GM/T 0020-2023 证书应用综合服务接口规范：PKI 服务的统一接口标准

标准规范 · 2026-09-02

概述

在国密 PKI 体系中，证书应用综合服务接口是连接证书认证机构（CA）与业务系统的桥梁。无论业务系统是政务平台、金融系统还是企业应用，都需要通过标准接口向 CA 请求证书签发、查询证书状态、撤销证书等操作。

GM/T 0020-2023《证书应用综合服务接口规范》 正是在这一背景下发布的标准。它定义了证书生命周期的核心服务接口，包括：

证书申请接口（Certificate Enrollment）
证书签发接口（Certificate Issuance）
证书吊销接口（Certificate Revocation）
证书查询接口（Certificate Inquiry）
证书更新接口（Certificate Renewal）

该标准于 2023 年发布，与国家密码管理局公告第 54 号同步实施，是国密 PKI 体系的重要组成部分。

标准背景

2.1 为什么需要统一接口

在实际工程中，不同 CA 机构的接口实现往往各不相同：

有的使用自定义二进制协议
有的使用 SOAP/XML 格式
有的基于 LDAP 目录服务
有的通过 RESTful API 暴露

这种接口不统一带来以下问题：

系统集成成本高：每个业务系统都需要针对特定 CA 开发适配层
迁移困难：更换 CA 机构时需要重写接口代码
维护复杂：多 CA 并存时接口管理混乱
合规风险：非标接口难以通过密评检查

GM/T 0020-2023 通过定义统一接口规范，解决了上述问题。

2.2 与 GM/T 0014 的关系

标准	定位	内容
GM/T 0014-2023	数字证书认证系统密码协议	定义 CA 内部协议（注册、发证、吊销）
GM/T 0020-2023	证书应用综合服务接口	定义 CA 对外服务接口（申请、查询、吊销）

关系说明：GM/T 0014 是 CA 内部的协议规范，GM/T 0020 是 CA 对外暴露的服务接口。两者配合使用，形成完整的证书服务体系。

CODE

┌─────────────────────────────────────────────────────┐
│                   业务系统层                         │
│  (政府平台、金融系统、企业应用)                        │
├─────────────────────────────────────────────────────┤
│         GM/T 0020-2023 证书应用综合服务接口            │
│  申请 | 签发 | 吊销 | 查询 | 更新                     │
├─────────────────────────────────────────────────────┤
│              CA 系统内部                            │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐ │
│  │ GM/T 0014  │  │ 证书库      │  │ 吊销列表    │ │
│  │ 密码协议    │  │ (证书存储)  │  │ (CRL/OCSP) │ │
│  └─────────────┘  └─────────────┘  └─────────────┘ │
└─────────────────────────────────────────────────────┘

接口架构

3.1 接口分层

GM/T 0020-2023 将接口分为三层：

层级	功能	技术实现
应用层	业务逻辑封装	Java/C#/Python SDK
传输层	消息传输协议	HTTPS/TLS/国密 TLS
消息层	消息格式定义	XML/JSON/ASN.1

3.2 核心接口定义

#### 3.2.1 证书申请接口

CODE

Request: CertificateEnrollmentRequest
{
    applicantInfo: {
        name: "申请人姓名",
        idType: "身份证",
        idNumber: "110101199001011234",
        organization: "申请单位"
    },
    certificateProfile: {
        keyUsage: ["digitalSignature", "keyEncipherment"],
        extendedKeyUsage: ["clientAuth"],
        validityPeriod: 365,
        cryptoAlgorithm: "SM2"
    },
    publicKey: "Base64-encoded SM2 public key"
}

Response: CertificateEnrollmentResponse
{
    requestId: "REQ-20231201-001",
    status: "SUCCESS",
    certificateSerialNumber: "0123456789ABCDEF",
    certificate: "Base64-encoded X.509 certificate"
}

#### 3.2.2 证书查询接口

CODE

Request: CertificateQueryRequest
{
    queryType: "SERIAL_NUMBER",
    queryValue: "0123456789ABCDEF",
    includeCRL: true
}

Response: CertificateQueryResponse
{
    certificate: "Base64-encoded X.509 certificate",
    status: "VALID",
    validFrom: "2023-01-01T00:00:00Z",
    validTo: "2024-01-01T00:00:00Z",
    crlEntry: {
        serialNumber: "0123456789ABCDEF",
        revocationTime: null,
        reason: null
    }
}

#### 3.2.3 证书吊销接口

CODE

Request: CertificateRevocationRequest
{
    certificateSerialNumber: "0123456789ABCDEF",
    revocationReason: "KEY_COMPROMISE",
    revocationTime: "2023-12-01T10:00:00Z",
    requesterInfo: {
        name: "管理员",
        authorization: "ADMIN-2023-001"
    }
}

Response: CertificateRevocationResponse
{
    requestId: "REV-20231201-001",
    status: "SUCCESS"
}

3.3 消息格式

GM/T 0020-2023 支持以下消息格式：

格式	适用场景	优点	缺点
XML	政务系统、金融系统	人类可读、支持签名	体积大、解析慢
JSON	Web 应用、移动端	轻量、易解析	不支持原生签名
ASN.1/DER	底层协议	紧凑、标准	难以阅读

与 GM/T 0019 的关系

4.1 接口分工

标准	定位	范围
GM/T 0019-2023	通用密码服务接口	底层密码操作（签名、验签、加密、解密）
GM/T 0020-2023	证书应用综合服务接口	上层证书业务（申请、签发、吊销、查询）

关系说明：GM/T 0020 的证书申请操作底层会调用 GM/T 0019 的 SM2 签名接口；GM/T 0020 的证书查询操作可能调用 GM/T 0019 的 SM3 杂凑接口。

4.2 调用层次

CODE

┌─────────────────────────────────────────────┐
│          GM/T 0020 证书应用服务接口           │
│  CertificateEnrollment()                    │
│  CertificateQuery()                         │
│  CertificateRevocation()                    │
├─────────────────────────────────────────────┤
│          GM/T 0019 通用密码服务接口           │
│  SM2_Sign()                                 │
│  SM2_Verify()                               │
│  SM3_Hash()                                 │
│  SM4_Encrypt()                              │
├─────────────────────────────────────────────┤
│              密码芯片/HSM                     │
└─────────────────────────────────────────────┘

部署要点

5.1 接口实现建议

推荐做法：

使用官方提供的 SDK（Java/C#/Python）
遵循标准的错误码定义
实现请求签名验证（防重放攻击）
记录完整的操作日志

避免做法：

自行设计非标准接口
忽略错误码含义
明文传输敏感信息
不记录审计日志

5.2 安全要求

安全项	要求
传输加密	使用国密 TLS 1.1 或更高版本
请求签名	使用 SM2 签名验证请求来源
响应完整性	使用 SM3 HMAC 验证响应完整性
防重放	请求中包含时间戳和随机数
访问控制	基于角色的接口访问控制

5.3 性能建议

指标	建议值
证书申请响应时间	< 500ms
证书查询响应时间	< 200ms
证书吊销响应时间	< 300ms
并发处理能力	根据业务峰值设计
可用性	99.9%

常见问题

Q1: GM/T 0020 与 RFC 4210（CMC）的区别？

答：GM/T 0020 是国密标准，使用 SM2/SM3/SM4 算法；RFC 4210 是国际标准，使用 RSA/AES 算法。两者接口设计思路相似，但密码算法和消息格式不同。国密场景必须使用 GM/T 0020。

Q2: 证书申请接口是否需要双向认证？

答：是的。GM/T 0020 要求业务系统通过 SM2 证书向 CA 进行客户端认证（mTLS），CA 也向业务系统提供服务端证书。这是防止未授权申请的基础安全措施。

Q3: 如何处理证书过期前的自动续期？

答：GM/T 0020 定义了证书更新接口（CertificateRenewal），支持在证书到期前自动申请新证书。业务系统应在证书到期前 30 天发起续期请求。

参考标准与文献

GM/T 0020-2023《证书应用综合服务接口规范》——国家密码管理局
GM/T 0014-2023《数字证书认证系统密码协议规范》——CA 内部协议
GM/T 0019-2023《通用密码服务接口规范》——底层密码服务接口
RFC 4210《Certificate Management over CMS (CMC)》——国际标准参考

GM/T 0020-2023 证书应用综合服务接口规范：PKI 服务的统一接口标准

概述

标准背景

2.1 为什么需要统一接口

2.2 与 GM/T 0014 的关系

接口架构

3.1 接口分层

3.2 核心接口定义

3.3 消息格式

与 GM/T 0019 的关系

4.1 接口分工

4.2 调用层次

部署要点

5.1 接口实现建议

5.2 安全要求

5.3 性能建议

常见问题

Q1: GM/T 0020 与 RFC 4210（CMC）的区别？

Q2: 证书申请接口是否需要双向认证？

Q3: 如何处理证书过期前的自动续期？

参考标准与文献

相关实践链接