5.1 第一級

5.1.1　概述

第一級的PKI系統，由用戶自主保護，所保護的資產價值很低，面臨的安全威脅很小。結構上，PKI系統的CA、RA、證書資料庫可沒有明確的分化。第一級PKI系統的安全要素要求列表見附錄A.1。

5.1.2　物理安全

應按照GB/T BBB—200×第4章所描述的要求，對PKI系統硬件及相關環境進行評估。

5.1.3　角色與責任

PKI系統應對系統用戶提供管理員和操作員的角色定義。
管理員角色：負責安裝、配置、維護系統；建立和管理用戶賬戶；配置輪廓；生成部件密鑰。
操作員角色：負責簽發和撤銷證書。

5.1.4　訪問控制

5.1.4.1　系統用戶訪問控制

PKI系統文檔中，應有訪問控制的相關文檔，訪問控制文檔中的訪問控制策略應包含如下幾個方面：
a)角色及其相應的訪問權限；
b)標識和鑒別系統用戶的過程；

5.1.4.2　網絡訪問控制

用戶可以且只能直接訪問被授權使用的服務。遠程用戶只有被認證后，PKI系統才允許訪問。連接到遠程計算機系統應被認證。

5.1.5　標識與鑒別

5.1.5.1　用戶屬性定義

PKI系統應維護每個用戶的安全屬性。

5.1.5.2　用戶鑒別

在用戶身份被鑒別之前，PKI系統可執行與安全功能無關的動作。在執行其他的安全功能引起的動作之前，用戶應成功鑒別自己。

5.1.5.3　用戶標識

在用戶標識自己身份之前，PKI系統可代表用戶執行與安全功能無關的動作。用戶應成功標識自己之后，才能執行其他的安全功能引起的操作動作。

5.1.5.4　用戶主體綁定

PKI系統應通過用戶主體綁定建立和維護用戶與用戶主體之間的關聯，使用戶的身份與該用戶的所有可審計行為相關聯。

5.1.6　數據輸入輸出

5.1.6.1　TSF間用戶數據傳送的保密性

當用戶數據通過外部信道在PKI系統之間或PKI系統用戶之間傳遞時，PKI系統應執行訪問控制策略，使得能以某種防止未授權泄露的方式傳送用戶數據。

5.1.6.2　輸出TSF數據的保密性

在TSF數據從TSF到遠程可信IT產品的傳送過程中，應保護機密數據不被未授權泄露。

5.1.7　密鑰管理

5.1.7.1　密鑰生成

5.1.7.1.1　密鑰生成過程

PKI系統的系統用戶密鑰應由相應級別的CA或RA等機構生成。在密鑰生成時應采取安全控制。
CA簽名公私鑰對應采用國家密碼管理局認可的方法生成。在密鑰生成時應采取安全控制，只有管理員才能啟動CA密鑰生成過程。

5.1.7.2　密鑰傳送與分發

PKI系統的系統用戶密鑰的傳送與分發應當以加密形式安全進行。CA公鑰分發方法應當切實可行。
如果終端用戶自己生成密鑰對，終端用戶應將公鑰安全的提交給PKI系統。

5.1.7.3　密鑰存儲

PKI系統的系統用戶密鑰與CA簽名私鑰應存儲于國家密碼管理局規定的密碼模塊中或以加密的形式存儲，終端用戶密鑰由用戶自行存儲。

5.1.8　輪廓管理

5.1.8.1　證書輪廓管理

PKI系統應具備證書輪廓，并保證發行的證書與證書輪廓中的描述一致。

5.1.8.2　證書撤銷列表輪廓管理

若PKI系統發布CRL，TSF應具備證書撤銷列表輪廓，并保證發行的CRL與該輪廓中的規定相一致。

5.1.8.3　在線證書狀態協議輪廓管理

OCSP輪廓應規定PKI系統可能產生的字段類型和字段類型可接受的變量值。

5.1.9　證書管理

5.1.9.1　證書注冊

PKI系統所簽發的公鑰證書應與GB/T 20518-2006相一致。任何證書所包含的字段或擴展應由PKI系統根據GB/T 20518-2006生成，或經由頒發機構驗證以保證其與標準的一致性。
a)應僅產生與GB/T 20518-2006中規定的證書格式相同的證書；
b)應僅生成與現行證書輪廓中定義相符的證書；
c)PKI系統應驗證預期的證書主體擁有與證書中包含的公鑰相對應的私鑰，除非公私密鑰對是由PKI系統所產生的；

5.1.9.2　證書撤銷

5.1.9.2.1　證書撤銷列表審核

發布CRL的PKI系統應驗證所有強制性字段的值符合GB/T 20518-2006。

5.1.9.2.2　OCSP基本回應的審核

發布OCSP響應的PKI系統應驗證所有強制性字段的值符合GB/T 19713-2005。