据联机保存时间：不小于1y；c) 历史交易查询响应时间：不大于10s；d) 日终批处理时间：不大于4h；e) 数据备份时间：不大于2h；f) 单张报表生成打印时间：不大于2min；g) 故障恢复时间：恢复业务工作不大于24h。中央清算系统应配置合适容量的不间断电源，至少可以保证清算系统在失电后运行30min，并可以保证正常关闭应用程序和相关设备。清算中心应具备可靠的热备份机制，关键设备没有单点故障，保证系统满足24h不停机运行的要求。在电源、设备或系统出现故障时，应保证清算系统的数据不会丢失。8.4 数
25、据采集技术要求IC卡应用系统终端可以采用联机数据采集和脱机数据采集两种方式，联机数据采集使用网络技术实现，脱机数据采集可以使用IC卡或专用的数据采集介质实现。在网络正常的情况下，联机数据采集的时间间隔不大于12h。脱机数据采集的时间周期根据行业应用的要求确定。数据采集的过程应保证数据的完整性和可靠性。在数据采集的过程中不能对数据进行删除或篡改。使用联机方式采集数据时，由于网络故障造成数据采集失败，应可以重新对数据进行采集，数据不能丢失并可以自动虑除重复数据。在网络故障暂时不能恢复时，应提供备用的脱机手段采集数据。使用脱机方式采集数据时，在采集过程中意外中断，不应造成数据丢失。在故障排除后重新采
26、集时，应保证数据的完整性并可以自动虑除重复数据。在未得到数据采集成功的确认前，终端设备中的数据不能删除。在至少两个采集周期之内，允许重新对上次已采集的数据重新采集。数据采集的时间根据行业应用的要求确定。8.5 互联互通基本要求IC卡应用系统的建设，应充分考虑IC卡应用系统对互联互通扩展的支持，IC卡应用系统建设对互联互通的要求如下：a) 用户卡卡片结构要求符合本标准；b) 消费终端消费流程要求符合本标准；c) 采用的消费终端要求支持多种类型的用户卡；d) 生成的记录格式要求符合本标准；e) 采用山东省IC卡统一的密钥安全体系。8.6 应用系统安全要求8.6.1 一般安全要求IC卡应用系统应具有
27、防止外部及内部攻击破坏能力、灾害恢复能力、保证数据完整性和一致性的能力。a) 系统应有可定时或自动升级的防火墙软硬件，防止外来的攻击和破坏；b) 系统应有可定时或自动升级的网络防病毒软件，防止病毒的侵害；c) 系统在有条件时应采用专用网络，或使用虚拟专用网络。系统应有专门管理工作站负责系统安全监控和审计，防止非法IP节点接入；d) 系统应有多重数据备份方案，在发生数据存储装置意外时可重新恢复数据；e) 系统应有灾害处理预案，可在根据应用要求确定的时间内恢复系统运行；f) 系统应有除密码口令外的操作员和管理员多级身份识别装置(如：USBKEY、SDCARD、UM卡、SIM卡等证书存储介质)，实现
28、证书身份识别、权限登录认证，以防止非法或越权操作；g) 任何操作都在访问控制机制下进行，受控信息只有在得到权限后才可以操作，同时建立完善的日志管理机制。8.6.2 数据安全要求系统产生的所有数据都应附有PSAM或ISAM运算产生的验证码以及校验码。除充分保证数据在应用环节的准确性、敏感数据的安全性外，对受到自然或人为的影响后，数据的损坏进行灾难恢复也应用相应的措施，其中涉及到系统容错、数据备份、数据恢复等方面。a) 未经验证的数据不得存入主数据库；b) 数据库应进行存取权限管理，在未经授权的情况下，不允许对数据进行修改；c) 主数据库应存储在具有实时容错备份能力的存储装置中，如磁盘阵列等；d)
29、 为防止意外灾害，定期应将数据备份保存在不同的地理位置(可采用磁带或安装在其他地点的数据存储装置)；e) 在系统发生灾害后，使用数据备份恢复数据库的时间一般不应超过24h；f) 存入各类交易终端的数据应用备份，可防止终端损坏时丢失数据。8.6.3 网络及传输安全要求a) 网络设置的防火墙应具有以下功能：1) 保护那些易受攻击的服务；2) 拒绝未经批准的服务；3) 控制对特殊站点的访问；4) 集中化的安全管理；5) 对网络存取访问进行记录和统计，可提供是否遭受攻击的报告。b) 网络防病毒软件应具有以下功能：1) 检测和定位已侵入系统的计算机病毒；2) 防止病毒在系统内的传染；3) 清除或隔离系统
30、中已发现的计算机病毒；4) 可自动或定期升级。c) 数据传输安全。1) 应用数据的加密传输IC卡交易数据的传输，必须全部进过加密传输。即网络节点之间的网上数据进行加密。2) PKI认证在保障网络不被侵犯的同时，对网络上传输的信息也要采取必要的安全措施。为了保护卡片交易数据传输，应采用PKI技术对信息真伪进行鉴别，服务器之间的数据传输需采用服务器证书建立双向SSL通道,终端服务器之间通讯建立SSL通道。3) 密钥生成、约定和传输在一段通信线路两端的两个硬件加密机中均有相同的次主密钥。根据密钥管理的操作规范，硬件加密机中的主钥由本结构的高层人士自行输入；次主密钥由通信线路两端的两个机构的高层人士各
31、自输入一部分，再由加密机生成次密钥，并用主密钥加密后保存在主机上。在这两端的主机内，有着相同MAC密钥，统称为数据密钥。在服务中心和分系统之间，数据密钥由服务中心一侧生成后，分发到分系统。8.6.4 环境及设备安全要求在使用环境中，对于系统中使用的所有设备来说，都收到来自于物理上的安全威胁，诸如盗窃、破坏、雷击、静电等；针对安全设备，还要考虑防电磁泄漏，采取必要的屏蔽措施，应严格按照现行国家或行业的相关标准进行系统运行环境建设。8 数字证书9.1 政务数字证书格式9.1.1 数字证书基本结构政务数字证书的基本结构由三部分组成：基本证书域TBSCertificate 、签名算法域Signatur
32、eAlgorithm 、签名值域SignatureValue 。基本证书域由基本域和扩展域组成，见图8。政务数字证书基本证书域签名算法域签名值域基本域扩展域图5 政务数字证书结构注：本章描述的是政务数字证书的通用格式，特定格式的描述见相应章节。9.1.2 基本证书域9.1.2.1 基本域基本域由如下部分组成：版本 Version a) 序列号 Serial Number b) 签名算法 Signature Algorithm c) 颁发者 Issuer d) 有效期 Validity e) 主体 Susdinfect f) 主体公钥信息 Susdinfect Public Key Info 本
33、部分规定证书颁发者名称和证书主体名称不能重用。在证书基本域不包括颁发者唯一标识符IssuerUniqueID和主体唯一标识符SusdinfectUniqueID。9.1.2.2 版本 描述了数字证书的版本号。 政务数字证书包含扩展域，因此规定政务数字证书应使用版本3。（对应的值是整数2 ）9.1.2.3 序列号 由CA分配给每个证书的一个正整数。一个CA颁发的每张证书的序列号应是唯一的，CA应保证序列号是非负整数。序列号可以是长整数，CA应确保不使用大于20个8特字节的序列号。9.1.2.4 签名算法CA颁发该证书所使用的密码算法的标识符，应与证书中签名算法域中的签名算法相同，可选参数的内容完
34、全依赖所标识的具体算法。9.1.2.5 颁发者标识了证书签名和证书颁发的实体。它必须包含一个非空的可辨别名。该项被定义为X . 50的Name类型。 颁发者可辨别名的C ( Country )属性的编码使用Printablestring 、Email属性的编码使用IA5String , 其它属性的编码一律使用UTF8string。9.1.2.6 有效期一个时间段。在这个时间段内，CA担保它将维护关于证书状态的信息。该项被表示成一个具有两个时间值的SEQUENCE类型数据，证书有效期的起始时间（notBefore ）和证书有效期的终止时间（notAfter ）。2049年之前（含2049年）的时
35、间值应编码为UTCTime类型，2050年之后（含2050年）的时间值应编码为GeneralizedTime类型。9.1.2.7 主体描述了与主体公钥中的公钥绑定的实体信息。该项不能为空。终端实体数字证书主体的内容和编码方式见9.1.6 命名规范。9.1.2.8 主体公钥信息用来标识证书主体公钥和相应的公钥算法。9.1.3 扩展域9.1.3.1 政务数字证书扩展域构成政务数字证书扩展域可包含多项扩展项。每项扩展项由扩展类型、扩展关键度和扩展项值组成，见图9 。扩展域扩展项1扩展项2扩展项3扩展项n。扩展类型扩展关键度扩展项值图6 扩展域构成政务数字证书可使用如下证书扩展项： 机构密钥标识符 A
36、uthority Key Identifier 主体密钥标识符 Susdinfect Key ldentifier 密钥用法 Key Usage 扩展密钥用途 Extended Key Sage 私有密钥使用期 Private Key UsagePeriod 证书策略 Certificate Policis 策略映射 Policy MappingS 主体可选替换名称 Susdinfect Alternative Name 颁发者可选替换名称 Issller Alternative Name 主体目录属性Susdinfect Directory Attribute 基本限制 Basic Cons
37、traints 名称限制 Name Constraints 策略限制 Policy Constraints 证书撤销列表分发点 CRLDistributionPointS 限制任意策略 InhibitAnyPoliCy 最新证书撤销列表 FreshestCRL 机构信息访问 Authority Information Access 主体信息访问 Susdinfect Information Access除上述证书扩展项，本部分还支持如下私有扩展项： 个人身份证号码 Identify Card Number 个人社会保险号 Insurance Number 企业工商注册号 ICRegistrat
38、ion Number 企业组织机构代码 Organization Code 企业税号 Taxation Number 除上述证书扩展项，本部分还定义了如下私有扩展项： 主体银行基本账号 Susdinfect Basic Account 政务个人唯一标识 Government Affair Person UniqueID 政务机构唯一标识 Government Affair Unit UniqueID 9.1.3.2 机构密钥标识符 用于标识与以颁发该证书的签名私钥相对应的公钥。 除CA自签名证书外，所有证书应具有机构密钥标识符扩展项。 政务数字证书的机构密钥标识符应使用keyIdentifie
39、r的形式，从CA对应数字证书中的BIT STRING susdinfeCtPubliCKey的160比特散列值（不包括标签、长度和不使用的字节数目）生成。该扩展项应为非关键扩展项。9.1.3.3 主体密钥标识符提供了证书中的公开密钥的进一步标识。所有证书应具有主体密钥标识符扩展项。政务数字证书的主体密钥标识符应从该数字证书中的BIT STRING susdinfectPublicKey的160比特散列值（不包括标签、长度和不使用的字节数目）生成。该扩展项应为非关键扩展项。9.1.3.4 密钥用法指示证书中的公开密钥用于何种用途。所有证书应具有密钥用法扩展项。该扩展项应为关键扩展项。注：政务数字
40、证书支持双证书体制，CA应区分用于机密性和其它用途的密钥。9.1.3.5 扩展密钥用途指示证书中的公开密钥可以用于何种用途，它可作为对密钥用法扩展项中指明的基本用途的补充。扩展密钥用途以对象标识符OID的形式表示。 政务数字证书可使用扩展密钥用途扩展项。 该扩展项应为非关键扩展项。9.1.3.6 私有密钥使用期指明与证书中的公开密钥相对应的私有密钥的使用期限。该项只能用于数字签名密钥。政务签名证书宜使用私有密钥使用期扩展项。 该扩展项应为非关键扩展项。9.1.3.7 证书策略列出了由颁发的CA所认可的证书策略。在CA证书中，证书策略扩展项表示了通过该CA证书的认证路径中允许的证书策略。在终端实
41、体证书中，证书策略扩展项表示了该终端实体证书颁发过程中所使用的证书策略。政务数字证书中可使用证书策略扩展项。9.1.3.8 策略映射列出了在认证路径中等价的证书策略对。策略映射扩展项只用于CA证书。政务以证书中可使用策略限制扩展项。9.1.3.9 主体可选替换名称包含一个或多个可选替换名（可使用多种名称形式中的任一个）。 主体可选替换名称扩展项中包含证书主体的附加信息。主体可选替换名称扩展项的名称。形式包括： 电子邮件地址、DNS名称、IP地址和统一资源标识符（URI）。 主体可选替换名称扩展项可以包括多种名称形式、每种名称形式可以有多个实例。主体可选替换名称扩展项中的所有信息必须经过CA验证
42、。 政务数字证书中可使用主体可选替换名称扩展项。 主体可选替换名称内容和编码方式见9.1.6 命名规范。该扩展项应为非关键扩展项。9.1.3.10 颁发者可选替换名称包含一个或多个可选替换名（可使用多种名称形式中的任一个）。颁发者可选替换名称扩展项中包含证书颁发者的附加信息。颁发者可选替换名称扩展项的名称形式包括：电子邮件地址、DNS名称、IP地址和统一资源标识符（URI）。颁发者可选替换名称扩展项可以包括多种名称形式、每种名称形式可以有多个实例。政务数字证书中可使用颁发者可选替换名称扩展项。该扩展项应为非关键扩展项。9.1.3.11 主体目录属性包含证书主体期望的任何目录属性值。政务数字证书
43、中不宜使用主体目录属性扩展项。该扩展项应为非关键扩展项。9.1.3.12 基本限制用于标识证书的主体是否是一个CA、通过该CA可能存在的认证路径的最大长度。政务终端实体证书可使用基本限制扩展项。在政务终端实体证书中应为非关键扩展项。政务CA证书应使用基本限制扩展项。在政务CA证书中应为关键扩展项。9.1.3.13 名称限制包含一个名称空间，表明了在通过该CA的认证路径中后续的证书主体的名称空间。名称限制扩展项只用于CA证书。政务CA证书中可使用名称限制扩展项。该扩展项应为关键扩展项。9.1.3.14 策略限制提供了CA对于认证路径的附加要求。该扩展项可用于禁止策略映射或要求认证路径中的每个证书
44、包含一个认可的证书策略OID 。策略限制扩展项只用于CA证书。政务CA证书中可使用策略限制扩展项。9.1.3.15 证书撤销列表分发点标识如何获得证书相应的CRL信息。政务数字证书中应具有证书撤销列表分发点扩展项。该扩展项应为非关键扩展项。9.1.3.16 限制任意策略描述使用anyPolicyOID 2 5 29 32 0 时的限制。限制任意策略扩展项只用于CA证书。政务CA证书中可使用名称限制扩展项。该扩展项应为关键扩展项。9.1.3.17 最新证书撤销列表标识如何获得最新的撤销信息（例如最新的增量CRL ） 政务数字证书中可使用最新证书撤销列表扩展项。该扩展项应为非关键扩展项。9.1.3.18 构信息访问标识如何访问证书颁发者的信息以及服务。政务数字证书中不宜使用机构信息访问扩展项。该扩展项应为非关键扩展项。9.1.3.19 主体信息访问包含如何访问证书主体的信息以及服务。政务数字证书中不宜使用主体信息访问扩展项。该扩展项应为非关键扩展项。9.1.4 签名算法域包含CA颁发该证书所使用的密码算法的标识符，应与基本证书域中的签名算法所标识的签名算法相同。可选参数的内