【国家标准】 识别卡 集成电路卡编程接口 第4部分：应用编程接口（API）管理

ICS 35.240.15
中华人民共和国国家标准書
GB/T 29271.4—2019
识别卡
集成电路卡编程接口
应用编程接口（API）管理
第4部分：
Identification cardsIntegrated circuit card programming interfaces-Part 4:Application programming interface(API)administration(ISO/IEC24727-4:2008,MOD)
2019-08-30发布
国家市场监督管理总局
中国国家标准化管理委员会
2020-03-01实施　
1范围
2规范性引用文件
3术语和定义
4缩略语
体系结构规范
全网络栈
忠诚栈
不透明ICC栈
远程忠诚栈
ICC本地栈
远程ICC栈，
服务访问层扩展.
安全体系结构
路径保护政策
访问控制列表-访问控制规则（ACL-ACR)映射安全报文传输.
可信信道密钥管理，
连接组件
概述，
操作请求和响应语义
委托-代理(Proxy-Agent)体系结构可信信道接口（TC_API)
接口设备API(IFDAPI)wwW.bzxz.Net
16649.15注册实施
GB/T29271.3数据结构映射
SALAPI操作映射到GB/T16649.15属性8.3
8.4特定卡APDU映射到GB/T16649.15属性8.5GB/T29271.3数据结构存储在卡上附录A（规范性附录）路径保护机制，附录B（资料性附录）IFD-API:Web服务绑定次
附录C（资料性附录）IFD-Callback-API-Web服务绑定。GB/T 29271.4—2019
....17
GB/T 29271.4—2019
附录D（资料性附录）GB/T29271.4-IFDAPI模块附录E（资料性附录）GB/T29271.4-TCAPI模块附录F（资料性附录）程序元素的增强使用附录G（资料性附录）用于GB／T16649.15数据结构处理的API附录H（资料性附录）轻量级服务访问层（SALAPILITE)附录I（资料性附录）密码信息应用示例附录J（资料性附录）转换ASN.1模块附录K（资料性附录）可互操作访问存储库附录L（资料性附录）CryptoAPI（CAPI）通过程序元素访问图1GB/T29271体系结构
图2GB/T29271栈的通用元素
图3后续数据的图例.
图4卡端应用和客户端应用之间的网络连接………图5GB/T29271.2和GB/T29271.3层的专有实现..图6不透明ICC栈.
图7远程忠诚栈
图8ICC本地栈
远程ICC栈配置
网络栈
委托-代理机制
图12发现鉴别协议值
图13GB/T16649.15信息对象和GB/T29271.3数据结构之间的关系图A.1带安全报文传输和不带安全报文传输的通信图A.2命令头转换
图A.3在INS为奇数值时创建包含加密数据的DO图A.4创建包含密码校验和的DO
图A.5创建包含Le字段的DO.
图A.6MAC运算，
图A.7创建包含状态字节的DO
图A.8保护CASE4命令APDU
图A.9保护带数据字段的响应APDU图F.1程序元素功能
图F.2完整互操作网络栈
当前全网络栈
建议配置，
当前忠诚栈
建议忠诚栈，
当前不透明ICC栈
建议不透明ICC栈
当前远程忠诚栈
...125
图F.10建议远程忠诚栈
图F.11当前远程ICC栈，
图F.12建议远程ICC栈
图I.1基于UML的eService计算模型（基于GB/T29271对象）.图L．1启用CAPI的程序元素
图L．2PKCS11的加密服务
表1命令进程
表2每个栈配置的每个类别的路径保护策略类表3可信信道API
表4DataSet映射到ACL
表5CardApplication映射到DataContainerObjectChoice表6Service映射到ACL
表7authObject映射到DID
表 8 Secret Key映射到 DID
表9privateKey映射到DID
表10SALAPI操作映射到GB/T16649.15属性表11DataContainerObject的属性（GB/T16649.15DO)表12EF或DO识别
表13EF文件内容示例
表A.1安全报文传输中各字段使用的值表1.1基于对象的\myservice”数据集tt.
表I.2用于卡端应用和DataSet对象的GB/T16649.15数据对象封装GB/T 29271.4—2019
...127
GB/T29271《识别卡集成电路卡编程接口》分为以下六个部分：第1部分：体系结构；
第2部分：通用卡接口；
第3部分：应用接口；
第4部分：应用编程接口(API）管理；第5部分：测试规程；
第6部分：实现互操作的鉴别协议的注册管理规程。本部分为GB/T29271的第4部分。本部分按照GB/T1.1—2009给出的规则起草。GB/T29271.4—2019
本部分使用重新起草法修改采用ISO/IEC24727-4:2008《识别卡集成电路卡编程接口第4部分：应用编程接口(APD管理》。本部分与ISO/IEC24727-4:2008的技术性差异及其原因如下：关于规范性引用文件，本部分做了具有技术性差异的调整，以适应我国的技术条件，调整的情况集中反映在第2章“规范性引用文件”中，具体调整如下：●增加引用了GB/T16649.15（GB/T16649.15—2010,IS0/IEC7816-15:2004，IDT）（见5.8，7.5和第8章）；
?用等同采用国际标准的GB/T29271.1代替了IS0/IEC24727-1（见5.1、第7章和8.1）；●用等同采用国际标准的GB/T29271.2代替了IS0/IEC24727-2（见第5章、第6章、第8章、附录A和附录F);；
●用修改采用国际标准的GB/T29271.3代替了IS0/IEC24727-3（见第5章、第6章、第7章、第8章、附录A、附录F、附录H、附录I和附录L)；●将参考文献IS0/IEC19784-1:2006移至规范性引用文件，并用等同采用国际标准的GB/T30267.1—2013代替（见7.5）；●增加引用了IS0/IEC24727-2：2008/Amd1:2014（见5.8）；●增加引用了IS0/IEC7816-15:2004/Amd2:2008（见8.1、G.2.16和G.4.1)；●将国际标准中出现的IS0/IEC24727-5移至规范性引用文件（见5.1和图1）。增加缩略语ACD、ACR、AR、DID、GCI、ICC、IFD、Kenc、Kmac、PCD和 SAL。本部分还做了下列编辑性修改：纳入国际标准技术勘误ISO/IEC24727-4COR1:2011的内容（见附录B的B.1、B.2、B.3、附录C的 C.1、C.2、附录D和附录E);纳入国际标准修正单IS0/IEC24727-4/Amd1:2014的内容（见5.8、第8章、附录F~附录L)；图统一从图1开始编号，不再采用原图标序号；表统一从表1开始编号，不再采用原表序号；调整了缩略语顺序；
将国际标准中出现的悬置段编号并加标题，并依序调整下文的条标题编号-附录D的第一句\ISO24727-4-IFDAPI(iso(1)standard(0)iso24727(24727)part4(4)ifdapi(74))”，改为GB/T29271.4-IFDAPI(1.2.156.5006.29271.4.74)\；一附录D的第8行\ISO24727-COMMON(iso(1)standard(0)iso24727(24727)\改为
GB/T29271.4—2019
GB/T29271-COMMON(1.2.156.5006.29271}\附录D的第11、12行中的\revMajISO24727-4-IFDAPI\revMinISO24727-4-IFDAPI\，改为“revMajGBT29271-4-IFDAPI\\revMinGBT29271-4-IFDAPI\；附录E的第一句\ISO24727-4-TCAPI(iso(1)standard(0)iso24727(24727)part4(4)tcapi(73)】”，改为\GB/T29271.4-TCAPI(1.2.156.5006.29271.4.73}\;附录E的第8行\ISO24727-COMMON(iso(1)standard(0)iso24727(24727))\，\GB/T29271-COMMON(1.2.156.5006.29271}\附录I的1.2.2.3.1的第一句中的\G.2”\，改为I.2.2.3”\；附录I的I.2.2.3.3的倒数第7行\iso(1)standard(0)iso24727(24727)part3(3)annex-a(0)\，改为“1.2.156.5006.29271.3.0”；改为
附录I表I1中的“CARD-APPLICATIONmyservice\,改为\CARD-APPLICATIONmyservice\;
附录J的第4行\ISO/IEC24727-4-PE{iso(1)standard(0)iso24727(24727)part4(4)clause(8.1.3))”，改为GB/T 29271.4-PE{1.2.156.5006.29271.4clause(8.4))\;附录J的第9行ISO24727-COMMON
{iso(1)standard(0)iso24727(24727))\,改为\GB/T29271.4-COMMON{1.2.156.5006.29271}\;附录K的K.1的标题修改为“示例”，删除“摘自欧盟标准CEN/TS15480-3\；册删除了参考文献。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本部分由全国信息技术标准化技术委员会(SAC/TC28)提出并归口。本部分起草单位：中国电子技术标准化研究院、北京智芯微电子科技有限公司、楚天龙股份有限公司、上海一芯智能科技有限公司、深圳赛西信息技术有限公司、紫光同芯微电子有限公司、北京握奇数据系统有限公司、飞天诚信科技股份有限公司、大唐微电子技术有限公司、中电智能卡有限责任公司、北京中电华大电子设计有限责任公司、红天智能科技(天津)有限公司、金邦达有限公司、东信和平科技股份有限公司、中国科学院自动化研究所、北京眼神智能科技有限公司、上海复旦微电子集团股份有限公司、上海密特印制有限公司。
本部分主要起草人：曹国顺、付青琴、蒋曲明、高伟、苏爱民、盛敬刚、秦日臻、白婧、朱鹏飞、张树蕊原爱阳、李斌、夏立佳、李丹、邵志刚、张璋、徐平江、徐木平、钟陈、张汉就、王厚金、余晖、史春腾、邵兴、吴行宇、张晓良、庞振江。
GB/T29271.4—2019
GB/T29271定义了一组集成电路卡(ICC)和外部应用之间交互的编程接口，包括多部门使用的通用服务。ICC的组织和操作符合GB/T16649.42010。GB/T29271与不同应用领域之间有互操作要求的ICC应用相关。GB/T9387.1：1998用作客户端应用到卡端应用连接的分层结构。也就是说，应用接口假定存在这样的协议栈：通过它可以利用命令来交换卡片间的信息和事务。传送这些命令的报文结构在GB/T16649中定义。应用接口访问的命令的语义参考应用协议数据单元(APDU，在GB/T29271.2中有描述)及以下标准：
GB/T16649.42010识别卡集成电路卡第4部分：用于交换的结构、安全和命令GB/T16649.8一2002识别卡带触点的集成电路卡第8部分：与安全相关的行业间命令GB/T16649.92010识别卡集成电路卡第9部分：用于卡管理的命令GB/T29271的目标是最大化软件工具的适用性和解决方案空间，为支持卡片的客户端应用程序提供应用程序接口支持。该工作包括：当卡片变得更强大、同级伙伴存在以及将来应用的时候，支持卡片系统的演进，从而使得对符合GB/T29271标准要求的已有方案的影响最小。符合本部分，可以实现GB/T29271.3和GB/T29271.2的互操作实现。本部分没有定义实施细节；可假定符合可接受的安全策略。具体的安全策略不在GB/T29271的范围之内。M
1范围
识别卡集成电路卡编程接口
第4部分：应用编程接口（API）管理GB/T 29271.4—2019
GB/T29271定义了一组集成电路卡(ICC)和外部应用之间交互的编程接口，包括多部门使用的通用服务。
GB/T29271的本部分规定了客户端应用和卡端应用之间的连接和安全机制。本部分规定API管理符合GB/T29271标准的独立于服务和独立于实现的模块，包括安全性，可以对ICC的特定卡端应用发出操作请求，以便在与数据模型和内容发现操作耦合时，卡端应用可以被各种客户端应用使用。本部分适用于ICC和外部应用的连接，以便各种客户端应用可以采用统一接口调用卡端应用，2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T15852.1一2008信息技术安全技术消息鉴别码第1部分：采用分组密码的机制(ISO/IEC9797-1:1999,IDT)
GB/T16649.42010识别卡集成电路卡第4部分：用于交换的结构、安全和命令(ISO/IEC7816-4:2005,IDT)
GB/T16649.15识别卡集成电路卡第15部分：密码信息应用(GB/T16649.15—2010,ISOIEC7816-15:2004,IDT)
GB/T29271.1识别卡集成电路卡编程接口第1部分：体系结构(GB/T29271.1—2012,ISO/IEC24727-1:2007,IDT)
GB/T29271.2识别卡集成电路卡编程接口第2部分：通用卡接口(GB/T29271.2—2012，ISO/IEC24727-2:2008,IDT)
GB/T29271.3识别卡集成电路卡编程接口第3部分：应用接口(GB/T29271.3—2014,ISO/IEC 24727-3:2008,MOD)
GB/T30267.1—2013信息技术生物特征识别应用程序接口第1部分：BioAPI规范(ISO/IEC19784-1:2006,IDT)
ISO/IEC7816-3:2006识别卡集成电路卡第3部分：带触点的卡电信号和传输协议(Identifi-cation cards-Integrated circuit cardsPart 3:Cards with contacts—Electrical interface and transmis-sionprotocols)
ISO/IEC7816-15:2004/Amd2:2008识别卡集成电路卡第15部分：密码信息应用修改单2:2008(ISO/IEC 7816-15:2004 Identification cards—Integrated circuit cards—Part 15:Cryptographicinformationapplication/Amd2:2008)ISO/IEC24727-2:2008/Amd
11:2014识别卡集成电路卡编程接口第2部分：通用卡接口修改单1:2014(ISO/IEC24727-2:2008 Identification cards—Integrated circuit card programming interfaces—Part 2:Generic card interface/Amd 1:2014)GB/T29271.4—2019
ISO/IEC24727-5
识别卡集成电路卡编程接口第5部分：测试规程(Identificationcards—Inte-grated circuit card programming interfaces—Part 5:Testing procedures)IETFRFC 2246 TLS协议V1.0(The TLS Protocol Version 1.0)3术语和定义
GB/T29271.1、GB/T29271.2和GB/T29271.3界定的以及下列术语和定义适用于本文件。3.1
信道channel
客户端应用和卡端应用之间传输位信息的物理通道3.2
组件component
可执行代码，包括由一个GB/T29271定义的应用编程接口访问的处理层。3.3
机密性confidentiality
通过差异特征鉴别，实现对某些特定级别的访问限制。3.4
可疑信道dubious-channel
信息可能会被窃听者改变、丢弃、重放或偷听的信道。3.5
实例化instantiation
可运行的组件实现或通信信道实现。3.6
完整性integrity
信息的不变性状态。
GB/T29271协议栈GB/T29271protocolstack处理组件集，用以连接客户端应用和卡端应用的通信信道。3.8
忠诚信道loyal-channel
从根本上维持信道终端完整性、机密性和真实性的信道3.9
忠诚平台loyal-platform
用于执行数据传输和通信的忠诚计算平台，可保持数据的完整性、机密性和真实性。3.10
忠诚栈loyal-stack
在一个单独忠诚平台上实现的GB/T29271栈，全栈包括从客户端应用到包含卡端应用的IC卡。3.11
路径保护策略path-protection-policy使用GB/T29271将客户端应用连接到卡端应用的所有平台和信道的安全特性规范。3.12
委托proxy
由应用编程接口(API）实现，将操作请求和参数传递给其他层。2
应用程序编程接口TC_API
由GB/T29271栈的组件使用，用于在网络环境中实现栈的实例化。可信信道trusted-channel
GB/T29271.4—2019
独立于传输机制或传输介质的信道，明确地保证信息传输过程中的机密性、完整性和真实性，可信路径trusted-path
在客户端应用和卡端应用之间的连接，在此连接中所有的平台和信道都具有客户端应用定义的安全特性。
4缩略语
下列缩略语适用于本文件。
ACD：应用能力描述(ApplicationCapabilityDescription)ACR:访问控制规则(AccessControlRule)APDU:应用协议数据单元(ApplicationProtocolDataUnit)API：应用编程接口（ApplicationProgrammingInterface)）AR:访问规则(AccessRule)
CC:密码校验和(Cryptographic Checksum)CG：密码报文(Cryptogram）
CIA：密码信息应用(CipherInformation Application)Dec:解密(Decipher)）
DID：差异特征(Differential-identity）DO:数据对象(Data Object)
Enc:加密(Encipher)
GCI:通用卡接口(Generic Card Interface)ICC:集成电路卡(IntegratedCircuitCard)IFD：接口设备(InterfaceIdentifier）Kenc:加密密钥(Encryption Key)Kmac:MAC计算密钥(MACCalculationKey）Le:期望长度(ExpectedLength)
MAC:消息鉴别码(Message Authentication Code）PCD：接近式耦合设备(ProximityCouplingDevice)SAL：服务访问层(Service Access Layer)TLS：传输层安全(TransportLayer Security）5体系结构规范
5.1概述
GB/T29271.1、GB/T29271.2和GB/T29271.3定义了一个体系、应用编程接口和命令集传输的信息结构和协议，客户端应用可以通过这些获得卡端应用的信息及计算服务。GB/T29271的目标是GB/T29271.4—2019
实现卡端应用和客户端应用的不同实现之间的互操作性。GB/T29271.1描述了GB/T29271的体系结构。GB/T29271.2规定了一个可以访问卡应用服务的通用请求集。GB/T29271.3规定了应用程序接口，客户端应用将通过这个接口访问由卡端应用提供的服务。GB/T29271的体系结构概述如图1所示，设想了各种各样的实现，这些实现可以足够详细地满足标准，从而符合ISO/IEC24727-5中规定的测试规程。关于程序元素的增强使用方法，参见附录F。客户端
通过ISO/IEC
24727-5测试
GB/T29271.3
通过ISO/IEC
24727-5测试
GB/T 29271.2
客户端
客户端
客户端
GB/T29271.3的卡服务API
接口连接
GB/T29271.3的卡服务API
API层实现
接口连接
GB/T29271.2通用卡接口
GCI层实现
物理卡服务
接口连接
接口设备访问机制
接口设备配置选择
多应用ICC
ISO/IEC
安全及管
图1GB/T29271体系结构
GB/T29271.1
体系结构
本部分详细介绍了为客户端应用提供信息存储、检索和相关处理的一种卡端应用的栈实例化和操作过程。
本部分并没有强制执行特定的实现方法，但是它确实提供了对信息组织和内容的详细定义，以支持符合性实现。应至少实例化一个符合GB/T29271的栈，此栈应满足第5章中定义的一种配置。本章指定了GB/T29271协议栈的各种实例化配置。配置的范围从全网络栈到忠诚栈。不透明ICC栈是GB/T29271.2实例化应与其所能支持的卡端应用紧密耦合的配置；紧密耦合意味着GB/T29271.2实例包含了通过操作系统访问接口设备的特定代码与包含ICC的卡端应用的连接。远程忠诚栈考虑在远离客户端应用的平台上使用忠诚栈的配置。ICC本地栈考虑应支持GB/T29271.3层实现的卡端应用。最后，远程ICC栈讨论了一种栈，此栈ICC的物理连接应与栈的其余部分构建到个不同的平台上。
注意GB/T29271的所有部分对于用于完成从客户端应用到卡端应用的通信信道的物理互连机制都是中立的。因此，对ICC的引用应解释为同等适用于PICC或非卡常驻的卡端应用，对IFD的引用同4