sso.sz.gov.cnsso.sz.gov.cn/.../tzgg/201904/p020190424524123393654.docx · web view附件3...

附件 3

深圳市电子政务领域基于 SM系列密码算法的数字证书应用升级改造指南

深圳市密码管理局

深圳市政务服务数据管理局二〇一九年三月

目次

1 编制概述.....................................................................................................12 适用范围.....................................................................................................13 改造目标.....................................................................................................14 改造原则.....................................................................................................1

4.1 兼容性................................................................................................14.2 先进性................................................................................................24.3 健壮性................................................................................................2

5 参考文件.....................................................................................................26 专业术语.....................................................................................................27 工作阶段.....................................................................................................3

7.1 启动改造.............................................................................................37.2 应用调研.............................................................................................37.3 方案设计.............................................................................................47.4 方案审核.............................................................................................47.5 实施改造.............................................................................................47.6 商用密码应用安全性评估.......................................................................47.7 上线应用.............................................................................................4

8 总体设计.....................................................................................................48.1 改造思路.............................................................................................48.2 总体架构.............................................................................................58.3 应用改造场景.......................................................................................58.4 过渡策略.............................................................................................6

9 改造方案.....................................................................................................89.1 申报业务 SM系列密码改造方案..............................................................89.2 电子审批系统 SM系列密码改造方案......................................................139.3 电子回执系统 SM系列密码改造方案......................................................14

9.4 移动端数字证书应用 SM系列密码改造方案............................................16附件一、SM系列密码改造参考产品参数及参考价格.............................................19附件二、应用系统 SM系列密码改造相关调研表...................................................27

1 编制概述随着密码技术和计算机技术的发展，RSA等传统密码算法正面临日益严重的安全威胁，在

系统应用中存在安全风险。为保障重要领域密码应用安全，国家、广东省、深圳市下发了一系列关于 SM系列密码应用的相关文件，要求政务、金融、卫生、能源等领域在 2020年 12月前完成重要应用系统 SM系列密码改造工作。为贯彻落实推广密码应用的相关工作要求，推进深圳市电子政务领域使用数字证书应用系统的 SM系列密码改造工作，特编制本技术指南。本技术指南是深圳市电子政务领域数字证书应用系统密码改造工作所遵循的标准，在政务领

域应用系统已有数字证书应用的基础上，规范了数字证书登录认证、电子签名、电子签章等环节的密码应用，明确了密码改造工作的步骤及完成时间，提出了可参考的 SM系列密码产品清单及产品的部署实施周期，为各单位应用系统 SM系列密码改造提供指导。各单位已有数字证书应用的应用系统，须按照本指南所提出的各项技术要求进行改造；同时，

各单位可以根据自身业务需求，自行安排将尚未使用数字证书的应用系统纳入本次 SM系列密码改造工作范围。2 适用范围本指南适用于深圳市电子政务领域使用数字证书应用系统的 SM系列密码改造工作。使用数

字证书应用系统所依赖的软件、硬件及网络环境，如操作系统、数据库、中间件、路由器、防火墙等涉及的密码应用，不在本指南适用范围内。涉密应用系统不在本指南适用范围之内。

3 改造目标2020年 12月前，各单位使用数字证书应用系统应完成密码改造工作，支持 SM系列密码

和 RSA等传统密码的兼容使用，包括数字证书的认证、数据加解密、信息摘要、数字签名等应用。

2020年 12月后，各单位使用数字证书应用系统应强制切换至仅支持 SM系列密码应用。4 改造原则

SM系列密码改造须根据国家密码管理局《关于做好公钥密码算法升级工作的通知》（国密局字〔2011〕50 号）等相关要求，选择具有国家密码管理局颁发的商用密码产品型号证书资质的密码产品，开展应用系统 SM系列密码改造工作。其中，对于数字证书的使用应符合《深圳市电子公共服务数字证书使用技术指南》要求。4.1 兼容性

PAGE \* MERGEFORMAT1

在 SM系列密码改造工作开展过程中，需考虑目前存有大量 RSA等传统密码应用的客观现实，在规定时间之前，完成改造的应用系统应同时兼容 SM系列密码算法、RSA等传统密码算法，保障应用系统密码使用的连续性、稳定性。4.2 先进性

结合考虑实用和兼顾今后发展的目的，各单位在硬件设备、软件产品等密码产品使用方面，应选择当今市场上主流并领先的产品和技术，具有在大型系统中应用的成功案例。4.3 健壮性考虑容错能力，关键节点设备和核心设备应有适当的冗余，采用灵活的机制实现负载均衡，

防止“瓶颈”产生，避免单点故障导致系统整体或重要功能的丧失，最大限度减少故障。5 参考文件本指南的编制参考以下规范性文件：GM/T 0034-2014基于 SM2密码算法的证书认证系统密码及其相关安全技术规范GM/T 0015-2012 基于 SM2密码算法的数字证书格式规范GM/T 0010-2012SM2密码算法加密签名消息语法规范GM/T 0009SM2密码算法使用规范GB/T 22080-2016 信息技术安全技术信息安全管理体系要求GB/T 25056-2010证书认证系统密码及其相关安全技术规范GM/T 0054-2018 信息系统密码应用基本要求GM/T 0028 密码模块安全技术要求

6 专业术语以下专业术语适用于本指南。

6.1 SM系列密码算法

SM 系列密码算法是国家密码管理局制定的一系列密码标准，包括SSF33、SM1（SCB2）、SM2、SM3、SM4、SM7、SM9等密码算法。6.2

RSA等传统密码算法RSA 等传统密码算法是指国外制定的一系列密码算法，包括 RSA、MD5、SHA-

1、DES、AES、IDEA等密码算法。6.3


CA（证书认证机构）CA是指国家工业信息化部和国家密码管理局批复的，提供数字证书服务的第三方电子认证

服务机构。6.4

数字证书由 CA进行数字签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及一些

扩展信息的数字文件。6.5

数字证书介质用于存储密钥和数字证书并具有密码运算功能的硬件载体，如智能密码钥匙 (usbkey)等。

6.6 电子签章

电子签章是电子签名的一种表现形式，利用图像处理技术将电子签名操作转化为与纸质文件盖章相同的可视效果，同时利用电子签名技术保障电子信息的真实性和完整性以及签名人的不可否认性。6.7

双算法数字证书介质双算法数字证书介质是指可以同时存储 SM系列密码算法和 RSA等传统密码算法两种算法

数字证书的数字证书介质。7 工作阶段市政务服务数据管理局、市密码管理局负责全市电子政务领域使用数字证书应用系统 SM系

列密码改造工作的进度安排及合规性审核工作，各单位负责对本单位使用数字证书的应用系统进行 SM系列密码改造、管理和运行。

SM系列密码改造工作资金由各单位自行解决。根据原市经贸信息委和龙岗区政府两家试点单位 SM系列密码改造的工作经验，建议各单位

准确评估使用数字证书应用系统的密码应用现状，编制符合实际需要的改造方案，对改造方案进行专业审核，按照政府采购流程，选择专业 SM系列密码改造服务商进行改造。

通过对试点工作的总结，各单位使用数字证书应用系统的 SM系列密码改造工作安排分以下几个阶段：7.1 启动改造


各单位组织 SM系列密码改造启动工作，与应用系统开发商、专业 SM系列密码改造服务商进行讨论，明确本单位 SM系列密码改造的工作目标、工作内容、时间进度等。7.2 应用调研各单位须准确评估本单位应用系统数字证书密码应用现状（可请专业第三方机构评估是否符

合国家政策要求），通过现场交流、调研表填报等方式，开展密码应用调研工作，并根据实际需求，确定其他尚未使用数字证书的应用系统是否需要数字证书应用，调研内容参考附件二。7.3 方案设计根据本技术指南要求，结合本单位使用数字证书应用系统的密码应用现状，制定详细的 SM

系列密码改造方案和实施计划，方案设计包括对应用系统服务端硬件密码设备的升级部署安装，对数字证书应用接口、数字证书及其介质进行升级更换，实现应用系统支持符合国家政策要求的密码应用。7.4 方案审核各单位按照有关规定，将制定的 SM系列密码改造方案报送至市密码管理局进行方案审核，

以确保改造方案涉及的密码产品符合国家政策要求，保障 SM系列密码改造的合规性。7.5 实施改造根据前期的设计方案和实施计划，采购并部署安装具有商用密码产品型号证书的安全产品，

构建 SM系列密码改造的工作环境基础，由专业 SM系列密码改造服务商配合系统开发商完成应用系统改造工作。本阶段工作时间由本单位根据应用系统的复杂程度及改造工作量自行安排。总体完成时间建

议 2020年 10月之前。7.6 商用密码应用安全性评估升级改造完成后，须由国家密码管理局认定的测评机构进行商用密码应用安全性评估。

7.7 上线应用通过第三方专业商用密码应用安全性评估测评机构测评合格后的应用系统，在 2020年 12

月前，完成 SM系列密码改造上线应用工作，支持 SM系列密码和 RSA等传统密码的兼容使用包括数字证书的认证、数据加解密、信息摘要、数字签名、电子签章等应用；2020年 12月后，强制切换至仅支持 SM系列密码应用。8 总体设计8.1 改造思路


各单位通过应用系统开展互联网申报、内部审批、电子回执等常见应用场景（含传统 PC端应用及移动终端应用），SM系列密码改造主要涉及应用系统服务端各类密码设备、客户端数字证书及证书介质等密码产品选型、方案设计、升级更新、部署集成等，主要思路如下：8.1.1 产品部署各单位应用系统的服务端应部署安装符合国家政策要求的服务端密码设备及服务器证书；应

用系统的客户端密码设备应改造为兼容 SM系列密码和RSA等传统密码两种算法应用。8.1.2 程序改造各单位应用系统的客户端数字证书应用页面及后台程序需要进行改造，通过对服务端密码设

备进行集成调用的方式，实现支持 SM系列密码和 RSA等传统密码两种算法数字证书的安全认证、数字签名和数据加密等安全功能。8.1.3 证书签发

2020年 12月前，CA为用户签发 SM系列密码算法的数字证书，如需更换，可以发放兼容双算法的数字证书介质，以确保用户在兼容双算法的应用系统中能正常应用。2020年 12月后，CA 必须为用户签发符合国家密码标准算法的数字证书。8.1.4 算法切换

2020年 12月后，各单位必须强制切换为 SM系列密码应用，不再允许使用 RSA等传统密码。8.2 总体架构全市电子政务领域数字证书应用系统的密码应用总体架构图如 1。


图1 应用系统的密码应用总体架构图以 CA 搭建的非对称 SM系列密码体系密码基础设施，提供个人及单位数字证书服务。通过

调用各单位部署的符合国家政策要求的数据加解密产品、认证鉴别产品、数字签名产品等 SM系列密码产品，分别为各类应用系统提供证书认证、电子签名、签名验证、数据加密等密码服务。8.3 应用改造场景应用系统 SM系列密码改造主要分为业务申报、业务审批及电子回执、移动终端应用等四个

应用场景。8.3.1 申报业务申报业务根据办事场景可分为互联网申报、办事窗口申报。

8.3.1.1 互联网申报业务各单位需要在互联网申报系统服务端部署符合国家政策要求的签名加密设备，由互联网申报

系统通过接口调用方式进行集成改造，实现数字证书登录认证、签名验证、加密解密等 SM系列密码安全应用功能，保证申报用户申报数据的完整性、保密性及不可否认性。8.3.1.2 办事窗口申报业务

对于取消纸质材料递交实现无纸化业务的现场办事场景，其所对应的应用系统服务端部署符合国家政策要求的手写数字签名系统，将申报用户身份信息、手写笔迹数据与申报材料进行绑定，通过 SM系列密码进行数字签名并加盖时间戳；客户端配置符合国家政策要求的手写签名安全签字板等设备，为申报用户提供申报资料电子化及手写电子签名功能，确保申报用户身份、笔迹、签名、业务数据内容与办理时间可靠关联，数据完整并不可抵赖。


8.3.2 电子审批为各单位审批人员颁发 SM系列密码算法数字证书，并安装电子签章客户端，实现对应用系

统中的重要业务数据信息进行数字签名可视化处理，确保业务数据信息的真实性、完整性、不可否认性，建立起有效的责任认定机制。8.3.3 电子回执各单位对用户申报材料进行审核审批后，所出具的无纸化处理意见，统称为电子回执。为确

保业务回执数据的有效性、真实性，各单位可部署支持 SM系列密码应用的 PDF电子签章系统，与业务办理系统进行集成改造，对传入的每一份电子回执自动进行 PDF格式转换并加盖单位业务公章。8.3.4 移动终端应用目前部分单位已开展移动端业务应用，包括内部移动办公以及对公电子政务服务等。由于传

统硬件介质形式的数字证书（如蓝牙 key、OTG-key、SIMkey等）不便于在移动端应用，建议上述单位可根据需要，优先选用已通过国家密码管理局检测的无介质类型的移动终端数字证书，保障移动端业务开展的安全性、合规性。8.4 过渡策略目前我市已有多个应用系统使用数字证书，用户数量达 140 余万，SM系列密码改造会对最

终用户产生较大影响。为妥善做好终端用户的 SM系列密码改造工作，实现数字证书的有序升级更换，需要有一定缓冲期内的数字证书更换过渡策略，具体如下：8.4.1 过渡阶段双算法兼容应用策略考虑到存量的 RSA等传统密码算法数字证书数量较多，为确保该部分用户在过渡期间可正

常使用现有数字证书，不增加现有用户使用成本，不提高用户使用复杂度，需要在过渡期间（指2020年 12月前）设计过渡策略，总体思路如图 2（注：图 2中 SM2算法证书代表 SM系列密码算法证书，RSA算法证书代表RSA等传统密码算法证书）。


图2 过渡阶段双算法兼容应用策略示意图过渡期间的具体策略如下：a) 对应用系统进行 SM系列密码改造，需实现 SM系列密码和 RSA等传统密码的双算法兼容应用。

b) 对新用户签发双算法数字证书，在已完成 SM系列密码改造的应用系统中使用 SM系列算法的数字证书，在未完成改造的应用系统使用RSA等传统算法数字证书。

c) 原 RSA等传统算法数字证书用户，在已完成 SM系列密码改造的应用系统以及未完成改造的应用系统中，均使用RSA等传统算法数字证书。

8.4.2 过渡期后统一切换为 SM系列密码应用策略在深圳市电子政务领域使用数字证书应用系统全部完成 SM系列密码改造后，可根据全市统

一安排的时间点，对所支持的用户数字证书类别进行切换，将仅保留 SM系列密码应用通道；新建应用系统需要密码应用的，不再进行双算法兼容改造，仅支持 SM系列密码应用。过渡期后统一切换为 SM系列密码应用如图 3（注：下中 SM2算法证书代表 SM系列密码算法证书， RSA算法证书代表RSA等传统密码算法证书）。


图3 过渡期后统一切换为 SM系列密码应用示意图过渡期后统一切换 SM系列密码算法的具体策略如下：a) 对新用户只签发 SM系列密码算法数字证书。b) 对持有RSA等传统密码算法数字证书的老用户，由 CA 更换其证书介质并签发 SM系列密码算法数字证书。

c) 对持有双算法数字证书的老用户，CA系统在更新证书时，CA 仅允许签发 SM系列密码算法数字证书，原RSA等传统密码算法数字证书须吊销作废，不允许更新。

d) 对新建应用系统进行 SM系列密码改造，应用系统仅支持 SM系列密码算法数字证书的应用。

9 改造方案各单位应对已使用数字证书应用系统需要进行充分调研，确认目前所使用的密码算法类别，

如不符合国家政策要求，须进行 SM系列密码改造。同时，根据业务需求，各单位自主确定是否将尚未使用数字证书的应用系统纳入 SM系列密码改造范围。本部分对电子政务领域常见的互联网申报、办事窗口申报、电子审批、电子回执及移动终端

应用等业务场景，在符合国家政策及满足国密安全规范的前提下，提供基于 SM系列密码算法改造的建议方案，供各单位参考。9.1 申报业务 SM系列密码改造方案9.1.1 互联网申报系统 SM系列密码改造方案


各单位提供互联网申报功能的应用系统，主要面临用户身份真实性、数据完整性、信息保密性、业务操作抗抵赖性等安全需求。通过 SM系列密码改造，可实现数字证书认证、数字签名、数据加密传输等服务，具体方案如下。9.1.1.1 系统架构各单位提供互联网申报功能的应用系统一般为 B/S 结构，相应的 SM系列密码改造架构图如

图 4（注：下图中 SM2算法证书代表 SM系列密码算法证书，RSA算法证书代表 RSA等传统密码算法证书）。

图4 互联网申报 SM系列密码改造架构图为实现用户与应用系统之间构建互联网申报的信息安全传输通道，需要在服务端和客户端分

别部署签名加密设备及数字证书控件。具体如下：a) 签名加密设备：独立的专用密码硬件设备，兼容 SM系列密码和 RSA等传统密码两种算法，启用策略可灵活设置。该设备部署于应用系统服务器区域内，通过接口方式供应用系统调用，实现用户基于 SM系列密码算法的数字证书身份认证、数字签名、数据加密等功能。为保障业务的可靠性、连续性，建议进行双机热备。

b) 数字证书控件：可在客户端浏览器中运行的密码应用模块，能读取 usbkey等数字证书介质，调用其中的数字证书进行解析、验证、签名等功能。为提升用户操作体验，需兼容主流常见的多种类型浏览器，包括 IE内核和非 IE内核。

9.1.1.2 业务流程各单位新建或在建的提供互联网申报功能的应用系统，根据需要使用 SM系列密码时，可参

考图 5的业务流程。


图5 互联网申报系统 SM系列密码改造业务流程图业务流程说明如下：a) 用户使用数字证书登录应用系统，数字证书控件读取证书信息，并做随机数签名处理。b) 服务端的签名加密设备对客户端数字证书进行双向握手认证，验证内容包括 CA是否符

合深圳市要求、证书是否由该 CA签发、数字证书是否过期、随机数签名有效性、黑名单查验等，验证通过后完成登录认证。

c) 用户在应用系统填写申报材料，并根据需要准备好相关电子文件。d) 用户在提交上述数据及电子文件之前，使用数字证书进行电子签名，形成独立的电子签名数据，电子签名数据随申报数据一起提交到服务端。

e) 应用系统服务端接收申报材料数据，调用服务端的签名加密设备对申报数据进行签名验证，确保申报数据的完整性、真实性，防止在传输过程中被篡改。

f) 应用系统完成签名验证后，将数据原文及签名值存储到数据库，可用于后期的证据留存，实现不可抵赖性。

9.1.1.3 产品配置清单互联网申报系统 SM系列密码改造可参考的产品配置清单见表 1。

表1 互联网申报系统 SM系列密码改造可参考的产品配置清单项目产品名称说明

1 签名加密设备部署在应用系统服务端，提供验证客户端数字证书、根证书验证、数字签名、数据加密等功能，建议双机热备。详细功能及性能指标参见附件。

2 数字证书控件由签名加密设备配套提供的客户端证书操作模块，实现对客户端数字证书的读取、解析、验证、签名等功能。

3 用户数字证书代表客户端用户身份，包括个人用户和单位用户，存储于 usbkey等介质中。4 服务器数字证书代表应用系统服务器身份，存储于签名加密设备中。

9.1.2 办事窗口无纸化申报系统 SM系列密码改造方案办事窗口申报人在窗口进行无纸化申报时，需解决当事人身份与电子申报材料的可靠绑定问

题，实现现场电子申报文件与传统签字或盖章文件具有同等效力，可使用 SM系列密码技术对各类窗口电子申报数据进行手写数字签名。具体方案如下。9.1.2.1 系统框架


为确保窗口业务中用户电子签字与纸质手写签字具有同等效力，可在窗口受理应用系统服务端部署 SM系列密码算法的手写数字签名系统，并在办事窗口部署专用的安全签字板，实现办事窗口无纸化申报场景的 SM系列密码改造工作。相应的 SM系列密码改造架构图如图 6。

图6 办事窗口无纸化申报场景 SM系列密码改造框架图为了确保用户在办事窗口通过电子化签字方式产生有效绑定个人身份的申报文件，防止后期

更改、抵赖等行为，需要在在服务端和客户端分别部署手写数字签名系统、安全签字板。具体如下。

手写数字签名系统：独立的专用密码硬件设备，提供用户数字证书签名服务，兼容 SM系列密码和 RSA等传统密码两种算法，启用策略可灵活设置。该设备部署于应用系统服务器区域内，一方面与 CA系统连接，通过用户端签字行为触发用户数字证书的签发，所签发的数字证书中包含用户笔迹、证件摘要等用户身份信息；另一方面，通过接口方式供应用系统调用，使用用户数字证书对窗口申报数据或文件进行电子签名。实现用户身份与电子申报材料的可靠绑定，并具有防篡改功能。为保障业务的可靠性、连续性，建议进行双机热备。安全签字板：安全签字板是办事窗口申报人签字所使用的电子签名安全设备，通过 USB数

据线与窗口办公 PC相连接，由应用系统调用专用软件，读取该设备所采集的用户手写签名笔迹数据，提交后台手写数字签名系统，实现申报电子文件的可靠电子签名。9.1.2.2 业务流程各单位在建或新建的提供窗口无纸化申报功能的应用系统，根据需要使用 SM系列密码时，

可参考图 7 办事窗口无纸化场景 SM系列密码应用流程。


图7 办事窗口无纸化场景 SM系列密码应用业务流程图业务流程说明如下：a) 窗口工作人员审核现场办事用户身份后，用户通过平板等终端填写申报数据，系统生成

该笔业务的电子单证。b) 用户查看并认可电子单证内容后，需要通过安全签字板手写签名的方式进行确认。c) 安全签字板采集用户的手写笔迹签名数据，并根据需要，连同高拍仪拍摄的证件信息一

并提交到手写数字签名系统。d) 手写数字签名系统根据本次签署请求，向 CA申请用户数字证书，CA所签发的数字证书中包含用户笔迹、证件摘要等用户身份信息。

e) 手写数字签名系统获取上述数字证书后，对电子单证进行数字签名，生成带签名的 PDF文件，实现用户身份与该电子单证的可靠绑定，并可以脱机验证。

f) 手写数字签名系统生成 PDF文件后，返回给应用系统存储，可用于后期的证据留存，实现不可抵赖性。

g) 应用系统可根据需要，通过电子邮箱或现场打印等方式给用户留存使用。9.1.2.3 产品配置清单

办事窗口无纸化申报系统 SM系列密码改造可参考的产品配置清单见表 2。表2 办事窗口无纸化申报系统 SM系列密码改造可参考的产品配置清单

项目产品（服务）名称说明1 手写数字签名系统部署在应用系统服务端，提供用户数字证书申请、签名单据格式化、手写数字签

名等功能，建议双机热备。详细功能及性能指标参见附件。2 安全签字板部署在办事窗口 PC 终端处，提供申报人书写、笔迹采集、信息上传等功能。详

细功能及性能指标参见附件。


项目产品（服务）名称说明3 用户数字证书为申报人本次申办行为签发的数字证书，须写入用户手写签名等信息，具有一次

性的特征，该张证书签名后自动销毁。9.2 电子审批系统 SM系列密码改造方案电子审批业务操作中通过采用符合国家政策要求的电子签章系统，实现对电子数据的数字签

名可视化、图形化，使可靠电子签名在系统中可形象展现，并提供方便的签章验证辨伪操作界面。电子审批环节的电子签章 SM系列密码改造，具体方案如下：9.2.1 系统框架审批工作人员通过使用数字证书，实现对审批业务数据的电子签章，保障业务操作的安全性，

电子审批系统 SM系列密码改造方案系统框架如图 8。

图8 电子审批系统 SM系列密码改造架构图为实现电子审批的可靠电子签章，需要部署电子签章系统，采用电子签名技术在电子文档和

电子表单上实现电子签章，包含电子签章管理系统和客户端电子签章软件。其中，电子签章管理系统部署在应用系统服务端，实现对电子签章的管理，包括电子签章系

统管理、印章管理、权限控制、日志审计等功能。客户端电子签章软件以网页控件或插件实体存在，兼容 SM系列密码和 RSA等传统密码两

种算法，通过整合嵌入到应用系统中，实现使用客户端数字证书的电子签章，支持的文档类型包括Word、Excel、HTML网页等，充分满足客户在业务中的各种签章需求。9.2.2 业务流程各单位新建或在建的提供电子审批功能的应用系统，根据需要使用 SM系列密码时，可参考

图 9业务流程。


图9 电子审批系统密码应用改流程图电子审批 SM系列密码改造业务流程说明：a) 各单位电子签章管理员对审批人员所使用的数字证书进行授权，无权限的数字证书不可进行申报审批操作。

b) 审批人员使用数字证书登录业务办理系统。c) 审批人员阅读审核申报材料无误后，使用数字证书进行电子签章审批操作。根据文件类

别，应用系统调用客户端电子签章产品，对审批结果进行电子签章操作，保证审批结果不被修改，清晰事后责任认定。

d) 将审批结果及签章值、证书信息保存在数据库中。9.2.3 产品配置清单电子审批系统 SM系列密码改造可参考的产品配置清单见表 3。

表3 电子审批系统 SM系列密码改造可参考的产品配置清单项目产品（服务）名称说明

1 电子签章系统电子签章管理系统及电子签章客户端软件，实现申报审批等数字签名的可视化、图形化。

2 用户数字证书代表客户端用户身份，包括个人用户和单位用户，存储于 usbkey等介质中。9.3 电子回执系统 SM系列密码改造方案

当公众用户通过互联网申报或窗口申报，内部工作人员电子审批后，应用系统将处理意见以电子回执的形式向用户反馈时，须解决电子回执真实、可信等安全问题。通过使用 SM系列密码技术，实现对电子回执的服务端电子签章功能，具体方案如下。9.3.1 系统架构为确保单位所签发的电子回执具有权威性，防止被伪造或被篡改，可在应用系统服务端部署

SM系列密码算法的 PDF电子签章系统，实现电子回执应用场景的 SM系列密码改造。相应的SM系列密码改造架构如图 10。


图10 电子回执系统密码应用架构图为实现电子回执的可靠电子签章，需要在服务端部署 PDF电子签章系统，并配置单位数字

证书和单位签章图片。其中 PDF电子签章系统是独立的专用密码产品，具有国家密码管理局颁发的《商用密码产

品型号证书》资质，兼容 SM系列密码和 RSA等传统密码两种算法，启用策略可灵活设置。该设备部署于应用系统服务器区域内，通过接口方式供应用系统调用，实现用户基于 SM系列密码算法的服务端 PDF文件电子签章功能。为保障业务的可靠性、连续性，建议进行双机热备。9.3.2 业务流程各单位在建或新建提供电子回执功能的应用系统，根据需要使用 SM系列密码时，可参考图

11的电子回执业务场景 SM系列密码改造业务流程。

图11 电子回执业务场景 SM系列密码改造业务流程图电子回执 SM系列密码改造业务流程说明：a) 应用系统根据自身业务特点，为各类业务创建相应的电子回执模板，确保电子回执具有固定格式。

b) 当用户申报业务并由内部工作人员完成审批后，应用系统根据模板结合本次业务办理的动态数据，合成当次的电子回执。


c) 应用系统服务端调用 PDF电子签章系统，对产生的电子回执进行 PDF文件电子签章，包括单位数字证书签名及签章图片的展现。

d) 将带有电子签章的 PDF电子回执保存在业务办理系统数据库。e) 用户登录应用系统进行电子回执下载。f) 公众用户可通过 PDF阅读软件，对下载的电子回执进行完整性、真实性验证。

9.3.3 产品配置清单电子回执系统 SM系列密码改造可参考的产品配置清单如表 4。

表4 电子回执系统 SM系列密码改造可参考的产品配置清单项目产品（服务）名称说明

1 PDF电子签章系统部署在应用系统服务端，提供 PDF格式的电子回执合成、PDF文件电子签章和验证等服务，建议双机热备。详细功能及性能指标参见附件。

2 单位数字证书标识单位的网上身份，存储于 PDF电子签章系统中。9.4 移动端数字证书应用 SM系列密码改造方案移动终端应用正成为目前电子政务办公的主要应用场景，面临传统存储于硬件介质的证书不

易与移动终端兼容应用、不便携带等弊端。通过移动端 SM系列密码改造，可实现基于非传统硬件介质数字证书，在移动端应用系统的证书认证、数字签名等服务，具体方案如下：9.4.1 系统架构为确保移动端无介质数字证书与传统 PC端 usbkey 形式数字证书具有相同的安全应用，采

用符合国家政策要求的云服务证书模式，防止移动端被非法登录、篡改业务数据等行为，实现移动端数字证书应用场景的 SM系列密码改造工作。相应的 SM系列密码改造架构如图 12。

图12 移动端应用场景 SM系列密码改造架构图


使用云服务证书实现合法的无介质数字证书安全应用，需要在服务端部署云签名认证网关，客户端安装云认证 APP 或集成 SDK，通过调用云认证签名平台完成云证书的申请、签发及证书管理等功能。具体如下：

a) 云认证签名平台：云认证签名平台为各单位提供符合国家密码政策要求的数字证书申请、签发、签名等安全服务，主要功能包括身份认证、数据签名、密钥管理、证书管理、用户管理、安全审计等功能。

b) 云签名认证网关：云签名认证网关部署于应用系统服务端，在对电子文件签署、查询等服务过程中，提供使用云证书进行身份认证、电子签名、电子签章等功能。

c) 客户端云认证 APP 或 SDK：用户可通过手机客户端签署电子文件，通过调用云认证APP 或集成云认证客户端 SDK，实现身份认证和数据签名功能。客户端云认证 APP 或SDK需支持Android、IOS等操作系统。

9.4.2 业务流程设计各单位在建或新建移动端应用系统，根据需要使用 SM系列密码时，可参考以下业务流程。用户按照传统方式向 CA提供个人信息，CA 鉴证通过后给用户签发移动端云服务证书。用

户使用云服务证书在应用系统APP进行登录和数字签名等操作，具体说明如下。9.4.2.1 移动端APP使用云服务证书登录认证流程用户完成移动端云服务证书的下载后，在应用系统 APP使用云服务证书安全登录系统，防

止非法登录操作。移动端云服务证书登录流程如图 13。

图13 移动端云服务证书登录流程图a) 用户在手机端登录应用系统APP，通过后台应用系统调用云签名认证网关。b) 云签名认证网关将本次登录请求发给云认证签名平台。c) 同时，应用系统 APP调用云认证 APP 或 SDK，提示用户输入云服务证书密码，由手机端和云端密钥进行协同运算，完成对用户的身份认证。

d) 云认证签名平台将认证结果返回云签名认证网关。e) 应用系统提示用户认证通过，成功登陆。


9.4.2.2 移动端云服务证书签名流程用户成功登陆应用系统 APP，使用移动端云服务证书对业务数据进行签名，保障移动端业务

操作过程中的数据完整性、抗抵赖性等。具体流程如图 14。

图14 移动端云服务证书签名、签章流程图a) 用户使用云服务证书登录移动端应用系统APP 后，准备对业务数据进行数字签名。b) 应用系统通过云签名认证网关，将本次待签名的业务数据提交给云认证签名平台。c) 同时，应用系统 APP调用云认证 APP 或 SDK，由手机端和云端密钥分别对业务数据进行签名（由于登录环节已输入证书密码，签名环节不需要重复输入密码），并协同合成最终的数字签名数据。

d) 云签名平台向应用系统返回上述电子签名数据，应用系统可进行证据留存。9.4.3 产品配置清单移动端数字证书应用 SM系列密码可参考的产品配置清单如表 5。

表5 移动端数字证书应用 SM系列密码可参考的产品配置清单项目产品（服务）名称说明

1 云认证签名网关系统为政府移动端应用系统提供基于移动端数字证书的安全认证、电子签名等服务。

2 客户端APP 或 SDK 提供基于手机客户端实现身份认证和数据签名功能。3 云服务证书签名服务为用户提供云服务证书签发及云签名服务。


附件一、SM系列密码改造参考产品参数及参考价格本指南各业务环节所涉及的密码安全应用产品，提供以下产品参数作为参考。

1. 个人数字证书1.1. 产品功能

a) 标识个人用户网络身份。b) 证书格式标准遵循 x．509v3标准。c) 支持存放介质：智能 usbkey等。d) 支持自定义证书扩展域管理。e) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法。

1.2. 产品资质a) 产品制造厂商须具有电子政务电子认证服务机构资质。b) 证书签发机构已通过《深圳市电子公共服务数字证书使用技术指南》符合性检测。

1.3. 参考价格以上同等规格个人数字证书参考价格：不超过 150元/年。

2. 单位数字证书2.1. 产品功能标识单位用户网络身份。a) 证书格式标准遵循 x．509v3标准。b) 支持存放介质：智能 usbkey。c) 支持自定义证书扩展域管理。d) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法。

2.2. 产品资质a) 产品制造厂商须具有电子政务电子认证服务机构资质。b) 证书签发机构已通过《深圳市电子公共服务数字证书使用技术指南》符合性检测。

2.3. 参考价格以上同等规格单位数字证书参考价格：不超过 300元/年。

3. 智能密码钥匙3.1. 产品功能3.1.1. 功能指标

a) 智能卡芯片CPU 至少 16位，用户可用空间（Byte）不低于 32K，可存放多张证书。b) 数据存储时间不小于 10年，可读写次数(次)不小于 10 万次。


c) usbkey自身的安全要求：具备完善的 PIN校验保护功能，可签发双算法数字证书。d) 能无缝挂接 Microsoft Internet Explorer、Mozilla 等主流浏览器，并完全支持

HTTPS协议的应用。e) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法。f) 支持硬件真随机数发生器。

3.1.2. 非功能指标a) 公钥私钥对生成时间<=30秒。b) 数字签名和验证时间<1秒/次。c) 加密速度>50kbps，解密速度>30kbps。d) 工作温度：0℃ - 40℃，工作湿度：25%-80%，贮存温度：-10℃ - 55℃。

3.2. 产品资质具有国家密码管理局颁发的《商用密码产品型号证书》。

3.3. 参考价格以上同等规格智能密码钥匙参考价格：不超过 200元/套。

4. 服务端签名加密设备4.1. 产品功能4.1.1. 功能指标

a) 提供 pkcs1/Pkcs7 attach/Pkcs7 detach/xml Sign 等对多种格式数据的数字签名和验证功能，支持 SM1、SM2、SM3、SM4等 SM系列密码算法。

b) 提供文件数字签名和验证功能, 支持对文件进行MD5、SHA-1等方式的数字摘要后在进行签名。

c) 提供证书验证功能，支持对 X.509 Version 3、PKCS系列证书的DER和 PEM格式的应用与验证。

d) 提供数据加密、解密功能，支持数字信封加密，支持 SM系列密码算法。e) 提供CRL的证书有效性验证，CRL 更新配置可自动定时进行。f) 服务器证书管理：实现对应用系统服务器端密码设备及服务器证书进行配置与管理，可生成服务器证书申请文件。

g) 信任源管理：可同时配置多条证书链，验证不同CA的用户证书。h) 动态黑名单管理：可自动更新 CRL黑名单、动态更新，不需要重新启动服务。i) 安全存储：基于密码技术构建安全存储区，用于对可信根证书及黑名单文件进行分类安全存储，防止非法操作。

4.1.2. 非功能指标a) 提供备份恢复功能，可通过界面备份当前所有配置，保证系统瘫痪时的快速恢复。


b) 提供日志记录，根据应用单位网络安全管理要求，可将日志以 syslog的方式发送到指定服务器。

c) 支持双机、负载均衡。d) 提供C、COM、Java等主流开发API。e) 签名能力：4000次/秒，签名验证：3500次/秒。f) 支持性能扩展，提供增加硬件加密引擎或并行负载扩展方式。


4.3. 参考价格以上同等规格服务端签名加密设备参考价格：不超过 200000元/台。

4.4. 实施工作量服务端签名加密设备可参考的实施工作清单如表 6。

表6 服务端签名加密设备可参考的实施工作清单序号任务名称具体工作内容参与方工期（天）

1 设备到货准备相关产品软硬件并安排发货专业 SM系列密码改造服务商 3

2 设备上架安装在物理环境具备的情况下，完成硬件设备的上架

用户方、专业 SM系列密码改造服务商 1

3 设备配置、内部联调测试

进行服务端密码应用设备及数字证书客户端控件的安装部署，并进行内部联调测试

专业 SM系列密码改造服务商 3

4 应用系统集成改造

完成服务端密码应用设备及数字证书客户端控件与应用系统的集成用户方、应用系统开发商 7

总计 14天5. 电子签章系统5.1. 产品功能

a) 支持第三方CA签发的数字证书。b) 提供基于Web界面的电子印章的制作和管理功能，提供日志审计功能。c) 支持电子印章图片写入证书存储介质中，并与证书绑定。d) 支持自动生成电子印章图片，或支持采集的手写签名。e) 支持根据业务需要由印章系统管理员将一个电子印章与多个用户关联绑定。f) 支持对多种文档格式如 word\excel\html等的电子签章，实现数据完整性保护，确认签章者身份。

g) 提供电子签章中间件，满足 C/S环境的电子签章集成。h) 支持原文、印章图片、数字签名的绑定，能够防止篡改。


i) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法。5.2. 产品资质

具有国家密码管理局颁发的《商用密码产品型号证书》。5.3. 参考价格以上同等规格电子签章系统参考价格：不超过 210000元/套。

5.4. 实施工作量电子签章系统可参考的实施工作清单如表 7。

表7 电子签章系统可参考的实施工作清单序号任务名称具体工作内容参与方工期

（天）1 设备到货准备相关产品软硬件并安排发货专业 SM系列密码改造服务商 3


进行电子签章系统的安装部署，并进行内部联调测试专业 SM系列密码改造服务商 3

3 应用系统集成改造完成电子签章系统与应用系统的集成用户方、应用系统开发商 4总计 10天

6. PDF电子签章系统6.1. 产品功能

a) 支持对 PDF文档进行电子签章，并且在电子文档上显示签章图片，支持服务端直接签章，同时支持服务端调用客户端证书完成签章。

b) 可验证 PDF签章后文档的有效性、完整性。c) 提供将应用系统提交的 XML、JSON等格式的业务数据与 PDF 模板合并、生成 PDF文档的功能。

d) 提供对指定路径下的多个 PDF文档实现批量签章功能，支持骑缝章签章功能。e) 实现在 PDF文档中加入二维条码、一维条码，并可设定相应规则，支持在 QR二维码中加入数字签名，实现安全二维码功能，支持QR二维码内嵌图片。

f) 支持对机构、用户及角色进行管理，提供服务器证书、用户印章管理功能。g) 提供证书信任链管理、签名服务器证书管理，CRL管理等，支持软、硬密钥类型，支持

SM系列密码算法。h) 支持对 PDF 模板的配置管理，支持用 Office编辑的 docx文档作为 PDF 模板进行 PDF文档生成。

i) 支持对 PDF签章制定相关的规则与标准，支持关键字定位与坐标定位，可以根据自身业务特点设置个性化签章规则。

6.2. 产品资质


具有国家密码管理局颁发的《商用密码产品型号证书》。6.3. 参考价格以上同等规格 PDF电子签章系统参考价格：不超过 250000元/台。

6.4. 实施工作量PDF电子签章系统可参考的实施工作清单如表 8。

表8 PDF电子签章系统可参考的实施工作清单序号任务名称具体工作内容参与方工期

（天）1 设备到货准备相关产品软硬件并安排发货专业 SM系列密码改造服务商 3

2 设备上架安装在物理环境具备的情况下，完成硬件设备的上架



进行 PDF电子签章系统安装部署，并进行内部联调测试专业 SM系列密码改造服务商 2

4 应用系统集成改造完成 PDF电子签章系统与应用系统的集成用户方、应用系统开发商 5

总计 11天7. 手写数字签名系统7.1. 产品功能7.1.1. 功能指标

a) 申请和获取签名数字证书。根据签名业务及签名人鉴证信息，向 CA证书服务平台申请颁发数字证书，CA已通过《深圳市电子公共服务数字证书使用技术指南》符合性检测。

b) 通过手写数字签名终端，获取签名人手写签字笔迹，作为数字签名可视化展现效果图示。c) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法，使用数字签名密码算法，对用户业务办理信息进行密码运算，保护业务数据的有效性。

d) 实现将不同格式的电子文书数据转换为 PDF版式。7.1.2. 非功能指标

a) 支持Windows server2000/2003/2008;Linux;Unix等操作系统。b) 提供C、Java 等主流开发API。c) 业务处理能力不小于 36000 笔/小时。


7.3. 参考价格PAGE \* MERGEFORMAT1

以上同等规格手写数字签名系统参考价格：不超过 250000元/台。7.4. 实施工作量

手写数字签名系统可参考的实施工作清单如表 9。表9 手写数字签名系统可参考的实施工作清单

序号任务名称具体工作内容参与方工期（天）


2 设备上架安装在物理环境具备的情况下，完成硬件设备上架用户方、专业 SM系列密码改

造服务商 1

3设备配置、内部联调测试

进行手写数字签名服务器安装部署，内部联调测试专业 SM系列密码改造服务商 3


完成手写数字签名服务器及安全签名板与应用系统的集成用户方、应用系统开发商 10

总计 18天8. 手写数字签名终端8.1. 产品功能8.1.1. 功能指标

a) 支持通过显示屏签名板采集签名笔迹。b) 支持集成指纹采集模块。c) 支持USB总线供电。d) 支持USB 扩展，如二代身份证读取。e) 内置密码芯片，支持 SM1、SM2、SM3、SM4等 SM系列密码算法。

8.1.2. 非功能指标a) 支持windows XP/vista/win7等操作系统的应用。b) 屏显区域：76.78 x 39.58mm，像素 240 x 120，电磁响应，分辨率 3200lpi。c) 支持光学指纹采集，图象分辨率 500DPI，指纹比对 1：1、1：N。


8.3. 参考价格以上同等规格手写数字签名终端参考价格：不超过 2500元/台。

8.4. 实施工作量PAGE \* MERGEFORMAT1

手写数字签名终端系统可参考的实施工作清单如表 10。表10 手写数字签名终端系统可参考的实施工作清单

序号任务名称具体工作内容参与方工期（天）


2 设备部署在物理环境具备的情况下，完成设备上架用户方、专业 SM系列密码改造服务商 1

3设备配置、内部联调测试

部署安全签名板安装，系统联调测试专业 SM系列密码改造服务商 2


完成安全签名板与手写数字签名服务器和应用系统集成用户方、应用系统开发商 3

总计 10天9. 云认证签名网关系统9.1. 产品功能9.1.1. 功能指标

a) 数字证书与签名管理功能，提供移动签名云证书生命周期服务，包括注册申请、身份核实、证书下载等功能。

b) 基于云证书提供实名用户的身份认证功能。c) 基于云证书实现用户对数据的可靠电子签名。d) 基于云证书提供 PDF格式的电子签名功能。e) 提供 PC桌面业务下的认证或签名功能，将待认证/签名信息通过二维码推送到个人移动

终端。f) 提供对接入业务应用进行管理的功能，包括应用加载、删除、Licence管理。g) 提供移动设备绑定、解绑、挂失、变更服务、手机号码变更服务等移动设备管理功能。h) 提供包括接口管理、日志管理、统计查询、系统配置等后台管理功能。i) 支持 SM1、SM2、SM3、SM4等 SM系列密码算法。

9.1.2. 非功能指标a) 100 个并发下，每秒登录认证/数据签名吞吐量不低于 500ps。b) 客户端云认证 APP 或 SDK支持操作系统：Android4.2及以上版本；IOS5.0及以上版本。


9.3. 参考价格PAGE \* MERGEFORMAT1

以上同等规格云认证签名网关系统参考预算：不超过 400000元/套。9.4. 实施工作量云认证签名网关系统可参考的实施工作清单如表 11。

表11 手写数字签名终端系统可参考的实施工作清单序号任务名称具体工作内容参与方工期（天）


2 软件安装部署在物理环境具备的情况下，完成软件的部署



进行云认证签名网关的安装部署，并进行内部联调测试专业 SM系列密码改造服务商 2

4 应用系统集成改造完成云认证签名网关与应用系统的集成用户方、应用系统开发商 5总计 11天

10. 商用密码应用安全性评估10.1.商用密码应用安全性评估测评机构商用密码应用安全性评估测评机构须由国家密码管理局认定。

10.2.参考价格每个信息系统的商用密码应用安全性评估费用为 8-12 万元。


附件二、应用系统 SM系列密码改造相关调研表1. 使用数字证书应用系统基本情况调研表

单位（盖章）：时间：年月日1、单位基本情况单位业务范围单位联系人姓名部门及岗位职责联系方式系统开发人员单位系统开发人员姓名系统开发人员联系方式

2、单位业务基本情况系统名称及网址系统运行年限系统业务简介用户类型及数量 □个人用户 □单位用户是否有证书应用 □是□否证书应用环节 □证书登录 □证书签名 □时间戳□电子签章□其他3、系统密码算法应用情况

服务端软硬件设备基本信息

产品名称品牌、型号支持的算法数字签名服务器 □RSA □SM2 □其他电子印章服务器 □RSA □SM2 □其他时间戳服务器 □RSA □SM2 □其他其他

证书客户端应用环境支持的算法 □RSA □SM2 □其他

证书基本信息CA名称支持的算法

□RSA □SM2 □其他□RSA □SM2 □其他

证书介质基本信息介质品牌、型号支持的算法

□RSA □SM2 □其他□RSA □SM2 □其他

4、系统基本情况系统主要功能：


（为哪些用户，提供哪些服务）开发平台：□J2EE □.net □其它系统运行环境：□Windows □linux □其他系统数据库是：□My SQL□Oracle □DB2 □INFORMIX □Sybase □其他


2. 推广使用数字证书的应用系统基本情况调研表单位（盖章）：时间：年月日

1、单位基本情况单位业务范围单位联系人姓名部门及岗位职责联系方式系统开发人员单位系统开发人员姓名系统开发人员联系方式

2、单位业务基本情况系统名称及网址系统运行年限系统业务简介用户类型及数量 □个人用户 □单位用户3、系统基本情况系统主要功能：（为哪些用户，提供哪些服务）开发平台：□J2EE □.net □其它系统运行环境：□Windows □linux □其他系统数据库是：□My SQL □Oracle □DB2 □INFORMIX □Sybase □其他4、是否纳入本期工程实现密码算法应用□是□否


3. 应用系统环境基本情况调研表单位（盖章）：时间：年月日

1、单位基本情况单位联系人姓名部门及岗位职责联系方式

2、操作系统服务器操作系统品牌及版本号：

密码算法：PC 客户端操作系统品牌及版本号：

密码算法：移动端操作系统品牌及版本号：

密码算法：3、WEB服务器系统WEB服务器系统品牌及版本号：

密码算法：4、中间件系统中间件系统品牌及版本号：

密码算法：5、数据库系统数据库系统品牌及版本号：

密码算法：6、交换机交换机品牌及版本号：

密码算法：7、路由器路由器品牌及版本号：

密码算法：8、防火墙防火墙品牌及版本号：

密码算法：9、其他软件产品（可根据实际情况增加行数列出产品及说明）其他产品品牌及版本号：

密码算法：


sso.sz.gov.cnsso.sz.gov.cn/.../tzgg/201904/p020190424524123393654.docx · web view附件3...

Documents