YD／T 3499-2019 标准规范下载简介

YD／T 3499-2019 互联网码号资源公钥基础设施（RPKI）安全运行技术要求 证书策略与认证业务框架.pdf简介：

"YD/T 3499-2019 互联网码号资源公钥基础设施（RPKI）安全运行技术要求 证书策略与认证业务框架.pdf"是一份关于互联网码号资源公钥基础设施（Resource Public Key Infrastructure, RPKI）的行业标准或技术指南。RPKI是一种网络安全技术，用于验证网络资源（如IP地址、域名等）的身份，通过使用公钥基础设施来确保数据的完整性和来源的可靠性。

这份文档详细规定了RPKI在互联网码号资源管理中的应用，包括证书策略（如证书的颁发、撤销、更新等规则）和认证业务框架（即如何设计和实施一个安全的认证流程，以保障码号资源的合法性和安全性）。它可能涉及的内容包括证书的生命周期管理、安全审计、风险控制、合规性要求等。

整体来说，这份标准旨在确保互联网码号资源在使用RPKI技术时，能够达到较高的安全性和可靠性，防止恶意操作和欺诈行为，维护网络环境的秩序和稳定。

YD／T 3499-2019 互联网码号资源公钥基础设施（RPKI）安全运行技术要求 证书策略与认证业务框架.pdf部分内容预览：

证书持有者可以发起证书密钥更替请求。另外，CA可通过验证私钥泄露报告后，初始化证书密钥 更替操作。当要求新公钥认证的实体为订户时，CA必须详细说明订户的身份认证和鉴别程序。当证书 更替操作由CA初始化目私钥泄露报告的来源不是订户时，CA必须详细说明私钥泄露报告的验证程序。

7.7.4处理证书密钥更替请求

《建筑施工机械与设备旋挖钻机成孔施工通用规程 GB/T25695-2010》7.2.2小节技术要求一致

7.7.5通知订户新证书的签发

7.7.8CA通知其他实体证书的签发

7.8.1证书修改的情形

YD/T34992019

证书的修改针对互联网码号资源扩展项字段的INR修改和SIA字段的发布点位置信息修改。当订 古的INR持有发生变化或者订户的发布点位置发生变化，订户可尚CA发起证书修改请求。如果订户 的INR在现有基础上有所增加且该订户并不要求为新增INR发布一个新证书，则需要通过证书修改操 作为订户重新签发一个证书，表明订户当前持有的INR。新发布的证书必须与原有证书具有相同的公钥 和过期日期，互联网码号资源扩展项字段内容为订户当前持有的INR。如果订户的部分sINR被收回， CA必须撤销相应的证书并且为订户重新签发一个新证书，以反映订户当前持有的INR。

7.8.2要求证书修改的实体

证书持有者或者签发该证书的CA可以初始化证书修改操作。当要求证书修改的实体为订户 A必须详细说明订户的身份认证和鉴别程序。

7.8.3处理证书修改请求

CA必须详细说明证书修改请求的验证程序和新证书签发程序。该过程应该同7.2小节 技术要求一致。

7.8.4通知订户修改证书的签发

7.3.2小节技术要求一致

7.8.5构成接受修改证书的行为

同7.4.1小节技术要求一致。

YD/T34992019 7.8.6CA对修改证书的发布 同7.4.2小节技术要求一致。 7.8.7CA通知其他实体证书的发布 同7.4.3小节技术要求一致。

7.9.1证书撤销的情形

满足以下几种情形时，CA或者订户必须撤销证书： 1）CA或者订户不再具有合同关系； 2）订户不再持有证书中的INR的部分或者全部： 3）CA或者订户有理由相信或者强烈地怀疑证书中公钥对应的私钥泄露； 4）为了使得证书签发的签名对象无效。 如果还有其他情形需要撤销订户证书，CA需要详细说明。

7.9.2请求证书撤销的实体

订户或者签发该证书的CA可以发起证书撤销请求。当请求证书撤销的实体为订户时，CA 说明订户的身份认证和鉴别程序

7.9.3撤销请求的程序

CA必须详细说明处理证书撤销请求的程序，应该包含以下内容： 1）订户发起证书撤销请求的程序：

7.9.4撤销请求宽限期

当订户发现出现7.9.1小节中情形时，应该尽快提出证书撤销请求，CA应该根据自身业务情 相应的宽限期

7.9.5CA处理撤销请求的时限

CA从接到证书撤销请求到完成处理请求需要一定的时间，CA应该根据自身业务情况制定证 请求处理时间

7.9.6依赖方检查证书撤销的要求

7.9.7CRL发布频率

CA必须明确规定CRL的发布频率。每一个CRL均包含一个nextUpdate字段，表明该CRL 时间，新CRL必须在该字段值标识的时间或之前发布。CA在发布一个CRL的同时必须设置该 nextUpdate字段，表示下一个CRL的预期发布时间

7.9.8CRL发布的最大滞后时间

8设施、管理和操作控制

CA必须详细说明物理控制安全策略，包括以下内容： 1）场地位置与建筑； 2）物理访问控制； 3）电子与空调； 4）水惠防治； 5）火灾防护； 6）介质存放； 7）废物处理； 8）异地备份。

每一个CA必须在CPS里详细说明程序控制安全策略，包括以下内容： 1）可信角色； 2）每项任务需要的人数； 3）每个角色的识别与鉴别； 4）需要职责分割的角色。

YD/T34992019

每一个CA必须在CPS详细说明人员控制安全策略，包括以下内容： 1）资格、经历与无过失要求； 2）背景审查程序； 3）培训要求； 4）再培训周期和要求； 5）工作岗位轮换周期与顺序； 6）未授权行为的处罚； 7）独立合约人的要求；

YD/T34992019

8）提供给员工的文档

8.4.2处理日志的周期

CA必须明确规定检查审计日志的程序和频率。

8.4.3审计日志保存期限

CA必须详细说明审计日志保留期限自

8.4.4审计日志的保护

审计日志应该根据当前工业标准进行保护。CA必须详细说明保护审计日志的策略。

.4.5审计日志备份程序

根据审计记录，CA应定期进行安全脆弱性评估，该脆弱性评估可以作为其正常商业行为的一部 必须详细说明其所使用的脆弱性评估，应该包括该脆弱性评估是否已经执行和另外一些用来重 或重复评估脆弱性的程序或计划。

CA必须详细说明私钥泄露时的处理方案，以及当灾害发生时，确保CA继续或恢复操作的处

8.7CA或RA的终止

YD/T34992019

RPKI体系中，每一个INR持有者均为一个CA。CA必须详细说明CA的终止程序，包含在合理的 时间内尽快通知订户、依赖方和其他受应的实体、INR分配授权的管理政策。由于CA实现了RA的功 能，不对RA作单独的说明。

9.1密钥对的产生和安装

9.1.1密钥对的产生

大部分情况下，订户生成自已的密钥对，在极少数情况下，订户不具备生成密钥对的能力， A为该订户生成密钥对。CA必须详细说明生成自身密钥对和订户密钥对的程序。

9.1.2私钥传输给订户

如果CA为订户生成密钥对，CA必须详细说明私钥传输给订户的安全方式。在订户生成自已 对情形下，不需要将私钥传给订户

9.1.3公钥传送给证书签发机构

在订户为自已生成密钥对时，公钥需要传给CA。CA必须详细说明确保公钥安全传输的方式 户合法地持有公钥对应的私钥。

9.1.4CA公钥传输给依赖方

除信任锚点外，每一个CA的公钥都包含在其持有的证书中，且该证书由CA签名并发布在资 统中，RP必须从资料库系统中下载证书。RP通过带外方式获取信任锚点的证书中的公钥和相关 取方式根据本地策略自行定义。比如：内置于证书路径验证软件中。

CA必须详细说明在签发证书过程中所采用的公钥算法和密钥长度，不同的证书可以有不同的公钥 算法和密钥长度，而公钥算法和密钥长度的选择范围应符合IETFRFC6485《RPKI算法和密钥长度规 范》。

9.1.6公钥参数的生成和质量检查

CA必须详细说明公钥参数和公钥算法。当订户为自已生成密钥对时，订户负责对密钥对进行质量 检查，当CA为订户生成密钥对时，CA负责对密钥对的质量检查。

9.1.7密钥使用的月的

CA签发的证书中包含了密钥用法扩展项（KeyUsage）。

YD/T 34992019

9.2私钥保护和密码模块工程控制

9.2.1密码模块的标准与控制

CA必须详细说明采用的密码模块标准与控制。

9.2.2私钥多人控制（m选n）

CA可以选择通过技术或者过程上的控制机制来实现多名可信人员共同参与CA加密设备的操作。 技术上的控制可使用“私钥分割"技术，即将使用一个私钥时所需的激活数据分成若干个部分，称为私钥 分割，分别由受过训练的可信人员持有，这些人员成为“秘密分管者”。如果一个硬件密码模块的秘密 分割总数为m，那么必须有超过n个的秘密分割才能激活存储在密码模块中的CA私钥。 CA必须详细说明m和n的数量。

RPKI体系中不要求私钥托管，如果CA为订户托管私钥，则需要详细说明。

为了应对私钥泄露安全问题，及时恢复私钥以保证服务的可持续性，私钥必须进行备份操作。CA 必须详细说明备份私钥的具体过程，必须包含以下两个方面。 1）如果采用私钥多人控制方法，备份操作也需要在多人参与下进行； 2）至少有一个备份离线存储，以便灾难恢复，

9.2.6私钥导入、导出密码模块

密钥对必须由符合9.2.1小节定义的密码模块生成，该密钥对将在这个模块中使用。此外，为了常 规恢复和灾难恢复，需要对密钥对进行备份操作。当密钥对备份到另外的密码模块上时，这种密钥对以 加密的形式在模块之间传送，并且在传递前要进行身份鉴别，以防止私钥的丢失、被窃、修改、非授权 的泄露、非授权的使用。

9.2.7私钥在密码模块的存储

私钥必须存放在硬件密码模块中，并且在密码模块中使用。CA必须详细说明私钥的授权使用程

9.2.8激活私钥的方法

9.2.9解除私钥激活状态的方法

CA必须详细说明解除私钥激活的程序。

9.2.10销毁私钥的方法

CA必须详细说明销毁CA的私钥的程序。

9.2.11密码模块的评估

9.3密钥对管理的其他方面

YD/T34992019

RPKI不支持不可否认性，没有必要进行密钥归档。如果执行公钥归档操作，CA必须详细说 归档的具体过程。

9.3.2证书操作期和密钥对使用期限

公钥和私钥的使用期限与证书的有效期相关但却有所不同，CA必须详细说明证书和密钥对的 限。另外，证书有效期到了之后，在保证安全的情况下，允许证书进行更新而密钥对不变。但是 不能无限期使用。对于不同的证书，密钥对通过证书更新允许的最长使用期限。

GB∕T 50375-2006建筑工程施工质量评价标准9.4.1激活数据的产生和安装

CA必须详细说明如何产生、存储和保护激活数据。

9.4.2激活数据的保护

9.4.3激活数据的其他方面

CA可选择地添加激活数据其他方面细

9.6生命周期技术控制

《生活污水净化沼气池标准图集 NY/T2597-2014》9.6.1系统开发控制

CA必须详细说明所使用的系统开发

9.6.2安全管理控制