從入門到精通：密評科普係列

一、什麼是商用密碼

1、從理解“密碼”開始

2、從“密碼”到“商用密碼”

3、密碼算法的分類和性質

4、商用密碼的四大特性

二、什麼是密評

1、評估對象

2、評估內容

3、評估標準

4、評估流程

三、為什麼必須做密評

1、密評發展史

2、商密市場現狀

3、密評必做的六個原因

4、不做密評的後果

四、密評解決方案

1、密評方案設計及實施

2、BOB登陆 密評解決方案

3、方案價值體現

五、過密評之重點、難點、得分點

1、重點

2、難點

3、得分點

六、關於密評的常見問題

1、運營單位怎麼判定是否需要開展密評?

2、不做密評或測評結果不合格有什麼影響？

3、等保中的密碼要求有哪些（以等保三級係統為例）

4、bobty下载软件 、工控、移動互聯網安全擴展要求

一、什麼是商用密碼

1、從理解“密碼”開始

密碼定義：《密碼法》第二條：本法所稱密碼，是指采用特定變換的方法對信息等進行加密保護、安全認證的技術、產品和服務。

密碼分類：核心密碼、普通密碼和商用密碼。

密碼組成：密碼算法、密鑰管理和密碼協議。

■密碼算法：實現密碼對信息進行“明”“密”變換、產生認證“標簽“的一種特定規則。不同的密碼算法實現不同的變換規則。算法是密碼的關鍵，算法的強度決定了破譯的難度。

■密鑰管理：根據安全策略，對密鑰的產生、分發、存儲、更新、歸檔、撤銷、備份、恢複和銷毀等密鑰全生命周期的管理。算法是可以公開的，一切秘密寓於密鑰之中，密鑰的保密是重中之重。

■密碼協議：兩個或兩個以上參與者使用密碼算法，為達到加密保護或安全認證目的而約定的交互規則。密碼應用遵循的交互規則，不安全的密碼協議會導致係統存在從“旁路”或“後門”竊取信息的風險。

日常生活中的密碼：password，pass“通行” word“暗號”，嚴格說來應該翻譯成口令，是用來驗證用戶身份和權限的，比如我們解鎖手機、登錄微博賬號。

計算機術語中的密碼：Cryptography，通過各種數學方法和機製實現數據的明文和密文相互轉化，達到加密保護、安全認證的目的，例如RSA。

2、從“密碼”到“商用密碼”

商用密碼的定義：對不涉及國家秘密內容的信息進行加密保護或者安全認證，所使用的密碼技術和密碼產品。

商用密碼的核心：商用密碼技術，國家將其列為國家秘密，任何單位和個人都有責任和義務保護商用密碼技術的秘密。

國外的密碼算法：DES、3DES、AES、SHA1、SHA2、SHA3、DSA、RSA、RC4等

高危密碼算法：MD5、DES、RSA1024以下、SSH1.0、SSL3.0以下、SHA1等

3、密碼算法的三大類別

密碼算法通常可分為三大類：對稱密碼算法、非對稱密碼算法、密碼雜湊算法。

（1）對稱密碼算法：在加密與解密時使用相同的密鑰，兩個過程是“對稱”的。

常見對稱密碼算法：SM1、SM4、SM7、ZUC、DES、3DES、AES、RC4

（2）非對稱密碼算法：加密和解密使用不同的密鑰。其中加密的密鑰可以公開，稱為公鑰；解密的密鑰需要保密，稱為私鑰。公私鑰成對出現，公鑰推倒出私鑰在理論上不可行。

常見非對稱密碼算法：SM2、SM9、RSA、ECDSA、 Elgamal

（3）密碼雜湊算法：將任意長度的二進製值映射為較短的固定長度的二進製值。

常見：SM3、MD5、 SHA1、 SHA2 、SHA3、

密碼雜湊算法具備三大特性：

■單向性：為一個給定的輸出找出能映射到該輸出的一個輸入在計算上是困難

■弱抗碰撞性：為一個給定的輸入找出能映射到同一個輸出的另一個輸入在計算上是困難的的

■強抗碰撞性：要發現不同的輸入映射到同一輸出在計算上是困難的

4、商用密碼的四大特性

真實性：防假冒

已授權用戶可以正常訪問使用

未授權用戶禁止訪問

完整性：防篡改

保證信息不被未經允許的授權改動

機密性：防泄漏

已授權用戶可以正常查看

未授權用戶無法查看

不可否認性：抗抵賴

用戶不可否認之前針對資源的任何操作，包括訪問、修改、刪除等

二、什麼是密評？

密評全稱：商用密碼應用安全性評估

定義：對采用商用密碼技術、產品和服務集成建設的網絡和信息係統密碼應用的合規性、正確性、有效性進行評估。

這句話精簡一下，即：對網絡和信息係統密碼應用進行評估。在網絡和信息係統中，密碼幾乎無處不在，用戶登錄、管理員操作、業務係統之間互相調用數據…全都跟密碼息息相關，因此在做密評的時候，需要針對整個網絡和信息係統進行測評。

1、評估對象：網絡和信息係統

■ 電信網、廣播電視網、互聯網等基礎信息網絡；

■ 能源、教育、交通、衛生計生、金融等涉及國計民生和基礎信息資源的重要信息係統；

■ 石油石化、電力係統、交通運輸、水利樞紐、城市設施等重要工業控製係統電力係統、石油天然氣、油氣管道等重要信息係統和重要工業控係統；

■ 黨政機關和使用財政資金的事業單位、團體組織使用的麵向社會服務的信息係統；

■ 基礎信息網絡、涉及國計民生和基礎信息資源的重要信息係統、重要工業控製係統。

國家網絡的安全和密碼相關法律法規明確要求非涉密的關鍵信息基礎設施、等保三級及以上係統、國家政務等重要信息係統要開展密評工作。並且，密評管理辦法也明確規定：關鍵信息基礎設施、網絡的安全等級保護第三級及以上信息係統，需要每年至少評估一次。

麵向社會服務的政務信息係統，以及關鍵信息基礎設施、網絡的安全等級保護第三級及以上信息係統。

——商用密碼應用安全性評估管理辦法（試行）

2、評估內容：密碼應用安全性

i

機密性技術要求

1）身份鑒別信息

2）密鑰數據

3）傳輸的重要數據

4）信息係統應用中所有存儲的重要數據

ii

真實性技術要求

1）進入重要物理區域人員的身份鑒別

2）通信雙方的身份鑒別

3）網絡設備接入時的身份鑒別

4）重要可執行程序的來源真實性保證

5）登錄操作係統和數據庫係統的用戶身份鑒別

6）應用係統的用戶身份鑒別

iii

完整性技術要求

1）身份鑒別信息

2）密鑰數據

3）日誌記錄

4）訪問控製信息

5）重要可執行程序

6）視頻監控音像記錄

7）電子門禁係統進出記錄

8）傳輸的重要數據

9）信息係統應用中所有存儲的重要數據

iv

不可否認性技術要求

使用基於公鑰密碼算法的數字簽名機製等密碼技術來保證數據原發行為的不可否認性和數據接收行為的不可否認性

3、評估標準：合規性、正確性、有效性

對采用商用密碼技術、產品和服務集成建設的網絡和信息係統密碼應用，需要滿足合規性、正確性、有效性的要求，具體內容如下：

合規性：信息係統使用的密碼技術、產品和服務是否符合國密要求

正確性：受保護對象是否明確，密碼功能是否實現準確，密碼產品參數是否配置正確

有效性：檢驗或驗證密碼應用是否合規、正確，是否真正實現了受保護對象的安全防護需求

技術要求：

- 保障信息係統的實體身份真實性、重要數據的機密性和完整性/操作行為的不可否認性

- 密鑰全生命周期的各個環節：密鑰生成、存儲、分發、導入、導出、使用、備份、恢複、歸檔與銷毀的安全要求

管理要求：

- 密碼應用安全管理相關流程製度的製定、發布、修訂的規範性要求;

- 密碼相關安全人員的密碼安全意識以及關鍵密碼安全崗位員工的密碼安全能力的培養,人員工作流程要求等;

- 建設運行過程中密碼應用安全要求及方案落地執行的一致性和有效性要求；

- 處理密碼應用安全相關的應急突發事件的能力要求。

法規/政策依據：

GB/T39786-2021 信息安全技術 信息係統密碼應用基本要求

信息係統密碼應用測評要求

信息係統密碼應用測評過程指南

信息係統密碼應用高風險判定指引

商用密碼應用安全性評估量化評估規則

GB/T 32907-2016 信息安全技術 SM4分組密碼算法

GB/T 32918-2016 信息安全技術 SM2橢圓曲線公鑰密碼算法

GB/T 32905-2016 信息安全技術 SM3密碼雜湊算法

4、評估流程：四個階段

密評流程分為四個基本測評活動：測評準備活動、方案編製活動、現場測評活動、分析與報告編製活動；在整個密碼應用安全性評估過程中，測評雙方將會持續進行溝通和改造。

測評準備階段：測評項目啟動 / 信息收集與分析 / 工具和表單準備

方案編製階段：測評對象和指標確定 / 測評工具切入點確定 / 測評方案編製

現場測評階段：現場測評實施準備 / 現場測評和結果記錄 /結果確認和資料歸還

報告編製階段：測評結果判定 / 結果風險分 / 報告編製

三、為什麼要做密評

1、密評發展史

2011年：ZUC序列算法成為了4G移動通信密碼算法國際標準2017年：非對稱算法SM2和SM9的數字簽名算法成為國際標準2018年：密碼雜湊算法SM3成為國際標準2021年：2月，SM9標識加密算法成為國際標準6月，SM4分組密碼算法成為國際標準10月，SM9密鑰交換協議成為國際標準
我國自主研發的密碼算法相繼走出國門並受到國際上的認可，國密局也在大力推進國密算法，借著政策之風，排兵布陣，準備打一場密碼應用攻堅戰。

2、密評市場現狀

密碼應用不廣泛：2017年以來，通過全國開展密評工作，90%甚至95%的信息係統不滿足密碼應用要求，大量數據沒有使用密碼技術保護，處於“裸奔”狀態。
密碼應用不規範：未使用合規密碼產品軟件實現的密碼策略合規的密碼產品但配置不合理
密碼應用不安全：大量在使用MD5、SHA1、DES等已被警示有風險的密碼算法解決商用密碼應用中存在的突出問題，為重要網絡和信息係統的安全提供科學評價方法，以評促建、以評促改、以評促用，逐步規範商用密碼的使用和管理。

3、必做密評的六個原因

政策要求：《密碼法》、國辦發57號文等要求信息係統要開展密碼應用安全性評估
行業監管：通過行業主管部門的監管，要求行業單位需要通過密評，提高係統安全防禦能力，如金融、醫療等
等保延伸：等保可以解決網絡監控、邊界防護、集中安全管理、訪問控製、安全審計等，密評可進一步有效解決數據傳輸和存儲機密性及完整性、數據來源真實可信、操作行為不可否認
安全需求：保證數據機密性、完整性、來源真實性等
業務屬性：情報板、網站等防篡改、電子合同、電子票據等防篡改及否認、網上交易、醫療健康等防泄漏
數據合規：《數據安全法》出台，加快我國數據安全合規的進程，通過密碼可以為數據采集、存儲、整合、呈現與使用、分析與應用、歸檔和銷毀全生命周期保駕護航

4、不做密評的後果

密碼法 第三十七條關鍵信息基礎設施的運營者違反本法第二十七條第一款規定，未按照要求使用商用密碼，或者未按照要求開展商用密碼應用安全性評估的，由密碼管理部門責令改正，給予警告；拒不改正或者導致危害網絡的安全等後果的，處十萬元以上一百萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款。
國辦發57號文 第二十八條加強國家政務信息化項目建設投資和運行維護經費協同聯動……對於不符合密碼應用和網絡的安全要求，或者存在重大安全隱患的政務信息係統，不安排運行維護經費，項目建設單位不得新建、改建、擴建政務信息係統。
數據安全法 第四十五條拒不改正或者造成大量數據泄露等嚴重後果的，處五十萬元以上二百萬元以下罰款，並可以責令暫停相關業務、停業整頓、吊銷相關業務許可證或者吊銷營業執照，對直接負責的主管人員和其他直接責任人員處五萬元以上二十萬元以下罰款。

四、密評解決方案

1、密評方案設計及實施

1）明確被測範圍和係統

明確《密碼法》及相關法律法規所要求的測評範圍，以此確定企業需要做密評的係統和覆蓋範圍。

2）前期準備和測評方案編製

協助企業開展自我評估，出具密評差距分析報告，明確企業密碼應用需求並編製密碼應用建設方案，密碼專家對方案進行審核。

3）密評方案建設實施

根據過審方案開展密碼應用建設，從技術、管理雙重維度，為企業提供合規密碼技術、產品、應急保障服務等，確保方案順利落地。

4）聯係密評機構並開展密評工作

協助企業尋找並委托具備密評資質的單位開展密評工作，測評期間全程協助確保順利完成測評。

5）現場測評及報告編製

跟進測評機構工作進度，協助測評機構完成現場測評工作，測評機構根據現場測評情況出具合規測評報告後，提交到運營單位。

6）密評報告上報

依據規定上報至上級主管單位及本地區密碼管理部門，三級以上係統還需要報送監管單位。

2、BOB登陆 密評解決方案

BOB登陆 商用密碼應用安全性評估解決方案針對密碼應用相關標準規範，基於物理和環境安全、網絡和通信安全、設備和計算安全、應用和數據安全、密鑰管理安全及安全管理製度等維度進行統一規劃設計。方案以BOB登陆 自研商密產品為基礎，充分整合密碼應用需求，幫助用戶建立一套安全、合規、完整、有效的密碼應用體係。

BOB登陆 密碼應用技術架構圖

基於政務雲密碼應用改造解決方案

安全管理域改造

密碼應用改造重點關注網絡與通信安全、應用和數據安全，通過BOB登陆 國密防火牆可實現國密SSL/IPSec VPN安全接入，保證運維管理通道的安全。

部署國密改造後的堡壘機和日誌審計，保證身份鑒別信息的傳輸機密性和日誌的完整性;部署國密瀏覽器和智能密碼鑰匙，保證接入人員的身份安全。

雲管理域改造

借助服務器密碼機實現雲平台相關數據的傳輸和存儲機密性和完整性保護，簽名驗簽服務器實現雲平台基於數字證書的身份鑒別及管理人員重要操作行為的不可否認性;應用層麵借助雲平台自身優勢，提前與密碼產品進行對接適配，提高雲平台運行穩定性及縮短實施周期。

租戶密碼資源池域改造

充分利用BOB登陆 自主研發能力及安全生態體係，基於雲平台搭建密碼資源池，為雲上租戶業務應用提供密碼服務能力支撐。

3、BOB登陆 密評方案價值體現

雲-網-安全麵融合

底座雲平台、網絡資源、計算資源、存儲資源已與密碼產品完成對接，具備國密能力，提供多種密碼安全服務，形成“雲網安”一體化的能力。

完整密碼產品線

具備自主研發的密碼產品家族，同時通過多樣化的生態合作夥伴為客戶提供全方麵密評改造能力。

架構合規設計

基於GB/T 39786-2021標準設計，係統建設資源優化部署，可落地性強，滿足用戶一次性過密評的需求。

專業密評專家谘詢服務

具備多位經驗豐富的持證密評師和專業的密評方案交付團隊，提供全流程的專業密評服務。

差距分析：基礎信息調研、業務流程梳理、安全風險評估、密碼應用基本要求差距分析，輸出差距分析報告。

密評方案設計：結合網絡的安全需求進行密碼應用整改方案設計，包括密碼安全技術體係、管理體係等框架和實現設計等。

密碼建設及谘詢服務：網絡的安全架構優化、密碼技術體係設計、密碼產品部署、安全管理體係建設與谘詢等。

五、過密評之重點、難點、得分點

60分以上+無高風險=通過商用密碼應用安全性評估

✓

明確重點

緊抓整改重點，避免出現高風險：

- 身份鑒別

- 數據傳輸機密性

- 數據存儲機密性

- 操作行為不可否認性

✓

聚焦難點

聚焦整改難點，攻堅克難，合理規劃，讓技術落地可行：應用及設備的定製化改造

✓

力爭得分點

結合密評標準及量化分析，爭取更多得分點：

- 遠程管理通道安全

- 日誌記錄完整性

- 應用數據完整性

- 製度落地

1、密評“重點”解析

■ 重點改造內容——身份鑒別

應用係統的業務或管理人員通過https訪問應用係統，身份鑒別通過數字證書方式實現，在應用側通過應用係統調用簽名驗簽服務器對身份證書進行認證，實現身份鑒別。
管理人員通過堡壘機訪問網絡的安全設備、服務器等，堡壘機的身份鑒別通過數字證書方式實現，堡壘機調用簽名驗簽服務器對身份證書進行認證，實現身份鑒別。

■重點改造內容——機密性

1）應用係統通過基於國密的SSL協議建立https通道訪問應用係統，在應用側部署符合國密的SSL證書，實現業務或管理人員到應用的傳輸機密性；

2）跨網運維的管理人員通過符合國密的SSL VPN建立安全的傳輸通道，保證網絡傳輸數據的機密性；

3）涉及數據備份的場景，通過在係統出口到備份區域部署IPSec VPN實現備份線路的傳輸機密性保護；

4）應用係統通過調用服務器密碼機，實現對應用係統重要數據的傳輸和存儲加密，或通過調用存儲加密機，實現落盤存儲。

■重點改造內容——操作行為不可否認性

操作行為不可否認性隻能通過數字簽名技術實現，業務或管理員通過國密瀏覽器及智能密碼鑰匙（含國密雙證，簽名證書+加密證書）訪問業務應用係統，操作行為通過調用智能密碼鑰匙中的簽名私鑰進行簽名，涉及責任認定場景，通過驗證簽名成功，可實現不可否認的效果。

2、密評“難點”解析--定製化改造

■日誌審計定製化改造

調用密碼產品實現日誌記錄完整性保護

■應用係統定製化改造

1）應用係統調用密碼產品實現基於數字證書的身份鑒別

2）應用係統傳輸數據機密性及完整性保護調用密碼產品的改造

3）應用係統存儲數據機密性及完整性保護調用密碼產品的改造

4）針對應用係統的關鍵操作行為通過調用密碼產品進行數字簽名實現不可否認性保護

■堡壘機定製化改造

1）調用密碼產品實現基於數字證書的身份鑒別

2）調用密碼產品實現堡壘機錄屏記錄、訪問權限的完整性保護

3、密評“得分點”解析

1）應用係統調用服務器密碼機或簽名驗簽服務器實現重要數據存儲和傳輸完整性保護；

2）網絡傳輸采用的https和SSL/IPSec VPN均采用符合國密的產品，能夠保證傳輸完整性；

4）機房整體的指標要求均不存在高風險點，其中身份鑒別通過部署符合GM/T0036電子門禁係統；5）數據記錄通過調用服務器密碼機或簽名驗簽服務器實現完整性保護。

六、關於密評的常見問題

1、運營單位怎麼判定是否需要開展密評?

《密碼法》第二十七條

法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委托商用密碼檢測機構開展商用密碼應用安全性評估。

《商用密碼應用安全性評估管理辦法（試行）》第三條、第二十條

涉及國家安全和社會公共利益的重要領域網絡和信息係統的建設、使用、管理單位（以下檢測責任單位）應當健全密碼保障體係，實施商用密碼應用安全性評估。

重要領域網絡和信息係統包括：基礎信息網絡、涉及國計民生和基礎信息資源的重要信息係統、重要工業控製係統、麵向社會服務的政務信息係統，以及關鍵信息基礎設施、網絡的安全等級保護第三級及以上信息係統。

第三條規定範圍之外的其他網絡和信息係統，其責任單位可以參照本辦法自願開展商用密碼應用安全性評估。

2、不做密評或測評結果不合規有什麼影響？

《密碼法》第三十七條第一款規定：關鍵信息基礎設施的運營者違反本法第二十七條第一款規定，未按照要求使用商用密碼，或者未按照要求開展商用密碼應用安全性評估的，由密碼管理部門責令改正，給予警告；拒不改正或者導致危害網絡的安全等後果的，處十萬元以上一百萬元以下罰款，對直接負責的主管人員處一萬元以上十萬元以下罰款。

《國家政務信息化項目建設管理辦法》第二十八條第三款規定：對於不符合密碼應用和網絡的安全要求，或者存在總打安全隱患的政務信息係統，不安排運行維護經費，項目建設單位不能新建、改建、擴建政務信息係統。

《商用密碼應用安全性評估管理辦法（試行）》第二章第十條規定：關鍵信息基礎設施、網絡的安全等級保護第三級及以上信息係統，每年至少評估一次。

3、等保中的密碼要求有哪些（以等保三級係統為例）

1）安全通信網絡（8.1.2.2通信傳輸）

a）應采用校驗技術或密碼技術保證通信過程中數據的完整性。

b）應采用密碼技術保證通信過程中數據的保密性。

2）安全計算環境

■8.1.4.1身份鑒別

c）當進行遠程管理時，應采取必要的措施防止鑒別信息在網絡傳輸過程中被竊聽；

d）應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現。

■數據傳輸完整性、保密性（8.1.4.7 a和8.1.4.8 a）

■數據存儲完整性、保密性（8.1.4.7 b和8.1.4.8 b）

3）安全管理中心（8.1.5.4 集中管控）

b）應能夠建立一條安全的信息傳輸路徑，對網絡中的安全設備或安全組件進行管理。

4）安全建設管理

8.1.9.3產品采購和使用b）應確保密碼產品與服務的采購和使用符合國家密碼管理主管部門的要求；

8.1.9.7測試驗收b）應進行上線前的安全性測試，並出具安全測試報告，安全測試報告應包含密碼應用安全性測試相關內容。

5）安全運維管理（8.1.10.9密碼管理）

a）應遵循密碼相關國家標準和行業標準；

b）應使用國家密碼管理部門認真核準的密碼技術和產品。

4、bobty下载软件 安全擴展要求

安全計算環境

8.2.4.4 鏡像和快照保護：應采取密碼技術或其他技術手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問。

8.2.4.5 數據完整性和保密性：

c) 應使用校驗碼或密碼技術確保虛擬機遷移過程中重要數據的完整性，並在檢測到完整性受到破壞時采取必要的恢複措施；

d) 應支持雲服務客戶部署密鑰管理解決方案，保證雲服務客戶自行實現數據的加解密過程。

5、工業控製係統安全擴展要求

安全通信網絡

8.5.2.2通信傳輸

在工業控製係統內使用廣域網進行控製指令或相關數據交換的應采用加密認證技術手段實現身份認證、訪問控製和數據加密傳輸。

安全區域邊界

8.5.3.2撥號使用控製

b) 撥號服務器和客戶端均應使用經安全加固的操作係統，並采取數字證書認證、傳輸加密和訪問控製等措施。

8.5.3.3無線使用控製

c) 應對無線通信采取傳輸加密的安全措施，實現傳輸報文的機密性保護。

6、移動互聯安全擴展要求

安全區域邊界

無線接入設備應開啟接入認證功能，並支持采用認證服務器認證或國家密碼管理機構批準的密碼模塊進行認證。

安全計算環境（8.3.3.2移動應用管控）

b) 應隻允許指定證書簽名的應用軟件安裝和運行。

安全建設管理

8.3.4.1移動應用軟件采購

a) 應保證移動終端安裝、運行的應用軟件來自可靠分發渠道或使用可靠證書簽名；

8.3.4.2移動應用軟件開發

b) 應保證開發移動業務應用軟件的簽名證書合法性。

■ 結語

密評科普係列，我們從商用密碼是什麼開始談起，逐步由淺及深，覆蓋了密評發展背景、市場監管要求、密評解決方案、密評常見問題等。希望對需要了解密評的朋友有所助益。