【国家标准(GB)】 信息安全技术 公钥基础设施 电子签名卡应用接口基本要求

ICS35.040
中华人民共和国国家标准
GB/T25057-—2010
信息安全技术
公钥基础设施
电子签名卡应用接口基本要求
Information security techniques-Public key infrastructure-Specification of application interface of electronic signature card2010-09-02发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2011-02-01实施
GB/T25057—2010
规范性引用文件
术语和定义
缩略语
命令接口
命令综述
选择文件
获取响应
二进制读
二进制写
验证PIN
安全环境：恢复
安全环境：设置
执行安全操作：散列
执行安全操作：签名·
执行安全操作解密..
修改引用数据
生成密钥对
附录A（规范性附录）
卡内文件系统
专用文件和基本文件以及它们的访间条件附录B（资料性附录）
卡复位（ATR）
读取目录文件
应用选择
电子签名应用
读取对象目录文件
电子签名
解密操作
卡维护
附录C（资料性附录）
附录D（资料性附录)
参考文献
FCI模板编码
命令状态码
GB/T25057—2010
本标准是为了配合《中华人民共和国电子签名法》的实施，在广泛征求意见的基础上，对GB/T16649系列标准进行部分引用和扩展。本标准的附录A为规范性附录，附录B、附录C、附录D为资料性附录。本标准由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本标准起草单位：北京飞天诚信科技有限公司，中国电子技术标准化研究所，国家信息安全工程技术研究中心。
本标准主要起草人：于华章，周葵亮，朱鹏飞。GB/T25057—2010
《中华人民共和国电子签名法》规定，电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。具有生成电子签名功能的安全客户端载体，简称电子签名卡。
数字签名是目前主要的电子签名形式之一。相应地，具有数字签名功能的集成电路卡是目前主要的电子签名卡类型之一。GB/T16649系列标准对集成电路卡进行了规定。然而，数字签名与电子签名的范畴并不相同，而电子签名卡也不仅限于集成电路卡。为了避免技术细节对《中华人民共和国电子签名法》的实施造成干扰，规范电子签名卡的应用接口，制定本标准。旨在定义和规范一个能够完成电子签名应用的最小指令集合。本标准在GB/T16649系列标准的基础上进行部分引用和扩展。本标准中给出的SHA-1、RSA等密码算法均为举例性说明，具体使用时均须采用国家密码管理部门批准的相应算法。
1范围
信息安全技术公钥基础设施
电子签名卡应用接口基本要求
GB/T25057—2010
本标准规定了电子签名卡的基本命令报文和相应的响应报文，以及电子签名卡的文件组织结构。本标准适用于规范和指导电子签名卡的开发，规范和指导与电子签名卡进行通信，访问卡内文件，应用私钥生成电子签名的应用系统的开发。本标准不适用于在电子签名卡内创建文件或使用公钥的应用系统的开发。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。识别卡带触点的集成电路卡第8部分：与安全相关的行业间命令GB/T16649.8
(GB/T16649.8—2002,ISO/IEC7816-8:1999,IDT)ISO/IEC7816-4：2005识别卡带触点的集成电路卡第4部分：行业间交换的组织结构、安全性和命令(ISO/IEC7816-4：2005Identificationcards—Integratedcircuitcardswithcontacts—Part4：Organization,security and commandsfor interchange)ISO/IEC7816-15：2004识别卡带触点的集成电路卡第15部分：密码信息的应用（ISO/IEC7816-15:2004 Identification cards—Integrated circuit cards with contact—Part 15:Cryptographic in-formationapplication)
3术语和定义
下列术语和定义适用于本标准。3.1
应用application
为满足特定功能所需的数据结构、数据元和程序模块。[ISO/IEC7816-42005]
electronicsignaturecard
电子签名卡
具有生成电子签名功能的安全客户端载体，简称电子签名卡。3.2
message
应用发送给电子签名卡(或反之)的字节串，不包括传输控制字符。3.3
command
应用向电子签名卡发出的一条字节串，该信息启动一个操作或请求一个应答。3.4
response
电子签名卡处理完收到的命令报文后，返回给终端的字节串。GB/T25057—2010
安全环境securityenvironment
应用被选定后，电子签名卡所确定的逻辑条件，如密钥，密钥参数，算法标识等。3.8Www.bzxZ.net
路径path
无定界的文件标识符的链接。
[ISO/IEC7816-4;2005]
绝对路径absolutepath
以文件标识符“3F00\开始的路径[ISO/IEC7816-4:20057
相对路径
relativepath
以当前DF文件标识符开始的路径[ISO/IEC781615:2004]
命令报文的第0介字节，代表该命令所属的类别。S
命令报文的第
个字节，代表该命令在所属类别中的索引，P
命令报文的第字节，代表该命令的第一个参数，3.14
命令报文的第四个字营代表该命令的第二个参数。3.15
命令报文的第五个字节（如果存在），代表数据域的长度3.16
命令报文的最后一个字节（如果存在），代表期望返回的数据长度。3.17
SW1-SW2
响应报文的前两个字节，代表命令状态码。3.18
种数据编码方法。
一种用于电子签名和解密的非对称算法。2
privatekey
非对称算法中不公开的密钥。
一种用于散列的不可逆算法。
RSAES-PKCS1-v1_5
用RSA算法进行解密，根据PKCS#1v1.5规范去除填充数据的算法。3.23
RSASHA-PKCS1-v1_5
GB/T25057—2010
用SHA-1算法进行散列，根据PKCS#1v1.5规范填充数据，用RSA计算电子签名的算法。4
缩略语
下列缩略语适用于本标准。
命令接口
命令综述
应用标识符（ApplicationID）
访间模式（AccessMode）
鉴别对象目录文件（AuthenticationObjectDirectoryFile）应用模板（ApplicationTemplate）证书目录文件（CertificateDirectoryFile）控制引用数据对象（ControlReferenceDataObject）专用文件（DedicatedFile）
数据对象目录文件（DataObjectDirectoryFile）解密模版（DecryptionTemplate）基本文件（ElementaryFile）
电子签名模版（ElectronicSignatureTemplate）文件控制信息（FileControlInformation）文件控制参数数据对象（FileControlParameterDataObject）文件标识符(FileID)
主文件（MasterFile）
对象目录文件（ObjectDataFile）个人验证码（PersonalIdentificationNumber）私钥目录文件（PrivateKeyDirectoryFile）为将来使用保留（ReservedforFutureUse）安全条件（SecurityCondition）短文件标识符（ShortFileID）
安全报文传输（SecureMessaging）本标准规定，电子签名卡支持表1所示的命令。3
GB/T25057—2010
SELECTFILE
GETRESPONSE
READBINARY
WRITE BINARY
VERIFYPIN
MANAGE SECURITY
ENVIRONMENT(MSE)：
RESTORE
MANAGE SECURITY
ENVIRONMENT (MSE)
PERFORMSECURITY
OPERATION:
PERFORM SECURITY
OPERATION(PSOU)
COMPUTE ELECIROy
SIGNATURE
PERFORM SECU
OPERATION(PSO
DECIPHER
CHANGEREFERENODATA
GENERATE KEY PAR
响应报文中的命
选择文件
表1电子签名应用相关的命令
引用标准
ISO/IEC7816-4
ISO/IEC7816-4
ISO/IEC7816-4
ISO/IEC7816-4
ISO/IEC78164
GB/T16649-8
GB/T 16649.8
GB/T16649.8
GB/T16649.8
GB/T16649.8
GB/T16649.8
GB/T16649.8
状态码参见附录C.
命令功能
选择一个文件
获取响应报文
读取二进制文件的内容
写二进制数据到文件
验证PIN
恢复预定义的安全环境
设置安全环境
计算电子签名
修改引用数据
生成密钥鸡
选择文件（SELECNFULE)命令通过FID、路径或AID来选择电子签名卡中已有的文件。命令报文和响应报文分别如表2、表3所示S表2
“00”
“A4'
*00”
*09”
*00”
SELECTFile命令报文
根据FID选择文件
根据AID选择应用
根据绝对路径选择文件
根据相对路径选择文件
返回FCI
P1=*04\时，“00\为选择当前应用；“02\选择下一个应用；
数据域字节长度
数据域
数据域
SW1-SW2
获取响应
PI= “00\
PI=‘08\
一绝对路径
Pl“09”
一相对路径
PI=“04”
表2(续）
期望返回的FCI字节长度或不存在表3
SELECTFILE响应报文
FCI或不存在
命令状态码
GB/T25057—2010
获取响应（GETRESPONSE）命令用于在必要时强制获取响应报文（或报文的一部分）。命令报文和响应报文分别如表4、表5所示。表4
数据域
数据域
SW1-SW2
二进制读
不存在
不存在
GETRESPONSE命令报文
期望的返回数据最大长度
GETRESPONSE响应报文
返回的数据
命令状态码
二进制读（READBINARY)命令从当前所选择的文件中读取连续的二进制字节。命令报文和响应报文分别如表6、表8所示。
GB/T25057—2010
数据城
数据域
sw1-sw2
二进制写
“00”
“BO”
见表7
见表7
不存在
不存在
READBINARY命令报文
期望读取的字节数
P1、P2参数
P1-P2指定15位偏移量
P1指定文件的SFID,P2指定偏移量文件的FID
READBINARY响应报文
读取的数据
命令状态码
二进制写（WRITEBINARY)该命令把二进制数据写入当前所选择的文件。命令报文和响应报文分别如表9、表10所示。表9
数据城
数据域
sw1-sw2
“DO’
见表7
见表7
WRITEBINARY命令报文
数据域字节长度
需要写入的数据字节
不存在
不存在
WRITEBINARY响应报文
命令状态码
验证PIN
25057—2010
验证PIN(VERIFYPIN)命令用送人卡内的PIN与卡内存储的引用数据进行比较。命令报文和响
应报文分别如表11、表13所示。表11
数据域
数据域
SW1-Sw2
VERIFYPIN命令报文
PIN的属性，见表12
不存在或数据域字节长度
不存在或者验证数据
不存在
P2的编码
P2的编码
安全环境：恢复
不存在
命令状态码
全局的PIN
当前DF的PIN
“0000（其他的值保留）
PIN编号（引用ISO/IEC7816-15：2004）RFU
VERIFY响应报文
安全环境：恢复（MANAGESECURITYENVIRONMENT：RESTORE）命令恢复一个安全环境。命令报文和响应报文分别如表14、表15所示。表14
数据域
MANAGESECURITYENVIRONMENT：RESTORE命令报文00
“F3′
安全环境索引(引用GB/T16649.8)不存在
不存在
不存在
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。