LD／T 02.4-2022 标准规范下载简介
LD／T 02.4-2022 人力资源社会保障电子认证体系规范 第4部分：数字证书应用接口规范.pdf政策环境和业务需求的变化， 力资源 社会保障 章业务系统会随之变化，因此本文件并不针对 务系统进行详细分类和需求分析，
A.1COM组件接口和Java组件接口调用
A.1.1应用集成部署模型
数字证书应用软件分为客户端和服务器端两个模块，应用系统服务器端通过调用COM组件接口和 Java组件接口实现身份认证、数字签名、数据加解密等基本功能。典型的数字证书应用集成部署模型 如图.1所示
韩山隧道 实施性施工组织设计（修改）图AI证书应用集成部署模型
根据图A.1所示，基于数字证书的应用系统涉及三个方面：人力资源保障电子认证系统、应用服务 和客户端控件及证书载体等。 人力资源社会保障电子认证系统负责为用户签发用户数学证书，为应用服务器签发设备证书，并 过证书查验服务系统向应用服务器同步CRL文件。 应用服务器端需要部署的内容包括： a）服务器认证软件包：进行加密解密、数字签名验签的软件接口。软件包为C语言的动态库文件 或Java语言的Jar包； b)CRL同步程序：定时从证书查验服务系统下载CRL文件的服务程序：
c）CRL文件：CA系统发布的黑名单文件； d)CA证书：行业CA证书和业务CA证书； e）设备证书：代表服务器身份的数字证书，私钥由密码机产生； f）密码机：存储服务器设备证书对应密钥的密码设备。 客户端用户需要安装证书应用软件客户端控件及证书载体的驱动程序。在日常登录和使用时应将 证书载体（智能密码钥匙）插入客户端的电脑中。 客户端和服务器端通过双方的数字证书进行双向身份认证，在数据传输过程中，双方可通过数字 证书进行签名、验证、加密、解密等安全操作，实现数据完整性、操作的不可抵赖性和数据保密性。
A.1.2数字证书应用示例
A.1.2.1数字证书初始化绑定
用户首先应按照“证书申请流程”完成能够代表自已身份的数字证书申请，以及业务系统的用户 注册。在登录业务系统前，首先应完成数字证书的绑定，即将数字证书的唯一标识与该用户在系统中 的账户（或用户名）进行绑定，实现数字证书与系统用户及其权限的一一对应。证书绑定成功后，应 及时修改数字证书的pin码， 数字证书绑定的操作流程如图人2所示。
图A.2数字证书绑定流程图
A.1.2.2数字证书身份认证
证书用户完成数字证书绑定后，即可使用数字证书登录业务系统，数字证书登录认证处理流程如 a）用户将数字证书载体（智能密码钥匙）插入计算机后，输入业务系统URL地址，访问系统； b）服务器端程序调用认证软件包产生一个随机数，并保存在会话（Session）中； c）服务器端将随机数传递给客户端； d）用户输入证书pin码，由数字证书载体（智能密码钥匙）验证证书pin码的正确性； e）验证证书pin成功后，使用智能密码钥匙对随机数签名； f）客户端将用户证书和签名值提交到服务器端： g）服务器端程序接收到上述数据后，验证用户证书和签名值的有效性。其中，验证证书的有效性 包括：证书有效期、信任源以及是否被吊销； h）解析证书中的唯一标识，根据唯一标识获取用户权限，显示用户权限对应的操作页面。 数字证书身份认证处理流程如图A.3所示。
图A.3数字证书身份认证流程图
A.1.2.3签名验签示例1：金保工程异地业务系统
以金保工程异地业务系统为例，介绍在业务系统中如何利用数字证书实现身份认证和对传输的重 要业务数据的签名保护，从而实现数据完整性和不可抵赖性。 异地业务系统主要是实现异地社会保险关系转移信息交换的业务系统，异地社会保险关系转移的 主要业务操作流程如下： a）A地的参保人员首先登录到本地的异地转移系统，申请保险关系转移业务，并向异地系统上传 申请接收函信息； b）B地异地系统查询下载接收函信息，进行办理转出操作，并向异地系统上传分险种的转移单； c）A地异地系统查询转移单，并下载办理转入，完成后上传转移单，操作完毕。 以A地办理转入业务申请为例，签名验签处理流程如下： a）用户将数字证书载体（智能密码钥匙）插入计算机，登录到异地业务系统； b）编辑、输入、上传接收函文件； c）使用智能密码钥匙对接收函文件进行签名； d）提交接收函文件、签名及签名证书； e）服务器端程序验证签名有效性，对接收函验证签名； f）验证成功后，保存当前的接收函，业务处理结束。
A.1.2.4签名验签示例2：金保工程传输总线系统
图A.4金保工程异地业务系统证书签名验签流程图
工程传输总线系统通过建立数据总线通道，利用数字签名技术实现部门间数据的安全上传和 要应用在金保工程联网软件系统数据报表的上传和下发， 工程传输总线系统中数字证书签名验签处理流程如下：
a) 下级应用系统（如：地市联网软件系统）需要上传数据报表到上级部门时，操作联网软件的 业务人员将数据上传到本地总线服务器上： b）本地总线服务器定时轮询目录中需要上传的报表文件。当检测到上报文件后，产生随机数A， 然后向目的地总线服务器发出服务请求； C 目的地总线服务器接收到请求后，产生随机数B，使用目的地总线服务器的设备证书对随机数 A和随机数B签名，并将随机数B和签名值返回给本地总线服务器； d）本地总线服务器验证目的地总线服务器的证书和签名后，将随机数B和需传输的业务数据进行 组合，使用本地总线服务器的设备证书对组合数据进行签名，将业务数据和签名值发送到目 的地总线服务器； e) 目的地总线服务器验证本地总线服务器的设备证书及签名后，保存本地总线服务器传输的业 务数据，并返回成功信息； f）至此，从本地总线服务器到目的地总线服务器数据文件传输结束。 传输总线系统数字证书签名验签业务处理流程如图A.5所示，
A.2密码应用服务接口调用
A.2.1应用集成部署模型
图A.5金保工程传输总线系统证书签名验签流程图
应用系统通过调用密码应用服务接口实现身份认证、数据加解密、数字签名、时间戳、电子印 章、责任认定等服务功能。典型的应用集成部署模型如图A.6所示。
图A.6证书应用集成部署模型
A.2.2数字证书身份认证应用示例
用户在登录业务系统前，首先应完成数学证书的绑定，即将数字证书的唯一标识与该用户在系统 账户（或用户名）进行绑定，实现数字证书与系统用户及其权限的一一对应。数字证书绑定的操 充程见A.1.2.1。 证书用户完成数字证书绑定后，即可使用数字证书登录业务系统，证书登录认证处理流程如下： a）用户将数字证书载体（智能密码钥匙）插入计算机后，输入业务系统URL地址，访问系统； b）服务器端程序调用B.2.3.2.7随机数获取接口，产生一个随机数，并保存在会话（Session）中； c）服务器端将随机数传递给客户端； d）用户输入证书pin码，由数字证书载体（智能密码钥匙）验证证书pin码的正确性； e）验证证书pin成功后，使用智能密码钥匙对随机数签名； f）客户端将用户证书和签名值提交到服务器端： g）服务器端程序接收到上述数据后，通过密码应用服务接口调用密码应用服务平台验证用户证书 和签名值的有效性。其中，验证证书的有效性包括：证书有效期、信任源以及是否被吊销； h）解析证书中的唯一标识，根据唯一标识获取用户权限，显示用户权限对应的操作页面。 数字证书身份认证处理流程如图A.7所示。
图A.7数字证书身份认证流程图
（规范性） 数字证书客户端与服务端应用接口技术要求
B.2.3密码应用服务接口
密码应用服务接口形态为HTTPrestful，提供身份认证、数字签名、数据加解密、时间戳、电子印 章、责任认定等功能。
B.2.3.1报文结构
messageheader报文头说明
messageheader报文头说明
"errorCode"："o", "errorlnfo"："成功”
B.2.3.2身份认证服务接口
B.2.3.2.1数字证书签发接口
B.2.3.2.1数字证书签发接口
a）数字证书签发接口
B.2.3.2.3三代卡证书接口
B.2.3.2.3三代卡证书
b)三代卡证书查询接口
B.2.3.2.5证书状态查询接口
2.3.2.6证书验证接口
B.2.3.2.7随机数获取接口
B. 2. 3.2. 7随机数获取接口
B.2.3.2.8动态口令认证接口
B.2.3.3数字签名与验证服务接口
B.2.3.3.1移动协同签名
a是否启用协同签名接口
[b生成服务端公私销接口
B.2.3.3.5Attached方式验签
2.3.3.6Attached事后验签
2.3.3.7Attached方式签名
B.2.3.3.8Detached方式验签
B.2.3.3.11XML数字封皮签名
B.2.3.4.2更新对称密钥接口
B.2.3.4.5销毁对称密钥接
B.2.3.4.6获取对称密钥信息接口
建筑、防腐涂料施工方案B.2.3.4.7生成非对称密钥接口
功能说明 用于为业务接口提供生成非对称密钥接口功能 接口说明 接口调用的传入参数和返回参数以json形式组成 请求API POST / key/v1/ keyOp
B.23.4.9导出公钥接口
B.2.3.4.11数据解密接口
B.2.3.4.11数据解密接口
管沟工程模板施工方案B.2.3.4.13生成 MAC接口
C.1证书应用接口相关标识