logo资料库

基于LTE的车联网无线通信技术 安全证书管理系统技术要求_送审稿-V0.4.4(cl).docx

发布时间：2022-06-06 发布人：admin 分类：说明书 资料大小：2.02M 资料格式：docx 举报 版权申诉
第1页 / 共172页
第2页 / 共172页
第3页 / 共172页
第4页 / 共172页
第5页 / 共172页
第6页 / 共172页
第7页 / 共172页
第8页 / 共172页
资料共172页，剩余部分请下载后查看
    前　　言
    基于LTE的车联网无线通信技术 安全证书管理系统技术要求
    1　范围
    2　规范性引用文件
    3　定义和缩略语
    4　概述
    4.1　V2X通信安全系统构成
    4.2　V2X通信安全服务架构
    4.2.1　安全功能和安全实体
    4.2.2　通信安全协议数据单元
    4.2.3　通信安全消息
    4.2.4　通信安全参考点
    4.2.5　通信安全过程
    5　LTE-V2X证书管理安全需求
    5.1　概述
    5.2　LTE-V2X消息安全需求
    5.2.1　机密性要求
    5.2.2　完整性要求
    5.2.3　认证要求
    5.2.4　抗重放攻击要求
    5.2.5　隐私保护要求
    5.3　CA系统安全要求
    6　LTE-V2X通信安全认证机制总体技术要求
    6.1　LTE-V2X证书管理系统架构
    6.1.1　系统架构
    6.1.2　基于DCM的PKI架构
    6.1.3　基于GBA的PKI架构
    6.1.4　基于OAuth的PKI架构
    6.1.5　证书管理系统实体间逻辑接口关系
    6.1.5.1　V2X设备-AAA接口（C1）
    6.1.5.2　AAA-ECA接口（C2）
    6.1.5.3　RA-AAA接口（C3）
    6.1.5.4　V2X设备-RA接口（C4）
    6.1.5.5　RA-CA接口（C5）
    6.1.5.6　RA-LA接口（C6）
    6.1.5.7　V2X设备-MA接口（C7）
    6.1.5.8　MA-RA接口（C8）
    6.1.5.9　MA-LA接口（C9）
    6.1.5.10　MA-CRL服务接口（C10）
    6.1.5.11　V2X设备-CRL服务接口（C11）
    6.1.6　 支持多PKI系统互认
    6.1.7　证书管理实体类型
    6.1.7.1　根CA
    6.1.7.2　注册CA
    6.1.7.3　假名CA
    6.1.7.4　应用CA
    6.1.7.5　证书撤销机构
    6.1.7.6　认证授权机构
    6.1.7.7　假名注册机构PRA
    6.1.7.8　链接机构LA
    6.1.7.9　中间CA
    6.1.7.10　异常行为管理机构MA
    6.1.8　证书类型
    6.1.8.1　概述
    6.1.8.2　注册证书
    6.1.8.3　假名证书
    6.1.8.4　应用证书
    6.1.8.5　身份证书
    6.1.9　证书一致性检查要求
    6.1.9.1　概述
    6.1.9.2　证书签发过程中一致性检查要求
    6.1.9.3　应用消息签名和验签过程中一致性检查要求
    6.2　LTE-V2X安全证书
    6.2.1　证书基本结构
    6.2.2　根CA证书
    6.2.3　注册证书
    6.2.4　假名证书
    6.2.5　应用证书和身份证书
    6.2.6　CRL结构
    6.3　基本元素说明
    6.3.1　编码规则
    6.3.2　数据结构定义
    6.4　安全协议数据单元（SPDU）
    6.4.1　V2XSecData
    6.4.2　V2XSecContent
    6.4.3　SignedData
    6.4.4　ToBeSignedData
    6.4.5　SignedDataPayload
    6.4.6　HashedData
    6.4.7　HeaderInfo
    6.4.8　Aid
    6.4.9　Time64
    6.4.10　ThreeDLocation
    6.4.11　Latitude
    6.4.12　Longitude
    6.4.13　Elevation
    6.4.14　MissingCrlIdentifier
    6.4.15　CrlSeries
    6.4.16　EncryptionKey
    6.4.17　SymmetricEncryptionKey
    6.4.18　PublicEncryptionKey
    6.4.19　SymmAlgorithm
    6.4.20　BasePublicEncryptionKey
    6.4.21　EccP256CurvePoint
    6.4.22　EccP384CurvePoint
    6.4.23　PduFunctionalType
    6.4.24　SignerIdentifier
    6.4.25　HashedId3
    6.4.26　HashedId8
    6.4.27　HashedId10
    6.4.28　Signature
    6.4.29　EcdsaP256Signature
    6.4.30　EcdsaP384Signature
    6.4.31　EcsigP256Signature
    6.4.32　EncryptedData
    6.4.33　RecipientInfo
    6.4.34　PreSharedKeyRecipientInfo
    6.4.35　SymmRecipientInfo
    6.4.36　PKRecipientInfo
    6.4.37　EncryptedDataEncryptionKey
    6.4.38　EciesP256EncryptedKey
    6.4.39　EcencP256EncryptedKey
    6.4.40　SymmetricCiphertext
    6.4.41　One28BitCcmCiphertext
    6.4.42　Countersignature
    6.5　数字证书和证书管理数据格式
    6.5.1　概述
    6.5.2　Certificate
    6.5.3　CertificateBase
    6.5.4　CertificateType
    6.5.5　ExplicitCertificate
    6.5.6　IssuerIdentifier
    6.5.7　ToBeSignedCertificate
    6.5.8　CertificateId
    6.5.9　LinkageData
    6.5.10　LinkageValue
    6.5.11　GroupLinkageValue
    6.5.12　Hostname
    6.5.13　ValidityPeriod
    6.5.14　Time32
    6.5.15　Duration
    6.5.16　GeographicRegion
    6.5.17　CircularRegion
    6.5.18　TwoDLocation
    6.5.19　RectangularRegion
    6.5.20　PolygonalRegion
    6.5.21　IdentifiedRegion
    6.5.22　CountryOnly
    6.5.23　CountryAndRegions
    6.5.24　CountryAndSubregions
    6.5.25　RegionAndSubregions
    6.5.26　SubjectAssurance
    6.5.27　AidSsp
    6.5.28　ServiceSpecificPermissions
    6.5.29　BitmapSsp
    6.5.30　AidGroupPermissions
    6.5.31　SubjectPermissions
    6.5.32　EndEntityType
    6.5.33　AidSspRange
    6.5.34　SspRange
    6.5.35　BitmapSspRange
    6.5.36　VerificationKeyIndicator
    6.5.37　PublicVerificationKey
    7　LTE-V2X通信安全认证交互流程及接口技术要求
    7.1　注册证书管理流程
    7.1.1　概述
    7.1.2　注册证书申请流程
    7.1.2.1　DCM架构下的注册证书申请流程
    7.1.2.2　GBA架构下的注册证书申请流程
    7.1.3　注册证书更新流程
    7.1.3.1　概述
    7.1.3.2　DCM架构下的注册证书更新流程
    7.1.3.3　GBA架构下的注册证书更新流程
    7.1.3.4　注册证书更新接口及请求和响应传递的参数说明
    7.2　假名证书申请流程
    7.2.1　概述
    7.2.2　DCM架构下的假名证书申请流程
    7.2.3　GBA架构下的假名证书申请流程
    7.2.3.1　基于EC注册证书申请假名证书
    7.2.3.2　基于业务令牌申请假名证书
    7.2.4　OAuth架构下的假名证书申请流程
    7.2.5　假名证书下载流程
    7.2.6　密钥衍生流程
    7.2.7　假名证书申请接口及请求和响应传递的参数说明
    7.2.8　假名证书下载接口及请求和响应传递的参数说明
    7.3　应用证书和身份证书管理流程
    7.3.1　概述
    7.3.2　应用证书和身份证书申请流程
    7.3.2.1　基于注册证书的应用证书和身份证书申请流程
    7.3.2.2　基于GBA的应用证书和身份证书申请流程
    7.3.3　应用证书和身份证书申请接口及请求和响应传递的参数说明
    7.3.4　应用证书和身份证书下载接口及请求和响应传递的参数说明
    7.4　证书撤销列表管理流程
    7.4.1　概述
    7.4.2　假名证书撤销列表管理
    7.4.2.1　概述
    7.4.2.2　基于ls的假名证书撤销
    7.4.3　黑名单管理
    7.4.3.1　概述
    7.4.3.2　基于ls的EC黑名单管理
    7.4.3.3　基于ls的OAuth黑名单管理
    7.4.3.4　基于应用/身份证书的EC黑名单管理
    7.4.4　证书撤销列表下载流程
    7.4.5　证书撤销列表申请接口及请求和响应传递的参数说明
    7.4.6　CRL 数据结构
    7.4.6.1　概述
    7.4.6.2　CrlContents
    7.4.6.3　CrlPriorityInfo
    7.4.6.4　ToBeSignedHashIdCrl
    7.4.6.5　HashBasedRevocationInfo
    7.4.6.6　ToBeSignedLinkageValueCrl
    7.4.6.7　JMaxGroup
    7.4.6.8　LAGroup
    7.4.6.9　IMaxGroup
    7.4.6.10　IndividualRevocation
    7.4.6.11　GroupCrlEntry
    7.4.6.12　GroupSingleSeedCrlEntry
    7.4.6.13　LaId
    7.4.6.14　LinkageSeed
    7.5　机构证书管理流程
    7.5.1　概述
    7.5.2　机构证书发布与更新
    7.5.3　机构证书撤销管理
    7.6　异常行为检测上报流程
    7.7　LA管理架构和流程
    7.7.1　概述
    7.7.2　获取链接值流程
    7.7.3　获取组链接值流程
    7.7.4　查询链接种子流程
    7.7.5　请求个体链接值接口及请求和响应传递的参数说明
    7.7.6　请求组链接值接口及请求和响应传递的参数说明
    7.7.7　基于链接值查询链接种子接口及请求和响应传递的参数说明
    8　LTE-V2X通信安全认证PKI互信技术要求
    8.1　概述
    8.2　PKI互信架构
    8.2.1　可信根证书列表结构
    8.2.2　可信域CA证书列表结构
    8.3　PKI互信管理过程
    8.3.1　分布式PKI互信管理过程
    8.3.2　集中式PKI互信管理过程
    8.4　PKI互信认证过程
    8.5　可信根证书列表管理策略
    8.6　可信域CA证书列表管理策略
    8.7　可信域的异常行为检查
    附　录　A（规范性附录）ASN.1模板
    A.1概述
    A.2V2X安全服务
    A.2.1V2X安全模板
    A.2.2V2X安全基本类型
    A.3证书撤销列表 (CRL)
    A.3.1证书撤销列表：基本类型
    A.3.2CRL: 安全封装
    A.3.3CRL: 业务特定权限 (SSP)
    附　录　B（规范性附录）密码算法的输入与输出
    B.1　哈希算法
    B.2　签名算法
    B.2.1　概述
    B.2.2　签名和验签操作中的预处理
    B.3　公钥加密算法
    B.3.1　概述
    B.3.2　SM2加密
    B.4　对称加密算法
    B.5　通过哈希值对编码后的数据结构进行标识
    B.6　加密数据
    B.6.1　概述
    B.6.2　数据加密
    B.6.3　对数据加密密钥的加密
    附　录　C（资料性附录）车联网通信安全基本应用模式
    C.1　概述
    C.2　车辆主动安全系统模式
    C.3　路侧设备广播消息模式
    C.4　特权车辆与路侧设备间通信模式
    C.5　基于应用的OBU与RSU/VSP通信模式
    附　录　D（资料性附录）基于OAUTH的token授权机制
    D.1　概述
    D.2　协议流程
    D.3　OAuth 2.0 AT的验证策略
    附　录　E（规范性附录）V2X设备与安全证书管理系统接口的数据格式
    E.1　概述
    E.2　引用的数据结构
    E.3　SCMS中的PDU
    E.3.1　概述
    E.3.2　ScmsPdu
    E.3.3　AcaEeInterfacePdu
    E.3.4　AcaEeCertResponse
    E.3.5　AcaLaInterfacePdu
    E.3.6　AcaMaInterfacePdu
    E.3.7　AcaRaInterfacePdu
    E.3.8　CertManagementPdu
    E.3.9　CompositeCrl
    E.3.10　CertificateChain
    E.3.11　EcaEeInterfacePdu
    E.3.12　EeEcaCertRequest
    E.3.13　EcaEeCertResponse
    E.3.14　EeMaInterfacePdu
    E.3.15　EeRaInterfacePdu
    E.3.16　EeRaCertRequest
    E.3.17　AdditionalParams
    E.3.18　ButterflyParamsOriginal
    E.3.19　ButterflyExpansion
    E.3.20　RaEeCertInfo
    E.3.21　EeRaDownloadRequest
    E.3.22　LaMaInterfacePdu
    E.3.23　LaRaInterfacePdu
    E.3.24　MaRaInterfacePdu
    E.3.25　AaaAuthorizationInfo
    E.3.26　RaEeCertAck
    E.4　SCMS中的SPDU
    E.4.1　概述
    E.4.2　AcaEeCertResponseCubkSpdu
    E.4.3　AcaEeCertResponsePlainSpdu
    E.4.4　AcaEeCertResponsePrivateSpdu
    E.4.5　CertificateChainSpdu
    E.4.6　CompositeCrlSpdu
    E.4.7　EcaEeCertResponseSpdu
    E.4.8　EeEcaCertRequestSpdu
    E.4.9　EeRaCertRequestPlainSpdu
    E.4.10　EeRaCertRequestSpdu
    E.4.11　EeRaDownloadRequestPlainSpdu
    E.4.12　EeRaDownloadRequestSpdu
    E.4.13　EeRaSuccessorEnrollmentCertRequestSpdu
    E.4.14　RaEeCertAckSpdu
    E.4.15　RaEeCertInfoSpdu
    E.4.16　RaEeEnrollmentCertAckSpdu
    E.4.17　SecurityMgmtAid
    E.5　参数化类型（parameterized types）
    E.5.1　概述
    E.5.2　V2XSecData-Encrypted
    E.5.3　V2XSecData-EncryptedOpen
    E.5.4　V2XSecData-EncryptedSigned
    E.5.5　V2XSecData-Signed
    E.5.6　V2XSecData-SignedCertRequest
    E.5.7　V2XSecData-SignedEncrypted
    E.5.8　V2XSecData-SignedEncryptedCertRequest
    E.5.9　V2XSecData-Unsecured
    E.5.10　ScmsPdu-Scoped
    E.5.11　ScopedCertificateRequest
    E.5.12　SignedCertificateRequest
    E.5.13　SignerSelf
    E.5.14　SignerSingleCert
    E.6　ACA-RA接口
    E.6.1　概述
    E.6.2　AcaRaInterfacePdu
    E.6.3　RaAcaCertRequest
    E.6.4　RaAcaCertRequestFlags
    E.6.5　AcaRaCertResponse
    E.6.6　RaAcaCertRequestSpdu
    E.6.7　AcaRaCertResponseSpdu
    E.7　LA-MA接口
    E.7.1　概述
    E.7.2　LaMaInterfacePdu
    E.7.3　MaLaLinkageSeedRequest
    E.7.4　IndividualLV
    E.7.5　GroupLV
    E.7.6　LaMaLinkageSeedResponse
    E.7.7　IndividualLSInfo
    E.7.8　GroupLSInfo
    E.7.9　MaLaLinkageSeedRequestSpdu
    E.7.10　LaMaLinkageSeedResponseSpdu
    E.8　LA-RA接口
    E.8.1　概述
    E.8.2　LaRaInterfacePdu
    E.8.3　PraLaLinkageValueRequest
    E.8.4　PraLaIndividualLinkageValueRequest
    E.8.5　LinkageChainId
    E.8.6　PraLaGroupLinkageValueRequest
    E.8.7　PraLaRequestHeader
    E.8.8　LaPraLinkageValueResponse
    E.8.9　IndividualLVResponseLinkageChain
    E.8.10　GroupLVResponseLinkageChain
    E.8.11　EncryptedIndividualLV
    E.8.12　EncryptedGroupLV
    E.8.13　PraLaIndividualLinkageValueRequestSpdu
    E.8.14　PraLaGroupLinkageValueRequestSpdu
    E.8.15　LaPraLinkageValueResponseSpdu
    E.9　GBA流程相关接口
    E.9.1　概述
    E.9.2　 V2X设备->AAA发送的请求消息
    E.9.3　AAA->ECA/PRA/ARA转发的请求消息
    E.9.4　ECA/PRA/ARA->AAA发送的请求消息
    E.9.5　AAA->ECA/PRA/ARA发送的响应消息
    E.9.6　ECA/PRA/ARA->V2X设备发送的响应消息
    E.9.7　GBA认证授权系统->V2X设备转发的响应消息
    E.10　安全证书管理AID的SSP
    E.10.1　ScmsSsp
    E.10.2　RootCaSsp
    E.10.3　MaSsp
    E.10.4　PgSsp
    E.10.5　IcaSsp
    E.10.6　EcaSsp
    E.10.7　AcaSsp
    E.10.8　CraSsp
    E.10.9　DcmSsp
    E.10.10　LaSsp
    E.10.11　RaSsp
    E.10.12　EeSsp
    附　录　F（资料性附录）证书生命周期及更新场景
    F.1　证书生命周期
    F.2　证书更新场景
    附　录　G（规范性附录）链接值相关定义
    G.1　链接值生成算法
    G.2　基于个体链接值的证书撤销验证算法
    G.3　基于组链接值的证书撤销验证算法
    附　录　H（规范性附录）可信CA证书列表及互信认证流程
    H.1　概述
    H.2　引用的数据结构
    H.3　根证书可信列表
    H.3.1　RootCtl
    H.3.2　ToBeSignedRootCtl
    H.3.3　PkiCtlInfo
    H.3.4　下载根可信证书列表请求和响应参数说明
    H.4　可信CA证书列表
    H.4.1　PkiCtl
    H.4.2　ToBeSignedPkiCtl
    H.4.3　PkiCertInfo
    H.4.4　下载PKI可信证书列表请求和响应参数说明
    附　录　I（资料性附录）算法编码示例
    I.1　概述
    I.2　签名算法编码示例
    I.3　加密算法编码示例
    附　录　J（规范性附录）GBA机制应用层会话密钥产生及使用方法
    J.1.1　应用层会话密钥种类
    J.1.2　应用层会话密钥生成
    J.1.3　应用层会话密钥使用
    附　录　K（资料性附录）密钥衍生流程的一种算法建议
    K.1　概述
    K.2　密钥衍生函数
    K.2.1　符号表达说明
    K.2.2　密钥衍生函数
    K.3　使用建议函数后的密钥衍生流程
    ICS [点击此处添加 ICS 号] [点击此处添加中国标准文献分类号] YD 中 华 人 民 共 和 国 通 信 行 业 标 准 YD/T [×××××]—[××××] [代替 YD/T] 基于 LTE 的车联网无线通信技术 安全证 书管理系统技术要求 Technical Requirement of Security Certificate Management System for LTE- based Vehicular Communication [点击此处添加与国际标准一致性程度的标识] （送审稿） （本稿（V0.4.4）完成日期：2020.08.05） [××××]-[××]-[××]发布 [××××]-[××]-[××]实施 中华人民共和国工业和信息化部 发 布
    YD/T ×××××—×××× 前 言 本标准/本部分按照GB/T 1.1—2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准/本部分由中国通信标准化协会提出并归口。 本标准/本部分起草单位：大唐电信科技产业集团（电信科学技术研究院）、中国信息通信研究院、 中国移动通信集团有限公司、国汽（北京）智能网联汽车研究院有限公司、华为技术有限公司、东软 集团股份有限公司、宝马（中国）服务有限公司、通用汽车（中国）投资有限公司、中国汽车工程研 究院股份有限公司、北京数字认证股份有限公司、北京仁信证科技有限公司、深圳奥联信息安全技术 有限公司、奇虎360、腾讯 本标准/本部分主要起草人：×××、×××、×××。 I
    YD/T ×××××—×××× 基于 LTE 的车联网无线通信技术 安全证书管理系统技术要求 1 范围 本标准规定了基于LTE的车联网无线通信技术安全证书管理系统技术要求，规定了用于LTE V2X安 全证书管理技术要求、安全证书管理系统架构和相关的显式证书格式及交互流程。 本标准适用于LTE-V2X车载设备、路侧设备和安全证书管理系统。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 16264.8 信息技术开放系统互连目录 第8部分:公钥和属性证书框架 GB/T 25056 信息安全技术 证书认证 系统密码及其相关安全技术规范 GB/T 33560 信息安全技术 密码应用标识规范 GB/T 35276 信息安全技术 SM2密码算法使用规范 GB/T 32905 信息安全技术 SM3密码杂凑算法 GB/T 32907 信息安全技术 SM4分组密钥算法 GB/T 32918（所有部分） 信息安全技术 SM2椭圆曲线公钥算法 GB/T 36624 信息技术 安全技术 可鉴别的加密机制 YD/T 3707-2020《基于LTE的车联网无线通信技术 网络层技术要求》 3GPP TS 33.220: Generic Authentication Architecture (GAA); Generic Bootstrapping Architecture (GBA) GB/T 16262.1 信息技术抽象语法记法一(ASN.1) 第1部分 基本记法规 GB/T 16262.2 信息技术抽象语法记法一(ASN.1) 第2部分 信息客体规范 GB/T 16262.3 信息技术抽象语法记法一(ASN.1) 第3部分 约束规范 GB/T 16262.4 信息技术抽象语法记法一(ASN.1) 第4部分 ASN.1规范的参数化 ISO/IEC8825-7 Information technology -- ASN.1 encoding rules: Specification of Octet Encoding Rules (OER). 3 定义和缩略语 下列定义适用于本文件。 V2X设备：本规范将车载设备（OBU）、路侧设备（RSU）和服务提供商（VSP）统称为车联网设备 （V2X Equipment）。 V2X通信证书：本规范将证书机构签发给车联网设备的各种与V2X通信相关的证书，例如注册证书、 假名证书、应用证书、身份证书等，统称为V2X通信证书（Communication Certificate）。 1
    下列缩略语适用于本文件。 YD/T ×××××—×××× AAA AC ACA AID API ARA ASN.1 BSF BSM CA CRA CRL CTL DCM EC ECA GBA HTTP HTTPS ICA ID LA LTE ls lv MA NAF OBU PC PCA PDU PKI PRA RA Rscm Rsde RSU SCME SCMF SDPF SPDU 认证授权机构 应用证书 应用证书机构 应用标识 应用程序接口 应用证书注册机构 Authorization Registration and Certificate Authentication Authority Application Certificate Application Certificate Authority Application Identifier Application Programming Interface Application Authority Abstract Syntax Notation dot one Bootstrapping Server Function Basic Safety Message Certificate Authority Certificate Revocation Authority Certificate Revocation List Certificate Trust List Device Configuration Manager Enrolment Certificate Enrolment Certificate Authority Generic Bootstrapping Architecture Hyper Text Transfer Protocol 抽象记法 1 引导服务功能 主动安全消息 证书机构 证书撤销机构 证书撤销列表 证书可信列表 设备配置管理 注册证书 注册证书机构 通用引导架构 超文本传输协议 超文本传输安全协议 Hyper Text Transfer Protocol Secure 中间证书机构 身份标识 链接机构 长期演进 链接种子 链接值 异常行为管理机构 网络应用功能 车载设备 假名证书 假名证书机构 协议数据单元 公钥基础设施 Intermediate CA IDentity Linkage Authority Long Term Evolution Linkage Seed Linkage Value Misbehavior Authority Network Application Function On Board Unit Pseudonym Certificate Pseudonym Certificate Authority Protocol Data Unit Public Key Infrastructure Pseudonym Certificate Authority Registration Authority Security Credential Management Reference point 假名证书注册机构 注册机构 安全凭证管理参考点 Registration 安全数据交换参考点 Secure Data Exchange Reference point 路侧设备 安全凭证管理实体 安全凭证管理功能 安全数据处理功能 安全协议数据单元 Road Side Unit Security Credential Management Entity Security Credential Management Function Secure Data Processing Function Secured Protocol Data Unit 2
    YD/T ×××××—×××× SSF SSP TCMF TDCL TLS TRCL TRCLA USIM V2X VSP 安全服务功能 服务特定许可 可信证书管理功能 可信域 CA 证书列表 传输层安全性协议 可信根证书列表 可 信 根 证 书 列 表 管 理 机构 全球用户识别模块 车联万物 车联网服务提供商 Security Service Function Service Specific Permission Trusted Certificate Management Function Trusted Domain CA Certificates List Transport Layer Security Trusted Root Certificate List Trusted Root Certificate List Authority Universal Subscriber Identity Module Vehicle to Everything V2X Service Provider 4 概述 4.1 V2X 通信安全系统构成 车联网通信安全实体关系参考模型如图1所示，图中实线表示V2X设备之间的通信关系，虚线表示 实体之间的授权关系。该参考模型由如下实体构成： ——车载设备（On Board Unit，OBU）：安装在车辆上，负责 V2X 通信的实体。数据发送时，OBU 使用与 CA 签发给它的数字证书对应的私钥对其播发的信息进行数字签名和/或使用数据接收 方证书对数据进行加密；数据接收时，OBU 使用发送方的公钥对消息进行验证和/或使用本地 私钥对加密消息进行解密。 ——路侧设备（Road Side Unit，RSU）：安装在路侧交通控制设备和交通信息发布设备中，负责 V2X 通信的实体。数据发送时，RSU 使用与 CA 签发给它的数字证书对应的私钥对其播发的信 息进行数字签名和/或使用数据接收方证书对数据进行加密；数据接收时，RSU 使用发送方的 公钥对消息进行验证和/或使用本地私钥对加密消息进行解密。 ——服务提供商（V2X Service Provider，VSP）：负责道路交通的管理机构和在车联网系统里提 供某种商业服务的服务机构。数据发送时，VSP 使用与 CA 签发给它的数字证书对应的私钥对 其播发的信息进行数字签名和/或使用数据接收方证书对数据进行加密；数据接收时，VSP 使 用发送方的公钥对消息进行验证和/或使用本地私钥对加密消息进行解密。VSP 需要通过具有 转发能力的路侧设备进行安全消息的发送和接收。 ——证书机构（Certificate Authority，CA）：负责向车联网设备（OBU，RSU，VSP）签发各种 通信证书或签发证书撤销列表（Certificate Revocation List，CRL），例如注册 CA、假名 CA、应用 CA、证书撤销机构（Certificate Revocation Authority，CRA）等。 3
    YD/T ×××××—×××× 图 1 车联网通信安全实体关系参考模型 证书机构车联网通信安全系统的基本应用模式参见附录A。 4.2 V2X 通信安全服务架构 4.2.1 安全功能和安全实体 车联网安全通信服务架构如图2所示，其由如下功能或实体构成： ——安全数据处理功能（Secure Data Processing Function，SDPF） SDPF位于车联网设备中的某个车联网应用服务实体中，负责处理与特定应用相关的安全性操作， 也即基于特定的车联网应用逻辑生成与处理安全消息。例如，在车联网主动安全应用中，车辆主动安 全系统基于相应的应用逻辑生成签名消息或验证签名消息并获得消息明文。SDPF在执行安全数据处理 过程中可能需要调用SSF提供的基本安全服务，例如数字签名、数字签名验证、数据加密、数据解密等。 ——安全凭证管理功能（Security Credential Management Function，SCMF） SCMF在车联网设备中负责与车联网安全凭证管理实体交互获得相关的公钥证书和CRL等安全凭证或 数据。SCMF需要与SSF交互以完成安全凭证和数据（例如公钥证书和CRL）的导入和导出，以及密钥的 生成和导出等操作。 ——安全服务功能（Security Service Function，SSF） SSF位于车联网设备中，负责提供安全凭证和安全数据的存储和密码运算服务，例如，公钥证书和 CRL的存储，密钥的生成和存储，签名、验签、加密、解密和哈希运算等密码运算。SSF通过SSF应用程 序接口（Application Programming Interface，API）对外提供安全服务。 SSF负责处理本规范定义的安全协议数据单元（Secured Protocol Data Units，SPDUs）。SSF通 过生成和处理SPDU为车联网设备提供签名、验签、加密和解密等安全服务。 ——安全凭证管理实体（Security Credential Management Entity，SCME） 4
    SCME负责向车辆联网设备签发各种用于通信安全的公钥证书，以及管理和发布证书撤销列表。 YD/T ×××××—×××× 4.2.2 通信安全协议数据单元 图 2 车联网安全通信服务架构 在车联网系统中，为通信数据提供安全保护的基本数据单位称为安全协议数据单元（Secured Protocol Data Unit，SPDU）。安全协议数据单元由安全服务功能（SSF）创建和处理。 本规范定义了如下类型的安全协议数据单元（SPDU）： ——明文安全协议数据单元（Unsecured SPDU）：数据未经数字签名或数据加密保护。该数据单 元的使用者对数据单元中携带的数据不需要进行进一步的安全处理即可以使用。 ——签名安全协议数据单元（Signed SPDU）：数据为经与公钥证书对应的私钥进行数字签名后的 数据。该数据单元的使用者需要对数据单元中携带的数据的完整性进行验证、对来源进行确 认后才能使用。 ——加密安全协议数据单元（Encrypted SPDU）：数据为经对称密钥或非对称密钥加密后的数据。 安全协议数据单元可嵌套使用，具体的应用顺序依据应用逻辑确定。 4.2.3 通信安全消息 在车联网通信中，由某个实体发送给其他实体的包含有安全协议数据单元（SPDU）和/或处理安全 协议数据单元所需数据的消息称为安全消息（Secure Message）。安全消息由安全数据处理功能 （SDPF）依据具体的应用逻辑创建和处理。 4.2.4 通信安全参考点 5
    YD/T ×××××—×××× 车联网实体之间通过安全通信参考点进行安全的数据交换操作。本规范定义了2个与通信安全相关 的参考点： ——安全数据交换参考点（Secure Data Exchange Reference point，Rsde）：车联网设备之间 通过 Rsde 参考点来安全地交换数据。 ——安全凭证管理参考点（Security Credential Management Reference point，Rscm）：车联 网设备通过 Rscm 参考点与安全凭证签发实体进行交互，以申请证书和获得 CRL 等安全数据。 4.2.5 通信安全过程 车联网通信安全的一般过程如图3所示。具体步骤如下： 步骤1：发送方的SDPF依据某个车联网应用逻辑生成明文数据，并向本地SSF发送安全服务请求， 以便获得后者为其提供数字签名或数据加密等安全服务。服务请求中包含有明文数据和/或处理安全协 议数据单元所需的数据，例如公钥证书等。 步骤2：发送方的SSF根据安全服务请求执行相应的安全操作，例如数据签名或数据加密等。SSF将 安全操作的结果封装在SPDU中，然后将该SPDU通过安全服务响应返回给SDPF。 步骤3：发送方的SDPF依据SSF生成的SPDU和应用逻辑生成应用特定格式的安全消息，例如主动安 全消息。 步骤4：发送方的SDPF将生成的安全消息广播出去。 步骤5：接收方的SDPF依据应用逻辑从接收到的安全消息中获得SPDU。 步骤6：接收方SDPF向本地SSF发送安全服务请求，以便获得后者为其提供签名验证或数据解密等 安全服务。服务请求中包含有SPDU和/或处理安全协议数据单元所需的数据，例如公钥证书等。 步骤7：接收方的SSF根据安全服务请求执行相应的安全操作，例如验证签名或解密数据等，然后 将安全服务结果通过安全服务响应返回给SDPF。 图 3 车联网通信安全消息处理流程 6
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料