一、证书认证系统检测规范（GM/T 0037）

GM/T 0037-2014《证书认证系统检测规范》

本规范的编制主要用于检测按照《证书认证系统密码及其相关安全技术规范》研制或建设的数字证书认证系统，也可以为其他数字证书认证系统的研制、建设提供参考作用。其主要作用是为国内第三方认证服务系统提供一个标准的、规范的测试范围、测试内容、测试方法以及判定策略。

本规范主要由以下几部分对数字证书认证系统的检测进行规范。

1．检测对象

《规范》确定适用的检测对象为证书认证系统产品及按《证书认证系统密码及其相关安全技术规范》要求建设的证书认证服务运营系统项目。

2．测试大纲

规定了测试大纲编制的原则，并在附录中提供了可供参考的测试大纲的示例。

3.检测环境

确定了产品和项目的检测环境。

4．检测内容

对场地、网络、岗位及权限管理、安全管理、系统初始化、系统功能、性能、数据备份和恢复、第三方安全产品、入根、证书格式、证书链、算法等13个方面详细规定了检测内容。

5．检测方法

规定了13项检测内容的具体检测方法。

6．合格判定

规定了判定产品和项目合格的最低条件，通过检测内容和检测方法可以很清楚地了解到研制、建设一个第三方认证服务系统时应具备的系统功能和检测内容。规范最后还附有检测大纲、认证系统的网络结构、认证系统统机房布局和物理连线等资料性附录，供国内PKI厂商和运营商参考。

二、证书认证密钥管理系统检测规范( GM/T 0038)

GM/T 0038-2014《证书认证密钥管理系统检测规范》

《规范》的编制主要用于检测按照《证书认证系统密码及其相关安全技术规范》研制或建设的密钥管理系统，也可以为其他密钥管理系统的研制、建设提供参考。其主要作用是为国内第三方认证服务系统的密钥管理系统提供一个标准的、规范的测试范围、测试内容、测试方法以及判定策略。

本规范主要对以下几部分对密钥管理系统的检测进行了规范。

1．检测对象

《规范》确定适用的检测对象为密钥管理系统产品及按《证书认证系统密码及其相关安全技术规范》要求建设的密钥管理系统项目。

2．测试大纲

规定了测试大纲编制的原则，并在附录中提供了可供参考的测试大纲的示例。

3．检测环境

确定了产品和项目的检测环境。

4．检测内容

对场地、网络、岗位及权限管理、安全管理、系统初始化、系统功能、性能、数据备份和恢复、第三方安全产品等9个方面详细规定了检测内容。

5．检测方法

规定了9项检测内容的具体检测方法。

6．合格判定

规定了判定产品和项目合格的最低条件。

通过检测内容和检测方法可以很清楚地了解到研制、建设一个密钥管理系统时应具备的系统功能和检测内容。规范最后还附有检测大纲、密钥管理系统的网络结构、密钥管理系统机房布局和物理连线等资料性附录，供国内PKI厂商和运营商参考。

三、证书认证系统密码及其相关安全技术规范( GB/T 25056)

GB/T 2505G2010《信息安全技术证书认证系统密码及其相关安全技术规范》

本标准适用于在中华人民共利国境内建设并正式运行的、为公众服务的数字证书认证系统的设计、建设、检测、运行及管理，为实现数字证书认证系统的互联互通和交叉认证提供统一的依据，指导数字证书认证系统的建设和检测评估，规范数字证书认证系统中密码及相关安全技术的应用。其他数字证书认证系统的建设、运行及管理，可参照本标准。

本标准主要由范围、规范性引用文件、术语和缩略语、证书认证系统、密钥管理系统、密钥算法／密码设备及接口、协议、证书认证中心建设、密钥管理中心建设、证书认证中心运行管理要求、密钥管理中心运行管理要求、检测等12章内容和附录A（资料性附录）KMC与CA之间的消息格式、附录B（资料性附录）安全通信协议、附录C（资料性附录）密码设备接口函数定义及说明、附录D（资料性附录）证书认证系统网络结构图、附录E（资料性附录）证书申请和下载格式等组成。

其中，证书认证系统由功能描述、系统设计、数字证书、证书注销列表等4节内容组成。密钥管理系统由功能描述、系统设计、KMC与CA的安全通信协议等3 节内容组成。密码算法／密码设备及接口由密码算法、密码设备、密码服务接口等3节内容组成。协议由证书管理协议、证书验证协议、安全通信协议等3节内容组成：证书认证中心建设由系统、安全、数据备份、可靠性、物理安全、人事管理制度等6节内容组成。密钥管理中心建设由系统、安全、数据备份、可靠性、物理安全、人事管理制度等6节内容组成。证书认证中心运行管理要求由人员管理要求、CA业务运行管理要求、密钥分管要求、安全管理要求、安全审计要求、文档的配备等6节内容组成，密钥管理中心运行管理要求由人员管理要求、运行管理要求、密钥分管、安全管理、安全审计、文档配备等6节内容组成。检测由系统初始化、用户注册管理系统、证书／证书注销列表生成与签发系统、证书／证书注销列表存储与发布系统、证书状态查询系统、安全审计系统、密钥管理系统检测、系统安全性检测、其他安全产品和系统等9节内容组成。附录A由概述、协议等2节内容组成。附录B由符号说明、身份认征、密钥交换、安全通信协议等4节内容组成。附录C由应用类密码设备接口函数、证书载体接口函数等2节内容组成。附录D 由当RA采用C/S模式时CA的网络接口、当RA采用B/S模式时CA的网络接口、CA与远程RA的连接、KMC与多个CA的网络连接等4节内容组成。附录E由证书申请请格式、证书下载格式等2节内容组成。

四、电子认证服务机构运营管理规范（GB/T 28447）

GB/T 28447-2012《信息安全技术电子认证服务机构运营管理规范》

本标准规定了电子认证服务机构在业务运营、认证系统运行、物理环境与设施安全、组织与人员管理、文档、记录、介质管理、业务连续性、审计与改进等多方面应遵循的要求。本标准适用于在开放互联环境中提供数字证书服务的电子认证服务机构的建设、管理及评估。对于在封闭环境中（如在特定团体或某个行业内）运行的电子认证服务机构可根据自身安全风险评估以及国家有关的法律法规有选择性地参考本标准。国家有关的测评机构、监管部门也可以将标准作为测评和监管的依据。

本标准主要由范围、规范性引用文件、术语和定义、缩略语、电子认证服务机构运营的业务、业务运营中的风险、认证系统运行要求、物理环境与设施、组织与人员管理、文档／记录与介质管理、业务连续性要求、审计与改进等12章内容和附录A（资料性附录）业务运营风险举例等组成。

其中，电子认证服务机构运营的业务由用户证书书服务、用户证书密钥服务、认证系统功能要求、认证业务流程要求等4节内容组成。认证系统运行要求由网络系统安全、主机系统安全、系统冗余与备份、系统运营维护安全管理、密码设备安全管理、CA密钥和证书管理等6节内容组成。物理环境与设施由运营场地、运营区域划分及要求、安全监控系统、环境保护与控制设施、支撑设施、场地访问安全管理、场地监控安全管理、注册机构场地安全等8节内容组成。组织与人员管理由职能与角色设置、安全组织、人员安全管理等3节内容组成。业务连续性要求由业务连续性计划、应急处理预案、灾难恢复计划、灾备中心等4节内容组成。